So lange, wie der Stoff braucht — eine Mindestdauer steht nirgends. Für eine allgemeine Sensibilisierung von Beschäftigten ohne besondere Datenschutzaufgaben sind 45 bis 60 Minuten ein üblicher und gut begründbarer Umfang. In dieser Zeit lassen sich Grundbegriffe, die wichtigsten Prinzipien, die Regeln für den eigenen Arbeitsplatz und das Verhalten im Pannenfall vermitteln.
Misstrauisch sollten Sie in beide Richtungen sein. Eine „Schulung“ von zehn Minuten vermittelt nichts, was in einer Prüfung als Unterweisung durchgeht — sie erzeugt nur ein Dokument. Ein Zweitagesseminar für alle Beschäftigten ist das andere Extrem: fachlich tadellos, aber es wird nicht durchgeführt, und eine nicht durchgeführte Schulung ist die schlechteste von allen.
Unterscheiden Sie Zielgruppen. Die Belegschaft braucht Awareness. Wer Datenschutz organisiert — Geschäftsführung, Personalabteilung, IT, interne Koordinatoren — braucht mehr: Verarbeitungsverzeichnis, Auftragsverarbeitung, Meldewege, Betroffenenanfragen. Das ist eine Vertiefung obendrauf, keine andere Länge derselben Schulung.
Was die Dauer ersetzt, ist Wiederholung. Eine Stunde im Jahr plus kurze Erinnerungen bei konkreten Anlässen wirkt nachweislich besser als ein einmaliger Marathon, nach dem zwei Jahre Stille herrscht.
Fundstelle: Keine Dauervorgabe in der DSGVO; Maßstab ist die Wirksamkeit nach Art. 24 Abs. 1, Art. 32 Abs. 1 DSGVO