So läuft es heute in vielen Unternehmen
Einmal im Jahr steht die Datenschutzschulung an. Ein Termin wird gesetzt, die Belegschaft kommt für neunzig Minuten in den großen Besprechungsraum, jemand hält die Präsentation, und am Eingang liegt eine ausgedruckte Anwesenheitsliste. Wer da ist, unterschreibt. Anschließend wird die Liste eingescannt, als „Schulung_Datenschutz_2025.pdf" gespeichert und in der Personalakte oder im Laufwerksordner „Datenschutz/Schulungen" abgelegt.
Daneben läuft ein zweiter Strang. Für den Außendienst, für Teilzeitkräfte und für alle, die am Termin gefehlt haben, gibt es ein E-Learning-Tool. Es verschickt Einladungen, und wer besteht, bekommt ein PDF-Zertifikat per E-Mail. Diese Zertifikate landen im Postfach der Personalabteilung oder direkt bei der Datenschutzbeauftragten oder dem Datenschutzbeauftragten. Damit trotzdem jemand den Überblick behält, existiert zusätzlich eine Excel-Liste mit vier Spalten: Name, Abteilung, Datum, Häkchen.
Gepflegt wird diese Tabelle immer von derselben Person, meist nebenbei. Sie trägt nach, was ihr an Zertifikaten über den Weg läuft, und ergänzt die Namen aus der Anwesenheitsliste. Wer im laufenden Jahr eingetreten ist, taucht dort erst auf, wenn jemand daran denkt; wer das Unternehmen verlassen hat, bleibt oft stehen. Ein Abgleich mit der aktuellen Personalliste findet nicht statt, weil ihn niemand angeordnet hat und weil er in dieser Form Stunden dauert.
Die Informationssicherheit macht dieselbe Übung ein zweites Mal – anderer Termin, andere Liste, anderer Ablageort. Betroffen sind dieselben Personen. Und die Verpflichtung auf Vertraulichkeit, die sachlich zur Unterweisung gehört, liegt in einem dritten Ordner: als Anlage zum Arbeitsvertrag in der Personalakte.
Das ist kein schlechter Prozess. Er ist über Jahre gewachsen, er ist erklärbar, und er erfüllt die Schulungspflicht dem Grunde nach. Was er nicht leistet, ist der Nachweis im Einzelfall.
Der Moment, in dem es auffällt
Auffällig wird das nicht im Alltag, sondern in drei Situationen: wenn ein Kunde im Rahmen einer Lieferantenprüfung Schulungsnachweise anfordert, wenn ein Zertifizierungsaudit ansteht, oder wenn nach einem Vorfall die Frage gestellt wird, ob die beteiligte Person überhaupt geschult war.
Die Frage lautet dann nie „Habt ihr geschult?". Sie lautet: „Zeigen Sie mir für diese elf Personen, wann sie zuletzt geschult wurden, mit welchem Ergebnis, und wann die nächste Unterweisung fällig ist." Und genau darauf hat der beschriebene Prozess keine Antwort, weil er den Nachweis am Termin führt und nicht an der Person. Eine Anwesenheitsliste weiß, wer im Raum war. Sie weiß nicht, wer hätte da sein müssen.
In der Folge beginnt vor jedem Audit dieselbe Fleißarbeit: Scans aus der Personalakte suchen, Zertifikate aus dem Postfach zusammentragen, die Excel-Liste gegen die aktuelle Personalliste abgleichen und die Eintritte der letzten zwölf Monate von Hand nachziehen. Zwei bis drei Tage sind dafür in mittelgroßen Organisationen ein realistischer Wert.
Die Analyse
Fünf Probleme, die jede Anwesenheitsliste erzeugt
Sie entstehen unabhängig davon, wie sorgfältig geschult wird – sie sind Eigenschaften der Nachweisform, nicht der Schulung.
Schulungen in preeco ansehenÜberfälligkeit ist Handarbeit
Aus einer Liste von Anwesenden lässt sich nicht ablesen, wer fehlt. Die Frage nach den offenen Fällen beantwortet nur, wer die Teilnehmerliste gegen die aktuelle Personalliste abgleicht. Diese Auswertung wird deshalb selten gemacht – meist erst dann, wenn jemand von außen danach fragt.
