Schulungsplattform für Compliance: Hosting absichern

Warum Schulungsplattformen zur Compliance-Falle werden

Viele Mittelständler setzen auf externe Schulungsplattformen, um Pflichtunterweisungen zu Arbeitssicherheit, Datenschutz oder Geldwäscheprävention nachzuweisen. Die Plattform speichert personenbezogene Daten: wer wann welches Modul absolviert hat, wie lange die Bearbeitung dauerte, ob Tests bestanden wurden. Gleichzeitig verlangen Behörden, Wirtschaftsprüfer und Zertifizierer lückenlose Nachweise. Doch viele Cloud-Anbieter hosten außerhalb der EU, bieten keinen AVV nach Art. 28 DSGVO an oder löschen Logs nach 90 Tagen. Wenn die Aufsichtsbehörde eine Nachweispflicht für drei Jahre fordert, fehlt Ihnen die Grundlage.

Dieser Artikel zeigt, wie Sie eine Schulungsplattform so hosten, dass Sie Compliance-Anforderungen erfüllen: EU-Standort, Zugriffskontrolle, manipulationssichere Audit-Logs und dokumentierte Aufbewahrungsfristen.

Was Compliance bei HR-Schulungen bedeutet

Compliance bezeichnet die Einhaltung rechtlicher und regulatorischer Vorgaben. Im HR-Kontext fallen darunter:

• DSGVO: Art. 6 Abs. 1 lit. c und f sowie Art. 88 DSGVO erlauben die Verarbeitung von Mitarbeiterdaten zur Erfüllung arbeitsrechtlicher Pflichten. Sie müssen aber Zweckbindung, Datenminimierung und Speicherbegrenzung einhalten.
• Nachweispflichten: Gewerbeordnung, Arbeitsschutzgesetz und branchenspezifische Vorschriften verlangen dokumentierte Unterweisungen. Die Fristen reichen von zwei bis zehn Jahren.
• AVV: Wenn Sie einen externen Plattformanbieter nutzen, ist dieser Auftragsverarbeiter nach Art. 28 DSGVO. Sie bleiben Verantwortlicher und haften für Verstöße.
• Audit-Logs: Art. 32 Abs. 1 lit. d DSGVO fordert Verfahren zur regelmäßigen Überprüfung. Dazu gehören Protokolle, wer wann auf Schulungsdaten zugegriffen hat.

EU-Hosting oder Self-Hosted: Standort und Vertrag prüfen

Der erste Schritt ist die Wahl des Hosting-Standorts. Cloud-Plattformen außerhalb der EU lösen Drittstaatentransfers nach Kapitel V DSGVO aus. Sie müssen dann Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abschließen und eine Transfer-Impact-Assessment durchführen. Das bindet Ressourcen und birgt Risiken, falls das Datenschutzniveau im Zielland nicht ausreicht.

Eine Alternative ist Self-Hosting auf eigener Infrastruktur oder bei einem deutschen Rechenzentrum. Achten Sie auf folgende Punkte:

• Standort: Rechenzentrum in Deutschland oder einem EU-Mitgliedstaat.
• AVV: Schriftlicher Auftragsverarbeitungsvertrag mit allen Pflichtangaben nach Art. 28 Abs. 3 DSGVO.
• Zertifizierungen: ISO 27001 oder vergleichbare Nachweise für Informationssicherheit.
• Sub-Verarbeiter: Liste aller Unterauftragnehmer, die physischen Zugriff auf Server haben.

Wenn Sie eine Open-Source-Plattform wie Moodle oder Tutor LMS selbst hosten, entfällt der AVV für die Software. Sie bleiben aber verantwortlich für den Hosting-Vertrag.

Zugriffskontrolle: Wer darf Schulungsdaten sehen?

HR-Daten sind besonders schützenswert. Art. 32 Abs. 1 lit. b DSGVO verlangt die Fähigkeit, Vertraulichkeit zu gewährleisten. Definieren Sie daher klare Rollen:

• Administrator: voller Zugriff auf Plattform, Datenbank und Logs.
• HR-Sachbearbeiter: kann Schulungen zuweisen, Fortschritte einsehen, Zertifikate exportieren.
• Führungskraft: sieht nur den Status der eigenen Mitarbeitenden, keine Detaildaten anderer Abteilungen.
• Mitarbeitende: können eigene Schulungen absolvieren, Zertifikate herunterladen, aber keine Daten anderer einsehen.

Technisch setzen Sie das über Rollen- und Rechtesysteme um. Moderne Plattformen bieten RBAC (Role-Based Access Control). Kombinieren Sie das mit Single Sign-On (SSO) über SAML oder OAuth, um zentrale Authentifizierung und Zwei-Faktor-Authentifizierung zu erzwingen.

Zusätzlich sollten Sie den Netzwerkzugriff einschränken:

• VPN: Administrator-Zugang nur über VPN.
• IP-Whitelist: Datenbank-Zugriff nur von definierten IP-Adressen.
• Firewall-Regeln: Öffentlicher HTTPS-Port nur für Mitarbeitende, alle anderen Ports geschlossen.

Dokumentieren Sie alle Zugriffsvergaben in einem zentralen Berechtigungskonzept.

