¶ Schulung und Verpflichtung
Beispieldokument: Dieses Verfahren ist ein Musterentwurf für die fiktive „Muster GmbH“. Zielgruppen, Inhalte, Intervalle, Verantwortlichkeiten, Verpflichtungstexte und Nachweise sind nicht organisationsbezogen freigegeben.
Verantwortungsregel: Der Verantwortliche beziehungsweise Auftragsverarbeiter organisiert angemessene Sensibilisierung und Schulung. Die oder der Datenschutzbeauftragte berät und überwacht im Rahmen der gesetzlichen Aufgaben; daraus folgt nicht automatisch die Pflicht, sämtliche Schulungen selbst durchzuführen.
Nachweisregel: Eine Einladung, ein Schulungsplan, ein versandter Hinweis, eine Unterschrift oder ein bestandener Wissenstest belegt für sich allein weder vollständiges Verständnis noch wirksame Anwendung im Arbeitsalltag.
Schutzregel: Personenbezogene Teilnahme-, Test-, Verpflichtungs- und Qualifikationsnachweise werden nur zweckgebunden, auf das erforderliche Maß begrenzt und in einer geschützten Ablage geführt. Das öffentliche Wiki enthält keine individuellen Lerndaten.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-ORG-01-06 |
| Dokumentenart | Verfahren für Datenschutzschulung, Awareness und Verpflichtung |
| Wiki.js-Pfad | /DSGVO/01-Governance-und-Organisation/Schulung-und-Verpflichtung |
| Verantwortlich | Geschäftsführung, Personalwesen und festzulegende Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Recht, Personalwesen, ISMS, Arbeitnehmervertretung und betroffene Fachbereiche |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – Zielgruppen, Inhalte, Fristen, Verpflichtungen, Nachweisablage und Wirksamkeitskriterien nicht organisationsbezogen freigegeben |
| Version | 0.4 |
| Stand | 09.08.2026 |
| Gültig ab | Nach fachlicher Prüfung, Beteiligung erforderlicher Stellen, technischer Erprobung und formaler Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern; personenbezogene Detailnachweise vertraulich und zugriffsbeschränkt |
| DSGVO-Bezug | Insbesondere Artikel 5 Absatz 2, 24, 25, 29, 32 Absatz 4 und 39 Absatz 1 Buchstabe b DSGVO |
| Nationaler Bezug | Insbesondere § 26 BDSG; zusätzlich Arbeits-, Mitbestimmungs-, Vertrags- und branchenspezifische Anforderungen prüfen |
| Schnittstellen | Datenschutzleitlinie, Rollen, Dokumentenlenkung, Personalwesen, ISMS-Schulungen, QM-4U, VVT, TOM, Vorfallmanagement und geschützte Nachweisablage |
Risikobasierter Lern- und Verpflichtungsprozess mit geschützter Nachweisführung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Dieses Verfahren stellt sicher, dass alle Personen mit datenschutzrelevanten Aufgaben:
- ihre Pflichten, Befugnisse und Meldewege kennen,
- vor Aufgaben- oder Zugriffsübernahme angemessen eingewiesen werden,
- Vertraulichkeits- und Weisungsanforderungen nachvollziehbar erhalten,
- regelmäßig und anlassbezogen sensibilisiert werden,
- für besondere Rollen vertiefte Fachkenntnisse erwerben,
- Fragen, Fehler, Datenschutzverletzungen und Interessenkonflikte sicher melden können,
- nur mit erforderlichen und geschützten Lerndaten erfasst werden,
- die vermittelten Anforderungen im Arbeitsalltag wirksam anwenden.
¶ 2. Geltungsbereich und Zielgruppen
Das Verfahren gilt risikobasiert für:
- Geschäftsführung und Führungskräfte,
- Beschäftigte, Auszubildende, Studierende sowie Praktikantinnen und Praktikanten,
- Personal-, IT-, Vertriebs-, Marketing-, Einkaufs- und Kundenservicefunktionen,
- Personen mit Zugriff auf besondere Kategorien personenbezogener Daten,
- Administratorinnen, Administratoren und privilegierte Rollen,
- Datenschutzkoordination, Prozess- und Systemverantwortliche,
- externe Beratende, Leiharbeitskräfte und Dienstleisterpersonal,
- Personen mit Aufgaben für Betroffenenrechte, Datenschutzverletzungen, VVT, DSFA oder Drittlandtransfers.
Umfang und Tiefe richten sich nach Tätigkeit, Verarbeitung, Schutzbedarf, Fehlerfolgen, Vorfällen, Rechtsänderungen und vorhandener Kompetenz. Ein einheitliches Basismodul für alle ersetzt keine rollenbezogene Vertiefung.
¶ 3. Grundsätze
- Schulungsbedarf wird aus tatsächlichen Aufgaben und Risiken abgeleitet.
