Datenschutz-Unterweisung nach DS-GVO für Mitarbeitende

15 Module · etwa 53 Minuten · Abschlusstest mit 20 Fragen, 14 richtige zum Bestehen · Teilnahmezertifikat als PDF

Darum geht es

Wer im Betrieb Kundendaten erfasst, Bewerbungen liest, Gehälter abrechnet oder einfach E-Mails schreibt, verarbeitet personenbezogene Daten — und steht damit mitten in der Datenschutz-Grundverordnung. Art. 32 Abs. 4 DS-GVO verlangt, dass Beschäftigte personenbezogene Daten nur auf Anweisung verarbeiten; Art.

Keine Anmeldung nötig. Name und E-Mail-Adresse fragen wir erst vor dem Abschlusstest ab – nur für Ihr Zertifikat. Ihr Fortschritt wird in diesem Browser gespeichert. Sie können jederzeit unterbrechen und später weitermachen.

Modul 1 von 15

Worum es geht — und was dieser Kurs nicht ist

Wer im Betrieb Namen, Adressen, E-Mails, Gehälter oder Krankmeldungen in die Hand nimmt, verarbeitet personenbezogene Daten — am Schreibtisch, am Telefon, im Lager, im Homeoffice. Die Datenschutz-Grundverordnung (DSGVO) gilt deshalb nicht nur für die IT-Abteilung, sondern für jede Person, die mit solchen Daten arbeitet. Art. 32 Abs. 4 DSGVO verlangt, dass Beschäftigte personenbezogene Daten nur auf Anweisung verarbeiten; Art. 39 Abs. 1 Buchst. b DSGVO nennt die Sensibilisierung und Schulung der Beschäftigten ausdrücklich als Aufgabe im Datenschutz. Dieser Kurs ist diese Schulung.

Was Sie hier lernen: wo die DSGVO gilt, was ein personenbezogenes Datum ist, welche Daten besonders geschützt sind, nach welchen Grundsätzen verarbeitet werden darf, welche Rechte Betroffene haben, wer welche Rolle trägt, welche Schutzmaßnahmen in Ihrem Alltag zählen, wie Sie eine Datenpanne erkennen und melden, was bei Verstößen droht — und wie Sie im Ernstfall entscheiden.

Was dieser Kurs leistet: den allgemeinen, rechtlichen Teil der Datenschutz-Unterweisung, mit Nachweis über Inhalte, Datum und Ergebnis.

Was er nicht leistet: die Regeln Ihres Betriebs. Wer Ihr Datenschutzbeauftragter oder Ansprechpartner ist, wie Ihr Meldeweg bei einer Panne aussieht, welche Passwortregel und welche Löschfristen gelten — das kennt nur Ihr Unternehmen. Dafür ist das Modul „Verfahren im eigenen Haus" da. Der Kurs ersetzt auch keine Datenschutzerklärung, kein Verzeichnis der Verarbeitungstätigkeiten und keine Rechtsberatung im Einzelfall.

Zum Merken

Datenschutz ist keine Aufgabe „der IT" oder „des Datenschutzbeauftragten". Die meisten Datenpannen entstehen am Arbeitsplatz: eine E-Mail an den falschen Empfänger, ein offener Bildschirm, eine Akte in der Kantine. Genau dort setzt dieser Kurs an.

Modul 2 von 15

Der Rechtsrahmen an einer Stelle — DSGVO und BDSG

Zwei Regelwerke greifen ineinander. Wer sie einmal im Zusammenhang gesehen hat, versteht den Rest des Kurses schneller.

Wo die DSGVO gilt — sachlich (Art. 2)

Die DSGVO gilt für jede ganz oder teilweise automatisierte Verarbeitung — also überall, wo ein Rechner, ein Smartphone oder ein Server im Spiel ist. Sie gilt aber auch ohne Computer, sobald personenbezogene Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen: in einem Ordner, einer Kartei, einer strukturierten Ablage. Nicht erfasst sind lose, ungeordnete Notizen ohne System — und rein private, familiäre Tätigkeiten (Art. 2 Abs. 2 Buchst. c), etwa das eigene Adressbuch zu Hause.

