🔐 Datenschutzrecht (DSGVO/BDSG)

1. Was sind nach der DSGVO 'personenbezogene Daten'?

1. Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen
2. Ausschließlich der vollständige Name und die Anschrift einer Person
3. Nur Daten von Unternehmen und Behörden
4. Lediglich Gesundheits- und Finanzdaten einer Person

Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (betroffene Person) beziehen.

2. Seit welchem Zeitpunkt gilt die Datenschutz-Grundverordnung (DSGVO) unmittelbar in allen EU-Mitgliedstaaten?

1. Seit dem 25. Mai 2018
2. Seit dem 1. Januar 2016
3. Seit dem 25. Mai 2016
4. Seit dem 1. Januar 2020

Die DSGVO (Verordnung (EU) 2016/679) gilt seit ihrem Geltungsbeginn am 25. Mai 2018 unmittelbar in allen Mitgliedstaaten. (Art. 99 Abs. 2 DSGVO)

3. Ein Sicherheitsmitarbeiter notiert im Wachbuch Vorname, Nachname und Kfz-Kennzeichen eines Besuchers. Wie sind diese Angaben datenschutzrechtlich einzuordnen?

1. Es handelt sich um personenbezogene Daten, da die Person identifizierbar ist
2. Es sind keine personenbezogenen Daten, weil sie handschriftlich erfasst wurden
3. Es sind keine personenbezogenen Daten, da ein Kennzeichen kein Name ist
4. Es sind nur dann personenbezogene Daten, wenn der Besucher zustimmt

Name und Kfz-Kennzeichen lassen eine natürliche Person identifizieren und sind daher personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO.

4. Wer ist nach der DSGVO der 'Verantwortliche' für eine Datenverarbeitung?

1. Die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet
2. Jeder Mitarbeiter, der Daten am Bildschirm ansieht
3. Ausschließlich die zuständige Aufsichtsbehörde
4. Nur die betroffene Person selbst

Nach Art. 4 Nr. 7 DSGVO ist Verantwortlicher, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

5. Ein Unternehmen beauftragt einen externen Sicherheitsdienstleister, der personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Unternehmens verarbeitet. Welche Rolle nimmt der Sicherheitsdienstleister dabei ein?

1. Auftragsverarbeiter
2. Verantwortlicher
3. Aufsichtsbehörde
4. Betroffene Person

Nach Art. 4 Nr. 8 DSGVO ist Auftragsverarbeiter, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, was typisch für externe Sicherheitsdienstleister ist.

6. Auf welche Rechtsgrundlage stützt sich die Datenverarbeitung im Sicherheitsgewerbe (z. B. Videoüberwachung) regelmäßig, wenn keine Einwilligung vorliegt?

1. Berechtigtes Interesse des Verantwortlichen oder eines Dritten
2. Ausschließlich die ausdrückliche Einwilligung jeder erfassten Person
3. Eine Genehmigung des Betriebsrats
4. Die persönliche Entscheidung des einzelnen Wachmanns

Nach Art. 6 Abs. 1 lit. f DSGVO stützt sich die Verarbeitung im Sicherheitsgewerbe regelmäßig auf das berechtigte Interesse, sofern nicht überwiegende Interessen der Betroffenen entgegenstehen.

7. Welche Bedingung muss erfüllt sein, damit eine Verarbeitung personenbezogener Daten überhaupt rechtmäßig ist?

1. Es muss mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Rechtsgrundlagen vorliegen
2. Die Daten müssen mindestens fünf Jahre alt sein
3. Die Verarbeitung muss vom Datenschutzbeauftragten persönlich durchgeführt werden
4. Die betroffene Person muss bereits eine Straftat begangen haben

Nach Art. 6 Abs. 1 DSGVO ist eine Verarbeitung nur rechtmäßig, wenn mindestens eine Rechtsgrundlage (z. B. Einwilligung, Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse) erfüllt ist.

8. Welche der folgenden Aufzählungen nennt ausschließlich Grundsätze für die Verarbeitung personenbezogener Daten nach der DSGVO?

1. Zweckbindung, Datenminimierung, Speicherbegrenzung
2. Gewinnmaximierung, Beweissicherung, Werbung
3. Mitarbeiterkontrolle, Umsatzsteigerung, Archivierung
4. Geheimhaltung gegenüber der Aufsichtsbehörde, Datenvermehrung, Vorratsspeicherung

Art. 5 Abs. 1 DSGVO nennt u. a. Zweckbindung, Datenminimierung und Speicherbegrenzung als Verarbeitungsgrundsätze.

