Datenschutz-Unterweisung: Pflicht, Ablauf und Nachweis richtig dokumentieren

Datenschutz-Unterweisung bezeichnet die dokumentierte Sensibilisierung Ihrer Beschäftigten im Umgang mit personenbezogenen Daten. Eine eigene DSGVO-Norm mit diesem Namen gibt es nicht – die Pflicht ergibt sich mittelbar aus mehreren Artikeln der Verordnung. Entscheidend ist am Ende nicht das Formular, sondern der Nachweis: wer wurde wann zu welchen Inhalten unterwiesen.

Von der Provimedia Redaktion · Stand: Juli 2026 · Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.

Nach diesem Beitrag wissen Sie, welche sechs Angaben Ihr Nachweis braucht, damit er einer Aufsichtsbehörde standhält.

Ist eine Datenschutz-Unterweisung Pflicht?

Faktisch ja – auch wenn das Wort in der DSGVO nicht vorkommt. Der Begriff stammt ursprünglich aus dem Arbeitsschutz: § 12 Arbeitsschutzgesetz (ArbSchG) verpflichtet Arbeitgeber zur arbeitsplatzbezogenen Unterweisung; im Datenschutz wird dieselbe Sprache verwendet, die rechtliche Herleitung ist jedoch eine andere.

Die Pflicht ergibt sich aus dem Zusammenspiel mehrerer DSGVO-Artikel:

• Art. 5 Abs. 2 – Rechenschaftspflicht: Verantwortliche müssen die Einhaltung der Grundsätze nachweisen können.
• Art. 24 – Technische und organisatorische Maßnahmen: Dazu zählt nach herrschender Auffassung auch die Schulung des Personals.
• Art. 29 – Weisungsbindung: Wer Zugang zu personenbezogenen Daten hat, ist an Weisungen des Verantwortlichen gebunden – und Weisungen setzen voraus, dass sie bekannt sind.
• Art. 32 Abs. 4 – Zugriffskontrolle: Personen mit Datenzugriff dürfen nur auf Anweisung handeln.
• Art. 39 Abs. 1 lit. b – DSB-Aufgabe: Art. 39 macht Schulung ausdrücklich zur DSB-Aufgabe – die Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeiter.

In der Zusammenschau ergibt sich eine mittelbare, aber belastbare Pflicht – kein wörtliches Gebot, sondern eine Ableitung, die Aufsichtsbehörden in der Praxis genau so anwenden. Die ausführliche Herleitung dazu steht im Beitrag DSGVO-Schulungspflicht.

Was gehört in die Unterweisung?

Eine Unterweisung, die im Ernstfall vor einer Aufsichtsbehörde besteht, deckt mehr ab als ein Video-Modul mit Multiple-Choice-Test am Ende. Inhaltlich gehören mindestens folgende Themen hinein:

• Grundprinzipien der Datenverarbeitung: Rechtmäßigkeit, Zweckbindung, Datenminimierung
• Rechte Betroffener und der interne Weg von Anfragen
• Vorgehen bei einer Datenschutzverletzung samt Meldewegen und Fristen
• Umgang mit Auftragsverarbeitern sowie der Grundsatz, Daten nur bei tatsächlichem Bedarf einzusehen
• Praxisnahe, rollenspezifische Risiken: Phishing und Social Engineering, sichere Passwörter, mobile Geräte, Löschung von Daten nach Zweckerfüllung

Wichtig ist der Bezug zum eigenen Betrieb. Eine reine Gesetzeslesung ohne Praxisbeispiele erfüllt den Sensibilisierungszweck aus Art. 39 Abs. 1 lit. b DSGVO nur formal. Wer die Inhalte mit echten Abläufen im Unternehmen verknüpft – etwa dem CRM-System, der Kundenkommunikation oder dem Umgang mit Bewerbungsunterlagen –, erreicht die Beschäftigten tatsächlich und kann das im Nachweis auch so dokumentieren.

Wie läuft eine Datenschutz-Unterweisung ab?

In der Praxis lässt sich der Ablauf auf vier Schritte verdichten:

1. Inhalte festlegen: Themen und Praxisbeispiele passend zum eigenen Betrieb auswählen.
2. Unterweisung durchführen: Inhalte vermitteln – als Präsenztermin, Video-Modul oder Online-Kurs.
3. Teilnahme bestätigen lassen: Unterschrift oder digitales Zertifikat je Person einholen.
4. Nachweis ablegen und Wiederholungsintervall setzen: Dokumentation aufbewahren und den nächsten Termin fest einplanen.

Wie dokumentiere ich den Nachweis richtig?

Der Nachweis ist der eigentliche Kern der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO – nicht die Unterweisung selbst, sondern der Beleg, dass sie stattgefunden hat. Welche Angaben ein belastbarer Nachweis pro Person enthalten muss, zeigt die Tabelle unten. Eine E-Mail-Rundsendung mit Anhang ohne Rückmeldung der Beschäftigten ist dagegen kein Nachweis, weil sie nicht belegt, dass die Person die Inhalte tatsächlich zur Kenntnis genommen hat.