Wo die DSGVO gilt — räumlich (Art. 3)

• Der Verantwortliche oder Auftragsverarbeiter hat eine Niederlassung in der EU — dann gilt die DSGVO, egal wo die Daten tatsächlich verarbeitet werden.
• Der Verantwortliche sitzt außerhalb der EU, bietet aber Personen in der EU Waren oder Dienstleistungen an oder beobachtet ihr Verhalten — dann gilt sie ebenfalls (Marktortprinzip).

Beispiele: Eine deutsche Firma speichert Kundendaten — DSGVO gilt. Ein US-Unternehmen verkauft in Deutschland und speichert dafür Nutzerdaten — DSGVO gilt. Ein US-Unternehmen verarbeitet ausschließlich Daten von Personen in den USA ohne Bezug zur EU — DSGVO gilt nicht.

Zum Merken

Entscheidend ist nicht die Staatsbürgerschaft („EU-Bürger"), sondern ob sich die Person in der Union befindet oder der Verantwortliche hier niedergelassen ist. Und: Papier ist nicht datenschutzfrei — die Personalakte im Schrank fällt genauso unter die DSGVO wie die Datei auf dem Server.

Modul 3 von 15

Personenbezogene Daten und Verarbeitung

Beim Datenschutz geht es um personenbezogene Daten. Das sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Entscheidend ist nicht, ob das Datum „geheim" oder „privat" ist, sondern ob man damit einen Menschen erkennen kann — direkt oder indirekt.

Beispiele: Vor- und Nachname, Geburtsdatum, Alter, Anschrift, E-Mail-Adresse, Telefonnummer, Bankverbindung, Personalnummer, Sozialversicherungsnummer, Ausweisnummer, Kfz-Kennzeichen, IP-Adresse, Standortdaten, Fotos, Stimme, Fingerabdruck, Bestellhistorie, Haar- und Augenfarbe. Auch die dienstliche Adresse vorname.nachname@firma.de ist ein personenbezogenes Datum — die Person ist eindeutig erkennbar.

Indirekte Identifizierung: „Die blonde Frau aus der Personalabteilung" — arbeitet dort nur eine blonde Frau, ist das ein personenbezogenes Datum, auch ohne Namen. Dasselbe gilt für Pseudonyme (Personalnummer, Kundennummer), solange irgendwo ein Schlüssel existiert, der zur Person zurückführt (Art. 4 Nr. 5). Nur wirklich anonyme Daten, bei denen niemand mehr die Person bestimmen kann, fallen aus der DSGVO heraus. Daten juristischer Personen (die Firma Müller GmbH als solche) sind nicht geschützt — wohl aber die Daten ihrer Ansprechpartner.

Was „Verarbeitung" heißt (Art. 4 Nr. 2)

Praktisch jeder Umgang mit personenbezogenen Daten ist eine Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Einschränken, Löschen, Vernichten.

Zum Merken

Schon das Ansehen ist Verarbeitung. Wer eine Akte aufschlägt, die ihn nichts angeht, verarbeitet Daten ohne Anweisung — und das ist bereits ein Verstoß, auch wenn nichts „passiert".

Modul 4 von 15

Besondere Kategorien personenbezogener Daten

Manche Daten können einem Menschen besonders schaden, wenn sie in falsche Hände geraten: Sie können zu Diskriminierung, Ausgrenzung oder Verfolgung führen. Art. 9 Abs. 1 DSGVO stellt sie deshalb unter ein grundsätzliches Verarbeitungsverbot — erlaubt ist die Verarbeitung nur in den eng gefassten Ausnahmen des Art. 9 Abs. 2, etwa bei ausdrücklicher Einwilligung oder wenn das Arbeits- und Sozialrecht es verlangt (§ 26 Abs. 3 BDSG, z. B. die Krankmeldung für die Lohnfortzahlung).