9. Eine Videoanlage soll nur dem Schutz des Eingangsbereichs dienen, zeichnet jedoch dauerhaft auch den angrenzenden öffentlichen Gehweg in voller Auflösung mit auf. Gegen welchen Datenschutzgrundsatz verstößt dies in erster Linie?

1. Gegen die Grundsätze der Datenminimierung und Zweckbindung
2. Gegen die Meldepflicht von Datenpannen
3. Gegen das Recht auf Auskunft der Betroffenen
4. Gegen die Pflicht zur Bestellung eines Datenschutzbeauftragten

Die Erfassung über den festgelegten Zweck hinaus verstößt gegen Zweckbindung und Datenminimierung nach Art. 5 Abs. 1 DSGVO.

10. Welches Recht steht einer betroffenen Person zu, um zu erfahren, ob und welche sie betreffenden Daten verarbeitet werden?

1. Das Recht auf Auskunft
2. Das Recht auf Videoüberwachung
3. Das Recht auf Bestellung eines Wachmanns
4. Das Recht auf Umsatzbeteiligung

Nach Art. 15 DSGVO hat die betroffene Person das Recht auf Auskunft über die Verarbeitung ihrer Daten, einschließlich Zwecken, Empfängern und Speicherdauer.

11. Was muss bei der Videoüberwachung öffentlich zugänglicher Räume durch ein Hinweisschild kenntlich gemacht werden?

1. Der Umstand der Beobachtung sowie Name und Kontaktdaten des Verantwortlichen
2. Die Namen aller eingesetzten Wachleute
3. Der Kaufpreis der Videoanlage
4. Die genaue Position jeder einzelnen Kamera im Grundriss

Nach § 4 Abs. 2 BDSG sind der Umstand der Beobachtung sowie Name und Kontaktdaten des Verantwortlichen zum frühestmöglichen Zeitpunkt erkennbar zu machen. (§ 4 Abs. 2 BDSG (2018))

12. Unter welcher Voraussetzung ist die Videoüberwachung öffentlich zugänglicher Räume nach dem BDSG grundsätzlich zulässig?

1. Wenn sie für konkret festgelegte Zwecke erforderlich ist und keine überwiegenden schutzwürdigen Interessen entgegenstehen
2. Immer und ohne jede Einschränkung
3. Nur an gesetzlichen Feiertagen
4. Nur wenn die Polizei sie ausdrücklich anordnet

Nach § 4 Abs. 1 BDSG ist die Videoüberwachung zulässig, soweit sie u. a. zur Wahrnehmung des Hausrechts oder berechtigter Interessen für konkret festgelegte Zwecke erforderlich ist und keine überwiegenden schutzwürdigen Interessen entgegenstehen. (§ 4 Abs. 1 BDSG (2018))

13. Ein Sicherheitsdienst installiert eine Videokamera am Kundeneingang eines öffentlich zugänglichen Einkaufszentrums, bringt aber keinerlei Hinweisschild an. Wie ist dies zu bewerten?

1. Unzulässig, weil die Kenntlichmachung der Beobachtung fehlt
2. Zulässig, weil eine Kenntlichmachung nur in Privaträumen nötig ist
3. Zulässig, weil ein Hinweisschild nur bei Tonaufnahmen erforderlich ist
4. Unzulässig, weil grundsätzlich jede Videoüberwachung verboten ist

§ 4 Abs. 2 BDSG verlangt, dass der Umstand der Beobachtung und der Verantwortliche zum frühestmöglichen Zeitpunkt erkennbar gemacht werden; das fehlende Schild macht die Überwachung unzulässig. (§ 4 Abs. 2 BDSG (2018))

14. Ein Wachmann möchte eine Videokamera zusätzlich auf eine danebenliegende öffentliche Bushaltestelle ausrichten, die nicht zum bewachten Gelände gehört. Was ist datenschutzrechtlich richtig?

1. Die Erfassung fremder, nicht zum Zweck gehörender Bereiche ist grundsätzlich unzulässig
2. Das ist erlaubt, weil mehr Überwachung immer mehr Sicherheit bedeutet
3. Das ist erlaubt, solange niemand das Bildmaterial ansieht
4. Das ist erlaubt, weil Bushaltestellen öffentlich sind und keinen Schutz genießen

Die Videoüberwachung ist nur für konkret festgelegte, erforderliche Zwecke zulässig; das Miterfassen fremder öffentlicher Flächen ist nicht erforderlich und damit unzulässig (§ 4 BDSG, Art. 5 DSGVO). (§ 4 Abs. 1 BDSG (2018))

15. Welche Interessen müssen bei der Videoüberwachung öffentlich zugänglicher Räume gegen das berechtigte Interesse des Verantwortlichen abgewogen werden?

1. Die schutzwürdigen Interessen und Grundrechte der betroffenen Personen
2. Die Wartungskosten der Kameraanlage
3. Die Wünsche der Geschäftsleitung nach mehr Aufnahmen
4. Die Interessen konkurrierender Sicherheitsfirmen

Nach § 4 Abs. 1 BDSG und Art. 6 Abs. 1 lit. f DSGVO dürfen keine überwiegenden schutzwürdigen Interessen bzw. Grundrechte der Betroffenen entgegenstehen. (§ 4 Abs. 1 BDSG (2018); Art. 6 Abs. 1 lit. f DSGVO)

16. Wann muss der Hinweis auf eine Videoüberwachung für die Betroffenen erkennbar sein?

1. Zum frühestmöglichen Zeitpunkt, also bevor der überwachte Bereich betreten wird
2. Erst nach Ablauf eines Monats
3. Nur auf ausdrückliche Nachfrage einer Person
4. Erst dann, wenn ein Vorfall aufgezeichnet wurde

§ 4 Abs. 2 BDSG verlangt die Kenntlichmachung der Beobachtung zum frühestmöglichen Zeitpunkt, damit Personen vor Betreten des Bereichs informiert sind. (§ 4 Abs. 2 BDSG (2018))

17. Eine Person bittet schriftlich um Auskunft, ob von ihr Videoaufnahmen gespeichert sind. Innerhalb welcher Frist muss der Verantwortliche grundsätzlich reagieren?

1. Unverzüglich, spätestens innerhalb eines Monats (bei Komplexität um zwei Monate verlängerbar)
2. Innerhalb von 72 Stunden ohne jede Verlängerungsmöglichkeit
3. Innerhalb von zwei Wochen ohne Ausnahme
4. Erst nach Ablauf von sechs Monaten

Nach Art. 12 Abs. 3 DSGVO ist dem Antrag unverzüglich, spätestens binnen eines Monats nachzukommen; die Frist kann bei Komplexität um zwei Monate verlängert werden.

18. Welche Informationspflicht trifft den Verantwortlichen, wenn er personenbezogene Daten direkt bei der betroffenen Person erhebt?

1. Er muss zum Zeitpunkt der Erhebung u. a. über Identität, Zwecke und Rechtsgrundlage informieren
2. Er muss die Daten erst nach einem Jahr offenlegen
3. Er muss überhaupt nicht informieren, solange er die Daten nicht weitergibt
4. Er muss nur die Aufsichtsbehörde, nicht aber die Person informieren

Nach Art. 13 DSGVO muss der Verantwortliche bei Erhebung bei der betroffenen Person u. a. über Identität, Zwecke und Rechtsgrundlage der Verarbeitung informieren.

19. Ein Kunde verlangt vom Sicherheitsdienst, ihm sämtliche Videoaufnahmen anderer erfasster Personen zur Einsicht zu geben. Wie ist mit diesem Auskunftsverlangen umzugehen?

1. Das Auskunftsrecht bezieht sich nur auf eigene Daten der anfragenden Person, nicht auf Daten Dritter
2. Es müssen ihm alle Aufnahmen ungeschwärzt herausgegeben werden
3. Auskunft darf grundsätzlich nicht erteilt werden
4. Es dürfen nur Aufnahmen von Mitarbeitern, nicht von Kunden gezeigt werden

Das Auskunftsrecht aus Art. 15 DSGVO erstreckt sich auf die den Antragsteller selbst betreffenden Daten; Rechte und Freiheiten Dritter dürfen dadurch nicht beeinträchtigt werden.

20. Wie lange dürfen Videoaufnahmen eines öffentlich zugänglichen Bereichs gespeichert werden?

1. Nur so lange, wie es für den festgelegten Zweck erforderlich ist (Speicherbegrenzung)
2. Unbegrenzt, da Bilddaten nie gelöscht werden müssen
3. Mindestens zehn Jahre in jedem Fall
4. Genau 72 Stunden, danach ist Löschung gesetzlich verboten

Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 DSGVO) dürfen Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist.

21. Wie hoch ist die höchste Bußgeldstufe bei schweren Verstößen gegen die DSGVO?

1. Bis zu 20 Mio. EUR oder bis zu 4 % des weltweiten Jahresumsatzes
2. Höchstens 5.000 EUR pro Verstoß
3. Bis zu 1 Mio. EUR, jedoch nie umsatzabhängig
4. Höchstens 50.000 EUR unabhängig vom Verstoß

Nach Art. 83 Abs. 5 DSGVO beträgt die höchste Bußgeldstufe bis zu 20 Mio. EUR oder bis zu 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

22. Wie hoch ist die niedrigere Bußgeldstufe der DSGVO?

1. Bis zu 10 Mio. EUR oder bis zu 2 % des weltweiten Jahresumsatzes
2. Bis zu 20 Mio. EUR oder bis zu 4 % des weltweiten Jahresumsatzes
3. Höchstens 500 EUR pro Fall
4. Bis zu 100 Mio. EUR ohne Umsatzbezug

Nach Art. 83 Abs. 4 DSGVO beträgt die niedrigere Bußgeldstufe bis zu 10 Mio. EUR oder bis zu 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

23. Innerhalb welcher Frist ist eine Verletzung des Schutzes personenbezogener Daten (Datenpanne) grundsätzlich der Aufsichtsbehörde zu melden?

1. Möglichst binnen 72 Stunden, nachdem sie bekannt wurde
2. Innerhalb von 30 Tagen
3. Innerhalb von sechs Monaten
4. Eine Meldung ist nie erforderlich

Nach Art. 33 Abs. 1 DSGVO ist eine Datenpanne unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden.

24. Einem Sicherheitsdienst wird ein USB-Stick mit unverschlüsselten Videodaten gestohlen. Was ist datenschutzrechtlich der richtige erste Schritt des Verantwortlichen?

1. Die zuständige Aufsichtsbehörde möglichst binnen 72 Stunden über die Datenpanne informieren
2. Den Vorfall geheim halten, um Bußgelder zu vermeiden
3. Erst nach sechs Monaten reagieren
4. Ausschließlich die Polizei informieren, nie die Aufsichtsbehörde

Der Diebstahl unverschlüsselter personenbezogener Daten ist eine meldepflichtige Datenpanne, die nach Art. 33 Abs. 1 DSGVO möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden ist.

25. Ab welcher Anzahl ständig mit automatisierter Datenverarbeitung beschäftigter Personen muss ein nicht-öffentliches Unternehmen in Deutschland einen Datenschutzbeauftragten benennen?

1. Ab mindestens 20 Personen
2. Ab mindestens 5 Personen
3. Ab mindestens 100 Personen
4. Bereits ab 1 Person in jedem Fall

Nach § 38 Abs. 1 Satz 1 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. (§ 38 Abs. 1 Satz 1 BDSG (2018))

26. Ein Sicherheitsunternehmen mit 25 ständig mit Videodaten beschäftigten Mitarbeitern hat keinen Datenschutzbeauftragten bestellt. Wie ist diese Situation zu bewerten?

1. Es liegt ein Verstoß vor, da bei mindestens 20 solchen Personen ein Datenschutzbeauftragter benannt werden muss
2. Das ist zulässig, weil Datenschutzbeauftragte stets freiwillig sind
3. Das ist zulässig, weil erst ab 100 Mitarbeitern eine Pflicht besteht
4. Das ist zulässig, weil Videodaten keine personenbezogenen Daten sind

Bei mindestens 20 ständig mit automatisierter Verarbeitung beschäftigten Personen besteht nach § 38 Abs. 1 Satz 1 BDSG die Pflicht zur Benennung; das Unternehmen verstößt mit 25 Personen ohne Benennung dagegen. (§ 38 Abs. 1 Satz 1 BDSG (2018))

27. Nach welchem Prinzip wird bei den DSGVO-Bußgeldobergrenzen zwischen dem festen Eurobetrag und dem prozentualen Umsatzanteil entschieden?

1. Es gilt der jeweils höhere der beiden Beträge
2. Es gilt stets der niedrigere der beiden Beträge
3. Es gilt immer nur der feste Eurobetrag
4. Es gilt der Durchschnitt aus beiden Beträgen

Sowohl Art. 83 Abs. 4 als auch Abs. 5 DSGVO bestimmen, dass der jeweils höhere Betrag (fester Eurobetrag oder Prozentsatz des Jahresumsatzes) maßgeblich ist. (Art. 83 Abs. 4 und Abs. 5 DSGVO)

28. Welche Art von Sanktion sieht die DSGVO bei Verstößen ausdrücklich vor?

1. Geldbußen durch die Aufsichtsbehörde
2. Den sofortigen Entzug der Staatsangehörigkeit
3. Eine automatische Freiheitsstrafe von zehn Jahren
4. Ausschließlich eine mündliche Verwarnung ohne weitere Folgen

Nach Art. 83 DSGVO können Verstöße mit Geldbußen geahndet werden, deren Höhe sich nach der Schwere des Verstoßes richtet.

29. Seit welchem Datum gilt die Datenschutz-Grundverordnung (DSGVO) unmittelbar in allen EU-Mitgliedstaaten?

1. 25. Mai 2018
2. 1. Januar 2020
3. 6. April 2017
4. 25. Mai 2016

Die DSGVO (Verordnung (EU) 2016/679) gilt nach Art. 99 Abs. 2 unmittelbar seit dem 25. Mai 2018. (Art. 99 Abs. 2 DSGVO)

30. Was versteht die DSGVO unter 'personenbezogenen Daten'?

1. Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen
2. Ausschließlich Name, Anschrift und Geburtsdatum einer Person
3. Nur Daten, die in einer behördlichen Datei gespeichert sind
4. Daten von Unternehmen und juristischen Personen

Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

31. Welcher der folgenden Grundsätze gehört NICHT zu den Grundsätzen der Datenverarbeitung nach Art. 5 Abs. 1 DSGVO?

1. Gewinnmaximierung
2. Zweckbindung
3. Datenminimierung
4. Speicherbegrenzung

Art. 5 Abs. 1 DSGVO nennt u. a. Zweckbindung, Datenminimierung und Speicherbegrenzung; 'Gewinnmaximierung' ist kein datenschutzrechtlicher Grundsatz.

32. Der Grundsatz der 'Datenminimierung' nach Art. 5 DSGVO bedeutet, dass personenbezogene Daten ...

1. dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein müssen
2. grundsätzlich verschlüsselt gespeichert werden müssen
3. möglichst lange aufbewahrt werden sollten
4. nur von einer einzigen Person verarbeitet werden dürfen

Datenminimierung verlangt, dass die Verarbeitung auf das für den Zweck notwendige Maß beschränkt wird. (Art. 5 Abs. 1 lit. c DSGVO)

33. Was besagt der Grundsatz der 'Zweckbindung' nach Art. 5 DSGVO?

1. Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in unvereinbarer Weise weiterverarbeitet werden
2. Daten müssen nach Erreichen des Zwecks sofort gelöscht werden
3. Daten dürfen nur zu einem einzigen Zweck im Unternehmen genutzt werden
4. Daten dürfen nur mit Einwilligung des Betriebsrats verarbeitet werden

Die Zweckbindung verlangt, dass Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in damit unvereinbarer Weise weiterverarbeitet werden. (Art. 5 Abs. 1 lit. b DSGVO)

34. Ein Sicherheitsunternehmen verarbeitet im Auftrag eines Kunden dessen Videodaten nach dessen Weisung. Welche Rolle nimmt das Sicherheitsunternehmen datenschutzrechtlich ein?

1. Auftragsverarbeiter
2. Verantwortlicher
3. Aufsichtsbehörde
4. Datenschutzbeauftragter

Wer personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet, ist nach Art. 4 Nr. 8 DSGVO Auftragsverarbeiter.

35. Eine Verarbeitung personenbezogener Daten ist nach Art. 6 Abs. 1 DSGVO nur rechtmäßig, wenn ...

1. mindestens eine der dort genannten Rechtsgrundlagen erfüllt ist
2. sie ausschließlich auf einer schriftlichen Einwilligung beruht
3. der Datenschutzbeauftragte sie zuvor schriftlich genehmigt hat
4. sie der Aufsichtsbehörde vorab gemeldet wurde

Art. 6 Abs. 1 DSGVO verlangt für jede Verarbeitung mindestens eine Rechtsgrundlage (z. B. Einwilligung, Vertrag, rechtliche Verpflichtung, berechtigtes Interesse).