20 Jahre nach Inkrafttreten ist das Allgemeine Gleichbehandlungsgesetz (AGG) so relevant wie nie. Die Beratungsanfragen bei der Antidiskriminierungsstelle des Bundes steigen Jahr für Jahr, eine umfassende Reform steht 2026 unmittelbar bevor, und gleichzeitig wächst die juristische Sensibilität in Belegschaften und Bewerbungsverfahren. Für Arbeitgeber heißt das: Eine systematische AGG-Schulung der Belegschaft ist 2026 nicht mehr Kür, sondern Pflicht – wirtschaftlich wie rechtlich.

Dieser Beitrag zeigt, was § 12 AGG konkret fordert, was sich durch die laufende Reform ändert, welche Inhalte in eine gute AGG-Schulung gehören – und warum ein Learning Management System (LMS) der schnellste Weg zu einer rechtssicheren, dokumentierten Umsetzung ist.

Was ist eine AGG-Schulung – und warum ist sie 2026 so relevant?

Eine AGG-Schulung ist eine Mitarbeiterunterweisung zum Allgemeinen Gleichbehandlungsgesetz. Ziel ist es, Mitarbeitende und Führungskräfte für Diskriminierung zu sensibilisieren und über ihre Rechte und Pflichten zu informieren. Sie ist die zentrale Präventionsmaßnahme, mit der Arbeitgeber ihrer Schutzpflicht nach § 12 AGG nachkommen.

Drei Entwicklungen machen die AGG-Schulung 2026 wichtiger als je zuvor:

1. Steigende Sensibilität in der Gesellschaft. Laut Jahresbericht 2024 der Antidiskriminierungsstelle gingen 11.405 Beratungsanfragen ein – ein neuer Höchststand. 2019 waren es noch 4.247. Ein Drittel der Fälle betrifft das Arbeitsleben.

2. Reform des AGG. Das BMJV hat am 14. April 2026 einen Referentenentwurf veröffentlicht, der den Diskriminierungsschutz erweitert und die Rechtsdurchsetzung stärkt. Hintergrund sind zwei EU-Richtlinien, die bis 19. Juni 2026 in nationales Recht umzusetzen sind.

3. Wachsendes Haftungsrisiko. Gerichte prüfen im Konfliktfall sehr genau, ob Arbeitgeber präventiv geschult und dokumentiert haben. Fehlt der Nachweis, drohen Organisationsverschulden und teure Entschädigungszahlungen.

Welche Pflichten ergeben sich aus § 12 AGG für Arbeitgeber?

Das AGG verpflichtet Arbeitgeber in § 12 zu vier zentralen Maßnahmen, die jede HR-Abteilung kennen muss:

1. Schutz vor Benachteiligung (§ 12 Abs. 1 AGG). Arbeitgeber müssen die Belegschaft aktiv vor Diskriminierung wegen der sechs geschützten Merkmale nach § 1 AGG schützen: ethnische Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter und sexuelle Identität.

2. Schulung als Präventionspflicht (§ 12 Abs. 2 AGG). Eine nachweislich durchgeführte Schulung gilt rechtlich als Erfüllung der Schutzpflicht – der sogenannte Safe-Harbor-Effekt. Wer nicht schult, haftet im Streitfall für organisatorisches Verschulden.

3. Information der Beschäftigten (§ 12 Abs. 5 AGG). Der Gesetzestext muss allen Mitarbeitenden zugänglich gemacht werden, üblicherweise per Aushang oder im Intranet. Auch die Beschwerdestelle und die Klagefristen müssen kommuniziert werden.

4. Einrichtung einer Beschwerdestelle (§ 13 AGG). Beschäftigte müssen wissen, an welche Stelle sie sich bei einer mutmaßlichen Diskriminierung wenden können. Beschwerden müssen geprüft und das Ergebnis mitgeteilt werden.

Eine wirksame AGG-Schulung vermittelt nicht nur diese Pflichten an Führungskräfte und HR – sie macht sie auch für alle Mitarbeitenden im Alltag greifbar.

Was ändert sich durch die AGG-Reform 2026?

Das Zweite Gesetz zur Änderung des AGG soll bis spätestens 19. Juni 2026 verabschiedet sein. Die zentralen Änderungen laut Referentenentwurf des BMJV im Überblick:

Erweiterter Schutz vor sexueller Belästigung. Bislang greift der AGG-Schutz vor sexueller Belästigung nur am Arbeitsplatz. Künftig soll er auch im Wohnungsmarkt, in Fitnessstudios, Fahrschulen oder anderen Dienstleistungssituationen gelten.

Stärkung der Antidiskriminierungsstelle (ADS). Die ADS soll künftig ein Streitschlichtungsverfahren anbieten, das Betroffenen eine schnelle Einigung außerhalb der Gerichte ermöglicht. Zudem werden europäische Standards für nationale Antidiskriminierungsstellen umgesetzt.

Klarstellung der Kirchenklausel (§ 9 AGG). Eine Ungleichbehandlung wegen Religion oder Weltanschauung in kirchlichen Einrichtungen soll künftig nur noch zulässig sein, wenn die Religionszugehörigkeit eine gerechtfertigte berufliche Anforderung für die konkrete Tätigkeit darstellt – im Einklang mit aktueller EuGH-Rechtsprechung.

Anpassungen im Zivilrecht. Die Beschränkung des Diskriminierungsverbots auf Massengeschäfte beim Merkmal „Geschlecht“ wird gelockert, um die EU-Unisex-Richtlinie sauber umzusetzen.

Was nicht im Entwurf steht. Verbandsklagerecht und Regelungen zum sogenannten AGG-Hopping (Scheinbewerbungen mit Entschädigungsabsicht) bleiben außen vor – ein Punkt, den sowohl Wirtschaftsverbände als auch Antidiskriminierungsorganisationen kritisieren.

Für die AGG-Schulung heißt das: Inhalte zur erweiterten Reichweite und zum neuen Streitschlichtungsverfahren sollten ab Mitte 2026 in jedes Curriculum integriert werden.

Was passiert, wenn Unternehmen die AGG-Schulung vernachlässigen?

Wer die Schulungspflicht ignoriert, riskiert eine ganze Kette finanzieller und reputativer Folgen.

Beweislastumkehr im Konfliktfall. Sobald eine betroffene Person Indizien für eine Benachteiligung schlüssig vorträgt, muss das Unternehmen beweisen, dass kein AGG-Verstoß vorlag. Ohne dokumentierte Schulung wird dieser Beweis extrem schwer.

Entschädigung und Schadensersatz nach § 15 AGG. Bei nachgewiesener Diskriminierung – etwa im Bewerbungsverfahren – können bis zu drei Bruttomonatsgehälter Entschädigung anfallen, bei schweren oder wiederholten Verstößen mehr. Hinzu kommen Schadensersatzansprüche für entgangenes Gehalt.

Organisationsverschulden. Hat der Arbeitgeber keine angemessenen Präventionsmaßnahmen ergriffen, haftet er nicht nur für direkte Diskriminierung, sondern auch für strukturelles Versäumnis. Eine fehlende AGG-Schulung ist dabei einer der ersten Punkte, die Gerichte prüfen.

Reputationsschäden. Klagen wegen Diskriminierung landen regelmäßig in der Presse. Bewertungsplattformen wie kununu spiegeln die interne Kultur wider und beeinflussen die Recruiting-Pipeline. Eine einzige eskalierte Beschwerde kann das Employer Branding für Jahre belasten.

Wirtschaftlicher Folgeschaden. Klagebearbeitung, Anwaltskosten, interne Untersuchungen und Krisenkommunikation binden Ressourcen, die deutlich höher sind als die Kosten einer kontinuierlichen LMS-basierten Schulung.

Welche Inhalte gehören in eine wirksame AGG-Schulung?

