Datenschutz-Onboarding: Checkliste für die ersten 30 Tage

Inhalt in Kürze

• Das Datenschutz-Onboarding gehört vor den ersten produktiven Datenzugriff, nicht in die Probezeit-Retrospektive. Grundlage ist Art. 32 Abs. 4 DSGVO.
• Drei Dokumente entscheiden im Audit: Vertraulichkeitsverpflichtung, Schulungsnachweis, Protokoll der Rechtevergabe. Fehlt eines, gilt das Onboarding als nicht erfolgt (Art. 5 Abs. 2 DSGVO).
• Azubis brauchen zusätzlich die Arbeitsschutz-Unterweisung nach § 12 ArbSchG — bei unter 18-Jährigen mindestens halbjährlich.
• Der häufigste Fehler ist das geklonte Benutzerkonto: Rechte werden vom Vorgänger kopiert statt rollenbasiert vergeben. Das verstößt gegen das Prinzip der geringsten Rechte.

Am 1. September fangen bei vielen unserer Mandanten die neuen Azubis an. Am selben Tag bekommen sie einen Windows-Account, eine Mailadresse und Zugriff auf ein Laufwerk, auf dem Personalakten, Kundendaten und Lieferantenverträge liegen. Die Datenschutzschulung steht dann für November im Kalender. Genau da liegt das Problem.

Warum der Zeitpunkt zählt — und nicht nur der Inhalt

Art. 32 Abs. 4 DSGVO ist unspektakulär formuliert, aber eindeutig: Der Verantwortliche muss sicherstellen, dass ihm unterstellte Personen personenbezogene Daten nur auf seine Anweisung verarbeiten. Dieselbe Pflicht wiederholt Art. 29 DSGVO für Auftragsverarbeiter.

Anweisen können Sie nur, was Sie vorher kommuniziert haben. Ein Mitarbeiter, der am ersten Tag Vollzugriff auf ein Personallaufwerk bekommt und erst im November erfährt, dass er dort nichts zu suchen hat, verarbeitet zehn Wochen lang ohne Anweisung. Bei einer Datenpanne in diesem Fenster steht die Geschäftsführung ohne Argument da.

Die drei Nachweise, die im Audit zählen

Aus Art. 5 Abs. 2 DSGVO folgt die Rechenschaftspflicht: Sie müssen die Einhaltung der Grundsätze nachweisen können. Für das Onboarding heißt das drei Dokumente je Person.

Das dritte Dokument fehlt in der Praxis am häufigsten. Es ist gleichzeitig das, nach dem eine Aufsichtsbehörde als Erstes fragt, wenn ein Beschäftigter unberechtigt Daten eingesehen hat.

Die Checkliste für die ersten 30 Tage

1. Vor dem ersten Tag: Rolle definieren, nicht Konto kopieren. Legen Sie fest, welche Systeme die Position braucht — Warenwirtschaft, CRM, Laufwerke, Cloud-Dienste. Kein „mach ihm die gleichen Rechte wie der Frau Meier". Geklonte Konten schleppen Berechtigungen aus drei Vorgängerrollen mit.
2. Tag 1: Verpflichtung auf Vertraulichkeit unterschreiben. Zusammen mit dem Arbeitsvertrag oder spätestens bei der Geräteübergabe. Ein Satz zur Fortgeltung nach dem Ausscheiden gehört hinein.
3. Tag 1 bis 5: Datenschutz-Grundschulung. 45 bis 60 Minuten reichen, wenn sie arbeitsplatzbezogen ist. Wichtig sind der Meldeweg bei Verdacht auf eine Datenpanne, der Umgang mit E-Mail-Verteilern und die Regeln für private Geräte und KI-Tools.
4. Tag 1 bis 5: Arbeitsschutz-Unterweisung nach § 12 ArbSchG. Sie ist vor Aufnahme der Tätigkeit fällig, nicht danach. Rechtsgrundlage: § 12 Arbeitsschutzgesetz. Bei Jugendlichen gilt zusätzlich der halbjährliche Turnus nach § 29 JArbSchG.
5. Woche 2: IT-Nutzungsregeln bestätigen lassen. Private Nutzung von E-Mail und Internet, Umgang mit USB-Speichern, Homeoffice-Regeln, erlaubte KI-Werkzeuge. Ohne dokumentierte Regelung wird jede spätere Kontrolle rechtlich wackelig.
6. Woche 4: Rechte gegenprüfen. Nach vier Wochen wissen Sie, was die Person wirklich braucht. Streichen Sie, was in vier Wochen kein einziges Mal genutzt wurde — das ist der billigste Sicherheitsgewinn im ganzen Prozess.

Aus der Praxis

Wir fragen in Audits immer dasselbe: Zeigen Sie mir bitte den Nachweis für den Kollegen, der zuletzt angefangen hat. In etwa der Hälfte der Fälle kommt dann: „Der wurde natürlich eingewiesen, das macht bei uns der Teamleiter." Das mag stimmen — nachweisen lässt es sich nicht. Und was Sie nicht nachweisen können, hat aus Sicht der Aufsicht nicht stattgefunden. Ein Zettel mit Datum und Unterschrift kostet zwei Minuten und rettet im Ernstfall die Diskussion.

