DSGVO-Schulungen für Mitarbeiter: Was britisches Recht und das ICO erwarten

Datenschutzschulungen sind diejenige, die die meisten Unternehmen als "DSGVO-Anforderung" ansehen. Das Gesetz ist weniger direkt, aber die Erwartungen des ICO sind spezifisch. Das sagen die britische DSGVO und die ICO, zitiert aus legislation.gov.uk und ico.org.uk vom 19. Oktober 2026. Das ICO weist darauf hin, dass diese Seiten nach dem Data (Use and Access) Act überprüft werden. Es handelt sich um eine Zusammenfassung, keine Rechtsberatung.

Wichtige Erkenntnisse

• Kein eigenständiger Artikel zum Thema "Alle Mitarbeiter schulen", aber die Sicherheitspflichten der britischen DSGVO machen es zum erwarteten Weg.
• Einführung vor dem Zugang: Das ICO erwartet eine Schulung, bevor das Personal persönliche Informationen verarbeitet.
• Auffrischung in angemessenen Abständen; keine feste Zahl.
• Eine Wissensprüfung mit Mindestbestand, sagt das ICO.
• Alle, einschließlich leitender Manager, Zeit- und Vertragsmitarbeiter.

Was die britische DSGVO besagt

Artikel 32(4) besagt, dass der Verantwortliche und der Bearbeiter "Maßnahmen ergreifen, um sicherzustellen, dass jede natürliche Person, die unter der Befugnis des Verantwortlichen oder des Bearbeiters Zugang zu personenbezogenen Daten hat, diese nur auf Anweisung des Verantwortlichen verarbeitet". Wenn Sie einen Datenschutzbeauftragten haben, listet Artikel 39 unter seinen Aufgaben die Überwachung der Einhaltung auf, "einschließlich der Zuweisung von Verantwortlichkeiten, Sensibilisierung und Schulung des an der Bearbeitung beteiligten Mitarbeiter". Der Leitfaden des ICO zur Datensicherheit besagt: "Sie sollten eine angemessene Grund- und Auffrischungsausbildung anbieten."

Was das ICO bei der Einleitung erwartet

Das Audit-Toolkit des ICO zur Einführungsschulung warnt, dass "es dem Personal erlaubt wird, vor der Einführungsschulung mit persönlichen Daten zu arbeiten, das Risiko einer Datenpanne erheblich erhöht. Dies könnte gegen die britischen DSGVO-Artikel 5(1)(f) und 32 verstoßen." Zu den Erwartungen gehören:

• "Stellen Sie sicher, dass das Personal die Einführungsschulung abgeschlossen hat, bevor sie personenbezogene Daten verarbeiten dürfen."
• "Alle Dienstgrade, einschließlich der leitenden Manager, müssen die Einführungsausbildung absolvieren."
• "Führen Sie Einführungsschulungen für alle Mitarbeiter durch, einschließlich freiwilliger, temporärer und Vertragsmitarbeiter."
• Behandeln Sie "Bearbeitung von Anfragen, Datenaustausch, Informationssicherheit, persönliche Datenpannen und Datenmanagement".

Auffrischungstraining und Beweis

Zum Thema Auffrischungstraining heißt im Toolkit: "Das Personal muss in angemessenen Abständen die Auffrischungsschulung absolvieren" und "Dokumentieren, wann das Personal zuletzt eine Auffrischungsausbildung erhalten hat, indem vollständige und aktuelle Aufzeichnungen geführt werden." Auf beiden Seiten steht außerdem: "Bewerten Sie das Verständnis des Personals für die Schulung anhand einer Wissensprüfung mit Mindestbestanden."

Der Nachweis, den ein Prüfer sucht, ist also einfach: Wer hat welches Modul abgeschlossen, wann und ob er bestanden hat.

Machen Sie Ihre Datenschutzfolien zu einem Kurs

Reigniter verwandelt Ihr bestehendes Datenschutz-Deck in ein kurzes interaktives Modul: ein Voiceover, Ihre Folien und eine Frage bei jedem Schritt, wie zum Beispiel "Ein Kunde fragt per E-Mail nach seinen Daten: Was machen Sie?", mit Verzweigungen für falsche Antworten. Ihr erstes Modul ist kostenlos und wird per Link geteilt. Bei kostenpflichtigen Tarifen melden sich die Lernenden an, Sie setzen eine Bestehensmarke und sehen das Ergebnis und die Urkunde jeder Person, die der vom ICO beschriebene Eintrag ist; siehe Schulung ohne LMS.

Für Brandschutz, Bildschirme, manuelles Handhaben, COSHH und Einleitung sehen Sie, welche Ausbildung das britische Recht verlangt.