- Erforderliche Einweisungen erfolgen vor selbstständiger Aufgaben- oder Zugriffsübernahme.
- Inhalte sind verständlich, praxisnah, aktuell und zielgruppengerecht.
- Verpflichtung, Information, Schulung, Wissenstest und Wirksamkeitsprüfung werden getrennt bewertet.
- Datenschutzschulung wird mit Informationssicherheit, Compliance und Qualitätsmanagement abgestimmt, ohne Datenschutzinhalte zu verwässern.
- Lerndaten werden nicht für sachfremde Leistungs- oder Verhaltenskontrollen verwendet.
- Nichtteilnahme, Verständnisprobleme und unwirksame Maßnahmen werden behandelt und nicht durch pauschale Bestätigungen verdeckt.
- Personenbezogene Detailnachweise bleiben geschützt; öffentliche Seiten enthalten nur Verfahren und Status.
- Schulungsunterlagen werden versioniert und bei wesentlichen Änderungen erneut geprüft.
- Eine technische Kursfreischaltung oder Teilnahmebestätigung ist keine automatische Wirksamkeitsaussage.
¶ 4. Rechtlicher Rahmen und Aussagegrenzen
Die DSGVO nennt keine für alle Organisationen einheitliche Schulungsdauer, kein allgemeines jährliches Pflichtintervall und kein bestimmtes Lernformat. Der Verantwortliche beziehungsweise Auftragsverarbeiter muss vielmehr risikogerecht sicherstellen, dass unterstellte Personen mit Datenzugang nur innerhalb zulässiger Weisungen verarbeiten und geeignete organisatorische Maßnahmen tatsächlich funktionieren.
| Rechtsbezug | Bedeutung für Schulung und Verpflichtung |
|---|---|
| Artikel 5 Absatz 2 und Artikel 24 DSGVO | Einhaltung muss nachweisbar organisiert, überprüft und erforderlichenfalls aktualisiert werden |
| Artikel 29 DSGVO | Personen unter der Aufsicht verarbeiten grundsätzlich nur auf Weisung |
| Artikel 32 Absatz 4 DSGVO | Verantwortlicher und Auftragsverarbeiter müssen entsprechende Sicherungsschritte treffen |
| Artikel 39 Absatz 1 Buchstabe b DSGVO | DSB überwacht unter anderem Zuständigkeitszuweisung, Sensibilisierung, Schulung und zugehörige Überprüfungen |
| § 26 BDSG und Artikel 88 DSGVO | Verarbeitung von Beschäftigten- und Lerndaten ist sachverhaltsbezogen zu bewerten |
Die Durchführung von Schulungen ist organisatorische Verantwortung des Verantwortlichen beziehungsweise Auftragsverarbeiters. Die oder der Datenschutzbeauftragte überwacht die Schulungen und kann im Rahmen der unabhängigen Beratungsaufgabe selbst unterrichten, muss aber nicht sämtliche Schulungen persönlich durchführen.
Ein festgelegter Turnus ist eine organisationsbezogene Steuerungsentscheidung. Zusätzlich zum Turnus müssen Eintritt, Rollenwechsel, Prozessänderung, Vorfall, Feststellung oder erkennbare Wissenslücke als mögliche Auslöser berücksichtigt werden.
¶ 5. Rollen und Verantwortlichkeiten
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Rahmen, Ressourcen, verbindliche Zielgruppen und Eskalationsregeln freigeben |
| Führungskräfte | tätigkeitsbezogenen Bedarf erkennen, Teilnahme ermöglichen und Anwendung unterstützen |
| Personalwesen | Eintritt, Rollenwechsel, Abwesenheit, Austritt und geschützte Nachweisführung koordinieren |
| Datenschutzkoordination | Schulungsprogramm, Zielgruppenmatrix, Termine, Status und Maßnahmen koordinieren |
| Datenschutzbeauftragte/r | beraten; Sensibilisierung, Schulung und zugehörige Überprüfungen unabhängig überwachen |
| Fach- und Prozesseigner | konkrete Verarbeitung, Risiken, Arbeitsabläufe und Fallbeispiele fachlich einbringen |
| ISMS-/IT-Rollen | gemeinsame Sicherheitsinhalte, sichere Nutzung und Vorfallmeldewege abstimmen |
| Lehrende / Kursverantwortliche | freigegebene Inhalte vermitteln, Fragen beantworten und Nachweise korrekt erzeugen |
| Teilnehmende | aufmerksam mitwirken, Unklarheiten melden und Vorgaben im Aufgabenbereich anwenden |
| Wiki-/Lernplattform-Administration | Rechte, Verfügbarkeit, Schutz, Export und technische Nachweisfunktion betreiben |
| Arbeitnehmervertretung | Beteiligungs- und Mitbestimmungsrechte im konkreten Verfahren wahrnehmen, soweit einschlägig |
Die Rollen und Verantwortlichkeiten bleiben für Befugnisse, Vertretungen und Eskalationen führend.
