Ist eine DSGVO-Schulung für Mitarbeiter Pflicht?

Inhalt in Kürze

• Die Schulungspflicht steht nicht in einem einzelnen Paragrafen, ergibt sich aber zwingend aus Art. 39 Abs. 1 lit. b DSGVO, Art. 32 DSGVO und § 26 BDSG.
• Aufsichtsbehörden erwarten mindestens eine jährliche Schulung plus Onboarding und anlassbezogene Nachschulungen.
• Ohne dokumentierten Nachweis gilt die Pflicht als nicht erfüllt – die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt Teilnahmeliste, Konzept und Wissensnachweis.
• Fehlende Schulung verschärft Bußgelder nach Art. 83 Abs. 2 lit. d DSGVO – der Rahmen reicht bis 20 Mio. Euro oder 4 % des Konzernumsatzes.

Viele Geschäftsführer suchen den einen Paragrafen, der eine DSGVO-Schulung für Mitarbeiter zur Pflicht macht. Den gibt es nicht. Trotzdem ist die Schulung faktisch verpflichtend, und das Versäumnis fällt Ihnen im Ernstfall auf die Füße.

Dieser Beitrag zeigt Ihnen, woraus sich die Pflicht ableitet, wie oft Sie schulen müssen und wie Sie den Nachweis führen, der vor der Aufsichtsbehörde standhält.

DSGVO Schulung Mitarbeiter Pflicht: Woraus sich die Pflicht ergibt

Die Pflicht zur Datenschutzschulung steht in keinem eigenen Satz. Sie ist das Ergebnis aus drei Vorschriften, die zusammen einen klaren Auftrag bilden.

Art. 39 Abs. 1 lit. b DSGVO zählt die „Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter” ausdrücklich zu den Aufgaben des Datenschutzbeauftragten. Der DSB überwacht die Schulung – durchführen muss sie der Verantwortliche, also Sie als Unternehmen.

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen (TOM) für die Sicherheit der Verarbeitung. Geschulte Mitarbeiter sind eine dieser organisatorischen Maßnahmen. Wer Daten nur auf Anweisung verarbeiten lässt, muss seine Leute auch entsprechend unterweisen.

§ 26 BDSG regelt die Verarbeitung von Beschäftigtendaten und verankert den Datenschutz im Arbeitsverhältnis. Wer Personaldaten und andere personenbezogene Daten verarbeiten lässt, muss die Spielregeln der Datenschutz-Grundverordnung kennen.

Diese drei Säulen ergeben in der Summe einen klaren Auftrag: Unternehmen, die personenbezogene Daten verarbeiten, müssen ihr Personal datenschutzrechtlich schulen und für den sicheren Umgang mit personenbezogenen Daten sensibilisieren. Datenschutzschulungen sind damit kein Kür-Programm, sondern Teil der gesetzlichen Pflichten.

Wer muss geschult werden – und wie oft?

Geschult werden müssen alle Beschäftigten, die mit personenbezogenen Daten in Berührung kommen. In der Praxis ist das nahezu jeder: Empfang, Vertrieb, Buchhaltung, HR, IT. Sobald jemand E-Mails liest, Kundendaten pflegt oder Bewerbungen sichtet, fällt er darunter. Wer Daten wie Gesundheits- oder Bewerberdaten verarbeitet, muss besonders gründlich sensibilisiert werden – ist eine Datenkategorie besonders sensibel, steigen die Anforderungen an die IT-Sicherheit entsprechend.

Die Schulung der Mitarbeiter zielt darauf, das Bewusstsein für den Datenschutz zu schärfen und Risiken im Alltag zu minimieren. Geschulte Beschäftigte erkennen verdächtige E-Mails, geben keine Daten an Unbefugte heraus und melden Vorfälle, bevor daraus eine Datenpanne wird.

Bei der Häufigkeit nennt die DSGVO keine feste Frist. Etabliert hat sich ein klarer Standard, den auch die Aufsichtsbehörden erwarten:

• Onboarding-Schulung. Neue Mitarbeiter werden vor dem ersten Datenzugriff geschult, idealerweise am ersten Arbeitstag.
• Jährliche Auffrischung. Ein Turnus von zwölf Monaten ist der bewährte Richtwert für die regelmäßige Schulung.
• Anlassbezogene Nachschulung. Bei neuen Prozessen, neuer Software, einem Vorfall oder geänderter Rechtslage wird zeitnah nachgeschult.

Eine einmalige Schulung „irgendwann 2019” reicht nicht. Datenschutzwissen veraltet, und die Behörde sieht ein abgelaufenes Schulungsdatum als Lücke. Welche Pflichtthemen eine Datenschutzschulung abdecken muss, haben wir gesondert zusammengestellt.

Der Nachweis entscheidet: Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO

Hier scheitern die meisten Unternehmen nicht an der Schulung selbst, sondern am Nachweis. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung der Datenschutzgrundsätze belegen können.

Im Klartext: Wer keine Teilnehmerliste, kein Schulungskonzept und keinen Wissensnachweis vorlegen kann, hat die Pflicht nicht erfüllt – selbst wenn tatsächlich geschult wurde. Ohne Dokumentation gilt die Schulung schlicht als nicht geschehen.

Viele Unternehmer denken, ich bin doch zu klein für das ganze Thema Datenschutz. Wir haben Mandanten mit drei, vier, fünf Mitarbeitern – die arbeiten für große Kunden mit enormen Ansprüchen an den Datenschutz.

Nils OehmichenDatenschutzberater bei frag.hugo

Was passiert ohne Schulung? Das Bußgeldrisiko

Eine fehlende Schulung führt selten allein zu einem Bußgeld. Aber sie wirkt wie ein Brandbeschleuniger. Kommt es zu einer Datenpanne, prüft die Aufsichtsbehörde, welche organisatorischen Maßnahmen Sie getroffen haben.

Nach Art. 83 Abs. 2 lit. d DSGVO fließt der Grad der Verantwortung unter Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen direkt in die Bußgeldzumessung ein. Genau hier greift auch Artikel 32 DSGVO: Wer keine wirksamen Mitarbeiterschulungen nachweisen kann, hat die geforderten organisatorischen Maßnahmen nicht erfüllt. Fehlt die Schulung, fehlt eine zentrale Maßnahme – das erhöht das Bußgeld. Eine dokumentierte Schulung wirkt umgekehrt mildernd.

Der teuerste Fehler ist fast nie ein Hackerangriff, sondern ein unbedachter Klick. Genau dort setzt die Schulung an: Sie macht aus dem Risikofaktor Mensch eine Firewall.

So setzen Sie die Schulungspflicht pragmatisch um

Die gute Nachricht: Eine pflichtkonforme Schulung muss weder teuer noch aufwendig sein. Drei Schritte reichen.

1. Schritt 1: Pflicht festlegen. Definieren Sie, wer geschult wird und in welchem Turnus. Jährlich plus Onboarding ist der sichere Standard.
2. Schritt 2: Inhalte vermitteln. Setzen Sie auf kurze, verständliche Module zu DSGVO-Grundlagen, Datenpannen und Phishing statt auf ein dröges Tagesseminar.
3. Schritt 3: Nachweis sichern. Dokumentieren Sie Teilnahme und Wissensstand – etwa über ein Quiz und ein Zertifikat – revisionssicher und jederzeit abrufbar.

Genau dafür gibt es Hugo Learn, unsere KI-gestützte Schulungsplattform für deutsche KMU. Das DSGVO-Modul vermittelt die Grundlagen in kurzen Lektionen, ein Quiz prüft das Wissen, und der auditfeste Nachweis landet automatisch im Reporting. Erinnerungen nach 7 und 14 Tagen sorgen dafür, dass auch wirklich alle teilnehmen.

Für einzelne Branchen gibt es zugeschnittene Pakete. Schulen und Schulträger etwa bündeln mit unserer Unterweisungssoftware für Schulen alle Pflichtunterweisungen — Datenschutz, Arbeitsschutz und Cyber-Awareness — in einem Portal, getrennt pro Schule dokumentiert.

Die Plattform ist in Deutschland gehostet und komplett auf Deutsch. Der Nachweis taugt nicht nur für die Datenschutzbehörde, sondern auch für ein ISO-27001- oder TISAX-Audit. Wer ohnehin den Hugo DSB ab dem Standard-Tarif nutzt, hat Hugo Learn bereits inklusive. Einen Überblick, was eine Online-Datenschutzschulung kostet, finden Sie im Vergleich.

Aus der Praxis

In der Beratung höre ich oft die Sorge, eine Schulung koste zu viel Zeit und die Mitarbeiter hätten kein Interesse. Das Gegenteil ist der Fall, wenn man sie ernst nimmt.

