Schulungsnachweis Datenschutz: für ISO 27001 & TISAX

Inhalt in Kürze

• Pflicht aus der Rechenschaftspflicht: Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Schulung Ihrer Mitarbeiter nachweisen können — ISO 27001 und TISAX fordern den Nachweis zusätzlich für die Zertifizierung.
• Liste ohne Inhalt reicht nicht: Ein prüffester Schulungsnachweis enthält Teilnehmer, Datum, Modul, Testergebnis, Wiederholung und Aufbewahrung. Eine reine Anwesenheitsliste fällt im Audit durch.
• Häufigster Befund: Fehlende oder unvollständige Schulungsnachweise gehören zu den meistgenannten Beanstandungen bei DSGVO-Prüfungen und ISO-27001-Audits.
• Auditfester Export entscheidet: Wer den Nachweis per Knopfdruck im Audit-Format exportieren kann, spart vor jeder Prüfung Tage an Sucharbeit.

Sie haben Ihre Mitarbeiter im Datenschutz geschult. Der Auditor fragt nach dem Nachweis — und Sie legen eine Excel-Liste mit Namen vor. Genau hier scheitern die meisten Unternehmen, denn diese Liste belegt nichts. Wer den sicheren Umgang mit personenbezogenen Daten vermittelt, muss das auch datenschutzrechtlich sauber dokumentieren können.

Schulungsnachweis Datenschutz: Warum die Liste allein nicht reicht

Der Schulungsnachweis Datenschutz ist kein Verwaltungs-Selbstzweck. Er ist die direkte Folge der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO. Diese verlangt, dass Sie die Einhaltung der Datenschutzgrundsätze nicht nur sicherstellen, sondern auch nachweisen können.

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen für die Sicherheit der Datenverarbeitung — und die Schulung der Mitarbeiter ist eine davon, denn personenbezogene Daten sind nur so sicher wie die Menschen, die sie verarbeiten. Ohne dokumentierten Nachweis existiert sie aus Sicht einer Aufsichtsbehörde schlicht nicht. Im Streitfall gilt: Was nicht dokumentiert ist, gilt als nicht erledigt. Bei Datenschutzverstößen droht zudem ein Bussgeld — und fehlende Nachweise verschlechtern Ihre Position spürbar.

Bei einer ISO-27001-Zertifizierung verschärft sich das. Der Standard fordert in den Bereichen Awareness und Competence (Annex A.6.3, in der Fassung von 2013 noch A.7.2.2) einen belegbaren Schulungsprozess. Bei einem TISAX-Assessment prüft der Auditor die entsprechenden Kontrollen des VDA-ISA-Katalogs zur Sensibilisierung — und dort genügt eine Behauptung nie, nur der Nachweis.

Was DSGVO, ISO 27001 und TISAX konkret verlangen

Die drei Regelwerke greifen dasselbe Ziel auf — die nachweisbare Sensibilisierung und Schulung der Mitarbeiter — formulieren die Anforderung aber unterschiedlich streng. In allen Fällen geht es darum, die Belegschaft für den Umgang mit personenbezogenen Daten zu sensibilisieren und das auch belegen zu können. Die Verantwortung dafür trägt die Geschäftsführung gemeinsam mit dem Datenschutzbeauftragten.

Auffällig ist die Gemeinsamkeit: Kein Regelwerk akzeptiert die bloße Behauptung, geschult zu haben. Alle verlangen einen Beleg, der den Inhalt und idealerweise den Lernerfolg dokumentiert. Regelmäßige Datenschutzschulungen sind damit keine Kür, sondern fester Bestandteil eines belastbaren Datenschutzes — und Voraussetzung dafür, dass Sie auf das Thema Datenschutz im Audit überzeugend antworten können.

Was ein prüffester Schulungsnachweis enthalten muss

Ein Nachweis, der jedem Audit standhält, braucht sechs Bestandteile. Fehlt einer, hat der Auditor einen Ansatzpunkt für eine Abweichung.

