§34a Prüfungsfragen: Datenschutzrecht

Question 1

Welche Aussage zum Anwendungsbereich des Datenschutzrechts ist zutreffend?

Accepted Answer

B) Der Schutz gilt sowohl für natürliche als auch für juristische Personen, und sowohl öffentliche als auch nicht-öffentliche Stellen müssen die Vorschriften einhalten. — Nach Art. 1 DS-GVO schützt das Datenschutzrecht die informationelle Selbstbestimmung sowohl natürlicher als auch juristischer Personen. Sowohl öffentliche als auch nicht-öffentliche Stellen – darunter ausdrücklich auch Sicherheitsunternehmen und deren Kunden – müssen die Vorgaben einhalten.

Question 2

Was versteht Art. 4 DS-GVO unter „personenbezogenen Daten“?

Accepted Answer

B) Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person, z. B. Name, Geburtsdatum oder Krankendaten. — Art. 4 DS-GVO definiert personenbezogene Daten als Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person, etwa Name, Geburtsdatum, Geburtsort oder Krankendaten.

Question 3

Ein Mitarbeiter eines Sicherheitsunternehmens speichert die Ausweisdaten von Besuchern auf einem USB-Stick, um sie später an die Objektleitung weiterzugeben. Um welchen datenschutzrechtlichen Vorgang handelt es sich dabei laut Art. 4 DS-GVO?

Accepted Answer

B) Um eine Verarbeitung personenbezogener Daten, da sowohl Speicherung als auch Übermittlung darunterfallen. — Verarbeitung ist nach Art. 4 DS-GVO jeder Vorgang im Zusammenhang mit personenbezogenen Daten, mit oder ohne automatisierte Verfahren – dazu zählen ausdrücklich Speicherung (z. B. auf einem USB-Stick) und Übermittlung (Weitergabe an Dritte).

Question 4

Welcher der folgenden Grundsätze gehört laut Art. 5 DS-GVO zu den Anforderungen an die Verarbeitung personenbezogener Daten?

Accepted Answer

B) Die Daten müssen auf das notwendige Maß beschränkt und für festgelegte, eindeutige und legitime Zwecke erhoben werden. — Nach Art. 5 DS-GVO müssen personenbezogene Daten u.a. rechtmäßig, für festgelegte und legitime Zwecke sowie auf das notwendige Maß beschränkt verarbeitet werden; zudem gelten Speicherbegrenzung, Integrität/Vertraulichkeit und Rechenschaftspflicht.

Question 5

Welche Aussage zu besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO trifft zu?

Accepted Answer

A) Daten zu rassischer und ethnischer Herkunft, Religion oder Gewerkschaftszugehörigkeit dürfen grundsätzlich nicht verarbeitet werden. — Art. 9 DS-GVO stuft Daten wie rassische und ethnische Herkunft, Religion oder Gewerkschaftszugehörigkeit als besonders schützenswert ein; sie dürfen grundsätzlich nicht verarbeitet werden.

Question 6

Wann ist die Verarbeitung personenbezogener Daten nach Art. 6 DS-GVO u.a. rechtmäßig?

Accepted Answer

B) Wenn die betroffene Person eingewilligt hat oder die Verarbeitung zur Vertragserfüllung oder zum Schutz lebenswichtiger Interessen erforderlich ist. — Nach Art. 6 DS-GVO ist eine Verarbeitung u.a. rechtmäßig, wenn die betroffene Person eingewilligt hat, die Verarbeitung zur Vertragserfüllung erforderlich ist oder dem Schutz lebenswichtiger Interessen der betroffenen Person dient.

Question 7

Welche Rechte stehen einer betroffenen Person nach den Art. 12 ff. DS-GVO u.a. zu?

Accepted Answer

B) Das Recht auf schriftliche Auskunft über gespeicherte Daten, deren Herkunft und Zweck sowie das Recht auf Löschung der Daten. — Nach Art. 12 DS-GVO kann die betroffene Person schriftlich Auskunft über die zu ihrer Person gespeicherten Daten, deren Herkunft, den Zweck der Speicherung und die Weitergabe an Dritte verlangen; aus Art. 17 DS-GVO ergibt sich zudem das Recht auf Löschung.

Question 8

Was schreibt Art. 13 DS-GVO im Hinblick auf die Erhebung personenbezogener Daten vor?

