Schulungsplattform Compliance für HR im Mittelstand

Das Problem: Pflichtschulungen ohne prüfbaren Nachweis

Viele Mittelständler schulen ihre Mitarbeitenden zu DSGVO, IT-Sicherheit oder Compliance in Präsenz oder per E-Mail-Anhang. Wenn bei einem Audit, einer Betriebsprüfung oder nach einem Datenschutzvorfall die Frage kommt, wer wann welche Schulung abgeschlossen hat, fehlt der lückenlose Nachweis. In der Praxis ist das Risiko: Sie können nicht belegen, dass alle betroffenen Personen rechtzeitig unterwiesen wurden. Die Folge sind Bußgelder, Haftungsfragen und im schlimmsten Fall der Verlust einer Zertifizierung.

Gleichzeitig lagern viele Unternehmen die Schulungsplattform zu einem Drittanbieter in der Cloud aus und geben damit personenbezogene Daten (Name, Abteilung, Schulungsstatus, Testergebnisse) an einen Auftragsverarbeiter weiter. Die rechtliche Absicherung ist dann oft unvollständig: AV-Verträge fehlen, die technische Dokumentation ist vage, und die Frage, in welches Drittland die Daten fließen, bleibt ungeklärt.

Dieser Artikel zeigt, wie Sie eine Schulungsplattform rechtssicher auf eigener Infrastruktur betreiben, Nachweise revisionssicher speichern und bei Prüfungen vorlegen können.

Was eine Compliance-Schulungsplattform leisten muss

Eine Schulungsplattform für HR-Prozesse ist eine Anwendung, die Mitarbeitende durch verpflichtende Lernmodule führt, Fortschritte protokolliert und Abschlüsse dokumentiert. Compliance bedeutet hier: Sie müssen jederzeit beweisen können, dass eine Person zu einem bestimmten Zeitpunkt eine konkrete Schulung abgeschlossen hat.

Technisch benötigen Sie:

• Ein Lernmanagementsystem (LMS), das SCORM- oder xAPI-Inhalte abspielt.
• Eine Datenbank, die Nutzer, Kurse, Fortschritte und Abschlüsse speichert.
• Ein Reporting-Modul, das Zertifikate und Audit-Logs erzeugt.
• Eine Zugriffskontrolle, damit nur berechtigte HR-Verantwortliche Nachweise einsehen können.

Aus Sicht der DSGVO verarbeiten Sie personenbezogene Daten gemäß Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) oder lit. b DSGVO (Vertragserfüllung). Die Speicherung der Nachweise ist nach § 238 HGB, § 147 AO und branchenspezifischen Vorschriften oft zehn Jahre lang Pflicht.

Selbst hosten oder Cloud: Risiken und Pflichten

Wenn Sie eine Cloud-Lösung nutzen, wird der Anbieter Auftragsverarbeiter nach Art. 28 DSGVO. Sie müssen dann:

• Einen AV-Vertrag (Auftragsverarbeitungsvertrag) mit dem Anbieter schließen.
• Prüfen, ob der Anbieter Server in einem Drittland betreibt (etwa USA) und ob Standardvertragsklauseln oder ein Angemessenheitsbeschluss vorliegen.
• Sicherstellen, dass der Anbieter die technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO umsetzt.
• Den Anbieter in Ihr Verzeichnis der Verarbeitungstätigkeiten aufnehmen.

In der Praxis scheitern viele Mittelständler daran, dass der Cloud-Anbieter keinen vollständigen AV-Vertrag bereitstellt, dass Subunternehmer nicht benannt werden oder dass die Datenflüsse intransparent bleiben. Bei einem Audit führt das zu Mängeln.

Die Alternative ist Selbst-Hosting auf eigener Infrastruktur oder bei einem deutschen Rechenzentrum. Sie bleiben dann allein verantwortlich, vermeiden aber die Auftragsverarbeiter-Kette und haben volle Kontrolle über Logs, Backups und Zugriff.

Technische Umsetzung: LMS auf eigenem Server

Für den Mittelstand eignen sich Open-Source-Lösungen wie Moodle oder Ilias. Beide laufen auf einem Linux-Server mit PHP, MariaDB und Apache oder Nginx.

Die notwendigen Schritte:

1. Server dimensionieren: Für bis zu 100 aktive Nutzer gleichzeitig reichen 4 CPU-Kerne, 8 GB RAM und 100 GB SSD. Wenn Sie Video-Inhalte streamen, sollten Sie zusätzlich einen CDN-Cache oder einen dedizierten Storage-Server einplanen.
2. Datenbank absichern: MariaDB auf localhost binden, Zugriff nur über Unix-Socket, keine Fernverbindung. Passwörter mit mindestens 24 Zeichen Länge, Sonderzeichen, Zahlen und Buchstaben.
3. Verschlüsselung: SSL-Zertifikat von Let’s Encrypt, automatische Verlängerung alle 90 Tage. TLS 1.2 mindestens, besser TLS 1.3.
4. Backup: Tägliche Datenbank-Dumps und wöchentliche Vollsicherung der Dateien. Speicherung auf getrenntem Storage oder Tape, Aufbewahrung nach Aufbewahrungspflicht (zehn Jahre für Schulungsnachweise, die als Beleg für Compliance gelten).
5. Zugriffskontrolle: LDAP- oder SAML-Anbindung an Ihr bestehendes Active Directory, damit Nutzer ihre Firmen-Credentials verwenden. Rollen im LMS: Lernende sehen nur eigene Kurse, HR-Verantwortliche sehen alle Nachweise, Administratoren dürfen Kurse anlegen.
6. Audit-Log: Jede Aktion (Login, Start Kurs, Abschluss Test, Export Nachweis) wird mit Zeitstempel, Nutzer-ID und IP-Adresse protokolliert. Die Logs dürfen nicht nachträglich veränderbar sein, daher Schreibschutz nach Anlage oder separate Syslog-Server.

