Deine Daten sind kein Buffet.
DSGVO, Rechte, Rechtsgrundlagen und Datenpannen. Wer alles sammelt, hat nicht automatisch mehr Ahnung. Hier lernst du, was erlaubt ist — und warum.
Von „Darf ich das?“zu „Ich kann es begründen.“
Zehn Stufen, jede trainiert genau eine Fähigkeit. Erst erklärt, dann vorgerechnet, dann löst du den Fall. Die ersten drei Aufgaben jeder Stufe kommen mit Hinweis. Eine Stufe gilt als gemeistert, wenn du 8 der letzten 10 Aufgaben ohne Hilfe richtig hast. Erst dann geht die nächste Tür auf. Wer schummelt, betrügt nur sein zukünftiges Prüfungs-Ich.
Stufe wird geladen …
Lektion
Bereit? Dann weg mit dem Spickzettel.
Sobald du startest, wird die Lektion ausgeblendet. Du kannst jederzeit zurück, die offene Aufgabe verfällt dann aber.
Alles zum Nachlesen. Ohne Paragrafen-Panik.
Zehn Kapitel mit Erklärungen, Lösungswegen, interaktiven Laboren und einem Kurz-Check am Ende. Die Labore unterstützen die Lösung, darum sind sie im Sprint und in der Prüfung gesperrt. Neu hier? Dann fang im Lernpfad an.
Personenbezug erkennen
Erkennen, wann Informationen einer natürlichen Person zugeordnet werden können.
In der Exportdatei steht nur eine Kundennummer. Im CRM führt dieselbe Nummer direkt zu einer Person. Für den Personenbezug reicht das. Die Spalte „Name“ zu löschen erledigt die Arbeit also nicht.
Personenbezogene Daten sind Informationen über einen identifizierten oder identifizierbaren Menschen. Ein Name ist nicht erforderlich: Kundennummern, Standortdaten oder Online-Kennungen können genügen. Entscheidend sind Kontext und realistische Zuordnungsmöglichkeiten. Die DSGVO schützt natürliche Personen, nicht bloß Dateien. Auch öffentlich zugängliche Daten können geschützt sein. Automatisierte Verarbeitung ist erfasst; Papierakten ebenfalls, wenn sie in einem strukturierten Dateisystem liegen. Rein persönliche oder familiäre Tätigkeiten sind ausgenommen.
So prüfst du den Fall
Art. 9 nennt unter anderem Gesundheit, Religion, politische Meinungen und Gewerkschaftszugehörigkeit. Biometrische Daten fallen darunter, wenn sie zur eindeutigen Identifizierung verarbeitet werden. Ein normales Foto ist nicht automatisch eine solche biometrische Vorlage. Art. 4 Nr. 2 fasst Verarbeitung weit: Erheben, Speichern, Abfragen, Übermitteln und Löschen gehören dazu.
Ein Supportexport enthält nur Ticketnummer und Kundencode. Im CRM gibt es die Zuordnung zu Namen. Sind die Exportdaten personenbezogen?
- Prüfen: Beziehen sich die Informationen auf Menschen? Ja, auf Kunden.
- Prüfen: Ist eine Zuordnung möglich? Ja, über das CRM.
- Ergebnis: personenbezogen; der entfernte Name macht den Export nicht anonym.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
Name entfernt ≠ anonym. Öffentlich ≠ frei verwendbar. Bankdaten sind schutzbedürftig, aber allein keine besondere Kategorie nach Art. 9.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtGrundsätze anwenden
Einen beschriebenen Datenschutzfehler dem passenden Grundsatz zuordnen.
Ein Bestellformular fragt nach der Schuhgröße. Bevor jemand dafür eine Datenbankspalte anlegt, lohnt sich eine Frage. Wozu braucht der Shop diese Angabe für genau diese Bestellung?
Art. 5 verlangt Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Dazu kommt die Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung nachweisen können. In Fällen können mehrere Grundsätze gleichzeitig betroffen sein. Die Aufgaben grenzen deshalb den Schwerpunkt ein. Datenminimierung fragt nach den nötigen Daten; Speicherbegrenzung nach der nötigen Dauer.