Die besonderen Kategorien nach Art. 9 Abs. 1:

• rassische oder ethnische Herkunft
• politische Meinungen (z. B. Parteizugehörigkeit)
• religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• genetische Daten
• biometrische Daten zur eindeutigen Identifizierung (Fingerabdruck-Scan, Gesichtserkennung)
• Gesundheitsdaten (Diagnosen, Krankheitstage, Schwerbehinderung, Schwangerschaft)
• Daten zum Sexualleben oder zur sexuellen Orientierung

Die Sozialversicherungsnummer ist also kein Art.-9-Datum — sie ist aber ein sensibles Kennzeichen, das trotzdem sorgfältig zu schützen ist. Umgekehrt ist ein einfaches Passfoto nicht automatisch biometrisch; biometrisch im Sinne von Art. 9 wird es erst, wenn daraus mit technischen Verfahren ein Merkmal zur eindeutigen Identifizierung gewonnen wird.

Für Ihren Alltag

Krankheitstage, Atteste, Schwerbehindertenausweis, Religionszugehörigkeit (Kirchensteuermerkmal in der Gehaltsabrechnung): Diese Daten gehören nur zu den Personen, die sie für ihre Aufgabe brauchen — nicht in den Teamchat, nicht in die offene Ablage, nicht ins Gespräch auf dem Flur.

Modul 5 von 15

Die Grundsätze der Verarbeitung

Art. 5 DSGVO ist der Kompass. Jede Verarbeitung im Betrieb muss sich an diesen sieben Grundsätzen messen lassen — und die Aufsichtsbehörden prüfen genau entlang dieser Liste.

Was das für Sie heißt

Sie entscheiden nicht über Rechtsgrundlagen und Löschfristen — aber Sie setzen die Grundsätze jeden Tag um. Wer Daten für einen anderen Zweck „mal eben" weiterverwendet, wer mehr abfragt als nötig oder wer alte Datensätze aus Bequemlichkeit behält, verstößt gegen Art. 5, auch ohne böse Absicht.

Zum Merken

Zweck, Menge, Dauer. Wofür brauche ich das Datum? Brauche ich wirklich alles davon? Wie lange darf ich es behalten? Wer diese drei Fragen stellt, hat Art. 5 verstanden.

Modul 6 von 15

Rechtsgrundlagen — wann darf verarbeitet werden

Im Datenschutz gilt ein Verbot mit Erlaubnisvorbehalt: Personenbezogene Daten dürfen nur verarbeitet werden, wenn eine der in Art. 6 Abs. 1 DSGVO genannten Rechtsgrundlagen greift. Es sind sechs — Buchstaben a bis f.

Einwilligung — die schwächste Grundlage

Eine Einwilligung muss freiwillig, informiert, eindeutig und für den konkreten Zweck erteilt werden (Art. 7). Sie ist jederzeit widerrufbar — und der Widerruf muss so einfach sein wie die Erteilung. Deshalb ist sie im Betrieb oft die falsche Wahl: Was zur Vertragserfüllung nötig ist, braucht keine Einwilligung; und wer auf Einwilligung setzt, muss mit dem Widerruf leben können.

Beschäftigtendaten — § 26 BDSG

Für die Daten von Beschäftigten gilt neben Art. 6 Abs. 1 Buchst. b die nationale Regelung des § 26 BDSG: Verarbeitung ist zulässig, wenn sie für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist — Gehaltsabrechnung, Zeiterfassung, Urlaubsplanung, Qualifikationsnachweise. Eine Einwilligung von Beschäftigten ist nur dann freiwillig, wenn ihnen kein Nachteil droht (§ 26 Abs. 2); sie ist deshalb die Ausnahme, nicht die Regel.

Für Ihren Alltag

Sie müssen die Rechtsgrundlage nicht selbst bestimmen — das tut der Verantwortliche und hält sie im Verzeichnis der Verarbeitungstätigkeiten fest. Aber Sie müssen wissen: Ohne Grundlage keine Verarbeitung. Wer Kundendaten für einen neuen Zweck nutzen will, fragt vorher — nicht nachher.

