34a Prüfungsfragen 2026 kostenlos üben

Im Datenschutzrecht gilt das Prinzip des Verbots mit Erlaubnisvorbehalt. Das bedeutet: Jede Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn, es gibt eine ausdrückliche gesetzliche Erlaubnis oder eine wirksame Einwilligung.

Die zentrale Rechtsgrundlage hierfür ist Art. 6 Abs. 1 der Datenschutz-Grundverordnung (DSGVO). Dieser Artikel legt fest, dass Daten nur verarbeitet werden dürfen, wenn:

1. Eine Einwilligung der betroffenen Person vorliegt (Art. 6 Abs. 1 lit. a DSGVO).

2. Eine gesetzliche Erlaubnis oder Verpflichtung besteht, wie z. B. zur Erfüllung eines Vertrages (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung einer rechtlichen Pflicht (Art. 6 Abs. 1 lit. c DSGVO) oder zur Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

In Deutschland wird die DSGVO durch das Bundesdatenschutzgesetz (BDSG) ergänzt, welches spezifische Regeln enthält, wie etwa § 4 BDSG für die Videoüberwachung öffentlich zugänglicher Räume oder § 26 BDSG für die Datenverarbeitung im Beschäftigungsverhältnis.

Warum sind die anderen Antworten falsch?

- Antwort A und E: Wirtschaftliche Vorteile oder die Vereinfachung der Verwaltung sind in Art. 6 DSGVO nicht als Rechtfertigungsgründe aufgeführt. Das Grundrecht auf informationelle Selbstbestimmung (abgeleitet aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 Grundgesetz) steht über betrieblichen Effizienzinteressen.

- Antwort B: Ein rein persönliches Interesse eines Mitarbeiters (z. B. Neugier) ist keine Rechtsgrundlage und verstößt gegen den Grundsatz der Zweckbindung gemäß Art. 5 Abs. 1 lit. b DSGVO.

- Antwort D: Der Schutz personenbezogener Daten nach Art. 4 Nr. 1 DSGVO ist unabhängig von der Form der Bekanntgabe. Auch mündlich erlangte Informationen über eine identifizierbare Person dürfen nicht ohne Rechtsgrundlage verarbeitet oder gespeichert werden.

Im Datenschutzrecht ist klar geregelt, was passiert, wenn gegen die Vorschriften der Datenschutz-Grundverordnung (DSGVO) verstoßen wird. Wenn eine Person (der Betroffene) einen Schaden erleidet, weil ihre personenbezogenen Daten unzulässig erhoben oder verarbeitet wurden, sieht das Gesetz einen klaren Wiedergutmachungsmechanismus vor.

Die zentrale Rechtsgrundlage hierfür ist Art. 82 DSGVO (Haftung und Recht auf Schadenersatz). Dieser besagt, dass jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter hat.

Warum ist Antwort C richtig?

Die „verantwortliche Stelle“ (der Verantwortliche) ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Art. 4 Nr. 7 DSGVO). Im Bewachungsgewerbe ist dies in der Regel das Sicherheitsunternehmen oder der Auftraggeber. Der Betroffene muss sich für seinen Schadenersatzanspruch an diese Stelle wenden.

Warum sind die anderen Antworten falsch?

• Antwort A: Ein Sicherheitsmitarbeiter haftet im Außenverhältnis gegenüber dem Betroffenen in der Regel nicht „immer persönlich und allein“. Die DSGVO nimmt primär den Verantwortlichen (das Unternehmen) in die Pflicht. Zwar können im Innenverhältnis (Arbeitsrecht) Regressansprüche entstehen, aber der primäre Anspruch des Betroffenen richtet sich gegen die verantwortliche Stelle.
• Antwort B: Es gibt in der DSGVO keine Geringfügigkeitsgrenze von 500 Euro. Auch kleine Schäden müssen ersetzt werden, sofern sie nachweisbar sind.
• Antwort D: Ansprüche verjähren nicht „sofort“. Es gelten die regelmäßigen Verjährungsfristen des Bürgerlichen Gesetzbuches (§ 195 BGB), welche in der Regel drei Jahre zum Jahresende betragen, nachdem der Gläubiger von dem Anspruch und der Person des Schuldners Kenntnis erlangt hat.
• Antwort E: Dies ist ein häufiger Irrtum. Art. 82 DSGVO stellt ausdrücklich klar, dass auch immaterielle Schäden (immaterieller Schaden) ersatzfähig sind. Das bedeutet, auch wenn kein direkter finanzieller Verlust oder körperlicher Schaden vorliegt (z. B. bei einer Persönlichkeitsrechtsverletzung oder Diskriminierung durch Datenmissbrauch), kann Schmerzensgeld verlangt werden.

