In einem Satz. Eine Datenschutzschulung für Mitarbeiter ist faktisch Pflicht: Sie folgt aus der Sensibilisierungsaufgabe des DSB (Art. 39 Abs. 1 lit. b), der Sicherheitspflicht (Art. 32) und der Rechenschaftspflicht (Art. 5 Abs. 2) — sie muss regelmäßig stattfinden, praxisnahe Inhalte vermitteln und nachweisbar dokumentiert sein.
Der Mensch ist das größte Datenschutzrisiko: Fehlversand, Phishing, unbedachte Weitergabe. Der EuGH (C-687/21) hat klargestellt, dass Mitarbeiterfehler das Unternehmen nicht entlasten — die Schulung ist die zentrale organisatorische Maßnahme zur Prävention. Dieser Beitrag liefert Inhalte, Nachweis und einen fertigen Schulungsplan.
Wichtige Punkte
- Rechtsgrundlage: Art. 39 Abs. 1 lit. b, Art. 32, Art. 5 Abs. 2.
- Keine feste Frequenz vorgeschrieben — Praxis: mindestens jährlich.
- Nachweis (Teilnahmeliste, Test) ist Teil der Rechenschaftspflicht.
- Rollen- und risikoabhängige Inhalte statt Gießkanne.
- Neue Beschäftigte im Onboarding schulen.
Inhalte: die 8 Kernmodule
| Modul | Inhalt |
|---|---|
| 1. Grundlagen | Was sind personenbezogene Daten, Grundsätze Art. 5 |
| 2. Rechtsgrundlagen | Wann ist Verarbeitung erlaubt (Art. 6) |
| 3. Betroffenenrechte | Auskunft, Löschung, Widerspruch erkennen und weiterleiten |
| 4. Datensicherheit | Passwörter, Verschlüsselung, Clean Desk, Phishing |
| 5. Datenpannen | Erkennen und binnen 72 h melden (Art. 33) |
| 6. E-Mail & Fehlversand | Verteiler, BCC, Verschlüsselung |
| 7. Auftragsverarbeiter | Keine Datenweitergabe ohne AVV |
| 8. Rollenbezug | Abteilungsspezifische Fälle (HR, Vertrieb, IT) |
Der Schulungsplan (Jahresmuster)
DATENSCHUTZ-SCHULUNGSPLAN [Jahr]
Q1 – Basisschulung (alle Beschäftigten, 60–90 Min.)
Module 1–6, Präsenz oder E-Learning, Abschlusstest
Q2 – Rollenschulung HR & Vertrieb (Modul 8)
Beschäftigtendaten, § 26 BDSG, CRM-Fälle
Q3 – Phishing-Awareness (alle)
simulierte Phishing-Mail + Auswertung + Kurzschulung
Q4 – Auffrischung & Neuerungen (alle)
aktuelle Urteile, Vorfälle des Jahres, Lessons Learned
Laufend – Onboarding neuer Beschäftigter (in Woche 1)
Nachweis – Teilnahmeliste, Testergebnis, Datum, Unterschrift
Verantwortlich – DSB / Personalabteilung
Nachweis: was dokumentiert werden muss
| Element | Zweck |
|---|---|
| Teilnehmerliste mit Datum | Wer wurde wann geschult |
| Schulungsinhalt / Foliensatz | Was wurde vermittelt |
| Testergebnis / Verständnisprüfung | Wirksamkeit belegen |
| Verpflichtung auf Vertraulichkeit | Art. 28 Abs. 3 lit. b, Art. 29 |
| Wiederholungsintervall | regelmäßige Sensibilisierung |
So passen Sie den Plan an
Warum die Schulung rechtlich zählt
Die Schulung ist mehr als eine gute Idee — sie ist ein haftungsrelevanter Baustein. Der EuGH hat in der Sache Deutsche Wohnen (C-807/21) klargestellt, dass ein Bußgeld gegen ein Unternehmen ein schuldhaftes Verhalten voraussetzt, das aber nicht auf ein Organverschulden beschränkt ist — Organisationsverschulden genügt. Wer seine Beschäftigten nicht sensibilisiert, organisiert den Datenschutz fahrlässig. Umgekehrt kann ein dokumentiertes, wirksames Schulungsprogramm im Bußgeldverfahren strafmildernd wirken, weil es zeigt, dass die Organisation ihre Sorgfaltspflichten ernst nimmt. Die EDSA-Leitlinie 4/2022 zur Bußgeldbemessung nennt organisatorische Vorkehrungen ausdrücklich als Faktor.
Auch die Verpflichtung auf Vertraulichkeit gehört in diesen Zusammenhang: Nach Art. 29 und Art. 32 Abs. 4 dürfen dem Verantwortlichen unterstellte Personen Daten nur auf Weisung verarbeiten. In der Praxis wird diese Verpflichtung meist im Rahmen der Schulung oder des Onboardings schriftlich eingeholt und dokumentiert. Schulung und Vertraulichkeitsverpflichtung bilden so zwei Seiten derselben organisatorischen Maßnahme.
Wirksamkeit messen und dokumentieren
Häufige Fehler
- Einmalschulung. Eine einzige Schulung bei Eintritt genügt nicht. Ohne Wiederholung verblasst das Wissen — die Praxis erwartet mindestens jährliche Auffrischung.