So prüfst du den Fall
Ein dokumentiertes Löschkonzept verknüpft Datenkategorien mit Zwecken, Fristen und Ausnahmen. Falsche Daten werden korrigiert; notwendige Nachweise und rechtliche Aufbewahrungspflichten werden berücksichtigt. Sicherheit allein genügt nicht: Eine perfekt verschlüsselte, aber ohne Rechtsgrundlage erhobene Datei bleibt ein Datenschutzproblem.
Ein Lieferformular hat 14 Pflichtfelder. Nur 5 sind für die einzige angebotene Lieferung erforderlich. Wie viele unnötige Pflichtfelder fallen weg?
- Zweck: Ware zustellen.
- Erforderliche Felder: 5. Vorhanden: 14.
- 14 − 5 = 9 unnötige Pflichtfelder entfernen. Maßgeblich ist die Erforderlichkeit, nicht eine starre gesetzliche Feldzahl.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
„Für später vielleicht nützlich“ ist kein unbegrenzter Zweck. Ein neuer Zweck braucht Prüfung; nicht jede Weiterverwendung ist automatisch verboten oder erlaubt.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtRechtsgrundlagen prüfen
Für eine Verarbeitung eine tragende Erlaubnis samt Voraussetzungen prüfen.
Art. 6 Abs. 1 nennt sechs Grundlagen: Einwilligung, notwendige Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Die gewünschte Verarbeitung muss die jeweiligen Voraussetzungen erfüllen. „Steht im Vertrag“ beweist keine Erforderlichkeit. Für berechtigte Interessen gehören Interesse, Erforderlichkeit und Interessenabwägung zusammen. Behörden können sich bei der Erfüllung ihrer Aufgaben nicht auf Art. 6 Abs. 1 Buchst. f stützen.
So prüfst du den Fall
Widerruf wirkt für die Zukunft. Die bis dahin rechtmäßig auf Einwilligung gestützte Verarbeitung wird dadurch nicht rückwirkend rechtswidrig. Vorangekreuzte Checkboxen, Schweigen und bloße Untätigkeit sind keine eindeutige bestätigende Handlung. Für bestimmte Art.-9-Fälle ist ausdrückliche Einwilligung erforderlich. Beschäftigtendaten haben zusätzliche Regeln, etwa § 26 BDSG; „Chef möchte es“ ist keine eigene Rechtsgrundlage.
Ein Händler braucht die Lieferadresse für bestellte Ware. Zusätzlich möchte er eine optionale öffentliche Kundenbewertung mit Foto auf Einwilligung veröffentlichen. Was ist getrennt zu prüfen?
- Lieferadresse: erforderlich für die Vertragserfüllung, Art. 6 Abs. 1 Buchst. b.
- Veröffentlichung: eigenständiger Zweck; im Beispiel soll wirksame Einwilligung tragen.
- Einwilligung freiwillig, informiert, bestimmt und eindeutig einholen; Nachweis und einfachen Widerruf ermöglichen.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
Nicht alles braucht Einwilligung. Ein AV-Vertrag ersetzt keine Rechtsgrundlage. Art. 9 verlangt für besondere Kategorien zusätzlich eine passende Ausnahme.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtBeschäftigtendaten: Der Arbeitsvertrag ist kein Generalschlüssel
Die Lohnbuchhaltung braucht die Bankverbindung, damit sie das Gehalt überweisen kann. Für eine private Werbeliste der Leitung braucht sie sie nicht. § 26 BDSG verlangt insbesondere, dass die Verarbeitung für das Beschäftigungsverhältnis erforderlich ist. Eine Einwilligung muss auch am Arbeitsplatz freiwillig sein. Das Machtgefälle ist bei der Prüfung zu berücksichtigen.
Verantwortung zuordnen
Die Rolle eines Beteiligten anhand seiner Entscheidungsmacht bestimmen.
Der Shop entscheidet, welche Bestellungen gespeichert werden und wofür. Ein Hosting-Dienst führt die vereinbarten Arbeiten aus. Für die Rollen ist wichtig, wer entscheidet und wer nach Vorgaben arbeitet.
