Einen Moment, wird geladen…
Was muss Ihr Unternehmen 2026 schulen?
Diese Seite zeigt für jedes Pflicht-Thema, welche Mitarbeitenden geschult werden müssen, in welcher Frequenz und welche Nachweisform die Aufsichtsbehörde im Audit sehen will. Konkrete Schadensfälle und Strafhöhen finden Sie auf Beispiele · Reale Fälle.
Pro Thema im Detail
Acht Themenbereiche — acht unterschiedliche Aufsichten. Jede mit klaren Vorgaben, wen Sie schulen müssen, wie oft, und in welcher Form Sie den Nachweis bereithalten.
Art. 4 VO (EU) 2024/1689 (KI-VO)
Art. 32 Abs. 4 DSGVO i.V.m. Art. 5 Abs. 2 (Rechenschaftspflicht)
Art. 21 Abs. 2 lit. g RL (EU) 2022/2555 (NIS-2)
§ 14 ASchG i.V.m. § 12 AStV
§ 26 FM-GwG (Finanz) bzw. § 365m GewO (Handel/Immobilien)
§ 6 GlBG (Abhilfepflicht des Arbeitgebers)
§§ 11–14 HinweisgeberInnenschutzgesetz
Barrierefreiheitsgesetz (BaFG); EU-Richtlinie 2019/882
Warum jetzt schulen?
Nicht jede Behörde prüft flächendeckend. Aber drei Faktoren machen Schulungsdokumentation 2026 wichtiger denn je — unabhängig von der konkreten Wahrscheinlichkeit einer Prüfung.
Bei DSGVO, Gleichbehandlung und ASchG-Unfällen muss das Unternehmen beweisen, dass es alle Schutzmaßnahmen getroffen hat. Wer keine dokumentierten Schulungen vorweisen kann, verliert in jedem Audit und Gerichtsverfahren.
Schulungsfrage in jedem ernsten Vorfall
Praktisch alle Cyber-Versicherungspolicen in Österreich verlangen seit 2024 nachweisliche Awareness-Schulung als Voraussetzung der Deckung. Ohne Nachweis: Deckungskürzung oder -verweigerung im Schadensfall.
der AT-Cyber-Policen mit Schulungs-Klausel
NIS-2 ist seit Dezember 2025 aktiv. AI-Act-Aufsicht startet 2026. BaFG-Marktüberwachung läuft seit Juni 2025. „Wird eh nicht kontrolliert" war 2020 vielleicht ein Argument — heute ist es ein finanzielles Risiko.
aktive Aufsichtsbehörden in Österreich
Was diese Woche passierte
Reale Vorfälle, die zeigen, was Schulungs-Versäumnis konkret kostet — mit Quellenangaben.
03. Aug. 2026 · noe.ORF.at
Seit Jahresbeginn 2026 ist in Österreich die Hitzeschutzverordnung für Arbeiten im Freien verpflichtend. In Niederösterreich wurden bis Anfang August 401 Kontrollen durchgeführt, wobei bei 42 Prozent der überprüften Betriebe mindestens ein Verstoß festgestellt wurde – insgesamt 357 Übertretungen. Das Arbeitsinspektorat setzt zunächst auf Beratung und schriftliche Aufforderung zur Mängelbehebung; bei ausbleibender Korrektur droht eine Anzeige bei der Verwaltungsstrafbehörde. Die Arbeiterkammer kritisiert, dass die Verordnung nur Außenarbeitsplätze abdeckt und keine absolute Temperaturgrenze für Arbeitsunterbrechungen vorschreibt.
23. Juli 2026 · Zahnärztliche Mitteilungen (zm-online)
Der Bundesgerichtshof hat in einem Urteil vom Juni 2026 klargestellt, dass das versehentliche Versenden vertraulicher Bewerberdaten an eine unbeteiligte Drittperson einen DSGVO-Verstoß darstellt. Im konkreten Fall schickte eine Bankmitarbeiterin ein Gehaltsangebot über den Messenger-Dienst Xing irrtümlich auch an einen ehemaligen Kollegen des Bewerbers. Der BGH folgte dabei einer EuGH-Vorentscheidung, wonach bereits der bloße Kontrollverlust über personenbezogene Daten sowie daraus resultierende Sorgen und Unannehmlichkeiten als immaterieller Schaden nach Art. 82 DSGVO anerkannt werden. Die Höhe des Schmerzensgeldes muss nun vom OLG Frankfurt neu festgesetzt werden.
„Ein Schulungsnachweis kostet im Schadensfall nichts. Ein fehlender Schulungsnachweis kostet alles."
Praxis-Faustregel aus Arbeitsrecht und Compliance, 2026
Was Sie konkret gewinnen
Schulung ist nicht nur Pflicht-Erfüllung. Sie ist Ihr stärkstes Verteidigungs-Argument im Streitfall — egal ob mit Aufsichtsbehörde, Gericht, Versicherer oder Geschäftspartner.
Pro-Person-Nachweise, versionierte Lerninhalte und PDF-Zertifikate mit QR-Code sind das Standard-Format, das DSB, Arbeitsinspektion und FMA bei einer Prüfung erwarten.
Cyber-Police, Vermögensschaden-Haftpflicht und D&O-Versicherung greifen nur mit Schulungsnachweis oder mit voller Deckungssumme — fehlende Dokumentation führt zur Deckungskürzung.
Größere Kunden fragen den Schulungsnachweis im Beschaffungsprozess ab. Wer ihn liefert, gewinnt Aufträge, die Mitbewerber verlieren.
23. Juli 2026 · Golem.de
Die Ransomware-Gruppe Everest hat Mitte Juli 2026 eine Datenaustausch-Plattform des Schweizer Schienenfahrzeugherstellers Stadler Rail AG angegriffen. Die Angreifer nutzten kompromittierte Zugangsdaten, um in das System einzudringen, und fordern nun 10 Millionen Schweizer Franken Lösegeld. Stadler lehnt eine Zahlung kategorisch ab, hat Strafanzeige erstattet und betont, dass Produktion und Fahrzeugbetrieb nicht beeinträchtigt seien. Personenbezogene Daten sollen laut Unternehmen nicht abgeflossen sein.
Schaden: 10 Mio. CHF (ca. 10,8 Mio. EUR) Lösegeldforderung