Datenschutzschulung für Mitarbeiter: Pflicht, Inhalte und Nachweis

Ein ausdrückliches „Schulungsgebot“ für alle Beschäftigten findet sich in der DSGVO nicht. Die Pflicht folgt aber aus mehreren Vorschriften, die zusammen kaum Spielraum lassen:

Hinzu kommt die Verpflichtung auf Vertraulichkeit. Das alte „Datengeheimnis“ aus § 5 BDSG a. F. gibt es für private Unternehmen so nicht mehr; § 53 BDSG regelt ein Datengeheimnis nur für Verarbeitungen zur Strafverfolgung und Gefahrenabwehr. Üblich und empfehlenswert ist trotzdem, Beschäftigte bei Eintritt schriftlich auf die Vertraulichkeit zu verpflichten und diese Verpflichtung mit einer Erstschulung zu verbinden. Für Berufsgeheimnisträger, etwa Arztpraxen oder Kanzleien, kommen zusätzliche Verschwiegenheitspflichten hinzu (§ 203 StGB).

Zu schulen sind alle Personen, die unter Ihrer Verantwortung personenbezogene Daten verarbeiten: Angestellte, Auszubildende, Aushilfen, Leiharbeitskräfte und Praktikantinnen und Praktikanten. Auch wer „nur“ Kundendaten im CRM sieht oder Bewerbungen weiterleitet, verarbeitet personenbezogene Daten.

• Bei Eintritt: Erstschulung zusammen mit der Verpflichtung auf Vertraulichkeit, bevor Zugriff auf Systeme mit personenbezogenen Daten besteht. Wie Sie das in die Einarbeitung einbauen, beschreibt der Ratgeber zur Erstunterweisung.
• Regelmäßig: Eine gesetzliche Frist gibt es nicht. Eine jährliche Auffrischung hat sich als Standard etabliert und wird von Datenschutzbeauftragten und in Audits häufig erwartet.
• Anlassbezogen: nach einer Datenpanne, bei neuen Systemen oder Verfahren (etwa der Einführung von KI-Werkzeugen), bei geänderten internen Regeln oder einem Wechsel in einen Bereich mit sensiblen Daten.

Wer Wiederholungen für mehrere Pflichtthemen plant, findet im Ratgeber Wie oft muss unterwiesen werden? eine Übersicht, wie Sie Intervalle bündeln, ohne die Belegschaft zu überlasten.

Die Grundschulung sollte kurz, konkret und an Ihre Abläufe angepasst sein. Diese Inhalte gehören hinein:

• Personenbezogene Daten erkennen: Was alles dazugehört – vom Namen über die IP-Adresse bis zum Kfz-Kennzeichen – und was besondere Kategorien nach Art. 9 DSGVO sind, etwa Gesundheitsdaten.
• Die Grundsätze aus Art. 5: Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Vertraulichkeit – übersetzt in Alltagsregeln.
• Weitergabe: an Kolleginnen und Kollegen, an Dienstleister, an Behörden, ins Ausland. Wann eine Weitergabe zulässig ist und wann Rücksprache nötig ist.
• E-Mail, Telefon, Homeoffice: Verteiler und BCC, Identität am Telefon prüfen, Bildschirmsperre, Ausdrucke, Gespräche in der Bahn.
• Betroffenenrechte erkennen: Auskunft, Berichtigung, Löschung, Widerspruch. Beschäftigte müssen eine Anfrage nicht beantworten können, aber sie sofort richtig weiterleiten – die Antwortfrist beträgt in der Regel einen Monat (Art. 12 Abs. 3).
• Datenpannen melden: Was eine Datenpanne ist, an wen sie intern sofort gemeldet wird und warum Eile geboten ist. Der Verantwortliche hat für die Meldung an die Aufsichtsbehörde grundsätzlich 72 Stunden (Art. 33).
• KI-Werkzeuge: welche Daten nicht eingegeben werden dürfen. Mehr dazu im Ratgeber KI-Kompetenz-Schulung.
• Ansprechpersonen: Datenschutzbeauftragte, Datenschutzkoordination, IT-Sicherheit.

