Übungsaufgaben zum Datenschutz in der Praxis: Videoüberwachung, Tracking, Cloud und Datenpannen

Kopiere den Text in ein KI-Sprachmodell Deiner Wahl und passe Kompetenzstufe, Anzahl, Bearbeitungszeit und Szenario bei Bedarf an. Wie die Aufgaben aufgebaut sind, beschreibt der Artikel Wie sind die Aufgaben aufgebaut?. Prüfe die Ergebnisse mit dem Lehrartikel: KI-Sprachmodelle machen Fehler.

Erstelle neue Übungsaufgaben zum Thema „Datenschutz in der Praxis:
Videoüberwachung, Tracking, Cloud und Datenpannen“.

Bauplan: Halte Dich an Aufbau, Kompetenzstufen, Operatoren,
Anforderungsbereiche, Punkte und Zeitschätzung, die im Artikel
https://oer-informatik.de/aufgaben-aufbau beschrieben sind.

Fachliche Grundlage:
- https://oer-informatik.de/datenschutz-praxis
- https://oer-informatik.de/datenschutz-dsgvo
- Stilbeispiel: https://oer-informatik.de/datenschutz-praxis-uebungsaufgaben

Die Aufgaben sollen Inhalte zu diesen Schlagwörtern abdecken:
- Datenschutz
- DSGVO
- Videoüberwachung
- Protokollierung
- Tracking
- Pseudonymisierung
- Auftragsverarbeitung
- Cloud
- Datenpanne

Kompetenzstufe: Basiskompetenz (alternativ: Kernkompetenz, Profilkompetenz, Expertise)
Anzahl: 1 Aufgabe mit Teilaufgaben
Bearbeitungszeit in Minuten ca.: <5 bis 30 min>
Szenario: eines der Szenarien aus dem Bauplan

Vorgehen:
1. Lies zuerst die verlinkten Artikel. Kannst Du keine Webseiten
   abrufen, sag mir das, statt zu raten.
2. Steht bei einer Angabe noch ein Platzhalter in <…>, frag mich
   zuerst danach. Richte Punkte und Zahl der Teilaufgaben nach der
   Bearbeitungszeit (ca. 0,9 min je Punkt).
3. Gib je Aufgabe Titel mit Kompetenzstufe, Ausgangssituation und
   Teilaufgaben mit Operator und Punktzahl aus, dazu die geschätzte
   Bearbeitungszeit.
4. Gib die Beispiellösungen mit Punkteverteilung erst aus, wenn ich
   danach frage.

Je fehlender Angabe 1 Punkt, drei aus:

• Verantwortlicher: CSB-Rad GmbH mit Anschrift bzw. Kontaktdaten.
• Zweck: „zu Ihrer Sicherheit“ ist zu ungenau; konkret z. B. Schutz der Lastenräder vor Diebstahl und Beweissicherung.
• Rechtsgrundlage: berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer der Aufnahmen.
• Kontakt zur bzw. zum Datenschutzbeauftragten.
• Hinweis auf die vollständigen Informationen (Aushang oder Website) und die Rechte der Betroffenen.

Je Kamera 1 Punkt:

Andere gut begründete Entscheidungen, z. B. K2 nur außerhalb der Arbeitszeit, sind ebenfalls richtig.

Je zwei richtige Zeilen 1 Punkt:

• personenbezogen: 1 (Person erkennbar), 2 (über das Fahrzeugregister bzw. den Einsatzplan der fahrenden Person zuordenbar), 4 (dem Anschluss zuordenbar, muss vom Webserver verarbeitet werden), 5 (die Mitarbeiter-ID ist ein Pseudonym und über die Personaldaten zuordenbar),
• nicht personenbezogen: 3 und 6 (Messwerte ohne Bezug zu einem Menschen).

Das Protokoll wurde für IT-Sicherheit und Fehlersuche eingeführt; eine Rangliste wäre eine Leistungskontrolle und damit ein anderer Zweck (Verstoß gegen die Zweckbindung, 1 Punkt). Eine solche Auswertung bräuchte eine eigene Rechtsgrundlage, die Information der Beschäftigten und die Mitbestimmung des Betriebsrats, weil das Tablet-System dann als technische Überwachungseinrichtung genutzt wird (1 Punkt).

