Wie oft Mitarbeiter schulen? Datenschutz & IT-Sicherheit

Sie wissen, dass Sie Ihr Team schulen müssen. Die teure Frage ist: wie oft? Schulen Sie zu selten, droht im Ernstfall der Vorwurf der Sorgfaltspflichtverletzung. Schulen Sie planlos, verbrennen Sie Zeit ohne Wirkung. Wer im eigenen Haus mit personenbezogenen Daten arbeitet, sollte das Thema Datenschutz nicht dem Zufall überlassen — denn als Verantwortliche haften Sie persönlich für die Einhaltung der Vorgaben.

Inhalt in Kürze

• Die DSGVO schreibt keine feste Frequenz vor. Anerkannte Best Practice und gut dokumentierbare Untergrenze ist mindestens einmal jährlich, bei sensiblen Daten häufiger.
• ISO 27001 (Abschnitt 7.2.2) verlangt regelmäßige, in der Regel jährliche Sensibilisierung plus laufende Updates für neue Mitarbeiter und nach Richtlinien-Änderungen.
• Anlassbezogene Schulungen sind Pflicht-Ergänzung: beim Onboarding, bei neuen Tools, nach einem Vorfall, bei neuen Gesetzen wie NIS2 oder dem EU AI Act.
• Kontinuierliches Mikrolernen (kurze Einheiten übers Jahr) wirkt nachweislich besser als eine einmalige Jahres-Frontalschulung — und der Nachweis muss lückenlos dokumentiert sein.

Wie oft Mitarbeiter schulen im Datenschutz: die jährliche Faustregel

Die kurze Antwort: Es gibt kein Gesetz, das ein festes Intervall nennt. Die Datenschutz-Grundverordnung verlangt über Art. 39 Abs. 1 lit. b die Sensibilisierung und Schulung der Mitarbeiter, aber sie schreibt kein Datum in den Kalender. Trotzdem gilt: Mitarbeiter müssen im Umgang mit personenbezogenen Daten sicher sein, sonst drohen Datenpannen — und im schlimmsten Fall ein Bußgeld wegen eines vermeidbaren Verstoßes.

In der Praxis hat sich mindestens einmal pro Jahr als Standard durchgesetzt. Auch deutsche Aufsichtsbehörden geben keine konkrete Frequenz vor, empfehlen aber die jährliche Wiederholung als Faustformel (Hamburgischer Datenschutzbeauftragter). Wer regelmäßige Datenschutzschulungen ansetzt, dokumentiert damit zugleich die Einhaltung seiner Pflichten gegenüber der Aufsichtsbehörde.

Je sensibler die Daten, desto kürzer das Intervall. Wer im Bereich Datenschutz mit Gesundheits-, Finanz- oder Bewerberdaten in großem Umfang Daten verarbeitet, fährt mit einem halbjährlichen Rhythmus sicherer. Dabei zählt nicht nur die Frequenz, sondern auch die Frage, welche Daten Ihre Teams überhaupt verarbeiten und wie datenschutzrechtlich heikel diese sind.

Was ISO 27001 und der BSI-Grundschutz wirklich fordern

Sobald eine Zertifizierung im Spiel ist, wird aus der Empfehlung eine prüfbare Anforderung. ISO 27001 verlangt in Abschnitt 7.2.2, dass alle Beschäftigten angemessene Awareness-Schulungen sowie regelmäßige Updates zu den für ihre Rolle relevanten Richtlinien erhalten. Die Schulung ist damit nicht nur eine technische, sondern vor allem eine organisatorische Maßnahme — und Ihr Datenschutzbeauftragter (DSB) sollte das Programm aktiv mittragen.

Im Audit zählt nur, was dokumentiert ist. Der Auditor fragt nach dem Schulungsprogramm und den Teilnahmenachweisen — fehlt der Nachweis, gilt die Schulung als nicht erfolgt.

Der BSI IT-Grundschutz schlägt im Baustein ORP.3 in dieselbe Kerbe: Ein zielgruppenorientiertes Sensibilisierungs- und Schulungsprogramm soll erstellt, regelmäßig überprüft und aktualisiert werden (BSI ORP.3).

Lesetipp: Dieses Thema behandelt unser kostenloses E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand” (47 Seiten). Jetzt herunterladen →

Anlassbezogen schulen: die zweite, oft vergessene Dimension

Das feste Jahresintervall ist nur die halbe Miete. Genauso wichtig sind die Anlässe, die eine Schulung außer der Reihe auslösen. Wer hier nur einmal im Jahr schult, hat im Zweifel die entscheidende Lücke.

