Wie weise ich eine Datenschutzschulung nach dem revDSG nach?
Mit einem Beleg, der je Person zeigt, welchen Inhalt sie wann bearbeitet hat und mit welchem Ergebnis. Eine bestimmte Form schreibt das revDSG nicht vor, und genau das ist die Schwierigkeit: Weil nichts vorgeschrieben ist, entscheidet im Prüffall allein, ob Sie es belegen können.
- Das Gesetz nennt keine Schulungspflicht mit diesem Wort. Es verlangt angemessene technische und organisatorische Massnahmen. Schulung ist der übliche Weg, den organisatorischen Teil zu erfüllen.
- Es gibt keine vorgeschriebene Nachweisform und kein vorgeschriebenes Intervall. Beides legen Sie fest, und beides müssen Sie im Zweifel erklären können.
- Der Beleg scheitert selten an der Schulung. Er scheitert daran, dass sie stattgefunden hat und niemand mehr zeigen kann, wer genau was gelernt hat.
- Gefragt wird nicht im Alltag. Gefragt wird nach einem Vorfall oder bei einem Auskunftsbegehren, und dann rückwirkend.
Was verlangt das revDSG bei Schulungen?
Wörtlich: nichts. Im revidierten Datenschutzgesetz, in Kraft seit dem 1. September 2023, steht keine Vorschrift, die eine Schulung anordnet. Es verpflichtet Unternehmen zu angemessenen technischen und organisatorischen Massnahmen, damit Personendaten sicher bearbeitet werden.
Die Schulung der Menschen, die mit diesen Daten umgehen, zählt zu den organisatorischen Massnahmen. Sie ist nicht die einzige, aber sie ist die, nach der zuerst gefragt wird, wenn etwas passiert ist. Der Grund ist einfach: Die meisten Datenschutzvorfälle entstehen nicht an der Technik, sondern an einer Person, die etwas nicht wusste.
Daraus folgt eine unbequeme Lage. Sie sind frei in der Ausgestaltung, und Sie tragen die Begründungslast, wenn jemand nachfragt.
Eine Vorkehrung, die nicht an der Technik ansetzt, sondern am Ablauf und an den Menschen: Weisungen, Zuständigkeiten, Berechtigungskonzepte, Meldewege und eben Schulung.
Sie steht gleichrangig neben der technischen Massnahme. Ein verschlüsselter Server nützt wenig, wenn jemand die Daten daraus in ein KI-Werkzeug kopiert, weil niemand gesagt hat, dass er das nicht soll.
Wie oft muss geschult werden?
Es gibt kein gesetzliches Intervall. Wer Ihnen sagt, Datenschutzschulung sei jährlich vorgeschrieben, verwechselt eine verbreitete Praxis mit einer Vorschrift.
Jährlich ist trotzdem eine gute Antwort, aber aus einem anderen Grund: Der Stoff veraltet schnell. Was 2023 zu KI-Werkzeugen im Arbeitsalltag zu sagen war, trägt heute nicht mehr. Ein Turnus, den Sie mit dem Tempo der Veränderung begründen, hält in einem Prüfungsgespräch. Ein Turnus, den Sie mit "macht man so" begründen, hält nicht.
Wichtiger als das Intervall ist ohnehin der Eintritt. Ein jährlicher Turnus nützt wenig, wenn ein Drittel der Belegschaft nach dem Stichtag angefangen hat. Die Lücke sitzt fast immer dort und nicht bei den Langjährigen.
Was das Gesetz regelt, und was die Prüfung sehen will
| Das Gesetz | Die Prüfung |
|---|---|
| Regelt das Ziel | Fragt nach dem Beleg |
| Angemessene organisatorische Massnahmen, damit Personendaten sicher bearbeitet werden. | Wer wurde geschult, wann, mit welchem Inhalt und mit welchem Ergebnis. |
| Keine Form, kein Intervall, keine Vorlage. | Etwas Vorzeigbares, das sich einer Person zuordnen lässt und nicht nachträglich veränderbar ist. |
| Die Ausgestaltung liegt bei Ihnen. | Die Begründung Ihrer Ausgestaltung liegt auch bei Ihnen. |
Die Freiheit in der Form ist keine Erleichterung. Sie verschiebt die Arbeit von der Vorschrift zur Begründung.
Woran der Nachweis in der Praxis scheitert
Nicht am guten Willen. An vier Stellen, die alle erst im Ernstfall auffallen.
- Die Schulung fand statt, der Beleg fehlt. Eine Präsentation im Team-Meeting, alle waren da, niemand hat es festgehalten. Nach gängiger Prüfungspraxis gilt sie damit als nicht erfolgt.
- Der Beleg lässt sich keiner Person zuordnen. Eine Anwesenheitsliste ohne Ergebnis zeigt, wer im Raum war. Sie zeigt nicht, ob etwas angekommen ist.
- Der Inhalt ist nicht mehr rekonstruierbar. Ohne die Fassung, die damals galt, belegt der Nachweis nur, dass jemand irgendetwas zum Thema Datenschutz gemacht hat.
- Die Auffrischung ist abgelaufen, und niemand hat es bemerkt. Der häufigste Fall, und der ärgerlichste, weil er sich vollständig automatisieren lässt.
Die ersten drei sind Dokumentationsfehler. Der vierte ist ein Organisationsfehler, und er kostet am meisten.
Dazu kommt eine Situation, die viele unterschätzen: das Auskunftsbegehren. Eine Person will wissen, welche Daten Sie über sie bearbeiten. Das ist zunächst kein Schulungsthema. Es wird eines, sobald die Antwort schlecht ausfällt, denn dann steht die Frage im Raum, ob die Menschen im Haus überhaupt wussten, wie damit umzugehen ist.
Was gehört inhaltlich hinein?
Vier Blöcke decken den Alltag ab. Der vierte fehlt in den meisten bestehenden Schulungen.
- Die Grundbegriffe. Was ein Personendatum ist, und warum fast alles im Arbeitsalltag eines ist.
- Auskunftsbegehren. Was zu tun ist, wenn jemand wissen will, welche Daten Sie über ihn haben, und in welcher Frist.
- Verletzung der Datensicherheit. Wer im Haus informiert wird, wie schnell, und wer entscheidet, ob gemeldet wird.
- KI-Werkzeuge. Welche Daten hineindürfen und welche nicht. Der Punkt, der in den meisten Schulungen noch fehlt, obwohl die Werkzeuge längst im Einsatz sind.
Der vierte Block ist heute der dringendere. Die Werkzeuge sind da, die Regeln dazu selten, und niemand fragt nach, solange nichts passiert.
Welche Pflichten Sie sonst noch treffen, ordnet Welche Pflichtschulungen sind in der Schweiz vorgeschrieben?
Wo unsere Zuständigkeit endet. Dieser Beitrag beschreibt, wie sich eine Schulung belegen lässt, nicht, welche Pflichten Ihr Unternehmen im Einzelnen treffen. Das hängt von Ihrer Bearbeitung, Ihrer Branche und Ihrer Aufsicht ab und ist im Einzelfall zu klären.
Ein Nachweis von KALYX ist ein selbst ausgestellter Schulungsnachweis. Er ist keine behördliche Bestätigung, dass Ihr Unternehmen das revDSG erfüllt.
Wie Sie den Nachweis bei uns führen
Drei Dinge, und sie entsprechen genau den vier Stellen oben, an denen es sonst reisst.
Der Kurs entsteht aus Ihrer eigenen Datenschutzweisung. Sie laden hoch, was bei Ihnen gilt, daraus werden Module und Prüffragen. Ein Mensch gibt sie frei, bevor sie jemand sieht. Damit ist der Inhalt nicht nur geschult, sondern auch festgehalten, in der Fassung, die zum Zeitpunkt der Schulung galt.
Der Schulungsstand steht auf einer Seite. Unter "Schulungsstand des Unternehmens" sehen Sie je Pflichtthema, wie weit Ihr Haus abgedeckt ist, bezogen auf die aktiven Nutzenden. Nicht als Gefühl, sondern als Zahl. Das ist die Ansicht, die die Frage "sind wir durch?" ohne Recherche beantwortet.
Auffrischungen laufen nicht still ab. Ein täglicher Lauf meldet Nachweise, die in den nächsten dreissig Tagen ablaufen, und solche, die kürzlich abgelaufen sind. Das ist der vierte Punkt von oben, der sich als einziger vollständig automatisieren lässt.
Und wenn jemand fragt: Der Audit-Report lässt sich als CSV exportieren, und jeder einzelne Nachweis trägt eine SHA-256-Prüfsumme mit einer öffentlichen Prüfseite. Eine dritte Person kann die Echtheit selbst feststellen, ohne Konto und ohne bei uns anzurufen. Warum das der eigentliche Unterschied ist, steht in Was ein fälschungssicherer Schulungsnachweis bedeutet.
Ein möglicher erster Schritt
Nehmen Sie den letzten Datenschutz-Schulungsbeleg aus Ihrem Bestand und halten Sie ihn gegen die vier Stellen oben. Erfahrungsgemäss fehlen zwei: der Inhalt in der damals gültigen Fassung, und die Möglichkeit, die Echtheit ohne Rückfrage zu prüfen.
Wenn Sie sehen wollen, wie das bei uns aussieht, steht es unter revDSG-Schulung nachweisen. Woran Sie einen belastbaren Beleg allgemein erkennen, steht in Wie beweise ich, dass meine Mitarbeitenden geschult sind?
Bundesgesetz über den Datenschutz (DSG) in der revidierten Fassung, in Kraft seit dem 1. September 2023, sowie die zugehörige Datenschutzverordnung, Bestimmungen zur Datensicherheit und zu den technischen und organisatorischen Massnahmen. Die Erlasse sind über fedlex.admin.ch vollständig nachvollziehbar.
Dieser Beitrag nennt bewusst keine Artikelnummern. Bei einem Text, der eine Pflichtenlage zusammenfasst, ist eine falsch zitierte Nummer der teuerste Fehler.
Die Aussage, dass fehlende Belege in Prüfungen als nicht erfolgte Schulung gewertet werden, gibt gängige Prüfungspraxis wieder, keine gesetzliche Anordnung. Die Angaben zu den vier Stellen, an denen der Nachweis reisst, sind Erfahrungswerte aus Gesprächen, keine Erhebung.
Stand: 27. August 2026. Dieser Beitrag ist eine Einordnung und keine Rechtsberatung. Vor einer Entscheidung mit finanzieller oder rechtlicher Tragweite prüfen Sie bitte den aktuellen Stand an der Primärquelle.
KI-Entwurf, fachlich geprüft und freigegeben von Fabian Kreher am September 1, 2026.
