aiMOOC

Wirtschaft Sozialkunde und berufliche Verantwortung – Datenschutz im Berufsalltag anwenden

QR-Code

Einleitung

Wirtschaft Sozialkunde und berufliche Verantwortung – Datenschutz im Berufsalltag anwenden

Dieser Lernkurs richtet sich an Auszubildende in kaufmännischen und verwaltenden Berufen. Du trainierst drei Fragen, die im Berufsalltag fast immer zuerst helfen: Wofür brauchen wir die Daten? Welche Daten sind wirklich nötig? Wer darf darauf zugreifen?

Kurzbeschreibung: Zweckbindung verhindert eine beliebige Weiterverwendung von Daten. Datenminimierung begrenzt die Erhebung auf das notwendige Maß. Berechtigung sorgt dafür, dass nur Personen mit passender Aufgabe Zugriff erhalten.

Alle Personen-, Unternehmens-, Adress-, Kontakt-, Rechnungs- und Geschäftsdaten in den Lernfällen sind vollständig fiktiv. Fiktive E-Mail-Adressen verwenden die reservierte Endung example.invalid.

Lernziele

Nach dem Kurs kannst Du betriebliche Situationen nach Zweck, Datenbedarf und Berechtigung prüfen, eine einfache Rollenmatrix erstellen, datensparsame Produktmerkmale vergleichen, einen Datenschutzvorfall richtig intern eskalieren und kaufmännische Modellrechnungen von Datenschutzfragen trennen.

Rechtsstand und Modellannahmen

Rechtsstand der Quellenprüfung: 9. Oktober 2026. Maßgeblich sind insbesondere die DSGVO, das BDSG und für den kaufmännischen Modellfall das UStG. Der Kurs ersetzt keine Rechtsberatung und keine betrieblichen Datenschutzanweisungen.

Art. 5 DSGVO nennt unter anderem Zweckbindung, Datenminimierung, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Art. 6 DSGVO verlangt für jede Verarbeitung eine passende Rechtsgrundlage. Art. 32 DSGVO fordert risikogerechte technische und organisatorische Maßnahmen. Für Beschäftigtendaten ist in Deutschland insbesondere § 26 BDSG relevant; Auszubildende zählen dort ausdrücklich zu den Beschäftigten.

Steuermodell: Für den Produktvergleich wird ausschließlich ein fiktiver inländischer Standardfall mit 19 % Umsatzsteuer angenommen. Der ermäßigte Satz von 7 % gilt nur für gesetzlich bestimmte Umsätze und wird hier nicht verwendet. Sonderfälle wie Reverse Charge oder grenzüberschreitende Leistungen sind nicht Bestandteil des Lernfalls.

Pflichtangaben im Rechnungsfall: Geprüft werden die für den Modellfall wesentlichen Angaben nach § 14 Abs. 4 UStG, darunter vollständige Namen und Anschriften, Steuernummer oder USt-IdNr., Ausstellungsdatum, Rechnungsnummer, Leistungsbeschreibung, Leistungszeitpunkt, Entgelt, Steuersatz und Steuerbetrag. Besondere Zusatzpflichten können je nach Fall hinzukommen.

Kurze Lerneinheiten

Lerneinheit 1: Erst der Zweck

Ein Zweck beschreibt, warum Daten verarbeitet werden. Beim Verkauf eines Produkts kann die Lieferadresse für die Vertragserfüllung nötig sein. Dieselbe Adresse später für einen anderen Zweck zu verwenden, verlangt eine neue Prüfung.

Merksatz: Kein Datenfeld ohne erklärbaren Zweck.

Mini-Fall: Ein Kunde bestellt Ware. Die Adresse wird für Lieferung und Rechnung benötigt. Eine Freizeitinteressen-Liste gehört nicht automatisch zu diesem Zweck.

Lerneinheit 2: Daten minimieren

Datenminimierung bedeutet: nur Daten verarbeiten, die für den festgelegten Zweck angemessen, relevant und notwendig sind. Ein Pflichtfeld ist nicht deshalb zulässig, weil es technisch leicht einzubauen ist.

Prüffrage: Was würde im Prozess konkret nicht funktionieren, wenn dieses Datenfeld fehlt?

