Kostenfreie Datenschutz-Schulung

Geschrieben von Gitte Wehming am 23.07.2025.

Datenschutz-Onlineschulung für Mitarbeiter oder Interessierte + Teilnahmebescheinigung

Willkommen zur Datenschutz-Online-Schulung

Datenschutz begegnet uns jeden Tag – und gerade im beruflichen Alltag oft häufiger, als wir zunächst denken. Der Umgang mit E-Mails, Kundendaten, Dokumenten, Passwörtern oder mobilen Endgeräten kann bereits datenschutzrechtlich relevant sein. Umso wichtiger ist es, typische Situationen richtig einzuschätzen und personenbezogene Daten verantwortungsvoll und sicher zu behandeln.

Genau hier setzt diese Online-Schulung an. Anhand von praxisnahen Fragen und Situationen aus dem beruflichen Alltag können Sie Ihr Wissen rund um Datenschutz und den sicheren Umgang mit personenbezogenen Daten überprüfen und gleichzeitig auffrischen.

Zu jeder Frage stehen Ihnen vier Antwortmöglichkeiten zur Verfügung, von denen jeweils eine Antwort richtig ist. Lesen Sie die jeweilige Fragestellung und die dazugehörigen Antwortmöglichkeiten aufmerksam durch und entscheiden Sie sich anschließend für die aus Ihrer Sicht richtige Antwort.

Wichtig: Sobald Sie eine Antwort ausgewählt und bestätigt haben, ist diese für den laufenden Durchgang verbindlich und kann nachträglich nicht mehr geändert werden. Überlegen Sie daher in Ruhe, bevor Sie Ihre Auswahl treffen. Anschließend geht es mit der nächsten Frage weiter. Eine bereits abgegebene Antwort kann erst im Rahmen eines neuen Durchgangs der Online-Schulung erneut beantwortet werden.

Ziel dieser Schulung ist es nicht, datenschutzrechtliche Vorschriften auswendig zu lernen. Vielmehr geht es darum, ein gutes Verständnis dafür zu entwickeln, wie Datenschutz im täglichen Arbeitsumfeld praktisch umgesetzt werden kann, Risiken frühzeitig zu erkennen und in typischen Situationen angemessen zu handeln.

Um die Online-Schulung erfolgreich abzuschließen und eine Teilnahmebescheinigung zu erhalten, müssen Sie mindestens 75 % der Fragen richtig beantworten. Sollten Sie dieses Ergebnis in einem Durchgang nicht erreichen, können Sie die Schulung jederzeit erneut absolvieren und Ihr Wissen nochmals unter Beweis stellen.

Hinweis zu den Illustrationen

Einzelne Illustrationen und grafische Darstellungen dieser Online-Schulung wurden unter Einsatz Künstlicher Intelligenz (KI) erstellt. Sie dienen ausschließlich der anschaulichen Vermittlung und Veranschaulichung der jeweiligen Schulungsinhalte. Dargestellte Personen, Situationen und Szenarien sind grundsätzlich fiktiv.

Ergänzende KI-Online-Schulung

Neben dem Datenschutz gewinnt auch der verantwortungsvolle und sichere Umgang mit Künstlicher Intelligenz im beruflichen Alltag zunehmend an Bedeutung.

Wenn Sie Ihr Wissen auch in diesem Bereich überprüfen und erweitern möchten, steht Ihnen ergänzend unsere kostenfreie KI-Online-Schulung für Mitarbeiterinnen und Mitarbeiter, sowie für Interessierte, zur Verfügung.

Weitere Informationen sowie die KI-Online-Schulung finden Sie unter:

https://edsb-deutschland.de/kostenfreie-ki-datenschutz-schulung/

Nehmen Sie sich für die einzelnen Fragen ausreichend Zeit, lesen Sie die Antwortmöglichkeiten aufmerksam durch und treffen Sie Ihre Auswahl mit Bedacht.

Nach erfolgreichem Abschluss der Online-Schulung erhalten Sie im Anschluss eine E-Mail mit einem persönlichen Link, über den Ihre Teilnahmebescheinigung zum Download bereitsteht. Bitte prüfen Sie gegebenenfalls auch Ihren Spam- bzw. Junk-E-Mail-Ordner, falls die Nachricht nicht unmittelbar in Ihrem Posteingang erscheint.

Wir wünschen Ihnen viel Erfolg bei der Datenschutz-Online-Schulung!

Ich stimme der Verarbeitung meiner personenbezogenen Daten gemäß der Datenschutzerklärung zum Zwecke der Schulungsteilnahme zu und habe die Datenschutzerklärung gelesen.

Vor- und Nachname

Firmennamen

Emailadresse

Was besagt die Clean-Desk-Policy im Büroalltag?

Unterlagen dürfen während der Arbeitszeit liegen bleiben, wenn nur Beschäftigte derselben Abteilung Zugang haben

Es genügt, vertrauliche Unterlagen nach Arbeitsende wegzuräumen; bei kurzen Abwesenheiten ist keine Sicherung erforderlich

Vertrauliche Unterlagen werden so verwahrt, dass Unbefugte keinen Zugriff erhalten, insbesondere wenn der Arbeitsplatz verlassen wird

Papierunterlagen können liegen bleiben, wenn der Bildschirm gesperrt und das Büro nicht öffentlich zugänglich ist

Wie sollten Ausdrucke mit personenbezogenen Daten am Arbeitsplatz behandelt werden?

