EU-Datenschutz-Grundverordnung: Personenbezogene Daten, Rechtmäßigkeit der Verarbeitung (Art. 6 DSGVO), Betroffenenrechte, Auftragsverarbeitungsvertrag (AVV) und Datenschutz-Folgenabschätzung (DSFA).
📖 Fachtheorie & KMK-Prüfungswissen
1. Grundbegriffe der EU-DSGVO
Die Datenschutz-Grundverordnung (DSGVO) schützt das Grundrecht auf informationelle Selbstbestimmung natürlicher Personen:
- Personenbezogene Daten (Art. 4 Nr. 1): Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, E-Mail-Adresse, IP-Adresse, Standortdaten, Personalnummer).
- Besondere Kategorien (Art. 9): Extrem schutzwürdig! Gesundheitsdaten, genetische Daten, religiöse Überzeugungen, biometrische Daten. Verarbeitung grundsätzlich untersagt, außer bei ausdrücklicher gesetzlicher Erlaubnis oder Einwilligung.
2. Die Grundsätze der Datenverarbeitung (Art. 5 DSGVO)
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Es bedarf einer Rechtsgrundlage nach Art. 6 (Einwilligung, Vertragserfüllung, gesetzliche Pflicht, berechtigtes Interesse).
- Zweckbindung: Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden.
- Datenminimierung: Dem Zweck angemessen und auf das notwendige Maß beschränkt ("So viele Daten wie nötig, so wenige wie möglich").
- Richtigkeit: Daten müssen sachlich richtig und aktuell sein.
- Speicherbegrenzung: Daten müssen gelöscht werden, sobald der Verarbeitungszweck entfällt (Löschfristen / Löschkonzept).
- Integrität und Vertraulichkeit: Schutz vor unbefugter Verarbeitung, Verlust oder Zerstörung durch TOMs.
✍️ Authentische IHK-Prüfungsaufgaben mit Erwartungshorizont
DSGVO-Prüfung bei Cloud-Hosting & AVV
8 Punkte
Ein deutscher Online-Shop plant, seine Kundendatenbank zu einem US-amerikanischen Cloud-Anbieter auszulagern, der Server innerhalb und außerhalb der EU betreibt.
1. Erläutern Sie, warum mit dem Cloud-Anbieter zwingend ein Vertrag zur Auftragsverarbeitung (AVV nach Art. 28 DSGVO) abgeschlossen werden muss.
2. Nennen Sie zwei zwingende Mindestinhalte dieses AVVs.
3. Welche zusätzliche Anforderung stellt die DSGVO, wenn Daten auf Server außerhalb der EU/EWR (Drittlandtransfer) übertragen werden?
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. Notwendigkeit des AVV:
Der Cloud-Anbieter verarbeitet die personenbezogenen Kundendaten im Auftrag und auf Weisung des Shopbetreibers (Verantwortlicher). Ohne schriftlichen AVV nach Art. 28 DSGVO ist die Weitergabe der Daten an Dritte rechtswidrig und bußgeldbewehrt. (3 Pkt.)
2. Zwei Mindestinhalte des AVV:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien personenbezogener Daten.
- Verpflichtung des Auftragsverarbeiters, Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten und geeignete TOMs (Art. 32) zu gewährleisten. (2 Pkt.)
3. Anforderung für Drittlandtransfer:
Für die Datenübermittlung in ein Drittland (USA) muss ein Angemessenheitsbeschluss der EU-Kommission (z. B. EU-U.S. Data Privacy Framework) vorliegen oder es müssen geeignete Garantien wie Standardvertragsklauseln (SCC) vereinbart und eine Transfer-Folgenabschätzung (TIA) durchgeführt werden. (3 Pkt.)