Die DSGVO-Schulung: was wirklich Pflicht ist, was ein Nachweis können muss — und woran Sie unseriöse Angebote erkennen
„Sind Ihre Mitarbeiter im Datenschutz geschult — und können Sie das belegen?“ Diese Frage stellt nicht zuerst die Aufsichtsbehörde. Sie steht im Lieferantenfragebogen Ihres größten Kunden, im Auditplan Ihres Versicherers und nach jeder Panne im Raum. Eine wörtliche Schulungspflicht sucht man in der DSGVO vergeblich — und trotzdem führt an der Schulung kein Weg vorbei. Der Grund heißt Rechenschaftspflicht.
Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am
Die Rechtsgrundlage: keine Wortpflicht, aber drei Wege dorthin
Die DSGVO sagt nirgends „schulen Sie Ihre Mitarbeiter“. Sie sagt etwas Wirksameres: Der Verantwortliche muss geeignete Maßnahmen umsetzen und deren Einhaltung nachweisen können (Art. 5 Abs. 2, Art. 24), und er muss technische und organisatorische Maßnahmen treffen, die dem Risiko angemessen sind (Art. 32). Mitarbeitende, die Kundendaten falsch versenden, Phishing nicht erkennen oder Kundenlisten in offene KI-Tools laden, sind ein Risiko — und die Schulung ist die organisatorische Maßnahme dagegen. Wo ein Datenschutzbeauftragter benannt ist, gehört die Sensibilisierung sogar ausdrücklich zu seinen Aufgaben (Art. 39 Abs. 1 lit. a).
Der Merksatz: Die Schulung ist nicht als Wort Pflicht, aber als Maßnahme — und ihr Nachweis ist es über die Rechenschaftspflicht allemal.
Was ein brauchbarer Schulungsnachweis enthält
„Wir haben da mal was gemacht“ zählt nicht. Ein Nachweis, der Fragebögen und Prüfungen standhält, ist personenbezogen und prüfbar:
| Merkmal | Warum |
|---|---|
| Je Person, mit Name und Datum | Pauschale Aussagen („das Team wurde geschult“) lassen sich nicht prüfen |
| Benannte Inhalte | Der Prüfer will sehen, WAS geschult wurde — Grundregeln, Betroffenenrechte, Datenpanne, sicheres Arbeiten |
| Erfolgskontrolle mit Ergebnis | Teilnahme ist keine Kompetenz; ein Quiz mit Bestehensgrenze schon eher |
| Öffentlich verifizierbar | Ein PDF kann jeder drucken — eine Prüf-ID, die zu einem Datenbankeintrag führt, nicht |
| Ablaufdatum und Auffrischung | Datenschutz-Wissen altert; jährliche Auffrischung ist der anerkannte Rhythmus |
Woran Sie unseriöse Angebote erkennen
Eine „DSGVO-Zertifizierung“ für Mitarbeitende oder Unternehmen im Sinne der Verordnung dürfen nur akkreditierte Zertifizierungsstellen nach Art. 42/43 erteilen — und diese Verfahren zertifizieren Verarbeitungsvorgänge, keine Personen. Wer Ihnen ein „DSGVO-Zertifikat“ verkauft, das Ihr Unternehmen „DSGVO-konform“ macht, verkauft eine Formulierung, die der Anbieter nicht vergeben kann. Seriös ist der Schulungsnachweis: „geschult in datenschutzkonformem Arbeiten, mit Erfolgskontrolle“ — nicht mehr behauptet, als geleistet wurde, und genau das, was die Rechenschaftspflicht verlangt.
Was inhaltlich hineingehört — 35 bis 45 Minuten reichen
Eine wirksame Grundschulung für alle Mitarbeitenden braucht keinen Seminartag: Grundbegriffe und Rechenschaftspflicht, die Grundregeln (Erlaubnis, Zweckbindung, Datensparsamkeit), Betroffenenrechte erkennen und weiterleiten, die Datenpanne und der 72-Stunden-Reflex, sicheres Arbeiten im Alltag (Passwörter, Phishing, Bildschirm, Homeoffice) — und die firmeneigenen Regeln: welche Werkzeuge freigegeben sind, wer die Ansprechperson ist. Der letzte Punkt ist der wichtigste und fehlt in Schulungen von der Stange am häufigsten.
So macht es KlarComply
Unsere Datenschutz-Schulung (rund 35–45 Minuten je Person) endet mit einem Schulungsnachweis mit öffentlich prüfbarer ID — je Person, mit Inhalten, Ergebnis und 12 Monaten Gültigkeit. Das firmenspezifische Modul zieht Ihre echten Regeln und Ihre Ansprechperson automatisch aus Ihrer Nachweis-Akte. Ab Tarif Team Plus enthalten, für Starter und Team als Zusatzmodul. Wo Sie stehen, zeigt der kostenlose 2-Minuten-Check.
Häufige Fragen
Ist eine Datenschutz-Schulung für Mitarbeiter gesetzlich vorgeschrieben?
Nicht als wörtliche Pflicht — aber als organisatorische Maßnahme nach Art. 24 und 32 DSGVO, deren Einhaltung das Unternehmen nach Art. 5 Abs. 2 nachweisen können muss. Praktisch verlangen Aufsichtsbehörden, Geschäftskunden und Versicherer den Schulungsnachweis regelmäßig.
Gibt es eine offizielle DSGVO-Zertifizierung für Mitarbeiter?
Nein. Zertifizierungen nach Art. 42 DSGVO erteilen nur akkreditierte Stellen — und sie beziehen sich auf Verarbeitungsvorgänge, nicht auf Personen. Für Mitarbeitende gibt es den Schulungsnachweis: personenbezogen, mit Inhalten, Erfolgskontrolle und prüfbarer ID.
Wo steht Ihr Unternehmen?
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlosArt. 5 DSGVO — Grundsätze, Abs. 2: Rechenschaftspflicht
Art. 32 DSGVO — Sicherheit der Verarbeitung
Art. 42 DSGVO — Zertifizierung (nur akkreditierte Stellen)