In diesem Ratgeber
Gibt es eine Schulungspflicht?
Ja, wenn auch nicht in Form einer einzelnen Vorschrift mit Fristangabe. Art. 39 Abs. 1 lit. b DSGVO zählt die Überwachung der Sensibilisierung und Schulung zu den Aufgaben des Datenschutzbeauftragten; die Verantwortung für eine geeignete Organisation bleibt bei der Einrichtung. Art. 32 Abs. 4 DSGVO verlangt darüber hinaus, dass die verantwortliche Stelle sicherstellt, dass ihr unterstelltes Personal personenbezogene Daten nur auf Anweisung verarbeitet. Ohne Schulung lässt sich das schwer sicherstellen.
Hinzu kommt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO: Die Einhaltung der Grundsätze muss nicht nur gewährleistet, sondern auch nachgewiesen werden können. Eine nachvollziehbare Dokumentation erleichtert den Nachweis; fehlende Teilnahmebelege sollten geklärt und die Organisation verbessert werden.
Wie oft?
Die DSGVO schreibt kein festes jährliches Intervall vor. Eine jährliche Auffrischung kann organisatorisch sinnvoll sein; Häufigkeit und Umfang richten sich nach Risiken, Aufgaben und Veränderungen. Hinzu kommen Einweisungen bei konkreten Anlässen.
Anlässe, die eine zusätzliche Schulung auslösen
- Neue Mitarbeitende, vor dem ersten Zugriff auf Patientendaten
- Einführung neuer Software, insbesondere mit KI-Funktionen
- Neue Verfahren wie Videosprechstunde, Patientenportal oder digitale Anamnese
- Nach einer Datenpanne oder einer Beanstandung der Aufsichtsbehörde
- Bei wesentlichen Rechtsänderungen
Was hineingehört
Eine Schulung, die nur die DSGVO-Grundsätze referiert, verfehlt ihren Zweck. Wirksam wird sie erst, wenn sie an den tatsächlichen Abläufen der Einrichtung ansetzt: dem Telefon am Empfang, der Auskunft an den Ehemann im Wartezimmer, dem Fax an die Klinik, dem Diktat auf dem Smartphone.
Themen, die in Praxen erfahrungsgemäß fehlen
- Schweigepflicht nach § 203 StGB und ihr Verhältnis zum Datenschutz
- Auskunft an Angehörige, Polizei, Versicherer und Gutachter
- Umgang mit Auskunftsersuchen nach Art. 15 DSGVO und der Monatsfrist
- Erkennen und Melden einer Datenpanne — inklusive der 72-Stunden-Logik
- Phishing und Social Engineering am Praxisarbeitsplatz
- Nutzung von KI-Werkzeugen ohne Preisgabe von Patientendaten
Der Nachweis
Verlangt wird kein Zertifikat im formalen Sinn, wohl aber eine belastbare Dokumentation. Sie sollte Datum, Dauer, Inhalte, Referent und die Teilnehmenden namentlich ausweisen. Eine Anwesenheitsliste mit Unterschriften genügt; bei Online-Formaten tritt eine Teilnahmebestätigung je Person an ihre Stelle.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.