Datenschutzschulung Mitarbeiter: Inhalte nach DSG

Datenschutzschulung Mitarbeiter: Pflicht und Inhalte

Eine Datenschutzschulung für Mitarbeitende steht nicht Wort für Wort im DSG. Sie gehört trotzdem zu den üblichsten Massnahmen, um die Pflicht zu angemessenen technischen und organisatorischen Massnahmen zur Datensicherheit nach Art. 8 DSG zu erfüllen. Ihre Mitarbeitenden bearbeiten Kundenmail, HR-Dossiers und Cloud-Tools täglich. Schulung macht aus Regeln Verhalten, wenn Autocomplete versagt oder eine Kundin am Telefon Daten verlangt.

Die Checkliste richtet sich an Geschäftsleitung und HR in einem Betrieb mit etwa 20 bis 250 Mitarbeitenden, oft ohne eigene Datenschutzstelle. Das ist Einordnung, keine Rechtsauskunft.

Was in die Schulung gehört

Personendaten in Ihren Tools, Rechtsgrundlagen in verständlicher Sprache, Datenminimierung beim Kopieren, sicheres Teilen von Dateien, interne Meldung bei Fehlern, wann eine Panne den EDÖB betreffen kann. DSGVO nur, wenn Sie tatsächlich in der EU verkaufen oder werben. Rollenbeispiele: Empfang prüft Anrufer, Finanzen prüft Zahlungsdaten, Geschäftsleitung genehmigt Fotos auf der Website.

Schulung nach DSG und DSGVO heisst: beide Rahmen dort, wo sie greifen. Ein Kurs ersetzt keine Zugriffskontrollen, keine Auftragsbearbeitungsverträge und kein Löschkonzept. Er zeigt, was im Alltag erlaubt ist und wohin ein Fehler gemeldet wird.

• Was in Ihren Tools Personendaten sind
• Falscher Empfänger, verlorenes Gerät: zuerst intern melden
• Hohes Risiko: EDÖB-Weg, so rasch als möglich
• Identität am Telefon und per E-Mail vor Auskunft
• Clean Desk und sichere Aktenentsorgung
• Datenschutzerklärung und Ansprechperson finden

Ein möglicher Ablauf für 90 Minuten live

Live-Sessions lohnen sich, wenn Fragen zu Ihrem CRM, Lohn-Export oder der WhatsApp-Gruppe im Büro kommen. Ein Raster, das sich in vielen KMU bewährt:

1. 15 Minuten: Ihre Datenkarte

   Welche Systeme Personendaten halten, wer darauf zugreift, wo die Datenschutzerklärung liegt und wer interne Fragen beantwortet.

2. 25 Minuten: Alltagsfehler

   Falscher Empfänger, Anhang zu gross, Weiterleitung an die falsche Gruppe, USB-Stick, privates Handy für Kundenfotos. Kurz der interne Meldeweg.

3. 20 Minuten: Auskunft und Löschung

   Was Mitarbeitende selbst beantworten dürfen und was an die Ansprechperson geht. Keine Zusage «wir löschen alles morgen», wenn Aufbewahrungspflichten dagegenstehen.

4. 20 Minuten: Übungen aus Ihrem Betrieb

   Zwei bis drei kurze Fälle: Anruf mit Auskunftsbegehren, Mail mit zu vielen Empfängern, Beleg mit Gesundheitsdaten im Scan.

5. 10 Minuten: Was danach gilt

   Wo die Kurzregel steht, wie oft aufgefrischt wird, und dass Meldungen erwünscht sind.

Führungskräfte brauchen oft nur Schritt 3 und 5 vertieft: Eskalation, Dokumentation, keine unmöglichen Löschfristen an Kunden.

Wie oft schulen

Bei Eintritt, bei Rollenwechsel, nach Near-Miss oder echter Panne, und in einem Rhythmus, den die Geschäftsleitung Versicherung oder Kunden erklären kann. Viele KMU wiederholen jährlich oder alle zwei Jahre. Nach einem Versicherungsfragebogen oder einem Kundenaudit lohnt sich oft ein Auffrischungsmodul nur für die betroffene Abteilung, statt die ganze Firma noch einmal durch dieselben Folien zu schicken. Ein Mal 2019 reicht nicht, wenn der Prüfer fragt, was nach dem revidierten DSG 2023 passierte.

Wer teilnehmen soll

Alle, die Personendaten anfassen, mindestens einmal: nicht nur HR. Empfang, Kundendienst, Projektleitende mit Exporten, wer Marketinglisten freigibt. Der IT-Partner ersetzt keine Mitarbeitenden-Schulung; er sichert Systeme, Sie entscheiden, was die Mailbox verlässt.

• Empfang und Kundendienst

  Identität prüfen, keine Akte am Telefon vorlesen, Weiterleitung an die zuständige Person.