Accepted Answer

A) Dem Betroffenen sind u.a. Zweck, Verarbeitung, Nutzung sowie Name und Kontaktdaten des Verantwortlichen zum Zeitpunkt der Erhebung mitzuteilen. — Art. 13 DS-GVO verpflichtet den Verantwortlichen, dem Betroffenen bereits zum Zeitpunkt der Datenerhebung u.a. Zweck, Verarbeitung, Nutzung sowie Name und Kontaktdaten mitzuteilen.

Question 9

Welche Aussage zu technischen und organisatorischen Maßnahmen (Art. 24, 32 DS-GVO) ist zutreffend?

Accepted Answer

A) Der Verantwortliche muss geeignete Maßnahmen ergreifen und nachweisen können, dass die Verarbeitung gemäß DS-GVO erfolgt; auch ein beauftragter Auftragsverarbeiter muss sich an die Vorgaben halten. — Nach Art. 24 und 32 DS-GVO muss der Verantwortliche geeignete technische und organisatorische Maßnahmen ergreifen und ein angemessenes Schutzniveau unter Berücksichtigung von Eintrittswahrscheinlichkeit und Schwere des Risikos gewährleisten; vergibt er die Verarbeitung an einen Auftragsverarbeiter, muss sich auch dieser an die DS-GVO halten.

Question 10

Ein Sicherheitsmitarbeiter soll am Eingang eines Firmengeländes eine Videokamera installieren, die den öffentlich zugänglichen Kundenbereich erfasst. Welche Voraussetzung muss dafür laut § 4 BDSG (i.V.m. Art. 32 ff. DS-GVO) u.a. erfüllt sein?

Accepted Answer

B) Die Videoüberwachung muss zur Wahrnehmung des Hausrechts oder berechtigter Interessen für konkret festgelegte Zwecke erforderlich sein, schutzwürdige Interessen der Betroffenen dürfen nicht überwiegen, und es muss ausreichend auf die Kameras hingewiesen werden. — § 4 BDSG (i.V.m. Art. 32 ff. DS-GVO) erlaubt Videoüberwachung auf öffentlich zugänglichem Privatgelände nur, wenn sie zur Wahrnehmung des Hausrechts oder berechtigter Interessen für festgelegte Zwecke erforderlich ist, schutzwürdige Interessen der Betroffenen nicht überwiegen und ausreichend darauf hingewiesen wird.

Question 11

Ein Sicherheitsunternehmen möchte zusätzlich den öffentlichen Gehweg vor dem Betriebsgelände per Kamera überwachen. Was gilt hier laut den Prüfungsgrundlagen?

Accepted Answer

B) Die Überwachung eines öffentlichen Bereichs durch Private ist nur in Ausnahmefällen und mit Zustimmung der Aufsichtsbehörde zulässig. — Die Überwachung eines „öffentlichen Bereichs“ durch Private – etwa eines öffentlichen Weges vor dem Betriebsgelände – kann nur in Ausnahmefällen und mit Zustimmung der Aufsichtsbehörde erfolgen.

Question 12

Innerhalb welcher Frist muss eine Verletzung des Schutzes personenbezogener Daten grundsätzlich der zuständigen Aufsichtsbehörde gemeldet werden?

Accepted Answer

B) Innerhalb von 72 Stunden. — Nach Art. 33 DS-GVO muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten grundsätzlich innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden.

Question 13

Ab wann muss ein Unternehmen nach Art. 37 Abs. 4 DS-GVO i.V.m. § 38 Abs. 1 BDSG grundsätzlich einen Datenschutzbeauftragten bestellen?

Accepted Answer

B) Wenn mindestens zwanzig Personen im Unternehmen ständig mit der Datenverarbeitung beschäftigt sind. — Ein Datenschutzbeauftragter muss bestellt werden, wenn mindestens zwanzig Personen im Unternehmen ständig mit der Datenverarbeitung beschäftigt sind (Art. 37 Abs. 4 DS-GVO i.V.m. § 38 Abs. 1 BDSG). Er kann auch ein externer Dienstleister sein.

Question 14

Welche Aussage zu Sanktionen bei Verstößen gegen Datenschutzvorschriften ist zutreffend?

