34a Prüfungsfragen 2026 kostenlos üben

Die Videoüberwachung in öffentlich zugänglichen Räumen ist in Deutschland streng durch den § 4 Bundesdatenschutzgesetz (BDSG neu) geregelt. Grundsätzlich ist eine Überwachung nur zulässig, wenn sie einem legitimen Zweck dient (z. B. Schutz von Eigentum oder Wahrnehmung des Hausrechts gemäß § 903 BGB) und wenn die Interessen des Betreibers schwerer wiegen als die Persönlichkeitsrechte der gefilmten Personen.

In diesem Fall greift jedoch ein absolutes Verbot: Es gibt sogenannte Intimbereiche oder Tabu-Zonen. Dazu gehören Toiletten, Umkleidekabinen, Schlafräume und eben auch deren direkte Vorräume. In diesen Bereichen überwiegt das allgemeine Persönlichkeitsrecht (geschützt durch Art. 1 und 2 Grundgesetz - GG) und die Intimsphäre der Menschen absolut. Eine Abwägung findet hier kaum noch statt, da der Eingriff in die Privatsphäre als zu massiv erachtet wird. Selbst wenn dort Diebstähle passieren könnten, rechtfertigt dies keine Kamera.

Warum sind die anderen Antworten falsch?

- A: Diebstahlprävention ist zwar ein Grund für Kameras, darf aber niemals die Intimsphäre verletzen. Es ist eben nicht „überall“ erlaubt.

- C: Ein Hinweisschild ist zwar nach § 4 Abs. 2 BDSG Pflicht, macht aber eine an sich unzulässige Überwachung (in der Toilette) nicht rechtmäßig.

- D: Auch Kamera-Attrappen können unzulässig sein, wenn sie einen sogenannten „Überwachungsdruck“ erzeugen, aber die Frage zielt auf die generelle Zulässigkeit der Überwachung ab.

- E: Die Uhrzeit spielt keine Rolle; das Schutzbedürfnis der Intimsphäre gilt rund um die Uhr.

- F: Sicherheitsmitarbeiter müssen das Gesetz kennen und umsetzen, sie stehen aber nicht über dem Datenschutzrecht.

Die Videoüberwachung (optisch-elektronische Überwachung) stellt einen erheblichen Eingriff in das Recht auf informationelle Selbstbestimmung dar, welches aus dem Allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 Grundgesetz - GG) abgeleitet wird. Daher ist der Umgang mit den aufgezeichneten Daten streng reglementiert.

Gemäß § 4 BDSG (Bundesdatenschutzgesetz) ist die Videoüberwachung öffentlich zugänglicher Räume nur zulässig, wenn sie einem konkreten Zweck dient (z. B. Schutz von Eigentum oder Wahrnehmung des Hausrechts). Sobald dieser Zweck erreicht ist oder nicht mehr erreicht werden kann, müssen die Daten gelöscht werden. Die Rechtsprechung und die Datenschutzbehörden haben hierfür eine Regelfrist von 48 bis 72 Stunden (2 bis 3 Tage) festgelegt. Dieser Zeitraum wird als angemessen erachtet, um beispielsweise nach einem Wochenende einen Einbruch oder Vandalismus festzustellen und die entsprechenden Sequenzen zu sichern.

Warum sind die anderen Antworten falsch?

- A (Mindestens ein Jahr): Dies würde gegen den Grundsatz der Datenminimierung und Speicherbegrenzung verstoßen. Eine so lange Speicherung ohne konkreten Anlass ist rechtswidrig.

- B (Nur wenige Sekunden): Eine Speicherung von nur wenigen Sekunden wäre zwecklos, da Sicherheitsmitarbeiter oder Eigentümer keine Zeit hätten, Vorfälle zu sichten oder zu sichern.

- C (Unbegrenzt): Eine zeitlich unbegrenzte Speicherung ist im deutschen Datenschutzrecht absolut unzulässig.

- D & F (Keine Vorgaben/Fristen): Das Gesetz schreibt zwar keine sekundengenaue Frist vor, verlangt aber die „unverzügliche“ Löschung, sobald die Daten nicht mehr erforderlich sind. Die 48-72 Stunden haben sich als rechtssicherer Standard etabliert.

