Der hessische Datenschutzbeauftragte hat im Sommer 2020 eine Geldbuße für verspätete Data-Breach-Meldung verhängt, unter anderem auch deshalb, weil die Mitarbeiter seit dem 25.05.2018 nicht geschult wurden. Die Mitarbeiter konnten also nichts von der Verpflichtung zur schnellen Meldung wissen.
Quelle: Tätigkeitsbericht Hessischer DSB 2019, S. 136/137
E-Learning ist eine gute Methode, zweitaufwändige Präsenzschulungen zu vermeiden. So kann sich der Datenschutzbeauftragte auf das Wesentliche und auf besondere Zielgruppen spezialisieren.
Sofern es in einem Unternehmen keinen bestellten Datenschutzbeauftragten gibt, entfällt die Schulungsverpflichtung nicht: in dem Fall ist es Aufgabe der Geschäftsleitung selbst, für einen ausreichenden Schulungsstatus zu sorgen.
Die Häufigkeit der Weiterbildung ist nicht gesetzlich kodifiziert. In der Praxis wird i.d.R. eine jährliche Schulung angestrebt, jedoch sind auch Zeiträume von 24 Monaten durchaus üblich. Durch eine Leistungsfähige eLearning-Plattform (oder auch LMS – Learning Management System) kann die Einhaltung der Schulungsfrequenz automatisiert überwacht werden. Der Mitarbeiter erhält nach definierter Zeit eine automatische Nachricht zur Wiederholung der der eLearning-Schulung.
In dem eLearning zum Datenschutz sollten Mitarbeiter insbesondere mit den Verantwortlichkeiten im Hause vertraut gemacht werden und die Notwendigkeit der schnellen Weitergabe von Data-Breach-Meldungen, aber auch von Betroffenenanfragen in die richtigen Kanäle kennen. Hierzu sollten die Schulungsinhalte die internen Kontaktdaten und Links zu den internen Meldeformularen oder Vorgehensweisen im Intranet enthalten.
Daneben bietet es sich an, auch andere Compliance- und Sicherheitsthemen via eLearning zu schulen, etwa regelmäßige Updates zur IT-Sicherheits-Bedrohungslage oder Fragen von Anti-Diskriminierung und Anti-Korruption.