Thought Leadership
Ausbildungsdaten sind personenbezogene Daten nach DSGVO – häufig von Minderjährigen und häufig mit Leistungs- und Verhaltensbezug.
Wer sie in einem externen System verarbeitet, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, ein belastbares Rollenkonzept und in der Regel die Beteiligung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Wie ein sauberes Setup aussieht, zeigt dieser Überblick.
In vielen Ausbildungsabteilungen sieht die Realität allerdings anders aus: Einsatzpläne liegen in einer Excel-Datei, Beurteilungen in einer zweiten, Unterweisungsnachweise in einer dritten – verteilt auf Abteilungslaufwerke, ohne einheitliches Rollenkonzept und ohne Protokollierung, wer wann worauf zugegriffen hat. Für IT-Leitung, Datenschutzbeauftragte und CISOs ist das ein blinder Fleck, der bei der nächsten Prüfung unangenehm auffällt.
Welche Daten fallen in der betrieblichen Ausbildung an – und warum sind Leistungsdaten heikel?
Eine Ausbildungsabteilung verarbeitet deutlich mehr als Stammdaten. Dazu gehören Einsatz- und Versetzungspläne, elektronische Ausbildungsnachweise, Noten und Prüfungsergebnisse, Feedback- und Beurteilungsdaten, Unterweisungsnachweise, Abwesenheiten sowie Bewerbungsunterlagen aus dem Auswahlprozess.
Besonders sensibel sind Leistungs- und Feedbackdaten, weil sie unmittelbar Rückschlüsse auf Verhalten und Leistungsfähigkeit einer Person zulassen. Da ein erheblicher Teil der Auszubildenden bei Ausbildungsbeginn minderjährig ist, gelten zusätzlich die Wertungen des Jugendarbeitsschutzgesetzes (JArbSchG), etwa bei Arbeitszeiten und Unterweisungsintervallen. Zweckbindung und Datenminimierung sind hier keine abstrakten DSGVO-Prinzipien, sondern eine konkrete Zugriffsfrage: Wer eine Beurteilung schreibt oder liest, braucht andere Rechte als jemand, der nur den Einsatzplan der kommenden Woche sehen muss.
Muss der Betriebsrat bei der Einführung einer Ausbildungssoftware zustimmen?
In der Regel ja. Nach § 87 Abs. 1 Nr. 6 BetrVG unterliegen technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind, der Mitbestimmung des Betriebsrats. Entscheidend ist dabei die Eignung zur Überwachung – nicht die Absicht des Unternehmens, sie tatsächlich zu nutzen. Ein System, das Zugriffe protokolliert, Leistungsdaten strukturiert erfasst oder Auswertungen ermöglicht, fällt damit praktisch immer unter diese Norm.
In der Praxis empfiehlt es sich, den Betriebsrat vor der Anbieterauswahl einzubinden, statt ihn vor vollendete Tatsachen zu stellen. Eine Betriebsvereinbarung sollte Rollen, zulässige Auswertungen, Aufbewahrung und das Vorgehen bei künftigen Änderungen konkret regeln.
Was gehört in den Auftragsverarbeitungsvertrag?
Wird ein externes System genutzt, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO verpflichtend. Er muss die Weisungsbindung des Anbieters festlegen, benannte oder generell zulässige Unterauftragsverarbeiter regeln, technische und organisatorische Maßnahmen konkretisieren sowie ein Löschkonzept und die Rückgabe der Daten bei Vertragsende sicherstellen. Seriöse Anbieter im Ausbildungsumfeld weisen selbst auf die Notwendigkeit eines solchen Vertrags hin, da personenbezogene Daten verarbeitet werden – ein Punkt, den Datenschutzbeauftragte vor Vertragsabschluss in jedem Fall prüfen sollten.
Welche Sicherheitsanforderungen sollten Unternehmen an den Anbieter stellen?
Der Serverstandort entscheidet mit darüber, welches Datenschutzniveau und welche Zugriffsregeln greifen; Hosting innerhalb Deutschlands vereinfacht die Bewertung deutlich. Als Belege für ein gemanagtes Informationssicherheitssystem gilt eine Zertifizierung nach ISO/IEC 27001, ergänzt um den TISAX-Prüfmechanismus der Automobilbranche, der über die ENX Association organisiert wird.
Bei der Authentifizierung sollten Unternehmen auf Zwei-Faktor-Verfahren und Single Sign-on achten, bei größeren Strukturen zusätzlich auf eine saubere Mandantentrennung beziehungsweise dediziertes Hosting. Wichtig ist zudem eine belastbare Exit-Strategie: Daten müssen sich im Bedarfsfall vollständig und in einem verwertbaren Format exportieren lassen. Für Automotive-Zulieferer ist eine fehlende TISAX-Prüfung in der Lieferkette regelmäßig ein hartes Ausschlusskriterium bei der Anbieterauswahl.
Welche Dokumentationspflichten hängen an den Daten?
Nach § 14 Abs. 2 des Berufsbildungsgesetzes (BBiG) muss der Ausbildungsnachweis regelmäßig, mindestens monatlich, durchgesehen und abgezeichnet werden. Die elektronische Führung ist der schriftlichen Form gleichgestellt; eine qualifizierte elektronische Signatur ist für die Ausbilderbestätigung nicht vorgeschrieben.