In einem abschließbaren Schrank oder Rollcontainer aufbewahren

Unter anderen Arbeitsunterlagen ablegen, damit die Daten nicht sofort sichtbar sind

Am Drucker bereithalten, wenn die Unterlagen noch am selben Tag benötigt werden

In einer Ablage am eigenen Arbeitsplatz aufbewahren, solange nur Kollegen Zugang haben

Was gehört NICHT zum Clean Desk Prinzip?

Nicht mehr benötigte sensible Unterlagen über den vorgesehenen Weg zu entsorgen

Arbeitsunterlagen nach der Bearbeitung ordentlich und geschützt abzulegen

Vertrauliche Unterlagen bei Abwesenheit in verschlossenen Schränken zu verwahren

Zugangsdaten sichtbar am Arbeitsplatz zu hinterlegen, damit Vertretungen darauf zugreifen können

Wie müssen sensible Daten per E-Mail verschickt werden?

Über die normale Firmen-E-Mail, sofern ausschließlich interne Empfänger angeschrieben werden

Über einen geeigneten geschützten Übermittlungsweg, zum Beispiel Verschlüsselung oder ein freigegebenes sicheres Portal

Als PDF-Datei mit dem Zusatz „Vertraulich“ im Betreff

Über BCC, weil dadurch auch der Inhalt der Nachricht geschützt wird

Was sollte man bei E-Mails besonders prüfen?

Ob alle Empfänger bereits früher ähnliche Nachrichten erhalten haben

Ob bei vertraulichen Nachrichten vorsorglich ein Kollege in CC gesetzt wurde

Ob die Nachricht eine vollständige Signatur und einen eindeutigen Betreff enthält

Ob Empfängeradresse und Empfänger korrekt sind und die Empfänger die Informationen erhalten dürfen

Wann dürfen personenbezogene Daten per E-Mail versendet werden?

Wenn der Versand ausschließlich zwischen zwei Firmen-E-Mail-Adressen erfolgt

Wenn der Empfänger persönlich bekannt ist und eine geschäftliche E-Mail-Adresse verwendet

Wenn die Übermittlung zulässig ist und die erforderlichen Schutzmaßnahmen eingehalten werden

Wenn die Daten für einen betrieblichen Vorgang dringend benötigt werden

Wie verstehe ich die Bezeichnungen „An“, „CC“ und „BCC“ – und wie versende ich ein Rundschreiben DSGVO-konform?

Alle Empfänger gehören in „An“, wenn sie dieselbe Nachricht erhalten und die Adressen geschäftlich sind

„An“ und „CC“ machen Empfänger sichtbar; bei einem Rundschreiben an voneinander unabhängige Empfänger kann BCC zum Schutz der Adressen geeignet sein

CC ist bei Rundschreiben grundsätzlich datenschutzkonform, weil die Empfänger nur eine Kopie erhalten

BCC sollte nur verwendet werden, wenn die Empfänger ausdrücklich anonym bleiben möchten

Wie sind Ausdrucke mit personenbezogenen Daten zu entsorgen?

Über den vorgesehenen sicheren Vernichtungsweg, zum Beispiel einen geeigneten Aktenvernichter bzw. Datenschutzbehälter

Über das betriebliche Altpapier, sofern keine Gesundheits- oder Bankdaten enthalten sind

Gesammelt in einem geschlossenen Karton, der später mit dem übrigen Papier entsorgt wird

Über den normalen Papiermüll, wenn die Unterlagen zuvor von Hand zerrissen wurden

Was ist beim Drucken sensibler Daten wichtig?

Bei internen Druckern reicht es aus, wenn der Druckraum nur Beschäftigten zugänglich ist

Den Ausdruck zeitnah abzuholen und zu verhindern, dass Unbefugte ihn einsehen können

Den Druckauftrag nur auf einem Drucker innerhalb der eigenen Abteilung zu starten

Den Ausdruck spätestens am Ende des Arbeitstages vom Drucker zu entfernen

10.

Wie sollten Faxgeräte mit personenbezogenen Daten verwendet werden?

Nur nach telefonischer Vorankündigung beim Empfänger; dann ist eine weitere Nummernprüfung nicht erforderlich

Nur außerhalb der Geschäftszeiten, damit Dritte das Fax nicht zufällig sehen

Bei gespeicherten Faxnummern ist keine erneute Empfängerprüfung erforderlich

Mit sorgfältiger Prüfung von Empfänger und Zielnummer sowie unter Beachtung der internen Sicherheitsvorgaben

11.

Was ist ein sicheres Passwort?

Ein ausreichend langes, schwer zu erratendes und möglichst nur für dieses Konto verwendetes Passwort; soweit vorgesehen ergänzt durch Mehr-Faktor-Authentisierung

Ein persönlicher Merksatz mit Namen oder Geburtsdaten, wenn zusätzlich Zahlen verwendet werden

Ein Passwort, das regelmäßig durch Änderung einzelner Zeichen angepasst wird

Ein komplexes Passwort mit Sonderzeichen, das für mehrere betriebliche Systeme verwendet werden kann

12.

