CIVAC Compliance-Schulung online: Mitarbeiter sicher unterweisen und nachweisen

Nach Art. 39 Abs. 1 lit. b DSGVO gehört die Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeiter zu den gesetzlich verankerten Aufgaben des Datenschutzbeauftragten. Mit § 38 Abs. 3 BSIG kommt für NIS-2-betroffene Unternehmen ab Inkrafttreten 2026 eine zusätzliche Schulungspflicht der Geschäftsleitung hinzu. Wer Schulungen über E-Mail-Anhänge und Excel-Listen verteilt, riskiert genau das, was ein Prüfer sehen will: einen lückenhaften Nachweis.

Dieser Beitrag erklärt, wie Sie Compliance-Schulungen für Mitarbeiter online so aufsetzen, dass Teilnahme, Inhalte und Bestellurkunden audit-fest dokumentiert sind. Sie erfahren, welche Rollen welche Pflichtinhalte abdecken, wie die Berichtslinie zur Geschäftsleitung sauber bleibt und wie der Workspace von CIVAC, einer deutschen Compliance-Plattform und Officer-as-a-Service, die Schulungsorganisation in zwei Werktagen produktiv macht.

Die Schulungspflicht ist kein abstrakter Wunsch, sondern paragraphenfest. Art. 39 Abs. 1 lit. b DSGVO weist dem Datenschutzbeauftragten ausdrücklich die Sensibilisierung der Mitarbeiter zu. § 38 Abs. 3 BSIG verpflichtet ab dem NIS-2-Inkrafttreten Geschäftsleitungen zur regelmäßigen Schulung im Bereich Risikomanagement und Cybersicherheit.

Ergänzend fordert ISO/IEC 27001:2022 in Annex A 6.3 dokumentierte Awareness-Programme für alle Personen, die Informationswerte verarbeiten. Im Geldwäschegesetz schreibt § 6 Abs. 2 Nr. 6 GwG eine Unterrichtung der Beschäftigten über Methoden der Geldwäsche und Terrorismusfinanzierung vor, mit nachweisbarer Dokumentation.

Auch die Berufsgenossenschaften verlangen nach § 12 ArbSchG jährliche Unterweisungen zu Arbeitsschutz und Gefahrstoffen. Wer als Bauleiter, Brandschutzbeauftragter oder SiFa tätig ist, kennt die Frequenz aus der DGUV-Vorschrift 1, § 4.

Die häufige Fehlannahme: ein einmaliges Onboarding genüge. Tatsächlich verlangen Prüfer Wiederholungsintervalle, Nachschulungen bei Rollenwechseln und einen Nachweis pro Person. Eine PDF-Liste reicht dafür schon lange nicht mehr.

Wer die Pflichten sauber abbildet, findet die Rollen-Übersicht unter civac.de/roles. Dort ist je Beauftragtem hinterlegt, welche Schulungsinhalte typischerweise greifen, welche Frist gilt und welche Bestellurkunde dazugehört.

Damit verlassen Sie den Bereich der Mutmaßung: jede Pflicht hat einen Paragraphen, jeder Paragraph eine Vorlage, jede Vorlage einen Nachweis.

Die Aufsichtsbehörden differenzieren längst nicht mehr zwischen Online und Präsenz, sondern zwischen nachweisbar und nicht nachweisbar. Der Düsseldorfer Kreis hat in Beschlüssen mehrfach klargestellt, dass die Form der Schulung sekundär ist, solange Inhalte, Teilnahme und Verständnis dokumentiert sind.

Eine reine Lesebestätigung per E-Mail gilt nicht als Schulung. Verlangt wird ein interaktives Element, typischerweise ein Quiz mit Mindestpunktzahl, ergänzt durch eine signierte Teilnahmebestätigung. Genau hier scheitern selbstgebaute Lösungen, weil Quizdaten, Signaturen und Frequenzen oft in drei Systemen liegen.

Online-Schulung hat einen weiteren Vorteil: sie ist asynchron skalierbar. Ein produzierendes Unternehmen mit 1.200 Mitarbeitern in drei Schichten kann Pflichtunterweisungen zu Datenschutz, NIS-2-Awareness oder Gefahrstoffumgang ohne Stillstand der Produktion ausrollen.