Eine AGG-Schulung, die nur Paragraphen vorliest, verfehlt ihren Zweck. Wirksame Schulungen verbinden rechtliches Wissen mit alltagsnahen Beispielen. Bewährt hat sich eine modulare Struktur:

Basis für alle Mitarbeitenden:

• Die sechs geschützten Merkmale nach § 1 AGG und ihre Bedeutung im Alltag
• Diskriminierungsformen: unmittelbare und mittelbare Benachteiligung, Belästigung, sexuelle Belästigung, Anweisung zur Benachteiligung
• Konkrete Beispiele aus dem Berufsleben: Stellenausschreibungen, Vergütung, Beförderung, Teaminteraktion, Kantinensituationen
• Verhalten bei Beobachtung von Diskriminierung: Wie reagiere ich? Wo melde ich?
• Die unternehmensinterne Beschwerdestelle nach § 13 AGG

Vertiefung für Führungskräfte und HR:

• Pflichten nach § 12 AGG und Konsequenzen bei Verstößen
• Diskriminierungsfreie Stellenanzeigen und Bewerbungsverfahren
• Beweislastumkehr nach § 22 AGG verstehen und vermeiden
• Umgang mit Beschwerden: Annahme, Prüfung, Dokumentation
• Kirchenklausel und Sonderfälle

Aktuelle Themen 2026:

• AGG-Reform 2026: Erweiterter Schutz vor sexueller Belästigung, neues Streitschlichtungsverfahren der ADS
• AGG-Hopping: Erkennen von Scheinbewerbungen und korrekter Umgang damit
• KI-Bewerbungsprozesse: Diskriminierungsrisiken algorithmischer Auswahlverfahren
• Diversity & Inclusion: AGG-Compliance als Bestandteil einer breiteren D&I-Strategie

Hinzu kommt das Aushangs- und Informationspflicht-Modul (§ 12 Abs. 5 AGG): Gesetzestext, Beschwerdestelle und Klagefristen müssen allen Mitarbeitenden bekannt sein.

Warum eignet sich ein LMS besonders gut für AGG-Schulungen?

Die größte Herausforderung bei der AGG-Umsetzung ist nicht das Gesetz selbst – es ist die lückenlose Dokumentation. Wer im Streitfall nicht in unter zwei Minuten nachweisen kann, dass alle relevanten Mitarbeitenden geschult wurden, verliert den Safe-Harbor-Effekt. Genau hier spielt ein Learning Management System (LMS) seine Stärken aus:

1. Automatische Zuweisung an die ganze Belegschaft. Egal ob 30 oder 3.000 Mitarbeitende: Pflichtkurse lassen sich an Zielgruppen ausrollen, inklusive Erinnerungen und Eskalationen bei Fristüberschreitung.

2. Onboarding-Integration. Jede neue Person erhält die AGG-Schulung automatisch am ersten Tag – ohne manuelles Nachhalten durch HR.

3. Rollenspezifische Lernpfade. Führungskräfte, HR-Team, Betriebsrat und allgemeine Belegschaft bekommen unterschiedlich tiefe Module. Das spart Zeit und steigert die Wirksamkeit.

4. Verständniskontrollen und Zertifikate. Kleine Quizfragen sichern den Lernerfolg ab, automatisch generierte Zertifikate landen direkt in der digitalen Personalakte.

5. Auditfeste Dokumentation. Im Streitfall sind Teilnahmestatus, Datum, Lernfortschritt und Quiz-Ergebnisse jederzeit per Knopfdruck exportierbar – der entscheidende Vorteil gegenüber Zettelwirtschaft.

6. Schnelle Reaktion auf Reformen. Wenn die AGG-Reform 2026 in Kraft tritt, lässt sich ein kurzes Update-Modul binnen Stunden ausspielen – inklusive Pflicht zur Wiederholung.

7. Mehrsprachigkeit und Barrierefreiheit. Internationale Teams, Schichtarbeit, mobile Belegschaft: Alle lernen in ihrer Sprache, an ihrem Endgerät, in ihrem Tempo – ein Anspruch, der bei einer AGG-Schulung besonders sinnvoll ist.

Mit einer Plattform wie reteach lassen sich diese Anforderungen ohne IT-Aufwand umsetzen – inklusive vorgefertigter Compliance-Module, automatischer Pflichtzuweisung und revisionssicherem Reporting. Mehr dazu auch in den Beiträgen zur datenschutzkonformen Weiterbildung und zur Phishing-Schulung im LMS.

Wie setzt man eine AGG-Schulung mit einem LMS Schritt für Schritt um?

Eine pragmatische Umsetzung in fünf Schritten:

1. Pflichtenanalyse. Welche Rollen brauchen welche Tiefe? Wer ist AGG-Beauftragte oder Beauftragter, wer leitet die Beschwerdestelle, wer ist Führungskraft mit Personalverantwortung?

2. Curriculum-Auswahl. Standardmodul für alle, Vertiefung für HR und Führungskräfte, Spezialmodul für AGG-Beauftragte. Aktuelle Themen wie die AGG-Reform 2026 als eigenes Update-Modul vorsehen.

3. Beschwerdestelle und Aushang sichtbar machen. Im LMS verlinken, im Intranet veröffentlichen, in der Schulung erklären – die drei Wege müssen ineinandergreifen.

4. Wiederholungsrhythmus festlegen. Eine einmalige Schulung ist nicht ausreichend. Bewährt haben sich jährliche Auffrischungen plus Sonder-Module bei Gesetzesänderungen oder konkreten Vorfällen.

5. Reporting und Eskalation einrichten. HR und Compliance brauchen klare Dashboards zur Teilnahmequote. Bei Nichtteilnahme sollten automatische Erinnerungen und Eskalationen greifen.

Fazit: Sensibilisierung als Daueraufgabe, nicht als Jahrespflicht

Die AGG-Schulung ist 2026 mehr als eine lästige Compliance-Anforderung. Sie ist Haftungsschutz, Kulturarbeit und Employer-Branding-Faktor in einem. Wer die Reform 2026, die steigenden Beratungsanfragen und die verschärfte Beweislastsituation ernst nimmt, etabliert AGG-Inhalte als festen Bestandteil seiner Lernkultur – nicht als jährlichen Pflichttermin.

Ein modernes LMS ist dafür der wirksamste Hebel: Es macht die AGG-Schulung skalierbar, nachweisbar und aktuell. Es entlastet HR, schützt die Geschäftsführung und gibt der Belegschaft Sicherheit, wie sie sich im Ernstfall verhalten kann.

Nächste Schritte:

1. Status quo prüfen: Welche AGG-Schulungen liegen vor, wie aktuell sind sie, wie ist die Dokumentation?
2. Rollen identifizieren, die eine vertiefte AGG-Schulung benötigen (Führungskräfte, HR, AGG-Beauftragte).
3. Curriculum für 2026 anpassen – inklusive Reform-Modul und Themen wie KI im Bewerbungsverfahren.
4. LMS auswählen, das automatische Zuweisung, rollenspezifische Lernpfade und revisionssicheres Reporting bietet.
5. Wiederholungsrhythmus festlegen und mit Compliance- und HR-Prozessen verzahnen.

Wenn Sie sehen möchten, wie sich eine AGG-Schulung mit reteach in der Praxis umsetzen lässt, buchen Sie eine Live-Demo – wir zeigen Ihnen in unter 30 Minuten, wie aus der Compliance-Pflicht eine lebendige Sicherheits- und Fairnesskultur wird.

Häufig gestellte Fragen

Cyberkriminelle interessieren sich heute weniger für Firewalls als für Menschen. Eine einzige Phishing-Mail, ein gefälschter Anruf vom vermeintlichen CEO oder ein präparierter QR-Code reichen aus, um sechsstellige Schäden auszulösen. Deshalb gehört eine wirksame Phishing-Schulung 2026 zu den wichtigsten Schutzmaßnahmen für Unternehmen. Laut dem aktuellen Cybersicherheitsmonitor 2026 von BSI und ProPK war im vergangenen Jahr jeder neunte Internetnutzer in Deutschland von Cyberkriminalität betroffen – und 88 Prozent der Betroffenen erlitten dabei einen konkreten Schaden. Phishing zählt zu den häufigsten Vorfällen.

Für Unternehmen ist eine systematische Phishing-Schulung der Belegschaft deshalb längst keine Kür mehr, sondern zentraler Bestandteil jeder Sicherheitsstrategie. Dieser Beitrag zeigt, was Mitarbeitende über Phishing, Social Engineering und CEO Fraud wissen müssen – und warum ein LMS das ideale Werkzeug ist, um dieses Wissen nachhaltig in den Köpfen zu verankern.

Was bedeuten Phishing, Social Engineering und CEO Fraud?

Die drei Begriffe werden oft synonym verwendet, beschreiben aber unterschiedliche Dinge.

Social Engineering ist der Oberbegriff. Gemeint ist jede Form der psychologischen Manipulation, mit der Kriminelle Menschen dazu bringen, vertrauliche Informationen preiszugeben, Überweisungen auszulösen oder Schadsoftware zu installieren. Der Mensch ist hier die Schwachstelle, nicht die Technik.

