DSGVO-Schulungen 2026: Was sich für deine Pflichtschulung geändert hat

2025 war ein Wendepunkt im deutschen Datenschutz-Alltag: Der BfDI-Tätigkeitsbericht stellte erstmals explizit fest, dass „jährliche, nachweisbare Schulungen aller Mitarbeiter" zum Stand der Technik gehören. Was vorher Empfehlung war, ist jetzt erwartet.

1. Jährliche Rezertifizierung ist Standard geworden

Vor 2024 reichte oft eine Einmal-Schulung beim Onboarding plus „bei Anlass". Aufsichtsbehörden haben diese Praxis zunehmend bemängelt. Der Hessische DSB hat in seinem 2025-er Bericht klargestellt: eine Schulung, deren letzter Termin mehr als 12 Monate zurückliegt, gilt als „nicht aktuell".

2. Bußgeld-Praxis hat sich verschärft

Die Bußgeld-Praxis 2025 zeigt zwei Trends: erstens steigen die Beträge — der Mittelwert lag bei 3,2 Mio EUR. Zweitens fließt das Vorhandensein und die Aktualität von Mitarbeiter-Schulungen in die Bemessung der Höhe ein. Wer nachweisen kann, dass er aktiv schult und dokumentiert, wird milder bewertet.

3. EU AI Act ändert die Themenliste

Seit August 2025 greift der AI Act voll. Für deine DSGVO-Schulung relevant: Mitarbeiter müssen verstehen, welche KI-Tools für welchen Zweck eingesetzt werden dürfen, und welche personenbezogenen Daten in KI-Eingaben gehören (und welche nicht). „Hat jemand schon mal ChatGPT für eine Personal-Akte verwendet?" wird Standard-Quiz-Frage.

Konkrete neue Themen für 2026

• KI-Eingabe-Prompts und versehentliche Datenweitergabe
• Hochrisiko-KI-Anwendungen nach AI Act Art. 6 (Personalwesen, Zugang zu Bildung, Strafverfolgung)
• Pflicht zur Kennzeichnung KI-generierter Inhalte
• Zusammenspiel DSGVO + AI Act: Welche Rechtsgrundlage gilt wann?

4. Mehr Praxisbezug statt Lehrbuch-Inhalt

Das größte Update ist nicht inhaltlich, sondern didaktisch: Aufsichtsbehörden haben in den letzten Tätigkeitsberichten mehrfach formuliert, dass „theoretische Vermittlung von Begrifflichkeiten" nicht ausreicht — der Mitarbeiter muss konkret-praktisch entscheiden können.

Das übersetzt sich in Schulungs-Anforderungen: Szenario-basierte Inhalte ersetzen Begriffs-Definitionen. Statt „Was ist ein personenbezogenes Datum?" → „Du bekommst per Slack eine Excel-Datei mit Kundenadressen. Was tust du?".

5. Hinweisgeberschutz schließt den Loop

Seit Juli 2023 schützt das HinSchG Hinweisgeber, die u.a. DSGVO-Verstöße melden. Praktisch heißt das: deine Mitarbeiter sollten wissen, dass sie etwas melden können (und wo), bevor sie es nicht tun. Eine kombinierte DSGVO-+-HinSchG-Schulung ist ab 2026 die Norm.

“

Wir haben das DSGVO-Curriculum 2026 komplett neu geschnitten — mit Mini-Modulen, Praxis-Szenarien und einer eigenen Lektion zu KI-Tools. Die Akzeptanz der Mitarbeiter ist messbar besser geworden.

Checkliste für deine 2026-er DSGVO-Schulung

• Liegt der letzte Termin > 12 Monate zurück? Dann ist 2026 Pflichtdatum.
• Sind KI-Tool-Anwendungen (ChatGPT, Copilot, Gemini) inhaltlich abgedeckt?
• Ist HinSchG inhaltlich mit drin (oder als verbundene Schulung)?
• Bist du von Theorie-Fragen auf Szenario-Fragen umgestiegen?
• Hast du einen Audit-Trail pro Mitarbeiter mit Zeitstempel + Score?