Audit-Logs: Manipulationssicher und revisionssicher

Art. 32 Abs. 1 lit. d DSGVO fordert ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit technischer und organisatorischer Maßnahmen. Audit-Logs sind dafür das zentrale Werkzeug. Sie protokollieren:

• Wer hat sich wann angemeldet?
• Welche Schulung wurde wann abgeschlossen?
• Wer hat Zertifikate exportiert?
• Wer hat Nutzerdaten geändert?
• Wer hat auf Datenbank-Ebene Zugriff genommen?

Wichtig: Logs müssen manipulationssicher sein. Speichern Sie sie getrennt von der Plattform, idealerweise auf einem dedizierten Syslog-Server. Nutzen Sie Zeitstempel mit NTP-Synchronisation und signieren Sie Log-Einträge kryptografisch, falls Ihre Plattform das unterstützt. Versionieren Sie die Logs und sichern Sie sie täglich auf unveränderlichem Speicher (WORM, Write Once Read Many).

Definieren Sie eine Aufbewahrungsfrist, die die längste Nachweispflicht abdeckt. Wenn branchenspezifische Vorschriften zehn Jahre fordern, müssen Logs mindestens ebenso lange verfügbar bleiben. Dokumentieren Sie das in Ihrem Löschkonzept nach Art. 17 DSGVO.

Rechenbeispiel: Aufwand und Kapazität

Nehmen wir an, ein Mittelständler mit 200 Mitarbeitenden führt jährlich vier Pflichtschulungen durch. Jede Schulung umfasst durchschnittlich drei Module mit insgesamt 90 Minuten Bearbeitungszeit. Die Plattform protokolliert Login, Modulstart, Modulabschluss und Zertifikatsexport. Das ergeben etwa acht Log-Einträge pro Schulung und Mitarbeitenden, also 6.400 Log-Zeilen pro Jahr.

Eine Log-Zeile in einem strukturierten Format wie JSON könnte 300 Byte umfassen. Das ergäbe rund 1,9 MB pro Jahr. Bei einer Aufbewahrungsfrist von zehn Jahren und einem Wachstumsfaktor von 10 Prozent jährlich (mehr Mitarbeitende oder Schulungen) landen Sie bei etwa 30 MB. Das ist vernachlässigbar für die Speicherkapazität, aber die Anzahl der Zeilen wächst auf über 100.000. Für Such- und Exportfunktionen sollten Sie daher eine Datenbank oder einen Logstash-Stack einsetzen.

Für den Server selbst rechnen Sie mit folgenden Annahmen:

• Zwei vCPUs und 4 GB RAM für die Plattform, Datenbank und Webserver.
• Ein dedizierter Syslog-Server mit einer vCPU und 2 GB RAM.
• Backup-Speicher für tägliche Snapshots über zehn Jahre: bei 5 GB Gesamtdatenvolumen und Kompression etwa 200 GB.

Ein Managed Server bei einem deutschen Hoster kostet in dieser Konfiguration etwa 40 bis 60 Euro pro Monat. Backup-Speicher etwa 10 Euro pro Monat. Dazu kommen einmalig 8 bis 16 Stunden Aufwand für Einrichtung, Härtung und Dokumentation. Wenn Sie das intern mit einem IT-Administrator abbilden, der 60 Euro pro Stunde kostet, liegen Sie bei 480 bis 960 Euro Einmalaufwand. Im ersten Jahr also rund 1.500 Euro, ab dem zweiten Jahr 840 Euro jährlich.

Was nicht funktioniert

Einige Ansätze scheitern in der Praxis:

• Logs nur in der Anwendung speichern: Ein Administrator mit Datenbankzugriff kann Log-Einträge löschen oder ändern. Audit-Logs müssen außerhalb der Plattform liegen.
• Keine AVV mit dem Hoster: Auch wenn Sie die Software selbst installieren, ist der Rechenzentrumsdienstleister Auftragsverarbeiter. Ohne AVV drohen Bußgelder nach Art. 83 Abs. 4 lit. a DSGVO von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
• Logs nach 90 Tagen automatisch löschen: Viele Standard-Konfigurationen rotieren Logs monatlich oder vierteljährlich. Das reicht nicht für Nachweispflichten von zwei bis zehn Jahren.
• Keine Dokumentation der Zugriffsvergabe: Bei einem Audit können Sie nicht nachweisen, wer wann welche Berechtigung hatte. Das gilt als Verstoß gegen Art. 32 Abs. 1 DSGVO.
• Keine Verschlüsselung im Transit: Wenn Sie Daten zwischen Mitarbeitenden und Server unverschlüsselt übertragen, können Dritte Schulungsstatus oder personenbezogene Daten abfangen. Setzen Sie TLS 1.2 oder höher ein und erzwingen Sie HTTPS.

Fazit: Compliance beginnt beim Hosting

Eine Schulungsplattform für Compliance-Nachweise ist nur dann rechtssicher, wenn Sie Hosting-Standort, Zugriffskontrolle und Audit-Logs von Anfang an mitdenken. EU-Hosting vereinfacht die DSGVO-Konformität, eine klare Rollentrennung schützt vor unbefugtem Zugriff und manipulationssichere Logs sichern Ihre Nachweispflicht ab. Wenn Sie unsicher sind, ob Ihre aktuelle Lösung alle Anforderungen erfüllt, lassen Sie Ihre Infrastruktur prüfen. Wir zeigen Ihnen, wo Lücken bestehen und wie Sie diese schließen. Vereinbaren Sie ein unverbindliches Erstgespräch über unser Kontaktformular oder rufen Sie uns an.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.