Wie oft sollten Passwörter geändert werden?

Nur dann, wenn die IT-Abteilung einen allgemeinen Passwortwechsel anordnet

In festen Abständen von drei Monaten, unabhängig davon, ob es Hinweise auf einen Missbrauch gibt

Nicht nach einer starren Frist; insbesondere bei Verdacht auf Offenlegung oder Kompromittierung muss es geändert werden

Einmal jährlich, sofern das Passwort ausreichend lang und komplex ist

13.

Was ist bei Passwortweitergabe erlaubt?

Die Weitergabe an einen direkten Vertreter, wenn dieser dieselben Zugriffsrechte benötigt

Die Weitergabe nach Zustimmung einer Führungskraft, wenn das Passwort anschließend geändert wird

Persönliche Passwörter werden nicht weitergegeben; stattdessen sind vorgesehene Vertretungs- oder Berechtigungswege zu nutzen

Die Weitergabe innerhalb derselben Abteilung, sofern sie nur kurzfristig erfolgt

14.

Was ist eine Datenpanne im Sinne der DSGVO?

Jeder technische Fehler, der die Bearbeitung personenbezogener Daten vorübergehend erschwert

Eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung bzw. zum unbefugten Zugang zu personenbezogenen Daten führt

Jede falsche Eingabe in ein IT-System, auch wenn sie sofort korrigiert wird und keine personenbezogenen Daten betroffen sind

Eine Sicherheitsstörung, bei der ein internes System kurzfristig nicht verfügbar ist, ohne dass personenbezogene Daten betroffen sind

15.

Wie schnell muss eine Datenpanne gemeldet werden?

Innerhalb von sieben Tagen, wenn der Vorfall dokumentiert und zunächst intern untersucht wird

Innerhalb von 72 Stunden durch den Mitarbeiter direkt an die Datenschutzaufsicht, sobald personenbezogene Daten betroffen sein könnten

Erst nachdem intern abschließend festgestellt wurde, dass betroffenen Personen tatsächlich ein Schaden entstanden ist

Beschäftigte sollten einen möglichen Vorfall unverzüglich intern melden; eine gegebenenfalls erforderliche Meldung an die Aufsichtsbehörde erfolgt durch den Verantwortlichen möglichst binnen 72 Stunden nach Bekanntwerden

16.

Was ist nach Entdeckung einer Panne zu tun?

Den Vorfall unverzüglich über den vorgesehenen internen Meldeweg, etwa an Datenschutz oder IT, melden

Zunächst selbst alle Einzelheiten klären und erst nach Abschluss der eigenen Prüfung melden

Den falschen Empfänger zuerst kontaktieren und nur melden, wenn sich der Vorfall nicht beheben lässt

Den Vorgang dokumentieren und bei der nächsten regulären Besprechung mit der Führungskraft ansprechen

17.

Was ist bei vertraulichen Gesprächen am Telefon zu beachten?

Darauf zu achten, dass Unbefugte nicht mithören können und erforderlichenfalls die Berechtigung des Gesprächspartners zu prüfen

Bei internen Gesprächspartnern kann auf besondere Vorsicht verzichtet werden, wenn die Rufnummer bekannt ist

Zur Absicherung grundsätzlich einen zweiten Mitarbeiter als Zeugen mithören zu lassen

Vertrauliche Gespräche möglichst nur über ein dienstliches Telefon zu führen

18.

Darf man Auskünfte über Mitarbeiterdaten am Telefon geben?

Ja, gegenüber Führungskräften und Personalabteilung grundsätzlich ohne weitere Prüfung

Ja, wenn der Anrufer eine interne Telefonnummer verwendet und die betreffende Abteilung nennt

Nur nach ausreichender Identifizierung des Anrufers und Prüfung seiner Berechtigung

Ja, wenn der Anrufer glaubhaft erklärt, dass er die Angaben für einen dienstlichen Vorgang benötigt

19.

Wie erkennt man möglicherweise unberechtigte Anfragen?

Vor allem daran, dass der Anrufer keine Firmen-E-Mail-Adresse nennt

An fehlender oder nicht überprüfbarer Identifikation, ungewöhnlichen Fragen, Zeitdruck oder dem Versuch, übliche Prüfungen zu umgehen

Vor allem an einer unbekannten Telefonnummer oder einer sehr kurzen Anfrage

An einem unsicheren Auftreten oder daran, dass der Anfragende keine genauen Fachbegriffe verwendet

20.

Wer darf auf personenbezogene Daten zugreifen?

Führungskräfte grundsätzlich auf alle personenbezogenen Daten ihres Verantwortungsbereichs

Jeder Beschäftigte mit einem persönlichen Firmenkonto, sofern die Daten nicht nach außen weitergegeben werden

Alle Beschäftigten derselben Abteilung, wenn die Daten für die Abteilungsarbeit allgemein relevant sind

Nur Personen, die für ihre konkrete Aufgabe entsprechend autorisiert sind und den Zugriff benötigen

21.

Wie sollten personenbezogene Daten gespeichert werden?