Wichtig bleibt die inhaltliche Tiefe. Eine 90-Sekunden-Animation zu Phishing genügt der ISO/IEC 27001:2022 nicht. Annex A 6.3 verlangt rollenbasierte Inhalte, dokumentierte Lernziele und eine wiederkehrende Auffrischung, in der Regel alle 12 Monate.

CIVAC betreibt seinen Workspace mit EU-Datenresidenz, sodass Teilnahmedaten nicht in Drittländer abfließen. Das ist insbesondere für Auftragsverarbeiter relevant, die Art. 28 DSGVO konform sein müssen.

Bestellurkunde, unterschrieben, abgelegt, belegbar. Genau diese Logik überträgt CIVAC auf Schulungsnachweise: jede Unterweisung erzeugt ein Artefakt, das ein Prüfer in 30 Sekunden findet.

Die Schulungsinhalte unterscheiden sich erheblich zwischen Rollen. Für den Datenschutzbeauftragten und seine Stellvertretung gehören Verarbeitungsverzeichnis nach Art. 30 DSGVO, Meldewege bei Datenpannen nach Art. 33 DSGVO mit 72-Stunden-Frist und Auftragsverarbeitung nach Art. 28 DSGVO zum Pflichtprogramm.

Beim Informationssicherheitsbeauftragten geht es um die 93 Controls der ISO/IEC 27001:2022, das BSI IT-Grundschutz-Kompendium und seit 2026 verstärkt um den NIS-2-Meldepfad mit 24-Stunden-Frühwarnung und 72-Stunden-Folgemeldung an das BSI.

Für den Geldwäschebeauftragten verlangt § 6 Abs. 2 Nr. 6 GwG Inhalte zu Risikoanalyse, Sorgfaltspflichten und Verdachtsmeldungen an die FIU. Die Frequenz richtet sich nach Risikoeinstufung, mindestens jedoch jährlich.

Bei SiFa, Brandschutzbeauftragten und Gefahrstoffbeauftragten greifen die DGUV-Vorschriften ergänzt um TRGS, ASR und BetrSichV. Ein detaillierter Überblick findet sich unter Fachkraft für Arbeitssicherheit.

ESG- und LkSG-Beauftragte benötigen Inhalte zu CSRD-Berichtspflichten, ESRS-Datenpunkten und Sorgfaltspflichten in Lieferketten. Auch hier sind die Schulungen rollenspezifisch und dokumentationspflichtig.

CIVAC bündelt 25 Beauftragten-Rollen mit hinterlegten Schulungsvorlagen. Sie wählen die Rolle, das System schlägt Pflichtinhalte vor, der Beauftragte ergänzt firmeneigene Themen. Audit-fest, dokumentiert, § ...-fest.

Der Nachweis ist die eigentliche Compliance-Leistung. Aus einer abgeschlossenen Online-Schulung wird erst dann ein verwertbares Artefakt, wenn vier Elemente verknüpft sind: Inhalt, Teilnehmer, Zeitstempel und Verständnisprüfung.

Aufsichtsbehörden wie die LfDI Baden-Württemberg verlangen in Prüfungen regelmäßig Quizergebnisse, weil sie die Auseinandersetzung mit dem Stoff belegen. Eine bestandene Wissenskontrolle mit 80 Prozent oder mehr gilt als Standard, dokumentiert pro Person und Datum.

Zusätzlich verlangt die ISO/IEC 27001:2022 in Clause 7.2 eine Aufbewahrung der Schulungsunterlagen über den Zertifizierungszyklus von drei Jahren hinaus. Damit ist eine Ablage in privaten Postfächern oder lokalen Festplatten ausgeschlossen.

Praktisch funktioniert das so: Der Mitarbeiter loggt sich in den CIVAC Workspace ein, durchläuft die Schulung, beantwortet das Quiz und bestätigt elektronisch. Das System erzeugt eine PDF-Bescheinigung mit Hashwert und legt sie revisionssicher ab.

Der Prüfer ruft an, der Nachweis liegt bereit. Genau diese Geschwindigkeit unterscheidet ein dokumentenbasiertes von einem prozessbasierten Compliance-System. Statt drei Tage zu suchen, liefern Sie in drei Minuten.

Für externe Audits stellt CIVAC Exportpakete bereit, die nach Bereich, Zeitraum und Rolle gefiltert sind. Ein NIS-2-Audit der BNetzA fragt typischerweise nach Geschäftsleitungs-Schulungen der letzten 12 Monate, das Paket liegt vor.