• HR und Lohn

  Bewerbungen, Krankheitszeugnisse, sichere Anhänge, keine Kopien in privaten Clouds.

• Finanzen

  Rechnungsdaten, Zahlungsavis, geteilte Ordner mit Mandantenunterlagen.

Live oder E-Learning

Bei 20 bis 250 Personen schlägt oft ein live Datenschutz-Workshop von ein bis zwei Stunden mit Schweizer Bürofällen ein generisches Modul. Viele Betriebe kombinieren: E-Learning bei Eintritt, Live alle zwölf bis vierundzwanzig Monate für alle, plus ein Kurzmodul nach einer Panne für die betroffene Abteilung.

Aurum bietet ein 30-minütiges Bedarfsgespräch, eine Live-Schulung von ein bis zwei Stunden und ein Follow-up-Gespräch, remote oder vor Ort in der Schweiz, auf Deutsch oder Englisch. Inhalte laut Angebot: DSG und DSGVO im Alltag, was erlaubt ist und was nicht, Umgang mit Personendaten und Meldepflichten bei Datenpannen. Die Schulung zielt auf den Alltag, nicht auf eine Zertifizierung des Betriebs. Sie unterstützt Ihre organisatorischen Massnahmen im Alltag.

Nachweis für Prüfer und Kunden

Protokollieren Sie Teilnahme, Datum, Themen und Sprache. Prüfer und Konzernkunden fragen eher danach als nach einer ungelesenen Richtlinie.

• Teilnehmerliste oder Lernplattform-Export mit Datum
• Kurzinhalt (eine Seite): welche Module, welche Rollen
• Version der Datenschutzerklärung, auf die verwiesen wurde
• Interner Meldeweg (Kontakt, nicht nur «an HR schreiben»)

Wer den Meldeweg vertieft, startet bei Datenpanne an den EDÖB melden. Alltagsfehler: E-Mail an falschen Empfänger.

Wer warten kann

Ein Drei-Personen-Betrieb mit kaum Kundendaten ausser Rechnungen bei der Treuhand braucht vielleicht ein Kurzbriefing, kein Programm. Personalvermittlung, Praxis oder Treuhand mit sensiblen Dossiers sollten Schulung nicht überspringen, weil «wir uns vertrauen».

Cyberversicherung und Lieferantenaudits fragen oft nach Schulung und Nachweis. Welche Formulierung ein einzelner Versicherer verlangt, steht in dessen Antrag oder Bedingungen und wurde hier nicht geprüft. Trotzdem lohnt es sich, vor dem Fragebogen zu wissen, welche Module Sie zuletzt durchgeführt haben und wo die Teilnehmerliste liegt. ISO-27001-Kunden erwarten unter Control A 6.3 ein laufendes Programm mit Nachweis. Das ist eine andere Frage als «einmal PowerPoint gezeigt».

Was Schulung nicht leistet

Sie ersetzt keinen Vertrag mit dem IT-Partner. Sie erfüllt nicht die BACS-Meldepflicht für kritische Infrastrukturen. Sie schützt nicht vor Vorsatz; Bussen bis CHF 250’000 nach DSG richten sich an natürliche Personen und setzen Vorsatz voraus (EDÖB Strafbestimmungen).

Ein erfundenes Beispiel: nach falschem Versand

Ein erfundenes Beispiel: HR in einem Logistikbetrieb mit 35 Personen schickt Bewerbungen versehentlich an einen Lieferanten. Zwei Tage keine Meldung an die Geschäftsleitung. Danach Datenschutz-Schulung für HR und Teamleitungen: sichere Anhänge, Eskalation innert einer Stunde, Dokumentation auch ohne EDÖB. Finanzen kommt für die letzten dreissig Minuten zu Kundendaten auf Rechnungen. Teilnahme und Themen werden protokolliert. Der Versicherungsfragebogen im nächsten Jahr erhält eine Seite statt «wir planen etwas».

Ob es wirkt, ohne heimliche Tests

Sie brauchen keine geheime Klickrate, um Fortschritt zu sehen. Steigen Meldungen nach der Schulung, weil Vertrauen zum Meldeweg da ist? Sinken wiederholte Fehlversände in HR und Finanzen? Kennen Neueinstieg die Datenschutz-Ansprechperson? Deloittes Zahlen 2026 zeigen: regelmässige Schulung ist in mittleren KMU bereits verbreitet; die Lücke ist Qualität und Nachweis, nicht ob je ein Kurs gebucht wurde.

Für eine Live-Schulung für KMU: Datenschutz Awareness. DSG und DSGVO im Alltag, Personendaten und Pannenbewusstsein in ein bis zwei Stunden nach kurzem Bedarfsgespräch.