¶ 6. Ermittlung des Schulungsbedarfs
Mindestens jährlich und anlassbezogen werden je Rolle bewertet:
- verarbeitete Datenarten und betroffene Personengruppen,
- Zwecke, Systeme, Empfänger und Übermittlungswege,
- Umfang und Regelmäßigkeit des Datenzugriffs,
- besondere Datenkategorien, Strafdaten oder Daten von Schutzbedürftigen,
- Entscheidungs-, Administrations- und Freigabebefugnisse,
- bisherige Fehler, Vorfälle, Beschwerden und Kontrollfeststellungen,
- neue Rechts-, Behörden-, Vertrags- oder Kundenanforderungen,
- Änderungen an Prozessen, Systemen, Dienstleistern oder Arbeitsformen,
- vorhandene Kenntnisse und festgestellte Kompetenzlücken.
Das Ergebnis ist eine Zielgruppen- und Themenmatrix. Sie begründet, wer welche Einweisung bis wann benötigt und wie Verständnis und Wirksamkeit geprüft werden.
¶ 6.1 Lern- und Kompetenzstufen
| Stufe | Zweck | typisches Ergebnis |
|---|---|---|
| 0 – Information | kurze Änderung oder konkrete Erinnerung bekannt machen | Zielgruppe kennt neue oder geänderte Vorgabe |
| 1 – Basis | gemeinsames Mindestverständnis und Meldewege schaffen | Person erkennt Standardsituationen und weiß, wo sie Hilfe erhält |
| 2 – Rollenvertiefung | tätigkeitsbezogene Entscheidungen und sichere Ausführung ermöglichen | Rolle kann typische Fälle im eigenen Prozess bearbeiten |
| 3 – Fach-/Schlüsselrolle | komplexe Bewertung, Beratung oder Freigabe unterstützen | Rolle kann Methodik anwenden und Grenzen beziehungsweise Eskalation erkennen |
| 4 – Übung / Transfer | Verhalten unter realistischen Bedingungen erproben | Anwendung, Zusammenarbeit und Nachweisqualität werden bewertet |
Nicht jede Person benötigt alle Stufen. Für privilegierte, entscheidende oder besonders risikobehaftete Aufgaben reicht eine allgemeine Basisschulung regelmäßig nicht als alleinige Maßnahme.
¶ 7. Schulungs- und Verpflichtungsanlässe
| Anlass | Mindestreaktion |
|---|---|
| Eintritt oder erstmalige Beauftragung | Basiseinweisung, Meldewege, Vertraulichkeit und rollenbezogene Vorgaben vor Aufgabenübernahme |
| Rollen- oder Aufgabenwechsel | Delta-Schulung zu neuen Daten, Systemen, Risiken und Befugnissen |
| neues oder wesentlich geändertes Verfahren | Einweisung vor produktiver Nutzung |
| Rechts-, Behörden- oder Vertragsänderung | Relevanz bewerten und betroffene Zielgruppen informieren beziehungsweise schulen |
| Datenschutzverletzung oder Beinaheereignis | Ursachenbezogene Sensibilisierung ohne unangemessene Bloßstellung |
| Audit-, Kontroll- oder Beschwerdefeststellung | Korrekturmaßnahme und gezielte Wiederholung beziehungsweise Vertiefung |
| längere Abwesenheit | Aktualisierungsbedarf vor Wiederaufnahme risikobehafteter Aufgaben prüfen |
| regelmäßiger Turnus | Grundwissen auffrischen und geänderte Anforderungen behandeln |
| Austritt oder Vertragsende | fortgeltende Vertraulichkeit, Rückgabe, Löschung und Meldewege bestätigen |
¶ 8. Datenschutz-Basisschulung
Das Basismodul behandelt abhängig von der Organisation mindestens:
- Datenschutzgrundsätze und Rechenschaftspflicht,
- Rollen von Verantwortlichem, Auftragsverarbeiter und Datenschutzbeauftragtem,
- Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung,
- sichere Erhebung, Nutzung, Übermittlung, Aufbewahrung und Löschung,
- Informationspflichten und Erkennen von Betroffenenanfragen,
- Umgang mit besonderen Kategorien personenbezogener Daten,
- Arbeitsplatz-, E-Mail-, Telefon-, Mobil- und Homeoffice-Situationen,
- Passwort-, Zugriffs-, Freigabe- und Clean-Desk-Regeln an der ISMS-Schnittstelle,
- Erkennen und unverzügliches Melden möglicher Datenschutzverletzungen,
- Schutz vor Fehlversand, Social Engineering und unbefugter Offenlegung,
- interne Funktionskontakte, Eskalation und Verbot eigenmächtiger Außenkommunikation.