Accepted Answer

B) Bußgelder nach Art. 83 DS-GVO können bei Unternehmen bis zu 20.000.000 EUR oder 4 % des vorangegangenen Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist; zudem regeln u.a. §§ 201, 201a, 202, 202a StGB strafrechtliche Verstöße. — Nach Art. 83 DS-GVO drohen Unternehmen Bußgelder bis zu 20.000.000 EUR oder 4 % des vorangegangenen Jahresumsatzes, je nachdem, welcher Betrag höher ist. Zusätzlich regeln §§ 201, 201a, 202, 202a StGB strafrechtliche Datenschutzverstöße, und Art. 82 DS-GVO gewährt Schadensersatzansprüche.

Question 15

Ein Werksarzt behandelt einen Mitarbeiter, den ein Sicherheitsunternehmen im Auftrag des Betriebs bewacht, und teilt dem Arbeitgeber ohne Wissen des Mitarbeiters Informationen über dessen Gesundheitszustand mit. Auf welches Recht stützt sich der datenschutzrechtliche Schutz vor einem solchen Vorgehen in erster Linie?

Accepted Answer

A) Auf das Recht auf informationelle Selbstbestimmung, das sich aus Art. 2 Abs. 1 GG in Verbindung mit Art. 1 DS-GVO ergibt. — Das Datenschutzrecht schützt das Recht auf informationelle Selbstbestimmung, das sich aus Art. 2 Abs. 1 GG i.V.m. Art. 1 DS-GVO ergibt. Die unbefugte Weitergabe von Gesundheitsdaten durch einen Arzt an den Arbeitgeber ist ein klassisches Beispiel für einen Verstoß gegen dieses Recht.

Question 16

Ein Sicherheitsunternehmen benötigt die Adressdaten eines angemeldeten Besuchers und fragt diese ohne gesetzlichen Grund bei einem Bekannten des Besuchers ab, anstatt sie beim Besucher selbst zu erheben. Ist dieses Vorgehen zulässig?

Accepted Answer

B) Nein, personenbezogene Daten sind grundsätzlich beim Betroffenen selbst zu erheben, sofern nicht ausnahmsweise ein gesetzlicher Grund etwas anderes erlaubt. — Personenbezogene Daten sind grundsätzlich beim Betroffenen selbst zu erheben, außer ein gesetzlicher Grund erlaubt ausnahmsweise etwas anderes. Die Umgehung des Betroffenen ohne einen solchen Grund ist unzulässig.

Question 17

Ein Sicherheitsmitarbeiter führt ein handschriftliches, chronologisch sortiertes Logbuch, in dem er Namen und Beobachtungen zu Personen einträgt, die das Objekt betreten. Handelt es sich dabei um ein „Dateisystem“ im Sinne des Datenschutzrechts?

Accepted Answer

B) Ja, jede strukturierte Sammlung personenbezogener Daten gilt als Dateisystem – unabhängig davon, ob sie digital oder handschriftlich geführt wird. — Ein Dateisystem ist jede strukturierte Sammlung personenbezogener Daten. Auch ein handschriftliches, chronologisch geführtes Logbuch fällt darunter, sobald es strukturiert ist.

Question 18

Nach einer unauffälligen Nachtschicht speichert ein Sicherheitsmitarbeiter die Videoaufnahmen eines Geldautomaten vorsorglich für mehrere Monate, „falls sie später einmal gebraucht werden“. Ist dieses Vorgehen mit dem Datenschutzrecht vereinbar?

Accepted Answer

B) Nein, nach dem Grundsatz der Speicherbegrenzung sind die Daten unverzüglich zu löschen, sobald der Zweck erreicht ist und kein schutzwürdiges Interesse entgegensteht. — Nach dem Grundsatz der Speicherbegrenzung dürfen Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Ist der Zweck – wie bei einer unauffälligen Schicht – erreicht, sind die Aufnahmen unverzüglich zu löschen.

Question 19

Durch eine Datenschutzverletzung bei einem Sicherheitsunternehmen entsteht einem Besucher nachweislich ein finanzieller Schaden. Welchen Anspruch kann er nach Art. 82 DS-GVO geltend machen?

Accepted Answer

B) Er kann Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter verlangen. — Art. 82 DS-GVO gewährt jeder Person, der durch einen Verstoß gegen die Vorgaben der DS-GVO ein Schaden entstanden ist, einen Schadensersatzanspruch gegen den Verantwortlichen oder den Auftragsverarbeiter.