• Teilnehmer. Eindeutiger Name pro geschulter Person, idealerweise mit Abteilung und Funktion.
• Datum. Wann die Schulung absolviert wurde — taggenau, nicht nur das Jahr.
• Inhalt / Modul. Welches Thema vermittelt wurde (z. B. DSGVO-Grundlagen, Phishing, Passwort-Hygiene). Eine Liste ohne diese Angabe ist wertlos.
• Testergebnis. Beleg, dass der Inhalt verstanden wurde — Quizergebnis oder bestandene Lernkontrolle.
• Wiederholung. Wann die nächste Auffrischung fällig ist, damit der Zyklus lückenlos bleibt.
• Aufbewahrung. Nachweise mindestens drei Jahre vorhalten, bei ISO 27001 über einen vollen Zertifizierungszyklus.

Genau an diesem Punkt scheitern selbstgebaute Lösungen. Eine Excel-Tabelle erfasst meist nur Name und Datum. Inhalt, Testergebnis und der nächste Termin fehlen — und damit fehlt der halbe Nachweis. Ob Sie Ihre Belegschaft per Präsenz-Unterweisung oder per E-Learning schulen, ist dabei zweitrangig: Entscheidend ist, dass jede Datenschutz Schulung mit einem belegbaren Ergebnis endet — oft in Form eines Zertifikats pro Teilnehmer.

Lesetipp: Dieses Thema behandelt unser kostenloses E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand” (47 Seiten). Jetzt herunterladen →

In vier Schritten zum auditfesten Nachweis

Wer den Prozess einmal sauber aufsetzt, hat vor jedem Audit Ruhe.

1. Schritt 1: Schulungsumfang festlegen. Definieren Sie, welche Module für welche Mitarbeitergruppen verpflichtend sind — DSGVO, Phishing und Passwort-Hygiene für alle, NIS2 oder EU AI Act für betroffene Bereiche.
2. Schritt 2: Lernerfolg messen. Jede Schulung endet mit einem Quiz oder einer Lernkontrolle. Erst das bestandene Ergebnis macht den Nachweis prüffest.
3. Schritt 3: Wiederholung steuern. Legen Sie feste Intervalle fest und automatisieren Sie Erinnerungen, damit kein Mitarbeiter durch das Raster fällt.
4. Schritt 4: Nachweis exportieren. Halten Sie einen Export bereit, der alle sechs Pflichtangaben im Audit-Format enthält — auf Knopfdruck, nicht als Wochenend-Bastelei.

Den vollständigen Schulungsfahrplan über das Jahr beschreiben wir in unserem Leitfaden Datenschutzschulung im Unternehmen planen. Wie oft Sie auffrischen sollten, lesen Sie unter Mitarbeiter schulen — wie oft?.

Hugo Learn: der Nachweis liegt im Audit-Format bereit

Genau für diesen Engpass haben wir Hugo Learn gebaut. Die Plattform ist eine KI-gestützte Schulungslösung für deutsche KMU — mit Modulen zu DSGVO, Phishing, Passwort-Hygiene, NIS2 und EU AI Act, integrierter Phishing-Simulation und einer monatlichen KI-Lektion.

Jede absolvierte Schulung erzeugt automatisch einen auditfesten Nachweis: Teilnehmer, Datum, Modul, Testergebnis und nächster Wiederholungstermin werden lückenlos protokolliert. Den kompletten Stand exportieren Sie als ZIP oder CSV im Audit-Format — für ISO 27001 und TISAX direkt vorlegbar.

Automatische Erinnerungen nach 7 und 14 Tagen sorgen dafür, dass niemand die Frist reißt. Gehostet wird in Deutschland, die Inhalte sind auf Deutsch. Hugo Learn ist eigenständig buchbar oder ab dem Hugo-DSB-Standard-Tarif enthalten. Wer parallel ein ISMS aufbaut, koppelt das mit Hugo ISMS für ISO 27001 und NIS2.

Aus der Praxis

Schulungsnachweise sind technisch trivial — sie scheitern fast immer an der Disziplin, sie konsequent zu führen. Genau hier hilft eine Plattform, die den Nachweis nebenbei mitschreibt. Die meisten Datenpannen entstehen nicht durch fehlende Technik, sondern durch ungeschultes Personal: Ein falsch adressierter Anhang, ein angeklickter Phishing-Link. Wer seine Mitarbeiter regelmäßig unterweisen lässt, senkt dieses Risiko messbar — und kann es im Ernstfall sogar belegen.