Vorgang	Eher erforderlich	Im Modellfall nicht erforderlich
Paketversand	Name, Lieferadresse	Geburtsdatum, Hobby
Rechnungsversand per E-Mail	E-Mail-Adresse	private Social-Media-Kennung
Rückruf auf ausdrücklichen Wunsch	Telefonnummer	Familienstand

Lerneinheit 3: Berechtigung nach Aufgabe

Nicht jede beschäftigte Person braucht Zugriff auf alle Daten. Ein Rollen- und Berechtigungskonzept begrenzt Zugriffe auf die jeweilige Aufgabe. Das unterstützt Vertraulichkeit und schützt vor unbefugter Verarbeitung.

Rolle	Benötigte Daten	Nicht benötigt
Verkauf	Kontaktdaten, Auftrag	Lohn- und Gehaltsdaten
Versand	Artikel, Liefername, Lieferadresse	Zahlungsnotizen, Marketingprofil
Buchhaltung	Rechnungsdaten, Zahlung	private Interessen
Personalabteilung	Beschäftigtendaten für Personalaufgaben	Kundendaten ohne Personalbezug

Merksatz: Zugriff folgt der Aufgabe, nicht der Neugier.

Lerneinheit 4: Technischer Schutz gehört dazu

Berechtigungen wirken nur zusammen mit sicheren Konten, Authentisierung, sauberer Rechtevergabe und betrieblichen Meldewegen.

Praxisregel: Teile Benutzerkonten nicht. Nutze nur die Rechte, die Dir für Deine Aufgabe zugewiesen wurden. Melde ungewöhnliche Zugriffe oder Fehlversendungen sofort über den betrieblichen Meldeweg.

Lerneinheit 5: Gesprächsmedium – der Teamchat

Fiktiver Teamchat:

Person	Nachricht
Mika Beispiel, Auszubildende Person	„Die Kundendatei enthält Geburtsdaten. Darf ich daraus eine Geburtstagsaktion machen?“
Frau Lern, Ausbilderin	„Welcher ursprüngliche Zweck wurde den Kundinnen und Kunden genannt?“
Mika Beispiel	„Bestellung, Lieferung und Rechnung.“
Frau Lern	„Dann prüfst Du vor jeder neuen Nutzung Zweck, Rechtsgrundlage, Information der Betroffenen und ob die Daten dafür überhaupt benötigt werden.“

Gesprächsimpuls: Formuliere in zwei Sätzen, warum „Die Daten sind doch schon da“ keine ausreichende Begründung ist.

Lerneinheit 6: Mobiles Arbeiten und Zugriff

Auch außerhalb des Betriebs gilt: Zugriff nur über freigegebene Systeme und nur auf Daten, die für die Aufgabe gebraucht werden. Sichtschutz, Sperrbildschirm, sichere Authentisierung und vertrauliche Gesprächsführung gehören zur beruflichen Verantwortung.

Ausbildungsfall: Bestellung, CRM und Berechtigungen

Die Kaufwerk Lernhandel GmbH ist ein vollständig fiktiver Ausbildungsbetrieb. Adresse: Lernweg 12, 12345 Musterstadt. E-Mail: kontakt@kaufwerk.example.invalid.

Die fiktive Kundin Samira Muster bestellt 12 Schreibtischlampen. Für Auftrag, Lieferung und Rechnung liegen folgende Daten vor: Name, Lieferadresse, Rechnungsadresse und E-Mail-Adresse. Zusätzlich schlägt das CRM Pflichtfelder für Geburtsdatum, Beruf, private Mobilnummer und Freizeitinteressen vor.

Mika Beispiel soll den Bestellprozess prüfen. Gleichzeitig bittet die Marketingabteilung um Zugriff auf die gesamte Kundendatei.

Dreischritt für die Falllösung

Schritt	Leitfrage	Ergebnis im Ausbildungsfall
Zweck	Wofür werden die Daten gebraucht?	Bestellung, Lieferung, Rechnung, Servicekommunikation
Datenminimierung	Welche Felder sind dafür notwendig?	Nur die für den konkreten Ablauf erforderlichen Angaben
Berechtigung	Welche Rolle benötigt welche Daten?	Verkauf, Versand und Buchhaltung erhalten getrennte, aufgabenbezogene Zugriffe

Gestufte Hilfen

Hilfe 1 – Denkfrage: Streiche jedes Datenfeld, dessen Fehlen den genannten Geschäftsprozess nicht verhindert.