Nils OehmichenDatenschutzberater bei frag.hugo

Was in die Grundschulung gehört — und was nicht

Der klassische Fehler ist die 90-Minuten-Präsentation über die Geschichte der DSGVO. Neue Mitarbeiter brauchen etwas anderes: Handlungswissen für die nächsten Wochen.

• Der Meldeweg. Wen rufe ich an, wenn ich eine Mail an den falschen Verteiler geschickt habe? Diese eine Information verhindert mehr Schaden als der Rest der Schulung zusammen — die 72-Stunden-Frist läuft ab Kenntnis im Unternehmen, nicht ab Kenntnis der Geschäftsführung.
• Die eigenen Systeme. Welche Daten liegen wo, was darf raus, was nicht. Abstrakte Beispiele bleiben nicht hängen.
• KI-Werkzeuge. Welche Tools sind freigegeben, was darf nicht hineinkopiert werden. Ohne klare Ansage entsteht innerhalb weniger Wochen Schatten-KI.
• Betroffenenrechte im Alltag. Was tun, wenn ein Kunde am Telefon Auskunft über seine Daten verlangt? Weiterleiten an eine feste Stelle, nicht selbst improvisieren.
• Nicht nötig: Artikelnummern auswendig, Historie der DSGVO, Bußgeldrekorde anderer Konzerne.

Wie Sie die Inhalte für Ihr Unternehmen zuschneiden, haben wir im Beitrag zu den Pflichtthemen einer Datenschutzschulung aufgeschlüsselt. Für den Nachweis selbst hilft der Beitrag zum Schulungsnachweis im Audit.

Der Sonderfall Ausbildungsstart

Bei Azubis kommen zwei Dinge zusammen, die sonst getrennt laufen: Sie wechseln regelmäßig die Abteilung, und viele sind minderjährig.

Fazit: Ihr nächster Schritt

Datenschutz-Onboarding ist kein Projekt, sondern eine Routine mit drei Belegen. Wer sie einmal aufsetzt, hakt sie bei jeder Einstellung in zwanzig Minuten ab — und hat bei der nächsten Prüfung eine Antwort statt einer Erklärung.

Wenn Sie zum 1. September mehrere Neuzugänge haben und noch keine Vorlage im Haus ist: Lieber ein einfaches Blatt mit Unterschrift als eine perfekte Lösung im Dezember. Bei der Ausgestaltung und den Schulungen unterstützen wir Sie über die Datenschutzschulung für Mitarbeiter und im laufenden Mandat als externer Datenschutzbeauftragter.

Häufige Fragen (FAQ)

Wann muss ein neuer Mitarbeiter zum ersten Mal im Datenschutz geschult werden?

Vor dem ersten produktiven Zugriff auf personenbezogene Daten. Ein festes gesetzliches Datum gibt es nicht, aber Art. 32 Abs. 4 DSGVO verlangt, dass Beschäftigte Daten nur weisungsgemäß verarbeiten. Wer erst nach vier Wochen schult, hat vier Wochen ungeschulten Zugriff zu erklären. In der Praxis bewährt sich die Schulung in der ersten Arbeitswoche.

Ist die Verpflichtung auf Vertraulichkeit noch Pflicht?

Das frühere Datengeheimnis nach § 5 BDSG alter Fassung gibt es nicht mehr. Die Pflicht ergibt sich heute aus Art. 32 Abs. 4 und Art. 29 DSGVO: Der Verantwortliche muss sicherstellen, dass unterstellte Personen personenbezogene Daten nur auf Anweisung verarbeiten. Eine unterschriebene Vertraulichkeitsverpflichtung ist der einfachste Nachweis dafür.

Müssen Azubis anders behandelt werden als andere neue Mitarbeiter?

Datenschutzrechtlich nicht. Im Arbeitsschutz schon: Beschäftigte unter 18 Jahren sind nach § 29 Jugendarbeitsschutzgesetz mindestens halbjährlich zu unterweisen, alle anderen mindestens jährlich. Wer beide Themen im selben Onboarding-Block abhandelt, muss den kürzeren Turnus für Jugendliche trotzdem einhalten.

Welche Zugriffsrechte bekommt ein neuer Mitarbeiter am ersten Tag?

So wenige wie möglich. Art. 32 Abs. 1 DSGVO verlangt angemessene technische Maßnahmen, dazu gehört das Prinzip der geringsten Rechte. Vergeben Sie Rechte rollenbasiert statt durch Kopieren eines bestehenden Accounts – geklonte Berechtigungen sind einer der häufigsten Befunde in unseren Audits.

Wie weisen wir im Audit nach, dass das Onboarding stattgefunden hat?

Über drei Dokumente: die unterschriebene Vertraulichkeitsverpflichtung, den Schulungsnachweis mit Datum, Inhalt und Teilnehmer sowie das Protokoll der Rechtevergabe. Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung nachweisen können – ein mündlich geführtes Onboarding zählt im Zweifel als nicht geschehen.

Dürfen wir ein Foto des neuen Mitarbeiters fürs Intranet nutzen?

Nur mit freiwilliger, dokumentierter Einwilligung. Ein Foto ist nicht zur Durchführung des Arbeitsverhältnisses erforderlich, deshalb trägt es weder Art. 6 Abs. 1 lit. b DSGVO noch die Erforderlichkeit im Beschäftigungskontext. Die Einwilligung muss widerrufbar sein und darf keine Nachteile nach sich ziehen.