teamsSchulung und Sensibilisierung im Datenschutz und in der Informationssicherheit
Schulung ist keine freiwillige Zusatzleistung. Die DSGVO weist dem Datenschutzbeauftragten die Sensibilisierung und Schulung der Beschäftigten zu (Art. 39 Abs. 1 lit. b), ISO/IEC 27001 verlangt Kompetenz und Bewusstsein (Kapitel 7.2 und 7.3, Anhang A 6.3), und für NIS-2-Einrichtungen fordert das BSI-Gesetz Schulungen der Beschäftigten (§ 30 Abs. 2 Nr. 7) sowie regelmäßige Schulungen der Geschäftsleitung (§ 38 Abs. 3).
Wer muss was lernen?
| Zielgruppe | Inhalte | Fundstelle |
|---|---|---|
| Alle Beschäftigten | Grundlagen Datenschutz, Umgang mit Informationen, Phishing, Passwörter und Mehr-Faktor-Anmeldung, Vorfälle melden | Art. 39 Abs. 1 lit. b DSGVO, Anhang A 6.3, § 30 Abs. 2 Nr. 7 BSIG |
| Geschäftsleitung | Risiken erkennen und bewerten, Pflichten und Haftung, Entscheidungen im Vorfall | § 38 Abs. 3 BSIG, ISO/IEC 27001 Kap. 5 |
| IT und Administration | Sichere Konfiguration, Berechtigungen, Datensicherung, Vorfallbehandlung | ISO/IEC 27001 Kap. 7.2 |
| Fachbereiche mit sensiblen Daten | Personal-, Gesundheits- oder Kundendaten, Betroffenenrechte, Löschfristen | Art. 5, Art. 12 bis 22 DSGVO |
| Neue Beschäftigte | Einweisung vor Zugriff auf Daten, Verpflichtung auf Vertraulichkeit | Anhang A 6.3, Art. 32 Abs. 4 DSGVO |
Wie lässt sich Schulung nachweisen?
- Schulungsplan mit Zielgruppen, Inhalten und Turnus
- Teilnahmenachweise je Person mit Datum und Version der Inhalte
- Erfolgskontrolle, etwa durch kurze Wissensfragen
- Nachverfolgung offener Schulungen mit Erinnerung und Eskalation
- Bewertung der Wirksamkeit, etwa anhand gemeldeter Vorfälle oder Übungen
Art. 32 Abs. 4 DSGVO verlangt zudem, dass unterstellte Personen mit Zugang zu personenbezogenen Daten diese nur auf Anweisung verarbeiten; Schulung und Verpflichtung sind dafür die üblichen Mittel.
Keine Rechtsberatung. Rechtsstand: 04.11.2026.