Sensibilisierung und Schulung der Mitarbeitenden – Ein Datenschutz-Faktor für Pensionskassen

Pensionskassen speichern und bearbeiten viele Personendaten von Versicherten – darunter auch besonders sensible Daten wie Gesundheitsangaben. Der Schutz dieser Daten ist wichtig. Doch er kann nur dann wirksam sein, wenn auch die Mitarbeitenden der Pensionskasse im Datenschutz entsprechend geschult und sensibilisiert sind. Denn sie nutzen und bearbeiten Personendaten. Durch ihr Fehlverhalten entstehen Risiken für die Datensicherheit. Deshalb sind Schulungen und Aufklärung der Belegschaft ein zentraler Teil jeder Sicherheitsstrategie.

  1. Warum Sensibilisierung? – Die Risiken menschlicher Fehler

Ein Großteil der Datenschutzverletzungen resultiert nicht aus bösartiger Absicht, sondern aus Unwissenheit, Fehlern oder Nachlässigkeit. Typische Beispiele sind:

  • E-Mails mit sensiblen Daten werden versehentlich an falsche Empfänger versendet
  • Passwörter werden unsicher aufbewahrt oder geteilt
  • Phishing-Mails werden geöffnet
  • Papierakten werden unsachgemäß entsorgt

Solche Vorfälle gefährden nicht nur das Vertrauen der Versicherten, sondern auch die Rechtssicherheit der Pensionskasse. Ein einziger Fehler kann eine Meldepflicht beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) auslösen – mit entsprechendem finanziellen und Reputationsrisiko.

  1. Schulungen: ein Element der organisatorischen Sicherheit

Gemäß dem Schweizer Datenschutzgesetz sind Pensionskassen als Verantwortliche verpflichtet, geeignete technische und organisatorische Massnahmen zu treffen. Die Sensibilisierung von Mitarbeitenden in Datenschutz-Schulungen ist eine wichtige organisatorische Massnahme. Wer Personendaten bearbeitet, muss u.a. wissen:

  • welche Grundsätze der Datenbearbeitung zu beachten sind und welche Personendaten als besonders schützenswert gelten;
  • welche Personendaten zur Aufgabenerfüllung benötigt werden und auf welche Daten zugegriffen werden darf;
  • welche internen Regeln die Pensionskasse zum Schutz von Personendaten erlassen hat und wie diese Regeln eingehalten werden können;
  • welche Risiken bei der Datenbearbeitung bestehen und wie sie minimiert werden können;
  • welche Rechte betroffene Personen haben und wie die Bearbeitung von Anfragen der Betroffenen intern abläuft;
  • was bei Verdacht auf eine Datenschutzverletzung zu tun ist;
  • welche Ansprechpartner bei Fragen zum Datenschutz intern weiterhelfen können.
  1. Best Practices für effektive Sensibilisierung und Schulung:

Um sicherzustellen, dass Ihre Schulungsmaßnahmen wirken und nicht als lästige Pflicht empfunden werden, sollten Sie einige Aspekte beachten:

  • Alle neuen Mitarbeitenden sollte vor der ersten Datenbearbeitung über die internen Datenschutzrichtlinien und Verhaltensregeln der Pensionskasse informiert werden.
  • Nicht alle Mitarbeitenden benötigen dieselben Informationen. Schulungsinhalte sollten entsprechend den Aufgaben angepasst präsentiert werden. Zum Beispiel wird IT-Personal besonders zur technischen Sicherheit, der Vertraulichkeit von Telekommunikation und der Interaktion mit Auftragsbearbeitern geschult. Mitarbeiter des technischen Service werden zur datenschutzkonformen Verwaltung von Versichertendaten unterwiesen. HR-Mitarbeiter werden zur datenschutzkonformen Bearbeitung von Personaldaten sensibilisiert.
  • Ein einmaliges Seminar reicht nicht aus. Neue gesetzliche Vorgaben, Veränderungen in den betrieblichen Abläufen und neue Bedrohungen machen Auffrischungen sinnvoll. Datenschutz-Schulungen sollten daher mindestens jährlich wiederholt werden.
  • Schulungsinhalte sollten praxisnah sein und konkrete Beispiele aus dem Arbeitsumfeld der Pensionskasse verwenden.

Die praktische Erfahrung zeigt, dass interaktive Workshops und Präsenzschulungen die effektivste und nachhaltigste Form der Sensibilisierung sind. Sie bieten Raum für Erfahrungsaustausch, tiefergehende Diskussionen und das Beantworten individueller Fragen. Präsenzschulungen können jedoch mit eLearnings, Tests und Feedback-Runden ergänzt werden.