Datenschutztag: aus Sensibilisierung eine dauerhafte Verbesserung machen

Eine Veranstaltung zur Sensibilisierung für Datenschutz ist nützlicher, wenn sie einen veränderten Prozess hinterlässt. Der nächste Europäische Datenschutztag ist der 28. Januar 2027. Nutzen Sie die Vorbereitungszeit, um eine Verbesserung auszuwählen, die das Team abschließen, nachweisen und aufrechterhalten kann.

Für die Leitung lautet die Frage nicht einfach, wie viele Beschäftigte teilnehmen. Sie lautet, welche Unsicherheit im Umgang mit personenbezogenen Daten die Organisation beseitigen wird, wer befugt ist, den Prozess zu ändern, und wie die Leitung erfährt, ob die Änderung einen Monat später noch funktioniert.

Eine sinnvolle Veranstaltung kann ein kurzes Briefing mit einer praktischen Übung verbinden. Beschäftigte lernen etwas Relevantes, Kunden erleben weniger Reibung, und das Unternehmen erhält einen Nachweis, dass ein Prozess funktioniert, nicht nur, dass eine Schulung stattgefunden hat.

Vor der Planung der Veranstaltung eine verantwortete Entscheidung treffen

Beginnen Sie mit einem bekannten Problem statt mit einem Veranstaltungskalender. Vielleicht findet das Support-Personal den Eskalationsweg für Datenschutzthemen nicht. Vielleicht werden Kundendaten ohne klare Zuständigkeit für die Löschung in einen gemeinsamen Ordner kopiert. Vielleicht wurde eine neue KI-Funktion eingeführt, ohne die Erläuterung für Kunden zu aktualisieren.

Wählen Sie ein Problem anhand von drei Fragen aus:

• Betrifft es Menschen? Priorisieren Sie unklare Datenverwendungen, unnötige Exposition oder Hürden bei der Ausübung von Rechten.
• Kann das Team eine sinnvolle Änderung abschließen? Eine abgegrenzte Korrektur ist nützlicher als eine ehrgeizige Initiative, die nach dem Workshop endet.
• Kann jemand sie aufrechterhalten? Benennen Sie vor Arbeitsbeginn eine prozessverantwortliche Person, eine prüfende Person und einen Prüftermin.

Die Leitung sollte die erforderliche Zeit und die nötigen Entscheidungen freigeben. Erfordert die Verbesserung Entwicklungsarbeit, geben Sie ihr einen vereinbarten Platz im Umsetzungsplan. Ändert sie die Aufbewahrung, beziehen Sie die für die Unterlagen verantwortliche Person und die Rechtsberatung ein, statt Beschäftigte zu bitten, Material eigenständig zu löschen.

Ist ein Datenschutzbeauftragter benannt, beziehen Sie ihn für unabhängige Beratung und Überwachung ein. Die Verantwortung für geschäftliche Entscheidungen bleibt bei der Leitung und den zuständigen Prozessverantwortlichen; der Datenschutzbeauftragte sollte nicht für die Festlegung von Zwecken und Mitteln der Verarbeitung verantwortlich gemacht werden.

Eine Aktivität wählen, die mit echter Arbeit verbunden ist

Die folgenden Optionen sind praktische Empfehlungen, kein vorgeschriebenes Programm für den Datenschutztag. Wählen Sie ein Hauptergebnis; nutzen Sie die anderen nur, wenn sie es unterstützen.

Halten Sie die Aktivitäten so klein, dass sie abgeschlossen werden können. Verwenden Sie synthetische oder bereinigte Datensätze, entfernen Sie Kennungen aus Screenshots und beschränken Sie die Teilnahme auf Personen, die die Informationen benötigen. Eine Sensibilisierungsübung sollte keine unnötige Exposition personenbezogener Daten erzeugen.

Transparenz zur Aufgabe machen, nicht zum Wettbewerb im Richtlinienschreiben

Transparenz ist ein nützlicher Schwerpunkt, weil sie rechtliche Pflichten mit dem alltäglichen Kundenerlebnis verbindet. Nach den Artikeln 12 bis 14 DSGVO müssen die maßgeblichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache bereitgestellt werden. Welche Informationen erforderlich sind und wann sie zu geben sind, hängt von der Verarbeitung ab und davon, wie die Daten erhoben werden.

