34a Prüfungsfragen 2026 kostenlos üben

Wenn eine Person (der sogenannte Betroffene) wissen möchte, welche personenbezogenen Daten ein Unternehmen über sie gespeichert hat, macht sie von ihrem Recht auf Auskunft gemäß Art. 15 DSGVO (Datenschutz-Grundverordnung) Gebrauch. Dieses Recht ist eines der zentralen Instrumente der DSGVO, um Transparenz zu schaffen und dem Bürger die Kontrolle über seine eigenen Daten zu ermöglichen.

Was beinhaltet dieses Recht genau?

Nach Art. 15 DSGVO muss das Unternehmen dem Anfragenden nicht nur bestätigen, ob Daten verarbeitet werden, sondern auch detaillierte Informationen liefern über:

1. Die Verarbeitungszwecke (Warum speichern wir das?).

2. Die Kategorien der Daten (z. B. Name, Adresse, Geburtsdatum).

3. Die Empfänger, an die die Daten weitergegeben wurden.

4. Die geplante Speicherdauer.

5. Eine kostenlose Kopie der Daten.

Warum sind die anderen Antworten falsch?

- Antwort A (Recht auf Vergessenwerden / Art. 17 DSGVO): Hierbei geht es um die endgültige Löschung von Daten, nicht um die bloße Information darüber. Der Kunde im Beispiel möchte erst einmal nur wissen, *was* da ist.

- Antwort C (Recht auf Berichtigung / Art. 16 DSGVO): Dieses Recht greift erst, wenn Daten nachweislich falsch oder unvollständig sind und korrigiert werden müssen.

- Antwort D (Widerspruchsrecht / Art. 21 DSGVO): Dies erlaubt es einer Person, einer bestimmten Datenverarbeitung (z. B. für Werbezwecke) zu widersprechen.

- Antwort E (Recht auf Datenübertragbarkeit / Art. 20 DSGVO): Dies ist das Recht, seine Daten in einem maschinenlesbaren Format zu erhalten, um sie zu einem anderen Anbieter mitzunehmen (z. B. beim Wechsel der Versicherung).

- Antwort F (Recht auf Einschränkung / Art. 18 DSGVO): Hierbei wird die Verarbeitung der Daten vorübergehend gestoppt (gesperrt), etwa wenn die Richtigkeit der Daten bestritten wird.

In der Praxis des Sicherheitsgewerbes (gemäß § 34a GewO) ist es wichtig, solche Anfragen sofort an den Datenschutzbeauftragten oder die Geschäftsleitung weiterzuleiten, da für die Beantwortung gesetzliche Fristen (in der Regel ein Monat) gelten. Ein Ignorieren dieser Anfrage kann zu hohen Bußgeldern führen.

Die Videoüberwachung (Videoüberwachung) stellt einen erheblichen Eingriff in das allgemeine Persönlichkeitsrecht der betroffenen Personen dar, welches durch das Grundgesetz (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) geschützt ist. Daher ist sie im öffentlichen Raum streng reglementiert. Die wichtigste Rechtsgrundlage für private Sicherheitsdienste ist hierbei § 4 BDSG (Bundesdatenschutzgesetz).

Gemäß § 4 Abs. 2 BDSG ist der Umstand der Beobachtung und der Name sowie die Kontaktdaten des Verantwortlichen durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen. Das bedeutet in der Praxis: Es besteht eine zwingende Kennzeichnungspflicht. Ein Hinweisschild (Piktogramm einer Kamera) muss so platziert werden, dass ein Besucher bereits vor dem Betreten des überwachten Bereichs entscheiden kann, ob er diesen betreten möchte oder nicht. Zusätzlich müssen nach Art. 13 DSGVO (Datenschutz-Grundverordnung) weitere Informationen bereitgestellt werden, wie der Zweck der Überwachung, die Speicherdauer (in der Regel 48 bis 72 Stunden) und die Rechte der Betroffenen (Auskunft, Löschung).

Warum sind die anderen Antworten falsch?