- Kein Nachweis. Ohne Teilnahmeliste und Test lässt sich die Schulung nicht belegen; im Bußgeldverfahren wirkt sich fehlende Sensibilisierung strafverschärfend aus.
- Nur Theorie. Paragrafenwissen ohne Bezug zum Arbeitsalltag verändert kein Verhalten. Der EuGH (C-687/21) betont, dass Mitarbeiterfehler nicht entlasten — die Schulung muss wirksam sein.
- Führungskräfte ausnehmen. Gerade Leitungsebenen mit weitreichenden Zugriffen brauchen Schulung; H&M (35,3 Mio. €) zeigt, wie exzessive Beschäftigtenüberwachung durch Vorgesetzte eskaliert.
- Externe vergessen. Auch Praktikanten, Freelancer und Zeitarbeitskräfte mit Datenzugriff sind zu sensibilisieren und zu verpflichten.
FAQ
Ist eine Datenschutzschulung gesetzlich vorgeschrieben?
Die DSGVO nennt keine ausdrückliche „Schulungspflicht", verlangt sie aber mittelbar: Der DSB muss für Sensibilisierung sorgen (Art. 39 Abs. 1 lit. b), Art. 32 fordert organisatorische Maßnahmen, und die Rechenschaftspflicht (Art. 5 Abs. 2) verlangt den Nachweis geeigneter Vorkehrungen. In der Aufsichtspraxis gilt eine regelmäßige, dokumentierte Schulung deshalb als faktische Pflicht.
Wie oft muss geschult werden?
Es gibt keine gesetzlich fixierte Frequenz. Bewährt hat sich eine jährliche Basisschulung, ergänzt um anlassbezogene Schulungen (neue Systeme, nach Vorfällen) und Onboarding für neue Beschäftigte. Bei besonders sensiblen Verarbeitungen sind kürzere Intervalle sinnvoll.
Reicht ein E-Learning?
Ja, E-Learning ist zulässig und effizient, sofern es die relevanten Inhalte vermittelt, den Rollenbezug abbildet und die Teilnahme samt Verständnisprüfung nachweisbar dokumentiert. Für sensible Rollen ist eine Kombination aus E-Learning und Präsenz- oder Fallbesprechung wirksamer.
Wer ist für die Schulung verantwortlich?
Die Durchführung liegt in der Verantwortung des Unternehmens (Verantwortlicher). Der Datenschutzbeauftragte wirkt beratend mit und überwacht die Sensibilisierung (Art. 39 Abs. 1 lit. a und b), führt sie aber nicht zwingend selbst durch. In der Praxis konzipiert oft der DSB die Inhalte, während die Personalabteilung die Organisation, Einladung und Nachweisführung übernimmt. Entscheidend ist, dass die Verantwortlichkeit klar zugewiesen und die Durchführung dokumentiert ist.
Müssen auch Zeitarbeitskräfte und Praktikanten geschult werden?
Ja. Entscheidend ist nicht der arbeitsrechtliche Status, sondern der tatsächliche Zugriff auf personenbezogene Daten. Wer im Auftrag des Unternehmens Daten verarbeitet — ob festangestellt, in Teilzeit, als Werkstudent, Praktikant oder überlassene Zeitarbeitskraft — muss sensibilisiert und auf Vertraulichkeit verpflichtet werden (Art. 29, Art. 32 Abs. 4). Gerade befristet oder kurzfristig eingesetzte Kräfte werden hier oft übersehen, obwohl sie dieselben Fehler verursachen können wie die Stammbelegschaft. Nehmen Sie diese Gruppen deshalb in den Onboarding-Prozess auf und dokumentieren Sie ihre Schulung und Verpflichtung ebenso wie bei festen Beschäftigten. Bei externen Dienstleistern regelt dagegen der Auftragsverarbeitungsvertrag die Verpflichtung ihrer eigenen Mitarbeiter.
Was kostet eine Datenschutzschulung?
Die Bandbreite ist groß. Ein standardisiertes E-Learning mit Abschlusstest ist pro Kopf günstig und für die Basisschulung großer Belegschaften wirtschaftlich. Eine maßgeschneiderte Präsenzschulung mit rollenspezifischen Fallbeispielen — etwa für HR oder Vertrieb — verursacht höhere Kosten, wirkt aber nachhaltiger, weil sie am Arbeitsalltag ansetzt. In der Praxis kombinieren viele Unternehmen beides: E-Learning für die Grundlagen, Präsenz oder Webinar für sensible Rollen. Gemessen am Risiko sind die Kosten gering: Ein einziger durch fehlende Sensibilisierung ausgelöster Vorfall — etwa ein Fehlversand mit Gesundheitsdaten — übersteigt den Schulungsaufwand um ein Vielfaches. Entscheidend für den Wert ist nicht der Preis, sondern die nachweisbare Wirksamkeit.
Fazit
Die Datenschutzschulung ist die wirksamste organisatorische Maßnahme gegen menschliche Fehler — und der günstigste Weg, Bußgelder zu vermeiden. Schulen Sie regelmäßig, praxisnah und rollenbezogen und dokumentieren Sie jede Teilnahme. Der beigefügte Schulungsplan gibt Ihnen die Struktur; entscheidend ist, dass Wissen in verändertes Verhalten mündet. Die Aufgaben des DSB regelt Art. 39, nachzulesen bei EUR-Lex; Awareness-Material bietet der BfDI.