Datenschutzschulung für Mitarbeiter nach DSGVO

Datenschutzschulung Pflicht: was die DSGVO verlangt

Eine Datenschutzschulung für Mitarbeiter ist in der Sache Pflicht, ob Sie sie Datenschutz-Schulung, DSGVO-Schulung oder Unterweisung nennen. Die DSGVO enthält zwar keinen einzelnen Artikel, der Schulungen ausdrücklich anordnet. Die Pflicht ergibt sich aber aus mehreren Vorschriften zusammen. Wer personenbezogene Daten verarbeitet, muss dafür sorgen, dass die Beschäftigten die Regeln kennen. Und er muss das nachweisen können.

• Art. 32 Abs. 4 DSGVO: Der Verantwortliche unternimmt Schritte, damit ihm unterstellte Personen Daten nur auf seine Anweisung verarbeiten. Eine Anweisung wirkt nur, wenn sie bekannt ist und verstanden wird.
• Art. 24 Abs. 1 DSGVO: Der Verantwortliche setzt geeignete technische und organisatorische Maßnahmen um. Schulung und Sensibilisierung gehören zu den organisatorischen Maßnahmen.
• Art. 5 Abs. 2 DSGVO: Die Rechenschaftspflicht verlangt, dass Sie die Einhaltung der Grundsätze nachweisen. Ohne dokumentierte Schulung fehlt ein wichtiger Baustein dieses Nachweises.
• Art. 39 Abs. 1 lit. b DSGVO: Der Datenschutzbeauftragte überwacht die Einhaltung des Datenschutzes, ausdrücklich einschließlich der Sensibilisierung und Schulung der an den Verarbeitungen beteiligten Mitarbeiter.

Für Gesundheitsdaten und andere besondere Kategorien nennt § 22 Abs. 2 Nr. 3 BDSG die Sensibilisierung der Beteiligten ausdrücklich als Schutzmaßnahme. Arzt- und Zahnarztpraxen in der vertragsärztlichen Versorgung sind zudem an die IT-Sicherheitsrichtlinie nach § 390 SGB V gebunden. Sie umfasst Maßnahmen zur Sensibilisierung der Mitarbeitenden. Mehr dazu auf der Seite Datenschutz in der Arztpraxis.

Warum Schulungen Datenpannen verhindern

Viele Datenpannen beginnen mit einem einzigen Handgriff: eine E-Mail an den falschen Empfänger, ein offener Verteiler statt Blindkopie, ein Klick auf einen gefälschten Link oder ein ungesperrter Bildschirm. Technik allein verhindert solche Fehler nicht. Beschäftigte, die typische Risiken kennen, erkennen sie früher und melden Vorfälle schneller. Das verschafft Ihnen Zeit, wenn eine Meldefrist läuft, und es senkt die Zahl der Vorfälle insgesamt.

Datenschutz-Unterweisung, Verpflichtung und Schulung

Im Alltag werden drei Begriffe oft vermischt. Sie ergänzen sich, ersetzen sich aber nicht.

Wie die Verpflichtung konkret aussieht, erklärt der Artikel Müssen Mitarbeiter auf Datenschutz verpflichtet werden?

Wer muss im Datenschutz geschult werden?

Geschult werden alle Personen, die unter Ihrer Leitung Zugang zu personenbezogenen Daten haben. So beschreibt Art. 29 DSGVO den Kreis derer, die Daten nur auf Ihre Weisung verarbeiten dürfen. Entscheidend ist der Zugriff auf Daten, nicht die Art des Vertrags.

• Beschäftigte in Voll- und Teilzeit, auch im Homeoffice
• Auszubildende, Praktikanten und Werkstudierende
• Aushilfen und Minijobber, etwa am Empfang oder im Versand
• Leiharbeitskräfte, soweit sie in Ihrem Betrieb mit Daten arbeiten
• Geschäftsleitung und Führungskräfte, die Weisungen geben und bei Datenpannen entscheiden

Externe Dienstleister mit Zugriff auf Ihre Daten schulen Sie in der Regel nicht selbst. Sie binden sie über einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Darin sichert der Dienstleister zu, dass seine eigenen Leute zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).

Wie oft müssen Mitarbeiter im Datenschutz geschult werden?

Das Gesetz nennt keinen festen Rhythmus. Maßstab ist das Risiko der jeweiligen Verarbeitung (Art. 24 Abs. 1 und Art. 32 Abs. 1 DSGVO). Bewährt hat sich dieser Rahmen:

• Bei Eintritt: Unterweisung und Verpflichtung vor dem ersten Zugriff, Grundlagenschulung in den ersten Wochen.
• Regelmäßig: eine Auffrischung in festen Abständen, in vielen Unternehmen jährlich. Bereiche mit sensiblen Daten schulen oft häufiger.
• Anlassbezogen: nach einer Datenpanne, bei neuer Software, bei neuen Aufgaben oder geänderter Rechtslage.