Hilfe 2 – Prüfschema: Zweck nennen → notwendige Daten markieren → Rechtsgrundlage prüfen → Rollen festlegen → Speicher- und Löschregeln beachten.

Hilfe 3 – Startlösung: Für den Versand braucht die Versandrolle die Lieferadresse, aber keine Freizeitinteressen. Für eine neue Marketingnutzung reicht das bloße Vorhandensein der Bestelldaten nicht.

Basisaufgabe mit Feedback

Aufgabe: Ordne Geburtsdatum, Lieferadresse, Freizeitinteressen und E-Mail-Adresse danach, ob sie im beschriebenen Bestellprozess notwendig sind.

Begründetes Feedback: Lieferadresse und E-Mail-Adresse können für Lieferung und Bestellkommunikation erforderlich sein. Geburtsdatum und Freizeitinteressen sind für den beschriebenen Standardkauf nicht notwendig. Genau deshalb sind sie im Modellfall keine geeigneten Pflichtfelder.

Anwendungsaufgabe mit Feedback

Aufgabe: Entwirf eine Berechtigungsmatrix für Verkauf, Versand, Buchhaltung und Marketing.

Begründetes Feedback: Eine gute Lösung gibt jeder Rolle nur die Daten, die für ihre Aufgabe erforderlich sind. Marketing erhält nicht automatisch Zugriff auf sämtliche Bestell- und Zahlungsdaten. Entscheidend ist die begründete Verbindung zwischen Aufgabe und Datenzugriff.

Transferaufgabe mit Feedback

Aufgabe: Die Geschäftsleitung möchte später eine Kundenclub-App einführen. Erkläre, welche Prüfungen vor der Übernahme der Bestelldaten in die App nötig sind.

Begründetes Feedback: Eine tragfähige Lösung prüft neuen Zweck, Rechtsgrundlage, Informationspflichten, Datenumfang, Empfänger, Speicherdauer, Sicherheitsmaßnahmen und Berechtigungen. Der Transfer ist nicht allein deshalb zulässig, weil die Daten bereits im Unternehmen vorhanden sind.

Produktvergleich: Fiktive CRM-Angebote

Alle drei Produkte und Anbieter sind erfunden. Es handelt sich um eine Lernsimulation, nicht um reale Kaufempfehlungen.

Merkmal	Kompass CRM Basis	RollenWerk CRM	MaxiLead CRM
Nettopreis pro Monat	48,00 €	62,00 €	45,00 €
Bruttopreis bei 19 % Modell-USt	57,12 €	73,78 €	53,55 €
Pflichtfelder frei reduzierbar	teilweise	ja	nein
Rollenbasierte Berechtigungen	zwei Rollen	fein konfigurierbar	alle Mitarbeitenden sehen fast alles
Löschregeln konfigurierbar	manuell	ja	eingeschränkt
Zugriffsprotokoll	einfach	vorhanden	nicht vorgesehen

Kaufmännischer Fall: Du sollst eine begründete Vorauswahl treffen. Der niedrigste Preis ist nur ein Kriterium. Bewerte zusätzlich Datenminimierung, Berechtigung, Löschbarkeit, Protokollierung und tatsächlichen Funktionsbedarf.

Begründetes Feedback: Eine gute Entscheidung nennt Ziel und Muss-Kriterien, vergleicht Funktionen statt Werbeversprechen und dokumentiert Abwägungen. Ein teureres Produkt ist nicht automatisch datenschutzkonform; ein billigeres Produkt ist nicht automatisch wirtschaftlicher, wenn notwendige Schutzfunktionen fehlen.

Rechnungscheck im Produktvergleich

Fiktive Rechnung der RollenWerk Lernsoftware GmbH, Datenstraße 7, 12345 Musterstadt:

Feld	Angabe
Leistender Unternehmer	RollenWerk Lernsoftware GmbH, Datenstraße 7, 12345 Musterstadt
Leistungsempfänger	Kaufwerk Lernhandel GmbH, Lernweg 12, 12345 Musterstadt
Ausstellungsdatum	09.10.2026
Rechnungsnummer	RE-2026-4711
Leistung	CRM-Nutzung Paket RollenWerk
Nettobetrag	62,00 €
Umsatzsteuer	19 % = 11,78 €
Bruttobetrag	73,78 €
Steuernummer oder USt-IdNr.	fehlt im Übungsbeleg
Leistungszeitpunkt	fehlt im Übungsbeleg

Aufgabe: Finde die fehlenden Pflichtangaben und erkläre, warum Datenschutz und Rechnungsrecht getrennt geprüft werden müssen.

