Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 149

Die Kosten der Schulungsmaßnahmen sind vom Arbeitgeber zu tragen, da dieser sie
anordnet. Bei der Erstellung von Datenschutztrainings sind die Mitbestimmungsrechte
des Betriebsrates zu berücksichtigen. Dessen Einbeziehung wird auch dann erforderlich,
sobald die Trainings eine Form der technischen Verhaltens- und Leistungskontrolle dar-
stellen, was etwa bei einer Schulung per Intranet und der anschließenden Auswertung
von Testergebnissen der Fall ist. Die mit der betrieblichen Mitbestimmung einhergehen-
den, meist langwierigen Abstimmungsprozesse bedingen, dass mit der Konzeptionierung
bereits frühzeitig und zum Einhalten des Zeitplanes meist zwangsläufig schon vor der Be-
kanntmachung des DSMS begonnen werden muss, damit die Trainings anschließend zur
Verfügung stehen.
Anknüpfend an die Auswertung von Trainings ist zu beachten, dass jegliche Tester-
gebnisse wiederum personenbezogene Daten darstellen und dem Datenschutz unterliegen,
womit dieser Aspekt in der Konzeptionierung bereits berücksichtigt werden muss. Dies be-
trifft beispielsweise die Beauftragung externer Schulungsanbieter mit Durchführung und
Auswertung der Tests, womit sich die Notwendigkeit einer ADV-Vereinbarung ergibt.
Trotz dieser Hürden sollten Schulungen dennoch derart ausgestaltet werden, dass sie aus-
sagekräftige Ergebnisse produzieren. Denn nur so erhält das Unternehmen ein aktuelles
Bild über die Datenschutz-Awareness der Belegschaft und kann daraus Handlungsbe-
darf ableiten. Zudem lässt sich mit der Trainingsauswertung auch der Fortschritt messen,
den das DSMS dem Unternehmen einbringt. Ohne belastbare Ergebnisse fehlt gegenüber
der Geschäftsleitung eine wesentliche Rechtfertigungsgrundlage für den Weiterbetrieb des
DSMS.
Mit einer einmaligen Datenschutzschulung ist jedoch noch keine Awareness sicher-
gestellt. Zu dieser gehören auch weitergehende Awareness-Maßnahmen (s.u., Abschn.
5.2.6.5). AußerdemkannnurüberregelmäßigeKontrolleninderFolgezeitderDatenschutz
im Unternehmen präsent bleiben (siehe Abschn. 5.2.7.7 - Kontrolle der Umsetzung). Die
DatenschutztrainingssindaußerdeminregelmäßigenAbständenzuwiederholen. Entspre-
chend können sie als Kampagne aufgelegt und mit entsprechenden Eigenschaften (Zyklen,
Mottos etc.) belegt werden. Über diese regelmäßigen Wiederholungen werden neue Mitar-
beitersowieVeränderungenderRahmenbedingungen-etwaneueGesetzeodervermehrte
Datenschutzvorfälle - wirksam erfasst.
5.2.6.3 Inhalte
5.2.6.3.1 Mitarbeitertraining
Datenschutztrainings müssen Datenschutz vermitteln. Das klingt einfach, stellt sich in
der Praxis jedoch als eine häufig unterschätzte Herausforderung dar. Es reicht für die
Mitarbeiter nicht aus, bloß die gesetzlichen Vorschriften zu kennen. Vielmehr müssen
sie deren Hintergrund und insbesondere die praktische Bedeutung des Datenschutzes für
ihre Tätigkeit erkennen. Denn nur dann werden sich die Mitarbeiter mit den Zielsetzun-
gen des DSMS auch identifizieren können. Ansonsten verbleibt der Datenschutz lediglich
als regulatorische Anforderung im Gedächtnis, die zur Vermeidung von arbeitsrechtli-
chen Sanktionen beachtet werden muss. Folglich sollte der Schwerpunkt der Trainings