Eine häufige Lücke in der Compliance-Praxis: Mitarbeiter werden geschult, der Beauftragte selbst aber nicht ordnungsgemäß bestellt. § 38 Abs. 1 BDSG verlangt eine schriftliche oder elektronische Bestellung des Datenschutzbeauftragten. Ohne diese Urkunde fehlt die Grundlage der Tätigkeit.

Ebenso wichtig ist die Berichtslinie. Der DSB berichtet nach Art. 38 Abs. 3 DSGVO unmittelbar an die höchste Managementebene. Beim ISB verlangt § 8 BSIG eine vergleichbare Anbindung an die Geschäftsleitung. Schulungen alleine schließen diese Lücke nicht.

CIVAC hinterlegt für jede Rolle eine Bestellurkunden-Vorlage, die § 38 BDSG, § 7 GwG, § 22 GefStoffV und vergleichbare Normen abdeckt. Die Urkunde wird elektronisch unterzeichnet und gemeinsam mit der Berichtslinie im Workspace abgelegt.

Für die Berichtslinie existiert ein eigenes Modul, in dem Quartalsberichte, ad-hoc-Meldungen und Vorstandsprotokolle versioniert verwaltet werden. So entsteht eine durchgehende Kette: Bestellung, Schulung, Bericht, Aufsicht.

Die Praxis zeigt: bei Audits scheitern Unternehmen seltener an fehlenden Schulungen, häufiger an fehlenden Bestellurkunden oder unklaren Berichtswegen. Die zwei Tage SLA von CIVAC reichen, um beides nachzuziehen.

Mehr zur Berichtslinie und Bestellpraxis unter externer Datenschutzbeauftragter. Dort ist auch der typische Wechsel von intern zu extern beschrieben.

Marktübliche Online-Schulungsanbieter rechnen zwischen 8 und 35 Euro pro Mitarbeiter und Jahr, je nach Rolle und Frequenz. Bei 500 Mitarbeitern entstehen schnell jährliche Lizenzkosten von 12.000 bis 18.000 Euro, ohne Beauftragten-Honorar.

Der versteckte Kostenfaktor liegt in der Administration. HR-Teams verbringen laut interner Erhebungen 4 bis 6 Stunden pro Woche mit Erinnerungen, Excel-Pflege und Audit-Vorbereitung. Hochgerechnet auf das Jahr ergibt das 200 bis 300 Stunden, die nicht ins Curriculum fließen.

Bei klassischen externen Beauftragten kommen 80 bis 150 Euro pro Stunde hinzu, wenn Schulungsinhalte individuell erstellt oder gepflegt werden. Eine Erstaufsetzung dauert typischerweise 2 bis 6 Wochen, von der Bedarfsanalyse bis zur ersten produktiven Schulung.

CIVAC adressiert beide Kostenblöcke. Der Workspace bündelt 490 Audit-Vorlagen, Schulungsinhalte und Nachweise. Das SLA von 2 Werktagen ersetzt die klassische Anlaufphase von Wochen. Die EU-Datenresidenz vermeidet zusätzliche Drittlandsbewertungen nach Art. 44 ff. DSGVO.

Für die Frage nach konkreten Konditionen lohnt der Blick in die FAQ, in der Lizenz- und Servicemodelle aufgeschlüsselt sind. Pauschalpreise sind dort bewusst nicht hinterlegt, weil die Stückzahl der Mitarbeiter, die Rollenanzahl und der Servicegrad variieren.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die Wahl bestimmt die Kostenstruktur, nicht den Funktionsumfang.

Eine Online-Schulungsplattform entfaltet ihren Nutzen nur, wenn sie in bestehende HR- und IT-Prozesse passt. Onboarding-Workflows müssen automatisch die richtigen Pflichtschulungen zuweisen, Rollenwechsel ebenso. Manuelle Zuweisung erzeugt Lücken und damit Audit-Befunde.

Im CIVAC Workspace lassen sich Rollen mit Schulungspaketen verknüpfen. Wechselt ein Mitarbeiter von der Vertriebsabteilung in die Produktion, ergänzt das System automatisch die Pflichtunterweisungen nach BetrSichV und Gefahrstoffrecht. Der bisherige DSGVO-Stand bleibt erhalten.

