In der Regel keine Schulung, sondern Unterlagen. Eine Prüfung beginnt fast immer schriftlich: Die Behörde schickt einen Fragebogen oder ein Auskunftsverlangen und bittet um Nachweise — Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge, und darin regelmäßig die Frage, wie und wann Beschäftigte geschult wurden.
Gefragt wird nach drei Punkten: ob es eine Unterweisung gibt, wen sie umfasst und wie das belegt ist. Ein Satz wie „unsere Mitarbeiter sind sensibilisiert“ ist keine Antwort auf diese Frage. Eine Tabelle mit Namen, Datum und Schulungsthema, dazu die Inhaltsübersicht, ist eine.
Der häufigere Anlass ist nicht die anlasslose Prüfung, sondern ein konkretes Ereignis: eine Beschwerde eines Kunden oder Beschäftigten, eine gemeldete Datenpanne, ein Hinweis aus der Presse. Dann wird der Vorfall zum Einstieg — und die Frage „war die betroffene Person geschult?“ steht sehr früh im Schreiben.
Das ist auch der Grund, warum der Nachweis mehr zählt als die Schulung selbst: Bei der Bemessung eines Bußgeldes ist nach Art. 83 Abs. 2 lit. d DSGVO ausdrücklich zu berücksichtigen, welche technischen und organisatorischen Maßnahmen getroffen waren. Eine belegte, aktuelle Unterweisung ist an dieser Stelle ein mildernder Umstand — eine behauptete nicht.
Fundstelle: Art. 31, Art. 58 Abs. 1, Art. 83 Abs. 2 lit. d DSGVO