Die größten Risiken liegen in den Abteilungen, die viel mit Daten von Kundinnen, Bewerbern oder Beschäftigten arbeiten. Dort lohnen sich zusätzliche Module mit eigenen Fallbeispielen:

Besonders wirksam sind Szenarien, in denen Lernende entscheiden müssen: Darf ich der Anruferin, die sich als Ehefrau eines Kunden ausgibt, die Lieferadresse nennen? Solche Fälle prägen sich stärker ein als Paragrafen.

Typische Fehler bei Datenschutzschulungen

• Paragrafen statt Praxis: Eine Aufzählung der DSGVO-Artikel hilft im Alltag kaum. Beschäftigte brauchen Regeln für ihre konkreten Aufgaben.
• Einmal bei Eintritt, dann nie wieder: Ohne Auffrischung verblassen Regeln, und neue Werkzeuge bleiben ungeregelt.
• Kein Verständnistest: Eine reine Teilnahmebestätigung belegt nicht, dass Inhalte angekommen sind.
• Meldeweg unklar: Wer eine Datenpanne bemerkt, muss wissen, wen er sofort informiert – auch am Wochenende.

Die DSGVO schreibt kein Format vor. Entscheidend ist, dass die Inhalte ankommen und dass Sie das belegen können. In der Praxis kombinieren viele Unternehmen beide Wege:

• E-Learning für die Grundschulung und die jährliche Auffrischung: zeitlich flexibel, für alle gleich, mit Test und automatischem Nachweis.
• Präsenz oder Videokonferenz für Abteilungen mit hohem Risiko, für Führungskräfte und nach Vorfällen – mit Raum für Fragen und Diskussion.
• Kurze Impulse zwischen den Schulungen, etwa ein Fallbeispiel pro Quartal, halten das Thema präsent.

Wichtig bei Online-Schulungen: Beschäftigte brauchen eine Möglichkeit, Rückfragen zu stellen, und das Verständnis sollte geprüft werden. Worauf es bei digitalen Formaten generell ankommt, erklärt der Ratgeber zur Online-Unterweisung.

1. 1

   Bestand klären

   Welche Bereiche verarbeiten welche Daten? Das Verzeichnis der Verarbeitungstätigkeiten liefert dafür eine gute Grundlage.

2. 2

   Inhalte festlegen

   Grundschulung für alle, Vertiefungen für die Abteilungen mit hohem Risiko. Nutzen Sie Ihre eigenen Richtlinien und echte Fälle aus dem Haus.

3. 3

   Mit der oder dem Datenschutzbeauftragten abstimmen

   Lassen Sie die Inhalte fachlich prüfen und freigeben, bevor sie verteilt werden.

4. 4

   Zuweisen und erinnern

   Weisen Sie die Schulung mit Frist zu, auch neuen Beschäftigten bei Eintritt, und erinnern Sie bei Verzug.

5. 5

   Nachweisen und wiederholen

   Speichern Sie Teilnahme, Kursfassung, Testergebnis und Bestätigung pro Person und planen Sie die nächste Auffrischung.

Lehrwerk erstellt die Schulung aus Ihren Datenschutzrichtlinien mit Quellenangabe, Szenarien und Abschlusstest; eine Vorlage für die DSGVO-Grundschulung bringt die Gliederung mit. Ihre Datenschutzbeauftragte gibt die Lektionen frei, danach weisen Sie den Kurs mit jährlicher Wiederholung zu und erhalten pro Person einen Nachweis.

Ein belastbarer Nachweis beantwortet für jede Person: Wer wurde wann worüber geschult, in welcher Fassung, und wurde der Inhalt verstanden? Konkret:

• Name, Abteilung bzw. Funktion
• Datum und Dauer der Schulung
• Thema, Inhalte oder Kursversion
• Ergebnis der Verständnisprüfung
• Bestätigung der Kenntnisnahme interner Richtlinien
• Durchführende bzw. freigebende Person
• nächste Fälligkeit

Die Struktur gleicht dem Nachweis im Arbeitsschutz. Unsere kostenlose Vorlage für den Unterweisungsnachweis eignet sich auch für Datenschutzschulungen in Präsenz. Eine feste Aufbewahrungsfrist schreibt die DSGVO für Schulungsnachweise nicht vor; bewahren Sie sie so lange auf, wie Sie damit Ihre Maßnahmen belegen müssen, und regeln Sie die Löschung in Ihrem Löschkonzept.