Datenschutzschulung nach DSGVO: Pflicht, Inhalte, Turnus

Stan na: 16. Oktober 2026

Krótka odpowiedź

Die DSGVO nennt keine allgemeine Schulungspflicht in einem eigenen Artikel, verlangt aber geeignete technische und organisatorische Maßnahmen (Art. 24, Art. 32) und dass Beschäftigte Daten nur auf Anweisung verarbeiten (Art. 32 Abs. 4). Zu den Aufgaben des Datenschutzbeauftragten gehört ausdrücklich die Sensibilisierung und Schulung der Mitarbeiter (Art. 39 Abs. 1 Buchst. b). In der Praxis ist eine dokumentierte Datenschutzschulung deshalb der übliche Weg, die Rechenschaftspflicht nach Art. 5 Abs. 2 zu erfüllen.

Najważniejsze

Rechtsgrundlagen: Art. 5 Abs. 2, Art. 24, Art. 32 Abs. 4 und Art. 39 Abs. 1 Buchst. b DSGVO.
Wer Zugang zu personenbezogenen Daten hat, braucht Kenntnis der Regeln und Anweisungen.
Kein gesetzlicher Turnus; üblich sind Schulung beim Eintritt und regelmäßige Auffrischung.
Inhalte an Tätigkeit ausrichten: Personal, Vertrieb, IT und Leitung brauchen Unterschiedliches.
Dokumentation belegt die Maßnahme gegenüber Aufsichtsbehörden.

Woraus die Schulungspflicht folgt

Wer nach einem Artikel „Schulungspflicht“ in der DSGVO sucht, findet ihn nicht. Die Pflicht ergibt sich aus mehreren Vorschriften zusammen. Art. 24 verpflichtet den Verantwortlichen, geeignete technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen und nachweisen zu können, dass die Verarbeitung der Verordnung entspricht. Art. 32 Abs. 4 verlangt, dass Verantwortliche und Auftragsverarbeiter Schritte unternehmen, damit ihnen unterstellte Personen mit Zugang zu personenbezogenen Daten diese nur auf Anweisung verarbeiten. Wer Anweisungen befolgen soll, muss sie kennen.

Ausdrücklich genannt ist Schulung bei den Aufgaben des Datenschutzbeauftragten: Nach Art. 39 Abs. 1 Buchst. b überwacht er die Einhaltung der Vorschriften einschließlich der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter. Das macht den Datenschutzbeauftragten nicht zum Lehrer für alle, wohl aber zur Stelle, die prüft, ob geschult wird.

Über allem steht die Rechenschaftspflicht des Art. 5 Abs. 2: Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können. Eine dokumentierte Schulung ist einer der wenigen Belege, die zeigen, dass organisatorische Maßnahmen tatsächlich gelebt werden.

Welche Inhalte hineingehören

Eine gute Datenschutzschulung erklärt nicht die ganze Verordnung, sondern das, was im Arbeitsalltag zählt. Sie beginnt mit Grundbegriffen und Grundsätzen und kommt schnell zu konkreten Situationen: Wem darf ich eine Kundenliste schicken? Was tue ich, wenn ich eine E-Mail an den falschen Empfänger geschickt habe? Welche Daten dürfen in ein KI-Werkzeug?

Grundbegriffe: personenbezogene Daten, besondere Kategorien (Art. 9), Verarbeitung, Verantwortlicher, Auftragsverarbeiter.
Grundsätze des Art. 5: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit.
Rechtsgrundlagen nach Art. 6 im Überblick, mit Beispielen aus dem eigenen Haus.
Rechte der betroffenen Personen (Art. 15–22) und wie Anfragen intern weitergeleitet werden.
Datenpannen: erkennen und sofort melden — der Verantwortliche hat nach Art. 33 grundsätzlich 72 Stunden für die Meldung an die Aufsichtsbehörde.
Sicheres Arbeiten: Passwörter, Phishing, mobile Geräte, Ausdrucke, Arbeiten außerhalb des Büros.
Interne Regeln: Richtlinien, freigegebene Werkzeuge, Ansprechpartner.

Zielgruppen und Tiefe

Nicht alle brauchen dasselbe. Eine Grundschulung für alle mit Datenzugang wird ergänzt durch Vertiefungen für Bereiche mit besonderem Risiko. Das entspricht dem risikobasierten Ansatz der DSGVO: Wer mit Gesundheitsdaten, Bewerbungen oder großen Kundendatenbeständen arbeitet, braucht mehr als jemand, der gelegentlich eine Visitenkarte einscannt.

