Lernfeld 4 · Prüfung Teil 1
Datenschutz
Datenschutz nach DSGVO und BDSG für IT-Berufe: personenbezogene Daten, Grundsätze, Rechtsgrundlagen, Betroffenenrechte, TOM und Meldepflicht.
Darum geht es
Datenschutz schützt Menschen, Informationssicherheit schützt Informationen. Die DSGVO gilt für personenbezogene Daten, also alle Angaben, die sich einer bestimmten oder bestimmbaren Person zuordnen lassen, etwa Name, E-Mail-Adresse, IP-Adresse oder Personalnummer. Gesundheitsdaten gehören zu den besonders geschützten Kategorien.
Eine Verarbeitung ist nur erlaubt, wenn eine Rechtsgrundlage nach Art. 6 vorliegt, etwa Einwilligung, Vertrag oder gesetzliche Pflicht. Die Grundsätze nach Art. 5 sind Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Betroffene haben unter anderem das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Gesetzliche Aufbewahrungsfristen gehen dem Löschwunsch vor; die Daten werden dann gesperrt.
Art. 32 verlangt technische und organisatorische Maßnahmen, etwa Verschlüsselung, Zugriffskontrolle und Datensicherung. Art. 25 verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Verarbeitet ein Dienstleister Daten im Auftrag, etwa bei Fernwartung, braucht es einen Vertrag nach Art. 28. Eine Datenpanne mit Risiko für Betroffene meldest du binnen 72 Stunden der Aufsichtsbehörde. Einen Datenschutzbeauftragten braucht ein Betrieb in der Regel, wenn mindestens 20 Personen ständig personenbezogene Daten automatisiert verarbeiten. Alte Datenträger werden nach DIN 66399 sicher vernichtet.
Das solltest du dir merken
- Personenbezogen ist alles, was sich einer Person zuordnen lässt, auch eine IP-Adresse.
- Ohne Rechtsgrundlage nach Art. 6 DSGVO keine Verarbeitung.
- Datenpannen innerhalb von 72 Stunden an die Aufsichtsbehörde melden.
- Fernwartung mit Zugriff auf personenbezogene Daten braucht einen Vertrag zur Auftragsverarbeitung.
- Pseudonymisierte Daten bleiben personenbezogen, anonymisierte nicht.
Typische Fehler in der Prüfung
- Pseudonymisierung mit Anonymisierung gleichgesetzt.
- Einen Löschwunsch umgesetzt, obwohl gesetzliche Aufbewahrungsfristen gelten.
- Die 72-Stunden-Frist auf die Benachrichtigung aller Betroffenen bezogen statt auf die Aufsichtsbehörde.
- Datenschutz und Datensicherheit als dasselbe beschrieben.
Tipps aus der Werkstatt
- Personenbezogen ist alles, was sich einer Person zuordnen lässt, auch IP-Adresse oder Kfz-Kennzeichen. Die Grundsätze aus Artikel 5 fragst du als Checkliste ab: Zweck, Datenminimierung, Richtigkeit, Speicherbegrenzung, Sicherheit.
- Zwei Zahlen und ein Vertrag: Datenpannen innerhalb von 72 Stunden an die Aufsichtsbehörde melden, und wer im Auftrag Daten verarbeitet, zum Beispiel per Fernwartung, braucht einen Auftragsverarbeitungsvertrag (AVV).
Sitzt das Thema? Teste dich mit echten Prüfungsfragen.
16 Aufgaben zu „Datenschutz“, falsche Antworten kommen in der Runde noch einmal.
Jetzt übenGrundlage: Rahmenlehrplan IT-Berufe (KMK 2019), Lernfeld 4; DSGVO Art. 5, 6, 15 bis 21, 25, 28, 32, 33; BDSG § 38; DIN 66399. Eigene Erklärung, keine Originalaufgaben der Prüfungsausschüsse.