Top-Themen im Datenschutz:
Mit vier Grunddokumenten und einem lückenlosen Nachweis regeln KMU den Datenschutz für Mitarbeiter. Ein externer Datenschutzbeauftragter stellt Vorlagen bereit und dokumentiert die Unterrichtung.
Kleine und mittlere Unternehmen (KMU) brauchen für den Datenschutz ihrer Mitarbeiter vier Dokumente: die Datenschutzinformation für Beschäftigte, die Datenschutzbelehrung (Unterrichtung mit Vertraulichkeitsverpflichtung), eine Datenschutz- und IT-Nutzungsrichtlinie und eine Kurzanweisung für Vorfälle und Betroffenenanfragen. Alles Weitere, etwa eine KI-Nutzungsrichtlinie oder Regeln fürs Homeoffice, kommt nur hinzu, wenn die jeweilige Arbeitsweise im Unternehmen tatsächlich vorkommt.
In unseren Mandaten als externer Datenschutzbeauftragter sehen wir immer wieder dasselbe Muster: Die Regeln existieren, oft sogar ordentlich formuliert. Ob und wann die Mitarbeiter unterrichtet wurden, lässt sich aber nicht nachweisen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenVier Dokumente gelten für alle Mitarbeitenden. Die übrigen ergänzen das Paket nur dort, wo die Arbeitsweise sie verlangt.
Diese vier Grunddokumente brauchen Sie immer:
Diese Dokumente kommen je nach Arbeitsweise hinzu:
Entscheidend ist nicht die Zahl der Dokumente, sondern ob alle relevanten Verhaltensweisen geregelt, verständlich vermittelt und tatsächlich eingehalten werden. Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge oder Datenschutz-Folgenabschätzungen gehören nicht in dieses Paket: Sie müssen nicht an alle verteilt werden.
Eine „Datenschutzrichtlinie für Mitarbeiter“ mit genau diesem Namen schreibt die DSGVO nicht vor. Die Pflicht zu verbindlichen Mitarbeiterregeln ergibt sich aber aus mehreren Vorschriften:
Zum Beschäftigtendatenschutz: § 26 Abs. 1 Satz 1 BDSG taugt nur noch eingeschränkt als eigenständige Rechtsgrundlage. Verarbeitungen im Arbeitsverhältnis sind unmittelbar an Art. 6 und Art. 9 DSGVO zu messen.
Hintergrund ist das EuGH-Urteil vom 30. März 2023 (C-34/21), das der Hessische Datenschutzbeauftragte in einer Handreichung zum Beschäftigtendatenschutz einordnet. Ein eigenes Beschäftigtendatengesetz liegt seit Oktober 2024 nur als Referentenentwurf vor.
Für alle Dokumente gilt: Eine interne Verhaltensregel schafft keine Rechtsgrundlage im Beschäftigtendatenschutz. Sie regelt nur, wie Beschäftigte bereits rechtmäßige Verarbeitungen durchführen.
Die Datenschutzinformation beantwortet die Frage: Was macht der Arbeitgeber mit meinen eigenen Daten? Im Alltag heißt sie auch Datenschutzerklärung für Mitarbeiter. Sie ist eine gesetzliche Informationspflicht nach Art. 13 DSGVO und muss spätestens zu Beginn der Datenverarbeitung vorliegen, also beim Onboarding. Sie enthält:
Die Datenschutzerklärung Ihrer Website ersetzt dieses Dokument nicht: Zwecke und Rechtsgrundlagen unterscheiden sich im Beschäftigungsverhältnis.
Typischer Fehler: Die Datenschutzinformation wird als „Einwilligung“ unterschrieben. Die Bestätigung, sie erhalten zu haben, ist aber keine Einwilligung. Eine Unterschrift darf nicht den Eindruck erwecken, Beschäftigte müssten einer vertraglich oder gesetzlich erforderlichen Verarbeitung erst zustimmen.
Die Datenschutzbelehrung, rechtlich die Unterrichtung der Beschäftigten, macht deutlich, dass Mitarbeiter personenbezogene Daten nur im zulässigen Rahmen verarbeiten und nicht unbefugt offenlegen dürfen, auch nach dem Ausscheiden. Die Datenschutzkonferenz (DSK) empfiehlt im DSK-Kurzpapier Nr. 19 zur Unterrichtung von Beschäftigten im Datenschutz, sie möglichst spätestens am ersten Arbeitstag durchzuführen und schriftlich oder elektronisch zu dokumentieren.
