Ja, eine Datenschutzschulung ist für Mitarbeitende, die personenbezogene Daten verarbeiten, faktisch verpflichtend. Die Datenschutz-Grundverordnung (DSGVO) kennt zwar keine eigenständige Norm mit der Überschrift „Schulungspflicht“, begründet eine solche aber indirekt über das Zusammenspiel mehrerer Vorschriften: die Rechenschaftspflicht (Art. 5 Abs. 2), die Gesamtverantwortung des Verantwortlichen (Art. 24), die Sicherheit der Verarbeitung (Art. 32) und die in Art. 39 Abs. 1 lit. b genannte Aufgabe, Beschäftigte zu sensibilisieren und zu schulen. Verantwortlich für die Durchführung ist die Organisation selbst, nicht der Datenschutzbeauftragte.
Praktisch bedeutet das: Sobald in einem Unternehmen, einer Behörde oder einem Verein Beschäftigte mit Kundendaten, Adress- und Vertragsdaten, Bewerbungsunterlagen, Gesundheits- oder Beschäftigtendaten arbeiten, muss der Verantwortliche dafür sorgen, dass diese Personen die geltenden Regeln kennen und Daten im Arbeitsalltag korrekt schützen. Die Schulung ist damit kein „Nice-to-have“, sondern Teil der organisatorischen Maßnahmen, mit denen ein Verantwortlicher die Einhaltung der DSGVO überhaupt erst sicherstellen und anschließend belegen kann.
Grenze/Ausnahme: Die Pflicht trifft den Verantwortlichen als Organisation; den genauen Umfang, die Inhalte und das Intervall gibt die DSGVO bewusst nicht vor, sondern überlässt sie einer risikobasierten Einzelfallbewertung. Eine pauschale „jede Person, jedes Jahr, identisch“-Vorgabe lässt sich aus dem Verordnungstext nicht ableiten.
Die Schulungspflicht ergibt sich aus dem Zusammenspiel mehrerer DSGVO-Vorschriften, nicht aus einer einzelnen Klausel. Art. 39 Abs. 1 lit. b DSGVO (EUR-Lex, Volltext) weist dem Datenschutzbeauftragten ausdrücklich die Überwachung „der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter“ zu — die Norm setzt damit voraus, dass geschult wird, verlagert die Durchführung aber auf den Verantwortlichen. Art. 32 DSGVO – Sicherheit der Verarbeitung verlangt „geeignete technische und organisatorische Maßnahmen“, zu denen nach allgemeiner Aufsichtspraxis auch Schulung und Sensibilisierung der Beschäftigten zählen, weil menschliches Fehlverhalten ein zentrales Datenschutzrisiko ist.
Hinzu kommt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO: Der Verantwortliche muss die Einhaltung der Datenschutzgrundsätze nicht nur sicherstellen, sondern auch nachweisen können. Dokumentierte Schulungen sind dafür ein gängiger Baustein, weil sie belegen, dass die Organisation ihre Beschäftigten aktiv in die Umsetzung der Grundsätze einbezogen hat. Art. 24 Abs. 1 DSGVO verpflichtet den Verantwortlichen ergänzend, durch geeignete technische und organisatorische Maßnahmen sicherzustellen und nachweisen zu können, dass die Verarbeitung im Einklang mit der Verordnung erfolgt — und diese Maßnahmen bei Bedarf zu überprüfen und zu aktualisieren.
Der rote Faden dieser Normen ist die Verbindung aus Handeln und Nachweisen: Es genügt nicht, Datenschutz zu „meinen“, er muss organisiert, dokumentiert und belegbar gelebt werden. Eine strukturierte, wiederkehrende Schulung ist eine der wenigen Maßnahmen, die alle vier Anforderungen zugleich adressiert — Sensibilisierung (Art. 39), Sicherheit durch Verhaltensänderung (Art. 32), Nachweisbarkeit (Art. 5 Abs. 2) und dokumentierte Gesamtverantwortung (Art. 24).
Grenze/Ausnahme: Aus keiner dieser Normen folgt eine konkrete Frequenz oder ein Mindeststandard-Curriculum. Sie begründen das „Ob“, nicht das „Wie oft“ oder „Wie genau“. Wer aus Art. 32 oder Art. 39 ein festes Jahresintervall herleitet, überdehnt den Wortlaut — diese Konkretisierung stammt aus Praxis und Aufsichtsempfehlungen, nicht aus dem Verordnungstext.
Die DSGVO nennt kein gesetzlich vorgeschriebenes Intervall. Es gibt keine Norm, die „jährlich“, „alle zwei Jahre“ oder einen anderen festen Turnus anordnet. Maßgeblich ist stattdessen ein risikobasierter, regelmäßiger Rhythmus: Art. 32 Abs. 1 lit. d DSGVO verlangt ausdrücklich „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit“ der Maßnahmen — was eine wiederkehrende, nicht einmalige Sensibilisierung nahelegt. Aus dem Merkmal „regelmäßig“ folgt somit ein Wiederholungsgedanke, aber eben keine bezifferte Frist.