Zusammenfassend lässt sich sagen: Werden Daten entgegen der Vorschriften verarbeitet, haftet das Unternehmen (die verantwortliche Stelle) für alle daraus resultierenden Schäden, egal ob diese finanzieller Natur sind oder die Psyche/Ehre betreffen.

In der vorangegangenen Lektion haben wir gelernt, was personenbezogene Daten gemäß Art. 4 Nr. 1 DSGVO sind. Sobald Daten diesen Personenbezug aufweisen, müssen sie durch angemessene Maßnahmen geschützt werden. Die zentrale Rechtsgrundlage hierfür ist Art. 32 DSGVO (Sicherheit der Verarbeitung). Dieser Artikel verpflichtet Verantwortliche dazu, sogenannte technische und organisatorische Maßnahmen (kurz: TOM) zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Auch Art. 5 Abs. 1 lit. f DSGVO fordert die Integrität und Vertraulichkeit der Daten. Ergänzend finden sich Anforderungen an die Datensicherheit in § 22 BDSG (Bundesdatenschutzgesetz).

Technische Maßnahmen beziehen sich auf physische Objekte oder Softwarelösungen:

- Antwort A (Kennwortschutz und Verschlüsselung) ist korrekt, da es sich um softwarebasierte, technische Barrieren handelt, die den unbefugten Zugriff auf Daten verhindern.

- Antwort F (Zutrittskontrollanlage) ist ebenfalls korrekt, da hier Hardware (wie elektronische Schlösser oder Kartenleser) eingesetzt wird, um den physischen Zugang zu den Datenverarbeitungsanlagen technisch zu sichern.

Warum sind die anderen Antworten falsch?

Die Antworten B, C, D und E fallen unter die Kategorie der organisatorischen Maßnahmen. Diese regeln die Rahmenbedingungen und das Verhalten der Menschen, bieten aber keinen direkten technischen Schutz durch Geräte oder Programme:

- Antwort B (Dienstanweisung): Dies ist eine interne Richtlinie. Eine bloße Anweisung verhindert technisch keinen Datenabfluss, sondern setzt auf die Regeltreue der Mitarbeiter.

- Antwort C (Verpflichtung auf das Datengeheimnis): Dies ist ein administrativer, rechtlicher Akt. Eine Unterschrift ist kein technisches Sicherungsmittel.

- Antwort D (Verbot der privaten Internetnutzung): Dies ist eine arbeitsrechtliche Regelung im Vertrag, keine technische Sperre.

- Antwort E (Schulung): Die Sensibilisierung der Mitarbeiter verbessert zwar die Sicherheit, ist jedoch eine organisatorische Maßnahme zur Wissensvermittlung und kein technisches System.

Zusammenfassend lässt sich sagen: Während Art. 4 DSGVO definiert, was geschützt werden muss, schreibt Art. 32 DSGVO vor, wie dies durch Technik (A, F) und Organisation (B, C, D, E) zu geschehen hat.

Der Begriff der Verarbeitung (gemäß Art. 4 Nr. 2 DSGVO) ist das Herzstück des Datenschutzrechts. Er ist extrem weit gefasst, damit keine Lücken entstehen, durch die Daten missbräuchlich genutzt werden könnten.

Nach der gesetzlichen Definition ist die Verarbeitung jeder Vorgang, der mit personenbezogenen Daten durchgeführt wird. Dabei ist es völlig egal, ob dies mit Hilfe automatisierter Verfahren (wie Computerprogrammen oder Cloud-Speichern) oder ohne solche (wie bei einer händisch geführten Papierliste) geschieht.

Zu den typischen Vorgängen der Verarbeitung gehören:

- Erheben: Das Abfragen von Namen an der Pforte.

- Erfassen und Speichern: Das Eintragen in eine Besucherliste oder Datenbank.

- Verwenden: Das Nachschlagen in einer Liste, um jemanden zu identifizieren.

- Übermitteln: Das Weitergeben von Daten an die Polizei oder den Auftraggeber.

- Löschen oder Vernichten: Das Schreddern von Akten oder das Entfernen von Datensätzen.

