Ja. Wer personenbezogene Daten verarbeitet, muss sicherstellen, dass die Beschäftigten Daten nur auf Weisung verarbeiten und die Grundsätze des Datenschutzes kennen (Art. 29, Art. 32 Abs. 4 DSGVO). Eine schriftliche oder elektronische Verpflichtungserklärung zu Beginn der Tätigkeit ist der übliche Nachweis. Hinzu kommen regelmäßige Schulungen. Auftragsverarbeiter müssen ihre Beschäftigten zusätzlich zur Vertraulichkeit verpflichten (Art. 28 Abs. 3 lit. b DSGVO).
Die gesetzliche Grundlage
Die DSGVO kennt keine Pflicht mit dem Namen "Verpflichtung auf das Datengeheimnis" mehr, wie sie das alte BDSG vorsah. Die Pflicht ergibt sich heute aus mehreren Vorschriften:
- Art. 29 DSGVO: Unterstellte Personen verarbeiten Daten nur auf Weisung des Verantwortlichen, außer ein Gesetz verpflichtet sie dazu.
- Art. 32 Abs. 4 DSGVO: Der Verantwortliche unternimmt Schritte, damit ihm unterstellte Personen nur auf Anweisung verarbeiten.
- Art. 28 Abs. 3 lit. b DSGVO: Auftragsverarbeiter gewährleisten, dass die befugten Personen zur Vertraulichkeit verpflichtet sind.
- Art. 5 Abs. 2 und Art. 24 DSGVO: Sie müssen nachweisen können, dass Sie die Grundsätze einhalten. Dazu gehört auch die Unterrichtung der Beschäftigten.
Inhalt der Verpflichtung
Nach dem DSK-Kurzpapier Nr. 19 sollen die Beschäftigten über die Grundsätze des Art. 5 Abs. 1 DSGVO unterrichtet werden: Rechtmäßigkeit, Treu und Glauben und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Hilfreich sind Beispiele aus dem Arbeitsalltag: keine Daten an Unbefugte, keine Weitergabe von Passwörtern, Bildschirmsperre, Umgang mit Papier und E-Mail. Das Kurzpapier enthält ein Muster.
Je nach Tätigkeit kommen weitere Pflichten hinzu, etwa das Fernmeldegeheimnis (§ 3 TDDDG) bei erlaubter Privatnutzung von E-Mail oder Berufsgeheimnisse (§ 203 StGB) in Arztpraxen, Kanzleien und bei deren Dienstleistern.
Wer muss verpflichtet werden?
Alle Personen, die Zugang zu personenbezogenen Daten haben: Arbeitnehmer, Auszubildende, Praktikanten, Werkstudenten, Leiharbeitnehmer, Aushilfen und ehrenamtlich Tätige. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
Form und Zeitpunkt
- Zeitpunkt: bei Aufnahme der Tätigkeit, möglichst am ersten Arbeitstag und vor dem ersten Zugriff auf Daten.
- Form: Die DSGVO schreibt keine Form vor. Eine schriftliche oder elektronische Erklärung mit Datum dient aber als Nachweis.
- Ablage: in der Personalakte oder einem Schulungssystem.
Einmal unterschreiben reicht nicht
Die Verpflichtung ist der Startpunkt. Wirksam wird Datenschutz erst durch regelmäßige Sensibilisierung:
- Einführungsschulung für neue Beschäftigte.
- Auffrischung in regelmäßigen Abständen, zum Beispiel jährlich.
- Gezielte Schulung für Bereiche mit sensiblen Daten, etwa Personal, Buchhaltung, Kundenservice, IT.
- Anpassung bei Wechsel der Aufgaben.
- Nachweis der Teilnahme.
Die Überwachung der Schulung und Sensibilisierung gehört zu den Aufgaben des Datenschutzbeauftragten (Art. 39 Abs. 1 lit. b DSGVO).
Checkliste
- Muster-Verpflichtungserklärung erstellen oder aktualisieren.
- In den Onboarding-Prozess aufnehmen.
- Kurze Merkblätter zum Umgang mit Daten bereitstellen.
- Schulungsplan mit Terminen festlegen.
- Nachweise zentral ablegen.