Phishing ist die bekannteste Variante des Social Engineering. Über gefälschte E-Mails, SMS, QR-Codes oder Webseiten versuchen Angreifer, an Zugangsdaten, Zahlungsinformationen oder andere sensible Daten zu gelangen. Wichtige Spielarten sind:

• Spear-Phishing: personalisierte Angriffe auf einzelne Personen oder Abteilungen
• Whaling: Phishing-Angriffe auf Führungskräfte
• Vishing: Voice-Phishing über das Telefon, häufig mit geklonten Stimmen
• Smishing: Phishing per SMS oder Messenger
• Quishing: Phishing über manipulierte QR-Codes

CEO Fraud (auch „Chefmasche“ oder „Business Email Compromise“) ist eine besonders gefährliche Sonderform. Dabei geben sich Angreifer als Geschäftsführung, Finanzvorstand oder andere Vorgesetzte aus und fordern Mitarbeitende per E-Mail, Anruf oder Videocall zu dringenden Überweisungen oder zur Herausgabe vertraulicher Daten auf.

Eine wirksame Phishing-Schulung muss deshalb alle drei Themen – Phishing, Social Engineering und CEO Fraud – gemeinsam vermitteln.

Wie bedrohlich ist die Lage 2026 wirklich?

Die Zahlen sind eindeutig – und alarmierend.

Deutsche Unternehmen verzeichnen laut Check Point Research durchschnittlich rund 1.200 Cyberattacken pro Woche. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft kleine und mittlere Unternehmen im aktuellen Lagebericht explizit als besonders gefährdet ein – ihnen fehlen häufig Ressourcen, Fachwissen und klare Zuständigkeiten.

Besonders rasant entwickelt sich der Schaden durch CEO Fraud und Deepfakes. Die aktuelle Schadensstatistik von Allianz Trade zeigt einen besonders gefährlichen Trend: Die Fallzahlen beim Fake-President-Betrug gingen 2025 zwar leicht zurück, die Schäden je Fall stiegen aber um 81 Prozent – nachdem sie sich bereits 2024 verdreifacht hatten. Jeder einzelne Angriff wird also raffinierter, gezielter und teurer.

Auch die Deepfake-Komponente nimmt rasant zu: Branchendaten zufolge ist die Rate des Deepfake-Betrugs in Deutschland im Vorjahresvergleich um über 1.000 Prozent gestiegen – damit zählt Deutschland zu den am stärksten betroffenen Ländern Europas.

Wer denkt, das treffe nur Großkonzerne, liegt falsch. Laut Verizon Data Breach Investigations Report richten sich rund 43 Prozent aller weltweiten Cyberangriffe gegen kleine Unternehmen, und etwa 80 Prozent der angezeigten Ransomware-Angriffe in Deutschland trafen KMU.

Wie verändern KI und Deepfakes klassische Angriffe?

Vor wenigen Jahren waren Phishing-Mails noch oft an Rechtschreibfehlern, plumpen Anreden oder schlechter Grammatik zu erkennen. Diese Zeiten sind vorbei. Generative KI produziert heute Texte, die in Tonfall, Stil und Kontext exakt zur angegriffenen Person passen – inklusive interner Begriffe und korrekter Namen.

Drei Entwicklungen sind besonders kritisch:

1. Voice Cloning. Mit wenigen Sekunden Audiomaterial – etwa aus einem Podcast, einem LinkedIn-Video oder einem Webinar – lässt sich die Stimme einer Führungskraft kopieren. Im Telefonat ist die Fälschung kaum mehr vom Original zu unterscheiden.

2. Deepfake-Videocalls. Im Februar 2024 überwies ein Finanzangestellter in Hongkong rund 25 Millionen Dollar, nachdem er in einer Videokonferenz mit seinem vermeintlichen CFO und weiteren Kollegen gesprochen hatte. Sämtliche Teilnehmenden waren KI-generierte Deepfakes. Inzwischen sind solche Echtzeit-Videofälschungen technisch breit verfügbar.

3. KI-gestütztes Spear-Phishing. Angreifer analysieren öffentliche Informationen über Mitarbeitende und ihre Unternehmen, formulieren maßgeschneiderte Mails und kombinieren sie mit gefälschten Anrufen. Dieser hybride Angriffsweg unterläuft viele klassische Sicherheitsroutinen.

Auch prominente deutsche Persönlichkeiten sind betroffen: Kriminelle missbrauchten Anfang 2026 die Identität des Unternehmers Reinhold Würth mit einem gefälschten Video, das auf Social Media für dubiose Investmentangebote warb. Für Unternehmen heißt das: Eine moderne Phishing-Schulung muss KI-spezifische Inhalte fest integrieren.

Welche Schutzmaßnahmen funktionieren in der Praxis?

Technische Filter allein reichen nicht aus, wenn die Angriffe immer perfekter werden. Wirksamer Schutz entsteht aus dem Zusammenspiel von Technik, Organisation und Sensibilisierung.

Organisatorische Maßnahmen sind dabei oft die wirksamsten – und gleichzeitig die günstigsten:

• Vier-Augen-Prinzip bei allen Zahlungen ab einem definierten Schwellenwert. Keine Ausnahmen, auch nicht bei vermeintlichen CEO-Anweisungen.
• Out-of-Band-Verifikation: Ungewöhnliche Anweisungen werden über einen zweiten, vorher festgelegten Kanal bestätigt – zum Beispiel per Rückruf auf eine bekannte Mobilnummer, nicht auf die Nummer aus dem Anruf.
• Code-Wörter für kritische Anweisungen, die in jeder dringenden Zahlungsfreigabe genannt werden müssen.
• Reduktion öffentlich verfügbaren Materials: Jede Minute Video- oder Audioaufnahme von Führungskräften ist potenzielles Trainingsmaterial für Angreifer.

Sensibilisierung ist die zweite Säule – und hier zeigen sich klare Erfolgsmuster. Der Phishing by Industry Benchmarking Report von KnowBe4 belegt: Mitarbeitende in Europa haben ohne Phishing-Schulung eine Anfälligkeit von rund 32,5 Prozent. Nach 90 Tagen kontinuierlicher Phishing-Schulung sinkt der Wert auf rund 20 Prozent, nach einem Jahr auf etwa 5 Prozent. Das entspricht einem Rückgang um über 80 Prozent.

Entscheidend ist das Wort kontinuierlich. Eine einmalige Pflichtschulung pro Jahr bringt nachweislich wenig. Wirksam wird das Training erst durch:

• regelmäßige, kurze Lerneinheiten (Microlearning)
• realistische Phishing-Simulationen, bei denen Mitarbeitende fingierte Angriffe in ihrem Alltag erleben
• direktes, unmittelbares Feedback bei einem Fehlklick
• rollenspezifische Inhalte (die Buchhaltung braucht andere Beispiele als der Vertrieb)
• Auffrischungen, sobald neue Bedrohungen auftauchen – etwa nach einer realen Angriffswelle

Genau hier kommt ein LMS ins Spiel.

Warum ist ein LMS ideal für eine kontinuierliche Phishing-Schulung?

Ein Learning Management System (LMS) ist die digitale Infrastruktur, die kontinuierliche, skalierbare und nachweisbare Schulungen erst möglich macht. Speziell für das Thema Phishing, Social Engineering und CEO Fraud spielt es seine Stärken voll aus:

1. Skalierbarkeit über die gesamte Belegschaft. Egal, ob 50 oder 5.000 Personen geschult werden müssen: Im LMS lassen sich Pflichtkurse einer Zielgruppe in wenigen Klicks zuweisen – inklusive automatischer Erinnerungen und Eskalationsstufen.

2. Microlearning statt Frontalunterricht. Statt einer einzigen 90-Minuten-Schulung pro Jahr lassen sich kurze, fokussierte Lerneinheiten von fünf bis zehn Minuten verteilen. Genau dieses Format wirkt nachweislich am besten gegen das schnelle Vergessen.

3. Rollenspezifische Lernpfade. Buchhaltung, Geschäftsführung, IT, Vertrieb und Empfang sind unterschiedlich exponiert. Ein LMS spielt die passenden Inhalte automatisch an die jeweilige Zielgruppe aus.

4. Phishing-Simulationen und Praxisübungen. Moderne LMS-Plattformen lassen sich mit Phishing-Simulationstools koppeln. Wer auf eine fingierte Mail klickt, landet direkt in einer kurzen Lerneinheit, die den Vorfall einordnet und das richtige Verhalten zeigt.

5. Nachweis und Reporting. Die NIS2-Richtlinie, die KI-Verordnung und die DSGVO fordern dokumentierte Schulungsmaßnahmen. Im LMS lassen sich Teilnahmequoten, Abschlüsse und Wissensstände jederzeit auditfest exportieren.