Rechtliche Grundlagen:

Die rechtliche Basis findet sich primär in der Datenschutz-Grundverordnung (DSGVO), die in der gesamten EU unmittelbar gilt. Ergänzend regelt das Bundesdatenschutzgesetz (BDSG) spezifische Details für Deutschland. Das Ziel dieser Gesetze ist der Schutz des Rechts auf informationelle Selbstbestimmung, welches aus dem allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 Grundgesetz - GG) abgeleitet wird. Jeder Mensch soll grundsätzlich selbst entscheiden können, wer welche Daten über ihn erfährt.

Warum sind die anderen Antworten falsch?

- Antwort A: Das rein gedankliche Merken ist kein technischer oder systematischer Vorgang im Sinne des Gesetzes. Die DSGVO greift erst, wenn Daten in Dateisystemen (analog oder digital) gespeichert werden.

- Antwort C, D und E: Diese Antworten sind zu kurz gegriffen. Sie beschreiben zwar jeweils einen Teil der Verarbeitung (Erheben, Löschen oder Verschlüsseln), aber der Begriff „Verarbeitung“ ist der Oberbegriff für alle diese Tätigkeiten zusammen. Wer nur das Löschen als Verarbeitung ansieht, würde ignorieren, dass bereits das Sammeln der Daten strengen Regeln unterliegt.

Die Videoüberwachung in öffentlich zugänglichen Räumen (wie z. B. in Supermärkten, Tankstellen oder auf Parkplätzen) ist ein erheblicher Eingriff in das Recht auf informationelle Selbstbestimmung, welches aus dem Grundgesetz (Art. 1 und 2 GG) abgeleitet wird. Daher ist sie nicht einfach jedem erlaubt, sondern an strenge gesetzliche Regeln gebunden. Die zentrale Rechtsgrundlage hierfür ist § 4 BDSG (Bundesdatenschutzgesetz).

Damit eine private Sicherheitskraft oder ein Ladenbesitzer Kameras installieren darf, müssen folgende Voraussetzungen erfüllt sein:

1. Zweckbindung: Es muss ein konkret festgelegter Zweck vorliegen (z. B. Schutz vor Ladendiebstahl oder Vandalismus).

2. Erforderlichkeit: Die Überwachung muss notwendig sein, um diesen Zweck zu erreichen. Wenn ein einfaches Schloss oder mehr Personal ausreichen würde, ist die Kamera oft nicht zulässig.

3. Wahrnehmung berechtigter Interessen oder des Hausrechts: Der Betreiber muss ein echtes Interesse haben (z. B. Schutz seines Eigentums gemäß § 903 BGB und § 1004 BGB).

4. Interessenabwägung: Die Interessen des Betreibers dürfen nicht die schutzwürdigen Interessen der Betroffenen (der gefilmten Personen) überwiegen. In sensiblen Bereichen wie Toiletten oder Umkleiden überwiegt immer das Persönlichkeitsrecht der Gäste – dort ist Filmen absolut verboten.

5. Transparenz: Es muss durch Hinweisschilder (Piktogramme) deutlich gemacht werden, dass überwacht wird, wer verantwortlich ist und warum gefilmt wird.

Warum sind die anderen Antworten falsch?

- Antwort B ist falsch, da eine heimliche Überwachung ohne Hinweisschilder im öffentlich zugänglichen Raum rechtswidrig ist. Transparenz ist eine Grundvoraussetzung.

- Antwort C ist falsch, da Attrappen zwar rechtlich anders bewertet werden (sie erzeugen einen Überwachungsdruck), aber sie stellen keine rechtliche Grundlage für eine zulässige Videoüberwachung dar.

- Antwort D ist falsch, da „Neugier“ kein rechtlich anerkanntes „berechtigtes Interesse“ darstellt.

- Antwort E ist falsch, da die reine Leistungskontrolle von Mitarbeitern (wie schnell arbeitet jemand?) durch Videoüberwachung in öffentlich zugänglichen Räumen meist unverhältnismäßig und datenschutzrechtlich unzulässig ist.

Das Datenschutzrecht, insbesondere die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG), hat einen ganz klaren Fokus: Es schützt ausschließlich natürliche Personen.

Gemäß Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine natürliche Person ist jeder Mensch von der Vollendung der Geburt bis zum Tod. Das Ziel dieser Gesetze ist der Schutz der Grundrechte und Grundfreiheiten, insbesondere das Recht auf Schutz personenbezogener Daten (Art. 1 DSGVO). Dies leitet sich in Deutschland aus dem allgemeinen Persönlichkeitsrecht ab (Art. 1 Abs. 1 i.V.m. Art. 2 Abs. 1 Grundgesetz - GG), auch bekannt als das Recht auf informationelle Selbstbestimmung.

Warum sind die anderen Antworten falsch?

