DSGVO-Schulung für Mitarbeiter — verpflichtend, jährlich, online dokumentiert

Die DSGVO formuliert es indirekt über mehrere Artikel:

• Art. 32 Abs. 4 — Verantwortlicher muss sicherstellen, dass Beschäftigte personenbezogene Daten nur weisungsgebunden verarbeiten → setzt Wissen voraus → setzt Schulung voraus
• Art. 39 Abs. 1 b — Datenschutzbeauftragte überwachen die Sensibilisierung und Schulung
• BDSG § 6 Abs. 5 — DPO unterstützt bei Schulungsmaßnahmen

Fazit: Jede Mitarbeiterin und jeder Mitarbeiter mit Personenbezug-Berührung (HR, Vertrieb, Marketing, Support, Geschäftsführung) muss geschult werden — IT pflichtgemäß zusätzlich tiefer.

Die DSGVO schreibt kein explizites Intervall vor — die Aufsichtsbehörden haben sich aber auf jährlich verständigt (siehe Orientierungshilfe der DSK 2018, neu 2022). Zusätzlich:

• Bei Einstellung
• Bei wesentlicher Änderung des Tätigkeitsfeldes
• Nach Datenschutzvorfällen (LfD-Empfehlung)
• Bei Einführung neuer Verarbeitungsverfahren

Im Audit der Aufsichtsbehörde (BfDI, LfD) wird die lückenlose Schulungsdokumentation explizit angefordert.

Die Schulung muss den konkreten Arbeitsplatz abdecken — eine generische "DSGVO 101"-Schulung reicht nicht. Standard-Bausteine:

• Grundsätze Art. 5 — Zweckbindung, Datenminimierung, Speicherbegrenzung
• Rechtsgrundlagen Art. 6 — Einwilligung, Vertrag, berechtigtes Interesse
• Betroffenenrechte Art. 12-22 — Auskunft, Berichtigung, Löschung, Datenübertragbarkeit
• Meldepflicht bei Datenpannen Art. 33 — 72-Stunden-Frist, Meldung an die zuständige Aufsichtsbehörde
• Verarbeitungsverzeichnis Art. 30 — was muss dokumentiert sein
• Auftragsverarbeiter Art. 28 — AVV-Pflicht bei externen Dienstleistern
• Konkrete Praxis-Situationen — Phishing-Mails mit Bewerberdaten, Drucker mit unverschlüsselten Dokumenten, Kundenakten im Home-Office

Die Aufsichtsbehörden ahnden zunehmend organisatorische Schwächen — also Mitarbeiter-Fehler. Typische Vorfälle aus der LfD-Datenbank:

1. E-Mail an falschen Empfänger — Bewerberunterlagen an Wettbewerber (Bußgeld: 5.000-25.000 €)
2. Ungesicherter Drucker — Personalakten frei zugänglich im Großraumbüro
3. Phishing-Klick — Mitarbeiter gibt Login-Daten preis, Datenleck folgt (Bußgeld: 50.000-500.000 €)
4. Cloud-Sharing-Link — vertrauliches PDF ohne Passwort geteilt
5. Whatsapp-Gruppe — geschäftliche Kundendaten in privater Messenger-Gruppe

PlakosAI lehrt nicht nur Theorie, sondern trainiert konkrete Handlungsmuster für diese 5 Szenarien — mit Verzweigungs-Szenarien, in denen der Lerner Entscheidungen trifft.

Bei einer DSGVO-Prüfung (anlassbezogen oder routinemäßig) verlangt die Aufsichtsbehörde typischerweise:

• Schulungsplan — welche Themen, welche Frequenz, für welche Rollen
• Teilnehmerlisten — wer wurde wann geschult
• Inhaltsnachweis — was war Inhalt der Schulung
• Wissensnachweis — Quiz-Ergebnisse oder Wissens-Checks

PlakosAI generiert all das automatisch. Ein PDF-Audit-Bundle ist 1 Klick — kein Excel-Geflickschuster.