¶ 9. Rollenbezogene Vertiefungen
| Zielgruppe | Typische Vertiefung |
|---|---|
| Geschäftsführung | Rechenschaftspflicht, Ressourcen, Risiken, Berichte und Entscheidungen |
| Führungskräfte | Weisungen, Eskalation, Beschäftigtendaten, Kontrollen und Vorbildfunktion |
| Personalwesen | Bewerbungs-, Beschäftigten- und Austrittsdaten, Berechtigungen, Fristen und Vertraulichkeit |
| IT / Administration | Datenschutz durch Technikgestaltung, Protokollierung, Berechtigungen, Wiederherstellung und Vorfälle |
| Marketing / Vertrieb | Rechtsgrundlagen, Einwilligung, Direktwerbung, Tracking und Informationspflichten |
| Einkauf / Lieferantenmanagement | Auftragsverarbeitung, Unterauftragnehmer, Drittlandtransfer und Kontrollrechte |
| Kundenservice | Identitätsprüfung, Betroffenenanfragen, sichere Kommunikation und Beschwerdeweiterleitung |
| Entwicklung / Projekte | Privacy by Design, Anforderungsanalyse, Tests, DSFA-Screening und Datenminimierung |
| Vorfallteam | Bewertung, Dokumentation, 72-Stunden-Frist, Behörden- und Betroffenenkommunikation |
| VVT-/Prozessverantwortliche | Zwecke, Rechtsgrundlagen, Datenflüsse, Empfänger, Fristen und TOM |
Die Tabelle ist eine Planungsgrundlage. Die tatsächliche Zuordnung folgt der organisationsbezogenen Bedarfsanalyse.
¶ 10. Interaktiver Schulungsbedarfs-Navigator
Der Navigator verbindet eine typische Tätigkeit mit einem Schulungsanlass. Er liefert einen Planungsvorschlag für Lernumfang, Zeitpunkt, Transferprüfung und Nachweis. Die Auswahl wird nicht gespeichert und weist weder Teilnahme noch Kompetenz oder Wirksamkeit nach.
¶ 10.1 Planungsvorschlag verbindlich machen
- Tatsächliche Verarbeitung, Datenarten, Systeme und Fehlerfolgen bestätigen.
- Vorschlag mit Rollen-, Zielgruppen- und Risikomatrix abgleichen.
- Freigegebene Inhalte, Kursversion, Lernform, Frist und Vertretung festlegen.
- Datenschutz- und Mitbestimmungsanforderungen der Lerndaten prüfen.
- Transfer- und Wirksamkeitskriterium vor Durchführung bestimmen.
- Erst nach fachlicher Prüfung und formaler Freigabe zuweisen.
¶ 11. Verpflichtung auf Vertraulichkeit und Weisungen
Verpflichtungen werden vor der relevanten Tätigkeit verständlich erläutert und dokumentieren mindestens:
- Geltungsbereich und betroffene Tätigkeiten,
- vertraulichen Umgang mit personenbezogenen Daten,
- Verarbeitung nur innerhalb zulässiger Aufgaben und Weisungen,
- Schutz von Zugängen, Arbeitsmitteln und Unterlagen,
- unverzügliche Meldung von Fehlern, Verlusten und unbefugten Zugriffen,
- Verbot unbefugter Weitergabe, Kopie oder privater Nutzung,
- Rückgabe, Löschung und fortgeltende Pflichten bei Rollenwechsel oder Austritt,
- mögliche arbeits-, vertrags- oder strafrechtliche Folgen nach tatsächlicher Rechtslage,
- Kontakt für Fragen und Meldungen,
- Version, Datum, verpflichtende Stelle und bestätigende Person.
Eine Vertraulichkeitsverpflichtung ist keine pauschale Einwilligung in die Verarbeitung von Beschäftigtendaten. Unzulässige oder unklare Weisungen dürfen nicht durch eine Unterschrift legitimiert werden.
¶ 12. Onboarding vor Aufgaben- und Zugriffsübernahme
Vor selbstständiger Verarbeitung personenbezogener Daten wird geprüft:
- Ist die Rolle eindeutig beschrieben und fachlich zugeordnet?
- Welche Daten, Systeme und physischen Bereiche werden benötigt?
- Welche Basisschulung und rollenbezogene Einweisung sind erforderlich?
- Wurde die gültige Vertraulichkeits- und Weisungsregel erläutert?
- Sind Meldewege und Funktionskontakte bekannt?
- Wurde nur der erforderliche Zugriff freigegeben?
- Sind Teilnahme, offene Punkte und gegebenenfalls Aufsicht bis zum Abschluss dokumentiert?