Modul 7 von 15

Die Rechte der Betroffenen

Die DSGVO gibt jeder Person, deren Daten verarbeitet werden, durchsetzbare Rechte. Ein Kunde, ein Bewerber, ein Kollege kann sie geltend machen — per E-Mail, Brief, Telefon, auch formlos. Und die Anfrage landet nicht beim Datenschutzbeauftragten, sondern bei dem, der gerade ans Telefon geht.

Die Frist: ein Monat

Art. 12 Abs. 3 DSGVO: Anfragen sind unverzüglich, spätestens innerhalb eines Monats nach Eingang zu beantworten. Bei komplexen oder vielen Anfragen kann die Frist um zwei weitere Monate verlängert werden — dann muss die Person innerhalb des ersten Monats darüber informiert werden. Die Auskunft ist unentgeltlich (Art. 12 Abs. 5). Wer die Frist versäumt, riskiert eine Beschwerde bei der Aufsichtsbehörde (Art. 77) und ein Bußgeld.

Was Sie tun, wenn eine Anfrage bei Ihnen landet

1. Nicht selbst beantworten — und nicht am Telefon Daten herausgeben, bevor die Identität geklärt ist.
2. Eingangsdatum notieren. Die Monatsfrist läuft ab Eingang, nicht ab Weiterleitung.
3. Sofort an die zuständige Stelle weitergeben (Datenschutzbeauftragter, Geschäftsleitung, benannter Ansprechpartner — Modul „Verfahren im Haus").

Zum Merken

Eine Betroffenenanfrage ist keine Beschwerde und kein Angriff. Sie ist ein Recht. Der Fehler liegt fast nie in der Antwort — sondern darin, dass die Anfrage drei Wochen in einem Postfach liegt.

Modul 8 von 15

Rollen — Verantwortlicher, Auftragsverarbeiter, Datenschutzbeauftragter

Vier Begriffe ordnen, wer im Datenschutz wofür zuständig ist.

Beispiel: Die Firma Müller beauftragt ein Lohnbüro mit der Gehaltsabrechnung. Verantwortlicher ist die Firma Müller, Auftragsverarbeiter das Lohnbüro, Betroffene sind die Beschäftigten. Nach Art. 28 Abs. 3 braucht es dafür einen schriftlichen Vertrag zur Auftragsverarbeitung — ohne ihn ist die Weitergabe der Daten unzulässig. Der Verantwortliche bleibt für alles verantwortlich, was der Dienstleister tut (Art. 24).

Der Datenschutzbeauftragte (DSB)

Nach § 38 Abs. 1 BDSG muss ein Unternehmen einen DSB benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — unabhängig von der Zahl, wenn besonders risikoreiche Verarbeitungen stattfinden (Art. 37 DSGVO, § 38 BDSG). Der DSB unterrichtet und berät, überwacht die Einhaltung, ist Anlaufstelle für Beschäftigte, Betroffene und die Aufsichtsbehörde (Art. 39). Er ist in seiner Aufgabe weisungsfrei und darf wegen ihrer Erfüllung nicht benachteiligt werden (Art. 38 Abs. 3). Er entscheidet nicht — und er haftet nicht anstelle der Geschäftsleitung.

Aufgaben im Haus

• Geschäftsleitung: legt Regeln fest, stellt Mittel bereit, trägt die Organisationsverantwortung (Art. 24).
• Führungskräfte: setzen die Regeln im Team um, kontrollieren, unterweisen, unterstützen den DSB.
• Beschäftigte: verarbeiten nur auf Weisung (Art. 29, Art. 32 Abs. 4), halten interne und gesetzliche Regeln ein, melden Datenpannen und Verstöße sofort an Führungskraft oder DSB.

Zum Merken

Verantwortlich ist das Unternehmen, nicht der DSB. Der DSB berät und kontrolliert — er ist Ihr Ansprechpartner, wenn Sie unsicher sind, nicht die Person, auf die man im Zweifel zeigt.