Zusammenfassend gilt: Eine Speicherung „auf Vorrat“ ist verboten. Nur wenn ein konkreter Vorfall (z. B. eine Straftat nach dem StGB) dokumentiert wurde, dürfen diese spezifischen Aufnahmen als Beweismittel länger aufbewahrt werden, bis sie den Strafverfolgungsbehörden (Polizei/Staatsanwaltschaft gemäß StPO) übergeben wurden.

In der Datenschutz-Grundverordnung (DSGVO) gibt es strikte Regeln für die Speicherung von Daten. Die Aussage Ihres Chefs verstößt gegen den Grundsatz der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e DSGVO. Dieser besagt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Sobald dieser Zweck erfüllt ist und keine gesetzlichen Aufbewahrungsfristen (z. B. aus dem Steuerrecht) mehr bestehen, müssen die Daten gelöscht werden. Ergänzend zu den EU-Regeln konkretisiert das deutsche Recht in § 35 BDSG (Bundesdatenschutzgesetz) die Pflichten zur Löschung von Daten. Auch der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verbietet das unnötige Horten von Daten.

Warum die anderen Antworten nicht korrekt sind:

- Antwort B ist falsch, da jede Datenverarbeitung eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO benötigt; ein unbegrenztes Speichern ohne Zweck ist unzulässig.

- Antwort C ist falsch, da der sachliche Anwendungsbereich nach Art. 2 Abs. 1 DSGVO sowohl die automatisierte Verarbeitung (Datenbanken) als auch nicht-automatisierte Daten in Dateisystemen (Papierakten) umfasst.

- Antwort D ist falsch, da Verantwortliche gemäß Art. 17 Abs. 1 lit. a DSGVO proaktiv zur Löschung verpflichtet sind, wenn die Daten für die Zwecke nicht mehr notwendig sind; ein Antrag des Betroffenen ist dafür nicht zwingend erforderlich.

- Antwort E ist falsch, da die Weitergabe oder der Verkauf von Daten ohne entsprechende Rechtsgrundlage gegen die Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) verstößt.

- Antwort F ist falsch, da eine Speicherdauer von 100 Jahren bei Besucherdaten den Grundsatz der Verhältnismäßigkeit und die Speicherbegrenzung massiv verletzt.

Im Datenschutzrecht ist genau geregelt, was passiert, wenn personenbezogene Daten verloren gehen, gestohlen werden oder unbefugte Dritte Zugriff darauf erhalten. Dies nennt man eine Datenschutzverletzung (oder umgangssprachlich Datenpanne). Wenn ein solches Ereignis eintritt, sieht die Datenschutz-Grundverordnung (DSGVO) klare Meldewege vor.

1. Meldung an die Aufsichtsbehörde (Art. 33 DSGVO): Sobald eine Datenpanne bekannt wird, muss der Verantwortliche (in der Regel Ihr Arbeitgeber) dies der zuständigen Aufsichtsbehörde (dem Landesdatenschutzbeauftragten) melden. Dies muss unverzüglich geschehen, spätestens jedoch innerhalb von 72 Stunden. Eine Ausnahme besteht nur dann, wenn die Panne voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der betroffenen Personen führt (z. B. wenn die Daten auf einem verlorenen USB-Stick so stark verschlüsselt sind, dass niemand sie lesen kann).

2. Benachrichtigung der betroffenen Personen (Art. 34 DSGVO): Wenn die Datenpanne voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Personen zur Folge hat (z. B. bei Diebstahl von Kreditkartendaten, Gesundheitsdaten oder wenn durch ein verlorenes Wachbuch Einbruchsrisiken für Kunden entstehen), müssen auch die betroffenen Personen selbst informiert werden. Dies soll ihnen ermöglichen, selbst Schutzmaßnahmen zu ergreifen (z. B. Passwörter ändern oder Konten sperren).

Warum sind die anderen Antworten falsch?

- Die lokale Zeitung (B): Es gibt keine gesetzliche Pflicht, die Presse zu informieren. Dies würde oft eher den Ruf des Unternehmens schädigen, ohne den Betroffenen direkt zu helfen.

- Der Hausmeister (D): Er hat keine datenschutzrechtliche Funktion oder Entscheidungsbefugnis in diesem Prozess.

- Die Feuerwehr (E): Diese ist für die Gefahrenabwehr bei Bränden oder Unfällen zuständig, nicht für digitale oder dokumentenbasierte Datenpannen.

