Datenschutzschulung dokumentieren: Teilnahme, Inhalt und Aufbewahrung

Eine Datenschutzschulung ist erst dann belastbar dokumentiert, wenn die Organisation den Anlass, die Zielgruppe, den vermittelten Inhalt und die Teilnahme nachvollziehbar zuordnen kann. Die DSGVO verlangt kein bestimmtes Formular und keine einheitliche Aufbewahrungsfrist. Sie verlangt aber ein System, mit dem sich die Erfüllung der datenschutzrechtlichen Verantwortung erklären lässt.

Dieser Beitrag zeigt, welche Angaben in einen Teilnahmenachweis gehören, wie Inhalte und Versionen festgehalten werden und wann eine Löschung geboten ist. Besondere Vorsicht brauchen individuelle Testergebnisse und Angaben zum Schulungsbedarf. Sie werden getrennt vom einfachen Anwesenheitsnachweis behandelt. Die allgemeine Prüfung technischer und organisatorischer Maßnahmen, Mitarbeiterüberwachung, Datenschutzverletzungen und die Bestellung eines Datenschutzbeauftragten sind eigene Themen.

Datenschutzschulungen sollen Personen erreichen, die personenbezogene Daten verarbeiten oder deren Verarbeitung organisatorisch beeinflussen. Art. 39 Abs. 1 lit. b DSGVO nennt die Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter ausdrücklich als Aufgabe des Datenschutzbeauftragten. Art. 29 DSGVO verlangt, dass Personen mit Zugang zu personenbezogenen Daten diese nur auf Weisung des Verantwortlichen verarbeiten, sofern keine gesetzliche Verpflichtung besteht.

Die Schulung ist damit ein Baustein der organisatorischen Verantwortung. Art. 24 DSGVO verpflichtet den Verantwortlichen, geeignete Maßnahmen umzusetzen und ihre Wirksamkeit erforderlichenfalls zu überprüfen und zu aktualisieren. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Für Personen mit Zugriff auf sensible Kunden-, Gesundheits- oder Beschäftigtendaten kann deshalb ein anderer Schulungsumfang erforderlich sein als für Personen mit seltenem und eng begrenztem Zugriff.

Aus diesen Vorschriften folgt keine Pflicht zu einer bestimmten Teilnahmebescheinigung. Die Organisation muss vielmehr zeigen können, wie sie ihre Maßnahmen ausgewählt und umgesetzt hat. Ein Nachweis kann aus mehreren verknüpften Unterlagen bestehen. Er sollte die Schulung einer Zielgruppe, einem Anlass und einem fachlich passenden Inhalt zuordnen.

Ein Teilnahmenachweis braucht nur jene Angaben, die für seinen Zweck erforderlich sind. Dazu gehören regelmäßig Name oder eine andere eindeutige Zuordnung, Schulungstermin, Zielgruppe und Status der Teilnahme. Bei einer digitalen Schulung kann die Organisation zusätzlich die abgeschlossene Einheit oder die bestätigte Kenntnisnahme vermerken. Der Nachweis soll verständlich machen, welche Personen erreicht wurden.

Eine bloße Liste mit Namen und Datum beantwortet die fachliche Frage nach dem vermittelten Stoff noch nicht. Verknüpfen Sie den Termin daher mit dem Titel der Schulung, der Version der Unterlage und dem behandelten Rollen- oder Risikobereich. Die vollständige Präsentation muss nicht zwingend an jeder Teilnehmerliste hängen. Ein stabiler Verweis auf den Speicherort oder ein Inhaltsvermerk muss aber auflösbar bleiben.

Bei Nachholterminen, Austritten oder einem Rollenwechsel sollte der Nachweis fortgeschrieben werden. Kennzeichnen Sie die Teilnahme klar und halten Sie offen gebliebene Schulungen getrennt fest. Die Dokumentation darf dabei nicht zu einem umfassenden Leistungsprofil werden. Für die Rechenschaftspflicht genügt in der Regel die Information, ob die erforderliche Schulung stattgefunden hat und welchem Inhalt sie galt.

Der Inhaltsnachweis muss den Stoff so beschreiben, dass eine spätere Prüfung den Bezug zur jeweiligen Zielgruppe erkennen kann. Möglich sind etwa die Themen Vertraulichkeit, Weisungen, sichere Freigaben, Umgang mit Betroffenenanfragen oder der Meldeweg bei Auffälligkeiten. Die Auswahl richtet sich nach den Verarbeitungsvorgängen und den Risiken im Unternehmen. Eine allgemeine Überschrift wie „Datenschutzschulung“ reicht dafür wenig.