Auf einem verschlüsselten privaten USB-Stick, wenn dieser ausschließlich für dienstliche Zwecke verwendet wird

Auf dem lokalen Desktop, wenn der Rechner mit Passwort und Bildschirmsperre geschützt ist

In einem privaten Cloudspeicher, wenn dort Zwei-Faktor-Authentisierung aktiviert wurde

Auf vom Unternehmen freigegebenen, angemessen geschützten Systemen und Speicherorten mit passenden Zugriffsrechten

22.

Was bedeutet „Need-to-Know“-Prinzip?

Beschäftigte erhalten Zugriff auf alle Daten ihres Teams, damit Vertretungen jederzeit möglich sind

Nur wer bestimmte Daten zur Erfüllung seiner konkreten Aufgabe benötigt, erhält entsprechenden Zugriff

Führungskräfte erhalten grundsätzlich einen umfassenderen Zugriff als ihre Mitarbeitenden

Innerhalb des Unternehmens dürfen Informationen ausgetauscht werden, wenn ein allgemeiner betrieblicher Nutzen besteht

23.

Wie sind USB-Sticks mit sensiblen Daten zu behandeln?

Ein Kennwort für die darauf gespeicherten Dateien genügt unabhängig von den betrieblichen Vorgaben

Nach dem Kopieren der Daten reicht es aus, die Dateien vom USB-Stick in den Papierkorb zu verschieben

Sie sind entsprechend den betrieblichen Vorgaben zu schützen, insbesondere durch geeignete Verschlüsselung und sichere Aufbewahrung

Sie können innerhalb des Unternehmens offen aufbewahrt werden, wenn der Firmen-PC zusätzlich passwortgeschützt ist

24.

Was gilt für private Geräte am Arbeitsplatz (z.B. Handys)?

Sie dürfen für dienstliche Daten nur genutzt werden, soweit dies nach den betrieblichen Vorgaben freigegeben und angemessen abgesichert ist

Sie dürfen für dienstliche E-Mails genutzt werden, solange keine Anhänge gespeichert werden

Sie dürfen verwendet werden, wenn mindestens eine PIN oder biometrische Sperre eingerichtet ist

Sie sind unproblematisch, wenn dienstliche Daten nach der Nutzung wieder gelöscht werden

25.

Was gilt für private USB-Sticks im Firmen-PC?

Sie dürfen verwendet werden, wenn zuvor ein Virenscan durchgeführt wurde

Sie dürfen nur entsprechend den betrieblichen bzw. IT-Sicherheitsvorgaben und gegebenenfalls nach Freigabe verwendet werden

Sie sind zulässig, solange keine personenbezogenen Daten darauf kopiert werden

Sie können genutzt werden, wenn der Computer währenddessen nicht mit dem Internet verbunden ist

26.

Was ist „Phishing“?

Ein Täuschungsversuch, bei dem Angreifer etwa Zugangsdaten oder andere sensible Informationen erlangen wollen

Ein Verfahren zur verschlüsselten Übertragung vertraulicher Nachrichten

Eine technische Prüfung, mit der Links und Anhänge vor dem Öffnen kontrolliert werden

Eine Methode, unerwünschte E-Mails automatisch zu erkennen und auszusortieren

27.

Woran erkennt man Phishing-Mails?

An Anhängen oder Links; seriöse geschäftliche E-Mails enthalten solche Elemente grundsätzlich nicht

Ausschließlich an Rechtschreibfehlern oder einer ungewöhnlichen Gestaltung der Nachricht

Vor allem daran, dass die Nachricht besonders kurz ist und keine vollständige Signatur enthält

An möglichen Warnsignalen wie unerwarteten Aufforderungen, Zeitdruck, ungewöhnlichen Absendern, Links oder Anmeldeaufforderungen

28.

Wie verhält man sich bei verdächtigen E-Mails?

Die Nachricht öffnen, aber keine Anhänge herunterladen, solange die Echtheit nicht bestätigt ist

Die Nachricht an einen Kollegen weiterleiten und fragen, ob er den Absender kennt

Nicht über verdächtige Links oder Anhänge handeln und die Nachricht über den vorgesehenen IT-/Sicherheitsweg prüfen bzw. melden

Dem Absender antworten und um eine schriftliche Bestätigung bitten, bevor weitere Schritte erfolgen

29.

Was ist das Ziel der DSGVO?

Besonders sensible Daten wie Gesundheits- und Bankdaten europaweit zu schützen; sonstige Daten fallen nur eingeschränkt darunter

Einheitliche Regeln für Unternehmensgeheimnisse und personenbezogene Daten zu schaffen

Den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten und zugleich den freien Verkehr personenbezogener Daten im europäischen Rechtsrahmen sicherzustellen

Die Verarbeitung personenbezogener Daten innerhalb der EU auf notwendige Ausnahmefälle zu beschränken

30.

Was versteht man unter „personenbezogenen Daten“?

Informationen über Privatpersonen; Daten von Beschäftigten im beruflichen Umfeld zählen grundsätzlich nicht dazu

Nur Angaben, durch die eine Person unmittelbar mit Name und Anschrift identifiziert werden kann

Nur vertrauliche Informationen, die eine Person nicht öffentlich zugänglich gemacht hat

Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen

31.

