Datenschutzschulung für Mitarbeitende: Pflicht, Inhalt, Nachweis

Eine feste gesetzliche Schulungspflicht mit vorgeschriebenem Turnus gibt es nicht – trotzdem kommt kein Unternehmen daran vorbei. Die Pflicht ergibt sich mittelbar: aus Art. 32 Abs. 4 DSGVO, der verlangt, dass Beschäftigte personenbezogene Daten nur auf Weisung verarbeiten, und aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, die einen Nachweis verlangt.

Wo genau steht die Schulungspflicht?

An mehreren Stellen, aber nirgends als ausformulierte Vorschrift mit Fristen:

• Art. 39 Abs. 1 lit. b DSGVO weist dem Datenschutzbeauftragten ausdrücklich die Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeiter zu. Das ist seine Aufgabe, nicht seine freiwillige Leistung.
• Art. 29 DSGVO verlangt, dass unterstellte Personen Daten nur auf Weisung des Verantwortlichen verarbeiten. Wer die Weisungen nicht kennt, kann sie nicht befolgen.
• Art. 32 Abs. 4 DSGVO verpflichtet den Verantwortlichen, genau das sicherzustellen.
• Art. 5 Abs. 2 DSGVO verlangt, die Einhaltung nachweisen zu können – also die Schulung zu dokumentieren.

Wie oft muss geschult werden?

Die DSGVO nennt keinen Turnus. In der Praxis hat sich ein jährlicher Rhythmus etabliert, weil er sich gut mit anderen Unterweisungen bündeln lässt und weil eine Schulung, die vier Jahre zurückliegt, im Prüfungsfall schwer als wirksam zu verteidigen ist.

Anlassbezogen sollte zusätzlich geschult werden: bei Eintritt neuer Beschäftigter, bei Einführung neuer Systeme und nach einem Vorfall. Gerade nach einer Datenpanne ist die Schulung eine der Abhilfemaßnahmen, die nach Art. 33 Abs. 3 lit. d DSGVO in die Meldung gehören.

Was gehört inhaltlich hinein?

Die Grundlagen, aber kurz

Was personenbezogene Daten sind, was besondere Kategorien nach Art. 9 DSGVO sind, welche Grundsätze nach Art. 5 gelten. Das ist der Teil, den alle erwarten – und der am wenigsten bewirkt, wenn er zu lang gerät.

Die eigenen Abläufe

Hier entscheidet sich, ob eine Schulung wirkt. Welche Systeme setzen wir ein, wer darf worauf zugreifen, wie gehen wir mit E-Mail-Verteilern um, was passiert mit Unterlagen auf dem Schreibtisch, wie melden wir einen Vorfall intern und an wen.

Betroffenenrechte erkennen

Ein Auskunftsersuchen nach Art. 15 DSGVO kommt selten als förmliches Schreiben. Es kommt per E-Mail an irgendeine Adresse, formlos, oft ohne das Wort „Auskunft“. Die Frist nach Art. 12 Abs. 3 DSGVO läuft trotzdem – ab Eingang, nicht ab Erkennen.

Der Ernstfall

Wer eine Datenpanne bemerkt, muss wissen, wen er sofort informiert. Die 72-Stunden-Frist nach Art. 33 Abs. 1 DSGVO beginnt mit der Kenntnis des Verantwortlichen – und die entsteht in der Regel dadurch, dass ein Mitarbeiter etwas meldet.

Wie sieht ein belastbarer Nachweis aus?

Im Prüfungsfall zählt nicht, dass geschult wurde, sondern dass es belegbar ist. Bewährt hat sich:

• Teilnehmerliste mit Datum und Unterschrift oder Bestätigung im System
• Die verwendeten Unterlagen, archiviert im Stand der Schulung
• Bei E-Learning: Protokoll über Abschluss und Testergebnis
• Die Verpflichtung auf Vertraulichkeit, unterschrieben und abgelegt

Eine Präsentation ohne Teilnehmerliste ist kein Nachweis. Eine Teilnehmerliste ohne Datum auch nicht.

Präsenz oder online?

Beides ist zulässig, die DSGVO macht keine Vorgabe. In kleinen Teams wirkt eine Präsenzschulung erfahrungsgemäß stärker, weil konkrete Fälle aus dem eigenen Betrieb besprochen werden können – genau der Teil, der hängen bleibt. Bei verteilten Standorten und hoher Fluktuation ist E-Learning der praktikablere Weg, vor allem für neue Beschäftigte.

Wer schult?

Ist ein Datenschutzbeauftragter benannt, gehört die Schulung nach Art. 39 Abs. 1 lit. b DSGVO zu seinen Aufgaben. Wir übernehmen das als Teil der laufenden Betreuung – vor Ort in Stadt und Landkreis Osnabrück oder online. Was sonst noch dazugehört, steht unter Externer Datenschutzbeauftragter, die Preisfaktoren unter Kosten.

Fragen zur Schulungsplanung? 05406 500 4210 oder über das Kontaktformular.

Häufige Fragen

Ist eine Datenschutzschulung gesetzlich vorgeschrieben?

Nicht als eigenständige Vorschrift mit festem Turnus. Die Pflicht ergibt sich aus Art. 29 und Art. 32 Abs. 4 DSGVO in Verbindung mit der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Wie oft muss geschult werden?

Die DSGVO nennt keinen Turnus. Üblich ist eine jährliche Wiederholung, ergänzt um anlassbezogene Schulungen bei neuen Beschäftigten, neuen Systemen und nach Vorfällen.

Müssen alle Beschäftigten geschult werden?

Alle, die an Verarbeitungsvorgängen beteiligt sind – Art. 39 Abs. 1 lit. b DSGVO stellt darauf ab. In der Praxis betrifft das nahezu jede Rolle, die mit Kunden-, Bewerber- oder Beschäftigtendaten arbeitet.

Reicht eine E-Learning-Schulung aus?

Ja, sofern Inhalt und Nachweis stimmen. Entscheidend ist nicht das Format, sondern dass die Beschäftigten die Abläufe im eigenen Betrieb kennen und die Teilnahme dokumentiert ist.

Was ist die Verpflichtung auf Vertraulichkeit?

Die schriftliche Zusage der Beschäftigten, personenbezogene Daten nur weisungsgemäß zu verarbeiten. Sie ergänzt die Schulung und gehört in die Personalakte.