Die häufigste Lücke, die wir vorfinden, ist nicht die fehlende Verpflichtung, sondern der fehlende Nachweis:
Eine eigenhändige Unterschrift unter jedes Dokument verlangt die DSGVO nicht. Sie müssen aber zeigen können, wer wann welche Fassung erhalten hat. Ein belastbarer Nachweis enthält die unterrichtete Person, Bezeichnung und Versionsstand, das Datum und die Bestätigung der Kenntnisnahme. Ein elektronisches Verfahren ist dafür gut geeignet, etwa die Kenntnisnahme mit Versionsstand im Intranet im Compliance Hub.
Kenntnisnahme allein genügt allerdings nicht. Dass jemand ein Dokument bestätigt hat, heißt noch nicht, dass er die Regeln versteht. Wirksam wird die Unterrichtung erst mit konkreten Fällen aus der eigenen Tätigkeit, etwa Fehlversand, verlorenes Notebook oder Auskunftsanfrage.
Das ist die eigentliche Datenschutzrichtlinie für Mitarbeiter: die verbindlichen Verhaltensregeln für den Datenschutz im Arbeitsalltag. Sie bildet den Kern jeder Datenschutzrichtlinie für Unternehmen. Die DSGVO gibt keinen Kapitelkatalog vor, diese zehn Regelungsbereiche tragen aber für die meisten KMU:
Regelungsbereich | Kernregel (Beispiel) |
|---|---|
Zweckbindung | Daten nur nutzen, soweit die eigene Aufgabe es erfordert (kein Blick in die Personalakte eines Kollegen) |
Vertraulichkeit | Keine unbefugte Weitergabe, auch nach dem Ausscheiden (keine vertraulichen Telefonate im Großraumbüro) |
Zugriffsrechte | Nur nötige Systeme, Zugangsdaten nie teilen (kein geteiltes Admin-Konto) |
Passwörter und Geräte | Mehrfaktor-Authentisierung, Bildschirmsperre, nur freigegebene Software und Cloud-Dienste |
Sichere Übermittlung | Empfänger prüfen, bei Schutzbedarf verschlüsseln (BCC statt offener Verteiler) |
Arbeitsplatz und Papier | Clean Desk, Ausdrucke abholen, Aktenvernichter nutzen |
Besondere Kategorien | Gesundheitsdaten und andere Daten nach Art. 9 DSGVO mit eigenen Zugriffsregeln |
Aufbewahrung und Löschung | Nur freigegebene Ablagen, nicht eigenmächtig löschen, Löschsperren beachten |
Privatnutzung | E-Mail und Internet privat ausdrücklich erlaubt oder untersagt, nie offen gelassen |
Meldepflichten | Vorfälle und Betroffenenanfragen sofort weitergeben (siehe Dokument 4) |
Die Privatnutzung gehört ausdrücklich geregelt, weil sie beeinflusst, welche Kontrollen der Arbeitgeber später durchführen darf. Das gilt vor allem für den Datenschutz bei privater E-Mail-Nutzung am Arbeitsplatz.
Wer ein ISMS nach ISO 27001 betreibt, deckt mit dieser Richtlinie zugleich die Vorgaben zur zulässigen Nutzung von Informationen (Control 5.10) und zur Sensibilisierung (Control 6.3) mit ab.
Dieses Dokument passt auf eine Seite und enthält zwei getrennte Abläufe mit einem eindeutig benannten Meldeweg. Es ist das Dokument, das Mitarbeitende im Ernstfall tatsächlich aufschlagen.
Eine fehlgeleitete E-Mail, ein verlorenes Notebook oder ein versehentlich öffentlicher Cloud-Ordner können Datenschutzverletzungen sein.
Ob eine Meldung an die Aufsichtsbehörde nötig ist, bewertet die zuständige Stelle. Nach Art. 33 DSGVO muss das unverzüglich und möglichst binnen 72 Stunden geschehen, sofern ein Risiko für die Betroffenen nicht unwahrscheinlich ist. Bei hohem Risiko sind nach Art. 34 DSGVO auch die Betroffenen zu benachrichtigen. Das Compliance Hub unterstützt dabei, Datenschutzvorfälle zu dokumentieren und die 72-Stunden-Frist im Blick zu behalten. Die 72 Stunden sind keine Frist, die Mitarbeitende für ihre interne Meldung ausschöpfen dürfen.