Wo dürfen Personalakten aufbewahrt werden?

In einem geeigneten geschützten Bereich, zum Beispiel einem abschließbaren Schrank mit geregelter Zugriffskontrolle

In einer Personalabteilung grundsätzlich offen, weil nur Beschäftigte des Unternehmens Zugang haben

Am Arbeitsplatz der zuständigen Führungskraft, wenn das Büro außerhalb der Arbeitszeit verschlossen wird

In einer zentralen Ablage der Abteilung, solange die Unterlagen nicht das Gebäude verlassen

32.

Wer darf Einsicht in eine Personalakte nehmen?

Jede Führungskraft, wenn die Personalakte einen Mitarbeiter des eigenen Bereichs betrifft

Nur Personen, die für ihre jeweilige Aufgabe entsprechend befugt sind, etwa zuständige HR-Mitarbeitende oder berechtigte Führungskräfte

Externe Dienstleister, sobald sie im Auftrag des Unternehmens mit Personalthemen arbeiten

Alle Beschäftigten der Personalabteilung, weil sie organisatorisch für Personalangelegenheiten zuständig sind

33.

Wie lange dürfen Personalakten aufbewahrt werden?

Nur so lange, wie ein zulässiger Zweck oder eine gesetzliche Aufbewahrungspflicht die weitere Speicherung rechtfertigt

Unbegrenzt, wenn der Zugriff nach dem Ausscheiden des Mitarbeiters eingeschränkt wird

Grundsätzlich für die gesamte Dauer des Arbeitsverhältnisses und anschließend einheitlich zehn Jahre

Bis alle möglichen Ansprüche aus dem Arbeitsverhältnis verjährt sind; andere Aufbewahrungspflichten spielen keine Rolle

34.

Was gilt laut DSGVO bei Räumen mit personenbezogenen Daten?

Eine geschlossene Bürotür genügt immer, wenn sich der Raum innerhalb eines Firmengebäudes befindet

Der Raum muss nur außerhalb der Geschäftszeiten abgeschlossen werden; tagsüber genügt die Anwesenheit von Kollegen

Es reicht aus, Computer zu sperren; Papierunterlagen benötigen innerhalb eines Firmengebäudes keine besondere Sicherung

Räume und Unterlagen müssen entsprechend dem Schutzbedarf und den betrieblichen Zutrittsregeln gegen unbefugten Zugriff gesichert werden

35.

Wer darf Zutritt zu sensiblen Bereichen erhalten?

Alle Führungskräfte sowie externe Dienstleister mit einem aktuellen Auftrag

Besucher nach Anmeldung am Empfang, sofern sie durch einen Mitarbeitenden angekündigt wurden

Nur Personen mit der erforderlichen Zutrittsberechtigung; Besucher oder Dienstleister gegebenenfalls nur nach den vorgesehenen Regeln

Alle Beschäftigten des Unternehmens, sofern sie einen Mitarbeiterausweis tragen

36.

Was ist bei der Zugangskontrolle zu beachten?

Zutrittsprotokolle müssen für jeden Raum und jede Bewegung aller Beschäftigten dauerhaft geführt werden

Zutritt ist so zu steuern und – soweit vorgesehen – nachvollziehbar zu dokumentieren, dass Unbefugte keinen Zugang zu geschützten Bereichen erhalten

Ein Mitarbeiterausweis genügt grundsätzlich als Zugangskontrolle für alle Unternehmensbereiche

Eine Anmeldung am Empfang ist nur bei Besuchern erforderlich; bei Beschäftigten sind keine weiteren Beschränkungen nötig

1 out of 3

37.

Wozu dient ein Verzeichnis von Verarbeitungstätigkeiten (VVT)?

Zur Dokumentation, welche Beschäftigten auf welche IT-Systeme zugreifen dürfen

Zur strukturierten Dokumentation der Verarbeitungstätigkeiten personenbezogener Daten und wesentlicher Angaben dazu

Zur zentralen Ablage sämtlicher Einwilligungen und Datenschutzinformationen des Unternehmens

Zur Dokumentation aller IT- und Dienstleisterverträge, bei denen personenbezogene Daten eine Rolle spielen

38.

Wer ist für das Verzeichnis von Verarbeitungstätigkeiten verantwortlich?

Die IT-Abteilung, weil sie die technischen Verarbeitungssysteme verwaltet

Die jeweilige Fachabteilung allein, weil sie den konkreten Geschäftsprozess am besten kenntennt

Der Verantwortliche für die Datenverarbeitung im Unternehmen; der Datenschutzbeauftragte kann dabei beraten und überwachen

Der Datenschutzbeauftragte, weil er die Einhaltung der DSGVO unabhängig überwacht

39.

Was muss in einem Verzeichnis von Verarbeitungstätigkeiten stehen?

Unter anderem Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfängerkategorien sowie – soweit möglich – Löschfristen und eine allgemeine Beschreibung von Sicherheitsmaßnahmen

Nur Rechtsgrundlage, verantwortlicher Mitarbeiter und Name des Datenschutzbeauftragten; technische Angaben gehören nicht in das VVT

Für jeden Vorgang die vollständigen Namen sämtlicher betroffener Personen und die zugehörigen Einzelangaben

Vor allem die eingesetzten IT-Systeme, Benutzerkonten und individuellen Zugriffsrechte aller Beschäftigten

40.