Verantwortlicher ist, wer über Zwecke und wesentliche Mittel entscheidet. Ein Auftragsverarbeiter verarbeitet im Auftrag und grundsätzlich nach dokumentierten Weisungen. Der Vertrag nach Art. 28 regelt unter anderem Gegenstand und Dauer, Zweck, Datenarten, betroffene Personengruppen, Weisungen, Vertraulichkeit, Sicherheit, Unterstützung sowie Rückgabe oder Löschung. Nicht jeder externe Empfänger ist ein Auftragsverarbeiter. Eigene gesetzliche Aufgaben und eigene Zwecke können für eine eigene Verantwortlichkeit sprechen.
So prüfst du den Fall
Der Datenschutzbeauftragte berät unabhängig und überwacht (Art. 38–39). Er benötigt Ressourcen und darf wegen seiner Aufgaben keine Weisungen erhalten. § 38 BDSG ergänzt Art. 37 für nichtöffentliche Stellen: regelmäßig mindestens 20 Personen ständig mit automatisierter personenbezogener Verarbeitung; weitere Tatbestände können unabhängig davon greifen. Bestimmt ein Auftragsverarbeiter eigenmächtig eigene Zwecke, ist er dafür nach Art. 28 Abs. 10 Verantwortlicher.
Eine Firma bestimmt, warum Kundendaten gespeichert werden. Der Hoster speichert sie nur auf dokumentierte Weisung. Wer übernimmt welche Rolle?
- Firma: entscheidet über Zweck und wesentliche Mittel → Verantwortlicher.
- Hoster: verarbeitet im Auftrag → Auftragsverarbeiter.
- Art.-28-Rahmen und geeignete Garantien prüfen; die Firma bleibt für ihre Pflichten verantwortlich.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
DSB ≠ alleiniger Verantwortlicher. 20 Personen heißt nicht 20 Computer oder ausschließlich 20 IT-Kräfte. Auch unter 20 können Benennungsgründe greifen.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtBetroffenenrechte bearbeiten
Einen Rechteantrag mit Frist, Identität und Ausnahmen sachgerecht bearbeiten.
Betroffene können unter den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch geltend machen. Art. 12 verlangt verständliche Kommunikation. Grundsätzlich ist unverzüglich, spätestens innerhalb eines Monats zu reagieren. Bei Komplexität oder vielen Anträgen kann um zwei weitere Monate verlängert werden; darüber und über die Gründe ist innerhalb des ersten Monats zu informieren. Die Aufgaben nennen ausdrücklich, ob eine Verlängerung ausgeschlossen ist.
So prüfst du den Fall
Bei begründeten Identitätszweifeln sind erforderliche Zusatzinformationen erlaubt (Art. 12 Abs. 6). Eine angemessene Prüfung schützt auch vor Datenherausgabe an Unbefugte. Art. 17 enthält Löschgründe und Ausnahmen, etwa notwendige Aufbewahrung aufgrund rechtlicher Pflicht oder Rechtsansprüche. Art. 20 gilt unter anderem für bereitgestellte Daten bei automatisierter Verarbeitung auf Einwilligung oder Vertrag. Widerspruch gegen Direktwerbung beendet diese Werbeverarbeitung (Art. 21 Abs. 2–3).
Ein Antrag geht am 10. März 2026 ein. Keine Verlängerung oder sonstige Fristbesonderheit greift. Was heißt „ein Monat“?
- Unverzüglich bearbeiten; die äußerste Grenze ist kein Startsignal.
- Korrespondierendes Datum im Folgemonat: 10. April 2026.
- Vom 10. März bis 10. April liegen 31 Tage. Monatsfristen sind nicht pauschal 30 Tage. Fällt ein Fristende auf einen gesetzlich relevanten Ruhetag, ist die anwendbare Fristregel zusätzlich zu prüfen.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
Ein Monat ≠ immer 30 Tage. Löschung ≠ ausnahmslos alles sofort vernichten. Nicht pauschal vollständige Ausweiskopien einsammeln.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtInformation und automatisierte Entscheidungen
Bei direkter Erhebung erklärt die Firma die Datenverwendung nach Art. 13; bei Daten aus anderen Quellen gelten Art. 14 und seine Fristen und Ausnahmen. Art. 22 schützt grundsätzlich davor, einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Es gibt gesetzliche Ausnahmen mit Schutzvorkehrungen. Ein unverbindlicher Musikvorschlag ist nicht dasselbe wie eine vollautomatische Ablehnung eines Kredits.
