Alle Tabs der Lerneinheit (Erklärung · Interaktiv verstehen · Praxis-Übung · Klausur-Quiz) als durchgehender Text. Ideal zum Wiederholen vor der Klausur, und für Suchmaschinen wie Google, Bing und KI-Suche (ChatGPT, Perplexity).
Erklärung
Jede App, jeder Online-Shop, jedes Login verarbeitet personenbezogene Daten. Wann ist das erlaubt, und wann drohen Bußgelder in Millionenhöhe? Die DSGVO (Datenschutz-Grundverordnung, EU-weit seit 2018) setzt die Regeln. Für Wirtschaftsinformatiker ist sie Pflichtstoff an der Schnittstelle von Recht und IT.
Was du in der Klausur können musst:
- das Grundprinzip Verbot mit Erlaubnisvorbehalt und die Rechtsgrundlagen (Art. 6 DSGVO)
- personenbezogene Daten und die Grundsätze der Verarbeitung (Art. 5)
- die wichtigsten Betroffenenrechte (Auskunft, Löschung, Widerspruch)
- zentrale Pflichten und Sanktionen (Art. 83)
Hinweis: Die DSGVO ist eine EU-Verordnung; ihre Normen zitiert man als Artikel (Art.), nicht als Paragraphen.
Die Idee in einem Satz
Die DSGVO gilt nach dem Prinzip Verbot mit Erlaubnisvorbehalt: Jede Verarbeitung personenbezogener Daten ist verboten, es sei denn, eine Rechtsgrundlage (Art. 6) erlaubt sie.
Anwendungsbereich
- Personenbezogene Daten (Art. 4 Nr. 1): alle Informationen über eine identifizierte oder identifizierbare natürliche Person (Name, Adresse, IP-Adresse, Standort).
- Verarbeitung (Art. 4 Nr. 2): jeder Umgang mit den Daten, Erheben, Speichern, Nutzen, Übermitteln, Löschen.
Anonyme Daten (kein Personenbezug mehr) fallen nicht unter die DSGVO. Pseudonyme Daten (mit Schlüssel re-identifizierbar) dagegen schon.
Die Grundsätze (Art. 5)
| Grundsatz | Bedeutung |
|---|---|
| Rechtmäßigkeit | nur mit Rechtsgrundlage |
| Zweckbindung | nur für den festgelegten Zweck |
| Datenminimierung | so wenig Daten wie möglich |
| Speicherbegrenzung | nicht länger als nötig |
| Integrität/Vertraulichkeit | angemessene Sicherheit |
| Rechenschaftspflicht | der Verantwortliche muss die Einhaltung nachweisen |
Rechtsgrundlagen (Art. 6 Abs. 1)
Eine Verarbeitung ist nur rechtmäßig, wenn mindestens eine Grundlage greift:
- a) Einwilligung der betroffenen Person
- b) Vertragserfüllung (Daten zur Durchführung eines Vertrags nötig)
- c) rechtliche Verpflichtung (z.B. steuerliche Aufbewahrung)
- d) lebenswichtige Interessen
- e) öffentliche Aufgabe
- f) berechtigtes Interesse (mit Abwägung gegen die Interessen der betroffenen Person)
Prüfe einen typischen Fall:
Interaktive Visualisierung
Interaktive Komponente: probiere sie im Topic-Player oben aus.
Betroffenenrechte und Pflichten
Rechte der betroffenen Person:
- Auskunft (Art. 15): welche Daten werden verarbeitet?
- Berichtigung (Art. 16) und Löschung / Recht auf Vergessenwerden (Art. 17)
- Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21)
Pflichten des Verantwortlichen:
- Informationspflichten (Art. 13/14), Verzeichnis von Verarbeitungstätigkeiten (Art. 30)
- Meldung von Datenpannen binnen 72 Stunden an die Aufsichtsbehörde (Art. 33)
- Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 35), Auftragsverarbeitung (Art. 28), Privacy by Design/Default (Art. 25)
Sanktionen
Verstöße können mit Bußgeldern bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist (Art. 83). Das macht Datenschutz auch zum unternehmerischen Risiko.