Question 20

Ein Sicherheitsmitarbeiter installiert heimlich eine Kamera im Umkleideraum der Belegschaft, um vermuteten Diebstählen auf die Spur zu kommen. Wie ist dieses Vorgehen strafrechtlich einzuordnen?

Accepted Answer

B) Es kann den Straftatbestand der Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen nach § 201a StGB erfüllen. — § 201a StGB stellt die Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen unter Strafe. Eine heimliche Kameraüberwachung in einem Umkleideraum kann diesen Tatbestand erfüllen.

Question 21

Ein Sicherheitsunternehmen mit 25 ständig mit der Datenverarbeitung beschäftigten Mitarbeitern möchte keinen eigenen Angestellten, sondern einen externen Dienstleister als Datenschutzbeauftragten benennen. Ist das zulässig?

Accepted Answer

B) Ja, der Datenschutzbeauftragte wird aufgrund seiner beruflichen Qualifikation benannt und muss kein Mitarbeiter des Unternehmens sein. — Der Datenschutzbeauftragte wird aufgrund seiner beruflichen Qualifikation, insbesondere seines Fachwissens, benannt. Er muss dabei nicht einmal Mitarbeiter des Unternehmens sein – auch ein Externer ist möglich.

Question 22

Ein Sicherheitsmitarbeiter bemerkt, dass ein Aktenordner mit personenbezogenen Besucherdaten aus dem Wachraum verschwunden ist. Wie soll er sich laut den datenschutzrechtlichen Vorgaben zunächst verhalten?

Accepted Answer

B) Er soll den Vorfall unverzüglich der Objektleitung beziehungsweise dem Verantwortlichen melden, damit dieser die Meldung an die Aufsichtsbehörde fristgerecht vornehmen kann. — Bei einer Verletzung des Schutzes personenbezogener Daten sollte der Vorfall unverzüglich der Objektleitung bzw. dem Verantwortlichen gemeldet werden, damit dieser die Meldung grundsätzlich innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde vornehmen kann.

Question 23

Wie verhalten sich die Datenschutz-Grundverordnung (DS-GVO) und das Bundesdatenschutzgesetz (BDSG) zueinander?

Accepted Answer

B) Das BDSG ergänzt die DS-GVO an einzelnen Stellen, verdrängt sie aber nicht; beide Vorschriften gelten nebeneinander. — Das für die Prüfung relevante Datenschutzrecht ist vor allem in der DS-GVO und dem BDSG geregelt. Das BDSG ergänzt dabei an einigen Stellen die Regelungen der DS-GVO, verdrängt sie aber nicht – beide gelten nebeneinander.

Question 24

Ein Sicherheitsunternehmen lehnt das schriftliche Auskunftsersuchen eines ehemaligen Besuchers pauschal mit der Begründung ab, der Besuch liege bereits mehrere Wochen zurück. Ist diese Ablehnung rechtmäßig?

Accepted Answer

B) Nein, der bloße Zeitablauf ist kein zulässiger Grund, ein Auskunftsersuchen nach Art. 12 DS-GVO abzulehnen. — Der Betroffene hat nach Art. 12 DS-GVO das Recht auf schriftliche Auskunft. Der bloße Umstand, dass der Besuch bereits einige Zeit zurückliegt, berechtigt nicht dazu, die Auskunft zu verweigern.

Question 25

Wie viel Prozent bzw. welchen Anteil an Fragen und Punkten macht Datenschutz in der schriftlichen Sachkundeprüfung aus?

Accepted Answer

A) 5 von 82 Fragen bzw. 8 von 120 Punkten — Nach der aktuellen bundesweiten IHK-Gewichtung entfallen auf Datenschutzrecht 5 von 82 Fragen bzw. 8 von 120 Punkten im schriftlichen Teil, zusätzlich zählt es zu den Schwerpunkten der mündlichen Prüfung.

Question 26

Ein Besucher trägt sichtbar einen Schwerbehindertenausweis mit Hinweisen auf seine konkrete Erkrankung, den ein Sicherheitsmitarbeiter bei einer Ausweiskontrolle zufällig zur Kenntnis nimmt. Welche datenschutzrechtliche Einordnung trifft zu?