Wann ist ein Auftragsverarbeitungsvertrag (AVV) erforderlich?

Bei jedem Vertrag mit einem IT-Dienstleister, unabhängig davon, ob dieser personenbezogene Daten verarbeitet

Nur wenn der externe Dienstleister besondere Kategorien personenbezogener Daten verarbeitet

Vor allem bei Dienstleistern außerhalb der EU; innerhalb der EU ist grundsätzlich kein AVV erforderlich

Wenn ein externer Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Unternehmens verarbeitet

41.

Was regelt ein Auftragsverarbeitungsvertrag (AVV)?

Die Bedingungen, unter denen der Dienstleister personenbezogene Daten für eigene Geschäftszwecke weiterverwenden darf

Nur Haftung und Meldepflichten bei Datenschutzverletzungen; technische und organisatorische Maßnahmen werden getrennt geregelt

Vor allem die Rechtsgrundlage, auf der das Unternehmen personenbezogene Daten seiner Kunden oder Beschäftigten verarbeitet

Die datenschutzrechtlichen Rechte und Pflichten der Parteien bei der Verarbeitung im Auftrag, einschließlich Weisungen und Schutzmaßnahmen

42.

Muss ein Auftragsverarbeitungsvertrag schriftlich geschlossen werden?

Der Vertrag bzw. das andere Rechtsinstrument muss schriftlich abgefasst sein; die elektronische Form ist dabei zulässig

Nur wenn besondere Kategorien personenbezogener Daten oder Daten in Drittländern verarbeitet werden

Nein. Eine mündliche Vereinbarung genügt, wenn sie von beiden Seiten intern dokumentiert wird

Ja, aber ausschließlich mit handschriftlicher oder qualifizierter elektronischer Unterschrift beider Parteien

43.

Was ist der Zweck eines Datenschutzkonzepts?

Alle datenschutzrechtlichen Verträge, Einwilligungen und Informationspflichten in einem einzigen Dokument zusammenzufassen

Datenschutzmaßnahmen, Verantwortlichkeiten und organisatorische Abläufe im Unternehmen systematisch zu planen und umzusetzen

Vor allem einen Nachweis für Prüfungen der Aufsichtsbehörde bereitzuhalten; für Beschäftigte ist das Konzept nicht maßgeblich

Die technischen Sicherheitsmaßnahmen der IT vollständig zu dokumentieren; organisatorische Themen werden separat geregelt

44.

Was gehört in ein Datenschutzkonzept?

Nur technische Sicherheitsmaßnahmen, Löschfristen und die Kontaktdaten des Datenschutzbeauftragten

Datenschutzerklärung, Impressum und sämtliche Verträge des Unternehmens mit externen Dienstleistern

Datenschutzorganisation, Zuständigkeiten, Schutzmaßnahmen, Risikobetrachtungen sowie Schulungs- und Sensibilisierungsmaßnahmen

Vor allem die vollständigen personenbezogenen Datenbestände von Beschäftigten und Kunden, damit Risiken bewertet werden können

45.

Wer muss das Datenschutzkonzept kennen?

Nur Beschäftigte, die regelmäßig besondere Kategorien personenbezogener Daten verarbeiten

Nur die Geschäftsführung und der Datenschutzbeauftragte, weil sie die Verantwortung dafür tragen

Die Beschäftigten müssen die für ihre jeweiligen Aufgaben relevanten Datenschutzvorgaben und Abläufe kennen und beachten

Alle Beschäftigten müssen das vollständige Datenschutzkonzept und sämtliche zugrunde liegenden Vorschriften kennen

46.

Was regeln Löschfristen nach DSGVO?

Wie lange sämtliche geschäftlichen Unterlagen unabhängig von ihrem Inhalt aufbewahrt werden müssen

Wie lange personenbezogene Daten für einen zulässigen Zweck beziehungsweise aufgrund rechtlicher Pflichten gespeichert werden dürfen oder müssen

Nach welchem Zeitraum E-Mails automatisch aus dem persönlichen Postfach eines Beschäftigten gelöscht werden

Nach welcher einheitlichen Frist personenbezogene Daten eines Unternehmens spätestens zu löschen sind

47.

Wann beginnt die Löschfrist für personenbezogene Daten?

Mit Eingang der Einwilligung, weil ab diesem Zeitpunkt die zulässige Speicherdauer läuft

Erst wenn die betroffene Person ausdrücklich die Löschung verlangt oder ihre Einwilligung widerruft

Grundsätzlich am Ende des Kalenderjahres, in dem die Daten zuletzt verwendet wurden

Wenn der Zweck der Verarbeitung entfällt, ist zu prüfen, ob die Daten zu löschen sind oder ob beispielsweise gesetzliche Aufbewahrungspflichten eine weitere Speicherung rechtfertigen

48.

Welche Daten müssen archiviert statt gelöscht werden?

