Stand: Juni 2026
Warum DSGVO-Mitarbeiterschulungen rechtlich erforderlich sind
Die Datenschutz-Grundverordnung nennt keine explizite Schulungspflicht, jedoch verlangt Art. 5 Abs. 2 die Rechenschaftspflicht. Verantwortliche müssen nachweisen, dass ihre Beschäftigten personenbezogene Daten regelkonform handhaben. Dieser Nachweis wird in der Praxis durch regelmäßige Unterweisungen erbracht.
Art. 39 DSGVO definiert die Aufgaben des Datenschutz-Beauftragten (DSB). Zu den Kernaufgaben gehört die Sensibilisierung der Belegschaft. Ohne dokumentierte Schulungen kann der DSB die Einhaltung der Vorschriften nicht belegen, was bei Kontrollen schnell zu Verstößen führt.
Ergänzend verpflichtet Art. 35 zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA), wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen birgt. Die DSFA erfordert die Einbindung betroffener Fachabteilungen, wozu gezielte Schulungen unverzichtbar sind.
Besondere Fälle fallen unter Art. 37 Abs. 1 lit. b/c: Bei sogenannten Kerntätigkeiten – etwa systematischer Beobachtung oder Verarbeitung besonderer Datenkategorien – besteht keinerlei Mitarbeiterschwelle. Hier greift die Pflicht bereits ab der ersten betroffenen Person, unabhängig von der Unternehmensgröße.
Die Schwelle von 20 Personen, die regelmäßig und automatisiert personenbezogene Daten verarbeitet, findet sich in § 38 BDSG. Sie gilt jedoch nur für Unternehmen, die diese Art der Verarbeitung dauerhaft betreiben; sie bedeutet nicht, dass jedes Unternehmen mit 20 Angestellten automatisch schulungspflichtig ist.
Um den gesetzlichen Anforderungen zu genügen, muss der Nachweis der Schulung dokumentiert werden – etwa durch Zertifikate, Lernfortschritts-Reports oder Jahres-Übersichten, die dem DSB vorgelegt werden können. Die Dokumentation muss mindestens jährlich aktualisiert werden, damit Aufsichtsbehörden einen aktuellen Überblick erhalten.
Weitere Details zur rechtlichen Einordnung finden sich in den Beiträgen von Anwalt.de und JuraForum.
§ 38 BDSG – Die 20‑Personen-Schwelle und ihre Bedeutung
§ 38 des Bundesdatenschutzgesetzes definiert eine Schwelle von zwanzig Personen, die regelmäßig und automatisiert personenbezogene Daten verarbeiten. Sie gilt nicht für die bloße Mitarbeiterzahl, sondern nur für Unternehmen, deren Kernprozesse auf automatisierter Datenverarbeitung beruhen. Unterschreitet ein Unternehmen diese Schwelle, greifen die vereinfachten Bestimmungen des BDSG, während bei Überschreiten ein ordnungsgemäßer Datenschutzbeauftragter (DSB) benannt werden muss.
Praktisch bedeutet das: Ein Onlineshop, der Bestellungen automatisch speichert und analysiert, fällt unter die Schwelle, sobald zwanzig Angestellte regelmäßig Bestelldaten verarbeiten. Im Gegensatz dazu ist ein Handwerksbetrieb, der ausschließlich Papierformulare nutzt und nur zehn Beschäftigte hat, nicht von § 38 erfasst.
Der Schwellenwert ist häufig mit der Verpflichtung zu einer Mitarbeiterschulung verknüpft, weil die DSGVO dennoch Rechenschaftspflicht verlangt. Die Schulung muss dokumentiert und mindestens jährlich aktualisiert werden, damit Aufsichtsbehörden den Nachweis akzeptieren.
Unternehmen, die die Schwelle überschreiten, sollten zudem KI-bezogene Datenschutzthemen in ihre Trainings integrieren, um komplexe Datenverarbeitungsprozesse abzudecken.
Moderne Lernplattformen wie Datenschutz-Schulung für Mitarbeiter bieten automatisierte Nachweis-Reports und Phishing-Simulationen, sodass Unternehmen sowohl die 20‑Personen-Schwelle als auch die weitergehenden DSGVO-Anforderungen effizient erfüllen können.
Art. 37 Abs. 1 lit. b/c DSGVO – Keine Schwelle bei Kerntätigkeit
Der