Schutzmaßnahmen wählen
Eine technische oder organisatorische Maßnahme der konkreten Gefahr zuordnen.
Die Gehaltsliste liegt in einem Ordner, den alle öffnen können. Ein Backup hilft gegen Verlust. Gegen neugierige Klicks brauchst du passende Zugriffsrechte.
TOM sind technische und organisatorische Maßnahmen. Art. 32 verlangt ein angemessenes Schutzniveau unter Berücksichtigung von Stand der Technik, Kosten, Verarbeitung und Risiken für die Menschen. Vertraulichkeit schützt vor unbefugtem Lesen, Integrität vor unerlaubter Veränderung, Verfügbarkeit vor nicht rechtzeitig nutzbaren Daten. Maßnahmen sind zum Beispiel Berechtigungskonzepte, Verschlüsselung, sichere Anmeldung, Backups, Schulungen und regelmäßige Wirksamkeitsprüfungen.
So prüfst du den Fall
Minimale Rechte begrenzen Schäden. Beim Austritt werden Zugänge rechtzeitig gesperrt, bei Rollenwechseln angepasst. Backups brauchen Schutz, Trennung vom Ausfallrisiko und getestete Wiederherstellung. Verschlüsselung benötigt geeignetes Schlüsselmanagement. Organisatorische Vorgaben müssen umgesetzt und kontrolliert werden; ein schönes Handbuch stoppt noch keinen Fehlversand.
24 Konten können Personalakten öffnen. Laut Rollenplan brauchen nur 6 davon Zugriff. Was ist zu ändern?
- Erforderliche Berechtigungen bestimmen: 6 Konten.
- Unnötige Zugriffe: 24 − 6 = 18.
- Diese 18 Berechtigungen entziehen und Ergebnis prüfen; nicht automatisch sämtliche Konten oder Akten löschen.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
Backup vorhanden ≠ Wiederherstellung funktioniert. Verschlüsselung ≠ jede Nutzung ist erlaubt. Zwei Passwörter sind nicht automatisch zwei Faktoren.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtDie acht klassischen Kontrollen
Diese Begriffe helfen, Maßnahmen zu sortieren; Art. 32 schreibt keine starre Acht-Punkte-Produktliste vor.
| Kontrolle | Konkretes Beispiel |
|---|---|
| Zutritt | Nur Berechtigte betreten den Serverraum. |
| Zugang | Nur Berechtigte melden sich am System an. |
| Zugriff | Angemeldete Nutzer sehen nur erlaubte Daten. |
| Weitergabe | Exporte werden sicher an berechtigte Empfänger übermittelt. |
| Eingabe | Ein Protokoll macht Änderungen an Datensätzen nachvollziehbar. |
| Auftrag | Ein Dienstleister verarbeitet Daten nur nach dokumentierter Weisung. |
| Verfügbarkeit | Getrennte Backups werden durch Wiederherstellungstests geprüft. |
| Trennung | Test- und Echtdaten werden nach ihren Zwecken getrennt verarbeitet. |
Identifizierbarkeit bewerten
Pseudonyme Daten von tatsächlich anonymen Daten unterscheiden.
Die Forschungsdatei verwendet Codes, die Namensliste liegt getrennt. Solange die Zuordnung mit realistischen Mitteln möglich ist, bleiben die Daten personenbezogen. Die Namen haben nur den Raum gewechselt.
Pseudonymisierung ersetzt Zuordnungsmerkmale und bewahrt Zusatzinformationen gesondert und geschützt auf (Art. 4 Nr. 5). Die Daten bleiben grundsätzlich personenbezogen, solange eine Zuordnung mit realistischen Mitteln möglich ist. Anonyme Informationen lassen sich unter Berücksichtigung vernünftigerweise verfügbarer Mittel keinem Menschen mehr zuordnen (Erwägungsgrund 26). Entscheidend ist der reale Kontext, nicht der Dateiname „anonym.csv“.