Daten, die aufgrund gesetzlicher Aufbewahrungspflichten für einen bestimmten Zeitraum weiter aufbewahrt werden müssen

Nur steuerliche Daten; für andere personenbezogene Unterlagen gibt es keine gesetzlichen Aufbewahrungspflichten

Alle Daten, die älter als zwei Jahre sind und im Tagesgeschäft nicht mehr benötigt werden

Alle personenbezogenen Daten ausgeschiedener Beschäftigter bis zum Ablauf einer einheitlichen zehnjährigen Frist

49.

Ab wie vielen Beschäftigten ist ein Datenschutzbeauftragter zu benennen?

Ab 20 Personen, die in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; daneben können weitere gesetzliche Benennungspflichten bestehen

Ab 10 Personen, die regelmäßig mit personenbezogenen Daten arbeiten

Ab 50 Beschäftigten, unabhängig davon, ob diese personenbezogene Daten verarbeiten

Erst ab 100 Beschäftigten; kleinere Unternehmen können einen Datenschutzbeauftragten nur freiwillig benennen

50.

Wer kann Datenschutzbeauftragter sein?

Grundsätzlich die Geschäftsführung, weil sie die höchste Verantwortung für die Datenverarbeitung trägt

Eine interne oder externe Person mit erforderlicher Fachkunde und Zuverlässigkeit, sofern insbesondere kein unzulässiger Interessenkonflikt besteht

Jede intern beschäftigte Person, sofern sie mindestens ein Jahr Berufserfahrung im Unternehmen hat

Nur ein externer Rechtsanwalt oder eine andere Person mit juristischer Berufsausbildung

2 out of 3

51.

Du verlässt während der Arbeitszeit für etwa zehn Minuten deinen Arbeitsplatz im Homeoffice. Wie solltest du mit deinem dienstlichen Computer umgehen?

Wenn sich der Computer in einem privaten Arbeitszimmer befindet, reicht es aus, sensible Anwendungen zu schließen und den Bildschirm eingeschaltet zu lassen

Der Computer sollte gesperrt werden, sobald der Arbeitsplatz verlassen wird, unabhängig davon, wie lange die Abwesenheit voraussichtlich dauert.

Eine Sperrung ist vor allem dann erforderlich, wenn sich während der Abwesenheit Personen außerhalb des eigenen Haushalts in der Wohnung befinden.

Bei einer kurzen Abwesenheit genügt es, den Bildschirm auszuschalten, sofern der Computer nach der Rückkehr unmittelbar weiterverwendet wird.

52.

Auf deinem Schreibtisch befinden sich Unterlagen mit Namen und Kontaktdaten von Kunden. Wie solltest du diese nach Arbeitsende behandeln?

Die Unterlagen können auf dem Schreibtisch verbleiben, wenn das Arbeitszimmer nach Feierabend normalerweise nicht von anderen Personen genutzt wird.

Es reicht aus, die Unterlagen umzudrehen oder mit anderen Dokumenten abzudecken, sofern keine besonders sensiblen Daten enthalten sind.

Die Unterlagen sollten entsprechend den betrieblichen Vorgaben so verwahrt werden, dass unbefugte Personen keinen Zugriff darauf beziehungsweise keine Einsicht darin erhalten.

Eine besondere Aufbewahrung ist nur erforderlich, wenn neben Namen und Kontaktdaten zusätzlich besonders schützenswerte Informationen enthalten sind.

53.

Dein Partner möchte deinen dienstlichen Laptop kurz benutzen, um eine private Internetseite aufzurufen. Welche Aussage trifft am ehesten zu?

Eine kurze Nutzung ist vertretbar, wenn ein separates Browserfenster verwendet wird und keine dienstlichen Programme geöffnet sind.

Eine Nutzung ist möglich, wenn du währenddessen anwesend bist und anschließend überprüfst, ob keine Dateien heruntergeladen wurden.

Entscheidend sind die betrieblichen Vorgaben; ohne entsprechende Erlaubnis sollte der dienstliche Laptop nicht von anderen Personen genutzt werden.

Die Nutzung ist unproblematisch, wenn für den privaten Zugriff ein separates Benutzerkonto ohne Administratorrechte eingerichtet wurde.

54.

Während eines dienstlichen Telefonats werden vertrauliche Informationen besprochen. Eine andere Person befindet sich im selben Raum. Was ist die angemessene Vorgehensweise?

Das Gespräch kann fortgeführt werden, wenn Namen und andere unmittelbar identifizierende Angaben möglichst vermieden werden.

Wenn die anwesende Person zum eigenen Haushalt gehört, genügt grundsätzlich ein Hinweis darauf, dass das Gespräch vertraulich ist.

Das Gespräch sollte so geführt werden, dass nicht berechtigte Personen die vertraulichen Inhalte nicht mithören können.

Ein Headset ist ausreichend, da dadurch verhindert wird, dass die andere Person die Aussagen des Gesprächspartners hört.

55.

Du hast im Homeoffice mehrere Seiten mit personenbezogenen Daten ausgedruckt und benötigst sie nicht mehr. Wie gehst du damit um?

Die Ausdrucke können zerrissen und anschließend über den privaten Papiermüll entsorgt werden, sofern Namen und Anschriften auf unterschiedliche Teile verteilt sind.

Die Ausdrucke werden zunächst geschützt aufbewahrt und anschließend auf dem vom Arbeitgeber vorgesehenen Weg sicher vernichtet.