• Onboarding. Neue Mitarbeiter werden vor dem ersten Datenzugriff geschult, nicht erst zur nächsten Jahresrunde. Diese erste Unterweisung sensibilisiert für den sicheren Umgang mit Kundendaten von Tag eins an.
• Neue Tools und Prozesse. Ein neues CRM, ein KI-Assistent oder ein Cloud-Wechsel braucht eine eigene Einweisung.
• Nach einem Vorfall. Datenpanne oder erfolgreiches Phishing? Eine gezielte Auffrischung verhindert die Wiederholung — und reduziert das Risiko künftiger Datenpannen.
• Neue Gesetze. NIS2 und der EU AI Act bringen neue Pflichten — Ihr Team muss sie kennen. Größere Programmänderungen besprechen Sie bei Bedarf vorab mit dem Betriebsrat.

Gerade der EU AI Act verlangt seit Februar 2025 nachweisbare KI-Kompetenz bei Mitarbeitern, die KI-Systeme einsetzen. Mehr dazu in unserem Beitrag zur AI-Act-Schulungspflicht.

Warum häufig und kurz besser ist als selten und lang

Eine vierstündige Jahresveranstaltung fühlt sich erledigt an — und ist vier Wochen später vergessen. Die Aufmerksamkeit für Phishing-Mails lässt im Jahresverlauf messbar nach, wenn sie nicht aufgefrischt wird.

Wirksamer ist kontinuierliches Mikrolernen: kurze Einheiten von etwa 15 Minuten, verteilt übers Jahr, kombiniert mit echten Phishing-Simulationen. Das Wissen bleibt wach, und der Aufwand pro Mitarbeiter bleibt überschaubar. In der Praxis lassen sich Mitarbeiterschulungen so deutlich leichter planen als eine starre Präsenzschulung: Eine Datenschutz-Schulung per E-Learning kann jeder absolvieren, wann es in den Arbeitsalltag passt. Eine Präsenzschulung bleibt für Kick-offs oder heikle Spezialthemen sinnvoll, taugt aber selten als jährliche Routine.

Genau hier setzt Hugo Learn an. Die Module sind kurz, übers Jahr verteilt und schließen mit Quiz und Zertifikat ab. Bleibt jemand offen, erinnert das System nach 7 und 14 Tagen automatisch — Sie müssen keine Quoten von Hand nachhalten. Wer einen ganzen Schulträger oder eine Schule mit dem Thema betreut, findet in unserer Unterweisungssoftware für Schulen alle Pflichtunterweisungen pro Schule getrennt dokumentiert.

Anlass und empfohlene Frequenz im Überblick

So setzen Sie den richtigen Rhythmus auf

Um Ihr Personal im Datenschutz zu schulen, brauchen Sie keinen komplizierten Plan, sondern eine klare Staffelung. Mitarbeiter sollten genau wissen, welche Schulung wann auf sie zukommt — diese vier Schritte liefern einen belastbaren Rahmen für die Datenschutzschulung für Mitarbeiter:

1. Schritt 1: Basis festlegen — eine jährliche Pflichtschulung für alle, dokumentiert mit Teilnahmenachweis.
2. Schritt 2: Risiko gewichten — Abteilungen mit besonders sensibler Datenverarbeitung auf halbjährlich, Phishing-Tests quartalsweise.
3. Schritt 3: Anlässe verankern — Onboarding, neue Tools und Vorfälle als feste Auslöser in den Prozess schreiben.
4. Schritt 4: Automatisieren — Erinnerungen und Reporting übernimmt das System, damit keine Quote durchrutscht.

Aus der Praxis

In der Beratung sehen wir immer wieder, dass kurze, regelmäßige Berührungspunkte mehr bringen als die große Jahresveranstaltung. Entscheidend ist, dass Mitarbeiter ihre Fragen schnell loswerden können.

Gerade Teams, die täglich personenbezogene Daten verarbeiten — von der Buchhaltung bis zum Support —, profitieren von dieser Taktung am meisten. Denn die meisten Datenschutzvorfälle entstehen nicht durch böse Absicht, sondern durch Routine-Fehler im Alltag. Wer sein Personal regelmäßig auffrischt, senkt damit ganz konkret das Risiko eines Verstoßes, der am Ende ein empfindliches Bußgeld nach sich ziehen kann. Schulung ist hier die günstigste Versicherung gegen den teuersten Fall.