• Antwort A (Tonaufnahmen): Tonaufnahmen sind bei der Videoüberwachung grundsätzlich verboten. Das heimliche Aufnehmen des nicht öffentlich gesprochenen Wortes ist sogar eine Straftat gemäß § 201 StGB (Verletzung der Vertraulichkeit des Wortes).
• Antwort B (Versteckte Kameras): Versteckte Kameras sind in öffentlich zugänglichen Räumen unzulässig. Eine Überwachung muss immer transparent sein. Heimliche Überwachung ist nur in extremen Ausnahmefällen (z.B. zur Aufklärung schwerer Straftaten durch Ermittlungsbehörden) unter strengsten Auflagen erlaubt, nicht aber im regulären Sicherheitsdienst.
• Antwort C (Keine Kennzeichnung): Dies widerspricht direkt dem Transparenzgebot des Datenschutzes und dem § 4 BDSG.
• Antwort E & F: Es gibt sehr wohl klare gesetzliche Pflichten, die im BDSG und der DSGVO verankert sind. Ein Verstoß kann hohe Bußgelder nach sich ziehen.

Die Videoüberwachung in öffentlich zugänglichen Räumen ist in Deutschland streng durch den § 4 Bundesdatenschutzgesetz (BDSG neu) geregelt. Grundsätzlich ist eine Überwachung nur zulässig, wenn sie einem legitimen Zweck dient (z. B. Schutz von Eigentum oder Wahrnehmung des Hausrechts gemäß § 903 BGB) und wenn die Interessen des Betreibers schwerer wiegen als die Persönlichkeitsrechte der gefilmten Personen.

In diesem Fall greift jedoch ein absolutes Verbot: Es gibt sogenannte Intimbereiche oder Tabu-Zonen. Dazu gehören Toiletten, Umkleidekabinen, Schlafräume und eben auch deren direkte Vorräume. In diesen Bereichen überwiegt das allgemeine Persönlichkeitsrecht (geschützt durch Art. 1 und 2 Grundgesetz - GG) und die Intimsphäre der Menschen absolut. Eine Abwägung findet hier kaum noch statt, da der Eingriff in die Privatsphäre als zu massiv erachtet wird. Selbst wenn dort Diebstähle passieren könnten, rechtfertigt dies keine Kamera.

Warum sind die anderen Antworten falsch?

- A: Diebstahlprävention ist zwar ein Grund für Kameras, darf aber niemals die Intimsphäre verletzen. Es ist eben nicht „überall“ erlaubt.

- C: Ein Hinweisschild ist zwar nach § 4 Abs. 2 BDSG Pflicht, macht aber eine an sich unzulässige Überwachung (in der Toilette) nicht rechtmäßig.

- D: Auch Kamera-Attrappen können unzulässig sein, wenn sie einen sogenannten „Überwachungsdruck“ erzeugen, aber die Frage zielt auf die generelle Zulässigkeit der Überwachung ab.

- E: Die Uhrzeit spielt keine Rolle; das Schutzbedürfnis der Intimsphäre gilt rund um die Uhr.

- F: Sicherheitsmitarbeiter müssen das Gesetz kennen und umsetzen, sie stehen aber nicht über dem Datenschutzrecht.

In der Datenschutz-Grundverordnung (DSGVO) gibt es strikte Regeln für die Speicherung von Daten. Die Aussage Ihres Chefs verstößt gegen den Grundsatz der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e DSGVO. Dieser besagt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Sobald dieser Zweck erfüllt ist und keine gesetzlichen Aufbewahrungsfristen (z. B. aus dem Steuerrecht) mehr bestehen, müssen die Daten gelöscht werden. Ergänzend zu den EU-Regeln konkretisiert das deutsche Recht in § 35 BDSG (Bundesdatenschutzgesetz) die Pflichten zur Löschung von Daten. Auch der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verbietet das unnötige Horten von Daten.

Warum die anderen Antworten nicht korrekt sind:

- Antwort B ist falsch, da jede Datenverarbeitung eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO benötigt; ein unbegrenztes Speichern ohne Zweck ist unzulässig.

- Antwort C ist falsch, da der sachliche Anwendungsbereich nach Art. 2 Abs. 1 DSGVO sowohl die automatisierte Verarbeitung (Datenbanken) als auch nicht-automatisierte Daten in Dateisystemen (Papierakten) umfasst.

- Antwort D ist falsch, da Verantwortliche gemäß Art. 17 Abs. 1 lit. a DSGVO proaktiv zur Löschung verpflichtet sind, wenn die Daten für die Zwecke nicht mehr notwendig sind; ein Antrag des Betroffenen ist dafür nicht zwingend erforderlich.