Modul 9 von 15

Technische und organisatorische Maßnahmen (TOM)

TOM steht für technische und organisatorische Maßnahmen. Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, ein dem Risiko angemessenes Schutzniveau sicherzustellen — und nennt ausdrücklich Pseudonymisierung und Verschlüsselung, die Sicherung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Wiederherstellbarkeit nach einem Zwischenfall (Backup) und die regelmäßige Überprüfung der Wirksamkeit.

Was in Ihrer Hand liegt

Die meisten TOM wirken nur, wenn Sie sie anwenden:

• Bildschirm sperren, sobald Sie den Platz verlassen — auch „nur kurz", auch wenn nur Kollegen im Raum sind. Nicht jeder Kollege darf alles sehen.
• Passwörter: lang, einzigartig je Dienst, niemals weitergeben, nicht auf Zettel am Monitor, nicht im Teamchat. Ein Passwortmanager ist erlaubt und erwünscht, wenn der Betrieb ihn freigibt.
• Clean Desk: Personalunterlagen, Kundenlisten, Ausdrucke am Abend wegschließen; den Drucker nicht als Ablage benutzen.
• Datenträger und Papier mit personenbezogenen Daten nicht in den normalen Müll — Schredder oder Datenschutztonne.
• Zugriffsrechte nutzen, wie sie vergeben sind: Was Sie sehen könnten, dürfen Sie nicht automatisch ansehen (Art. 32 Abs. 4).
• Keine privaten Geräte, Cloud-Dienste oder Messenger für Firmendaten, es sei denn, der Betrieb hat sie ausdrücklich freigegeben.

Zum Merken

Die teuerste Firewall hilft nicht, wenn die Personalakte offen im Besprechungsraum liegt. Fragen Sie sich an jedem Arbeitsplatz: Wo stehen unsere TOM, welche betreffen mich — und halte ich sie heute ein?

Modul 10 von 15

Datenpannen — erkennen, melden, dokumentieren

Eine Datenpanne — die DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten" (Art. 4 Nr. 12) — liegt vor, wenn personenbezogene Daten unbefugt offengelegt, verändert, vernichtet oder verloren wurden oder Unbefugte Zugang hatten. Absicht spielt keine Rolle. Die meisten Pannen sind Versehen.

Typische Fälle:

• Mailing an alle Kunden, die Adressen stehen im Feld „An" statt „BCC"
• E-Mail mit Gehaltsliste oder Angebot geht an den falschen Empfänger
• Personalakten bleiben in der Kantine liegen und werden gelesen
• Laptop oder Smartphone mit Kundendaten wird gestohlen, USB-Stick geht verloren
• Ransomware verschlüsselt den Server — auch Verlust der Verfügbarkeit ist eine Panne
• Im Onlineshop sieht ein Besucher die Daten des zuvor eingeloggten Kunden
• Die IT löscht versehentlich alle Kunden aus dem CRM ohne Backup

Die Fristen

Die 72 Stunden laufen ab Bekanntwerden im Unternehmen — nicht ab dem Moment, in dem der DSB davon erfährt. Wer eine Panne drei Tage für sich behält, hat die Frist für das Unternehmen bereits verbraucht. Ob gemeldet werden muss, entscheidet nicht die Person, der das Missgeschick passiert ist, sondern der Verantwortliche nach Prüfung des Risikos.

Was Sie tun — in dieser Reihenfolge

1. Sofort melden — an Datenschutzbeauftragten oder Führungskraft, am selben Tag, auch bei Unsicherheit, ob es „wirklich" eine Panne ist.
2. Schaden begrenzen, soweit möglich: falschen Empfänger um Löschung bitten, Gerät sperren lassen, Zugänge ändern.
3. Festhalten, was passiert ist: was, wann, welche Daten, wie viele Personen, wer informiert wurde.
4. Nicht vertuschen, nicht selbst „reparieren", nicht die Betroffenen eigenmächtig anrufen — das koordiniert der Verantwortliche.

