Die beiden Fragen hängen nicht zusammen. Ob Sie einen Datenschutzbeauftragten brauchen, richtet sich in Deutschland nach § 38 Abs. 1 BDSG: Pflicht ist er, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dazu kommen die Fälle aus Art. 37 Abs. 1 DSGVO, etwa umfangreiche Verarbeitung besonderer Datenkategorien oder eine erforderliche Datenschutz-Folgenabschätzung.
„Ständig mit automatisierter Verarbeitung beschäftigt“ wird oft zu eng gelesen. Gezählt werden nicht nur Verwaltungskräfte: Wer regelmäßig mit einem Rechner, Kassensystem, Tablet oder Diensthandy personenbezogene Daten verarbeitet, zählt mit — auch der Monteur mit Auftrags-App und der Fahrer mit Telematiksystem. In vielen Betrieben wird die Zwanzig früher erreicht, als die Geschäftsleitung erwartet.
Wenn Sie einen Datenschutzbeauftragten haben, gehört die Schulung zu seinen gesetzlichen Aufgaben (Art. 39 Abs. 1 lit. b DSGVO). Er muss sie nicht selbst halten — er muss dafür sorgen, dass sie stattfindet und fachlich stimmt. Ein externer Datenschutzbeauftragter nutzt dafür in der Regel ein fertiges Schulungsangebot und prüft es gegen Ihre Verhältnisse.
Wenn Sie keinen brauchen, bleibt die Schulungspflicht trotzdem. Sie verschwindet nicht, weil die Aufgabe keinem Beauftragten zugewiesen ist — dann liegt sie bei der Geschäftsführung, wie alle übrigen Pflichten aus Art. 24 DSGVO.
Fundstelle: Art. 37 Abs. 1, Art. 39 Abs. 1 lit. b DSGVO; § 38 Abs. 1 BDSG