Fehlt eine zwingende Einweisung, wird der Zugriff nicht stillschweigend freigeschaltet. Eine dokumentierte Übergangslösung muss Risiko, Aufsicht, Befristung und Abschluss enthalten.
¶ 13. Laufende Awareness
Awareness ergänzt formale Schulungen durch kurze, wiederkehrende Impulse, zum Beispiel:
- Fallbeispiele zu Fehlversand, Auskunft, Telefonanfragen oder offenem Bildschirm,
- Hinweise bei neuen Betrugs- oder Social-Engineering-Mustern,
- kurze Teamgespräche nach Prozessänderungen,
- Poster, Intranetbeiträge oder Lernkarten mit geprüftem Inhalt,
- Simulationen und Übungen mit datenschutzgerechter Auswertung,
- anonymisierte Erkenntnisse aus Vorfällen, Audits oder Beschwerden.
Awareness-Maßnahmen werden nicht als individuelle Überwachungsfalle gestaltet. Simulationen, Auswertungen und mögliche arbeitsrechtliche Folgen werden vorab rechtlich, datenschutzrechtlich und gegebenenfalls mit der Arbeitnehmervertretung bewertet.
¶ 14. Externe Personen und Dienstleister
Für externe Personen wird vor Zugang oder Aufgabenübernahme festgelegt:
- welche internen Regeln und Meldewege gelten,
- ob der Dienstleister eigenes qualifiziertes Personal nachweisen muss,
- welche Schulung durch die Organisation oder den Auftragnehmer erfolgt,
- wie Vertraulichkeit, Weisung und Unterauftragnehmer geregelt sind,
- welche Teilnahme- oder Kompetenznachweise erforderlich und zulässig sind,
- wie Zugriffe bei Wechsel oder Vertragsende entzogen werden.
Ein pauschaler Vertragssatz ersetzt keine angemessene Einweisung in konkrete Systeme, Prozesse und Meldemöglichkeiten.
¶ 15. Lernformen und Barrierearmut
Je Ziel und Zielgruppe können kombiniert werden:
- Präsenzschulung,
- Live-Online-Schulung,
- E-Learning mit Lernpfad,
- arbeitsplatznahe Einweisung,
- moderierte Fallbesprechung,
- Kurzimpuls oder Lernkarte,
- Übung, Simulation oder Tabletop,
- Selbststudium mit dokumentierter Rückfragemöglichkeit.
Sprache, Vorwissen, Tätigkeit, technische Ausstattung, Barrierefreiheit und Schichtmodelle werden berücksichtigt. Kritische Inhalte müssen auch ohne dauerhaften Zugang zum Wiki erreichbar sein.
¶ 15.1 Faire Wissens- und Transferprüfung
Prüfungen werden auf das Lernziel begrenzt und so gestaltet, dass sie tatsächliches Verständnis statt Zufall oder unnötige Detailerinnerung erfassen. Mindestens werden geprüft:
- eindeutige, fachlich richtige und verständliche Fragen,
- realistische Fälle ohne unnötige personenbezogene Daten,
- angemessene Bestehens- und Wiederholungsregel,
- barrierearme Alternative und erreichbarer Unterstützungsweg,
- Schutz vor sachfremder Leistungs- oder Verhaltenskontrolle,
- dokumentierte Behandlung fehlerhafter oder missverständlicher Aufgaben,
- begrenzte Aussagekraft des Testergebnisses.
¶ 16. E-Learning mit QM-4U
Das E-Learning-Portal QM-4U kann für kundenbezogene Datenschutz-, Awareness- und Managementsystemschulungen eingesetzt werden. Das Angebot wird sukzessive erweitert.
Vor dem Einsatz werden mindestens festgelegt:
- freigeschaltete Zielgruppen und Kurse,
- zulässige Lerndaten und Rechtsgrundlage,
- Rollen für Administration, Support und Auswertung,
- Aufbewahrung und Löschung von Lern- und Nachweisdaten,
- Umgang mit fehlender Teilnahme oder nicht bestandenem Test,
- Export beziehungsweise geschützte Sicherung erforderlicher Nachweise,
- ergänzende praktische Einweisung und Wirksamkeitskontrolle.
QM-4U – E-Learning-Portal in neuem Tab öffnen
¶ 17. Datenschutz der Schulungs- und Lerndaten
Vor Erhebung personenbezogener Lerndaten werden Zweck, Rechtsgrundlage, Empfänger, Frist, Information und Schutz festgelegt. Erfasst werden nur erforderliche Angaben, zum Beispiel:
- eindeutige Person oder zulässige Personalreferenz,
- zugeordnete Zielgruppe und Kursversion,
- Freischaltungs-, Teilnahme- und Abschlussstatus,
- erforderliches Abschlussdatum,
- Testergebnis nur in der notwendigen Granularität,
- offene Wiederholung oder dokumentierte Ausnahme.