Neueintritte fallen zwischen die Termine
Wer im März anfängt, wartet bei einem Jahrestermin im Oktober sieben Monate auf die erste Unterweisung. Rollenwechsel wirken genauso: Die Kollegin, die neu in die Personalabteilung wechselt, braucht eine andere Schulung als zuvor. Ohne festen Auslöser bemerkt das niemand.
Nachweise liegen in drei Systemen
Der Scan liegt in der Personalakte, das Zertifikat im E-Learning-Tool oder im Postfach, der Status in einer Tabelle. Keiner dieser drei Orte beantwortet die Frage vollständig. Die Zusammenstellung für ein Audit ist deshalb jedes Mal ein Projekt und kein Export.
Datenschutz und Informationssicherheit laufen doppelt
Beide Themen betreffen dieselben Personen, werden aber getrennt geplant, getrennt eingeladen und getrennt abgelegt. Der Aufwand verdoppelt sich, und die beiden Stände weichen mit der Zeit voneinander ab. Am Ende weiß niemand, welche der beiden Listen aktuell ist.
Die Verpflichtung auf Vertraulichkeit fehlt im Bild
Unterweisung und Verpflichtung auf Vertraulichkeit gehören sachlich zusammen, werden aber getrennt abgelegt – die eine im Schulungsordner, die andere im Arbeitsvertrag. In der Prüfung fehlt regelmäßig genau das Dokument, das die Schulung erst zum vollständigen Nachweis macht.
Der Soll-Prozess in sechs Schritten
Der Unterschied zwischen dem Ist- und dem Soll-Prozess liegt nicht im Inhalt der Schulung. Er liegt darin, woran der Nachweis hängt. Diese sechs Schritte beschreiben den Ablauf – unabhängig davon, mit welchem Werkzeug Sie arbeiten.
1. Den Nachweis an die Person hängen, nicht an den Termin. Die zentrale Größe ist nicht mehr die Veranstaltung vom 12. Oktober, sondern der Schulungsstand jeder einzelnen Person: Welche Unterweisungen sind für sie vorgesehen, welche hat sie absolviert, wann, mit welchem Ergebnis, und wann ist die nächste fällig. Alle weiteren Schritte folgen aus dieser einen Umstellung.
2. Festlegen, wer welche Schulung braucht. Nicht jede Person braucht dasselbe. Die Geschäftsleitung, die Personalabteilung, der Vertrieb und die IT haben unterschiedliche Berührungspunkte mit personenbezogenen Daten. Ordnen Sie die Schulungen Rollen und Abteilungen zu, statt pauschal alle einzuladen. Das reduziert den Umfang je Person und macht die Zuordnung begründbar.
3. Feste Intervalle statt Anlassplanung. Jede Schulung bekommt einen Turnus – meist jährlich, enger für besonders exponierte Bereiche. Entscheidend ist nicht die Länge des Intervalls, sondern dass es hinterlegt ist und eine Erinnerung daran hängt. In preeco erinnert das System automatisch an ausstehende und fällige Trainings.
4. Die Schulung dort durchführen, wo der Nachweis entsteht. Online-Schulungen bestehen aus Lerneinheiten mit Bild- und Videoinhalten und aus Prüfungsfragen im Single- oder Multiple-Choice-Format. Die Mindestpunktzahl zur Zertifizierung ist frei einstellbar. Wer besteht, erhält automatisch eine Teilnahmebescheinigung als PDF – der Nachweis fällt als Nebenprodukt an, statt hinterher eingesammelt zu werden.
5. Teilnehmende einmal sauber aufnehmen. Personen werden manuell, aus den vorhandenen Kontakten oder per XLSX-Import hinzugefügt; für die Beantwortung lässt sich ein Verfügbarkeitszeitraum von und bis festlegen. Damit ist der Kreis der Verpflichteten dokumentiert – und nicht nur der Kreis derer, die tatsächlich erschienen sind.
6. Auswertung als Bericht, nicht als Fleißarbeit. Der Fortschritt aller Teilnehmenden ist jederzeit sichtbar: wer absolviert hat, wer noch aussteht. Für die Prüfung entstehen daraus Statusberichte, die sich als PDF, DOCX oder XLSX exportieren lassen, ergänzt um das Aktivitätenprotokoll mit Zeitstempel, Benutzer und Aktion.