Wählen Sie eine Customer Journey: ein Konto eröffnen, den Support kontaktieren, sich auf eine Stelle bewerben oder sich für Marketing anmelden. Bitten Sie eine Person, die den Prozess nicht kennt, die Datenschutzinformationen zu finden und zu beantworten:

• Welche Informationen erhebt die Organisation, und warum?
• Wer erhält sie, einschließlich relevanter Anbieter?
• Wie lange werden sie aufbewahrt, oder wie wird die Aufbewahrungsdauer bestimmt?
• Welche Wahlmöglichkeiten und Rechte gibt es, und wo kann die Person um Hilfe bitten?

Vergleichen Sie die Antworten mit dem tatsächlichen Prozess. Eine gut lesbare Erklärung ist dennoch irreführend, wenn sie einen Lieferanten auslässt oder eine Aufbewahrungsfrist beschreibt, an die sich die Systeme nicht halten.

Eine mehrstufige Erläuterung kann helfen: ein kurzer, kontextbezogener Hinweis bei der Erhebung, eine ausführlichere Erläuterung und zugängliche Details für Personen, die sie benötigen. Die kurze Ebene darf keine wesentlichen Informationen verbergen. Vermeiden Sie vage Beteuerungen wie „Ihre Privatsphäre ist uns wichtig“, wo eine konkrete Erklärung nötig ist.

Vereinbaren Sie, wie künftige Änderungen eine Überprüfung auslösen. Ein neuer Empfänger, ein neuer Zweck, eine neue KI-Funktion oder eine neue Aufbewahrungsregel sollte eine Bewertung von Hinweisen, Rechtsgrundlage und anderen relevanten Schutzmaßnahmen anstoßen. Wo die DSGVO Informationen vor einer Weiterverarbeitung für einen anderen Zweck verlangt, reicht eine nachträgliche Aktualisierung der Erklärung nicht aus. Mitteilungen sollten die tatsächliche Änderung erläutern, statt nur anzukündigen, dass sich eine Richtlinie geändert hat.

Betroffenenanfragen aus Sicht der Kunden üben

Eine Übung zu Auskunftsanfragen testet mehrere Teams zugleich: Support, Identitätsprüfung, Systemverantwortliche, Datenschutzprüfende und die sichere Übermittlung. Beginnen Sie mit einer kontrollierten Anfrage, die über einen gewöhnlichen Kundenkanal eingeht. Nehmen Sie nicht an, dass Menschen Ihr bevorzugtes Formular oder juristische Fachbegriffe verwenden.

Prüfen Sie, ob das Personal die Anfrage erkennt, ihren Eingang dokumentiert, sie richtig weiterleitet und relevante Informationen über Systeme und Lieferanten hinweg findet. Nehmen Sie eine Entscheidung über Informationen Dritter und einen Test der Übermittlungsmethode auf.

Artikel 12 DSGVO verlangt in der Regel eine Antwort innerhalb eines Monats. Eine Verlängerung um zwei weitere Monate kann möglich sein, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, doch die betroffene Person muss innerhalb des ersten Monats unter Angabe der Gründe informiert werden. Anträge sind grundsätzlich unentgeltlich, vorbehaltlich eng begrenzter Voraussetzungen für ein Entgelt oder eine Ablehnung. Zusätzliche Identitätsinformationen sollten im Verhältnis zu begründeten Zweifeln stehen und keine routinemäßige Forderung nach Ausweiskopien sein.

Ein Datenschutz-Dashboard kann geeignete Aktionen erleichtern, ist aber weder eine allgemeingültige gesetzliche Pflicht noch ein Ersatz für die Bearbeitung von Ausnahmen. Testen Sie, ob Menschen die Einstellungen finden, Marketingpräferenzen von anderen Verarbeitungen unterscheiden und Hilfe erhalten, wenn die Selbstbedienung versagt. Auch Löschanträge erfordern eine Bewertung: Nicht jeder Datensatz darf rechtmäßig sofort gelöscht werden.

Für einen ausführlicheren Übungsablauf nutzen Sie unseren Ablauf für Auskunftsanfragen.

KI einbeziehen, wo sie die Verwendung personenbezogener Daten verändert

Sensibilisierung für KI sollte mit einem konkreten Anwendungsfall beginnen, nicht mit einem allgemeinen Vortrag über Technologie. Fragen Sie Teams, ob Kundennachrichten, Bewerberdaten, Beschäftigteninformationen oder andere personenbezogene Daten in KI-Werkzeuge gelangen, einschließlich Funktionen, die in bestehende Software eingebettet sind.

