Kursmaterial · Storycard
Die Storycard zu Teil 1. Zwei Seiten: vorne Story, Akzeptanzbedingungen und Sprintziel, hinten Anschluss, Kompetenzmodell und Retrospektive. Druckt sie doppelseitig aus.
Storycard Teil 1 herunterladen2 Seiten · doppelseitig drucken
Euer Board · AB 1 bis 6
Jede Akzeptanzbedingung eurer Storycard ist hier eine Karte. Schiebt sie mit den Pfeilen weiter: offen, in Arbeit, Review, fertig. Höchstens drei Karten gleichzeitig in „In Arbeit“: lieber eine Karte fertig machen als viele anfangen. „Fertig“ setzt den Haken in der AB-Liste, so seht ihr den Stand auch oben in der Leiste jeder Seite. Gespeichert wird im Browser dieses Geräts, am besten öffnet ihr das Board am Teamrechner.
Das Board lädt. Ohne JavaScript nutzt ihr die Rückseite der Storycard.
Sprint 1⏱ 25 h15 CP
Bevor ihr Server, Sicherungen und Angriffe anfasst, klärt ihr die Frage, die jede Prüfung zuerst stellt: Welche Daten über Menschen fallen im Hub an, und darf HLG sie so verarbeiten? Euer Sicherheitsteam liefert der Geschäftsleitung die Antwort.
Sprint 1Brückenstufe 1
Eure Story: Ihr klärt mit der Geschäftsleitung von HLG, welche Daten über Menschen im Hub anfallen, ob HLG sie so verarbeiten darf und was fehlt.
Hier startet euer Sprint. Storycard drucken, im Planning die Aufgaben im Team verteilen (LA 1, LA 2, LA 3) und AB 1 bis 6 festhalten.
Ihr lest Lage und Storycard, schätzt, an wie vielen Stellen Daten über einen Fahrer liegen, und plant euren Weg durch Teil 1.
0 von 6 AB abgehakt AB-Liste öffnen
Agil arbeiten · Sprint 1
Eure Storycard für Teil 1 steuert diesen Sprint
Druckt sie doppelseitig aus, bevor ihr loslegt. Die Akzeptanzbedingungen sind nummeriert (AB 1 bis n), genau so wie unten in „Fertig seid ihr, wenn …“. Die Kursseiten dieses Teils sind Inputs: Ihr holt sie euch, wenn eure Storycard danach fragt.
Das steuert ihr · Brückenstufe 1: Ihr verteilt die Aufgaben im Team, schreibt das Sprintziel in eigenen Worten und legt die Reihenfolge der Schritte fest. Der Kurs gibt Story, AB und einen möglichen Weg vor.
1 Planning2 Arbeiten mit Daily3 Review4 Retrospektive
Storycard Teil 1 herunterladen PDF · 2 Seiten · 366 KB
Im Projekt: Wer darf die Daten der Fahrer an der Rampe sehen?
Deine Lernangebote in Teil 1
Fachgrundlage · DSGVO, BDSG und StrafrechtLernangebot 1 · Personenbezogene Daten im Hub findenLernangebot 2 · Rechtsgrundlage und SchutzmaßnahmenLernangebot 3 · Datenschutzbeauftragung und Datenpanne
Die Karte kennst du von „Bevor du loslegst“. Sie zeigt, was du in diesem Teil lernst.
Der wichtigste Satz auf dieser Seite: Daten über Menschen gehören zuerst den Menschen. HLG darf sie nur nutzen, wenn es dafür einen Grund gibt, den das Gesetz kennt.
Check-in: Wo ist dir das schon begegnet?
Klick bei jedem Punkt an, wo er dir schon begegnet ist: im Betrieb, privat oder in einem früheren Lernfeld. Das ist keine Bewertung.
Wozu der Check-in?
Fast jeder hat schon einer Firma Daten über sich gegeben, ohne genau zu wissen, wer sie sieht: beim Paketdienst, an der Werkseinfahrt, im Fitnessstudio. Wer im Betrieb schon mit dem Datenschutz zu tun hatte, etwa bei einer Unterweisung oder einer Einwilligung, kreuzt das an und bringt es ins Team ein.
Darum geht es
Als Sicherheitsteam von Querwind wollen wir mit der Geschäftsleitung von HLG klären, welche Daten über Fahrer und Beschäftigte im Hub entstehen, ob HLG sie so verarbeiten darf und was fehlt, damit uns keine Prüfung der Aufsichtsbehörde und kein Kunde überrascht.
Die Lage an der Rampe
Nach dem Angriff in der Nachbarhalle will die Geschäftsleitung von HLG das Sicherheitskonzept für den Hub. Sie fängt mit einer Frage an, die ihr der Kunde aus der Pharmabranche gestellt hat: „Wer bei Ihnen sieht eigentlich die Daten meiner Fahrer?“
Niemand im Hub kann das auf Anhieb beantworten. Die Kameras an der Rampe speichern ohne Ende, der Kühlraum schreibt zu jedem Messwert einen Namen, und ob HLG eine Datenschutzbeauftragung braucht, hat nie jemand geprüft.
Euer Ergebnis in Teil 1: ein Datenflussbild, ein Auszug aus dem Verzeichnis der Verarbeitungstätigkeiten, eine Maßnahmenliste und eine Stellungnahme zur Datenschutzbeauftragung. Am Ende entscheidet ihr einen Fall, den es noch nicht gibt.
Weg einer Sendung
Klick dich durch die sieben Stationen. Die Szene zeigt nur, wer und was an jeder Station ist. Welche Daten dort entstehen, notierst du selbst.
Hier erscheint die Szene „Weg einer Sendung“ mit sieben Stationen von der Voranmeldung bis zur Verladung.
Die Mail der Geschäftsleitung
Betreff: Wer sieht was?
Guten Tag, unser Pharmakunde will wissen, wer bei uns die Daten seiner Fahrer sieht und wie lange wir sie aufheben. Ich kann es ihm nicht sagen. Bitte klären Sie für mich: Welche Daten über Menschen haben wir im Hub, dürfen wir sie so verarbeiten, und brauchen wir eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten?
Ich brauche eine Antwort, die ich dem Kunden und notfalls der Aufsichtsbehörde zeigen kann.
Mit freundlichen Grüßen, Geschäftsleitung HLG
Was im Lehrplan steht und wo es in Teil 1 vorkommt
| Im Lehrplan steht | Hier in Teil 1 |
|---|---|
| Datenschutzgesetze, z. B. EU-DSGVO, BDSG | Fachgrundlage, Lernangebot 1 und 2 |
| §202 StGB | Fachgrundlage: §202a bis §202d StGB |
| informationelle Selbstbestimmung | Fachgrundlage, Herkunft im Volkszählungsurteil 1983 |
| 10 Gebote des Datenschutzes | Fachgrundlage und Aufgabe 2.2: heute technische und organisatorische Maßnahmen nach Art. 32 DSGVO |
| Datenschutzbeauftragung | Lernangebot 3 |
| Umsetzung der Datenschutzgesetze in der Praxis | Verzeichnis, Maßnahmenliste, Ablaufplan Datenpanne |
| Notwendigkeit des Schutzes personenbezogener Daten | offener Fall der Storycard, Kompetenzmodell |
Pflicht-Storycard Teil 1 · 15 CP · Sprint 1
Als Geschäftsleitung von HLG will ich wissen, welche Daten über Menschen wir im Hub verarbeiten und ob wir das dürfen, damit uns keine Prüfung und kein Kunde überrascht.
| Bereich | Anteil | Woran gemessen |
|---|---|---|
| Produkt | 40 % | Datenflussbild, Verzeichnis, Maßnahmenliste, Stellungnahme, offener Fall |
| Prozess | 25 % | Teamarbeit, Sprintplanung, Wissensspeicher gepflegt |
| Wissen | 35 % | Kontrolle Teil 1 (zehn Fragen) |
Offener Fall der Storycard (Stufe III · Heuristik)
Ein Pharmakunde verlangt die Live-Ortung aller Fahrer, die seine Sendungen bringen. Wägt Interessen ab, prüft Rechtsgrundlage und mildere Mittel, entscheidet begründet und schreibt die Antwort an den Kunden.
Das entscheidet ihr
Der Auftrag sagt, was erreicht sein muss. Wie ihr es erreicht, legt euer Team fest und begründet es.
- in welcher Form ihr das Datenflussbild zeichnet, auf Papier oder in einem Diagrammwerkzeug
- welche Löschfristen ihr vorschlagt und wie ihr sie begründet
- welche Maßnahmen ihr für die Zufahrt empfehlt und in welcher Reihenfolge
- wen ihr der Geschäftsleitung als Datenschutzbeauftragung vorschlagt
- wie ihr im offenen Fall entscheidet, solange die Entscheidung begründet ist
Erst schätzen, dann arbeiten
Schätze: An wie vielen Stellen im Hub werden Daten über einen einzigen Fahrer gespeichert, von der Einfahrt bis zur Abfahrt? Schreib eine Zahl auf, ohne lange zu überlegen. Am fertigen Datenflussbild zählt ihr im Team nach. Deine Vermutung aus dem Kursstart kannst du hier übernehmen.
Die Auflösung steht bei den Rechenwegen und Lösungen dieses Teils.
Das steuert ihr in Sprint 1 · Brückenstufe 1
Ihr verteilt die Aufgaben im Team, schreibt das Sprintziel in eigenen Worten und legt die Reihenfolge eurer Schritte fest.
Der Kurs gibt vor: Story, AB und ein möglicher Weg. Alles Weitere sind Inputs, die ihr euch holt, wenn eure Storycard danach fragt.
