07 · Datenschutz & IT-Recht

Personenbezogene Daten = alle Informationen über eine identifizierte oder identifizierbare Person (Name, Mail, IP-Adresse, Standort, Personalnummer). Besondere Kategorien (Gesundheit, Religion, Biometrie …) sind extra geschützt.

Rollen: Verantwortlicher (bestimmt Zweck/Mittel), Auftragsverarbeiter (verarbeitet im Auftrag – braucht AV-Vertrag, klassisch: Cloud-Anbieter, externes Rechenzentrum). Datenschutzbeauftragter ab i. d. R. 20 Personen mit ständiger automatisierter Verarbeitung bzw. bei besonderen Kategorien – berät und überwacht, weisungsfrei.

Die DSGVO gibt betroffenen Personen mehrere einklagbare Rechte gegenüber jedem, der ihre Daten verarbeitet – verletzt ein Unternehmen den Datenschutz, greift zusätzlich eine strenge Meldepflicht.

• Rechte der Betroffenen:
  • Auskunft (Art. 15)
  • Berichtigung (Art. 16)
  • Löschung / „Recht auf Vergessenwerden“ (Art. 17)
  • Einschränkung (Art. 18)
  • Datenübertragbarkeit (Art. 20)
  • Widerspruch (Art. 21)
  Frist für Antworten: unverzüglich, spätestens ein Monat.
• Datenpanne (Verletzung des Schutzes personenbezogener Daten): binnen 72 Stunden an die Aufsichtsbehörde melden, bei hohem Risiko auch die Betroffenen benachrichtigen. Intern: dokumentieren, Ursache abstellen.
• Sanktionen: Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes – beliebte Prüfungszahl.

Fallschema: 1) personenbezogene Daten? 2) Rechtsgrundlage? 3) Welche Grundsätze verletzt? 4) Welche Maßnahme/Meldung folgt?

Technische und organisatorische Maßnahmen setzen die DSGVO-Grundsätze konkret um – die gängige Einteilung folgt den Kontrollarten Zutritt, Zugang, Zugriff und mehr.

Plus Pseudonymisierung/Anonymisierung als datenschutzfreundliche Technik. TOM sind die Brücke zwischen Datenschutz (Kernthema 7) und IT-Sicherheit (Kernthema 6) – in Antworten ruhig querverweisen.

Software ist automatisch urheberrechtlich geschützt – was damit erlaubt ist, regelt allein die jeweilige Lizenz, und die Modelle dafür unterscheiden sich erheblich.

• Urheberrecht: Software ist automatisch geschützt; genutzt werden darf nur, was die Lizenz erlaubt. Privatkopie-Regeln gelten für Software nicht.
• Proprietär: Kauflizenz oder Subscription (Abo). Lizenzmetriken:
  • pro Gerät
  • Named User – feste Person
  • Concurrent User – gleichzeitige Nutzer, günstig bei Schichtbetrieb
  • pro CPU-Kern (Server!)
  • Volumenlizenzen
• Open Source: Quellcode offen, Nutzung frei – aber Bedingungen! GPL = Copyleft: abgeleitete, weitergegebene Software muss wieder GPL sein. MIT/BSD/Apache = permissiv: auch in Closed Source verwendbar (Hinweis behalten). „Kostenlos“ ≠ „ohne Pflichten“.
• Freeware/Shareware: gratis nutzbar bzw. Testmodell – Quellcode bleibt zu.

Klassische Aufgabe: Lizenzkosten vergleichen (30 Mitarbeiter, aber max. 12 gleichzeitig → Concurrent-Modell rechnen) oder GPL-Folgen für eine Eigenentwicklung beurteilen.

Je nachdem, ob ein Vertrag einen Erfolg, eine Tätigkeit oder eine Nutzungsüberlassung schuldet, greifen unterschiedliche Vertragstypen – für IT-Dienstleistungen kommt oft noch ein SLA mit messbaren Qualitätszusagen dazu.

Fernabsatzvertrag und Verbrauchsgüterkauf sind keine eigene „geschuldete Leistung“ wie die Zeilen darüber, sondern zusätzliche rechtliche Einordnungen, die meist zusammen mit einem Kaufvertrag auftreten – ein Online-Hardwarekauf an Privatkunden ist z. B. gleichzeitig Kaufvertrag, Fernabsatzvertrag und Verbrauchsgüterkauf. Beide bringen eigene Verbraucherschutzrechte mit: der Fernabsatzvertrag ein 14-tägiges Widerrufsrecht (§ 312g, § 355 BGB), der Verbrauchsgüterkauf die in 07.6 genannte Beweislastumkehr der ersten 12 Monate.

SLA (Service Level Agreement): vereinbart messbare Qualität – Verfügbarkeit (99,9 % …), Reaktions- vs. Wiederherstellungszeit, Servicezeiten (z. B. Mo–Fr 8–18), Eskalationswege, Vertragsstrafen (Pönalen), Berichtspflichten. Prüfungsaufgabe gern: „Erfüllt der Anbieter das SLA?“ → Ausfallminuten gegen zugesagte Verfügbarkeit rechnen (Formel in Kernthema 5.6).

Gewährleistung und Garantie werden im Alltag oft verwechselt, folgen aber unterschiedlichen Regeln – die eine ist gesetzlich vorgeschrieben, die andere eine freiwillige Zusage.

Reihenfolge der Rechte bei Mängeln: zuerst Nacherfüllung (Reparatur oder Ersatz, Wahl des Käufers), dann Rücktritt/Minderung, ggf. Schadensersatz. Zwischen Unternehmen (B2B) gilt zusätzlich: unverzügliche Rügepflicht (§ 377 HGB) – auch das ein Prüfungsliebling.