6. Mehrsprachigkeit und Ortsunabhängigkeit. Internationale Teams, Außendienst, Schichtarbeit, Homeoffice: Alle Mitarbeitenden lernen in ihrer Sprache, zu ihrem Zeitpunkt und an ihrem Endgerät.

7. Schnelle Reaktion auf neue Bedrohungen. Taucht eine neue Phishing-Welle auf – etwa mit Bezug zur eigenen Branche – lässt sich binnen Stunden ein kurzes Awareness-Modul zuweisen.

Speziell für Phishing-Simulationen und Security-Awareness-Trainings bietet reteach Phishing Awareness die Möglichkeit, realistische Phishing-Mails zu simulieren. Passende Lerninhalte werden automatisch ausgespielt.

Mehr zur Rolle eines LMS in compliancerelevanten Kontexten findest du im Beitrag zur datenschutzkonformen Weiterbildung und in unserem Artikel zu LMS und DSGVO.

Welche Inhalte gehören in eine Phishing-Schulung mit LMS?

Eine wirksame Phishing-Schulung deckt die ganze Bandbreite der Bedrohungen ab. Bewährt hat sich eine modulare Struktur:

Basismodule für alle Mitarbeitenden:

• Was sind Phishing, Social Engineering und CEO Fraud? (Grundlagen)
• Typische Warnsignale in E-Mails, SMS und Anrufen
• Sicherer Umgang mit Passwörtern und Zwei-Faktor-Authentifizierung
• Verhalten bei einem vermuteten Angriff: Wer wird informiert? Welche Schritte sind nötig?

Aufbaumodule für besonders gefährdete Rollen:

• Buchhaltung und Finance: CEO Fraud, gefälschte Lieferantenrechnungen, Vier-Augen-Prinzip in der Praxis
• Assistenz und Empfang: Pretexting am Telefon, Umgang mit Druck und Dringlichkeit
• Führungskräfte: Schutz der eigenen Identität, Reduktion öffentlich verfügbarer Audio-/Videoaufnahmen
• IT-Teams: Erkennung technischer Angriffsmuster und Reaktion im Ernstfall

Aktuelle Themen 2026:

• Deepfake-Erkennung: Wie unterscheide ich einen echten Videocall von einem gefälschten?
• KI-generierte Phishing-Mails: Warum sprachliche Perfektion kein Echtheitsbeweis mehr ist
• Quishing: Sicherer Umgang mit QR-Codes im Arbeitsalltag

Hinzu kommen wiederkehrende Phishing-Simulationen, die das theoretische Wissen unter realen Bedingungen testen – und gleichzeitig wertvolle Daten darüber liefern, wo noch Sensibilisierungsbedarf besteht.

Fazit: Sensibilisierung ist kein Projekt, sondern ein Prozess

Phishing, Social Engineering und CEO Fraud sind keine vorübergehenden Modeerscheinungen. Sie sind die zentrale Angriffsfläche moderner Unternehmen – und mit dem Einzug von KI und Deepfakes hat sich ihr Gefahrenpotenzial vervielfacht.

Wer seine Belegschaft nur einmal jährlich für 30 Minuten „durchschult“, erfüllt vielleicht eine Compliance-Anforderung, schafft aber kein echtes Sicherheitsbewusstsein. Wirksamer Schutz entsteht durch kontinuierliches, kurzes und rollenspezifisches Lernen, kombiniert mit klaren organisatorischen Regeln wie dem Vier-Augen-Prinzip und Out-of-Band-Verifikation.

Ein modernes LMS macht genau das möglich: skalierbar, nachweisbar, in der Sprache und Geschwindigkeit der Mitarbeitenden. Es verwandelt die Phishing-Schulung von einer einmaligen Pflichtveranstaltung in eine lebendige Sicherheitskultur.

Nächste Schritte:

1. Identifizieren Sie die am stärksten gefährdeten Rollen in Ihrem Unternehmen.
2. Entwickeln Sie eine modulare Schulungsstrategie – Basis für alle, Vertiefung für Risikogruppen.
3. Setzen Sie auf kontinuierliches Microlearning statt Jahrestermine.
4. Ergänzen Sie das Training um regelmäßige Phishing-Simulationen.
5. Wählen Sie ein LMS, das Skalierung, Reporting und schnelle Reaktion auf neue Bedrohungen ermöglicht.

Phishing schulen und simulieren mit reteach Phishing Awareness

Genau für diese Aufgaben haben wir reteach Phishing Awareness entwickelt: Damit schulen Sie Ihre Mitarbeitenden mit kurzen E-Learning-Einheiten zu Phishing, Social Engineering und CEO Fraud – und testen das Gelernte mit realistischen Phishing-Simulationen direkt im Arbeitsalltag. Sie versenden automatisierte Kampagnen, sehen Klick- und Risikoraten pro Abteilung und nutzen das Modul wahlweise in Ihrer reteach-Plattform oder eigenständig. Mehr über reteach Phishing Awareness erfahren oder direkt eine Live-Demo buchen.

Häufig gestellte Fragen

Eine regelmäßige DSGVO-Schulung gehört für Unternehmen längst zum Pflichtprogramm — und sie ist die wirksamste Maßnahme gegen Datenpannen. Denn die entstehen selten aus böser Absicht, sondern fast immer durch fehlendes Wissen: Eine vielzitierte IBM-Studie beziffert den Anteil menschlicher Fehler an Cybersicherheitsvorfällen auf bis zu 95 Prozent. Wer die Anforderungen der Datenschutz-Grundverordnung (DSGVO) ernst nimmt, muss seine Mitarbeitenden also regelmäßig und nachweisbar schulen.

Doch was genau ist eigentlich Pflicht? Wie oft muss geschult werden? Welche Inhalte gehören in eine DSGVO-Schulung — und welche Formate funktionieren in der Praxis? Dieser Leitfaden gibt einen klaren, branchenübergreifenden Überblick und zeigt, worauf es 2026 ankommt.

Was ist eine DSGVO-Schulung?

Eine DSGVO-Schulung ist eine strukturierte Sensibilisierung von Beschäftigten zu den Anforderungen der Datenschutz-Grundverordnung und des Bundesdatenschutzgesetzes (BDSG). Ziel ist es, dass alle Mitarbeitenden, die im Arbeitsalltag mit personenbezogenen Daten in Kontakt kommen, diese rechtssicher und verantwortungsvoll verarbeiten.

Die Schulung deckt die rechtlichen Grundlagen ebenso ab wie konkrete Verhaltensregeln im Umgang mit Kundendaten, Personalinformationen, E-Mails, mobilen Geräten oder Cloud-Diensten. Sie ist damit ein zentraler Baustein eines funktionierenden Datenschutzmanagementsystems (DSMS) und entscheidend, um der Rechenschaftspflicht nachzukommen.

Ist eine DSGVO-Schulung Pflicht?

Die kurze Antwort: Ja — wenn auch nicht ausdrücklich. Die DSGVO formuliert keine eigene Vorschrift wie „Alle Mitarbeitenden sind einmal jährlich zu schulen.“ Die Schulungspflicht ergibt sich jedoch indirekt aus mehreren Artikeln der Verordnung:

• Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht): Verantwortliche müssen nachweisen können, dass sie die Grundsätze der Datenverarbeitung einhalten. Ohne geschultes Personal ist dieser Nachweis kaum zu erbringen.
• Art. 32 Abs. 1 DSGVO (Technische und organisatorische Maßnahmen): Unternehmen sind verpflichtet, geeignete Maßnahmen zur Datensicherheit zu treffen. Schulungen zählen als zentrale organisatorische Maßnahme.
• Art. 39 Abs. 1 lit. b DSGVO (Aufgaben des Datenschutzbeauftragten): Datenschutzbeauftragte müssen die „Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter“ überwachen. Schulungen werden also gesetzlich als Selbstverständlichkeit vorausgesetzt.

In der Praxis bedeutet das: Fehlt der Nachweis regelmäßiger Schulungen, gewichten Aufsichtsbehörden im Fall einer Datenpanne das Bußgeld in der Regel deutlich höher. Behörden wie das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) fragen Schulungsmaßnahmen in ihren Prüffragebögen routinemäßig ab. Eine DSGVO-Schulung ist damit faktisch Pflicht — auch wenn das Wort „Schulung“ in der Verordnung nur indirekt auftaucht.

Wer muss an einer DSGVO-Schulung teilnehmen?