Halten Sie das Veröffentlichungs- oder Aktualisierungsdatum der Unterlage fest. Bei wesentlichen Änderungen braucht die Organisation eine neue Version oder einen dokumentierten Änderungsvermerk. So bleibt sichtbar, welche Rechts- und Prozessinformation bei einem bestimmten Termin vermittelt wurde. Alte Versionen müssen nicht unbegrenzt aktiv verfügbar sein. Für den Nachweis kann aber eine geordnete Historie erforderlich sein, solange der jeweilige Zweck besteht.

Die Zielgruppe ist ein eigener Bestandteil des Nachweises. Beschäftigte mit Personalzugriffen, Kundenkontakt, Systemadministration oder externen Verarbeitungsaufgaben können unterschiedliche Beispiele und Vertiefungen benötigen. Bei einem Auftragsverarbeiter ist zusätzlich festzuhalten, welche vertragliche und organisatorische Regelung den Schulungsnachweis abdeckt. Interne und externe Nachweise dürfen verbunden werden, müssen aber in ihrer Verantwortlichkeit verständlich bleiben.

Ein kurzer Wissenstest kann zeigen, ob eine Schulung verstanden wurde. Die Auswertung erzeugt aber zusätzliche personenbezogene Daten. Prüfen Sie vorab, ob eine namentliche Speicherung erforderlich ist oder ob eine anonyme Auswertung, eine bloße Teilnahmebestätigung oder eine aggregierte Erfolgsquote für den Zweck genügt. Die Rechenschaftspflicht verlangt einen nachvollziehbaren Nachweis, nicht automatisch jede einzelne Antwort.

Angaben zu besonderen Schulungsbedürfnissen können Hinweise auf gesundheitliche, sprachliche oder sonstige persönliche Umstände enthalten. Solche Angaben dürfen nicht nebenbei in einer Teilnehmerliste landen. Legen Sie den Zweck, die Rechtsgrundlage, den erforderlichen Umfang und den berechtigten Empfängerkreis gesondert fest. Gesundheitsdaten im Sinn von Art. 4 Z 15 DSGVO unterliegen zusätzlich den Voraussetzungen des Art. 9 DSGVO.

Auch bei verpflichtenden Unterweisungen sollte die Organisation zwischen Schulungsstatus und beruflicher Bewertung unterscheiden. Ein fehlender Abschluss kann eine organisatorische Nachschulung auslösen. Dafür braucht es regelmäßig weniger Information als ein dauerhaftes Profil über Antworten, Fehler und Lernfortschritt. Zugriff und Aufbewahrung müssen sich an diesem engeren Zweck orientieren.

Die DSGVO legt für Schulungsnachweise keine einheitliche Zahl von Monaten oder Jahren fest. Art. 5 Abs. 1 lit. e DSGVO verlangt, personenbezogene Daten nur so lange aufzubewahren, wie es für die Zwecke erforderlich ist. Die Organisation muss daher zuerst klären, warum sie den Nachweis braucht. Die Antwort kann für den Teilnahmenachweis anders ausfallen als für eine alte Inhaltsversion oder ein individuelles Testergebnis.

Art. 17 DSGVO verlangt die Löschung, wenn personenbezogene Daten für die Zwecke nicht mehr erforderlich sind und kein vorrangiger Grund für ihre weitere Verarbeitung besteht. Gesetzliche Aufbewahrungspflichten oder die Notwendigkeit, einen konkreten Sachverhalt nachzuweisen, können die Prüfung beeinflussen. Eine pauschale Aussage, jede Schulungsunterlage müsse immer gleich lange gespeichert werden, ist deshalb nicht belastbar.

Erstellen Sie für die verschiedenen Dokumenttypen eine einfache Löschlogik. Die Teilnehmerliste, die Schulungsunterlage, der Versionsvermerk und ein Testergebnis können unterschiedliche Speicherorte und Fristen haben. Definieren Sie auch, wie Sicherungskopien, Exportdateien und Unterlagen beim externen Anbieter berücksichtigt werden. Eine periodische Prüfung verhindert, dass alte Listen allein aus Gewohnheit weitergeführt werden.