• Juristische Personen (A): Eine GmbH, AG oder ein Verein sind künstliche Gebilde des Rechts. Sie haben zwar Geschäftsgeheimnisse, aber sie genießen keinen Schutz durch die DSGVO oder das BDSG. Der Datenschutz schützt Menschen, keine Firmennamen oder Bilanzen.
• Maschinen (C) und Software (F): Hierbei handelt es sich um Gegenstände oder Werkzeuge. Daten über den Zustand einer Maschine (z. B. „Öldruck niedrig“) sind keine personenbezogenen Daten, solange sie nicht direkt einem Menschen (z. B. dem Fahrer über ein Fahrtenbuch) zugeordnet werden können.
• Tiere (D): Tiere sind im Sinne des Rechts keine Personen. Obwohl sie gemäß § 90a BGB keine Sachen sind, werden sie rechtlich oft wie solche behandelt. Sie können keine Träger von Persönlichkeitsrechten sein, weshalb ihre „Daten“ (z. B. Chipnummer eines Hundes) nur über den Umweg des Halters (der eine natürliche Person ist) datenschutzrelevant werden.

Zusammenfassend lässt sich sagen: Nur wenn ein Datum einen Rückschluss auf einen lebenden Menschen zulässt, greifen die strengen Regeln des BDSG und der DSGVO. Dies ist im Sicherheitsgewerbe nach § 34a GewO besonders wichtig, da man hier ständig mit Daten von Kunden, Besuchern oder Mitarbeitern arbeitet.

In dieser Frage geht es um die Sicherheit der Datenverarbeitung nach Art. 32 DSGVO. Während die Lektion erklärt, was personenbezogene Daten sind (Art. 4 DSGVO), regelt Art. 32 DSGVO, wie diese Daten durch sogenannte Technische und Organisatorische Maßnahmen (TOMs) geschützt werden müssen. Man unterscheidet dabei strikt zwischen technischen Lösungen (Hardware/Software) und organisatorischen Abläufen (Regeln/Verhalten).

Warum sind die Antworten A und F richtig?

Die Einrichtung einer Firewall und eines Virenscanners (Antwort A) sowie die Verschlüsselung von Festplatten und Datenträgern (Antwort F) sind klassische technische Maßnahmen. Sie basieren auf dem Einsatz von Software und mathematischen Verfahren, um die IT-Infrastruktur direkt zu sichern. Ohne diese technischen Werkzeuge wäre ein digitaler Datenschutz nicht möglich, da sie die Vertraulichkeit und Integrität der Daten technisch erzwingen.

Warum sind die anderen Antworten falsch?

Alle anderen Optionen fallen unter die organisatorischen Maßnahmen, da sie nicht auf Technik, sondern auf Prozessen, Verträgen und Verhaltensregeln basieren:

- Antwort B (Schulung): Eine Schulung verbessert das Wissen der Mitarbeiter. Das ist ein pädagogischer Prozess und eine Managementaufgabe, keine technische Vorrichtung.

- Antwort C (Verschwiegenheitsvereinbarung): Ein Vertrag ist ein rechtliches Dokument zur Absicherung. Es ist eine administrative Vorgabe, wie sich Menschen rechtlich zu verhalten haben.

- Antwort D (Verbot privater Telefonate): Dies ist eine interne Verhaltensregel oder Dienstanweisung, die den Arbeitsablauf organisiert, aber keine technische Barriere für Daten darstellt.

- Antwort E (Datenschutzbeauftragter): Die Benennung einer Person für eine bestimmte Kontrollfunktion ist eine strukturelle Entscheidung innerhalb der Unternehmensorganisation (Personalentscheidung).

Für Sicherheitskräfte im Bewachungsgewerbe gemäß § 34a GewO ist dieses Wissen essenziell, da sie im Dienst sowohl technische Systeme (wie Videoüberwachung oder Zutrittskontrollsysteme) bedienen als auch organisatorische Regeln (wie Verschwiegenheit und Dienstanweisungen) strikt einhalten müssen, um Bußgelder nach der DSGVO zu vermeiden.

In dieser Situation haben Sie rechtlich völlig korrekt gehandelt. Die Adresse einer Person gehört zweifelsfrei zu den personenbezogenen Daten gemäß Art. 4 DSGVO, da sie eine natürliche Person eindeutig identifizierbar macht. Der Dieb irrt sich jedoch in der Annahme, dass der Datenschutz die Erhebung dieser Daten in jedem Fall verbietet.