Geschult werden müssen alle Beschäftigten, die im Rahmen ihrer Tätigkeit personenbezogene Daten verarbeiten — und das sind in den meisten Unternehmen praktisch alle. Konkret zählen dazu unter anderem:

• Mitarbeitende in HR und Personalwesen, die mit Bewerbungsunterlagen, Verträgen und Gehaltsdaten arbeiten
• Vertriebs- und Marketingteams, die Kundendaten erfassen, CRM-Systeme nutzen oder Newsletter versenden
• IT- und Administrationsteams mit Zugriff auf Systeme und Datenbanken
• Kundendienst und Support, die Anfragen Betroffener entgegennehmen
• Führungskräfte, die Verantwortung für datenschutzkonforme Prozesse in ihren Teams tragen
• Gewerbliche Mitarbeitende in Logistik, Fertigung oder Außendienst, die mit Kundendaten oder Lieferdokumenten umgehen

Auch Auszubildende, Werkstudierende und befristet Beschäftigte gehören dazu. Externe Auftragsverarbeitende sollten zusätzlich vertraglich zur Schulung verpflichtet werden.

Wichtig: Eine Erstunterweisung sollte bereits im Onboarding stattfinden — also bevor neue Beschäftigte erstmals mit personenbezogenen Daten arbeiten. Wer erst nach Monaten schult, riskiert genau in der heikelsten Phase einen Datenschutzvorfall.

Welche Inhalte gehören in eine DSGVO-Schulung?

Die DSGVO macht keine konkreten Vorgaben zu Schulungsinhalten — überlässt das Thema also den Unternehmen. Aus der gängigen Praxis und den Empfehlungen der Aufsichtsbehörden ergeben sich aber klare Pflichtinhalte für eine Grundschulung:

1. Rechtlicher Rahmen und Grundbegriffe

• Zweck und Geltungsbereich von DSGVO und BDSG
• Was sind personenbezogene Daten, was sind besonders sensible Daten nach Art. 9 DSGVO?
• Grundprinzipien: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität

2. Rechtsgrundlagen der Datenverarbeitung

• Einwilligung, Vertragserfüllung, berechtigtes Interesse, gesetzliche Pflicht
• Anforderungen an eine wirksame Einwilligung und deren Widerruf

3. Rechte der Betroffenen

• Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch
• Wie reagiere ich, wenn eine Anfrage auf meinem Schreibtisch landet?

4. Sicherer Umgang mit Daten im Arbeitsalltag

• Passwortrichtlinien und Zwei-Faktor-Authentifizierung
• Versand von E-Mails (BCC, Verschlüsselung, Anhänge)
• Umgang mit mobilen Geräten, USB-Sticks und Cloud-Diensten
• Datenschutz im Homeoffice und auf Reisen

5. Erkennen von Risiken

• Phishing-E-Mails und Social Engineering
• Schadsoftware und Ransomware
• Unbefugter Zugriff und Shoulder Surfing

6. Verhalten im Fall einer Datenpanne

• Wie erkenne ich eine Datenpanne überhaupt?
• Meldewege im Unternehmen
• 72-Stunden-Meldepflicht an die Aufsichtsbehörde nach Art. 33 DSGVO

7. Sanktionen und Konsequenzen

• Bußgelder bis zu 20 Mio. Euro oder 4 Prozent des Jahresumsatzes
• Reputationsschäden und persönliche Haftung von Führungskräften

8. Aktuelle Themen 2026

• Datenschutz bei KI-Tools (ChatGPT, Microsoft Copilot, Gemini & Co.)
• Schnittstellen zur KI-Verordnung (KI-VO) und zu NIS2
• Internationale Datentransfers nach dem aktuellen EU-US Data Privacy Framework

Über die Grundschulung hinaus sind vertiefende Module für besonders exponierte Bereiche sinnvoll — etwa für HR, Marketing, IT, das Gesundheitswesen oder den öffentlichen Sektor.

Wie oft sollte eine DSGVO-Schulung stattfinden?

Die DSGVO macht zur Häufigkeit keine konkreten Vorgaben. Aufsichtsbehörden, Datenschutzbeauftragte und Branchenverbände empfehlen aber übereinstimmend einen jährlichen Schulungsturnus als Best Practice.

Zusätzliche anlassbezogene Schulungen sind sinnvoll bei:

• Neueinstellungen: Erstunterweisung im Rahmen des Onboardings
• Gesetzesänderungen oder neuen Urteilen: etwa zur KI-Verordnung oder zu internationalen Datentransfers
• Einführung neuer Tools oder Prozesse: beim Rollout eines neuen CRM, ERP oder KI-Assistenten
• Nach einer Datenpanne: als Korrektur- und Sensibilisierungsmaßnahme
• Bei Funktionswechseln: wenn Mitarbeitende in datenschutzkritischere Rollen wechseln

Auch zwischen den großen Schulungsterminen lohnen sich kurze Refresher — etwa Mikro-Lerneinheiten zu spezifischen Themen wie Phishing oder Passwortsicherheit. Sie halten das Thema präsent, ohne den Arbeitsalltag stark zu unterbrechen.

Welche Formate eignen sich für eine DSGVO-Schulung?

Auch zur Form macht die DSGVO keine Vorgaben — Hauptsache, die Schulung ist inhaltlich angemessen, nachweisbar und wirksam. In der Praxis haben sich drei Formate etabliert:

Präsenzschulung

Vorteile: hohe Interaktion, Raum für Rückfragen, Diskussion konkreter Praxisfälle. Nachteile: hoher organisatorischer und finanzieller Aufwand, schwer skalierbar, schwer regelmäßig auffrischbar.

Live-Online-Schulung (Webinar)

Vorteile: standortunabhängig, mit Diskussion und Q&A. Nachteile: feste Termine, weniger Flexibilität als E-Learning, die Aufmerksamkeit lässt online schneller nach.

E-Learning

Vorteile: zeit- und ortsunabhängig, beliebig wiederholbar, skalierbar auf große Teams, automatische Dokumentation in einem Learning Management System (LMS), einheitlicher Wissensstand über alle Standorte. Nachteile: weniger persönlicher Austausch, erfordert gut produzierte Inhalte, um nicht im „Durchklicken“ zu enden.

Für die meisten Unternehmen ist ein Blended-Learning-Ansatz sinnvoll: E-Learning für die regelmäßige Grundunterweisung, ergänzt um Präsenz- oder Live-Online-Formate für Vertiefungen und Diskussionen mit dem Datenschutzbeauftragten.

Wer darf eine DSGVO-Schulung durchführen?

Die DSGVO macht hierzu keine Qualifikationsvorgaben. In der Praxis sollte die Schulung aber von fachlich qualifizierten Personen verantwortet werden, typischerweise:

• dem internen oder externen Datenschutzbeauftragten (sofern bestellt)
• spezialisierten Fachanwältinnen für IT-Recht und Datenschutz
• erfahrenen Datenschutzberatungen
• professionellen E-Learning-Anbietern mit juristisch geprüften Inhalten

Wichtig: Der interne Datenschutzbeauftragte ist oft ein nebenbei weitergebildetes Teammitglied — und nicht zwingend auch ein guter Trainer. In dem Fall lohnt sich die Auslagerung an spezialisierte Anbieter, gerade bei der jährlichen Grundunterweisung.

Wie dokumentiere ich die DSGVO-Schulung rechtssicher?

Die Dokumentation ist der eigentliche Hebel im Audit- oder Bußgeldfall. Folgende Nachweise sollten Sie zu jeder DSGVO-Schulung sicher aufbewahren:

• Teilnehmendenliste mit Namen, Datum und Funktion
• Schulungsinhalte und vermittelte Themen (Curriculum, Folien, Modulinhalte)
• Lernerfolgskontrolle — etwa durch einen Abschlusstest
• Teilnahmezertifikate mit Datum und Schulungsumfang
• Schulungskonzept als Teil des Datenschutzmanagementsystems

Bei E-Learning-Schulungen über ein LMS entstehen diese Nachweise automatisch — Teilnahmen, Quiz-Ergebnisse und Zertifikate werden zentral gespeichert und sind jederzeit auswertbar. Das vereinfacht den Nachweis gegenüber Aufsichtsbehörden erheblich. Worauf Sie bei der Auswahl eines DSGVO-konformen LMS achten sollten, lesen Sie in unserem Beitrag zu LMS und DSGVO. Wie Sie Ihre Trainingsprozesse insgesamt datenschutzkonform aufsetzen, beleuchten wir im Beitrag zur datenschutzkonformen Weiterbildung.

Was ist 2026 neu bei DSGVO-Schulungen?

