FachgrundlageSprint 1fachsystematisch⏱ 3 h
Datenschutz in zwanzig Minuten: was personenbezogene Daten sind, welche Grundsätze gelten, welche Rechtsgrundlagen es gibt, welche Rechte Betroffene haben und was das Strafrecht dazu sagt.
Sprint 1 · InputBrückenstufe 1
Eure Story: Ihr klärt mit der Geschäftsleitung von HLG, welche Daten über Menschen im Hub anfallen, ob HLG sie so verarbeiten darf und was fehlt.
Input für eure Storycard. Holt euch die Karte, die eure Storycard gerade braucht. Grundlage für AB 1 bis 6.
Du liest die Abschnitte, die du für Teil 1 brauchst, und prüfst dich am Ende mit drei Fragen.
0 von 6 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Die DSGVO verbietet die Verarbeitung personenbezogener Daten, außer es gibt eine Rechtsgrundlage. Wer das umdreht, stellt die falsche Frage.
Wozu diese Lektion?
Im Auftrag arbeitest du am Fall der Halle. Hier steht das Gerüst, das über den Fall hinaus trägt: Begriffe, Regeln und Zusammenhänge, so wie sie in jedem Betrieb und in der Technikerprüfung gelten. Lies sie, wenn du sie brauchst, und komm zurück, wenn du unsicher bist.
Personenbezogene Daten
Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar heißt: Mit Mitteln, die vernünftigerweise eingesetzt werden, lässt sich herausfinden, wer gemeint ist.
| Im Hub | personenbezogen? | Warum |
|---|---|---|
| Name auf dem Fahrerausweis | ja | nennt die Person direkt |
| Kennzeichen des LKW | ja, in der Regel | über Halter und Disposition einer Person zuzuordnen |
| Schichtplan der Beschäftigten | ja | zeigt, wer wann arbeitet |
| Temperatur im Kühlraum | nein, allein | sagt nichts über einen Menschen, solange kein Name daran hängt |
Informationelle Selbstbestimmung
Das Bundesverfassungsgericht hat 1983 im Volkszählungsurteil aus dem Grundgesetz das Recht abgeleitet, selbst über die Preisgabe und Verwendung der eigenen Daten zu bestimmen. Auf diesem Gedanken bauen BDSG und DSGVO auf: Nicht die Daten werden geschützt, sondern die Menschen, um die es geht.
Grundsätze nach Art. 5 DSGVO
| Grundsatz | Bedeutet im Hub |
|---|---|
| Rechtmäßigkeit, Treu und Glauben, Transparenz | Fahrer wissen, dass gefilmt wird (Hinweisschild). |
| Zweckbindung | Bilder für den Frachtschutz werden nicht zur Leistungskontrolle genutzt. |
| Datenminimierung | nur so viele Daten wie für den Zweck nötig |
| Richtigkeit | falsche Kennzeichen werden berichtigt |
| Speicherbegrenzung | Löschfrist statt unbegrenzter Speicherung |
| Integrität und Vertraulichkeit | Schutz durch technische und organisatorische Maßnahmen |
| Rechenschaftspflicht | HLG muss die Einhaltung nachweisen können, etwa mit dem Verzeichnis |
Rechtsgrundlagen nach Art. 6 DSGVO
Jede Verarbeitung braucht eine der sechs Rechtsgrundlagen aus Art. 6 Abs. 1: a Einwilligung, b Vertrag, c rechtliche Pflicht, d lebenswichtige Interessen, e öffentliche Aufgabe, f berechtigtes Interesse nach Abwägung. Bei Beschäftigten öffnet Art. 88 DSGVO den Weg für nationale Regeln.
Für Beschäftigte stützt sich der Kurs auf Art. 6 und Art. 88 DSGVO, weil der Europäische Gerichtshof 2023 Zweifel an einer ähnlichen Landesregel geäußert hat. Eine Einwilligung ist im Arbeitsverhältnis selten freiwillig und deshalb die schwächste Grundlage.
Rechte der Betroffenen
- Auskunft (Art. 15): welche Daten HLG über eine Person hat.
- Berichtigung (Art. 16): falsche Daten werden korrigiert.
- Löschung (Art. 17): Daten werden gelöscht, wenn der Zweck entfallen ist.
- Widerspruch (Art. 21): gegen eine Verarbeitung auf Grundlage eines berechtigten Interesses.
DSGVO und BDSG
Die DSGVO gilt seit 25.05.2018 unmittelbar in jedem Mitgliedstaat. Das BDSG füllt die Öffnungsklauseln aus, die die DSGVO lässt, zum Beispiel die Schwelle für die Benennung einer Datenschutzbeauftragung in §38 BDSG.
Strafrecht: §202a bis §202d StGB
| Vorschrift | Was strafbar ist |
|---|---|
| §202a | Ausspähen von Daten: sich unbefugt Zugang zu besonders gesicherten Daten verschaffen |
| §202b | Abfangen von Daten aus einer nicht öffentlichen Übermittlung |
| §202c | Vorbereiten des Ausspähens und Abfangens, etwa durch Beschaffen von Passwörtern oder Werkzeugen |
| §202d | Datenhehlerei: rechtswidrig erlangte Daten weitergeben |
Der Lehrplan nennt „§202 StGB“. Gemeint ist der ganze Abschnitt. §202c wird in Teil 4 wichtig, wenn ihr im Labornetz angreift: nur mit Freigabe und nur dort.
Technische und organisatorische Maßnahmen
Art. 32 DSGVO verlangt Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, Wiederherstellbarkeit nach einem Zwischenfall und regelmäßige Überprüfung.
Warum es die „10 Gebote“ nicht mehr gibt
Bis 2018 stand in der Anlage zu §9 BDSG eine Liste von Kontrollzielen, oft „10 Gebote des Datenschutzes“ genannt: Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle und Trennungsgebot. Die DSGVO ersetzt diese Liste durch die Schutzziele aus Art. 32. Die alten Begriffe helfen weiter beim Denken, rechtlich maßgeblich ist Art. 32.
So steigt der Anspruch in Teil 1
Stufe I
Abfolge
Daten einordnen, Stationen ergänzen, Rechtsgrundlage mit dem Baum zuordnen.
Stufe II
Algorithmus
Verzeichnis anlegen, Maßnahmen planen, Fristen und Bußgeldrahmen rechnen.
Stufe III
Heuristik
in einem neuen Fall abwägen, ein milderes Mittel finden und begründet entscheiden.