Begründetes Feedback: Im Modellbeleg fehlen mindestens die ausgewiesenen Felder Steuernummer oder USt-IdNr. und Leistungszeitpunkt. Datenschutz beantwortet die Frage, ob und wie personenbezogene Daten verarbeitet werden dürfen. Das Rechnungsrecht legt fest, welche Angaben eine Rechnung enthalten muss. Eine Datenangabe kann daher datenschutzrechtlich sensibel und zugleich gesetzlich erforderlich sein.

Gesprächsmedium: Datenschutzpanne im Alltag

Fiktive Situation: Mika Beispiel verschickt versehentlich eine Kundenliste an die falsche interne Gruppe.

Reaktion	Bewertung
Datei heimlich löschen und nichts sagen	ungeeignet, weil der Vorfall nicht bewertet und dokumentiert werden kann
betrieblichen Meldeweg sofort nutzen	geeignet, damit Risiko und weitere Maßnahmen fachlich geprüft werden
Liste in einen privaten Messenger kopieren	ungeeignet, weil dadurch weitere unkontrollierte Verarbeitung entsteht

Wichtig: Ob eine Meldung an die Aufsichtsbehörde nötig ist, entscheidet sich nach den Voraussetzungen der DSGVO und der Risikobewertung. Beschäftigte sollen den Vorfall unverzüglich intern nach dem vorgesehenen Prozess melden.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Was beschreibt die Zweckbindung am besten? (Daten werden nur für festgelegte legitime Zwecke verarbeitet) (!Daten dürfen für jeden späteren Zweck genutzt werden) (!Alle Daten müssen für immer gespeichert werden) (!Jede Abteilung darf dieselben Daten sehen)

Was bedeutet Datenminimierung? (Nur für den Zweck notwendige Daten verarbeiten) (!Möglichst viele Daten vorsorglich sammeln) (!Alle Felder als Pflichtfelder einrichten) (!Daten nach jeder Nutzung veröffentlichen)

Woran orientiert sich eine sinnvolle Berechtigung? (An der konkreten Aufgabe einer Rolle) (!An persönlicher Neugier) (!An der Betriebszugehörigkeit allein) (!Am Wunsch nach möglichst vielen Zugriffen)

Welche Angabe ist im beschriebenen Standardversand typischerweise erforderlich? (Lieferadresse) (!Freizeitinteresse) (!Familienstand) (!Lieblingsfarbe)

Welche Rechtsgrundlage passt im Modellfall typischerweise zur Verarbeitung der Lieferadresse für die Bestellung? (Vertragserfüllung) (!Beliebige Vorratsspeicherung) (!Öffentliche Bekanntmachung) (!Persönliche Neugier)

Was ist bei einem neuen Werbezweck zuerst zu tun? (Zweck und Rechtsgrundlage erneut prüfen) (!Alle vorhandenen Daten sofort kopieren) (!Berechtigungen für alle freischalten) (!Die ursprüngliche Information ignorieren)

Wie sollte ein Berechtigungskonzept gestaltet sein? (Zugriffe werden auf notwendige Aufgaben begrenzt) (!Alle erhalten Administratorrechte) (!Passwörter werden im Team geteilt) (!Private Geräte erhalten automatisch Vollzugriff)

Was ist bei einer versehentlichen Fehlversendung ein sinnvoller erster interner Schritt? (Den betrieblichen Meldeweg unverzüglich nutzen) (!Den Vorfall verheimlichen) (!Die Datei in sozialen Medien posten) (!Alle Protokolle löschen)

Welcher Umsatzsteuersatz wird im fiktiven Standardfall dieses Kurses verwendet? (19 Prozent) (!5 Prozent) (!12 Prozent) (!25 Prozent)

Welche Angabe fehlt im fiktiven Rechnungsbeleg ausdrücklich? (Leistungszeitpunkt) (!Bruttobetrag) (!Rechnungsnummer) (!Ausstellungsdatum)

Memory

Zweckbindung	festgelegter Verarbeitungszweck
Datenminimierung	nur notwendige Daten
Berechtigung	Zugriff nach Aufgabe
Vertraulichkeit	Schutz vor unbefugter Kenntnisnahme
Vertragserfüllung	mögliche Rechtsgrundlage im Bestellfall
Löschregel	Ende nicht mehr benötigter Speicherung

Drag and Drop

Ordne die richtigen Begriffe zu.	Thema
Zweckbindung	Daten nur für festgelegte Zwecke verwenden
Datenminimierung	Datenumfang auf das Notwendige begrenzen
Berechtigung	Zugriff passend zur Aufgabe vergeben
Vertraulichkeit	Unbefugte Kenntnisnahme verhindern
Rechenschaftspflicht	Einhaltung des Datenschutzes nachweisen können

...