Je Regel 1 Punkt, zwei aus:

• Protokolliert werden nur Anmeldung, Abmeldung und Zugriffe auf Aufträge, keine weiteren Inhalte (Datensparsamkeit).
• Die Einträge werden nach einer festen, kurzen Frist (z. B. 30 Tage) automatisch gelöscht.
• Nur die IT-Administration darf die Protokolle einsehen, jeder Zugriff darauf wird selbst protokolliert; die Protokolle sind gegen Veränderung geschützt.
• Die Protokolle werden nicht zur Leistungs- oder Verhaltenskontrolle genutzt; Ausnahmen regelt eine Betriebsvereinbarung.
• Wo möglich werden Benutzerkennungen pseudonymisiert.

Erläuterung (2 Punkte): Der Cloud-Anbieter speichert die personenbezogenen Daten der Teilnehmenden im Auftrag und nach Weisung der Schule. Verantwortlich für den Datenschutz bleibt die Schule; sie muss den Anbieter sorgfältig auswählen und einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen.

Inhalte (je 1 Punkt), zwei aus: Gegenstand, Dauer und Zweck der Verarbeitung; Art der Daten und betroffene Personen; technische und organisatorische Maßnahmen des Anbieters; Weisungsgebundenheit und Vertraulichkeit; Einsatz von Unterauftragnehmern nur mit Genehmigung; Ort der Verarbeitung (Serverstandort); Löschung bzw. Rückgabe nach Vertragsende; Kontrollrechte der Schule.

Stellungnahme (1 Punkt): Abwarten ist falsch. Der Fehlversand ist eine Datenpanne, weil Unbefugte die Daten erhalten haben; die Frist für die Meldung an die Aufsichtsbehörde läuft ab Bekanntwerden, Abwarten wäre ein eigener Verstoß.

Vorgehen (je 1 Punkt), drei aus:

• Die Empfänger*innen sofort anschreiben und auffordern, E-Mail und Anhang zu löschen und das zu bestätigen.
• Schulleitung und Datenschutzbeauftragte*n sofort informieren.
• Das Risiko für die Teilnehmenden bewerten und den Vorfall unverzüglich, möglichst innerhalb von 72 Stunden, der Aufsichtsbehörde melden.
• Den Vorfall mit Zeitpunkt, betroffenen Daten und Maßnahmen dokumentieren.
• Ursache abstellen, z. B. Verteiler trennen und Listen nur noch über einen zugriffsgeschützten Link teilen.

Entscheidung (2 Punkte): Zumindest die 12 Personen sollten benachrichtigt werden. Der Unterstützungsbedarf lässt auf eine Behinderung schließen und ist damit ein Gesundheitsdatum, also eine besondere Kategorie personenbezogener Daten; es ist mit Diskriminierung oder Bloßstellung zu rechnen, das Risiko ist voraussichtlich hoch (Art. 34 DSGVO).

Umstand (1 Punkt), z. B.: Der Anhang war verschlüsselt und das Passwort wurde nicht mitgeschickt; oder alle Empfänger*innen haben die Löschung schnell und glaubhaft bestätigt, sodass das hohe Risiko voraussichtlich nicht mehr besteht.

Eine Speicherung „für alle Fälle“ hat keinen festgelegten Zweck und verstößt gegen Zweckbindung und Speicherbegrenzung (1 Punkt). Regel, z. B.: Die Liste dient nur dem Einlass und den Teilnahmebescheinigungen und wird gelöscht, sobald die Bescheinigungen verschickt sind, spätestens vier Wochen nach dem Barcamp (1 Punkt).