Zum Merken

Eine gemeldete Panne ist ein Vorgang. Eine verschwiegene Panne ist ein zweiter Verstoß — und der wird teurer als der erste (Art. 83 Abs. 4).

Modul 11 von 15

Datenschutz im Arbeitsalltag — E-Mail, Phishing, Homeoffice, Mobilgeräte

Die Vorschriften stehen in Art. 5 und Art. 32 — die Verstöße passieren in Ihrem Postfach, auf Ihrem Handy und am Küchentisch im Homeoffice. Sechs Situationen, die fast jeden betreffen.

E-Mail

• Empfänger prüfen, bevor Sie senden — die Autovervollständigung schlägt gern den falschen „Müller" vor. Ein Fehlversand mit personenbezogenen Daten ist eine Datenpanne (Art. 4 Nr. 12).
• Verteiler in „BCC", nie in „An" oder „CC", wenn die Empfänger einander nicht kennen müssen.
• Anhänge mit sensiblen Daten verschlüsseln oder über einen freigegebenen Austauschweg versenden; Kennwort auf getrenntem Weg.
• Keine Weiterleitung dienstlicher E-Mails an private Postfächer.

Phishing und Social Engineering

Angreifer brauchen keine Technik, wenn ein Mensch die Tür öffnet. Typisch: eine E-Mail „der Geschäftsführung" fordert dringend eine Gehaltsliste oder Überweisung; „die IT" bittet um Ihr Passwort; ein Link führt auf eine Anmeldeseite, die der echten gleicht. Erkennungszeichen: Zeitdruck, Geheimhaltung, ungewöhnlicher Kanal, abweichende Absenderadresse, Rechtschreibfehler, Link-Ziel passt nicht zum Text. Richtig ist immer: nicht klicken, nichts senden, über einen bekannten Kanal rückfragen (Telefonnummer aus dem Verzeichnis, nicht aus der E-Mail) und die Nachricht der IT oder dem DSB melden. Niemand Seriöses fragt je nach Ihrem Passwort.

Homeoffice und mobiles Arbeiten

• Nur Firmengeräte oder ausdrücklich freigegebene Geräte; VPN nutzen.
• Bildschirm so stellen, dass Mitbewohner und Besucher nicht mitlesen; Bildschirmsperre auch zu Hause.
• Ausdrucke vermeiden; wenn nötig, verschlossen aufbewahren und im Betrieb vernichten, nicht im Hausmüll.
• Vertrauliche Telefonate nicht im Zug, Café oder Großraum führen.

Mobilgeräte und Datenträger

Laptop, Smartphone, USB-Stick: verschlüsselt, mit Sperrcode, nie unbeaufsichtigt im Auto oder Zug. Verlust sofort melden — ein verschlüsseltes Gerät ist eine dokumentierte Panne, ein unverschlüsseltes eine meldepflichtige.

Telefon und Besucher

Am Telefon keine Auskünfte über Kunden oder Kollegen an Unbekannte — auch nicht „nur die Durchwahl" oder „ob er heute krank ist". Besucher werden begleitet; Bildschirme, Whiteboards und Ausdrucke im Besprechungsraum sind vorher zu räumen.

Zum Merken

Die drei Sekunden vor dem Klick auf „Senden" sind die billigste Datenschutzmaßnahme, die es gibt. Empfänger, Anhang, BCC.

Modul 12 von 15

Haftung und Bußgelder

Datenschutzverstöße haben Folgen — für das Unternehmen und für die Person, die sie verursacht hat.

Bußgelder (Art. 83)

Die Aufsichtsbehörden können Geldbußen in zwei Stufen verhängen:

Es gilt jeweils der höhere Betrag. Die Höhe richtet sich nach Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Zusammenarbeit mit der Behörde und danach, ob der Verstoß selbst gemeldet wurde (Art. 83 Abs. 2). Daneben kann die Behörde Verarbeitungen untersagen (Art. 58 Abs. 2).