Klausur-Faustregeln
1. Verbot mit Erlaubnisvorbehalt: Verarbeitung ist verboten, außer eine Rechtsgrundlage (Art. 6) erlaubt sie.
2. Personenbezogene Daten (Art. 4): identifizierbare natürliche Person. Anonyme Daten fallen heraus.
3. Rechtsgrundlagen (Art. 6 Abs. 1): Einwilligung, Vertrag, rechtliche Pflicht, lebenswichtige/öffentliche Interessen, berechtigtes Interesse.
4. Grundsätze (Art. 5): Zweckbindung, Datenminimierung, Speicherbegrenzung, Rechenschaftspflicht.
5. Betroffenenrechte: Auskunft (15), Löschung (17), Widerspruch (21).
6. Datenpanne in 72 h melden (Art. 33); Bußgeld bis 20 Mio. Euro oder 4 % Jahresumsatz (Art. 83).
Häufige Stolpersteine
1. Einwilligung für die einzige Rechtsgrundlage halten. Art. 6 kennt sechs Grundlagen. Oft trägt schon die Vertragserfüllung (lit. b) oder das berechtigte Interesse (lit. f), eine Einwilligung ist dann nicht nötig.
2. Das Regel-Ausnahme-Verhältnis umdrehen. Ohne Rechtsgrundlage ist die Verarbeitung verboten, nicht "erlaubt, bis jemand widerspricht".
3. Die Zweckbindung übersehen. Für einen neuen Zweck (z.B. Daten zu Werbung statt nur zur Lieferung) braucht es eine neue Rechtsgrundlage.
4. Anonyme und pseudonyme Daten verwechseln. Anonyme Daten fallen aus der DSGVO heraus, pseudonyme (re-identifizierbare) bleiben drin.
5. Berechtigtes Interesse als Freibrief sehen. Lit. f verlangt eine Abwägung mit den Interessen der betroffenen Person; sie kann zugunsten der Person ausfallen.
6. Die 72-Stunden-Frist für Datenpannen ignorieren. Eine meldepflichtige Verletzung muss binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden (Art. 33).
Interaktiv verstehen
Wenn die Rechtsgrundlage fehlt
Derselbe Shop will die Daten jetzt für einen ganz anderen Zweck nutzen. Prüfe, ob die Zweckbindung das zulässt, und was passiert, wenn keine Rechtsgrundlage greift.
Interaktive Visualisierung
Interaktive Komponente: probiere sie im Topic-Player oben aus.
Klausur-Tipp: Gehe immer zweistufig vor: (1) Ist die DSGVO anwendbar (personenbezogene Daten)? (2) Gibt es eine Rechtsgrundlage (Art. 6) für genau diesen Zweck? Eine Zweckänderung braucht eine neue Grundlage.
Praxis-Übung
Klausurfragen mit Lösungen (6)
- F1.Nach welchem Grundprinzip arbeitet die DSGVO?
Antwort: Verbot mit Erlaubnisvorbehalt (verboten, außer eine Rechtsgrundlage erlaubt es)
Erklärung: Die DSGVO gilt nach dem Verbot mit Erlaubnisvorbehalt: jede Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn, eine Rechtsgrundlage (Art. 6) erlaubt sie.
- F2.Was sind personenbezogene Daten (Art. 4 Nr. 1 DSGVO)?
Antwort: alle Informationen über eine identifizierte oder identifizierbare natürliche Person
Erklärung: Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare natürliche Person, also Name, Adresse, IP-Adresse, Standort und mehr. Anonyme Daten zählen nicht dazu.
- F3.Ein Online-Shop speichert die Lieferadresse, um die Ware zu liefern. Welche Rechtsgrundlage trägt das?
Antwort: Art. 6 Abs. 1 lit. b (Vertragserfüllung)
Erklärung: Die Daten sind zur Erfüllung des Kaufvertrags (Lieferung) erforderlich, daher trägt Art. 6 Abs. 1 lit. b. Eine gesonderte Einwilligung ist nicht nötig.
- F4.Ordne jedem Betroffenenrecht den richtigen Artikel zu.