Der Datenschutz (insbesondere die DSGVO - Datenschutz-Grundverordnung) ist kein „Täterschutz“. Die Verarbeitung (hier das Notieren der Adresse) ist nach Art. 6 Abs. 1 lit. f DSGVO zulässig. Dieser Paragraph besagt, dass Daten verarbeitet werden dürfen, wenn dies zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Da Sie eine Straftat zur Anzeige bringen wollen (Rechtsverfolgung), überwiegt Ihr Interesse an der Identifizierung des Täters gegenüber dessen Interesse an der Geheimhaltung seiner Daten.

Warum sind die anderen Antworten falsch?

- Antwort A (Einwilligung): Eine Einwilligung (Art. 7 DSGVO) ist nur eine von vielen Möglichkeiten, Daten rechtmäßig zu verarbeiten. Bei Straftaten wäre es absurd, auf die Erlaubnis des Täters zu warten. Hier greift der gesetzliche Erlaubnistatbestand des berechtigten Interesses.

- Antwort C (Nur wenn Polizei dabei ist): Zwar stellt die Polizei die Identität fest, aber auch der Geschädigte oder dessen Beauftragte (Sicherheitsdienst gemäß § 34a GewO) dürfen die Daten für eine spätere Strafanzeige oder zivilrechtliche Ansprüche (z.B. Fangprämie nach BGB) dokumentieren.

- Antwort D (Datenschutz verbietet alles): Das ist ein weit verbreiteter Irrglaube. Der Datenschutz regelt das *Wie* der Verarbeitung, ist aber kein generelles Verbot, insbesondere nicht bei der Aufklärung von Rechtsverstößen.

- Antwort E (Nur Vornamen): Nur der Vorname reicht für eine eindeutige Identifizierung und Strafverfolgung nicht aus. Es dürfen alle Daten erhoben werden, die für den Zweck (die Anzeige) notwendig sind.

- Antwort F (Richterlicher Beschluss): Ein richterlicher Beschluss ist für die bloße Aufnahme von Personalien nach einer frischen Tat (im Rahmen der vorläufigen Festnahme nach § 127 Abs. 1 StPO) nicht erforderlich.

Die richtige Antwort ist B). Beim betrieblichen Datenschutzbeauftragten (DSB) ist der Kernpunkt seine unabhängige Stellung. Das ergibt sich aus Art. 38 DSGVO: Der DSB darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Zusätzlich regelt das BDSG (insbesondere § 6 Abs. 4 BDSG in Verbindung mit § 38 BDSG) einen besonderen Schutz, der in Prüfungen oft als „besonderer Kündigungsschutz“ abgefragt wird. Genau deshalb ist Aussage B) die zutreffende Aussage.

Prüfungslogik: Der DSB soll Verstöße offen ansprechen können, auch wenn das für die Geschäftsleitung unangenehm ist. Damit das funktioniert, schützt das Gesetz seine Rolle. Der DSB ist eine Kontroll- und Beratungsfunktion für Datenschutz-Compliance, keine Machtposition wie Polizei und keine bloße Assistenzstelle der Geschäftsführung.

Warum sind die anderen Aussagen falsch?

A) ist falsch: Der DSB hat keine Polizeibefugnisse. Er darf beraten, prüfen, dokumentieren und Empfehlungen geben, aber keine hoheitlichen Zwangsmaßnahmen wie eine Behörde durchsetzen.

C) ist falsch: Bußgelder werden grundsätzlich gegen das Unternehmen (Verantwortlicher) verhängt, nicht automatisch persönlich gegen den DSB. Der DSB trägt nicht pauschal die Bußgeldhaftung der Firma.

D) ist falsch: Inhaltlich ist der DSB gerade nicht weisungsgebunden in der Wahrnehmung seiner Datenschutzaufgaben (Art. 38 DSGVO). Er muss unabhängig berichten können.

E) ist falsch: Nicht jedes Unternehmen braucht ab dem ersten Mitarbeiter zwingend einen DSB. Die Pflicht hängt von gesetzlichen Voraussetzungen ab (z.B. Art der Verarbeitung, Umfang, Schwellenwerte nach § 38 BDSG).

F) ist falsch: Der DSB kann intern oder extern bestellt werden. Ein externer Rechtsanwalt ist nicht zwingend vorgeschrieben.

Merksatz für die Prüfung: Wenn eine Antwort Unabhängigkeit, Benachteiligungsverbot und besonderen Schutz des DSB beschreibt, ist das meist richtig. Wenn eine Antwort den DSB als weisungsgebunden, polizeilich oder pauschal haftend darstellt, ist sie in der Regel falsch.