Je beurteilter Angabe 2 Punkte, drei aus:

• Rechenzentren: Deutschland und die Niederlande liegen in der EU; die Speicherung selbst ist keine Drittlandübermittlung.
• Support aus Indien: Ein Fernzugriff aus Indien ist eine Übermittlung in ein Drittland. Für Indien gibt es keinen Angemessenheitsbeschluss; nötig sind Standardvertragsklauseln, eine Prüfung des Schutzniveaus und die Nennung des Support-Teams als Unterauftragnehmer. Besser: Support nur aus der EU oder ohne Zugriff auf Klardaten.
• Standardvertrag: Ein AV-Vertrag ist Pflicht und darf auch elektronisch geschlossen werden; Let’s Meet muss aber prüfen, ob er die Inhalte nach Art. 28 DSGVO enthält (Weisungen, TOM, Unterauftragnehmer, Löschung, Kontrollrechte), und ihn dokumentieren.
• Nachweise: ISO/IEC 27001 und BSI C5 sind anerkannte Nachweise für die TOM des Anbieters; Let’s Meet sollte sich Geltungsbereich und Gültigkeit zeigen lassen.
• Verschlüsselung: Übertragung und Speicherung sind geschützt, aber der Anbieter kann mit seinen Schlüsseln selbst entschlüsseln. Für Chats und Profilbilder besser eigene Schlüssel von Let’s Meet (z. B. kundenverwaltete Schlüssel).
• Vertragsende: Vor der Löschung muss die Rückgabe der Daten geregelt sein; die Löschung muss auch Datensicherungen umfassen und zum eigenen Löschkonzept (gelöschte Konten nach 30 Tagen) passen.

Eigene Voraussetzung (1 Punkt), eine aus: Rechtsgrundlage für die Verarbeitung (Nutzungsvertrag); Datenschutzerklärung um Empfänger und Drittlandbezug ergänzen; Verzeichnis der Verarbeitungstätigkeiten aktualisieren; Löschkonzept in der Cloud umsetzen; ggf. Datenschutz-Folgenabschätzung.

Je 1 Punkt, zwei aus: Verschlüsselung der gespeicherten und übertragenen Daten; Zugriffskontrollen mit Rollen und Mehr-Faktor-Authentifizierung für das Personal; Zutrittskontrolle zum Rechenzentrum; Protokollierung der Zugriffe; redundante Speicherung und Datensicherung; regelmäßige Sicherheitsaudits und Penetrationstests; Schulung und Verpflichtung der Beschäftigten auf Vertraulichkeit.

Recht hat sie (1 Punkt), z. B.: Ein zertifiziertes Rechenzentrum bietet meist besseren physischen Schutz, Redundanz, Notstrom und ein Sicherheitsteam, als ein Start-up mit einem Serverschrank leisten kann.

Risiken (je 2 Punkte), zwei aus:

• Verlust der Datenhoheit: Let’s Meet kann nicht selbst kontrollieren, wer beim Anbieter physisch oder administrativ Zugriff hat; es muss sich auf Verträge und Nachweise verlassen.
• Fehlkonfiguration: Für die Einstellungen ist Let’s Meet selbst verantwortlich; ein versehentlich öffentlich freigegebener Speicherbereich macht Profilbilder für alle abrufbar.
• Gekaperte Cloud-Konten: Wer die Zugangsdaten eines Admin-Kontos erbeutet, erreicht alle Daten von überall; ohne MFA ist das ein großes Risiko.
• Abhängigkeit vom Anbieter: Bei Ausfall, Insolvenz oder Preiserhöhung ist ein Wechsel schwer (Lock-in), und es ist unklar, ob alle Kopien gelöscht werden.
• Zugriff aus Drittländern: Beschäftigte oder Behörden außerhalb der EU könnten auf die Daten zugreifen.

Je Export 1 Punkt:

• Export A: personenbezogen mit Klarnamen; Name und E-Mail-Adresse identifizieren die Person direkt.
• Export B: pseudonymisiert; der Code ersetzt das Konto, über die getrennt verwahrte Zuordnungstabelle lässt sich die Person wieder ermitteln. Die Daten bleiben personenbezogen und unterliegen der DSGVO.
• Export C: anonym; die Zahlen sind über viele Personen zusammengefasst und lassen sich niemandem mehr zuordnen. Die DSGVO gilt dafür nicht.