Nicht ohne gesonderte Prüfung erhoben oder verwendet werden insbesondere detaillierte Klickpfade, unnötige Bearbeitungszeiten, verdeckte Leistungsprofile oder Ranglisten. Zugriffe auf Lerndaten werden rollenbasiert begrenzt und protokolliert.
¶ 18. Verständnis, Lernerfolg und Wirksamkeit
| Prüfebene | Beispiel | Aussagegrenze |
|---|---|---|
| Bereitstellung | Kurs oder Unterlage freigeschaltet | belegt keine Kenntnisnahme |
| Teilnahme | definierte Lerneinheit abgeschlossen | belegt noch kein Verständnis |
| Wissen | angemessene Fragen oder Fallentscheidung | belegt Wissen in der Prüfsituation |
| Anwendung | Arbeitsprobe, Beobachtung oder Prozesskontrolle | zeigt Verhalten in ausgewählten Situationen |
| Ergebnis | weniger relevante Fehler, bessere Meldungen, bestandene Kontrollen | kann Wirksamkeit stützen; Ursachen und Nebenwirkungen prüfen |
Wirksamkeit wird risikobasiert und möglichst mit mehreren Quellen bewertet. Eine sinkende Vorfallzahl kann auch auf Untererfassung beruhen; eine steigende Meldezahl kann zunächst bessere Aufmerksamkeit zeigen.
¶ 18.1 Beispiel für eine Wirksamkeitskette
Lernziel → freigegebener Inhalt → tatsächliche Teilnahme → Wissen/Fallentscheidung → Anwendung im Prozess → Ergebniskennzahl → Abweichung oder Verbesserung
Für eine Wirksamkeitsaussage werden Scope, Zeitraum, Stichprobe, Sollkriterium, Ergebnis und bekannte Einflussfaktoren dokumentiert. Ein bestandener Test kann Wissen in einer Prüfsituation belegen; die korrekte Anwendung im Arbeitsalltag benötigt zusätzliche Beobachtungen oder Prozessnachweise.
¶ 19. Nichtteilnahme, Fehlversuche und Ausnahmen
Bei Fristüberschreitung oder unzureichendem Ergebnis werden abgestuft geprüft:
- technische, sprachliche, organisatorische oder gesundheitliche Hindernisse,
- erneute Bereitstellung oder alternative Lernform,
- persönliche Klärung und gezielte Unterstützung,
- Wiederholung beziehungsweise praktische Einweisung,
- befristete Aufsicht oder Einschränkung risikoreicher Zugriffe,
- Eskalation an Führungskraft und zuständige Fachrolle,
- dokumentierte Ausnahme nur mit Begründung, Risiko, Befristung und Genehmigung.
Automatische Sanktionen allein aufgrund eines Testergebnisses werden nicht ohne rechtliche, fachliche und mitbestimmungsbezogene Prüfung eingesetzt.
¶ 20. Schulungs- und Verpflichtungsnachweise
Geschützt geführt werden je nach Bedarf:
- freigegebenes Schulungsprogramm und Zielgruppenmatrix,
- Kurs-, Präsentations- oder Unterweisungsfassung mit Version,
- Einladung beziehungsweise Freischaltung,
- tatsächliche Teilnahme oder dokumentierte Abwesenheit,
- Verpflichtungsfassung und Bestätigung,
- erforderliches Testergebnis oder dokumentierte praktische Einweisung,
- Wiederholungen, offene Punkte und genehmigte Ausnahmen,
- Trainer- beziehungsweise Kursverantwortung,
- Auswertung, Feststellungen und Folgemaßnahmen,
- Wirksamkeitsprüfung und Reviewentscheidung.
Das öffentliche Wiki enthält weder reale Teilnehmerlisten noch persönliche Testergebnisse, Unterschriften oder individuelle Leistungsdaten. Die Metadaten- und Schutzregeln folgen der Dokumenten- und Nachweislenkung.
¶ 21. Statusmodell
| Status | Bedeutung |
|---|---|
| Bedarf festgestellt | Zielgruppe, Thema und Anlass sind bestimmt |
| Geplant | Inhalt, Termin, Verantwortliche und Lernform sind vorgesehen |
| Freigegeben | Inhalt und Durchführung sind fachlich freigegeben |
| Freigeschaltet / eingeladen | Zugang oder Termin wurde bereitgestellt |
| In Bearbeitung | Teilnahme hat begonnen, ist aber nicht abgeschlossen |
| Abgeschlossen | definierte Teilnahmebedingungen wurden erfüllt |
| Nachzuholen | Abschluss fehlt oder reicht nicht aus |
| Ausnahme genehmigt | befristete und begründete Abweichung ist dokumentiert |
| Wirksamkeit offen | Lernerfolg oder Anwendung ist noch nicht bewertet |
| Wirksam / unwirksam | Wirkung wurde anhand festgelegter Kriterien bewertet |
¶ 22. Leeres Schulungsprogramm
Strukturmuster: Diese Tabelle enthält keine realen Personen, Termine oder Nachweise und darf nicht als durchgeführtes Schulungsprogramm verstanden werden.
