Verpflichtung zur Unterrichtung von Mitarbeitern

Der Artikel 29 DSGVO legt fest, dass Beschäftigte eines Verantwortlichen, das kann beispielweise ein Unternehmen, ein Selbstständiger aber auch ein Verein, ein Verband oder eine Behörde sein, personenbezogene Daten nur auf Weisung eben des Verantwortlichen verarbeitet werden dürfen. Dieser Verantwortliche ist zusätzlich dazu verpflichtet sicherzustellen, dass die personenbezogenen Daten nur nach seiner Anweisung verarbeitet werden.

Es besteht eine gesetzliche Verpflichtung zur Unterrichtung der Verantwortlichen und der Beschäftigten. Dies ist wichtig, damit ein Verantwortlicher die Einhaltung der Datenschutzgrundsätze sicherstellen und nachweisen kann. Allgemein besteht die Verpflichtung zur Wahrung des Datengeheimnisses und zur Beachtung der datenschutzrechtlichen Anforderungen der Mitarbeiter, die sich nach Artikel 5 der DSGVO in einige Pflichten aufteilt:

• „Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“: Die personenbezogenen Daten müssen auf eine rechtmäßige, faire und nachvollziehbare Weise verarbeitet werden.
• „Zweckbindung“: Die personenbezogenen Daten müssen für festgelegte, eindeutige und legitime Zwecke verwendet werden und dürfen nicht weiterverarbeitet werden, sobald es sich um eine nicht mit diesen Zwecken vereinbarenden Weise handelt.
• „Datenminimierung“: Die personenbezogenen Daten müssen sich auf das für die Zwecke der Verarbeitung notwendige Maß beschränken.
• „Richtigkeit“: Die personenbezogenen Daten müssen sachlich richtig und auf dem neusten Stand sein. Zusätzlich sind alle Maßnahmen zu treffen, damit die Daten, die unrichtig sind, gelöscht oder berichtigt werden.
• „Speicherbegrenzung“: Die personenbezogenen Daten müssen so gespeichert werden, dass die Identifizierung der betroffenen Personen nur so lange möglich ist, wie es für die Verarbeitung notwendig ist.
• „Integrität und Vertraulichkeit“: Die personenbezogenen Daten müssen so verarbeitet werden, dass eine angemessene Sicherheit der Daten gewährleistet ist, sodass es einen Schutz vor unbefugter/unrechtmäßiger Verarbeitung gibt.

Die Datenschutzgrundverordnung schreibt keine genaue Form der Verpflichtung vor, allerdings muss nachgehalten werden, dass sich die Mitarbeiter auf die Einhaltung der Weisungen verpflichten, während die Form der Weisung dabei zunächst nachrangig ist.

Der Kreis der zu verpflichtenden Personen ist vergleichsweise groß. Die Datenschutzgrundverordnung spricht von „unterstellten natürlichen Personen“, was neben dem regulären Mitarbeiterstamm auch Auszubildende, Praktikanten, Leiharbeiter, Ehrenamtliche usw. mit einbezieht. Die Verpflichtung muss spätestens bei der Aufnahme der Tätigkeit erfolgen.

Die Datenschutzgrundverordnung schreibt keine generelle Form der Verpflichtung vor, daher bieten sich hier Spielräume. Zur Verpflichtung gehört allerdings auch die generelle Unterrichtung über die sich ergebenen Pflichten. Die Beschäftigten müssen darüber informiert werden, was sie in datenschutzrechtlicher Hinsicht bei ihrer täglichen Arbeit beachten müssen. Daher bieten sich Mitarbeiterschulungen und -sensibilisierungen an. Ein Seminar bzw. eine Schulung über den generellen Umgang mit personenbezogenen Daten bietet sich an. Dies muss weder teuer noch aufwendig sein. Wir bieten Mitarbeiterschulungen an, die einmal das Gesamtpaket abdecken, was es alles im Umgang mit Daten zu wissen gibt – anhand von alltäglichen und spannenden Fällen.

Auch im Bezug auf die laufende Datenschutzsensibilisierung der Beschäftigten, denn es empfiehlt sich, die Mitarbeiter in regelmäßigen Zeitintervallen zu sensibilisieren. Auch hier bieten wir Ihnen einfache und kompakte Lösungen an, ihre Mitarbeiter in regelmäßigen Abständen zu sensibilisieren und dies auch in Form eines Zertifikats nachzuhalten. Damit kommen Sie leicht der Nachweispflicht nach und Ihre Mitarbeiter bleiben stets auf dem neusten Stand.

Quelle: Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz)