Modul abgeschlossen
DSGVO im Alltag
Noch 6 Lektionen offen. Diese Seite zeigt, was Sie am Ende können – und was Sie damit anfangen.
Was Sie jetzt können
Die Lernziele dieses Moduls
·Was personenbezogene Daten wirklich sind
- den Begriff personenbezogene Daten nach Art. 4 Nr. 1 DSGVO sicher anwenden
- direkt identifizierte, identifizierbare, pseudonymisierte und anonyme Daten unterscheiden
- besondere Kategorien nach Art. 9 DSGVO erkennen
- die Grundsätze der Datenverarbeitung aus Art. 5 im Alltag einordnen
·Auskunftsersuchen richtig beantworten
- den Umfang des Auskunftsrechts nach Art. 15 DSGVO kennen
- Fristen berechnen und Verlängerungen korrekt mitteilen
- einen Antrag strukturiert bearbeiten – von der Identitätsprüfung bis zur Kopie
- mit schwierigen Anträgen umgehen, etwa bei Streitigkeiten
- Fotos von Beschäftigten und Kunden rechtssicher veröffentlichen
- die Grenzen der Videoüberwachung kennen
- Bewerberdaten von der Bewerbung bis zur Löschung richtig behandeln
- Einwilligungen so gestalten, dass sie wirksam sind
·Auftragsverarbeitung verstehen
- Auftragsverarbeitung, eigene und gemeinsame Verantwortung unterscheiden
- die Pflichtinhalte eines Vertrags nach Art. 28 Abs. 3 DSGVO kennen
- Unterauftragsverarbeiter und Drittlandtransfers einordnen
- einen Dienstleister vor der Beauftragung sinnvoll prüfen
·Datenschutzvorfall: die ersten 72 Stunden
- erkennen, was eine Verletzung des Schutzes personenbezogener Daten ist
- die Pflichten nach Art. 33 und 34 DSGVO und ihre Fristen kennen
- das Risiko eines Vorfalls einschätzen
- in den ersten Stunden nach einem Vorfall strukturiert handeln
Zum Behalten
18 Kernideen aus diesem Modul
Wann sind Daten personenbezogen?
Wenn sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1) – ein Name muss nicht dastehen.
Pseudonymisiert oder anonym – was fällt aus der DSGVO?
Nur anonyme Daten. Pseudonymisierte bleiben personenbezogen, solange sich der Bezug wiederherstellen lässt.
Sind IP-Adressen personenbezogen?
In der Regel ja – die Person lässt sich mit rechtlichen Mitteln ermitteln (EuGH, Breyer).
Beispiele für besondere Kategorien nach Art. 9 im Unternehmen?
Krankmeldungen, Schwerbehinderung, Konfession für die Kirchensteuer, Fingerabdruck an der Zeiterfassung.
Frist für ein Auskunftsersuchen?
Ein Monat ab Eingang, verlängerbar um zwei Monate – die Verlängerung ist im ersten Monat zu begründen (Art. 12 Abs. 3).
Was umfasst die Auskunft nach Art. 15?
Die Daten selbst, eine originalgetreue Kopie und Informationen zu Zwecken, Empfängern, Speicherdauer, Rechten und Herkunft.
Auskunft verweigern, weil ein Rechtsstreit vorbereitet wird?
Nein – auch datenschutzfremde Zwecke sind zulässig (EuGH 2023). Grenze: offenkundig unbegründet oder exzessiv.
Keine Daten gespeichert – muss man antworten?
Ja, auch die Negativauskunft ist Pflicht.
Mitarbeiterfoto auf der Website – Grundlage?
In der Regel eine freiwillige, schriftliche oder elektronische Einwilligung (§ 26 Abs. 2 BDSG), jederzeit widerruflich.
Wo ist Videoüberwachung tabu?
Pausenräume, Umkleiden, Sanitärräume. Überall: Hinweisschild, kurze Speicherdauer, Betriebsrat beteiligen.
Aufbewahrung von Bewerbungen nach Absage?
Üblich etwa sechs Monate (AGG-Fristen), danach löschen – Talentpool nur mit Einwilligung.
Wann liegt Auftragsverarbeitung vor?
Wenn ein Dienstleister personenbezogene Daten nur im Auftrag und nach Weisung verarbeitet – dann AVV nach Art. 28.
Ist der Steuerberater Auftragsverarbeiter?
In der Regel nicht – er handelt berufsrechtlich weisungsfrei in eigener Verantwortung.
Was gilt bei Datenverarbeitung in den USA?
Grundlage nach Kapitel V nötig, etwa EU-US Data Privacy Framework (zertifizierte Anbieter) oder Standardvertragsklauseln.
Muss jeder Datenschutzvorfall gemeldet werden?
Nein. Jeder wird dokumentiert; gemeldet wird bei voraussichtlichem Risiko, Betroffene informiert bei hohem Risiko.
Wann beginnt die 72-Stunden-Frist?
Mit hinreichender Kenntnis des Unternehmens vom Vorfall – nicht erst, wenn alles geklärt ist.
Verschlüsselter Laptop gestohlen – melden?
Bei wirksamer Verschlüsselung meist kein Risiko: dokumentieren, nicht melden.
Faustregel bei Unsicherheit?
Im Zweifel melden – unvollständige Angaben dürfen nachgereicht werden.
Ihr nächster Schritt
Prüfen Sie Ihr Verzeichnis von Verarbeitungstätigkeiten auf Vollständigkeit: Gibt es für jede Verarbeitung eine Rechtsgrundlage, eine Löschfrist und eine zuständige Person?