Dokumentieren Sie für den ausgewählten Anwendungsfall Eingaben, Anbieter, Zweck, Ausgaben, Aufbewahrungsregelungen und betroffene Personen. Klären Sie, ob die Ausgaben das Personal lediglich unterstützen oder folgenreiche Entscheidungen beeinflussen. Prüfen Sie Anbieterbedingungen und Konfiguration, statt anzunehmen, dass ein vertrauter Softwarelieferant Daten nur wie erwartet nutzt.

Die Übersicht der Europäischen Kommission zur KI-Verordnung nennt den 2. August 2026 als allgemeinen Geltungsbeginn, einschließlich der Transparenzbestimmungen. Die genauen Pflichten hängen vom System, vom Anwendungsfall und von der Rolle der Organisation ab. Artikel 50 enthält spezifische Transparenzpflichten; das bedeutet nicht, dass jede KI-gestützte interne Aufgabe dieselbe Offenlegung gegenüber Kunden erfordert.

Bewerten Sie bei einem kundenorientierten Assistenten die anwendbare Offenlegungspflicht und erklären Sie zutreffend, wann Nutzende mit KI interagieren. Einen klaren Weg zum menschlichen Support anzubieten, ist eine praktische Serviceempfehlung, keine allgemeingültige Regel für jedes KI-System.

Bewerten Sie davon getrennt die Pflichten nach der DSGVO. Artikel 22 betrifft bestimmte ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidungen, die rechtliche Wirkung entfalten oder die betroffene Person in ähnlicher Weise erheblich beeinträchtigen, mit Ausnahmen und Schutzmaßnahmen. Er ist keine pauschale Regel für jede KI-Empfehlung. Die Leitung sollte vor dem Einsatz oder bei wesentlichen Änderungen eine Prüfung verlangen, statt es dem Personal zu überlassen, die Grenze während einer Sensibilisierungsveranstaltung selbst abzuleiten.

Beschäftigten den nächsten Schritt beibringen, den sie tatsächlich gehen können

Schulungen sind am nützlichsten, wenn sie eine Entscheidung üben. Geben Sie dem Support-Personal eine realistische Datenschutzfrage, Führungskräften eine vorgeschlagene Produktänderung und dem Betriebspersonal ein Szenario mit einer fehlgeleiteten E-Mail. Fragen Sie jede Gruppe, was sie als Nächstes tun und wo sie es dokumentieren würde.

Bei der E-Mail-Übung sollten Beschäftigte wissen, wie sie zeitnah melden, relevante Fakten sichern und genehmigten Anweisungen zur Eindämmung folgen. Sie sollten weder allein entscheiden, ob ein Vorfall meldepflichtig ist, noch ihn verschweigen, nachdem sie eine Nachricht zurückgerufen haben.

Nach den Artikeln 33 und 34 DSGVO müssen Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihnen bekannt wurde, der zuständigen Aufsichtsbehörde melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Auftragsverarbeiter melden Verletzungen dem Verantwortlichen unverzüglich. Ein hohes Risiko kann außerdem eine Benachrichtigung der betroffenen Personen erfordern, vorbehaltlich von Ausnahmen. Dokumentieren Sie die Begründung, wenn keine Meldung erforderlich ist.

Das Ergebnis der Schulung ist daher ein nutzbarer Meldeweg und ein fundierter Bewertungsprozess, nicht allein ein Quizergebnis.

Praxisbeispiel: eine unverwaltete Kopie von Kundendaten beseitigen

Veranschaulichende Annahmen: Ein kleines Softwareunternehmen exportiert Support-Datensätze für eine wöchentliche Analyse in einen gemeinsamen Ordner. Der Export enthält Kontaktdaten und Freitextnachrichten. Der Ordner hat vererbte Zugriffsrechte, und niemand ist für die Löschung zuständig. Die Leitung wählt diesen Datenfluss für den Datenschutztag aus; es handelt sich um ein hypothetisches Beispiel, nicht um das Ergebnis eines Secani-Kunden.

Vor der Veranstaltung erstellen die Support-Leitung und die Systemverantwortliche eine bereinigte Stichprobe und dokumentieren den aktuellen Exportweg. Die Datenschutzberatung benennt Fragen zu Zweck, Datenminimierung, Aufbewahrung und Lieferantenzugriff. Der Workshop fragt: Wo entsteht jede Kopie, wer nutzt sie, und wie wird sie entfernt?

