Gibt es eine Schulungspflicht?
Ja, wenn auch nicht in Form einer einzelnen Vorschrift mit Fristangabe. Art. 39 Abs. 1 lit. b DSGVO weist dem Datenschutzbeauftragten ausdrücklich die Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeiter zu. Art. 32 Abs. 4 DSGVO verlangt darüber hinaus, dass die verantwortliche Stelle sicherstellt, dass ihr unterstelltes Personal personenbezogene Daten nur auf Anweisung verarbeitet. Ohne Schulung lässt sich das schwer sicherstellen.
Hinzu kommt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO: Die Einhaltung der Grundsätze muss nicht nur gewährleistet, sondern auch nachgewiesen werden können. Praktisch heißt das: Eine Schulung, die nicht dokumentiert ist, hat aus Sicht einer Prüfung nicht stattgefunden.
Wie oft?
Die DSGVO nennt kein Intervall. Etabliert hat sich eine jährliche Auffrischung — sie ist in der Aufsichtspraxis der Maßstab, an dem gemessen wird. Zusätzlich sind anlassbezogene Schulungen geboten.
Anlässe, die eine zusätzliche Schulung auslösen
- Neue Mitarbeitende, vor dem ersten Zugriff auf Patientendaten
- Einführung neuer Software, insbesondere mit KI-Funktionen
- Neue Verfahren wie Videosprechstunde, Patientenportal oder digitale Anamnese
- Nach einer Datenpanne oder einer Beanstandung der Aufsichtsbehörde
- Bei wesentlichen Rechtsänderungen
Was hineingehört
Eine Schulung, die nur die DSGVO-Grundsätze referiert, verfehlt ihren Zweck. Wirksam wird sie erst, wenn sie an den tatsächlichen Abläufen der Einrichtung ansetzt: dem Telefon am Empfang, der Auskunft an den Ehemann im Wartezimmer, dem Fax an die Klinik, dem Diktat auf dem Smartphone.
Themen, die in Praxen erfahrungsgemäß fehlen
- Schweigepflicht nach § 203 StGB und ihr Verhältnis zum Datenschutz
- Auskunft an Angehörige, Polizei, Versicherer und Gutachter
- Umgang mit Auskunftsersuchen nach Art. 15 DSGVO und der Monatsfrist
- Erkennen und Melden einer Datenpanne — inklusive der 72-Stunden-Logik
- Phishing und Social Engineering am Praxisarbeitsplatz
- Nutzung von KI-Werkzeugen ohne Preisgabe von Patientendaten
Der Nachweis
Verlangt wird kein Zertifikat im formalen Sinn, wohl aber eine belastbare Dokumentation. Sie sollte Datum, Dauer, Inhalte, Referent und die Teilnehmenden namentlich ausweisen. Eine Anwesenheitsliste mit Unterschriften genügt; bei Online-Formaten tritt eine Teilnahmebestätigung je Person an ihre Stelle.
Dieser Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder und dient der organisatorischen Orientierung. Er ersetzt keine Rechtsberatung im Einzelfall.