Eine ähnliche Logik kennt das Arbeitsschutzrecht. § 12 ArbSchG verlangt eine Unterweisung bei Einstellung, bei Veränderungen im Aufgabenbereich und bei neuer Technologie. Erforderlichenfalls ist sie regelmäßig zu wiederholen. Für den Datenschutz ist das ein guter Orientierungspunkt.

Wer führt die Datenschutzschulung durch?

Verantwortlich ist das Unternehmen selbst, also die Geschäftsleitung (Art. 24 Abs. 1 DSGVO). Sie legt fest, wer schult, und sorgt dafür, dass alle teilnehmen.

• Mit Datenschutzbeauftragtem: Der DSB überwacht nach Art. 39 Abs. 1 lit. b DSGVO auch die Sensibilisierung und Schulung der Beschäftigten. In der Praxis übernimmt er die Schulung oft selbst.
• Ohne Datenschutzbeauftragten: Die Pflicht zur Schulung bleibt. Die Geschäftsleitung schult selbst, beauftragt eine fachkundige Person im Haus oder einen externen Anbieter.
• Fortbildung des DSB: Auch der Datenschutzbeauftragte muss sein Wissen aktuell halten. Nach Art. 38 Abs. 2 DSGVO stellt ihm das Unternehmen die Ressourcen zur Erhaltung seines Fachwissens zur Verfügung.

Bei Datenkodex ist die jährliche Online-Schulung Teil der Betreuung als externer Datenschutzbeauftragter. Welche Aufgaben der DSB außerdem hat, erklärt der Artikel Aufgaben des Datenschutzbeauftragten nach Art. 39 DSGVO.

Themen der DSGVO-Schulung

Eine gute DSGVO-Schulung übersetzt Rechtsbegriffe in konkrete Handgriffe. Diese Themen gehören dazu:

• Grundlagen: was personenbezogene Daten sind, die Grundsätze nach Art. 5 DSGVO und wann eine Verarbeitung erlaubt ist.
• Phishing und Social Engineering: gefälschte E-Mails, Anrufe und Websites erkennen und richtig reagieren.
• Passwörter und Zugänge: sichere Passwörter, Passwortmanager, Anmeldung mit zweitem Faktor, festgehalten in einer Passwortrichtlinie nach DSGVO.
• Umgang mit Daten: speichern, versenden und löschen, Papierunterlagen, E-Mail-Verteiler, Ablage.
• Betroffenenrechte: Auskunftsersuchen erkennen und sofort weiterleiten, weil die Frist von einem Monat nach Art. 12 Abs. 3 DSGVO läuft.
• Datenpanne: was eine Verletzung des Schutzes ist und warum Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden erfolgen müssen. Mehr dazu unter Datenpanne melden.
• Homeoffice und mobiles Arbeiten: Bildschirmsperre, Telefonate, private Geräte.
• KI-Werkzeuge: welche Daten in Chatbots und Übersetzungsdienste gehören und welche nicht.

Datenschutzschulung für Mitarbeiter nach Zielgruppe

Nicht jede Person braucht dieselben Inhalte. Wir passen Tiefe und Beispiele an die Rolle an.

Neue Mitarbeitende

Kompakte Einführung: Verpflichtung, Grundregeln, Meldewege, Ansprechpartner. Ziel ist sicheres Verhalten ab dem ersten Tag.

Führungskräfte

Verantwortung, Weisungen, Umgang mit Beschäftigtendaten, Entscheidungen bei Datenpannen. Führungskräfte prägen, ob Regeln im Team gelebt werden.

IT und Administration

Berechtigungen, Protokollierung, Datensicherung und Löschung. Dazu Dienstleister und Auftragsverarbeitung nach Art. 28 DSGVO sowie Datenschutz durch Technikgestaltung nach Art. 25 DSGVO.

Personalabteilung

Bewerberdaten, Personalakte, Krankmeldungen, Aufbewahrung und Löschung. Hintergrund bietet der Artikel Was regelt der Beschäftigtendatenschutz?

Weitere Gruppen wie Vertrieb, Empfang, Pflege oder die Verwaltung einer Behörde schulen wir mit Fällen aus ihrem Arbeitsalltag.

Format: online, live per Videokonferenz

Wir schulen ausschließlich online, live per Videokonferenz. So erreichen wir verteilte Standorte, Homeoffice und Schichtbetrieb gleichermaßen, ohne Reisekosten und ohne feste Raumbuchung.