- Der Papst (F): Dies ist eine rein private oder religiöse Instanz ohne jede juristische Relevanz im deutschen Datenschutzrecht.

Als Sicherheitsmitarbeiter gemäß § 34a GewO ist es Ihre Pflicht, solche Vorfälle sofort Ihrem Vorgesetzten zu melden, damit dieser die gesetzlichen Fristen der DSGVO einhalten kann.

Im Datenschutzrecht wird strikt zwischen gewöhnlichen personenbezogenen Daten und besonders sensiblen Daten unterschieden. Biometrische Daten gehören gemäß Art. 9 Abs. 1 DSGVO (Datenschutz-Grundverordnung) zu den „besonderen Kategorien personenbezogener Daten“, da sie tief in die Privatsphäre eingreifen.

Die gesetzliche Definition findet sich in Art. 4 Nr. 14 DSGVO. Demnach sind biometrische Daten Informationen, die mit speziellen technischen Verfahren aus den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person gewonnen wurden und die eindeutige Identifizierung dieser Person ermöglichen. Ein Irisscan oder ein Fingerabdruck (Antwort C) sind klassische Beispiele hierfür, da sie unverwechselbare körperliche Merkmale nutzen, um eine Person zweifelsfrei zu identifizieren.

Warum sind die anderen Antworten falsch?

- Ein Passwort (A) und eine PIN-Nummer (D): Diese Identifikationsmittel basieren auf „Wissen“. Sie sind nicht untrennbar mit dem Körper verbunden und können an Dritte weitergegeben werden. Sie fallen daher nicht unter die Definition von Art. 4 Nr. 14 DSGVO.

- Ein RFID-Chip (B): Dies ist ein Identifikationsmittel auf Basis von „Besitz“. Der Chip ist ein externer Gegenstand und kein körperliches Merkmal.

- Eine Unterschrift auf Papier (E): Eine einfache Unterschrift auf Papier gilt meist nicht als biometrisches Datum, da hier kein spezielles technisches Verfahren zur Analyse von Verhaltensmerkmalen (wie Druck oder Schreibgeschwindigkeit) angewendet wird. Es handelt sich lediglich um ein statisches Schriftbild.

- Ein Barcode (F): Ein Barcode ist lediglich ein optischer Datenträger für Informationen (z. B. eine Kundennummer) und besitzt keinen Bezug zu körperlichen Merkmalen.

Da die Verarbeitung dieser Daten nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt ist, benötigt ein Sicherheitsunternehmen für deren Nutzung (z. B. Biometrie-Scanner am Werkstor) fast immer eine ausdrückliche schriftliche Einwilligung der betroffenen Person gemäß Art. 9 Abs. 2 lit. a DSGVO oder eine spezifische gesetzliche Grundlage wie § 26 Abs. 3 BDSG im Beschäftigtenverhältnis.

Im Datenschutzrecht gibt es klare gesetzliche Vorgaben, wann ein Unternehmen einen Datenschutzbeauftragten (DSB) offiziell benennen muss. Dies ist kein freiwilliges Angebot, sondern eine gesetzliche Pflicht, deren Missachtung hohe Bußgelder nach sich ziehen kann.

Die rechtliche Grundlage hierfür findet sich in Art. 37 DSGVO (Datenschutz-Grundverordnung) in Verbindung mit § 38 BDSG (Bundesdatenschutzgesetz).

Ein Datenschutzbeauftragter ist in folgenden Fällen zwingend erforderlich:

1. Die 20-Personen-Regel (§ 38 Abs. 1 BDSG): Sobald in einem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dabei ist es unerheblich, ob es sich um Vollzeitkräfte, Teilzeitkräfte oder Auszubildende handelt, solange sie Zugriff auf die Daten haben.

2. Besondere Risiken / DSFA (Art. 35 & 37 DSGVO): Unabhängig von der Mitarbeiterzahl muss ein DSB benannt werden, wenn Verarbeitungen vorgenommen werden, die eine Datenschutz-Folgenabschätzung (DSFA) erfordern. Das ist meist dann der Fall, wenn besonders sensible Daten (z. B. Gesundheitsdaten, biometrische Daten zur Identifizierung oder politische Meinungen) in großem Umfang verarbeitet werden oder eine systematische Überwachung (z. B. Videoüberwachung im öffentlichen Raum) stattfindet.