Empfehlung (2 Punkte): Export C. Für die Frage, welche Aktivitätsarten beliebt sind, braucht Jonas keine Einzelpersonen; Datenminimierung verlangt, nur so viele Daten zu verarbeiten, wie für den Zweck nötig sind. Export B wäre nur nötig, wenn Verläufe je Person ausgewertet werden sollen (z. B. „Wer wandert, spielt auch Brettspiele?“), und dann nur ohne Zugriff auf die Zuordnungstabelle.

Rückführung (2 Punkte): Wer Zugriff auf die Zuordnungstabelle hat, kann jeden Code einem Konto zuordnen. Auch ohne sie können seltene Kombinationen eine Person verraten, z. B. ein Code, der als Einzige*r an einer kleinen Aktivität an einem bestimmten Datum teilgenommen hat, wenn jemand die Teilnehmenden kennt. Deshalb sollte auch Export C sehr kleine Gruppen zusammenfassen oder weglassen.

Je Fehler mit Korrektur 2 Punkte, drei aus:

• Neustart vor der Isolation (07:55): Der Neustart vernichtet Spuren und kann die Schadsoftware weiter ausführen. Richtig: Server sofort vom Netz trennen, Zustand und Protokolle sichern, erst dann analysieren.
• Späte Isolation (09:30): Fast zwei Stunden konnte sich der Angriff weiter ausbreiten. Richtig: sofort isolieren und Zugänge sperren.
• Irreführende Information (11:00): „Wartungsarbeiten“ verschleiert den Vorfall. Richtig: sachlich über die Störung informieren; bei hohem Risiko die Betroffenen nach Art. 34 DSGVO benachrichtigen.
• Späte interne Meldung (Do 10:00): Geschäftsführung und Datenschutzbeauftragte müssen sofort eingebunden werden, damit Notfallplan, Risikobewertung und Meldung rechtzeitig laufen.
• Meldung aufgeschoben: Die Meldung an die Aufsichtsbehörde darf nicht warten, bis alles geklärt ist (siehe eb).
• Wiederherstellung ohne Prüfung (Di 16:00): Die Sicherung sollte erst eingespielt werden, wenn Einfallstor und Zeitpunkt der Infektion bekannt sind, sonst wird die Lücke mit wiederhergestellt.

Frist (1 Punkt): 72 Stunden ab Bekanntwerden am Montag, 07:40 Uhr, also bis Donnerstag, 12.11.2026, 07:40 Uhr; die interne Meldung erst am Donnerstag um 10:00 Uhr kommt schon zu spät.

Begründung (2 Punkte): Schon die Verschlüsselung ist eine Datenpanne, weil die Verfügbarkeit der Daten verletzt ist; ein Risiko für die Nutzenden ist nicht auszuschließen. Art. 33 Abs. 4 DSGVO erlaubt, die Meldung schrittweise zu ergänzen: Let’s Meet meldet fristgerecht, was bekannt ist, und reicht die Ergebnisse der Analyse nach.

Bewertung (2 Punkte): Das Vorgehen ist nicht zulässig. Die echten Daten aller Nutzenden werden für einen anderen Zweck (Fehlersuche) und in viel größerem Umfang verwendet als nötig (Zweckbindung, Datenminimierung); auf dem Notebook sind sie schlechter geschützt, ein Verlust oder ein Blick über die Schulter im Zug wäre eine Datenpanne.

Alternative (1 Punkt), z. B.: Fehler mit synthetischen Testdaten nachstellen; falls echte Daten nötig sind, nur einen kleinen, pseudonymisierten Auszug in einer abgesicherten Testumgebung verwenden; Notebook-Festplatte verschlüsseln.

Je erläuterter Maßnahme 2 Punkte, zwei aus: Verzeichnis der Verarbeitungstätigkeiten um die neuen Verarbeitungen ergänzen; Datenschutz-Folgenabschätzung, weil große Mengen an Standort- und Interessendaten verarbeitet werden; AV-Vertrag mit dem Anbieter; TOM festlegen (Verschlüsselung, Rollen- und Rechtekonzept, MFA, Protokollierung, Backup); Löschkonzept technisch umsetzen; Datenschutzerklärung anpassen; Beschäftigte schulen und sensibilisieren; Notfallplan für Datenpannen.

