Datenschutz & Datensicherheit

Prüfungsmodus

Dieser ProtocolCheck trainiert Datenschutz so, wie er in AP1-Handlungssituationen auftaucht: personenbezogene Daten erkennen, DSGVO-Grundsätze anwenden, Betroffenenrechte einordnen, Schutzmaßnahmen auswählen und Praxisfälle bewerten.

Merksatz

Datenschutz schützt Menschen hinter den Daten. Datensicherheit schützt die Daten technisch und organisatorisch. In der Prüfung musst du meistens beides zusammen denken.

Zweck von DSGVO und BDSG

Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-Verordnung und gilt unmittelbar in allen Mitgliedstaaten. Sie soll natürliche Personen beim Umgang mit ihren Daten schützen und gleichzeitig den freien Datenverkehr im Binnenmarkt ermöglichen. Das Bundesdatenschutzgesetz (BDSG) ergänzt die DSGVO dort, wo sie den Mitgliedstaaten Spielraum lässt, etwa beim Beschäftigtendatenschutz oder bei der Benennung des Datenschutzbeauftragten.

• DSGVO: europaweit einheitliches, unmittelbar geltendes Recht.
• BDSG: nationale Konkretisierung und Ergänzung der DSGVO.
• Schutzgut: das Grundrecht auf informationelle Selbstbestimmung.

Personenbezogene Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, zum Beispiel Name, Anschrift, Personalnummer, Kundennummer oder IP-Adresse. Nur wenn ein Personenbezug besteht, ist die DSGVO überhaupt anwendbar. Besondere Kategorien nach Art. 9 DSGVO (etwa Gesundheits-, Religions- oder biometrische Daten) sind streng geschützt.

• Anonyme Daten: kein Personenbezug mehr möglich, DSGVO greift nicht.
• Pseudonyme Daten: Bezug nur mit Zusatzwissen herstellbar, bleiben personenbezogen.
• Besondere Kategorien (Art. 9): zusätzlicher Schutzbedarf.

Grundsätze der Verarbeitung (Art. 5 DSGVO)

Jede Verarbeitung muss sich an den Grundsätzen des Art. 5 messen lassen. Sie sind der rote Faden, mit dem du in Prüfungsfällen beurteilst, ob ein Vorgehen zulässig ist.

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz.
• Zweckbindung: Daten nur für festgelegte, eindeutige Zwecke nutzen.
• Datenminimierung: nur so viele Daten wie für den Zweck nötig.
• Richtigkeit: Daten sachlich korrekt und aktuell halten.
• Speicherbegrenzung: Daten nur so lange wie nötig aufbewahren.
• Integrität und Vertraulichkeit: angemessene Sicherheit gewährleisten.
• Rechenschaftspflicht: Einhaltung nachweisen können.

Rechtsgrundlagen (Art. 6 DSGVO)

Personenbezogene Daten dürfen nur verarbeitet werden, wenn eine Rechtsgrundlage vorliegt. Fehlt sie, ist die Verarbeitung rechtswidrig, selbst wenn sie technisch einwandfrei abläuft.

• Einwilligung der betroffenen Person (freiwillig, widerrufbar).
• Erfüllung eines Vertrags mit der betroffenen Person.
• Erfüllung einer rechtlichen Verpflichtung (z. B. Aufbewahrungspflichten).
• Berechtigtes Interesse, sofern keine schutzwürdigen Interessen überwiegen.

Betroffenenrechte

Betroffene haben durchsetzbare Rechte gegenüber dem Verantwortlichen. Anfragen sind in der Regel innerhalb eines Monats zu beantworten; zuvor ist die Identität der anfragenden Person zu prüfen, damit keine Daten an Unbefugte gelangen.

• Auskunft (Art. 15): welche Daten zu welchem Zweck verarbeitet werden.
• Berichtigung (Art. 16): Korrektur unrichtiger Daten.
• Löschung (Art. 17): Recht auf Vergessenwerden, sofern keine Pflicht entgegensteht.
• Einschränkung (Art. 18) und Widerspruch (Art. 21).
• Datenübertragbarkeit (Art. 20): Daten in maschinenlesbarem Format erhalten.

Verantwortlicher und Auftragsverarbeiter

Der Verantwortliche entscheidet über Zweck und Mittel der Verarbeitung. Lässt er Daten durch einen weisungsgebundenen Dienstleister verarbeiten (z. B. Cloud-Hosting, externe Wartung, Lohnabrechnung), ist dieser Auftragsverarbeiter. Dafür ist nach Art. 28 DSGVO ein Auftragsverarbeitungsvertrag (AV-Vertrag) zwingend erforderlich.

• Verantwortlicher: bestimmt das "Warum" und "Wie" der Verarbeitung.
• Auftragsverarbeiter: handelt nur auf Weisung des Verantwortlichen.
• AV-Vertrag regelt Zweck, Dauer, TOM, Vertraulichkeit und Löschung.

Technische und organisatorische Maßnahmen (TOM)

Nach Art. 32 DSGVO muss ein dem Risiko angemessenes Schutzniveau sichergestellt werden. TOM sind die konkreten Maßnahmen dafür. Ordne sie in Prüfungsaufgaben den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit zu.

• Vertraulichkeit: Verschlüsselung, Zugriffs- und Rechtekonzept, Need-to-know.
• Integrität: Protokollierung, Hash-/Prüfverfahren, Eingabekontrolle.
• Verfügbarkeit: Backups, Redundanz, USV, Notfallkonzept.
• Organisatorisch: Schulungen, Zuständigkeiten, Bildschirmsperre, Clean Desk.

Meldepflicht bei Datenpannen

Eine Verletzung des Schutzes personenbezogener Daten (z. B. verlorener USB-Stick, Hackerangriff, Fehlversand) muss der Verantwortliche bei Risiko nach Art. 33 DSGVO grundsätzlich innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Besteht ein hohes Risiko für die Betroffenen, sind diese nach Art. 34 zusätzlich zu benachrichtigen. Verschweigen ist unzulässig und kann zu Bußgeldern führen.

• Meldung an die Aufsichtsbehörde in der Regel binnen 72 Stunden.
• Benachrichtigung der Betroffenen bei hohem Risiko.
• Jede Panne dokumentieren, auch wenn keine Meldung nötig ist.

Merksätze für die Prüfung

• Erst Personenbezug prüfen, dann erst greift die DSGVO.
• Keine Verarbeitung ohne Rechtsgrundlage nach Art. 6.
• So wenig Daten wie möglich, so lange wie nötig.
• Privacy by Design und Privacy by Default von Anfang an mitdenken.
• Datenpanne mit Risiko: 72-Stunden-Meldung nicht vergessen.