So prüfst du den Fall
Bei deterministischen Hashes erratbarer Eingaben kann ein Angreifer Kandidaten hashen und vergleichen. Auch Kombinationen aus Alter, Ort und Beruf können identifizieren. Gruppengröße allein liefert deshalb keine allgemeine Anonymitätsgarantie. Pseudonymisierung reduziert Risiken, ersetzt aber weder Zweckprüfung noch Rechtsgrundlage. Zugriff auf Zusatzinformationen muss beschränkt sein.
Eine Statistik zeigt eine Summe von 84. Für alle bis auf eine Person sind Werte mit Summe 71 bekannt. Was verrät das über den letzten Wert?
- Bekannte Teilwerte addieren: hier bereits 71.
- Gesamtsumme minus bekannte Summe: 84 − 71 = 13.
- Einzelwert ist ableitbar. Aggregation garantiert ohne weitere Schutzprüfung keine Anonymität.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
Hash ≠ Verschlüsselung ≠ Anonymisierung. Ein vorhandener Entschlüsselungsschlüssel oder eine Zuordnungstabelle verhindert hier echte Anonymität.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtDatenpannen bearbeiten
Meldeweg und Zeitdruck aus Risiko und Rolle ableiten.
Eine Mail mit Personaldaten landet bei der falschen Adresse. Sammle die Fakten und gib den Vorfall intern an die zuständige Stelle. Ob eine Meldung nötig ist, hängt unter anderem vom Risiko für die betroffenen Menschen ab.
Eine Verletzung des Schutzes personenbezogener Daten kann Offenlegung, unbefugten Zugang, Verlust, Vernichtung oder Veränderung betreffen. Nach Art. 33 meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde, außer ein Risiko ist voraussichtlich unwahrscheinlich. Eine spätere Meldung braucht Begründung. Fehlende Informationen dürfen gegebenenfalls schrittweise folgen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich.
So prüfst du den Fall
Art. 34 verlangt bei voraussichtlich hohem Risiko eine unverzügliche Benachrichtigung der Betroffenen, vorbehaltlich seiner Ausnahmen. Geeignete Verschlüsselung kann im konkreten Fall relevant sein, wenn Unbefugte die Daten nicht lesen können. Art. 33 Abs. 5 verlangt Dokumentation von Umständen, Auswirkungen und Maßnahmen. Eindämmung, Beweissicherung und Meldeprüfung laufen oft parallel.
Eine meldepflichtige Panne ist seit 27 Stunden bekannt. Wie viel bleibt rechnerisch bis 72 Stunden?
- Start ist das Bekanntwerden, nicht erst die fertige technische Untersuchung.
- 72 − 27 = 45 Stunden.
- Trotzdem unverzüglich handeln. 45 Stunden sind keine geschenkte Kaffeepause.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
72 Stunden ≠ drei Arbeitstage. Behörde und Betroffene haben unterschiedliche Schwellen. Nicht jede Panne muss nach außen gemeldet werden, aber Verletzungen sind intern zu dokumentieren.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtNachweise planen
VVT, DSFA und datenschutzgerechte Gestaltung passend einsetzen.
Die Firma plant eine neue Verarbeitung. Schreib auf, welche Daten wofür verarbeitet werden und wer sie erhält. Eine Geräteliste hilft der IT beim Inventar, beantwortet diese Fragen aber kaum.
Das Verzeichnis von Verarbeitungstätigkeiten (VVT, Art. 30) beschreibt Verarbeitungen, nicht nur Hardware: unter anderem Zwecke, Kategorien, Empfänger, gegebenenfalls Transfers, vorgesehene Löschfristen und allgemeine TOM. Eine Datenschutz-Folgenabschätzung (DSFA, Art. 35) ist vor Beginn erforderlich, wenn eine Verarbeitung voraussichtlich zu hohem Risiko führt. Sie beschreibt die Verarbeitung, bewertet Notwendigkeit und Verhältnismäßigkeit sowie Risiken und Gegenmaßnahmen.
So prüfst du den Fall
Privacy by Design bedeutet Datenschutz durch Technikgestaltung, etwa technisch umsetzbare Löschregeln. Privacy by Default bedeutet datenschutzfreundliche Voreinstellungen, etwa ein zunächst privates Profil. Art. 25 nennt beides. Für die Ausnahme in Art. 30 Abs. 5 sind unter anderem nicht nur gelegentliche Verarbeitung, Risiken und besondere Kategorien relevant. Normen helfen bei der Organisation; sie stehen nicht über dem Gesetz.