- Antwort E ist falsch, da die Weitergabe oder der Verkauf von Daten ohne entsprechende Rechtsgrundlage gegen die Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) verstößt.

- Antwort F ist falsch, da eine Speicherdauer von 100 Jahren bei Besucherdaten den Grundsatz der Verhältnismäßigkeit und die Speicherbegrenzung massiv verletzt.

Im Datenschutzrecht ist genau geregelt, was passiert, wenn personenbezogene Daten verloren gehen, gestohlen werden oder unbefugte Dritte Zugriff darauf erhalten. Dies nennt man eine Datenschutzverletzung (oder umgangssprachlich Datenpanne). Wenn ein solches Ereignis eintritt, sieht die Datenschutz-Grundverordnung (DSGVO) klare Meldewege vor.

1. Meldung an die Aufsichtsbehörde (Art. 33 DSGVO): Sobald eine Datenpanne bekannt wird, muss der Verantwortliche (in der Regel Ihr Arbeitgeber) dies der zuständigen Aufsichtsbehörde (dem Landesdatenschutzbeauftragten) melden. Dies muss unverzüglich geschehen, spätestens jedoch innerhalb von 72 Stunden. Eine Ausnahme besteht nur dann, wenn die Panne voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der betroffenen Personen führt (z. B. wenn die Daten auf einem verlorenen USB-Stick so stark verschlüsselt sind, dass niemand sie lesen kann).

2. Benachrichtigung der betroffenen Personen (Art. 34 DSGVO): Wenn die Datenpanne voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Personen zur Folge hat (z. B. bei Diebstahl von Kreditkartendaten, Gesundheitsdaten oder wenn durch ein verlorenes Wachbuch Einbruchsrisiken für Kunden entstehen), müssen auch die betroffenen Personen selbst informiert werden. Dies soll ihnen ermöglichen, selbst Schutzmaßnahmen zu ergreifen (z. B. Passwörter ändern oder Konten sperren).

Warum sind die anderen Antworten falsch?

- Die lokale Zeitung (B): Es gibt keine gesetzliche Pflicht, die Presse zu informieren. Dies würde oft eher den Ruf des Unternehmens schädigen, ohne den Betroffenen direkt zu helfen.

- Der Hausmeister (D): Er hat keine datenschutzrechtliche Funktion oder Entscheidungsbefugnis in diesem Prozess.

- Die Feuerwehr (E): Diese ist für die Gefahrenabwehr bei Bränden oder Unfällen zuständig, nicht für digitale oder dokumentenbasierte Datenpannen.

- Der Papst (F): Dies ist eine rein private oder religiöse Instanz ohne jede juristische Relevanz im deutschen Datenschutzrecht.

Als Sicherheitsmitarbeiter gemäß § 34a GewO ist es Ihre Pflicht, solche Vorfälle sofort Ihrem Vorgesetzten zu melden, damit dieser die gesetzlichen Fristen der DSGVO einhalten kann.

Im Datenschutzrecht wird strikt zwischen gewöhnlichen personenbezogenen Daten und besonders sensiblen Daten unterschieden. Biometrische Daten gehören gemäß Art. 9 Abs. 1 DSGVO (Datenschutz-Grundverordnung) zu den „besonderen Kategorien personenbezogener Daten“, da sie tief in die Privatsphäre eingreifen.

Die gesetzliche Definition findet sich in Art. 4 Nr. 14 DSGVO. Demnach sind biometrische Daten Informationen, die mit speziellen technischen Verfahren aus den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person gewonnen wurden und die eindeutige Identifizierung dieser Person ermöglichen. Ein Irisscan oder ein Fingerabdruck (Antwort C) sind klassische Beispiele hierfür, da sie unverwechselbare körperliche Merkmale nutzen, um eine Person zweifelsfrei zu identifizieren.

Warum sind die anderen Antworten falsch?

- Ein Passwort (A) und eine PIN-Nummer (D): Diese Identifikationsmittel basieren auf „Wissen“. Sie sind nicht untrennbar mit dem Körper verbunden und können an Dritte weitergegeben werden. Sie fallen daher nicht unter die Definition von Art. 4 Nr. 14 DSGVO.

- Ein RFID-Chip (B): Dies ist ein Identifikationsmittel auf Basis von „Besitz“. Der Chip ist ein externer Gegenstand und kein körperliches Merkmal.

- Eine Unterschrift auf Papier (E): Eine einfache Unterschrift auf Papier gilt meist nicht als biometrisches Datum, da hier kein spezielles technisches Verfahren zur Analyse von Verhaltensmerkmalen (wie Druck oder Schreibgeschwindigkeit) angewendet wird. Es handelt sich lediglich um ein statisches Schriftbild.

- Ein Barcode (F): Ein Barcode ist lediglich ein optischer Datenträger für Informationen (z. B. eine Kundennummer) und besitzt keinen Bezug zu körperlichen Merkmalen.

Da die Verarbeitung dieser Daten nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt ist, benötigt ein Sicherheitsunternehmen für deren Nutzung (z. B. Biometrie-Scanner am Werkstor) fast immer eine ausdrückliche schriftliche Einwilligung der betroffenen Person gemäß Art. 9 Abs. 2 lit. a DSGVO oder eine spezifische gesetzliche Grundlage wie § 26 Abs. 3 BDSG im Beschäftigtenverhältnis.

Im Datenschutzrecht gibt es klare gesetzliche Vorgaben, wann ein Unternehmen einen Datenschutzbeauftragten (DSB) offiziell benennen muss. Dies ist kein freiwilliges Angebot, sondern eine gesetzliche Pflicht, deren Missachtung hohe Bußgelder nach sich ziehen kann.

Die rechtliche Grundlage hierfür findet sich in Art. 37 DSGVO (Datenschutz-Grundverordnung) in Verbindung mit § 38 BDSG (Bundesdatenschutzgesetz).

Ein Datenschutzbeauftragter ist in folgenden Fällen zwingend erforderlich:

1. Die 20-Personen-Regel (§ 38 Abs. 1 BDSG): Sobald in einem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dabei ist es unerheblich, ob es sich um Vollzeitkräfte, Teilzeitkräfte oder Auszubildende handelt, solange sie Zugriff auf die Daten haben.

2. Besondere Risiken / DSFA (Art. 35 & 37 DSGVO): Unabhängig von der Mitarbeiterzahl muss ein DSB benannt werden, wenn Verarbeitungen vorgenommen werden, die eine Datenschutz-Folgenabschätzung (DSFA) erfordern. Das ist meist dann der Fall, wenn besonders sensible Daten (z. B. Gesundheitsdaten, biometrische Daten zur Identifizierung oder politische Meinungen) in großem Umfang verarbeitet werden oder eine systematische Überwachung (z. B. Videoüberwachung im öffentlichen Raum) stattfindet.

Warum sind die anderen Antworten falsch?

- Antwort A (Immer): Das Gesetz sieht Schwellenwerte vor. Kleinstbetriebe, die nur wenige Daten verarbeiten, sind von der Benennungspflicht befreit, um den bürokratischen Aufwand gering zu halten.

- Antwort C (Wenn der Chef es will): Ein Chef kann zwar freiwillig jemanden benennen, aber die Frage zielt auf die *gesetzliche Pflicht* (zwingend) ab.

- Antwort E (Nur bei staatlichen Stellen): Zwar müssen staatliche Stellen fast immer einen DSB haben, aber die Pflicht gilt eben auch für private Sicherheitsunternehmen unter den oben genannten Bedingungen.

- Antwort F (Niemals): Dies widerspricht direkt der DSGVO und dem BDSG.

Der Datenschutzbeauftragte überwacht die Einhaltung der Regeln, berät die Geschäftsführung und ist Ansprechpartner für Betroffene, die ihre Rechte (z. B. Auskunft nach Art. 15 DSGVO oder Löschung nach Art. 17 DSGVO) geltend machen wollen.

Im Datenschutzrecht gilt der strenge Grundsatz des Verbots mit Erlaubnisvorbehalt. Das bedeutet, dass die Verarbeitung personenbezogener Daten (wie Namen, Fotos oder Videoaufnahmen) grundsätzlich verboten ist, es sei denn, es liegt eine ausdrückliche gesetzliche Erlaubnis vor. Die wichtigste Rechtsgrundlage hierfür ist die Datenschutz-Grundverordnung (DSGVO), insbesondere Art. 6 Abs. 1 DSGVO.

Das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) ist einer der wichtigsten „Erlaubnis-Joker“ für Sicherheitsmitarbeiter im Bewachungsgewerbe gemäß § 34a GewO. Es liegt vor, wenn ein rechtliches, wirtschaftliches oder ideelles Interesse besteht, das bei einer sogenannten Interessenabwägung schwerer wiegt als die Grundrechte und Grundfreiheiten der betroffenen Person.

Ein klassisches Beispiel aus dem Sicherheitsalltag ist der Einsatz eines Ladendetektives oder die Videoüberwachung in einem Kaufhaus. Hier stehen sich zwei Interessen gegenüber:

1. Das berechtigte Interesse des Eigentümers: Schutz des Eigentums (§ 903 BGB) und Schutz vor Diebstahl (§ 242 StGB).

2. Das Interesse des Kunden: Schutz der Privatsphäre und das Recht auf informationelle Selbstbestimmung (abgeleitet aus Art. 1 und Art. 2 des Grundgesetzes (GG)).

In diesem Fall überwiegt in der Regel das Interesse des Eigentümers am Schutz seiner Waren, solange die Überwachung verhältnismäßig ist (z. B. keine Kameras in Umkleidekabinen).

Warum sind die anderen Antworten falsch?

- Antwort A: Ist falsch, da das berechtigte Interesse explizit in Art. 6 DSGVO als Rechtsgrundlage verankert ist.

- Antwort C: Es ist keineswegs unklar; es gibt klare juristische Kriterien und eine umfangreiche Rechtsprechung dazu, wie eine Interessenabwägung durchzuführen ist.

- Antwort D, E und F: Diese Antworten sind rechtlich irrelevant. „Alles, was ich will“, „Hobbys“ oder „Neugierde“ stellen keine schutzwürdigen rechtlichen oder wirtschaftlichen Interessen dar, die einen Eingriff in die Grundrechte anderer Personen rechtfertigen könnten. Datenschutz ist ein hohes Gut, das nicht durch bloße Willkür oder persönliche Vorlieben ausgehebelt werden darf.

Das Prinzip der „Richtigkeit“ ist einer der zentralen Grundpfeiler der europäischen Datenschutz-Grundverordnung (DSGVO). Gemäß Art. 5 Abs. 1 lit. d DSGVO müssen personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Das bedeutet für Sie im Sicherheitsgewerbe (z. B. bei der Arbeit nach § 34a GewO), dass Sie nicht einfach irgendwelche Daten speichern dürfen, sondern sicherstellen müssen, dass diese auch der Wahrheit entsprechen. Wenn Sie beispielsweise eine Besucherliste führen oder einen Vorfallbericht schreiben, müssen die Namen, Adressen und Zeitangaben korrekt sein. Stellt sich heraus, dass Daten falsch sind, müssen „angemessene Maßnahmen“ getroffen werden, damit diese Daten unverzüglich gelöscht oder berichtigt werden. Dies dient dem Schutz der betroffenen Person, damit über sie keine falschen Informationen verbreitet oder zur Grundlage von Entscheidungen gemacht werden.

Warum sind die anderen Antworten falsch?

- Antwort B: Alte Daten sind eben nicht einfach „okay“, wenn sie nicht mehr stimmen. Wenn sich eine Adresse geändert hat, ist die alte Information faktisch falsch und muss aktualisiert werden. Das Beibehalten falscher Daten verstößt gegen die Pflicht zur Datenpflege.

- Antwort C: Diese Aussage ist rechtlich falsch. Die „Richtigkeit“ ist explizit in Art. 5 DSGVO als einer der sechs Grundsätze für die Verarbeitung personenbezogener Daten festgeschrieben.

- Antwort D: Das Gegenteil ist der Fall. Der Verantwortliche (z. B. Ihr Arbeitgeber) trägt die Rechenschaftspflicht und muss durch geeignete Kontrollen sicherstellen, dass die Daten korrekt bleiben.

- Antwort E & F: Die DSGVO ist hier sehr eindeutig und streng. Da Verstöße gegen die Grundsätze des Art. 5 DSGVO mit den höchsten Bußgeldkategorien sanktioniert werden können, ist das Prinzip weder unklar noch unwichtig. Es ist für die Rechtmäßigkeit jeder Datenverarbeitung essenziell.