Zuordnungen:
- Auskunft → Art. 15
- Löschung / Vergessenwerden → Art. 17
- Widerspruch → Art. 21
- Datenübertragbarkeit → Art. 20
Erklärung: Auskunft Art. 15, Berichtigung Art. 16, Löschung Art. 17, Datenübertragbarkeit Art. 20, Widerspruch Art. 21. Diese Rechte stärken die Kontrolle der betroffenen Person über ihre Daten.
Typ: Zuordnung
- F5.Die Einwilligung ist die einzige Rechtsgrundlage für eine Datenverarbeitung.
Antwort: Falsch
Erklärung: Falsch. Art. 6 Abs. 1 kennt sechs Rechtsgrundlagen. Neben der Einwilligung (lit. a) tragen oft schon die Vertragserfüllung (lit. b), eine rechtliche Pflicht (lit. c) oder das berechtigte Interesse (lit. f).
Typ: Wahr/Falsch
- F6.Bis zu welcher Höhe können Bußgelder nach Art. 83 DSGVO verhängt werden?
Antwort: bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (je nachdem, was höher ist)
Erklärung: Für schwere Verstöße sieht Art. 83 DSGVO Bußgelder bis 20 Mio. Euro oder bis 4 % des gesamten weltweit erzielten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
Klausur-Quiz
Klausurfragen mit Lösungen (6)
- F1.Fallen vollständig anonymisierte Daten unter die DSGVO?
Antwort: nein, ohne Personenbezug ist die DSGVO nicht anwendbar
Erklärung: Anonyme Daten haben keinen Personenbezug mehr und fallen daher nicht unter die DSGVO. Pseudonyme Daten (mit Schlüssel re-identifizierbar) bleiben dagegen personenbezogen und damit geschützt.
- F2.Innerhalb welcher Frist muss eine meldepflichtige Datenpanne der Aufsichtsbehörde gemeldet werden (Art. 33)?
Antwort: binnen 72 Stunden
Erklärung: Nach Art. 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, zu melden.
- F3.Die DSGVO gilt als Verbot mit {{1}}. Die Rechtsgrundlagen stehen in Art. {{2}}. Daten dürfen wegen der {{3}} nur für den Zweck genutzt werden, zu dem sie erhoben wurden.
Lösungen pro Lücke:
- {{1}}: Erlaubnisvorbehalt / Erlaubnis-Vorbehalt
- {{2}}: 6 / Art. 6 / 6 Abs. 1
- {{3}}: Zweckbindung / Zweckbindung (Art. 5)
Erklärung: Verbot mit Erlaubnisvorbehalt, Rechtsgrundlagen in Art. 6, Zweckbindung als Grundsatz aus Art. 5: Daten nur für den festgelegten Zweck.
Typ: Lückentext
- F4.Was verlangt die Rechtsgrundlage 'berechtigtes Interesse' (Art. 6 Abs. 1 lit. f)?
Antwort: eine Abwägung zwischen dem Interesse des Verantwortlichen und den Interessen der betroffenen Person
Erklärung: Das berechtigte Interesse (lit. f) ist keine Pauschal-Erlaubnis: es erfordert eine Abwägung. Überwiegen die Interessen oder Grundrechte der betroffenen Person, ist die Verarbeitung unzulässig.
- F5.Werden Daten für einen neuen Zweck genutzt, ist dafür keine neue Rechtsgrundlage nötig.
Antwort: Falsch
Erklärung: Falsch. Die Zweckbindung (Art. 5 Abs. 1 lit. b) verlangt, dass Daten nur für den ursprünglichen Zweck verarbeitet werden. Für einen neuen, unvereinbaren Zweck braucht es eine neue Rechtsgrundlage (z.B. eine Einwilligung).
Typ: Wahr/Falsch
- F6.Ein Unternehmen nutzt Kundendaten ausschließlich zur gesetzlich vorgeschriebenen steuerlichen Aufbewahrung. Welche Rechtsgrundlage trägt das?
Antwort: Art. 6 Abs. 1 lit. c (Erfüllung einer rechtlichen Verpflichtung)
Erklärung: Die steuerliche Aufbewahrungspflicht ist eine rechtliche Verpflichtung, der der Verantwortliche unterliegt. Damit trägt Art. 6 Abs. 1 lit. c die Verarbeitung, eine Einwilligung ist nicht erforderlich (und wäre hier sogar unpassend).