Accepted Answer

A) Es handelt sich um besonders sensible Gesundheitsdaten nach Art. 9 DS-GVO, deren Weitergabe an Dritte ohne Rechtsgrundlage unzulässig ist. — Gesundheitsdaten zählen zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO und genießen einen besonders strengen Schutz – ihre Weitergabe an Dritte, auch an Kollegen, ist ohne Rechtsgrundlage unzulässig.

Question 27

Ein Sicherheitsunternehmen lagert die Auswertung seiner Videoaufnahmen an einen externen IT-Dienstleister aus. Wer bleibt gegenüber den betroffenen Personen datenschutzrechtlich verantwortlich?

Accepted Answer

A) Weiterhin auch das Sicherheitsunternehmen als Verantwortlicher, unabhängig von der Beauftragung eines Auftragsverarbeiters — Vergibt ein Unternehmen die Datenverarbeitung an einen Auftragsverarbeiter, bleibt es selbst weiterhin als Verantwortlicher in der Pflicht – die Verantwortung lässt sich nicht einfach auslagern, auch der Auftragsverarbeiter muss sich zusätzlich an die DS-GVO halten.

Question 28

Ein Unternehmen verarbeitet personenbezogene Daten, kann aber nicht nachweisen, welche technischen und organisatorischen Maßnahmen es dafür ergriffen hat. Gegen welchen Grundsatz verstößt es damit insbesondere?

Accepted Answer

A) Gegen die Rechenschaftspflicht aus Art. 5 DS-GVO in Verbindung mit Art. 24 DS-GVO — Die Rechenschaftspflicht aus Art. 5 DS-GVO, konkretisiert durch Art. 24 DS-GVO, verlangt, dass der Verantwortliche die Einhaltung der Datenschutzgrundsätze nicht nur sicherstellt, sondern auch nachweisen kann.

Question 29

Welche Aussage zum Recht auf Löschung nach Art. 17 DS-GVO trifft zu?

Accepted Answer

A) Der Betroffene kann die Löschung verlangen, wenn die Daten nicht mehr benötigt werden oder ihre Verarbeitung unrechtmäßig war — Art. 17 DS-GVO gewährt dem Betroffenen das Recht, die Löschung seiner personenbezogenen Daten zu verlangen, wenn diese nicht mehr benötigt werden oder ihre Verarbeitung von Anfang an unrechtmäßig war.

Question 30

Ein Sicherheitsunternehmen möchte eine Kamera installieren, die ausschließlich zur allgemeinen „Abschreckung“ ohne jeden konkret festgelegten Zweck betrieben wird. Ist das nach § 4 BDSG zulässig?

Accepted Answer

A) Nein, es fehlt an einem konkret festgelegten Zweck der Videoüberwachung, ein pauschaler Abschreckungsgedanke genügt nicht — § 4 BDSG verlangt einen konkret festgelegten Zweck der Videoüberwachung, etwa die Verhinderung bestimmter Straftaten. Ein rein pauschaler Abschreckungsgedanke ohne konkreten Zweck genügt dieser Voraussetzung nicht.

Question 31

Welche Aussage zum Verhältnis von Art. 6 und Art. 9 DS-GVO ist zutreffend?

Accepted Answer

A) Art. 9 DS-GVO verschärft die Anforderungen aus Art. 6 DS-GVO zusätzlich für besonders sensible Datenkategorien — Art. 6 DS-GVO regelt die allgemeine Rechtmäßigkeit der Verarbeitung. Für besonders sensible Datenkategorien verschärft Art. 9 DS-GVO diese Anforderungen zusätzlich, indem er die Verarbeitung grundsätzlich verbietet, soweit kein enger Ausnahmetatbestand greift.

Question 32

Ein Verantwortlicher stellt drei Wochen nach einem Datenverlust fest, dass ein Risiko für die betroffenen Personen bestand, meldet den Vorfall aber erst zu diesem späten Zeitpunkt der Aufsichtsbehörde. Ist das noch mit Art. 33 DS-GVO vereinbar?

Accepted Answer

A) Nein, die Meldung hätte grundsätzlich innerhalb von 72 Stunden ab Kenntnisnahme des Vorfalls erfolgen müssen — Die 72-Stunden-Frist aus Art. 33 DS-GVO beginnt mit der Kenntnisnahme des Verantwortlichen vom Vorfall, nicht erst nach vollständiger interner Aufklärung. Eine Meldung nach drei Wochen ist damit verspätet und stellt selbst einen Verstoß dar.