Rechenbeispiel: Kosten und Aufwand im Vergleich

Nehmen wir an, Ihr Unternehmen hat 150 Mitarbeitende, die jährlich drei Pflichtschulungen absolvieren müssen (DSGVO, IT-Sicherheit, Arbeitsschutz). Jede Schulung dauert 30 Minuten, der Test 10 Minuten.

Cloud-Variante (Auftragsverarbeiter)

• Lizenz: 5 Euro pro Nutzer und Monat, also 9.000 Euro pro Jahr.
• AV-Vertrag: 500 Euro einmalig für externe Rechtsberatung, um die Klauseln zu prüfen.
• Datenschutz-Folgenabschätzung (DSFA): 1.500 Euro einmalig, wenn Drittland-Transfer vorliegt.
• Summe erstes Jahr: 11.000 Euro, Folgejahre: 9.000 Euro.

Selbst-Hosting

• Server (dediziert oder VM): 100 Euro pro Monat, 1.200 Euro pro Jahr.
• Einrichtung Moodle: 2.000 Euro einmalig (Installation, Branding, LDAP-Anbindung, SCORM-Test).
• Backup-Storage: 20 Euro pro Monat, 240 Euro pro Jahr.
• Wartung und Updates: 500 Euro pro Jahr (interner IT-Aufwand oder externer Dienstleister).
• Summe erstes Jahr: 3.940 Euro, Folgejahre: 1.940 Euro.

Im Rechenbeispiel spart Selbst-Hosting 7.060 Euro im ersten Jahr und 7.060 Euro in jedem Folgejahr gegenüber der Cloud-Variante. Zusätzlich entfällt die laufende Prüfung des Auftragsverarbeiters, die in der Praxis jährlich ein bis zwei Personentage kostet.

Nachweise revisionssicher exportieren

Bei einem Audit oder einer Betriebsprüfung müssen Sie belegen können:

• Welche Person welche Schulung zu welchem Datum abgeschlossen hat.
• Dass der Test bestanden wurde (Mindestpunktzahl, Versuche).
• Dass die Schulungsinhalte zum Zeitpunkt des Abschlusses aktuell waren (Versionsnummer oder Datum der letzten Änderung).

Moodle bietet dafür einen Bericht „Kursabschluss”, den Sie als CSV oder PDF exportieren können. Für eine revisionssichere Archivierung empfehle ich:

• Export als PDF mit digitalem Zeitstempel (RFC 3161 Timestamping Authority).
• Ablage im Dokumentenmanagementsystem (DMS) mit Schreibschutz.
• Zusätzlich Export der Audit-Logs als CSV, ebenfalls mit Zeitstempel und Hashwert, damit Manipulationen erkennbar werden.

Wenn Sie die Nachweise zehn Jahre aufbewahren müssen, sollten Sie die Dateien auf einem langzeitstabilen Medium (etwa LTO-Tape) ablegen und alle drei bis fünf Jahre auf neue Hardware migrieren.

Was oft nicht funktioniert

Fehlende Rollentrennung: Wenn alle Mitarbeitenden im LMS auch die Nachweise anderer Personen sehen können, verstoßen Sie gegen das Prinzip der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Richten Sie Rollen strikt ein: Lernende sehen nur eigene Daten, HR nur das, was für Compliance nötig ist.

Unvollständige Logs: Viele Standard-Installationen protokollieren nur Logins, nicht aber Kursabschlüsse oder Testergebnisse. Prüfen Sie, welche Events Ihr LMS loggen kann, und aktivieren Sie alle compliance-relevanten.

Backup ohne Test: Ein Backup ist wertlos, wenn Sie es nicht regelmäßig wiederherstellen. Planen Sie halbjährlich einen Restore-Test auf einem separaten Server ein. Die Zeit für eine vollständige Wiederherstellung sollten Sie dokumentieren, damit Sie im Notfall realistische Zusagen machen können.

Fehlende Dokumentation der Inhalte: Wenn sich eine Schulung ändert (etwa nach neuer Rechtslage), müssen Sie nachweisen können, welche Version eine Person absolviert hat. Versionieren Sie Kurse mit Datum und Änderungsprotokoll, und archivieren Sie alte Versionen zusammen mit den Nachweisen.

Fazit: Compliance beginnt bei der Infrastruktur

Pflichtschulungen sind mehr als ein HR-Thema: Sie sind ein rechtlicher Nachweis, den Sie bei Audits vorlegen müssen. Selbst-Hosting gibt Ihnen die Kontrolle über Daten, Logs und Backups, vermeidet die Auftragsverarbeiter-Kette und spart in der Regel Kosten.

Die wichtigsten Punkte:

• Wählen Sie ein LMS, das SCORM oder xAPI unterstützt und detaillierte Audit-Logs schreibt.
• Hosten Sie auf eigener Infrastruktur oder bei einem deutschen Rechenzentrum.
• Exportieren Sie Nachweise revisionssicher mit Zeitstempel und Hash.
• Testen Sie Backups regelmäßig.

Wenn Sie eine Schulungsplattform rechtssicher aufsetzen oder Ihre bestehende Lösung absichern möchten, unterstützen wir Sie gerne bei Konzept, Umsetzung und Betrieb.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.