Für IT-Prozesse zählt die Integration in Identity-Provider. SSO über SAML 2.0 oder OIDC vermeidet Schatten-Accounts, ein typischer Befund in ISO/IEC 27001:2022 Audits unter Annex A 5.16. Auch der Off-Boarding-Prozess wird damit revisionssicher.

Audit-seitig zählt der Export. Wirtschaftsprüfer im Rahmen von IDW PS 951 oder IDW PS 980 verlangen strukturierte Stichproben. Der Workspace liefert anonymisierte oder personenbezogene Auswertungen je nach Prüfungsumfang und Rechtsgrundlage.

Für die Geschäftsleitung entstehen Dashboards mit Trainingsquote, offenen Pflichtschulungen und Risikolevel je Bereich. Diese Reports gehen in die Quartalsberichte des DSB, ISB oder Compliance-Officers, abgesichert durch versionierte Bestellurkunden.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der Unterschied wird sichtbar, sobald das HR-System einen neuen Mitarbeiter meldet und die Pflichtunterweisung ohne manuellen Eingriff zugewiesen ist.

Der häufigste Fehler ist die Bündelung aller Inhalte in einer Mega-Schulung. Eine zweistündige Pflichtveranstaltung zu DSGVO, NIS-2, GwG und Arbeitsschutz erzeugt formal eine Teilnahme, faktisch aber keinen Lernerfolg. Prüfer hinterfragen solche Konstruktionen kritisch.

Besser sind kurze, rollenbasierte Module von 15 bis 25 Minuten, ergänzt um Wissensfragen pro Modul. So bleibt die Aufmerksamkeit hoch, die Quizergebnisse aussagekräftig und der Nachweis differenziert.

Ein zweiter Fehler ist die Vernachlässigung von Wiederholungsintervallen. Die DSGVO empfiehlt jährliche Auffrischung, ISO/IEC 27001:2022 Annex A 6.3 verlangt eine regelmäßige Anpassung, in der Praxis ebenfalls jährlich. Wer Schulungen 2024 ausgerollt hat und 2026 nicht aktualisiert, verliert die Audit-Festigkeit.

Drittens unterschätzen viele die Sprachversionen. Bei internationalen Belegschaften ist eine deutsche Schulung allein nicht ausreichend. Die LfD Bayern hat in Stichproben mehrfach moniert, dass Sprachbarrieren den Nachweis entwerten.

Vierter Fehler: die Vermischung von Schulung und Bestellung. Eine Teilnahmebestätigung ersetzt keine § 38 BDSG-Bestellung. Ohne Bestellurkunde fehlt die rechtliche Grundlage, selbst wenn alle Mitarbeiter geschult sind.

CIVAC reduziert diese Risiken durch fest verknüpfte Vorlagen. Bestellurkunde, Schulungspaket und Berichtslinie sind je Rolle vorkonfiguriert. Ein detaillierter Plan findet sich unter Informationssicherheitsbeauftragter, dort am Beispiel ISB durchgespielt.

Der Übergang von Analyse zu Umsetzung ist meist die größte Hürde. Klassisch dauert die Einführung einer Compliance-Schulungslandschaft 2 bis 6 Wochen, weil Anbieterwahl, Rollendefinition und Inhaltspflege seriell laufen. CIVAC verkürzt das auf ein SLA von 2 Werktagen.

Der Ablauf ist klar: Sie definieren die zu schulenden Rollen, CIVAC hinterlegt die passenden Vorlagen aus dem Pool der 25 Beauftragten-Rollen. Die EU-Datenresidenz ist konfiguriert, ein SSO-Anschluss erfolgt am zweiten Werktag.

Anschließend prüfen Sie die hinterlegten Schulungspakete inhaltlich, ergänzen firmeneigene Module und geben die Auslieferung frei. Die Bestellurkunden für interne oder externe Beauftragte liegen parallel zur Unterschrift bereit, inklusive Berichtslinie und Eskalationspfad.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle führen zur gleichen audit-festen Dokumentation. Der Unterschied liegt in der personellen Tiefe, nicht in der Compliance-Qualität.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir bestätigen den Eingang innerhalb eines Werktages und schlagen ein 30-minütiges Onboarding-Gespräch vor.

Für ergänzende Informationen lohnt der Blick auf civac.de/facts mit konkreten Zahlen zu Rollen, Vorlagen und SLA. Compliance-Plattform und Officer-as-a-Service in einem, ohne Aktenschrank.