Drei Entwicklungen prägen das Schulungsjahr 2026:

1. KI-Datenschutz wird zum Kernthema

Generative KI-Tools wie ChatGPT, Microsoft Copilot oder Gemini sind in vielen Unternehmen längst Alltag — bringen aber neue Datenschutzrisiken mit sich. Mitarbeitende müssen lernen, welche Daten sie in KI-Tools eingeben dürfen und welche nicht. Eine moderne DSGVO-Schulung deckt das ausdrücklich ab.

2. KI-Verordnung (KI-VO) ergänzt die DSGVO

Seit Februar 2025 schreibt die KI-VO eine KI-Kompetenzpflicht für Unternehmen vor (Art. 4 KI-VO). Wer KI-Systeme einsetzt, muss seine Beschäftigten entsprechend qualifizieren. Viele Unternehmen kombinieren DSGVO- und KI-Schulungen, um inhaltliche Synergien zu nutzen.

3. NIS2 verschärft die Anforderungen an Informationssicherheit

Die NIS2-Richtlinie verpflichtet betroffene Unternehmen zu deutlich umfassenderen Maßnahmen im Bereich Cybersicherheit — inklusive verpflichtender Schulungen. Wer NIS2-pflichtig ist, sollte Datenschutz- und Cybersecurity-Awareness konsequent gemeinsam denken.

Fazit und nächste Schritte

Eine DSGVO-Schulung ist auch 2026 keine Kür, sondern faktisch Pflicht — und gleichzeitig eine der wirksamsten Maßnahmen, um Datenpannen, Bußgelder und Reputationsschäden zu vermeiden. Wer einmal jährlich strukturiert schult, anlassbezogen nachsteuert und die Teilnahme sauber dokumentiert, ist auf der sicheren Seite.

Für die Umsetzung gilt: praxisnah, interaktiv und nachweisbar sind die drei wichtigsten Erfolgskriterien. Eine moderne, digitale Schulung über ein LMS spart organisatorischen Aufwand, sorgt für einen einheitlichen Wissensstand und liefert die nötigen Nachweise auf Knopfdruck.

Mit reteach lässt sich genau das umsetzen: Fertige, laufend aktualisierte Kurse dazu finden Sie in den Compliance & Datenschutz Schulungen — direkt einsetzbar oder anpassbar an Ihr Unternehmen.

Häufig gestellte Fragen

Mit dem EU AI Act hat die Europäische Union als erste Region weltweit ein umfassendes Gesetz zur Künstlichen Intelligenz geschaffen. Seit dem 1. August 2024 ist es in Kraft – und betrifft praktisch jedes Unternehmen, das KI-Systeme einsetzt oder bereitstellt. Doch was steckt genau drin? Welche Pflichten gelten wann? Und was hat der Digital Omnibus vom Mai 2026 daran geändert?

Dieser Leitfaden gibt einen vollständigen Überblick über den EU AI Act 2026 – inklusive aller Risikoklassen, Stichtage, Sanktionen und konkreten Handlungsempfehlungen für Unternehmen.

1. Was ist der EU AI Act?

Der EU AI Act ist die Verordnung (EU) 2024/1689 zur Regulierung von Künstlicher Intelligenz in der Europäischen Union. Auch bekannt als KI-Verordnung oder AI Act, ist er das weltweit erste umfassende Gesetz seiner Art und verfolgt drei zentrale Ziele:

• Schutz der Grundrechte, Gesundheit und Sicherheit der Menschen in der EU
• Förderung vertrauenswürdiger und transparenter KI
• Sicherstellung eines funktionierenden Binnenmarkts für KI-Anwendungen

Der EU AI Act folgt einem risikobasierten Ansatz: Je höher das Risiko, das von einer KI-Anwendung ausgeht, desto strenger sind die Anforderungen. Damit unterscheidet er sich grundlegend von technologieneutralen Regulierungen wie der DSGVO.

Wichtig zu wissen: Der EU AI Act gilt extraterritorial. Auch Unternehmen außerhalb der EU müssen ihn einhalten, wenn ihre KI-Systeme in der EU genutzt werden oder ihre Ausgaben dort verwendet werden.

2. Wer ist vom EU AI Act betroffen?

Der EU AI Act unterscheidet vier Rollen, die jeweils eigene Pflichten haben:

• Anbieter (Provider): Unternehmen, die KI-Systeme entwickeln oder unter eigenem Namen in Verkehr bringen
• Betreiber (Deployer): Unternehmen, die KI-Systeme in ihrer beruflichen Tätigkeit einsetzen
• Importeure und Händler: Unternehmen, die KI-Systeme aus Drittländern in die EU bringen oder weitergeben

In der Praxis sind die meisten Unternehmen Betreiber – etwa wenn sie ChatGPT, Microsoft Copilot oder andere KI-Tools im Arbeitsalltag nutzen. Achtung: Wer ein bestehendes KI-System wesentlich verändert oder für einen neuen Zweck einsetzt, kann automatisch zum Anbieter werden – mit deutlich umfangreicheren Pflichten.

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Der EU AI Act sieht keine generelle Ausnahme für KMU oder Startups vor. Artikel 62 enthält allerdings Erleichterungen: reduzierte Bußgelder, vereinfachte Dokumentationsanforderungen und bevorzugten Zugang zu KI-Sandbox-Umgebungen.

3. Welche Risikoklassen unterscheidet der EU AI Act?

Das Herzstück des EU AI Act ist die vierstufige Risikoklassifizierung. Je höher das Risiko, desto strenger die Anforderungen:

Verbotene KI-Praktiken (Art. 5)

Diese KI-Anwendungen sind seit dem 2. Februar 2025 EU-weit untersagt. Dazu zählen:

• Social Scoring durch staatliche Stellen
• Manipulative KI, die das Verhalten von Menschen ohne deren Wissen beeinflusst
• Biometrische Echtzeit-Fernüberwachung im öffentlichen Raum (mit engen Ausnahmen)
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Ungezielte Auswertung biometrischer Daten zur Erstellung von Gesichtsdatenbanken
• KI-Apps zur Erstellung nicht-einvernehmlicher intimer Inhalte (durch den Digital Omnibus 2026 ergänzt)

Hochrisiko-KI-Systeme

Diese Systeme sind grundsätzlich zulässig, unterliegen aber einem umfangreichen Pflichtenkatalog: Konformitätsbewertung, technische Dokumentation, menschliche Aufsicht und Datenqualitätsstandards. Sie sind in zwei Anhängen geregelt:

Anhang III (eigenständige Hochrisiko-Systeme):

• Biometrie und Emotionserkennung
• Kritische Infrastruktur (Energie, Wasser, Verkehr)
• Bildung und Berufsausbildung
• Personalwesen (Bewerberauswahl, Leistungsbeurteilung, Beförderung)
• Kreditvergabe und Versicherungen
• Strafverfolgung, Migration und Justiz

Anhang I (KI als Sicherheitskomponente in regulierten Produkten):

• Medizinprodukte
• Aufzüge, Spielzeug
• Maschinen und Fahrzeuge
• Sonstige Produkte mit EU-Konformitätsbewertung

Im HR-Bereich sind viele KI-Anwendungen hochrisiko-relevant. Eine Vertiefung mit konkreten Schulungsanforderungen liefert unser Artikel zur KI-Schulungspflicht nach Art. 4 EU AI Act.

Begrenztes Risiko (Art. 50)

Diese Kategorie umfasst KI-Systeme mit Transparenzpflichten – ab dem 2. August 2026 EU-weit verbindlich:

• Chatbots müssen offenlegen, dass es sich um KI handelt
• KI-generierte Inhalte (Text, Bild, Audio, Video) müssen gekennzeichnet werden
• Deepfakes sind verpflichtend als solche zu markieren

Minimales Risiko

Spam-Filter, KI-gestützte Empfehlungssysteme oder einfache Automatisierungen fallen in diese Klasse. Hier gelten keine spezifischen Pflichten – lediglich freiwillige Verhaltenskodizes.

4. Welche Pflichten gelten ab wann?

Der EU AI Act wird stufenweise anwendbar. Hier die aktualisierte Timeline nach dem Digital Omnibus (politische Einigung vom 7. Mai 2026):

Was hat der Digital Omnibus geändert?

Am 7. Mai 2026 hat sich die EU im Rahmen des Digital Omnibus politisch geeinigt, die Anwendbarkeit der Hochrisiko-Pflichten zu verschieben. Hintergrund: Harmonisierte Normen, technische Standards und Konformitätsverfahren waren noch nicht ausreichend verfügbar. Die Verschiebung gilt nur für Hochrisiko-Anforderungen – Art. 4 (KI-Kompetenz), Art. 5 (Verbote) und Art. 50 (Transparenz) bleiben unverändert in Kraft.