Eine geplante Verarbeitung hat laut Vorprüfung voraussichtlich hohes Risiko. Reicht es, sie nur in das VVT einzutragen?
- VVT dokumentiert die Tätigkeit.
- Hohe Risiken erfordern zusätzlich eine DSFA vor Beginn.
- Bleibt ohne ausreichende Eindämmung ein hohes Risiko, vorab Konsultation nach Art. 36 prüfen.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
Unter 250 Beschäftigte ≠ pauschal kein VVT. Ein Zertifikat ersetzt keine gesetzlichen Voraussetzungen. DSFA nicht erst nach dem Echtstart nachholen.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtLebenszyklus steuern
Datenschutz beim Start, bei Weitergabe und am Ende der Nutzung berücksichtigen.
Ein altes Kundenkonto wird geschlossen. Jetzt beginnt die Suche nach Exporten, Anhängen und weiteren Kopien. Der Papierkorb auf dem Desktop ist dafür eine ziemlich kurze Checkliste.
Datenschutz betrifft den ganzen Weg der Daten: Zweck und Grundlage festlegen, erforderliche Daten erheben, Zugriff und Weitergabe begrenzen, Aufbewahrung begründen und fristgerecht löschen. Exporte, Anhänge und ausgemusterte Datenträger gehören dazu. Sicheres Löschen richtet sich nach Medium und Schutzbedarf; ein Papierkorb ist kein Vernichtungskonzept. Rechtliche Aufbewahrungspflichten gelten für konkrete Daten, nicht automatisch für sämtliche Kopien und jede Nutzung.
So prüfst du den Fall
Übermittlungen außerhalb EU/EWR benötigen zusätzlich die Prüfung von Kapitel V (Art. 44 ff.), etwa einen passenden Angemessenheitsbeschluss oder geeignete Garantien. Bei Garantien sind Wirksamkeit und gegebenenfalls ergänzende Maßnahmen zu prüfen. Bei E-Mails Berechtigung, Adresse und Schutzbedarf kontrollieren. Ein versehentlich öffentlicher Link kann eine Panne sein: sperren, intern eskalieren, Meldepflichten prüfen.
4 aktive Bestände und 7 Exportkopien enthalten dieselbe Datenkategorie. Nur für 2 der insgesamt 11 Bestände greift noch eine Aufbewahrungspflicht. Wie viele sind jetzt zu löschen? Backups sind hier ausgeschlossen.
- Gesamtzahl: 4 + 7 = 11.
- Ausnahme konkret abziehen: 11 − 2 = 9.
- 9 Bestände sicher löschen, Aufbewahrung der 2 anderen begrenzen und dokumentieren.
Ändere die Angaben und beobachte, wie sich die Beurteilung ändert.
BCC versteckt Empfänger, erlaubt aber keine unerlaubte Werbung. EU-Serverstandort allein garantiert keine vollständige Compliance. AV-Vertrag allein erlaubt keinen Drittlandtransfer.
Kurz-Check · Jetzt du
↑ Zur KapitelübersichtCookies: Kein Freibrief mit Krümeln
Ein Shop speichert eine Warenkorbkennung, damit der vom Kunden gewünschte Warenkorb funktioniert. Dafür kann die Ausnahme des § 25 Abs. 2 TDDDG gelten. Ein zusätzliches Werbetracking ist für den Warenkorb nicht nötig. Dafür ist grundsätzlich vorher eine informierte Einwilligung erforderlich. § 25 schützt auch Informationen ohne Personenbezug. Werden personenbezogene Daten verarbeitet, ist zusätzlich die DSGVO zu prüfen.
Videoüberwachung: Ein Schild macht nicht alles erlaubt
Ein Lager wurde mehrfach aufgebrochen. Vor einer Kamera prüft die Firma den konkreten Zweck, die Rechtsgrundlage, die Erforderlichkeit und weniger eingreifende Mittel. Bildausschnitt, Aufnahmezeiten und Speicherdauer müssen dazu passen. Betroffene müssen vor Betreten des überwachten Bereichs informiert werden. Eine dauernde Leistungskontrolle von Beschäftigten lässt sich nicht pauschal mit Diebstahlschutz rechtfertigen.