Bereich	Vertiefung
Personal	Beschäftigtendaten, Bewerbungsverfahren, Gesundheitsdaten, Löschfristen
Vertrieb und Marketing	Einwilligungen, Werbewiderspruch, Umgang mit Interessentendaten
IT und Entwicklung	Datenschutz durch Technikgestaltung (Art. 25), Protokolle, Zugriffsrechte, Auftragsverarbeiter
Führungskräfte	Verantwortung, Datenpannen, Folgenabschätzung (Art. 35), Umgang mit Beschwerden

Wie oft geschult werden sollte

Die DSGVO nennt keinen Turnus. Weil Art. 32 Abs. 1 auf den Stand der Technik und das Risiko abstellt und Maßnahmen regelmäßig überprüft werden sollen (Art. 32 Abs. 1 Buchst. d), ist eine einmalige Schulung bei der Einstellung auf Dauer schwer zu begründen. Verbreitet ist eine Grundschulung beim Eintritt und eine Auffrischung im Abstand von ein bis zwei Jahren, zusätzlich anlassbezogen nach Datenpannen, neuen Systemen oder geänderten Abläufen.

Kurze, wiederkehrende Einheiten wirken oft besser als ein langer Pflichttermin. Fünf Minuten zu Phishing vor einer bekannten Angriffswelle bleiben eher hängen als ein Foliensatz im Jahresrhythmus. Wichtig ist, dass jede Einheit im Nachweis erscheint.

Dokumentation und Nachweis

Zum Nachweis gehören das Schulungskonzept mit Zielgruppen, die Inhalte in der geltenden Fassung und je Person Datum, Kurs und Ergebnis einer Wissensprüfung. Fragt eine Aufsichtsbehörde nach einer Datenpanne, ob die beteiligte Person geschult war, sollte die Antwort mit einem Klick vorliegen.

Auch die Schulungsdaten selbst sind personenbezogen. Sie dürfen nur für den festgelegten Zweck verwendet werden — den Nachweis der Schulung —, nicht ohne Weiteres zur Leistungsbewertung. Löschfristen gehören ins Verzeichnis der Verarbeitungstätigkeiten nach Art. 30.

Dieser Beitrag erklärt die Rechtslage allgemein und ist keine Rechtsberatung. Für den Einzelfall gilt der amtliche Normtext in der aktuellen Fassung; bei Zweifeln helfen anwaltliche Beratung, der Datenschutzbeauftragte oder die zuständige Aufsichtsbehörde.

Krok po kroku

Bedarf erheben
Mit dem Datenschutzbeauftragten festlegen, welche Bereiche mit welchen Daten arbeiten und wo das Risiko liegt.
Grundmodul und Vertiefungen planen
Ein Grundmodul für alle mit Datenzugang und Vertiefungen für Bereiche mit besonderem Risiko.
Durchführen und prüfen
Schulung zuweisen, mit kurzer Wissensprüfung abschließen und Ergebnisse festhalten.
Auffrischen
Feste Auffrischung und anlassbezogene Einheiten nach Vorfällen oder Änderungen einplanen.

Pojęcia

Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung der Grundsätze nach Art. 5 Abs. 1 DSGVO nachweisen können (Art. 5 Abs. 2).
Technische und organisatorische Maßnahmen: Vorkehrungen zum Schutz personenbezogener Daten, von Verschlüsselung bis zu Schulung und Anweisungen (Art. 24, 32 DSGVO).
Datenpanne: Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO, die in der Regel binnen 72 Stunden der Aufsichtsbehörde zu melden ist (Art. 33).

Najczęstsze pytania

Ist eine Datenschutzschulung gesetzlich vorgeschrieben?

Nicht als eigener Artikel, aber sie folgt aus Art. 24 und Art. 32 Abs. 4 DSGVO und gehört nach Art. 39 Abs. 1 Buchst. b zu dem, was der Datenschutzbeauftragte überwacht. Ohne Schulung lässt sich die Rechenschaftspflicht nach Art. 5 Abs. 2 kaum erfüllen.

Wer muss geschult werden?

Alle, die Zugang zu personenbezogenen Daten haben — also in den meisten Unternehmen fast alle Beschäftigten, auch Aushilfen und Auszubildende. Bereiche mit besonderem Risiko brauchen zusätzliche Vertiefung.

Wie oft muss die Datenschutzschulung wiederholt werden?

Einen festen Turnus nennt die DSGVO nicht. Üblich sind Schulung beim Eintritt, Auffrischung alle ein bis zwei Jahre und anlassbezogene Einheiten nach Vorfällen oder Änderungen.

Reicht eine Online-Schulung?

Ja, wenn sie die nötigen Inhalte vermittelt, den Lernerfolg prüft und die Teilnahme dokumentiert. Für Fragen sollte ein Ansprechpartner erreichbar sein, etwa der Datenschutzbeauftragte.

Was kostet ein Verstoß?

Eine fehlende Schulung hat keinen eigenen Bußgeldtatbestand. Verstöße gegen die Pflichten aus Art. 25 bis 39 können aber nach Art. 83 Abs. 4 mit bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden, und bei Datenpannen fällt ins Gewicht, ob angemessene Maßnahmen bestanden.