5. Welche Strafen drohen und wer prüft die Einhaltung?

Der EU AI Act sieht abgestufte Sanktionen je nach Pflichtverletzung vor:

• Verbotene KI-Praktiken: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes
• Verstöße gegen Hochrisiko-Anforderungen: bis zu 15 Mio. Euro oder 3 % des Umsatzes
• Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. Euro oder 1 % des Umsatzes

Für KMU und Startups gilt jeweils der niedrigere Wert (Festbetrag oder Prozent).

KI-MIG: Das deutsche Durchführungsgesetz

Mit dem KI-Maßnahmen- und Innovationsgesetz (KI-MIG) hat das Bundeskabinett im Februar 2026 das deutsche Durchführungsgesetz zum EU AI Act beschlossen. Es regelt vor allem die nationale Marktüberwachung und konkretisiert Sanktionsmöglichkeiten.

BSI als nationale Aufsichtsbehörde

In Deutschland übernimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Durchsetzung des EU AI Act. Ab August 2026 ist mit aktiven Prüfungen zu rechnen – auch wenn die vollständige Hochrisiko-Aufsicht erst mit den verschobenen Stichtagen 2027/2028 anläuft.

Zivilrechtliche Risiken

Neben Bußgeldern drohen zivilrechtliche Haftungsrisiken: Wer durch eine fehlerhafte oder vorschriftswidrige KI geschädigt wird, kann Schadensersatz geltend machen. Seit März 2026 erfasst die EU-Produkthaftungsrichtlinie ausdrücklich auch KI-Systeme. Für die Geschäftsführung bedeutet das: Verstöße gegen den EU AI Act können als Verletzung der Sorgfaltspflichten der Geschäftsleitung zur persönlichen Haftung führen.

6. Was müssen Unternehmen jetzt tun?

Auch wenn ein Großteil der Hochrisiko-Pflichten erst Ende 2027 greift: Vorbereitungen müssen jetzt starten. Eine Konformitätsbewertung dauert erfahrungsgemäß drei bis sechs Monate. Wer Mitte 2027 noch nicht begonnen hat, schafft die Frist kaum.

Ein praxistauglicher Umsetzungsplan in fünf Schritten:

1) KI-Inventar erstellen

Welche KI-Systeme sind im Unternehmen im Einsatz – offiziell und inoffiziell? Wer ist verantwortlich? Welche Daten werden verarbeitet? Dieses Inventar bildet die Grundlage für alle weiteren Schritte und sollte innerhalb weniger Wochen stehen.

2) Risikoklassifizierung

Jedes System wird gegen Anhang III geprüft. Wichtig: Auch wenn das Ergebnis „kein Hochrisiko“ lautet, muss diese Bewertung dokumentiert werden (Art. 6 Abs. 3).

3) KI-Kompetenz aufbauen (Art. 4)

Die KI-Schulungspflicht ist seit Februar 2025 verbindlich und greift für alle Unternehmen, die KI nutzen – unabhängig von Größe oder Branche. Eine ausführliche Anleitung zur Umsetzung finden Sie in unserem Whitepaper zur KI-Schulungspflicht.

4) Governance-Strukturen aufbauen

Risikomanagementsystem, Verantwortlichkeiten, Dokumentationsrahmen: Diese Strukturen müssen für Hochrisiko-KI-Systeme bereits bis August 2026 stehen – auch wenn die Volldurchsetzung erst 2027 kommt. Wer diese Grundlagen jetzt nicht legt, wird die verschobenen Stichtage nicht ohne Compliance-Risiken erreichen.

5) Dokumentation aufsetzen

Standardisierte Informationsblätter für jedes KI-System, technische Dokumentation, Schulungsnachweise: Audit-Sicherheit entsteht durch konsequente Dokumentation. Eine Lernplattform mit revisionssicherer Dokumentation deckt den Schulungs- und Nachweis-Teil zentral ab.

Parallel: Weitere EU-Compliance-Anforderungen

Der EU AI Act ist nicht die einzige neue Regulierung, die HR- und Compliance-Verantwortliche 2026 fordert. Parallel greifen weitere Vorgaben wie die EU-Entgelttransparenzrichtlinie und die NIS2-Schulungspflicht für IT-Sicherheit. Eine integrierte Compliance-Strategie macht die Umsetzung deutlich effizienter.

7. Wie unterstützt ein LMS bei der EU AI Act-Umsetzung?

Ein Learning Management System (LMS) wie reteach unterstützt Unternehmen an mehreren Stellen der EU AI Act-Compliance:

• KI-Schulungspflicht nach Art. 4: Pflichtkurse für alle Mitarbeitenden, automatisierte Zuweisung nach Rolle und Abteilung
• Vertiefte Schulungen für Hochrisiko-Bereiche: Spezialkurse für HR, Recruiting, Compliance und Geschäftsführung
• Revisionssichere Dokumentation: Kursabschlüsse, Zertifikate und Wiederholungsfristen zentral und auditkonform
• Integrierte Compliance-Schulungen: Datenschutz, NIS2, Arbeitsschutz und KI-Pflichten in einer Plattform
• Automatisierte Wiederholungen: Zertifikate mit Ablaufdatum, Erinnerungen, Eskalationen

So lassen sich KI-Kompetenz, digitale Compliance-Schulungen und andere Pflichtschulungen mit deutlich weniger Aufwand für HR und Compliance managen.

8. Fazit & Nächste Schritte

Der EU AI Act ist die umfangreichste KI-Regulierung weltweit – und für Unternehmen in der EU keine Frage des „ob“, sondern des „wann“. Auch wenn der Digital Omnibus die Hochrisiko-Pflichten auf 2027/2028 verschoben hat: Die KI-Schulungspflicht nach Art. 4 gilt unverändert seit Februar 2025, die Transparenzpflichten greifen ab August 2026, und das BSI nimmt seine Aufsicht spätestens dann aktiv auf.

Wer jetzt mit dem KI-Inventar, der Risikoklassifizierung und der Schulung seiner Mitarbeitenden beginnt, schafft die Grundlage für eine strukturierte Compliance bis zu den nächsten Stichtagen – und stärkt gleichzeitig die digitale Kompetenz im Unternehmen.

Sie möchten konkret in die Umsetzung starten? Sichern Sie sich unser kostenloses Whitepaper zur KI-Schulungspflicht – mit Risikoklassen-Übersicht, Umsetzungsplan und weiterführenden Informationen.

Häufig gestellte Fragen

Pflichtschulungen im öffentlichen Sektor sind ein zentraler Bestandteil der rechtssicheren Organisation von Verwaltungen und öffentlichen Einrichtungen. Organisationen im öffentlichen Sektor tragen als öffentliche Arbeitgeber eine besondere Verantwortung. Sie beschäftigen Mitarbeitende in sehr unterschiedlichen Bereichen – von der Verwaltung im Rathaus über Bauhöfe und Kitas bis zu Schulen oder kommunalen Unternehmen. Gleichzeitig unterliegen sie zahlreichen gesetzlichen Anforderungen, die auch die Schulung und Unterweisung der Beschäftigten betreffen.

Vorschriften aus Arbeitsschutzgesetz, DSGVO, AGG oder weiteren Regelwerken verpflichten den öffentlichen Sektor dazu, ihre Mitarbeitenden regelmäßig zu bestimmten Themen zu schulen. Dazu gehören unter anderem Arbeitsschutz, Datenschutz, IT-Sicherheit oder Gleichbehandlung. Diese Schulungen sind ein wichtiger Bestandteil der rechtssicheren Organisation einer Verwaltung und müssen im Zweifel auch gegenüber Prüfstellen oder Aufsichtsbehörden nachgewiesen werden.

Warum Pflichtschulungen für den öffentlichen Sektor so wichtig sind

Schulungen im öffentlichen Sektor erfüllen weit mehr als eine Weiterbildungsfunktion. Sie sind ein zentraler Bestandteil von Compliance, Risikomanagement und Organisationsverantwortung.

Drei Risiken stehen dabei im Mittelpunkt.

Haftungsrisiko

Kommt es zu einem Arbeitsunfall oder Datenschutzverstoß, muss die Organisation nachweisen können, dass Beschäftigte korrekt unterwiesen wurden. Ohne diesen Nachweis kann die Haftung beim Arbeitgeber liegen.

Prüfungsrisiko

Kommunen unterliegen regelmäßiger Kontrolle durch verschiedene Stellen:

• Rechnungsprüfung
• Kommunalaufsicht
• Unfallkassen
• Landesdatenschutzbehörden

Fehlende Schulungsnachweise führen häufig zu Beanstandungen in Prüfberichten.