Der Nachweis muss zudem aktuell gehalten werden. Eine einmalige Unterweisung bei Einstellung deckt neue Mitarbeitende ab, verliert aber an Wert, wenn sich Prozesse, Werkzeuge oder die Risikolage ändern – etwa durch neue Software oder eine KI-Anwendung im Betrieb. In der Praxis hat sich eine jährliche Wiederholung etabliert, dokumentiert mit demselben Mindestumfang wie die Ersteinweisung. Eine Datenschutz-Unterweisung online vereinfacht genau diesen Teil, weil Inhalte, Teilnahme und Zeitstempel pro Person automatisch festgehalten werden.

Pflichtangabe	Warum sie zählt
Datum der Unterweisung	Belegt den Zeitpunkt und die Aktualität gegenüber sich ändernden Risiken
Vollständiger Name der Person	Ordnet den Nachweis eindeutig einer einzelnen unterwiesenen Person zu
Behandelte Inhalte	Zeigt, dass konkrete Themen und nicht nur ein Titel vermittelt wurden
Bestätigung der Teilnahme	Unterschrift oder digitales Zertifikat als Beleg der tatsächlichen Kenntnisnahme
Wiederholungsintervall	Dokumentiert, dass die Sensibilisierung nicht einmalig, sondern laufend erfolgt
Aufbewahrung	Ermöglicht den Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO auch Jahre später

Reicht ein Muster-Formular?

Ein Muster-Formular für die Unterweisung – zum Ausdrucken, mit Unterschriftenfeld – ist ein Werkzeug für die Dokumentation, nicht für die Unterweisung selbst. Wer ein Unterweisung-Datenschutz-Muster nur ausfüllen und unterschreiben lässt, ohne dass die Inhalte tatsächlich vermittelt wurden, erzeugt einen Nachweis ohne zugrundeliegende Handlung. Im Streitfall – etwa nach einer Datenpanne – prüft eine Aufsichtsbehörde nicht nur, ob ein Formular existiert, sondern ob die dort behaupteten Inhalte plausibel vermittelt wurden.

Ein Muster taugt also als Rahmen für die Dokumentation: welche Felder ein vollständiger Nachweis braucht, in welcher Reihenfolge, mit welcher Aufbewahrungsfrist. Es ersetzt aber nicht die inhaltliche Auseinandersetzung der Beschäftigten mit den Themen aus dem vorigen Abschnitt. Ein digitales Format, das Inhalte, Teilnahme und Zeitstempel in einem Schritt zusammenführt, schließt diese Lücke zuverlässiger als ein Papierformular, das theoretisch auch ungelesen unterschrieben werden kann.

Häufige Fragen (FAQ)

Ist eine Datenschutz-Unterweisung gesetzlich vorgeschrieben?

Nicht als eigene Norm, aber im Ergebnis ja: Mehrere DSGVO-Vorschriften wirken zusammen und begründen in der Summe eine belastbare Pflicht. Die einzelnen Artikel sind im Abschnitt oben aufgeschlüsselt.

Muss ich das dokumentieren?

Ja. Ohne Dokumentation lässt sich die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO nicht erfüllen – die Vorschrift verlangt ausdrücklich, die Einhaltung der Grundsätze nachweisen zu können. Eine mündliche oder ungenau protokollierte Unterweisung reicht dafür nicht aus.

Wie oft muss die Unterweisung wiederholt werden?

Als Praxisstandard gilt eine jährliche Auffrischung – gesetzlich fest vorgeschrieben ist sie nicht. Darüber hinaus lösen bestimmte Ereignisse eine außerplanmäßige Unterweisung aus: neue Werkzeuge oder Software, ein umgestalteter Prozess mit Datenzugriff, der Einsatz einer KI-Anwendung oder ein Sicherheitsvorfall.

Wer muss unterwiesen werden?

Jede Person mit Zugriff auf personenbezogene Daten – nicht nur Beschäftigte mit direktem Kundenkontakt, sondern auch Buchhaltung, IT sowie Praktikantinnen und Aushilfen, sobald sie mit solchen Daten in Berührung kommen.

Ein Formular allein erzeugt keinen belastbaren Nachweis – erst tatsächlich vermittelte Inhalte plus eine saubere, personenbezogene Dokumentation tun das. Die DSGVO-Grundlagenschulung von Provimedia liefert genau diesen datierten Nachweis je Mitarbeiter: Inhalte, Zeitstempel und Teilnahmezertifikat in einem Schritt.

Quellen

• Verordnung (EU) 2016/679 (DSGVO) – Volltext, EUR-Lex
• § 12 Arbeitsschutzgesetz (ArbSchG) – Unterweisung, gesetze-im-internet.de