Das Gesetz nennt keine Frist. Verlangt wird, dass die Maßnahme wirksam ist und bleibt (Art. 24 Abs. 1 DSGVO: „überprüft und erforderlichenfalls aktualisiert“). Eine Unterweisung von 2019, auf die seitdem nichts folgte, erfüllt das nicht — nicht weil eine Frist abgelaufen wäre, sondern weil Wissen verblasst und sich die Lage geändert hat.
In der Praxis haben sich zwei Abstände etabliert: jährlich oder alle zwei Jahre. Jährlich ist der Standard in Branchen mit besonders sensiblen Daten — Gesundheit, Soziales, Finanzen, Personaldienstleistung. Alle zwei Jahre ist für einen normalen Handwerks-, Handels- oder Produktionsbetrieb gut begründbar, solange zwischendurch nichts Grundlegendes passiert.
Wichtiger als der Abstand sind die Anlässe, die eine Auffrischung außer der Reihe auslösen: ein neues System mit personenbezogenen Daten, eine Datenpanne im Haus, eine Beschwerde, eine neue Rechtslage. Seit Februar 2025 gilt zum Beispiel Art. 4 der EU-KI-Verordnung — wer KI-Werkzeuge einsetzt, hat damit eine zusätzliche Schulungspflicht, die es 2023 noch nicht gab.
Und unabhängig vom Turnus: Neue Beschäftigte werden beim Eintritt unterwiesen, nicht beim nächsten Sammeltermin. Zwischen Arbeitsbeginn und erster Schulung liegt sonst eine Lücke, die genau dann auffällt, wenn in dieser Zeit etwas passiert.
Fundstelle: Art. 24 Abs. 1, Art. 32 Abs. 1 DSGVO; Art. 4 Verordnung (EU) 2024/1689 (KI-Verordnung)