Je 1 Punkt, zwei aus: abschließbare Fahrradboxen oder ein abgeschlossener Fahrradkäfig; bessere Beleuchtung; Akku-Schließfächer bzw. Hinweis, Akkus mit in den Unterricht zu nehmen; Stellplatz näher an einen belebten, einsehbaren Bereich verlegen; Kontrollgänge des Hausmeisters.

Umstände (2 Punkte): Die Kamera muss geeignet und erforderlich sein, also wenn die milderen Mittel nicht ausreichen oder schon erfolglos waren, und die Interessen der Gefilmten dürfen nicht überwiegen. Das spricht für eine auf den Stellplatz begrenzte, gekennzeichnete Überwachung mit kurzer Speicherdauer, idealerweise nur zu den Zeiten, in denen die Diebstähle passieren.

Rechtsgrundlage (1 Punkt): das Landesdatenschutzgesetz, in NRW § 20 DSG NRW (Videoüberwachung öffentlich zugänglicher Bereiche durch öffentliche Stellen); ein privates Unternehmen würde sich dagegen auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen.

Je Einstellung 2 Punkte (1 Punkt Begründung, 1 Punkt Verbesserung), fünf aus:

• Blickfeld: Der Gehweg ist öffentlicher Raum außerhalb des Grundstücks, im Lehrerzimmer werden Beschäftigte an ihrem Arbeits- und Pausenort erfasst; beides ist für den Zweck nicht nötig. Besser: Kamera nur auf die Fahrradständer ausrichten und Gehweg und Fenster dauerhaft verpixeln (Privacy Masking).
• Aufzeichnung: Eine Aufzeichnung rund um die Uhr erfasst viele Menschen ohne Anlass. Besser: Aufzeichnung auf die Zeiten begrenzen, in denen gestohlen wird, oder nur bei Bewegung am Stellplatz aufzeichnen. (Eine begründete Daueraufzeichnung mit kurzer Löschfrist ist ebenfalls vertretbar.)
• Speicherort: Alle Lehrkräfte hätten Zugriff; der Kreis der Berechtigten ist viel zu groß, und das Verwaltungsnetz ist nicht vom Kameranetz getrennt. Besser: verschlüsselte Speicherung in einem eigenen Netz (VLAN), Zugriff nur für zwei benannte Personen nach dem Vier-Augen-Prinzip, Zugriffe protokolliert.
• Löschung: 14 Tage sind ohne besonderen Grund zu lang. Besser: automatische Löschung nach 48 bis 72 Stunden (bei Ferien bzw. Wochenenden ggf. etwas länger); nur Aufnahmen zu einem konkreten Diebstahl werden gesichert.
• Live-Bild: Unbeteiligte am Tresen sehen, wer am Stellplatz ist; ein Live-Bild ist für die Aufklärung von Diebstählen nicht nötig. Besser: kein öffentlich einsehbarer Monitor, Live-Bild höchstens für Berechtigte.
• Hinweisschild: Das Schild muss vor dem überwachten Bereich hängen, damit Betroffene vor dem Betreten informiert sind. Besser: Schild mit Verantwortlichem, Zweck, Rechtsgrundlage, Speicherdauer und Kontakt der Datenschutzbeauftragten direkt am Zugang zum Stellplatz.
• Bewegungsalarm: Standbilder landen auf einem privaten Gerät, über das die Schule keine Kontrolle hat (Weitergabe, Cloud-Backups, Verlust). Besser: Alarm ohne Bild auf ein dienstliches Gerät oder ganz verzichten.