Externe Schulungsanbieter können Teilnehmerdaten, Zugangsdaten, Testergebnisse oder Nachweise über den Abschluss verarbeiten. Zuerst ist zu klären, welche Rolle der Anbieter bei der konkreten Verarbeitung hat. Werden personenbezogene Daten im Auftrag des Unternehmens verarbeitet, müssen die Anforderungen des Art. 28 DSGVO berücksichtigt werden. Dazu gehören die Verarbeitung auf dokumentierte Weisung, Vertraulichkeit und geeignete technische und organisatorische Maßnahmen.

Prüfen Sie, welche Daten der Anbieter tatsächlich erhebt und welche Bescheinigung das Unternehmen benötigt. Für die interne Rechenschaftspflicht kann ein Abschlussstatus ausreichen. Eine vollständige Antwortchronik oder ein detailliertes Nutzungsprotokoll kann dagegen einen zusätzlichen Zweck schaffen. Der Vertrag sollte außerdem regeln, wie Nachweise bereitgestellt, berichtigt, gelöscht und nach Ende der Leistung zurückgegeben oder entfernt werden.

Bei mehreren Anbietern müssen Zuständigkeiten erkennbar bleiben. Das Unternehmen sollte festlegen, wer die Inhalte freigibt, wer die Teilnahme prüft und wer Löschungen veranlasst. Zertifikate oder Standardberichte des Anbieters können den eigenen Nachweis unterstützen. Sie ersetzen jedoch nicht die Prüfung, ob Umfang, Zielgruppe und Speicherpraxis zur konkreten Verarbeitung passen.

Eine Schulung bleibt nicht durch ihr ursprüngliches Datum dauerhaft passend. Neue Systeme, geänderte Zuständigkeiten, neue Dienstleister oder ein geänderter Umgang mit Daten können eine Aktualisierung auslösen. Legen Sie fest, wer solche Änderungen erkennt und wer entscheidet, ob eine bestehende Schulung genügt. Der Anlass muss im Nachweis erkennbar sein, wenn eine aktualisierte Fassung verwendet wird.

Die Wirksamkeit lässt sich mit angemessenen Mitteln prüfen. Dazu gehören Rückmeldungen zum Verständnis, eine kurze anonyme Auswertung, die Kontrolle offener Teilnahmen oder die Prüfung, ob ein geänderter Prozess in der Praxis bekannt ist. Ein Test ist nur ein mögliches Mittel. Die Organisation sollte den Prüfweg an Risiko und Zielgruppe anpassen und aus dem Ergebnis eine konkrete Nachsteuerung ableiten.

Dokumentieren Sie Abweichungen sachlich. Wenn einzelne Personen eine Schulung versäumt haben oder ein Inhalt missverständlich war, reicht ein klarer Folgeschritt mit Zuständigkeit und Termin. Die Unterlagen sollen die organisatorische Entscheidung erklären. Sie müssen dafür keine lückenlose Überwachung des Arbeitsalltags abbilden. Eine datensparsame Dokumentation kann die Rechenschaftspflicht besser erfüllen als ein überladener Datensatz.

Für eine erste Prüfung können Sie die Unterlagen in vier Gruppen ordnen: Schulungsanlass und Zielgruppe, Inhalt und Version, Teilnahme sowie Aufbewahrung und Zugriff. Diese Ordnung macht sichtbar, ob die Dokumentation eine konkrete Verarbeitungssituation abbildet. Der Schwerpunkt zum Beschäftigtendatenschutz hilft bei der Einordnung, wenn Schulungen den Umgang mit Beschäftigtendaten betreffen.

Prüfen Sie anschließend die Verbindung zwischen dem Nachweis und den übrigen organisatorischen Unterlagen. Der Beitrag zu technischen und organisatorischen Maßnahmen erläutert, wie Zuständigkeiten, Risiken und Wirksamkeitsprüfungen dokumentiert werden. Bei einer Verarbeitung durch externe Anbieter ist die Übersicht zur Auftragsverarbeitung eine passende Ergänzung.

Zum Abschluss sollte für jede Dokumentgruppe ein verantwortlicher Zugriff und ein Prüfanlass feststehen. Die Seite zu Datenschutz-Governance und Compliance ordnet diese Aufgaben in die Organisation ein. Wenn Schulungsunterlagen zugleich einen Löschprozess auslösen, kann der Beitrag zum Zugriff auf Beschäftigtendaten bei der Rollenprüfung helfen.