• Umfang: einmal im Jahr auf Ihre Anfrage, je nach Paket bis zu 4, 6 oder 8 Stunden.
• Organisation: Termin, Teilnehmende und Einladung organisieren Sie, wir stellen Inhalte und Durchführung.
• Zuschnitt: Beispiele aus Ihrer Branche und Ihren Systemen, getrennt nach Zielgruppen wie neue Mitarbeitende, Führungskräfte, IT oder Personal.
• Nachweis: Teilnahmeliste und Schulungsinhalte für Ihre Dokumentation.

Teilnahmenachweis und Dokumentation

Wer schult, muss das belegen können. Das folgt aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Kommt es zu einer Datenpanne oder zu einer Anfrage der Aufsichtsbehörde, zeigen Sie damit, dass Sie Ihre Beschäftigten angeleitet haben. Diese Angaben sollten vorliegen:

• Datum, Dauer und Format der Schulung
• Inhalte und Unterlagen in der verwendeten Fassung
• Namen der Teilnehmenden mit Bestätigung
• Ergebnis der Wissenskontrolle bei Online-Schulungen
• Liste der Personen, die noch fehlen, mit Nachholtermin
• nächster geplanter Termin

Wir stellen Teilnahmebestätigungen aus und liefern die Dokumentation so, dass Sie sie direkt zu Ihren Datenschutzunterlagen nehmen können. Welche Dokumente insgesamt dazugehören, zeigt der Artikel Welche Dokumentationspflichten bestehen insgesamt? Ob Ihre Unterlagen vollständig sind, prüft ein Datenschutz-Audit.

Was droht, wenn Mitarbeiter nicht geschult werden?

Ein eigenes Bußgeld nur für fehlende Schulungen kennt die DSGVO nicht. Fehlende Schulungen wirken sich aber an drei Stellen aus:

• Bußgeld wegen mangelnder Sicherheit: Die Anleitung der Beschäftigten gehört zu den Pflichten aus Art. 32 DSGVO. Für Verstöße gegen Art. 25 bis 39 DSGVO sieht Art. 83 Abs. 4 lit. a DSGVO Geldbußen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
• Höhe der Geldbuße: Die Aufsichtsbehörde berücksichtigt den Grad der Verantwortung und die nach Art. 25 und 32 DSGVO getroffenen Maßnahmen (Art. 83 Abs. 2 lit. d DSGVO). Dokumentierte Schulungen sprechen hier für Sie.
• Nachweis nach einer Datenpanne: Fragt die Behörde nach einem Vorfall nach, belegen Teilnahmelisten, dass Sie Ihre Beschäftigten angeleitet haben (Art. 5 Abs. 2 DSGVO).

Wie Aufsichtsbehörden Bußgelder bemessen, erklärt der Artikel Wie berechnen Aufsichtsbehörden die Bußgeldhöhe?

Zusatzthema: KI-Kompetenz nach Art. 4 KI-Verordnung

Setzt Ihr Unternehmen KI-Systeme ein, etwa Chatbots, Textgeneratoren oder KI-Funktionen in Bürosoftware, kommt Art. 4 der KI-Verordnung (EU) 2024/1689 hinzu. Die Vorschrift gilt seit dem 2. Februar 2025. In ihrer ersten Fassung verlangte sie von Anbietern und Betreibern, ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherzustellen.

Seit dem 27. Juli 2026 gilt eine geänderte Fassung durch die Digital-Omnibus-Verordnung zur KI (EU) 2026/1744. Anbieter und Betreiber müssen nun Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau je Person müssen sie nicht garantieren. Die Pflicht zu handeln bleibt also bestehen.

Auf Wunsch verbinden wir beide Themen in einer Schulung: welche Daten in KI-Werkzeuge gehören, wie Ergebnisse zu prüfen sind und wo die DSGVO Grenzen setzt. Grundlagen finden Sie im Artikel Was gilt beim Einsatz von KI und ChatGPT im Unternehmen?

So läuft Ihre Schulung mit Datenkodex ab

1. Kostenloses Erstgespräch: Zielgruppen, Zahl der Teilnehmenden, Format und Termine.
2. Zuschnitt: Beispiele aus Ihrer Branche und Ihren Systemen, für KMU ebenso wie für die öffentliche Hand.
3. Durchführung: online per Videokonferenz.
4. Dokumentation: Teilnahmebestätigungen und Nachweis der Inhalte.
5. Auffrischung: Nachschulungen und Wiederholung nach Plan.

Wir schulen mit DEKRA-zertifizierter Fachkunde. Rufen Sie an unter 089 / 2000 1420 oder schreiben Sie an info@datenkodex.de. Einen Termin können Sie auch über die Kontaktseite anfragen. Alle weiteren Angebote finden Sie unter Leistungen.