Je Anfrage 2 Punkte (Entscheidung mit Begründung 1 Punkt, Grundsatz bzw. Recht 1 Punkt):

1. Nein. Die Kamera dient dem Schutz vor Diebstahl; eine Kontrolle der Pünktlichkeit ist ein anderer, nicht vereinbarer Zweck. Grundsatz: Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO).
2. Ja. Die Aufklärung von Straftaten am Stellplatz ist genau der festgelegte Zweck; die Herausgabe an die Strafverfolgungsbehörde wird dokumentiert, die Aufnahme danach gelöscht, wenn sie nicht mehr gebraucht wird. Grundsatz: Zweckbindung bzw. Speicherbegrenzung (die Aufnahme durfte wegen des Vorfalls länger gespeichert bleiben).
3. Ja, die Schule muss antworten. Er hat ein Auskunftsrecht (Art. 15 DSGVO): Die Schule teilt mit, ob Aufnahmen von ihm vorliegen, zu welchem Zweck und wie lange sie gespeichert werden; meist sind sie wegen der kurzen Löschfrist schon gelöscht. Andere Personen auf einer Aufnahme werden vor einer Herausgabe unkenntlich gemacht.

Vergleich (je Variante 2 Punkte):

Empfehlung (1 Punkt): Variante B, weil sie den Zweck (Auslastung anzeigen) ohne personenbezogene Daten erfüllt (Datenminimierung, Privacy by Design).

Je 1 Punkt, zwei aus: Datenschutz-Grundverordnung (DSGVO); Bundesdatenschutzgesetz (BDSG, u. a. Beschäftigtendatenschutz) bzw. Datenschutzgesetz NRW (DSG NRW); Betriebsverfassungsgesetz bzw. Landespersonalvertretungsgesetz (Mitbestimmung bei technischen Einrichtungen zur Überwachung).

Schutz der Daten (je 1 Punkt), zwei aus: verschlüsselte Übertragung (TLS, VPN); Benutzer- und Rollenrechte im Ortungsportal; Protokollierung der Zugriffe; Speicherung auf eigenem Server oder bei einem Anbieter mit AV-Vertrag; kurze Speicherfristen mit automatischer Löschung.

Vorgaben (je 1 Punkt), zwei aus: festgelegter Zweck (Einsatzplanung), keine Nutzung zur Leistungs- oder Verhaltenskontrolle; Information der Beschäftigten und Beteiligung des Betriebs- bzw. Personalrats; Ortung nur während der Dienstzeit bzw. abschaltbar bei Pausen und Privatfahrten; Datenminimierung (z. B. nur aktuelle Position statt vollständiger Routen speichern).

Bewertung (3 Punkte): Fingerabdruck-Merkmale zur eindeutigen Identifizierung sind biometrische Daten und gehören zu den besonderen Kategorien nach Art. 9 DSGVO; ihre Verarbeitung ist grundsätzlich verboten und nur in Ausnahmen erlaubt, etwa mit ausdrücklicher Einwilligung. Im Beschäftigungsverhältnis ist die Freiwilligkeit fraglich, und für einen Serverraum genügen meist mildere Mittel. Die zentrale Speicherung erhöht den Schaden bei einem Angriff, denn ein Fingerabdruck lässt sich nicht wie ein Passwort ändern; nötig wäre mindestens eine Datenschutz-Folgenabschätzung.

Alternative (1 Punkt), z. B.: Transponder mit PIN (Zwei-Faktor) und Zutrittsprotokoll; oder Biometrie nur freiwillig und mit Speicherung des Merkmals ausschließlich auf der Karte der jeweiligen Person.

• Nur dienstliche Nutzung erlaubt (2 Punkte): Die E-Mails sind dienstliche Post der Schule; ein Zugriff bei dienstlichem Bedarf ist grundsätzlich möglich, aber nur in einem geregelten Verfahren: auf Anordnung der Schulleitung, mit Vier-Augen-Prinzip und Beteiligung der Datenschutzbeauftragten bzw. des Personalrats, beschränkt auf dienstlich nötige Mails, dokumentiert und mit Information der Lehrerin.
• Private Nutzung erlaubt (1 Punkt): Im Postfach können private Mails liegen, die besonders geschützt sind (Vertraulichkeit der Kommunikation, ggf. Fernmeldegeheimnis); ein Zugriff ist dann nur mit Einwilligung der Lehrerin oder nach einer Dienstvereinbarung zulässig.
• Milderes Mittel (1 Punkt), z. B.: Abwesenheitsnotiz mit Kontakt der Vertretung einrichten; neue Mails nach Absprache an die Vertretung weiterleiten; für Elternanfragen künftig ein Funktionspostfach nutzen.