Reputationsrisiko

Vor allem Datenschutzverstöße, Korruptionsfälle oder Diskriminierungsvorfälle können das Vertrauen der Bürger in eine Verwaltung stark beschädigen.

Schulungen helfen daher nicht nur bei der Einhaltung gesetzlicher Vorschriften, sondern auch beim Schutz der Organisation und ihrer Beschäftigten.

Die wichtigsten Pflichtschulungen im öffentlichen Sektor

Die Schulungspflichten im öffentlichen Sektor ergeben sich aus verschiedenen Gesetzen und Richtlinien. In der Praxis lassen sie sich auf einige zentrale Bereiche reduzieren.

1. Arbeitsschutzunterweisungen

Eine der wichtigsten Schulungspflichten ergibt sich aus dem Arbeitsschutzgesetz (§12 ArbSchG). Arbeitgeber müssen ihre Beschäftigten regelmäßig über Sicherheit und Gesundheitsschutz am Arbeitsplatz unterweisen.

Diese Pflicht gilt für Arbeitgeber im gesamten öffentlichen Sektor und umfasst grundsätzlich alle Beschäftigten.

Typische Themen sind:

• Brandschutz und Notfallverhalten
• Ergonomie und Bildschirmarbeit
• Umgang mit Arbeitsmitteln
• Gefährdungen am Arbeitsplatz

Wichtig ist dabei der Arbeitsplatzbezug. Die Gefährdungen unterscheiden sich stark zwischen verschiedenen Bereichen einer Kommune:

• Kita → Infektionsschutz, Heben und Tragen
• Verwaltung → Bildschirmarbeit, Ergonomie
• Bauhof → Maschinen, Verkehr, Witterung

2. Datenschutzschulungen (DSGVO)

Organisationen im öffentlichen Sektor verarbeiten täglich große Mengen personenbezogener Daten, etwa in Verwaltungen, Bildungseinrichtungen oder öffentlichen Betrieben.

Die DSGVO verlangt organisatorische Maßnahmen zum Schutz dieser Daten. Dazu gehört auch die Sensibilisierung der Beschäftigten.

Auch wenn die DSGVO keine explizite Schulungspflicht nennt, ergibt sich aus mehreren Artikeln eine faktische Pflicht zur Datenschutzschulung:

• Art. 39 DSGVO: Schulung als Aufgabe des Datenschutzbeauftragten
• Art. 32 DSGVO: organisatorische Sicherheitsmaßnahmen
• Art. 5 Abs. 2 DSGVO: Rechenschaftspflicht

Fehlt bei einer Datenpanne ein Schulungsnachweis, wird dies von Aufsichtsbehörden häufig kritisch bewertet.

3. Gleichbehandlung und AGG

Das Allgemeine Gleichbehandlungsgesetz (AGG) gilt ausdrücklich auch für den öffentlichen Sektor.

§24 AGG stellt klar, dass Beamte und Beschäftigte im öffentlichen Dienst denselben Schutz genießen wie Arbeitnehmer in der Privatwirtschaft.

Besonders relevant ist dabei die sogenannte „Enthaftung durch Schulung“.

Wenn eine Kommune nachweisen kann, dass ihre Beschäftigten zum Thema Diskriminierung und Gleichbehandlung geschult wurden, gilt dies als Erfüllung der Arbeitgeberpflichten.

Ohne Schulung kann die Kommune im Diskriminierungsfall voll haften.

4. IT-Sicherheit und Cybersecurity

Cyberangriffe betreffen zunehmend Organisationen im öffentlichen Sektor – von Kommunalverwaltungen bis zu öffentlichen Einrichtungen und Betrieben. Besonders problematisch ist, dass viele Angriffe durch menschliche Fehler beginnen, zum Beispiel durch:

• Klick auf Phishing-Links
• Verwendung unsicherer Passwörter
• Weitergabe sensibler Informationen

Daher spielen IT-Sicherheitsschulungen eine wichtige Rolle.

Eine zusätzliche Bedeutung bekommt das Thema durch die NIS2-Richtlinie der EU. Diese betrifft insbesondere kommunale Unternehmen, etwa:

• Stadtwerke
• Wasserversorger
• Abwasserbetriebe
• kommunale IT-Dienstleister

Für betroffene Organisationen sind Schulungen der Geschäftsleitung zu IT-Sicherheit verpflichtend.

5. Korruptionsprävention

Korruptionsprävention gehört zu den wichtigsten Compliance-Themen im öffentlichen Dienst.

Beschäftigte in Kommunen treffen Entscheidungen über:

• Genehmigungen
• Vergaben
• Fördermittel
• Bauvorhaben

Dadurch entstehen potenzielle Risiken für Interessenkonflikte oder Vorteilsannahme.

Eine systematische Organisation von Pflichtschulungen im öffentlichen Sektor hilft dabei, gesetzliche Anforderungen zuverlässig zu erfüllen und Schulungsstände jederzeit nachvollziehen zu können.

Schulungen helfen dabei, rechtliche Risiken zu vermeiden, Beschäftigte zu sensibilisieren und klare Verhaltensregeln zu vermitteln.

Dokumentation: Der entscheidende Faktor bei Pflichtschulungen

Die Dokumentation ist ein zentraler Bestandteil der Pflichtschulungen im öffentlichen Sektor, da Organisationen im Zweifel nachweisen müssen, dass ihre Beschäftigten ordnungsgemäß geschult wurden.
Die Durchführung einer Schulung allein reicht nicht aus.

Eine rechtssichere Dokumentation sollte mindestens enthalten:

• Name des Beschäftigten
• Datum der Schulung
• Schulungsthema
• Schulungsinhalt
• Ergebnis der Verständnissicherung

Ein reiner Teilnahmenachweis reicht oft nicht aus. Prüfer erwarten häufig auch eine Verständnissicherung, etwa durch Wissenstests. Eine Schulung ohne Dokumentation gilt im Zweifel als nicht durchgeführt.

Praxistipps: So organisieren Sie Pflichtschulungen effizient

Viele Verwaltungen kämpfen mit organisatorischen Herausforderungen. Mit einigen Maßnahmen lässt sich das Schulungsmanagement deutlich verbessern.

1. Schulungspflichten systematisch erfassen

Erstellen Sie zunächst eine Übersicht aller Pflichtschulungen, die für Ihre Organisation relevant sind.

2. Verantwortlichkeiten klar definieren

Typischerweise sind beteiligt:

• Bürgermeister (Gesamtverantwortung)
• Personalamt (Organisation)
• Datenschutzbeauftragter
• Fachkraft für Arbeitssicherheit

3. Schulungsplan erstellen

Ein jährlicher Schulungsplan schafft Übersicht und verhindert vergessene Unterweisungen.

4. Dokumentation zentralisieren

Die größte Herausforderung ist häufig die Nachweisführung bei Prüfungen.

Viele Organisationen nutzen noch:

• Papierordner
• Excel-Listen
• manuelle Erinnerungen

Diese Systeme sind fehleranfällig und schwer zu überblicken.

Digitale Schulungen mit einem LMS umsetzen

Digitale Lernplattformen können das Schulungsmanagement von Pflichtschulungen im öffentlichen Sektor deutlich vereinfachen.

Ein Learning Management System (LMS) ermöglicht beispielsweise:

• zentrale Bereitstellung von Schulungen
• automatische Zuweisung an Beschäftigte
• integrierte Wissenstests
• revisionssichere Dokumentation

Führungskräfte erhalten außerdem einen Überblick über den Schulungsstand ihrer Teams.

Damit lassen sich gesetzliche Anforderungen nicht nur erfüllen, sondern auch administrative Aufwände deutlich reduzieren.

Fazit 

Pflichtschulungen im öffentlichen Sektor sind kein Randthema. Sie gehören zu den zentralen Aufgaben einer modernen Verwaltung.

Kommunen müssen zahlreiche Anforderungen erfüllen – von Arbeitsschutz über Datenschutz bis zur IT-Sicherheit. Gleichzeitig wird die Dokumentation dieser Schulungen immer wichtiger, da Prüfer und Aufsichtsbehörden entsprechende Nachweise verlangen.

Ein strukturiertes Schulungsmanagement hilft, Risiken zu reduzieren und Prozesse effizienter zu gestalten. Digitale Lösungen können dabei eine wichtige Unterstützung sein.

Genau solche Pflichtthemen können Sie mit dem reteach Kurskatalog ganz bequem digital schulen, z. B. mit unseren Schulungen für Kommunen.

Häufig gestellte Fragen