Die in der Beratungs- und Aufsichtspraxis weit verbreitete Empfehlung lautet, mindestens jährlich zu schulen sowie zusätzlich anlassbezogen. Typische Anlässe sind das Onboarding neuer Beschäftigter, die Einführung neuer Verarbeitungstätigkeiten oder Tools, organisatorische Umstrukturierungen sowie die Nachbereitung von Datenschutzvorfällen oder Beinahe-Vorfällen. Wichtig (ANNAHME / Praxis-Einordnung): Dieses „mindestens jährlich“ ist eine etablierte Empfehlung zur Erfüllung des Regelmäßigkeitsgebots, kein in der DSGVO verankertes Pflichtintervall. Wer es einhält, bewegt sich auf der sicheren Seite der Nachweisbarkeit; wer davon abweicht, sollte die Abweichung risikobasiert begründen und dokumentieren können.
Grenze/Ausnahme: Bei besonders sensiblen Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten), hohem Verarbeitungsvolumen oder erhöhtem Risiko kann ein kürzeres Intervall geboten sein; bei sehr geringem Risiko kann ein längerer Abstand vertretbar sein. Ein starrer Kalender ersetzt die Risikobewertung nicht — er kann sie nur dokumentieren.
Praxis-Hinweis zur Dokumentation: Wer den gewählten Turnus nachvollziehbar festhalten möchte, dokumentiert in der Praxis typischerweise die zugrunde liegende Risikoeinschätzung, das festgelegte Intervall, die geschulten Personengruppen sowie Datum und Inhalt jeder Durchführung. Diese Dokumentation ist keine eigene DSGVO-Vorgabe für Schulungsintervalle, stützt aber die Rechenschaftspflicht aus Art. 5 Abs. 2 und Art. 24 DSGVO. Sie hilft zugleich, bei Personalwechseln und internen Prüfungen den Überblick zu behalten, ohne dass Wissen an einzelne Personen gebunden bleibt.
Zu schulen sind grundsätzlich alle Beschäftigten, die an Verarbeitungsvorgängen beteiligt sind — also nahezu jede Person, die im Arbeitsalltag mit personenbezogenen Daten in Berührung kommt. Art. 39 DSGVO spricht ausdrücklich von „der an den Verarbeitungsvorgängen beteiligten Mitarbeiter“. Das reicht in der Praxis weit über die IT-Abteilung hinaus:
Verantwortlich für die Organisation und Durchführung der Schulung ist der Verantwortliche (die Organisation bzw. Geschäftsleitung), während der Datenschutzbeauftragte beratend begleitet und die Umsetzung überwacht. Diese Rollentrennung ist wichtig: Der DSB plant und schult nicht zwingend selbst, sondern stellt sicher, dass geschult wird und die Maßnahmen wirksam sind.
Grenze/Ausnahme: Auch Organisationen ohne bestellten Datenschutzbeauftragten sind nicht von der Schulungs- und Sensibilisierungspflicht befreit — die Pflicht hängt an der Verarbeitung und der Rechenschaftspflicht, nicht an der Existenz eines DSB. Tiefe und Inhalt der Schulung dürfen und sollen nach Rolle und Datenzugriff differenziert werden; eine identische Pflichtschulung für alle ist weder gefordert noch immer sinnvoll.
Das passende Format hängt von Risiko, Rollen und Nachweisbedarf ab, nicht vom Medium. Der folgende Entscheidungsbaum hilft bei der Einordnung — er ist eine Orientierung, keine rechtsverbindliche Vorgabe:
Grenze/Ausnahme: Kein Format ist gesetzlich vorgeschrieben — Präsenz, Online oder Blended sind gleichwertig zulässig, solange Inhalt, Angemessenheit und Nachweisbarkeit stimmen. Entscheidend ist die Wirksamkeit (Art. 32 Abs. 1 lit. d DSGVO), nicht das Medium. Eine teure Präsenzschulung, die niemand versteht, erfüllt den Zweck schlechter als ein verständliches, gut dokumentiertes E-Learning.
Inhaltlich decken wirksame Schulungen in der Praxis meist wiederkehrende Kernthemen ab: die Grundprinzipien der Datenverarbeitung, den Umgang mit Betroffenenrechten, das Erkennen und Melden von Datenschutzvorfällen, sichere Passwörter und den Umgang mit Phishing sowie die internen Zuständigkeiten und Meldewege. Welche Themen im Vordergrund stehen, richtet sich nach der Rolle und dem tatsächlichen Datenzugriff der jeweiligen Gruppe. Auch diese Themenauswahl ist eine Praxis-Orientierung, kein von der DSGVO vorgeschriebener Pflichtkatalog.
Eine fehlende oder unzureichende Schulung ist nicht unmittelbar bußgeldbewehrt, kann aber mittelbar erhebliche Folgen haben. Bei einem Datenschutzvorfall prüfen Aufsichtsbehörden, ob der Verantwortliche seine Pflichten aus Art. 24 und Art. 32 DSGVO erfüllt hat — fehlende Sensibilisierung kann dann als Verstoß gegen die Pflicht zu geeigneten organisatorischen Maßnahmen gewertet werden. Art. 83 DSGVO – Allgemeine Bedingungen für die Verhängung von Geldbußen sieht für Verstöße gegen Art. 32 nach Art. 83 Abs. 4 Geldbußen von bis zu 10 Mio. Euro oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor, je nachdem, welcher Betrag höher ist.