| ID | Zielgruppe | Thema / Anlass | Lernziel | Format | Frist / Turnus | Owner | Nachweis | Wirksamkeitskriterium | Status |
|---|---|---|---|---|---|---|---|---|---|
[TR-XXX] |
[Rolle/Gruppe] |
[Thema] |
[beobachtbares Ziel] |
[Format] |
[Frist] |
[Rolle] |
[geschützte Referenz] |
[Kriterium] |
[Status] |
¶ 23. Inhaltslenkung und Qualitätsfreigabe
Vor Veröffentlichung oder Zuweisung eines Kurses beziehungsweise einer Unterweisung werden mindestens kontrolliert:
| Prüffeld | Qualitätsfrage |
|---|---|
| fachlicher Stand | stimmen Recht, interne Verfahren, Rollen und Meldewege mit dem freigegebenen Stand überein? |
| Zielgruppe | passen Sprache, Tiefe, Beispiele und Dauer zur Tätigkeit und zum Risiko? |
| Lernziel | ist beobachtbar beschrieben, was die Person anschließend erkennen oder tun können soll? |
| Praxisbezug | zeigen Fälle die tatsächlichen Systeme, Prozesse und Entscheidungssituationen ohne vertrauliche Details offenzulegen? |
| Prüfung | misst sie das Lernziel fair und enthält sie einen Unterstützungs- und Korrekturweg? |
| Barrierearmut | sind Bedienung, Medien, Sprache, Untertitel und Alternativen angemessen? |
| Datenschutz | werden nur erforderliche Lern- und Nachweisdaten erhoben und geschützt? |
| Version und Freigabe | sind Owner, Version, Änderungsanlass, Prüfer, Freigabe und Gültigkeit eindeutig? |
| Notfallzugang | bleiben kritische Melde- und Verhaltensregeln bei Plattformausfall verfügbar? |
Bei einer fehlerhaften Schulung wird nicht lediglich die Datei ersetzt. Betroffene Zielgruppen, falsche Aussage, Risiko, erforderliche Korrekturinformation, Wiederholungsbedarf und Nachweise werden bewertet.
¶ 24. Kennzahlen und Aussagegrenzen
Mögliche Kennzahlen sind:
- fristgerecht abgeschlossene Pflichtschulungen,
- offene Erst- und Wiederholungsschulungen,
- Zeit zwischen Eintritt beziehungsweise Rollenwechsel und erforderlicher Einweisung,
- Quote angemessen bestandener Wissenstests,
- Anteil praktisch geprüfter Hochrisikorollen,
- umgesetzte Maßnahmen aus Lern- und Wirksamkeitsauswertungen,
- wiederkehrende Fehlerarten trotz Schulung.
Kennzahlen werden nur mit Ziel, Datenquelle, Verantwortlichkeit, Schutz, Zeitraum und Aussagegrenze verwendet. Eine hohe Teilnahmequote allein belegt keine Datenschutzkonformität.
¶ 25. Review- und Änderungsanlässe
Das Verfahren und einzelne Inhalte werden geprüft bei:
- Rechts-, Behörden- oder wesentlichen Rechtsprechungsänderungen,
- neuen Verarbeitungen, Systemen, KI-Anwendungen oder Empfängern,
- Rollen-, Standort-, Dienstleister- oder Organisationsänderungen,
- Datenschutzverletzungen, Beschwerden oder Betroffenenanfragen,
- Audit- und Kontrollfeststellungen,
- wiederkehrenden Fehlern oder unzureichenden Testergebnissen,
- geänderten Arbeitsformen, Zugriffswegen oder Bedrohungen,
- Wechsel der Lernplattform oder Nachweisablage.