Schadensersatz (Art. 82)

Jede Person, der durch einen Verstoß ein Schaden entsteht, hat Anspruch auf Ersatz — materiell und immateriell. Immaterieller Schaden heißt: auch der Kontrollverlust über die eigenen Daten, Sorge vor Missbrauch oder Bloßstellung können ersatzpflichtig sein. Anspruchsgegner ist der Verantwortliche, unter Umständen auch der Auftragsverarbeiter.

Wer haftet im Unternehmen?

• Das Unternehmen als Verantwortlicher trägt Bußgeld und Schadensersatz. Die Geschäftsleitung verantwortet die Organisation: Regeln, Mittel, Kontrolle, Schulung (Art. 24).
• Der Datenschutzbeauftragte berät und überwacht — er haftet nicht anstelle der Leitung (Art. 38, 39).
• Beschäftigte haften in ihrem unmittelbaren Verantwortungsbereich: Verstöße gegen Weisungen können Abmahnung und Kündigung nach sich ziehen; bei grober Fahrlässigkeit oder Vorsatz kommt eine Beteiligung am Schaden in Betracht. Wer personenbezogene Daten unbefugt verarbeitet, um sich zu bereichern oder jemandem zu schaden, macht sich nach § 42 Abs. 2 BDSG strafbar — bis zu zwei Jahre Freiheitsstrafe; wer gewerbsmäßig Daten vieler Personen unbefugt weitergibt, bis zu drei Jahre (§ 42 Abs. 1 BDSG).

Zum Merken

Die Millionenbeträge zahlt das Unternehmen. Den Arbeitsplatz verliert die Person, die die Personalakte mit nach Hause genommen oder dem „Kollegen aus der IT" das Passwort genannt hat. Beides lässt sich vermeiden — durch das, was in diesem Kurs steht.

Modul 13 von 15

Praxisfall: Die Gehaltsliste geht an den falschen Empfänger

Die Lage: Freitag, 16:40 Uhr. Frau K. aus der Personalabteilung schickt die monatliche Gehaltsliste als Excel-Anhang an das Lohnbüro. Die Autovervollständigung hat statt lohn@steuerberater-mueller.de die Adresse info@mueller-elektrotechnik.de eingesetzt — ein Kunde. Die Liste enthält Namen, Bruttogehälter, Steuerklassen, Religionszugehörigkeit (Kirchensteuer) und bei zwei Personen den Vermerk „Krankengeldzuschuss". Frau K. bemerkt den Fehler um 16:55 Uhr.

Der Entscheidungspfad

1. Ist das eine Datenpanne? Ja. Personenbezogene Daten wurden einer unbefugten Stelle offengelegt (Art. 4 Nr. 12). Dass es ein Versehen war und dass der Empfänger ein seriöser Kunde ist, ändert daran nichts. Dass die Liste Art.-9-Daten enthält (Religion, Gesundheit), erhöht das Risiko.

2. Was tut Frau K. sofort — und was nicht?

3. Wer entscheidet über die Meldung an die Aufsichtsbehörde? Der Verantwortliche — in der Praxis Geschäftsleitung mit dem DSB. Die 72-Stunden-Frist (Art. 33) läuft ab Freitag 16:55 Uhr, also bis Montag 16:55 Uhr. Wochenende zählt mit. Hier ist eine Meldung sehr wahrscheinlich nötig: Gehalts-, Religions- und Gesundheitsdaten bedeuten ein Risiko für die Betroffenen; die Löschbestätigung des Empfängers kann das Risiko senken, hebt die Prüfung aber nicht auf.

4. Müssen die Beschäftigten informiert werden? Nach Art. 34 bei voraussichtlich hohem Risiko — hier gut vertretbar, weil Gehalts- und Gesundheitsdaten betroffen sind und der Empfänger die Kollegen zum Teil persönlich kennt. Die Entscheidung trifft der Verantwortliche, die Information erfolgt koordiniert, nicht durch Frau K. am Flur.