Neben dem reinen Bußgeldrisiko sind die mittelbaren Folgen oft gewichtiger: Ein Vorfall, der auf mangelnde Sensibilisierung zurückgeht — etwa ein Klick auf eine Phishing-Mail oder ein Fehlversand mit offenem E-Mail-Verteiler — kann Meldepflichten gegenüber Aufsichtsbehörde und Betroffenen auslösen, Vertrauen bei Kundinnen und Kunden kosten und internen Aufwand für Aufarbeitung und Nachbesserung binden. Eine dokumentierte, regelmäßige Schulung wirkt hier doppelt: Sie senkt die Eintrittswahrscheinlichkeit menschlich verursachter Vorfälle und verbessert zugleich die Ausgangslage, falls es doch zu einer aufsichtsbehördlichen Prüfung kommt.
Grenze/Ausnahme: Ob und in welcher Höhe ein Bußgeld verhängt wird, beurteilt die zuständige Aufsichtsbehörde im konkreten Einzelfall anhand der Kriterien des Art. 83 Abs. 2 DSGVO — etwa Art, Schwere und Dauer des Verstoßes sowie Grad des Verschuldens und getroffene Abhilfemaßnahmen. Die genannten Beträge sind gesetzliche Obergrenzen, keine Regelbußgelder, und dieser Beitrag bewertet keinen konkreten Einzelfall.
Dieser Beitrag wertet ausschließlich Primärquellen aus: den Volltext der DSGVO (Verordnung (EU) 2016/679) über EUR-Lex sowie die konsolidierten Einzelartikel (Art. 5, 24, 32, 39, 83). Es wurde sorgfältig getrennt zwischen gesetzlich verankerter (indirekter) Pflicht und verbreiteter Praxis-Empfehlung (insbesondere beim „mindestens jährlich“). Weitere Beiträge zum Themenfeld finden Sie in unserer Kategorie Datenschutz & Informationssicherheit. Stand der Prüfung: 10. Juni 2026. Für rechtsverbindliche Auskünfte sind die jeweils aktuelle Fassung der Norm und die zuständige Aufsichtsbehörde maßgeblich.
Die DSGVO enthält keine ausdrückliche Norm „Schulungspflicht“, begründet diese aber indirekt über Art. 5, 24, 32 und 39 DSGVO. Für Mitarbeitende, die personenbezogene Daten verarbeiten, ist die Schulung daher faktisch verpflichtend. Verantwortlich für die Durchführung ist die Organisation selbst, nicht allein der Datenschutzbeauftragte.
Ein festes Intervall schreibt die DSGVO nicht vor; maßgeblich ist ein risikobasierter, regelmäßiger Rhythmus. In der Praxis hat sich „mindestens jährlich“ plus anlassbezogene Schulungen etabliert. Das ist jedoch eine Empfehlung, keine gesetzliche Frist. Den angemessenen Turnus legt jede Organisation nach ihrer Risikolage fest.
Grundsätzlich alle Beschäftigten, die an Verarbeitungsvorgängen beteiligt sind, also fast jede Person mit Zugriff auf personenbezogene Daten. Art. 39 DSGVO spricht von den „an den Verarbeitungsvorgängen beteiligten Mitarbeitern“. Tiefe und Inhalt dürfen nach Rolle und Datenzugriff differenziert werden.
Fehlende Schulung ist nicht unmittelbar bußgeldbewehrt, kann aber bei einem Vorfall als Verstoß gegen Art. 24 und 32 DSGVO gewertet werden. Art. 83 DSGVO sieht hierfür Bußgelder bis zu 10 Mio. Euro oder 2 % des Jahresumsatzes vor. Ob und wie hoch, entscheidet die Aufsichtsbehörde im Einzelfall.
Die DSGVO schreibt kein bestimmtes Format vor. Online-, Präsenz- und Blended-Formate sind gleichwertig zulässig, solange Inhalt, Angemessenheit und Nachweisbarkeit stimmen. Entscheidend ist die Wirksamkeit der Maßnahme im Sinne von Art. 32 Abs. 1 lit. d DSGVO sowie eine Dokumentation der Teilnahme.
Einblicke in das digitale Lernen der Zukunft mit Fokus auf KI, Compliance und moderne Schulungslösungen. Entdecken Sie die neuesten Beiträge und aktuelle Artikel, um praxisnahe Insights zu rechtssicherer, effizienter und automatisierter Weiterbildung im Unternehmen zu erhalten.
Unterweisungen und Weiterbildungen auditsicher, einfach und passgenau.
Hinweis: Texte, Bilder und Videos auf dieser Website wurden teilweise mit Künstlicher Intelligenz generiert.
Alle Inhalte dienen der Information und wurden sorgfältig journalistisch geprüft, erheben jedoch keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.