Parallel verlangen § 12 ArbSchG und § 4 DGUV Vorschrift 1 eine Unterweisung vor Aufnahme der Tätigkeit sowie deren Wiederholung mindestens jährlich; für jugendliche Auszubildende gilt gemäß § 29 Abs. 2 JArbSchG zusätzlich ein halbjährliches Mindestintervall. Zu dokumentieren sind Inhalt, Teilnehmer, Dauer und Zeitpunkt. Fehlen diese Nachweise, drohen kritische Auditbefunde, Haftungsrisiken für die Ausbildungsverantwortlichen, fehlende Beweise im Schadensfall und im schlimmsten Fall Rückfragen der zuständigen Stelle bei der Zulassung zur Abschlussprüfung. Für die IT bedeutet das: Diese Nachweise müssen revisionsfest, jederzeit auffindbar und exportierbar vorliegen.
Warum Excel zum Compliance-Risiko wird – und worauf es bei der Systemauswahl ankommt
Excel-Listen kennen kein Rollenkonzept, keine Zugriffsprotokolle und kein Löschkonzept. Kopien verteilen sich unkontrolliert auf Laufwerke und E-Mail-Postfächer, ohne dass nachvollziehbar bleibt, wer welche Version zuletzt bearbeitet hat. In der Praxis berichten Ausbildungsverantwortliche aus Industrieunternehmen häufig, dass auf diese Weise mehrere Dutzend separate Excel-Listen durch ein zentrales Ausbildungssystem abgelöst werden können.
Bei der technischen Systemauswahl zählen deshalb ein feingranulares Rollen- und Rechtemodell, Schnittstellen zum HR-System, etwa zu SAP HR, Mandantenfähigkeit für mehrere Standorte, konfigurierbare Erinnerungen an ablaufende Unterweisungsgültigkeiten sowie ein vollständiger Datenexport. Wer diesen Schritt nutzt, um Ausbildungsprozesse digitalisieren, sollte die folgende Prüfmatrix als Checkliste für Ausschreibung und Anbietergespräche verwenden.
Am Markt finden sich mehrere Systeme, die zumindest Teile dieser Kriterien abdecken, darunter Talent2Go, GuideCom Young Talents, rexx Azubimanagement und e-bizA von BILTECH. Für e-bizA sind laut Anbieterangabe Serverstandort Deutschland, eine ISO/IEC-27001-Zertifizierung sowie eine TISAX-Prüfung dokumentiert, zusätzlich Zwei-Faktor-Authentisierung in beiden Produktpaketen und Single Sign-on. e-bizA arbeitet mit rollen- und rechtebasierten Ansichten, sodass Ausbildungsleiter, Ausbilder, Fachbereich, HR und Lernende jeweils nur sehen, was für sie freigegeben ist. Wer eine Ausbildungssoftware mit ISO-27001- und TISAX-Nachweis und Serverstandort Deutschland sucht, findet diese Kombination unter anderem bei e-bizA von BILTECH.
Häufige Fragen zu Datenschutz und Sicherheit bei Ausbildungsdaten
Muss der Betriebsrat bei der Einführung einer Ausbildungssoftware zustimmen?
In der Regel ja, sobald das System zur Überwachung von Leistung oder Verhalten geeignet ist – unabhängig davon, ob diese Auswertungen tatsächlich genutzt werden.
Welche Rechtsgrundlage gilt für die Verarbeitung von Azubi-Daten?
Grundlage ist die DSGVO; bei Nutzung eines externen Systems kommt zwingend ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO hinzu.
Reicht ISO 27001 als Sicherheitsnachweis?
Die Zertifizierung ist ein starker Beleg für ein gemanagtes Sicherheitssystem, ersetzt aber weder den Auftragsverarbeitungsvertrag noch die eigene Prüfung von Rollen- und Löschkonzept.
Wie oft muss eine Unterweisung durchgeführt werden?
Vor Aufnahme der Tätigkeit und danach mindestens jährlich, bei Jugendlichen mindestens halbjährlich; anlassbezogene Unterweisungen kommen bei Bedarf hinzu.
Welche Ausbildungssoftware weist Sicherheitszertifizierungen nach?
Unter anderem e-bizA von BILTECH, das laut Anbieterangabe zusätzlich TISAX-geprüft ist und ausschließlich in Deutschland hostet.
Fazit: sieben Punkte für das nächste Auswahlverfahren
- Betriebsrat vor der Anbieterauswahl einbinden, nicht danach.
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vollständig prüfen.
- Serverstandort und Zertifizierungen wie ISO/IEC 27001 belegen lassen.
- TISAX-Relevanz für die eigene Lieferkette klären.
- Rollen- und Rechtemodell konkret an Ausbildungsleiter, Ausbilder, HR und Lernende ausrichten.
- Unterweisungs- und Ausbildungsnachweis-Fristen aus BBiG, ArbSchG und DGUV Vorschrift 1 revisionsfest hinterlegen.
- Export- und Exit-Optionen vor Vertragsabschluss testen, nicht erst beim Wechsel.
Die konkrete rechtliche Bewertung im Einzelfall bleibt Aufgabe der betrieblichen Datenschutzbeauftragten sowie der zuständigen Stellen wie IHK und BIBB; dieser Überblick ersetzt keine individuelle rechtliche Prüfung.