5. Dokumentation. Der Vorfall wird nach Art. 33 Abs. 5 im Datenpannen-Verzeichnis festgehalten — auch dann, wenn am Ende keine Meldung nötig gewesen wäre. Und er wird ausgewertet: Autovervollständigung für externe Adressen prüfen, Verschlüsselung für die Gehaltsliste verpflichtend machen.

Was den Fall entschieden hat

Nicht der Fehler — der passiert jedem. Entschieden hat die Reaktion um 16:55 Uhr: Melden statt Montag. Hätte Frau K. das Wochenende abgewartet, wären 64 der 72 Stunden verbraucht gewesen, bevor der Verantwortliche überhaupt wusste, dass er eine Entscheidung treffen muss.

Modul 14 von 15

Verfahren im eigenen Haus

Dieses Modul füllt Ihr Betrieb aus. Der allgemeine Teil dieser Unterweisung endet hier — was jetzt folgt, kennt nur Ihr Unternehmen.

Diese Angaben gehören hinein:

Für die Führung

Der Meldeweg bei Datenpannen ist der wichtigste Punkt dieser Liste — und der, der am häufigsten unklar bleibt. Die 72-Stunden-Frist aus Art. 33 DSGVO läuft ab Bekanntwerden im Unternehmen. Wer nicht weiß, wen er am Freitagabend anruft, verbraucht das Wochenende — nicht aus Nachlässigkeit, sondern weil niemand es ihm gesagt hat.

Modul 15 von 15

Nachweisführung

Zum Schluss das, was diese Unterweisung zu einem Nachweis macht.

Warum überhaupt ein Nachweis: Art. 5 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die Einhaltung der Grundsätze nachweisen zu können; Art. 24 verlangt den Nachweis geeigneter Maßnahmen. Die Schulung der Beschäftigten ist eine solche Maßnahme — organisatorisch, Teil der TOM — und Art. 39 nennt Sensibilisierung und Schulung ausdrücklich. Eine Aufsichtsbehörde, die nach einer Datenpanne prüft, fragt als Erstes: Waren die Beschäftigten unterwiesen? Zeigen Sie es mir.

Wiederholung: Die DSGVO nennt keine feste Frist. Aufsichtsbehörden und Zertifizierer erwarten eine regelmäßige Schulung — in der Praxis jährlich, außerdem vor der ersten Verarbeitung bei Neueinstellung, bei Wechsel der Tätigkeit, nach einer Datenpanne im Betrieb und bei geänderten Vorschriften.

Teilnehmerkreis: alle, die mit personenbezogenen Daten umgehen — also praktisch alle Beschäftigten einschließlich Führungskräften, Auszubildenden, Aushilfen und Zeitarbeitskräften; bei externen Dienstleistern regelt das der Vertrag nach Art. 28.

Dokumentation: Ihr Teilnahmezertifikat trägt Namen, Kurs, Datum, Ergebnis, die vollständige Themenliste und eine Zertifikatsnummer, die über die Prüfseite der Akademie verifizierbar ist. Bewahren Sie es auf und geben Sie eine Kopie an die Stelle, die im Betrieb die Datenschutz-Nachweise führt — in der Regel DSB oder Personalabteilung.

Was zusätzlich zu dokumentieren ist: die Verpflichtung auf Vertraulichkeit (üblich bei Einstellung) und der betriebsspezifische Teil aus dem Modul „Verfahren im eigenen Haus". Erst beides zusammen — allgemeiner Teil mit Zertifikat, betrieblicher Teil mit Unterschrift — ergibt den Schulungsnachweis, den eine Behörde oder ein Auditor sehen will.

Zum Merken

Ein Nachweis, den niemand findet, ist keiner. Zertifikat ablegen, Datum notieren, im nächsten Jahr wiederholen — und neue Kolleginnen und Kollegen vor dem ersten Arbeitstag mit Kundendaten schulen, nicht danach.

Abschlusstest

20 Fragen, je eine richtige Antwort. Zum Bestehen brauchen Sie 14 richtige (70 %). Die Auswertung erfolgt auf dem Server — hier auf der Seite steht keine Lösung.

Ihr Ergebnis