Bußgeld und Haftung: zwei verschiedene Rechnungen
Bei Verstößen der oberen Stufe nach Art. 83 Abs. 5 beträgt die Obergrenze für Unternehmen 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes des Vorjahres – der höhere Betrag. Bei Abs. 4 sind es 10 Millionen Euro oder 2 %. Die tatsächliche Geldbuße setzt die Aufsicht nach dem Einzelfall fest. Die Obergrenze ist keine automatische Rechnung.
Art. 82 betrifft den Ersatz eines materiellen oder immateriellen Schadens. Dafür müssen ein Verstoß, ein Schaden und der Zusammenhang zwischen beiden vorliegen. Ein Verstoß allein reicht nicht. Die Geldbuße geht nicht als Entschädigung an Betroffene.
Ein Unternehmen hatte 800 Millionen Euro weltweiten Vorjahresumsatz. Im Fall gilt Art. 83 Abs. 5.
- 800 × 0,04 = 32 Millionen Euro.
- 32 Millionen sind mehr als 20 Millionen.
- Die Obergrenze beträgt 32 Millionen Euro. Das ist noch keine festgesetzte Geldbuße.
Quellen · Paragrafen statt Bauchgefühl
Rechtsstand geprüft am 02.11.2026. Die Fälle sind didaktisch eingegrenzt und selbst formuliert; keine offiziellen IHK-Aufgaben. Gesetze sind maßgeblich, Normen und Fachliteratur dienen der Vertiefung. Quellenlinks benötigen Internet, das Modul selbst nicht.
- DSGVO · amtlicher EU-Rechtstext: Art. 2–7, 9, 12–22, 24–25, 28, 30, 32–39 und 44 ff.; Erwägungsgründe 26 und 32. Hauptquelle der Kapitel und Lösungen.
- Bundesdatenschutzgesetz: insbesondere § 26 (Beschäftigte) und § 38 (Benennung DSB).
- BSI IT-Grundschutz · CON.2 Datenschutz, Edition 2023: Einordnung von Datenschutz und Informationssicherheit. Ältere Gesetzesbezeichnungen darin beziehen sich auf den Publikationsstand.
- ISO/IEC 27701:2025: Managementsystem für Datenschutz. Normen sind keine eigenständige Erlaubnis zur Datenverarbeitung; vollständiger Normtext kostenpflichtig.
- BfDI · Datenschutzbroschüren: fachliche Vertiefung zu Datenschutz und Betroffenenrechten.
- Sascha Kersken · IT-Handbuch für Fachinformatiker*innen, Rheinwerk: ergänzende Fachliteratur für Ausbildung und Prüfung, keine Rechtsquelle.
Üben, bis es wehtut. Dann noch drei.
Zufallswerte und wechselnde Fälle halten dich auf Trab. Nach jeder Antwort siehst du den vollständigen Lösungsweg. Der Trainingsraum merkt sich, welche Aufgabentypen dir schwerfallen, und im Modus „Baustellen“ bekommst du genau die.
Welcher Begriff passt zum Fall?
Ein Fall, eine Frage, eine Antwort. Wähle den passenden Fachbegriff oder die passende Maßnahme.
Ernstfall. Ohne Netz und doppelten Boden.
Eine Probeprüfung im Stil der IHK: Aufgaben aus allen Themen, 10, 20 oder 30 Minuten, kein Hinweis, kein Nachschlagwerk. Du kannst zwischen den Aufgaben springen und Antworten ändern. Bewertet wird erst bei Abgabe, mit Note nach dem IHK-Punkteschlüssel und Auswertung pro Thema.
Wie lange willst du schwitzen?
Deine letzten Ergebnisse
Weniger Raten.
Mehr Begründen.
Wer Datenschutz versteht, schützt Menschen und kann Entscheidungen fachlich begründen. Wenn der Lernpfad sitzt, zeig im Prüfungsmodus, was du kannst. Und wenn nicht: Die Baustellen warten schon auf dich.