Die Ausdrucke können bis zum nächsten Arbeitstag auf dem Schreibtisch gesammelt werden, sofern sie mit der bedruckten Seite nach unten abgelegt werden.

Die Unterlagen können über das private Altpapier entsorgt werden, wenn sie keine besonderen Kategorien personenbezogener Daten enthalten.

56.

Du erhältst eine E-Mail, die scheinbar von der IT-Abteilung stammt und dich wegen eines angeblichen Sicherheitsproblems zur erneuten Anmeldung über einen Link auffordert. Wie verhältst du dich?

Wenn Absendername und Unternehmenslogo korrekt aussehen, kann der Link geöffnet werden; die Zugangsdaten sollten jedoch erst nach Prüfung der Webseite eingegeben werden.

Die Nachricht sollte zunächst an einen Kollegen weitergeleitet werden, um zu klären, ob dieser eine vergleichbare Aufforderung erhalten hat.

Der Link sollte nicht verwendet werden; stattdessen sollte die Nachricht über die vorgesehenen betrieblichen Wege geprüft beziehungsweise gemeldet werden.

Die E-Mail kann beantwortet werden, um sich vom Absender bestätigen zu lassen, dass die Aufforderung tatsächlich von der IT-Abteilung stammt.

57.

Du möchtest eine dienstliche Datei am Abend auf einem anderen Gerät weiterbearbeiten. Welche Vorgehensweise ist aus Datenschutzsicht am ehesten richtig?

Die Datei kann vorübergehend auf einem privaten Gerät gespeichert werden, wenn dieses mit einem aktuellen Virenschutz ausgestattet und ausschließlich von dir genutzt wird.

Die Datei darf über einen privaten Cloud-Dienst übertragen werden, sofern dort eine Zwei-Faktor-Authentifizierung aktiviert ist.

Für Speicherung und Bearbeitung sollten die vom Arbeitgeber freigegebenen Geräte, Anwendungen und Speicherorte verwendet werden.

Die Datei kann auf einen privaten verschlüsselten USB-Stick kopiert werden, wenn sie nach Abschluss der Bearbeitung wieder gelöscht wird.

58.

Während einer Videokonferenz arbeitest du mit vertraulichen Dokumenten. Welche Maßnahme ist am sinnvollsten?

Ein Headset genügt grundsätzlich, wenn dadurch verhindert wird, dass andere Personen die Aussagen der übrigen Teilnehmer hören können.

Die Kamera kann ausgeschaltet werden; dadurch sind die wesentlichen Datenschutzanforderungen für die Umgebung des Arbeitsplatzes erfüllt.

Es sollte darauf geachtet werden, dass unbefugte Personen weder Gesprächsinhalte mithören noch vertrauliche Informationen auf Bildschirm oder Unterlagen einsehen können.

Andere Personen dürfen sich im Raum aufhalten, wenn sie außerhalb des Kamerabildes bleiben und nicht aktiv am Gespräch teilnehmen.

59.

Du stellst am Abend fest, dass dein dienstlicher Laptop vermutlich unterwegs verloren gegangen ist. Das Gerät ist mit Passwort und Verschlüsselung geschützt. Was solltest du tun?

Aufgrund der vorhandenen Verschlüsselung kann zunächst bis zum nächsten Arbeitstag abgewartet werden, bevor der Verlust gemeldet wird.

Zunächst sollte eigenständig nach dem Gerät gesucht werden; eine Meldung ist erst erforderlich, wenn sich der Verlust endgültig bestätigt.

Der mögliche Verlust sollte zeitnah über die vorgesehenen betrieblichen Meldewege gemeldet werden, damit die zuständigen Stellen die erforderlichen Maßnahmen beurteilen können.

Eine sofortige Meldung ist nur notwendig, wenn sicher bekannt ist, dass personenbezogene Daten lokal auf dem Gerät gespeichert wurden.

60.

Dein Arbeitsplatz befindet sich in einem Raum, der gelegentlich auch von anderen Personen deines Haushalts genutzt wird. Wie solltest du deinen Bildschirm positionieren?

Der Bildschirm kann frei sichtbar aufgestellt werden, wenn beim Verlassen des Arbeitsplatzes alle Anwendungen geschlossen werden.

Es genügt, besonders vertrauliche Anwendungen zu minimieren, sobald sich eine andere Person im Raum befindet.

Der Bildschirm sollte möglichst so positioniert beziehungsweise geschützt werden, dass nicht berechtigte Personen dienstliche Informationen nicht ohne Weiteres einsehen können.

Ein besonderer Sichtschutz ist hauptsächlich bei Besuchern erforderlich; bei Personen aus dem eigenen Haushalt kann grundsätzlich von ausreichender Vertraulichkeit ausgegangen werden.

3 out of 3

Datenschutz-Notfallkontakt: 0176-62 99 10 16 oder 030 – 51 63 50 30 / Kontaktformular

Kostenfreie Datenschutz-Schulung

Datenschutz-Onlineschulung für Mitarbeiter oder Interessierte + Teilnahmebescheinigung

Willkommen zur Datenschutz-Online-Schulung

Hinweis zu den Illustrationen

Ergänzende KI-Online-Schulung