Eine zweite Beobachtung aus unseren Mandaten: Wer eine Auskunfts- oder Löschanfrage stellt, wird intern oft nicht ernst genommen. Die Anfrage gilt als lästig und bleibt im Postfach liegen. Weil die Betroffenen nicht ernst genommen werden, entsteht auch keine Sensibilität für ihre Anliegen.
Dabei heißen solche Anfragen selten „DSGVO-Anfrage“. Sie klingen so: „Welche Daten haben Sie über mich?“, „Bitte löschen Sie meine Kontaktdaten“ oder „Ich möchte keine Werbung mehr“. Bei Auskunftsanfragen nach DSGVO müssen Sie nach Art. 12 Abs. 3 DSGVO grundsätzlich innerhalb eines Monats reagieren. Eine verschleppte Anfrage führt schnell zur Beschwerde bei der Aufsichtsbehörde und kann Schadensersatzansprüche nach Art. 82 DSGVO auslösen.
Mitarbeitende müssen eine Anfrage erkennen und sofort weiterleiten, nicht selbst beantworten. Die Kurzanweisung sollte außerdem erklären, warum jede Anfrage zählt: Hinter ihr steht ein Recht der betroffenen Person, kein Gefallen des Unternehmens.
Chatbots, Textassistenten und Transkriptionsdienste sind in vielen Unternehmen längst Alltag, oft mit privaten KI-Accounts. Der Einzeiler „Keine personenbezogenen Daten in KI-Tools“ reicht nicht: Er wird leicht umgangen, weil er keine erlaubte Alternative bietet. Wirksamer ist eine Freigabelogik mit drei Fragen.
Welche Tools sind freigegeben? Vor der Freigabe prüfen Sie die Rolle des Anbieters, Vertragsbedingungen, internationale Datenübermittlungen und die Nutzung eingegebener Daten. Ein Auftragsverarbeitungsvertrag ist nötig, wenn tatsächlich eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt, aber nicht bei jeder KI-Anwendung automatisch.
Wofür dürfen sie genutzt werden? Zulässige Einsatzfelder benennen, etwa Textentwürfe oder Zusammenfassungen freigegebener Dokumente. Sensible Anwendungsfälle brauchen zusätzliche Freigaben und unter Umständen eine Datenschutz-Folgenabschätzung.
Mit welchen Daten? Besondere Kategorien personenbezogener Daten, Personalakten und Geschäftsgeheimnisse gehören ohne geprüfte Freigabe nicht in KI-Anwendungen.
KI-Kompetenz nach Art. 4 KI-Verordnung: Seit 2. Februar 2025 müssen Unternehmen, die KI einsetzen, Maßnahmen zur KI-Kompetenz ihres Personals ergreifen. Mit der Verordnung (EU) 2026/1744 wurde Art. 4 zum 27. Juli 2026 neu gefasst: Unternehmen müssen die Entwicklung der KI-Kompetenz unterstützen, aber kein bestimmtes Niveau einzelner Personen garantieren. Eine KI-Nutzungsrichtlinie mit dokumentierter Unterrichtung ist der einfachste Weg, diese Maßnahmen zu belegen.
Richtlinie mobiles Arbeiten: Sie regelt den Schutz vor Einsicht und Mithören, freigegebene Zugänge, den Transport von Geräten und Papier, das Drucken zu Hause und die Meldung bei Verlust.
BYOD-Regelung: Private Geräte für dienstliche Zwecke sind nur zulässig, wenn das Unternehmen es ausdrücklich erlaubt. Dann regelt die BYOD-Regelung im Datenschutz die Trennung privater und dienstlicher Daten, Sicherheitsanforderungen, Zugriffsrechte sowie den Umgang mit Verlust und Ausscheiden.
In kleinen Unternehmen lassen sich beide Regelungen gut als eigener Abschnitt in die Datenschutz- und IT-Nutzungsrichtlinie integrieren.
Die vier Grunddokumente gelten für alle. Detailvorgaben richten sich nach der Tätigkeit, denn laut DSK soll die Unterrichtung an typischen Fällen aus dem jeweiligen Arbeitsbereich ansetzen. Diese Themen kommen je Bereich hinzu:
Auch Auszubildende, Praktikanten und Leiharbeitnehmer gehören dazu, wenn sie unter Ihrer Verantwortung Daten verarbeiten.