Question 33

Was regelt Art. 23 DS-GVO im Verhältnis zu den übrigen Vorschriften der Verordnung?

Accepted Answer

A) Er erlaubt es dem Gesetzgeber, die Rechte und Pflichten aus der DS-GVO durch eigene Rechtsvorschriften einzuschränken — Art. 23 DS-GVO erlaubt es, die in der DS-GVO genannten Rechte und Pflichten – etwa aus Art. 6 DS-GVO – durch nationale Rechtsvorschriften weiter einzuschränken. Das erklärt, warum es neben der DS-GVO noch ergänzende Regelungen wie das BDSG gibt.

Question 34

Welche Rolle spielt § 17 Abs. 3 BewachV im Datenschutzrecht der Sicherheitsbranche?

Accepted Answer

A) Er ergänzt die allgemeinen Datenschutzvorgaben um branchenspezifische Pflichten für Bewachungsunternehmen — § 17 Abs. 3 BewachV ist eine zusätzliche, bewachungsspezifische Vorschrift, die die allgemeinen Vorgaben der DS-GVO und des BDSG um branchenspezifische Pflichten ergänzt, ohne sie zu ersetzen.

Question 35

Ein Sicherheitsunternehmen entscheidet eigenständig über Zweck und Mittel der Verarbeitung von Besucherdaten, ein externer IT-Dienstleister verarbeitet diese Daten anschließend weisungsgebunden im Auftrag. Wie sind beide Rollen einzuordnen?

Accepted Answer

A) Das Sicherheitsunternehmen ist Verantwortlicher, der IT-Dienstleister Auftragsverarbeiter — Wer über Zwecke und Mittel der Verarbeitung entscheidet, ist Verantwortlicher – hier das Sicherheitsunternehmen. Wer die Daten weisungsgebunden im Auftrag verarbeitet, ist Auftragsverarbeiter – hier der IT-Dienstleister. Beide müssen die DS-GVO einhalten.

Question 36

Welche Aufgabe zählt nach Art. 39 DS-GVO ausdrücklich zu den Aufgaben des Datenschutzbeauftragten?

Accepted Answer

A) Die Beratung des Verantwortlichen und die Zusammenarbeit mit der Aufsichtsbehörde — Nach Art. 39 DS-GVO gehören u. a. die Beratung des Verantwortlichen und die Zusammenarbeit mit der Aufsichtsbehörde zu den Aufgaben des Datenschutzbeauftragten. Er hat dabei keine hoheitlichen Befugnisse gegenüber Mitarbeitern.

Question 37

Ein Mitarbeiter verschafft sich ohne Berechtigung Zugriff auf die besonders gesicherte Personaldatenbank eines Konkurrenzunternehmens. Welchen Straftatbestand kann dieses Verhalten erfüllen?

Accepted Answer

A) Das Ausspähen von Daten nach § 202a StGB — § 202a StGB stellt den unbefugten Zugriff auf besonders gesicherte Daten unter Strafe. Der unberechtigte Zugriff auf eine gesicherte Personaldatenbank ist ein klassisches Beispiel für das Ausspähen von Daten.

Question 38

Ein Sicherheitsmitarbeiter zeichnet heimlich ein vertrauliches Gespräch zwischen zwei Kollegen auf, um es später gegen sie zu verwenden. Welche Vorschrift kann dieses Verhalten verletzen?

Accepted Answer

A) § 201 StGB (Verletzung der Vertraulichkeit des Wortes) — § 201 StGB stellt das unbefugte Aufnehmen des nicht öffentlich gesprochenen Wortes eines anderen unter Strafe. Eine heimliche Tonaufnahme eines vertraulichen Gesprächs kann diesen Tatbestand erfüllen.

Question 39

Ein Sicherheitsunternehmen erhebt bei jeder Besucheranmeldung routinemäßig auch die Konfession und den Familienstand, obwohl der Besuchszweck damit nichts zu tun hat. Gegen welchen Grundsatz verstößt das Unternehmen damit vor allem?

Accepted Answer

A) Gegen den Grundsatz der Datenminimierung aus Art. 5 DS-GVO, wonach nur die für den Zweck erforderlichen Daten erhoben werden dürfen — Art. 5 DS-GVO verlangt, dass personenbezogene Daten auf das für den Zweck notwendige Maß beschränkt bleiben. Die routinemäßige Erhebung von Konfession und Familienstand ohne Bezug zum Besuchszweck verstößt gegen diese Datenminimierung.