Die Teilnehmenden stellen fest, dass ein alter Analyseprozess keine Freitextnachrichten mehr benötigt. Sie schlagen einen engeren Export, eine rollenbasierte Zugriffsgruppe und eine festgelegte Aufbewahrungsregel vor. Die Leitung genehmigt die Prozessänderung, vorbehaltlich der Klärung etwaiger rechtlicher Aufbewahrungspflichten.

Das Team testet den überarbeiteten Export, prüft, dass ausgeschlossene Felder fehlen, entfernt unnötige Ordnerzugriffe und testet die Löschung an geeigneten Beispieldatensätzen. Lässt sich die automatisierte Löschung nicht sofort umsetzen, dokumentiert die verantwortliche Person einen vorläufigen kontrollierten Prozess und einen Umsetzungstermin, statt das Thema für abgeschlossen zu erklären.

Das Abschlusspaket enthält die aktualisierte Datenflusskarte, die genehmigte Feldliste, den Nachweis der Zugriffsänderung, die Aufbewahrungsentscheidung, das Testergebnis und die benannte verantwortliche Person. Einen Monat später prüft die prüfende Person einen frischen Export und bestätigt, dass sich keine alten löschfähigen Dateien mehr ansammeln. Die dauerhafte Verbesserung ist ein veränderter Prozess im Umgang mit Daten, nicht der Workshop selbst.

Messen, was nach der Veranstaltung bleibt

Legen Sie vor Beginn der Aktivität fest, was als abgeschlossen gilt. „Datenschutzerklärung aktualisiert“ ist schwächer als „die Erklärung entspricht dem ausgewählten Datenfluss, wurde freigegeben, und die Teilnehmenden können sie finden und erklären“. „Zugriffe überprüft“ ist schwächer als der Nachweis, dass genehmigte Entfernungen umgesetzt wurden.

Bewahren Sie eine kompakte Dokumentation der Verbesserung auf:

• Das Problem, der Geltungsbereich und die möglicherweise betroffenen Personen.
• Die verantwortliche Person und die freigebende prüfende Person.
• Die vereinbarte Änderung und offene Ausnahmen.
• Nachweise der Umsetzung und der Tests.
• Der nächste Prüftermin und was eine frühere Überprüfung auslöst.

Die Teilnehmerzahl hilft, die Reichweite zu verstehen, zeigt aber nicht, dass sich ein Prozess verbessert hat. Wählen Sie Kennzahlen, die an das Ergebnis gebunden sind: offene Zuständigkeitsfragen, gescheiterte Übergaben bei Anfragen, unnötige Zugriffsmitgliedschaften oder Datensätze, die eine genehmigte Aufbewahrungsfrist überschreiten. Beschränken Sie den Zugriff auf Nachweise mit personenbezogenen Daten und vermeiden Sie es, unnötige Kopien nur aufzubewahren, um Sorgfalt zu belegen.

Jetzt vorbereiten und die Änderung später erneut prüfen

Nutzen Sie die Vorbereitungszeit, um den Prozess auszuwählen, die Verantwortung zu bestätigen und bereinigtes Material zusammenzustellen. Vereinbaren Sie vor dem 28. Januar die Abschlusskriterien und reservieren Sie Zeit für die Umsetzung. Führen Sie am Tag selbst die Übung durch und dokumentieren Sie die Entscheidungen. Weisen Sie unsichere Antworten als Folgearbeit zu, statt sie in Besprechungsnotizen verschwinden zu lassen.

Secani kann diese Nacharbeit innerhalb des umfassenderen Compliance-Programms unterstützen: die relevanten Systeme und Anbieter modellieren, Nachweise mit Anforderungen oder Maßnahmen verknüpfen, Verantwortliche zuweisen und Lücken in Aufgaben überführen. Halten Sie die menschliche Prüfung KI-gestützter Vorschläge und Schlussfolgerungen zu Nachweisen ausdrücklich fest und bewahren Sie Quellen, Freigaben und Entscheidungskontext.

Legen Sie eine Überprüfung einen Monat nach der Veranstaltung fest. Fragen Sie, ob die Änderung mit frischen Datensätzen funktioniert und ob noch jemand dafür verantwortlich ist. Beginnen Sie mit einer Aktivität, die eine bekannte Unsicherheit beseitigt, und entscheiden Sie dann anhand des Ergebnisses, was als Nächstes Aufmerksamkeit verdient.