Die Verantwortung liegt bei der Unternehmensleitung. Die Aufgaben des Datenschutzbeauftragten bestehen in Beratung und Überwachung; die operative Gesamtverantwortung übernimmt er nicht. So verteilen sich die Aufgaben:
Besteht ein Betriebsrat, sind seine Mitbestimmungsrechte zu beachten: nach § 87 Abs. 1 Nr. 1 BetrVG bei Fragen der betrieblichen Ordnung und nach Nr. 6 bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können.
Art. 32 Abs. 1 lit. d DSGVO verlangt, die Wirksamkeit organisatorischer Maßnahmen regelmäßig zu überprüfen. Diese acht Schritte helfen bei Einführung und Überarbeitung:
Eine Datenschutzrichtlinie für Mitarbeiter muss nicht umfangreich sein. KMU kommen mit vier Grunddokumenten aus und ergänzen nur, was ihre Arbeitsweise verlangt. Entscheidend ist, dass jedes Dokument verständlich ist, bei Eintritt, Wechsel und Ausscheiden vermittelt wird und sich die Datenschutzbelehrung jederzeit nachweisen lässt.
Als externer Datenschutzbeauftragter stellen wir unseren Mandanten die Vorlagen für alle Dokumente aus der Übersicht bereit, passen sie an die tatsächlichen Arbeitsweisen an, sensibilisieren die Beschäftigten und unterstützen beim Datenschutz für Mitarbeiter bei der nachvollziehbaren Dokumentation der Unterrichtung. So wird aus einzelnen Dokumenten ein Prozess, der auch einer Prüfung standhält.
Eine umfassende Beratung zu allen Themen rund um die DSGVO aus einer Hand, damit Sie gesetzliche Anforderungen effizient umsetzen und Ihre Daten sicher verwalten können.
Eine „Datenschutzbelehrung“ unter diesem Namen schreibt die DSGVO nicht vor. Sie müssen aber sicherstellen und nachweisen können, dass Beschäftigte personenbezogene Daten nur auf Weisung verarbeiten (Art. 29 und Art. 32 Abs. 4 DSGVO). Die Unterrichtung ist dafür das übliche Mittel. Davon zu trennen ist die Datenschutzinformation nach Art. 13 DSGVO: Sie ist immer Pflicht.
Die DSGVO nennt keinen festen Turnus. Wir empfehlen, bei Eintritt zu unterrichten, nach jeder Änderung der Regeln oder der Tätigkeit erneut und die Wirksamkeit mindestens jährlich zu prüfen (Art. 32 Abs. 1 lit. d DSGVO). Jede neue Fassung braucht eine dokumentierte Kenntnisnahme.
Nicht für Verarbeitungen, die für das Arbeitsverhältnis vertraglich oder gesetzlich erforderlich sind. Die Datenschutzinformation ist eine Informationspflicht, und die Bestätigung des Erhalts ist keine Einwilligung. Eine Einwilligung kommt nur für zusätzliche, freiwillige Angebote in Betracht. Im Arbeitsverhältnis ist die Freiwilligkeit besonders sorgfältig zu prüfen.
Ja. Das DSK-Kurzpapier Nr. 19 enthält ein Muster für eine Verpflichtungserklärung. Als externer Datenschutzbeauftragter stellen wir unseren Mandanten darüber hinaus Vorlagen für alle Dokumente des Pakets bereit.
Teilweise. Die Datenschutzinformation für Beschäftigte sollte eigenständig bleiben, weil sie eine Informationspflicht erfüllt und keine Verhaltensregel ist. Mobiles Arbeiten, BYOD und Teile der KI-Regeln lassen sich dagegen gut als Abschnitte in die Datenschutz- und IT-Nutzungsrichtlinie integrieren. Die Kurzanweisung sollte trotzdem separat auf einer Seite verfügbar sein.
Nein. Eine Datenschutzschulung für Mitarbeiter vermittelt die Regeln, ersetzt aber keine dauerhaft verfügbare, verbindliche Anweisung. Umgekehrt beweist ein ausgehändigtes Dokument nicht, dass die Regeln verstanden wurden. Wirksam ist die Kombination aus beidem mit dokumentiertem Nachweis.
Die vier Grunddokumente braucht jedes Unternehmen mit Beschäftigten. Ihr Umfang richtet sich aber nach dem Risiko: Ein Dienstleister mit 30 Beschäftigten kommt mit kurzen Fassungen und wenigen Zusätzen aus.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen