MemoCard lernen mit System

Ein IT-Dienstleister verarbeitet im Auftrag eines Unternehmens E-Mail-Daten und führt zugleich eigenständig eine Analyse zur Optimierung der eigenen Serverauslastung durch. Welche Aussagen sind zutreffend?

Sobald ein Dienstleister irgendeine eigene Verarbeitung vornimmt, kann er nicht mehr Auftragsverarbeiter sein
Auftragsverarbeiter sind nach Art. 28 Abs. 3 lit. c DSGVO sogar verpflichtet, eigene TOM zu treffen
Für die Analyse zur Serveroptimierung kann eine eigenständige, von der Auftragsverarbeitung getrennte Verantwortlichkeit des Dienstleisters bestehen
Die eigenständige Analyse zur Serveroptimierung führt zwingend zu einer gemeinsamen Verantwortlichkeit mit dem Auftraggeber
Die Durchführung eigener Sicherheitsmaßnahmen ist grundsätzlich mit der Rolle als Auftragsverarbeiter vereinbar

Welche Aussagen zu besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO treffen zu?

Die Verarbeitung ist stets zulässig, sofern ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO vorliegt
Ausnahmen vom Verarbeitungsverbot sind in Art. 9 Abs. 2 DSGVO abschließend geregelt
Im Beschäftigungsverhältnis wird die Freiwilligkeit einer Einwilligung in der Regel kritisch beurteilt
Biometrische Daten zählen nicht zu den besonderen Kategorien nach Art. 9 DSGVO
Gesundheitsdaten unterliegen einem grundsätzlichen Verarbeitungsverbot

Welche Aussagen zum Verhältnis von Art. 5 und Art. 6 DSGVO sind zutreffend?

Art. 6 DSGVO listet die Rechtsgrundlagen nur beispielhaft, weitere sind durch Auslegung möglich
Die Einwilligung ist sowohl ein Grundsatz nach Art. 5 als auch eine Rechtsgrundlage nach Art. 6 DSGVO
Art. 5 DSGVO enthält die Grundsätze der Verarbeitung, Art. 6 DSGVO die Rechtsgrundlagen
Eine Verarbeitung ohne Rechtsgrundlage nach Art. 6 DSGVO ist stets unzulässig, selbst wenn alle Grundsätze nach Art. 5 DSGVO eingehalten werden
Das Rechenschaftsprinzip nach Art. 5 Abs. 2 DSGVO verlangt die Nachweisbarkeit der Einhaltung der Grundsätze

Welche Aussagen zur Bestellung eines Datenschutzbeauftragten treffen zu?

Eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten kann ebenfalls eine Bestellpflicht auslösen
Die Bestellung eines Datenschutzbeauftragten ist ausschließlich für öffentliche Stellen vorgesehen
Nach Art. 37 DSGVO ist ein Datenschutzbeauftragter u. a. zu bestellen, wenn die Kerntätigkeit eine umfangreiche, systematische Überwachung von Personen erfordert
Der Datenschutzbeauftragte ist gemäß Art. 39 DSGVO für die Zusammenarbeit mit der Aufsichtsbehörde zuständig
§ 38 BDSG sieht eine Bestellpflicht vor, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind

Welche Aussage zum Anwendungsbereich der DSGVO trifft zu?

Die DSGVO verfolgt sowohl den Schutz natürlicher Personen als auch die Gewährleistung des freien Datenverkehrs
Unternehmen mit weniger als 50 Mitarbeitenden sind von der DSGVO vollständig ausgenommen
Die DSGVO gilt unmittelbar in den Mitgliedstaaten, ohne dass es einer nationalen Umsetzung bedarf
Die Verarbeitung personenbezogener Daten ist grundsätzlich erlaubt, sofern keine ausdrückliche Untersagung besteht
Verantwortliche haben nach einer Datenübertragung an Dritte keine weiteren datenschutzrechtlichen Pflichten mehr

Ein Unternehmen legt bei der Auswahl von Sicherheitsmaßnahmen für seine Kundendatenbank lediglich die Sensibilität der gespeicherten Daten zugrunde. Welche Aussagen zu Art. 32 DSGVO sind zutreffend?

Die Angemessenheit der Maßnahmen richtet sich nach der Eintrittswahrscheinlichkeit und Schwere des Risikos für Betroffene
Organisatorische Maßnahmen sind gegenüber technischen Maßnahmen grundsätzlich nachrangig
Es ist stets der höchstmögliche Sicherheitsstandard zu implementieren, unabhängig vom Risiko
Der Stand der Technik und die Implementierungskosten sind bei der Maßnahmenwahl ebenfalls relevant
Neben der Datensensibilität sind auch Umfang, Umstände und Zweck der Verarbeitung zu berücksichtigen

Ein IT-Dienstleister betreibt für ein Unternehmen eine Kundenkommunikationsplattform. Das Unternehmen legt Zwecke und Datenkategorien fest, der Dienstleister entscheidet eigenständig über Monitoring-Tools und Backup-Zyklen und zieht zudem einen Unterauftragnehmer für das Hosting hinzu. Welche Aussagen treffen zu?

Der Dienstleister bleibt trotz eigenständiger technischer Umsetzungsentscheidungen Auftragsverarbeiter, solange er nicht über Zwecke oder wesentliche Mittel entscheidet
Entscheidend für die Abgrenzung ist, wer über Zwecke und wesentliche Mittel der Verarbeitung bestimmt
Da der Dienstleister über technische Aspekte mitentscheidet, ist er automatisch Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO
Die Entscheidung über Monitoring-Tools und Backup-Zyklen begründet für sich genommen bereits eine gemeinsame Verantwortlichkeit
Die Einbindung eines Unterauftragnehmers ist im Rahmen einer Auftragsverarbeitung grundsätzlich zulässig

Welche Aussagen zur Abgrenzung von Verantwortlichem und Auftragsverarbeiter nach Art. 4 Nr. 7 und Nr. 8 DSGVO treffen zu?

Der Auftragsverarbeiter handelt weisungsgebunden im Auftrag des Verantwortlichen
Der Verantwortliche entscheidet über die Zwecke und Mittel der Verarbeitung
Ein Auftragsverarbeitungsvertrag ist gesetzlich nicht erforderlich, wenn Vertrauen zwischen den Parteien besteht
Ein Auftragsverarbeiter entscheidet eigenständig über die Verarbeitungszwecke
Der Auftragsverarbeitungsvertrag muss u. a. Gegenstand, Dauer, Art und Zweck der Verarbeitung regeln

Ein Vertriebsmitarbeiter gibt auf telefonische Anfrage eines vermeintlichen Geschäftspartners Kundendaten weiter, ohne die Anfrage zu prüfen. Welche Aussagen sind zutreffend?

Es hätte zunächst geprüft werden müssen, ob eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt
Eine Weitergabe an Dritte ist immer dann zulässig, wenn sie einmalig und nicht kommerziell motiviert ist
Die Weitergabe stellt eine eigenständige Verarbeitung dar, die einer eigenen Rechtsgrundlage bedarf
Die betroffenen Kunden behalten ihre Datenschutzrechte auch nach einer solchen Weitergabe
Da es sich um einen Geschäftspartner handelt, ist die Weitergabe ohne weitere Prüfung zulässig

Welche drei Kategorien von Befugnissen stehen den Datenschutzaufsichtsbehörden nach Art. 58 DSGVO grundsätzlich zu?

Genehmigungsbefugnisse
Abhilfebefugnisse
Weisungsbefugnisse gegenüber anderen Behörden
Sanktionsbefugnisse gegenüber Gesetzgebungsorganen
Untersuchungsbefugnisse

Ein Unternehmen stellt fest, dass eine Datenbank mit Kundendaten unbefugt eingesehen wurde. Welche Aussagen zu den Meldepflichten nach Art. 33, 34 DSGVO sind zutreffend?

Eine Meldung an die Aufsichtsbehörde hat unverzüglich, möglichst binnen 72 Stunden, zu erfolgen
Eine Meldung an die Aufsichtsbehörde ist stets entbehrlich, wenn die Daten verschlüsselt gespeichert waren
Die Meldepflicht entfällt grundsätzlich, wenn weniger als 100 Personen betroffen sind
Bei hohem Risiko für die Betroffenen sind zusätzlich die betroffenen Personen selbst zu benachrichtigen
Besteht voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen, kann von einer Meldung abgesehen werden

Welche der folgenden Begriffe zählen zu den Grundsätzen der Verarbeitung nach Art. 5 Abs. 1 DSGVO?

Transparenz
Verhältnismäßigkeit im engeren Sinne
Speicherbegrenzung
Einwilligung
Richtigkeit

Flashcard Info

Datenschutz (DSGVO & BDSG)