Keine Frage ist doof. Oftmals kann schon damit geholfen werden, wenn Mitarbeiter schnell mal eine Frage loswerden und diese zeitnah vom Datenschutzbeauftragten beantwortet wird.

Nils OehmichenDatenschutzberater bei frag.hugo

Fazit: jährlich plus Anlass plus Nachweis

Die richtige Antwort auf „wie oft Mitarbeiter schulen” lautet selten nur „einmal im Jahr”. Sie lautet: jährlich als Untergrenze, häufiger bei sensiblen Daten, sofort beim Onboarding und nach jedem relevanten Anlass — und das alles lückenlos dokumentiert.

Wer diesen Rhythmus von Hand führt, verliert Zeit und Nachweise. Eine Plattform, die Module übers Jahr plant, automatisch erinnert und auditfest protokolliert, nimmt Ihnen diese Last ab. Mehr zur strukturierten Umsetzung lesen Sie im Leitfaden für Security-Awareness-Training.

Häufige Fragen (FAQ)

Wie oft müssen Mitarbeiter im Datenschutz geschult werden?

Die DSGVO nennt keine feste Frequenz. Aufsichtsbehörden und die Praxis empfehlen mindestens einmal pro Jahr, bei sensiblen Daten häufiger. Zusätzlich gilt: anlassbezogen schulen, etwa beim Onboarding oder nach einem Vorfall.

Schreibt die DSGVO eine jährliche Schulung vor?

Nein, die DSGVO gibt kein festes Intervall vor. Sie verlangt aber über Art. 39 und Art. 5 Abs. 2 nachweisbare Sensibilisierung. Jährlich gilt deshalb als anerkannte Best Practice und gut dokumentierbare Untergrenze.

Wie oft verlangt ISO 27001 eine Awareness-Schulung?

ISO 27001 fordert in Abschnitt 7.2.2 regelmäßige Sensibilisierung und Updates. In der Praxis bedeutet das mindestens jährlich, ergänzt um laufende Auffrischung für neue Mitarbeiter und nach Richtlinien-Änderungen.

Reicht eine einmalige Schulung pro Jahr aus?

Als formale Untergrenze ja, für echte Wirkung meist nicht. Kurze, häufige Einheiten (Mikrolernen) halten das Wissen wacher als eine einzelne Jahresveranstaltung. Phishing-Erkennung lässt im Jahresverlauf messbar nach.

Muss ich Schulungen für die Aufsichtsbehörde dokumentieren?

Ja. Aus der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) folgt, dass Sie nachweisen müssen, wer wann was absolviert hat. Ohne Teilnahmenachweis gilt eine Schulung im Streitfall faktisch als nicht erfolgt.

Wann müssen neue Mitarbeiter geschult werden?

So früh wie möglich, idealerweise im Onboarding vor dem ersten Datenzugriff. Eine erste Schulung gehört an den Beginn des Arbeitsverhältnisses, nicht erst zur nächsten Jahresrunde.

Wie oft muss man Datenschutz schulen?

In der Praxis mindestens einmal jährlich, bei sensiblen Daten halbjährlich. Eine feste Vorgabe gibt es nicht, doch die jährliche Wiederholung gilt als dokumentierbare Untergrenze. Ergänzend schulen Sie immer anlassbezogen, etwa beim Onboarding oder nach einem Vorfall.

Ist die Datenschutzschulung für Mitarbeiter Pflicht?

Ja. Aus Art. 39 DSGVO und der allgemeinen Sorgfaltspflicht folgt, dass Verantwortliche ihre Mitarbeiter sensibilisieren und schulen müssen. Ein festes Intervall nennt das Gesetz nicht, der Grundsatz „regelmäßig und nachweisbar” gilt aber für jedes Unternehmen, das personenbezogene Daten verarbeitet.

Wie oft muss Datenschutz unterwiesen werden?

Eine erstmalige Unterweisung gehört an den Beginn des Arbeitsverhältnisses, danach folgt mindestens eine jährliche Auffrischung. Bei neuen Tools, Prozessen oder Gesetzen wie NIS2 und dem EU AI Act kommt eine anlassbezogene Unterweisung hinzu.

Ist eine jährliche Datenschutzunterweisung für Mitarbeiter Pflicht?

Die DSGVO schreibt kein starres Jahresintervall vor. In der Praxis und für ISO 27001 gilt die jährliche Unterweisung jedoch als anerkannter Mindeststandard, weil sich damit die Einhaltung der Schulungspflicht sauber belegen lässt.