Keine Frage ist doof. Oftmals kann schon damit geholfen werden, wenn Mitarbeiter schnell mal eine Frage loswerden und diese zeitnah vom Datenschutzbeauftragten beantwortet wird.

Nils OehmichenDatenschutzberater bei frag.hugo

Fazit: Der Nachweis entscheidet im Audit, nicht die Schulung

Eine Schulung ohne prüffesten Nachweis ist im Audit nichts wert. Sechs Angaben machen den Unterschied — Teilnehmer, Datum, Inhalt, Testergebnis, Wiederholung und Aufbewahrung. Wer das von Anfang an sauber dokumentiert und auf Knopfdruck exportieren kann, geht in jede ISO-27001- oder TISAX-Prüfung mit ruhiger Hand.

Häufige Fragen (FAQ)

Ist ein Schulungsnachweis im Datenschutz Pflicht?

Ja. Aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO folgt, dass Sie die Schulung Ihrer Mitarbeiter nachweisen können müssen. ISO 27001 und TISAX verlangen den Nachweis zusätzlich für die Zertifizierung.

Was muss ein prüffester Schulungsnachweis enthalten?

Teilnehmername, Datum, das vermittelte Modul beziehungsweise den Inhalt, das Testergebnis, den nächsten fälligen Wiederholungstermin und einen Hinweis zur Aufbewahrung. Eine reine Teilnahmeliste ohne Inhalt reicht nicht aus.

Wie lange muss ich Schulungsnachweise aufbewahren?

Eine feste gesetzliche Frist gibt es nicht. In der Praxis sind drei Jahre üblich, bei ISO 27001 mindestens ein voller Zertifizierungszyklus von drei Jahren. Bewahren Sie die Nachweise so lange auf, dass Sie zwei zurückliegende Audits belegen können.

Reicht eine Teilnahmeliste als Nachweis im Audit?

Nein. Eine Liste mit Namen belegt nur Anwesenheit, nicht den vermittelten Inhalt oder den Lernerfolg. Auditoren wollen sehen, was geschult wurde, ob ein Test bestanden wurde und wann die nächste Wiederholung fällig ist.

Erfüllt eine Online-Schulung den Nachweis für ISO 27001 und TISAX?

Ja, sofern das System Teilnahme, Inhalt, Testergebnis und Wiederholung protokolliert. Eine Online-Plattform mit auditfestem Export erfüllt die formalen Anforderungen oft besser als eine Präsenzschulung mit handschriftlicher Liste.

Was ist eine Datenschutzschulung?

Eine Datenschutzschulung vermittelt Mitarbeitern den rechtssicheren Umgang mit personenbezogenen Daten — etwa zu Themen wie DSGVO-Grundlagen, Phishing, sicheren Passwörtern und dem Melden von Datenpannen. Ziel ist, das Personal für Datenschutz zu sensibilisieren und Datenschutzverstöße im Alltag zu vermeiden.

Ist eine Datenschutzschulung gesetzlich vorgeschrieben?

Indirekt ja. Die DSGVO nennt keine ausdrückliche Schulungspflicht, verlangt über Art. 32 aber technische und organisatorische Maßnahmen für sichere Datenverarbeitung — dazu zählt, das Personal zu schulen. Über die Rechenschaftspflicht müssen Sie diese Datenschutzschulungen zudem belegen können.

Wie oft muss eine Datenschutzschulung durchgeführt werden?

Eine feste Frequenz schreibt das Gesetz nicht vor. In der Praxis hat sich eine jährliche Auffrischung etabliert, ergänzt um eine Erst-Unterweisung neuer Mitarbeiter und Anlass-Schulungen bei neuen Verfahren oder nach Datenpannen. ISO 27001 und TISAX setzen eine regelmäßige, mindestens jährliche Sensibilisierung voraus.

Wie dokumentiert man die Teilnahme an einer Datenschutzschulung?

Notieren Sie pro Person Name, Datum, das geschulte Modul, das Testergebnis und den nächsten Wiederholungstermin — eine bloße Anwesenheitsliste genügt nicht. Am sichersten ist eine E-Learning-Plattform, die jede Teilnahme automatisch protokolliert und als Zertifikat sowie auditfesten Export bereitstellt.