Warum Datenschutz und Informationssicherheit zusammen gehören
preeco | datenschutz und preeco | informationssicherheit teilen sich eine Plattform. Für das Schulungsthema ist das kein Detail, sondern der eigentliche Hebel: Die Personen sind dieselben, die Organisationsstruktur ist dieselbe, und die Frage nach dem Schulungsstand wird in beiden Disziplinen identisch gestellt. Statt zweier Planungen, zweier Einladungsrunden und zweier Ablagen entsteht ein Bild je Person, in dem beide Unterweisungen nebeneinander stehen.
Praktisch heißt das: Die Musterschulungen beider Bereiche liegen im selben Bestand – von der DSGVO-Schulung über Datenschutz im Home-Office und die KI-Kompetenz-Schulungen bis zu „IT-Sicherheit – Sensibilisierung für Mitarbeiter" und der NIS2-Schulung für die Geschäftsleitung. Wer beide Themen betreibt, plant sie einmal statt zweimal.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: Anwesenheitsliste und Excel | Nachher: Schulungsstand je Person |
|---|---|---|
| Bezugsgröße | Der Termin: wer war im Raum | Die Person: welcher Stand gilt für sie |
| Pflegeaufwand | Scannen, ablegen, Tabelle nachziehen | Nachweis entsteht mit der Teilnahme |
| Vollständigkeit | Nur Anwesende sichtbar, Fehlende unsichtbar | Soll und Ist je Person nebeneinander |
| Intervalle | Im Kalender einer Person | Turnus hinterlegt, automatische Erinnerung |
| Nachweisfähigkeit | Scan ohne Ergebnis und ohne Prüfung | Teilnahmebescheinigung als PDF mit Prüfungsergebnis |
| Datenschutz und Sicherheit | Zwei Planungen, zwei Ablagen | Beide Unterweisungen im selben Personenbild |
| Auswertung | Tagelanger Abgleich vor dem Audit | Fortschritt in Echtzeit, Statusbericht als Export |
| Ausfallrisiko | Wissen und Tabelle hängen an einer Person | Prozess, Historie und Protokoll liegen im System |
In der Praxis
So sieht das in preeco | datenschutz aus
Die drei Bausteine, die den beschriebenen Prozess tragen.
Schulungen und Qualifizierung
Online-Schulungen aus Lerneinheiten und Prüfungsfragen, frei einstellbare Mindestpunktzahl, automatische Teilnahmebescheinigung als PDF. Teilnehmende kommen manuell, aus den Kontakten oder per XLSX-Import dazu; Musterschulungen sind enthalten.
Schulungen in der Informationssicherheit
Dieselbe Mechanik für das ISMS: Verfügbarkeitszeitraum, automatische Erinnerungen an ausstehende und fällige Trainings, vollständige Schulungshistorie je Person – inklusive der Vorlage für die Schulungspflicht der Leitungsorgane nach NIS2.
Reporting und Aktivitäten
Statusberichte mit Inhaltsverzeichnis, planbare wiederkehrende Berichte mit E-Mail-Benachrichtigung und ein filterbares Aktivitätenprotokoll. Export als PDF, DOCX und XLSX für Auditoren und Management.
Was der Umstieg praktisch bedeutet
Der häufigste Einwand lautet, die Präsenzschulung müsse dann abgeschafft werden. Das ist nicht der Fall. Der Vortrag im Besprechungsraum bleibt, wenn er sich bewährt hat – er ist oft die bessere Gelegenheit für Rückfragen aus dem Alltag. Was sich ändert, ist der Nachweis dahinter: Die Inhalte liegen zusätzlich als Lerneinheit vor, die Prüfungsfragen werden im Anschluss beantwortet, und damit ist die Teilnahme je Person dokumentiert – auch für alle, die an dem Tag nicht konnten.
Der Aufwand für die Umstellung liegt weniger in der Technik als in einer inhaltlichen Klärung, die ohnehin fällig ist: Welche Rolle braucht welche Unterweisung, in welchem Abstand, und wer entscheidet das. Ist diese Zuordnung einmal getroffen, läuft der Rest über Termine und Erinnerungen.