Keine Frage ist doof. Oftmals kann schon damit geholfen werden, wenn Mitarbeiter schnell mal eine Frage loswerden und diese zeitnah vom Datenschutzbeauftragten beantwortet wird.

Nils OehmichenDatenschutzberater bei frag.hugo

Eine gute Schulung ist kein Pflichttermin, sondern ein Sicherheitsnetz. Sie senkt das Risiko teurer Datenpannen und liefert nebenbei den Nachweis, den die Behörde sehen will. Ein interner oder externer Datenschutzbeauftragter sorgt dafür, dass die Inhalte der Schulung aktuell bleiben und die Anforderungen des Datenschutzes im Betrieb gelebt werden.

Fazit: Schulen Sie, bevor es jemand prüft

Die DSGVO-Schulung ist Pflicht – auch ohne eigenen Paragrafen. Wer jährlich schult, neue Mitarbeiter im Onboarding abholt und alles sauber dokumentiert, erfüllt die Rechenschaftspflicht und senkt sein Bußgeldrisiko spürbar.

Wer noch keinen externen Datenschutzbeauftragten hat, sollte beides zusammen denken: Beratung und Schulung aus einer Hand. Unsere Startseite zeigt, wie der externe DSB von frag.hugo Sie dabei entlastet.

Häufige Fragen (FAQ)

Ist eine DSGVO-Schulung für Mitarbeiter gesetzlich Pflicht?

Es gibt keinen einzelnen Paragrafen „Schulungspflicht”, aber die Pflicht ergibt sich aus dem Zusammenspiel von Art. 39 Abs. 1 lit. b DSGVO, Art. 32 DSGVO und § 26 BDSG. Faktisch ist die regelmäßige Schulung damit für jedes Unternehmen verpflichtend.

Wie oft müssen Mitarbeiter im Datenschutz geschult werden?

Die DSGVO nennt keine feste Frist. Aufsichtsbehörden erwarten als Standard eine jährliche Auffrischung, eine Onboarding-Schulung neuer Mitarbeiter sowie anlassbezogene Nachschulungen bei neuen Prozessen oder Vorfällen.

Welches Bußgeld droht bei fehlender Datenschutzschulung?

Eine fehlende Schulung ist selten allein Bußgeldgrund, gilt aber als mangelnde organisatorische Maßnahme nach Art. 83 Abs. 2 lit. d DSGVO und wirkt strafverschärfend. Der Bußgeldrahmen reicht bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes.

Wer muss im Unternehmen geschult werden?

Alle Beschäftigten, die mit personenbezogenen Daten in Berührung kommen. In der Praxis betrifft das nahezu jeden Mitarbeiter, vom Empfang über den Vertrieb bis zur Buchhaltung und IT.

Wie weise ich eine Datenschutzschulung gegenüber der Behörde nach?

Über die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Sie brauchen ein Schulungskonzept, eine Teilnahmedokumentation und idealerweise einen Wissensnachweis wie ein bestandenes Quiz oder Zertifikat. Plattformen wie Hugo Learn erzeugen diesen Nachweis automatisch.

Ist eine jährliche Datenschutzunterweisung für Mitarbeiter Pflicht?

Die DSGVO schreibt keinen festen Jahresrhythmus vor. In der Praxis gilt eine jährliche Datenschutzunterweisung aber als bewährter Standard, den auch die Aufsichtsbehörden als angemessen ansehen. Ergänzt wird sie durch eine Onboarding-Schulung und anlassbezogene Nachschulungen.

Ist im Rahmen der DSGVO eine Schulung erforderlich?

Ja. Auch wenn die Datenschutz-Grundverordnung keinen eigenen Schulungsparagrafen kennt, ergibt sich die Pflicht aus Art. 39, Art. 32 DSGVO und § 26 BDSG. Mitarbeiter müssen für den Umgang mit personenbezogenen Daten sensibilisiert und geschult werden.

Welche Schulungen sind für Mitarbeiter Pflicht?

Pflicht sind Datenschutzschulungen für alle, die personenbezogene Daten verarbeiten. Je nach Tätigkeit kommen weitere Mitarbeiterschulungen hinzu, etwa zur IT-Sicherheit, zum Erkennen von Phishing oder zur künstlichen Intelligenz, wenn KI-Tools im Einsatz sind und eine entsprechende KI-Kompetenz nötig wird.