Question 40

Entsteht einem Betroffenen durch eine fehlerhafte Verarbeitung bei einem beauftragten Auftragsverarbeiter ein Schaden, gegen wen kann er nach Art. 82 DS-GVO vorgehen?

Accepted Answer

A) Sowohl gegen den Verantwortlichen als auch unmittelbar gegen den Auftragsverarbeiter — Art. 82 DS-GVO gewährt dem Betroffenen einen Schadensersatzanspruch sowohl gegen den Verantwortlichen als auch unmittelbar gegen den Auftragsverarbeiter – die Auslagerung der Verarbeitung schließt eine eigene Haftung des Auftragsverarbeiters nicht aus.

Question 41

Ein Unternehmen verarbeitet Gesundheitsdaten von Besuchern, um im Notfall schneller reagieren zu können, ohne dass die Betroffenen eingewilligt haben oder ein enger gesetzlicher Ausnahmetatbestand vorliegt. Ist das zulässig?

Accepted Answer

A) Nein, Gesundheitsdaten als besondere Kategorie nach Art. 9 DS-GVO dürfen ohne Einwilligung oder engen Ausnahmetatbestand grundsätzlich nicht verarbeitet werden — Gesundheitsdaten zählen zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO. Ihre Verarbeitung ist grundsätzlich verboten, sofern nicht eine Einwilligung oder ein eng begrenzter gesetzlicher Ausnahmetatbestand vorliegt – ein bloßer genereller Sicherheitsvorteil reicht dafür nicht aus.

Question 42

Welches Beispiel zeigt eine „nicht automatisierte Datei“ im Sinne der DS-GVO/des BDSG?

Accepted Answer

A) Ein handschriftlich geführtes Wachbuch mit chronologisch sortierten Einträgen — Nicht automatisiert bedeutet ohne Computer. Ein handschriftlich geführtes, chronologisch sortiertes Wachbuch ist ein klassisches Beispiel für eine solche nicht automatisierte, aber dennoch strukturierte Datei.

Question 43

Worin unterscheiden sich die 72-Stunden-Frist aus Art. 33 DS-GVO und der Schwellenwert von 20 Personen aus Art. 37 Abs. 4 DS-GVO?

Accepted Answer

A) Die 72-Stunden-Frist betrifft die Meldung einer bereits eingetretenen Datenschutzverletzung, der Schwellenwert von 20 Personen die vorbeugende Organisationspflicht zur Bestellung eines Datenschutzbeauftragten — Die 72-Stunden-Frist aus Art. 33 DS-GVO ist eine reaktive Meldepflicht nach einer bereits eingetretenen Verletzung. Der Schwellenwert von 20 Personen aus Art. 37 Abs. 4 DS-GVO ist dagegen eine vorbeugende, strukturelle Organisationspflicht des Unternehmens.

Question 44

Ein Sicherheitsmitarbeiter filmt heimlich einen Umkleideraum, um Diebstähle aufzuklären. Welche rechtlichen Folgen können daraus gleichzeitig entstehen?

Accepted Answer

A) Eine Strafbarkeit nach § 201a StGB, ein Schadensersatzanspruch nach Art. 82 DS-GVO und ein Bußgeldverfahren nach Art. 83 DS-GVO können nebeneinander bestehen — Strafrechtliche, zivilrechtliche und aufsichtsrechtliche Konsequenzen bestehen unabhängig nebeneinander: Eine heimliche Kameraaufnahme im Umkleideraum kann gleichzeitig § 201a StGB erfüllen, einen Schadensersatzanspruch nach Art. 82 DS-GVO auslösen und ein Bußgeldverfahren nach Art. 83 DS-GVO nach sich ziehen.

Question 45

Was verlangt Art. 32 DS-GVO von einem Verantwortlichen hinsichtlich der Sicherheit der Verarbeitung?

Accepted Answer

A) Ein dem Risiko angemessenes Schutzniveau durch geeignete technische und organisatorische Maßnahmen — Art. 32 DS-GVO verlangt ein dem Risiko angemessenes Schutzniveau durch geeignete technische und organisatorische Maßnahmen, unter Berücksichtigung von Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Betroffenen.