Drei Fehler, die den Umstieg unnötig schwer machen
Die alten Nachweise nachträglich vollständig aufarbeiten wollen. Der bestehende Stand wird als Ausgangspunkt übernommen, nicht rekonstruiert. Ab dem ersten Turnus im neuen Prozess ist die Dokumentation vollständig – das genügt, und es kostet keine Wochen.
Alle Personen mit allen Schulungen belegen. Eine pauschale Zuweisung erzeugt hohe Abschlussquoten und wenig Wirkung. Die Zuordnung nach Rolle und Abteilung hält den Umfang je Person klein und macht sie gegenüber Prüfern begründbar.
Datenschutz und Informationssicherheit weiter getrennt planen. Wer die beiden Themen im neuen Werkzeug erneut in zwei Spuren führt, baut die alte Doppelarbeit nach. Beide gehören in dieselbe Planung, weil sie dieselben Personen betreffen.
Woran Sie erkennen, dass es Zeit ist
Eine Anwesenheitsliste ist kein Fehler. Sie wird zum Risiko, sobald mindestens einer dieser Punkte zutrifft:
- Sie können nicht in wenigen Minuten sagen, wer aktuell überfällig ist.
- Zwischen zwei Schulungsterminen treten regelmäßig neue Personen ein.
- Nachweise liegen in mehr als einem System oder Postfach.
- Kunden, Auditoren oder Zertifizierungsstellen fragen die Nachweise regelmäßig ab.
- Datenschutz- und Sicherheitsschulung werden getrennt geplant und getrennt abgelegt.
Trifft davon nichts zu, ist die Liste in Ordnung. Trifft davon zwei oder mehr zu, kostet sie Sie bereits bei der nächsten Prüfung Zeit.
FAQ
Häufige Fragen zu Schulungsnachweisen
Die DSGVO schreibt keine bestimmte Nachweisform vor. Eine Anwesenheitsliste dokumentiert jedoch nur, wer anwesend war – nicht, wer teilnehmen musste, ob die Inhalte verstanden wurden und wann die nächste Unterweisung fällig ist. Für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist der Schulungsstand je Person die belastbarere Grundlage, weil er auch die offenen Fälle sichtbar macht.
Die DSGVO nennt kein festes Intervall. Art. 39 Abs. 1 lit. b DSGVO zählt die Sensibilisierung und Schulung der beteiligten Beschäftigten zu den Aufgaben der Datenschutzbeauftragten oder des Datenschutzbeauftragten, ohne einen Turnus vorzugeben. In der Praxis hat sich eine jährliche Unterweisung etabliert, ergänzt um eine Erstunterweisung bei Eintritt und zusätzliche Schulungen bei Rollenwechseln oder neuen Verarbeitungen.
Eine gesetzliche Frist für die Erstunterweisung gibt es nicht. Fachlich ist der nächste Jahrestermin trotzdem zu spät, wenn die Person ab dem ersten Arbeitstag mit personenbezogenen Daten arbeitet. Üblich ist eine Unterweisung innerhalb der ersten Wochen, gemeinsam mit der Verpflichtung auf Vertraulichkeit. Wird die Schulung je Person geführt, entsteht dieser Auslöser automatisch beim Eintritt statt beim Termin.
Ja. preeco | datenschutz und preeco | informationssicherheit teilen sich eine Plattform, sodass beide Unterweisungen für dieselben Personen und dieselbe Organisationsstruktur geplant und ausgewertet werden. Musterschulungen beider Bereiche liegen im selben Bestand, darunter die NIS2-Schulung für die Geschäftsleitung.
Über die Teilnahmebescheinigung und die Schulungshistorie. Nach bestandener Prüfung wird die Bescheinigung automatisch als PDF erzeugt und bleibt der Person zugeordnet; die Übersicht zeigt den Teilnahme-Status aller Beteiligten. Für Auditoren lässt sich daraus ein Statusbericht erzeugen und als PDF, DOCX oder XLSX exportieren, ergänzt um das Aktivitätenprotokoll.
Ihren Schulungsstand gemeinsam durchgehen
Bringen Sie Ihre Excel-Liste mit. In 30 Minuten zeigen wir, wie der Schulungsstand je Person entsteht und wo die Lücken liegen.