Warum sind die anderen Antworten falsch?

- Antwort A (Immer): Das Gesetz sieht Schwellenwerte vor. Kleinstbetriebe, die nur wenige Daten verarbeiten, sind von der Benennungspflicht befreit, um den bürokratischen Aufwand gering zu halten.

- Antwort C (Wenn der Chef es will): Ein Chef kann zwar freiwillig jemanden benennen, aber die Frage zielt auf die *gesetzliche Pflicht* (zwingend) ab.

- Antwort E (Nur bei staatlichen Stellen): Zwar müssen staatliche Stellen fast immer einen DSB haben, aber die Pflicht gilt eben auch für private Sicherheitsunternehmen unter den oben genannten Bedingungen.

- Antwort F (Niemals): Dies widerspricht direkt der DSGVO und dem BDSG.

Der Datenschutzbeauftragte überwacht die Einhaltung der Regeln, berät die Geschäftsführung und ist Ansprechpartner für Betroffene, die ihre Rechte (z. B. Auskunft nach Art. 15 DSGVO oder Löschung nach Art. 17 DSGVO) geltend machen wollen.

Im Datenschutzrecht gilt der strenge Grundsatz des Verbots mit Erlaubnisvorbehalt. Das bedeutet, dass die Verarbeitung personenbezogener Daten (wie Namen, Fotos oder Videoaufnahmen) grundsätzlich verboten ist, es sei denn, es liegt eine ausdrückliche gesetzliche Erlaubnis vor. Die wichtigste Rechtsgrundlage hierfür ist die Datenschutz-Grundverordnung (DSGVO), insbesondere Art. 6 Abs. 1 DSGVO.

Das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) ist einer der wichtigsten „Erlaubnis-Joker“ für Sicherheitsmitarbeiter im Bewachungsgewerbe gemäß § 34a GewO. Es liegt vor, wenn ein rechtliches, wirtschaftliches oder ideelles Interesse besteht, das bei einer sogenannten Interessenabwägung schwerer wiegt als die Grundrechte und Grundfreiheiten der betroffenen Person.

Ein klassisches Beispiel aus dem Sicherheitsalltag ist der Einsatz eines Ladendetektives oder die Videoüberwachung in einem Kaufhaus. Hier stehen sich zwei Interessen gegenüber:

1. Das berechtigte Interesse des Eigentümers: Schutz des Eigentums (§ 903 BGB) und Schutz vor Diebstahl (§ 242 StGB).

2. Das Interesse des Kunden: Schutz der Privatsphäre und das Recht auf informationelle Selbstbestimmung (abgeleitet aus Art. 1 und Art. 2 des Grundgesetzes (GG)).

In diesem Fall überwiegt in der Regel das Interesse des Eigentümers am Schutz seiner Waren, solange die Überwachung verhältnismäßig ist (z. B. keine Kameras in Umkleidekabinen).

Warum sind die anderen Antworten falsch?

- Antwort A: Ist falsch, da das berechtigte Interesse explizit in Art. 6 DSGVO als Rechtsgrundlage verankert ist.

- Antwort C: Es ist keineswegs unklar; es gibt klare juristische Kriterien und eine umfangreiche Rechtsprechung dazu, wie eine Interessenabwägung durchzuführen ist.

- Antwort D, E und F: Diese Antworten sind rechtlich irrelevant. „Alles, was ich will“, „Hobbys“ oder „Neugierde“ stellen keine schutzwürdigen rechtlichen oder wirtschaftlichen Interessen dar, die einen Eingriff in die Grundrechte anderer Personen rechtfertigen könnten. Datenschutz ist ein hohes Gut, das nicht durch bloße Willkür oder persönliche Vorlieben ausgehebelt werden darf.

Das Prinzip der „Richtigkeit“ ist einer der zentralen Grundpfeiler der europäischen Datenschutz-Grundverordnung (DSGVO). Gemäß Art. 5 Abs. 1 lit. d DSGVO müssen personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Das bedeutet für Sie im Sicherheitsgewerbe (z. B. bei der Arbeit nach § 34a GewO), dass Sie nicht einfach irgendwelche Daten speichern dürfen, sondern sicherstellen müssen, dass diese auch der Wahrheit entsprechen. Wenn Sie beispielsweise eine Besucherliste führen oder einen Vorfallbericht schreiben, müssen die Namen, Adressen und Zeitangaben korrekt sein. Stellt sich heraus, dass Daten falsch sind, müssen „angemessene Maßnahmen“ getroffen werden, damit diese Daten unverzüglich gelöscht oder berichtigt werden. Dies dient dem Schutz der betroffenen Person, damit über sie keine falschen Informationen verbreitet oder zur Grundlage von Entscheidungen gemacht werden.

