Ja — aber nicht, weil es einen Artikel „Schulungspflicht“ gäbe. Die Pflicht entsteht aus drei Vorschriften zusammen: Sie müssen sicherstellen, dass Ihre Beschäftigten personenbezogene Daten nur auf Ihre Anweisung verarbeiten (Art. 32 Abs. 4 DSGVO), Sie müssen dafür geeignete organisatorische Maßnahmen treffen (Art. 24 Abs. 1) und Sie müssen beides nachweisen können (Art. 5 Abs. 2). Ohne Unterweisung lässt sich keiner dieser drei Punkte erfüllen.
Dazu kommt: Wenn Sie einen Datenschutzbeauftragten haben, gehört die „Sensibilisierung und Schulung der Mitarbeiter“ ausdrücklich zu seinen Aufgaben (Art. 39 Abs. 1 lit. b DSGVO). Dass das Gesetz die Aufgabe dem Datenschutzbeauftragten zuweist, zeigt, dass der Gesetzgeber sie als selbstverständlichen Bestandteil eines funktionierenden Datenschutzes versteht — nicht als Zusatzleistung.
Was das Gesetz nicht vorschreibt: eine Mindestdauer, einen Lehrplan, ein bestimmtes Format, eine bestimmte Prüfung, ein Zertifikat einer bestimmten Stelle. Es gibt keine amtlich anerkannte „DSGVO-Schulung“ und keine Zulassung für Anbieter. Wer Ihnen etwas anderes erzählt, verkauft Ihnen ein Siegel, das es nicht gibt.
Praktisch bedeutet das: Sie haben Freiheit in der Form und Pflicht im Ergebnis. Entscheidend ist, dass Ihre Beschäftigten die Regeln kennen, die für ihre Arbeit gelten, und dass Sie das belegen können. Ob das in einer Stunde online, in einer Teambesprechung oder in einem Tagesseminar passiert, ist Ihre Entscheidung.
Fundstelle: Art. 5 Abs. 2, Art. 24 Abs. 1, Art. 32 Abs. 4, Art. 39 Abs. 1 lit. b DSGVO