Eure Aufgaben in Sprint 1: Ihr verteilt die Aufgaben der Lernangebote im Team selbst und hängt jede Karte an einen Namen. Den offenen Fall der Storycard entscheidet ihr gemeinsam. Vor dem Review erklärt ihr euch gegenseitig, was ihr erarbeitet habt, denn im Review wird ausgelost, wer erklärt. So arbeitet euer Team
Aus eurer letzten Retrospektive: Lest im Planning zuerst euren Satz „Das ändern wir im nächsten Sprint“ von der Rückseite der letzten Storycard vor. Er gilt in diesem Sprint als eure erste Teamregel.
In der Mitte des Sprints: Zwischenreview. Ihr zeigt eurem Partnerteam und dem Auftraggeber euren Stand am Board und holt euch Rückmeldung, solange ihr noch umsteuern könnt.
Ein möglicher Weg zu eurer Storycard
Ein Vorschlag für euer Backlog, kein Pflichtweg. Aufgabenverteilung, Reihenfolge und Sprintziel legt ihr im Planning fest.
Planning
Input
AB 1
AB 2
AB 2 und 3
AB 4
AB 5
Review
Der Weg im Einzelnen
- Auftrag klären
Lest Lage, Mail und Storycard und schreibt auf, was ihr über die Daten im Hub noch nicht wisst. (Planning) - Fachgrundlage
Lest die Fachgrundlage zu DSGVO, BDSG und Strafrecht, so weit ihr sie braucht. (Input, nur so weit ihr ihn braucht) - Daten finden
Ordnet Datenelemente ein und ergänzt das Datenflussbild.
zahlt ein auf AB 1 - Verzeichnis
Legt drei Zeilen des Verzeichnisses an und prüft sie gegen Art. 5.
zahlt ein auf AB 2 - Rechtsgrundlage und TOM
Ordnet Rechtsgrundlagen zu und plant Maßnahmen für Zufahrt und Kamera.
zahlt ein auf AB 2 und 3 - Beauftragung und Panne
Prüft die Datenschutzbeauftragung und legt den Ablauf einer Panne fest.
zahlt ein auf AB 4 - Offener Fall
Entscheidet den Fall des Pharmakunden.
zahlt ein auf AB 5 - Review
Wissensspeicher-Blatt, Kreuzreview, dann Review mit der Geschäftsleitung. (Review gegen alle AB)
Fertig seid ihr, wenn … (AB 1 bis 6)
Fertig seid ihr, wenn euer Partnerteam im Kreuzreview alle Punkte abnimmt:
- Das Datenflussbild zeigt alle sieben Stationen und jede Stelle mit personenbezogenen Daten.
- Das Verzeichnis enthält drei vollständige Zeilen mit Rechtsgrundlage und Löschfrist.
- Die Maßnahmenliste deckt jedes Schutzziel mit mindestens einer technischen und einer organisatorischen Maßnahme ab.
- Die Stellungnahme zur Datenschutzbeauftragung stützt sich auf Gesetz und Zahlen.
- Der offene Fall ist begründet entschieden, mit Abwägung und milderem Mittel.
- Das Kontrollquiz Teil 1 ist bearbeitet.
Die Haken gelten für den ganzen Teil: Ihr seht den Stand in der Leiste oben auf jeder Seite und auf der Seite mit den Rechenwegen. Gespeichert wird im Browser dieses Geräts.
Das brauchst du dafür
- den abgezeichneten Projektauftrag aus „Bevor du loslegst“
- die Fachgrundlage dieses Teils, den Text der DSGVO und des BDSG im Netz
- Papier oder ein Diagrammwerkzeug für das Datenflussbild, eine Tabellenkalkulation für das Verzeichnis
- eure Lehrkraft als Geschäftsleitung von HLG und im Review als Pharmakunde
Rollen im Team für diesen Teil
Es gelten eure fünf Rollen aus Sprint 0: Teamleitung, Datenschutz und Recht, Technik und Labor, Risiko und Wirtschaft, Dokumentation. Sie wechseln nach jedem Sprint. Die Rolle ist ein Zusatz: Die Aufgaben der Lernangebote verteilt ihr im Team; Lernen, Kontrolle und Wissensspeicher macht jede und jeder selbst.
Gegebene Werte für Teil 1 · aufklappen, wenn du sie brauchst
Gegebene Werte für Teil 1
- Beschäftigte HLG im Hub
- 140 in drei Schichten, davon 46 ständig mit Rechnern, Scannern oder dem Zufahrtssystem tätig
- Anlieferungen
- 260 LKW je Tag, Spitze von 20 bis 23 Uhr
- Konzernumsatz HLG
- 380 Mio. € im Jahr
- Kameras an der Rampe
- 4 Kameras, Speicherdauer heute unbegrenzt (Befund)
- Zutrittsprotokoll Kühlraum
- Name, Zeit, Ausweisnummer und Temperatur je Zutritt
- Datenschutzbeauftragung
- bisher nicht geprüft
Unterrichtswerte, angelehnt an öffentliche Größenordnungen. Alle Teile rechnen mit denselben Zahlen.