¶ 26. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| DSGVO-Startseite | Navigation und dokumentierter Gesamtstatus |
| Datenschutzleitlinie | übergeordnete Grundsätze und Führungsverpflichtung |
| Rollen und Verantwortlichkeiten | Aufgaben, Befugnisse, Vertretung und Eskalation |
| Datenschutzbeauftragte und Kontakte | Beratung, Überwachung und Funktionskontakte |
| Dokumenten- und Nachweislenkung | Versionierung, Freigabe, Schutz und Aufbewahrung |
| ISMS – Personal und Schulungen | Personalsicherheit, Kompetenz und gemeinsame Awareness |
| E-Learning-Portal QM-4U | kundenbezogenes digitales Lernangebot |
| ISMS – Schulungs- und Awarenessnachweise | geschützte Nachweisstruktur und Wirksamkeitsgrenzen |
| Technische und organisatorische Maßnahmen | organisatorische Maßnahmen, Schulungspflichten und Wirksamkeitsnachweise |
| Meldeweg für Datenschutzverletzungen | verbindlicher Meldeweg und Basis für Fallübungen |
| Kontakt- und Eskalationslisten | geschützte operative Erreichbarkeit und Vertretung |
| Datenschutz-Kontrollprogramm | risikobasierte Kontrollen und Wirksamkeitsprüfungen |
¶ 27. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Datenschutz-Awareness, zielgruppengerechten Schulungen und geschützter Nachweisführung
| SMCT-Information | Beschreibung |
|---|---|
| Datenschutzmanagement | Rollen, Verfahren, Schulungen, Risiken und Kontrollen verbinden |
| Datenschutz-Leistungen | Unterstützung beim Aufbau und bei der Weiterentwicklung der Datenschutzorganisation |
| QM-4U E-Learning | digitales Lernangebot für freigeschaltete Kunden; sukzessiver Ausbau |
Erstgespräch unter info@smct-management.de vereinbaren
Die SMCT- und QM-4U-Links sind ergänzende Fach- und Leistungsinformationen. Maßgeblich bleiben amtliche Rechtsquellen, die konkrete Verarbeitungssituation und die organisationsbezogene Rechts- und Risikobewertung.
¶ 28. Offizielle Quellen
- Datenschutz-Grundverordnung – amtlicher Text bei EUR-Lex
- § 26 BDSG – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
- BfDI – Datenschutzbeauftragte, Aufgaben und Sensibilisierung
- BfDI – Einführung zum Beschäftigtendatenschutz
¶ 29. Freigabeprüfung
- Sind Zielgruppen, Tätigkeiten, Risiken und erforderliche Kompetenzen organisationsbezogen ermittelt?
- Sind Basis-, Rollen-, Anlass- und Wiederholungsschulungen nachvollziehbar zugeordnet?
- Erfolgt die erforderliche Einweisung vor Aufgaben- und Zugriffsübernahme?
- Sind Verpflichtung, Schulung, Wissenstest und Wirksamkeitsprüfung getrennt?
- Sind die Rolle des Verantwortlichen und die unabhängige DSB-Überwachung richtig abgegrenzt?
- Sind Inhalte fachlich geprüft, versioniert, verständlich und praktisch anwendbar?
- Sind externe Personen, Dienstleister und Vertretungen angemessen einbezogen?
- Werden Lern- und Teilnahmedaten zweckgebunden, sparsam, geschützt und fristgerecht gelöscht?
- Sind Nichtteilnahme, Wiederholung, Ausnahmen und Eskalationen angemessen geregelt?
- Werden reale Teilnehmer-, Test- und Verpflichtungsnachweise ausschließlich geschützt geführt?
- Ist die Erreichbarkeit kritischer Inhalte auch bei Wiki- oder Plattformausfall geregelt?
- Wird Wirksamkeit anhand geeigneter Kriterien statt nur anhand der Teilnahmequote bewertet?
- Sind Schulungsinhalte, Prüfungen und Meldewege versioniert, fachlich geprüft und freigegeben?
- Sind die inzwischen vorhandenen Melde-, Eskalations- und Kontrollseiten in Lernpfade und Übungen eingebunden?
Eine vorhandene Schulungsseite, Kursfreischaltung oder Verpflichtungsdatei bestätigt weder Durchführung noch Verständnis, Anwendung oder Wirksamkeit. Diese Aussagen benötigen jeweils passende und geschützte Nachweise.
¶ 30. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.4 | 09.08.2026 | Rechtlichen Rahmen und Turnusgrenzen, Lern- und Kompetenzstufen, interaktiven Schulungsbedarfs-Navigator, faire Prüfgestaltung, Wirksamkeitskette und Inhaltsfreigabe ergänzt; vorhandene Melde-, Eskalations- und Kontrollseiten statt Planungshinweis verknüpft; externe amtliche Links für neuen Tab vorbereitet | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.3 | 08.08.2026 | Meldeweg und Kontakt-/Eskalationslisten als verbindliche Schulungs- und Übungsschnittstellen verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.2 | 08.08.2026 | TOM-Verfahren als Quelle für organisatorische Schulungsmaßnahmen und deren Wirksamkeitsnachweise verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.1 | 08.08.2026 | Erste Musterfassung mit Bedarfsanalyse, Zielgruppen, Basis- und Rollenschulungen, Vertraulichkeitsverpflichtung, Onboarding, Awareness, E-Learning, Datenschutz der Lerndaten, Wirksamkeitsprüfung, geschützter Nachweisführung, SEO-Beschreibung, SVG sowie amtlichen und SMCT-Links | Datenschutzkoordination / Musterrolle | Ausstehend | – |