Warum sind die anderen Antworten falsch?

- Antwort B: Alte Daten sind eben nicht einfach „okay“, wenn sie nicht mehr stimmen. Wenn sich eine Adresse geändert hat, ist die alte Information faktisch falsch und muss aktualisiert werden. Das Beibehalten falscher Daten verstößt gegen die Pflicht zur Datenpflege.

- Antwort C: Diese Aussage ist rechtlich falsch. Die „Richtigkeit“ ist explizit in Art. 5 DSGVO als einer der sechs Grundsätze für die Verarbeitung personenbezogener Daten festgeschrieben.

- Antwort D: Das Gegenteil ist der Fall. Der Verantwortliche (z. B. Ihr Arbeitgeber) trägt die Rechenschaftspflicht und muss durch geeignete Kontrollen sicherstellen, dass die Daten korrekt bleiben.

- Antwort E & F: Die DSGVO ist hier sehr eindeutig und streng. Da Verstöße gegen die Grundsätze des Art. 5 DSGVO mit den höchsten Bußgeldkategorien sanktioniert werden können, ist das Prinzip weder unklar noch unwichtig. Es ist für die Rechtmäßigkeit jeder Datenverarbeitung essenziell.

In dieser Frage geht es um die Videoüberwachung, die einen Sonderfall im Datenschutz darstellt. Da Videoaufnahmen von Menschen „personenbezogene Daten“ gemäß Art. 4 Nr. 1 DSGVO sind, muss ihre Verarbeitung gesetzlich geregelt sein. Für Räume, die „öffentlich zugänglich“ sind, gilt dabei speziell § 4 BDSG (Bundesdatenschutzgesetz).

Ein Bereich gilt als öffentlich zugänglich, wenn er nach dem erkennbaren Willen des Berechtigten für einen unbestimmten Personenkreis (die Allgemeinheit) zur Nutzung offensteht. Dabei ist es unerheblich, ob ein Entgelt (Eintritt) verlangt wird oder nicht. Entscheidend ist, dass der Zugang nicht auf einen individuell vorab feststehenden Personenkreis beschränkt ist.

Warum sind die Antworten A und D richtig?

• A (Schalterhalle eines Bahnhofs): Bahnhöfe sind Orte des öffentlichen Personenverkehrs. Die Hallen sind darauf ausgelegt, dass jeder sie ohne individuelle Einlasskontrolle betreten kann.
• D (Ausstellungsräume eines Museums): Auch wenn man Eintritt bezahlen muss, ist das Museum für die Allgemeinheit geöffnet. Jeder, der ein Ticket kauft, darf hinein; es findet keine persönliche Auswahl der Besucher statt.

Warum sind die anderen Antworten falsch?

• B (Umkleideräume für das Personal): Dies ist ein interner Bereich, der nur einem fest definierten Personenkreis (Mitarbeiter) zugänglich ist. Zudem handelt es sich um einen höchstpersönlichen Lebensbereich, in dem Videoüberwachung aufgrund des Schutzes der Persönlichkeitsrechte (Art. 1 und 2 Grundgesetz) fast immer unzulässig ist.
• C (Abgeschlossener Serverraum): Hier haben nur Administratoren oder befugtes Personal Zutritt. Da der Raum verschlossen und nicht für Kunden oder Passanten gedacht ist, ist er nicht öffentlich zugänglich.
• E (Private Wohnräume): Die Wohnung ist durch Art. 13 GG (Unverletzlichkeit der Wohnung) besonders geschützt. Sie ist der Inbegriff des privaten Bereichs und niemals öffentlich zugänglich im Sinne des § 4 BDSG.
• F (Privater Tresorraum einer Bank): Auch wenn Kunden Schließfächer haben, ist der Tresorbereich streng gesichert und nur nach Identitätsprüfung und in Begleitung zugänglich. Er ist nicht für den allgemeinen Publikumsverkehr geöffnet.