DSGVO-Schulung: Pflicht, Frequenz und Nachweis

„Sind DSGVO-Schulungen eigentlich Pflicht?“ Diese Frage kommt in fast jedem Datenschutz-Audit auf. Die kurze Antwort: Einen Paragrafen mit der Überschrift „Schulungspflicht“ gibt es nicht, doch die DSGVO macht Schulungen faktisch unvermeidbar. Dieser Beitrag erklärt die Rechtsgrundlagen, sinnvolle Frequenzen und den Nachweis, auf den es im Ernstfall ankommt.

Woraus sich die Schulungspflicht ergibt

• Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Sie müssen die Einhaltung der Datenschutz-Grundsätze nachweisen können. Ungeschulte Mitarbeitende sind dabei das größte Risiko, denn die meisten Datenpannen entstehen durch menschliche Fehler.
• Technische und organisatorische Maßnahmen (Art. 24, 32 DSGVO): Die Sensibilisierung der Beschäftigten gilt als organisatorische Maßnahme, die Aufsichtsbehörden erwarten.
• Aufgaben des Datenschutzbeauftragten (Art. 39 DSGVO): Zu seinen Pflichtaufgaben gehört ausdrücklich die „Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter“.
• Bußgeldbemessung (Art. 83 Abs. 2 DSGVO): Bei Verstößen berücksichtigen Behörden, welche Vorkehrungen getroffen wurden. Dokumentierte Schulungen wirken bußgeldmindernd, fehlende verschärfen die Lage.

Wer geschult werden muss

Grundsätzlich alle, die mit personenbezogenen Daten arbeiten, in der Praxis also nahezu die gesamte Belegschaft. Vertiefte Schulungen brauchen Bereiche mit intensivem Datenkontakt: HR (Bewerber- und Personaldaten), IT (Zugriffe, Berechtigungen, Vorfälle), Marketing und Vertrieb (Einwilligungen, Werbung), Support und Empfang (Auskunftsersuchen, Identitätsprüfung).

Wie oft geschult werden sollte

Bewährt hat sich ein jährlicher Rhythmus für die Basis-Schulung, ergänzt um anlassbezogene Auffrischungen: bei neuen Verarbeitungsprozessen oder Tools, nach Datenpannen und bei relevanten Rechtsänderungen. Neue Mitarbeitende sollten die Schulung im Onboarding absolvieren, bevor sie Zugriff auf größere Datenbestände erhalten.

Was inhaltlich hineingehört

• Grundsätze der Verarbeitung (Zweckbindung, Datenminimierung, Speicherbegrenzung)
• Betroffenenrechte und der richtige Umgang mit Auskunftsersuchen
• Meldeprozess bei Datenpannen inklusive der 72-Stunden-Frist und der internen Meldekette
• Alltagspraxis: Phishing erkennen, Passwörter und 2FA, Clean Desk, Umgang mit E-Mail-Verteilern
• bereichsspezifische Vertiefungen (HR, IT, Marketing, Support)

Der Nachweis entscheidet

Gegenüber der Aufsichtsbehörde zählt die dokumentierte Antwort auf drei Fragen: Wer wurde wann zu welchen Inhalten geschult, und wurde das Verständnis geprüft? Ein belastbares Schulungsregister enthält Teilnehmer, Datum, Inhalte bzw. Versionsstand der Schulung und das Testergebnis. Verstreute Teilnahmelisten in Postfächern und Laufwerken erfüllen diesen Anspruch nicht.

DSGVO-Schulungen mit System

Als wiederkehrender Prozess organisiert, läuft die DSGVO-Schulung nebenher: Neue Mitarbeitende bekommen sie automatisch im Onboarding zugewiesen, die jährliche Wiederholung wird angestoßen, Überfällige werden erinnert und eskaliert, jedes Ergebnis landet auditierbar im System. In Caltrix Training sind Pflichtschulungen mit Wiederholungslogik, Nachweisen und Eskalation eingebaut; mit dem Add-on Assessments lässt sich das Verständnis per Quiz prüfen und dokumentieren. Dass Caltrix selbst DSGVO-konform in Deutschland betrieben wird, steht auf der Compliance-Seite.

Fazit

Die DSGVO nennt keine Schulungsfrequenz. Rechenschaftspflicht, TOMs und die Aufgaben des Datenschutzbeauftragten machen regelmäßige, dokumentierte Schulungen aber zum Standard, den Aufsichtsbehörden voraussetzen. Wer jährlich schult, das Verständnis prüft und Nachweise zentral führt, hat im Audit und im Ernstfall die deutlich bessere Position.

Hinweis: Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung. Stand: Juli 2026.