Kreuzworträtsel

Zweckbindung	Welcher Grundsatz begrenzt die Nutzung auf festgelegte Zwecke?
Datenminimierung	Welcher Grundsatz verlangt möglichst wenige notwendige Daten?
Berechtigung	Wie heißt die geregelte Erlaubnis für einen Zugriff?
Vertraulichkeit	Welcher Schutz verhindert unbefugte Kenntnisnahme?
Pseudonymisierung	Welche Maßnahme ersetzt direkte Zuordnungsmerkmale durch Kennungen?
Rechenschaft	Welcher Begriff steht für die Pflicht, Datenschutzkonformität nachweisen zu können?

LearningApps

Lückentext

Personenbezogene Daten dürfen nicht ohne einen festgelegten

verarbeitet werden.

Nach dem Grundsatz der Datenminimierung soll nur das

erhoben werden.

Ein Zugriff auf Kundendaten braucht eine passende

.

Für jede Verarbeitung ist eine tragfähige

zu prüfen.

Nicht mehr benötigte Daten müssen nach den geltenden Regeln zur

behandelt werden.

Unbefugte Kenntnisnahme verletzt die

.

Im kaufmännischen Modellfall gilt ein Umsatzsteuersatz von

.

Eine Rechnung braucht im Modellfall unter anderem einen

.

Offene Aufgaben

Leicht

Datenfelder prüfen: Untersuche ein fiktives Bestellformular und kennzeichne notwendige, optionale und überflüssige Felder.
Gespräch vorbereiten: Schreibe einen kurzen Dialog, in dem Du einer Kollegin erklärst, warum vorhandene Daten nicht automatisch für Werbung genutzt werden dürfen.
Rollen erkennen: Erstelle vier Karten für Verkauf, Versand, Buchhaltung und Personal und notiere jeweils zwei notwendige Zugriffe.
Produktvergleich: Entscheide Dich im fiktiven CRM-Vergleich für zwei Produkte, die in die engere Wahl kommen, und begründe Deine Vorauswahl.

Standard

Bestellformular gestalten: Entwirf ein datensparsames Formular für den fiktiven Lampenauftrag und begründe jedes Pflichtfeld.
Berechtigungsmatrix: Erstelle eine Tabelle mit Rollen, Datenarten, Lesen, Ändern und Löschen und begründe jede Freigabe.
Rechnungsprüfung: Vervollständige den fiktiven Übungsbeleg mit den fehlenden Pflichtangaben, ohne reale Daten zu verwenden.
Datenschutzgespräch: Spiele zu zweit ein Gespräch zwischen Auszubildenden und Ausbilderin nach, in dem eine neue Marketingidee datenschutzrechtlich geprüft wird.

Schwer

Privacy by Design: Formuliere fünf Muss-Kriterien für die Beschaffung eines neuen CRM-Systems und ordne sie Zweck, Datenminimierung oder Berechtigung zu.
Vorfallanalyse: Entwickle für eine fiktive Fehlversendung eine interne Meldekette und begründe, welche Informationen zur Risikobewertung benötigt werden.
Zweckänderung: Prüfe, ob Bestelldaten in einen fiktiven Kundenclub übernommen werden sollten, und entwickle zwei datensparsame Alternativen.
Lernvideo erstellen: Produziere ein kurzes Erklärvideo mit ausschließlich fiktiven Daten zum Dreischritt Zweck – Daten – Berechtigung und kennzeichne Quellen und Medienlizenzen.

Lernkontrolle

Transferfall Kundenclub: Begründe für einen neuen fiktiven Kundenclub, welche Bestelldaten übernommen werden dürfen, welche nicht und welche Prüfungen vorher nötig sind.
Berechtigungen neu ordnen: Eine Abteilung wird umstrukturiert. Entwickle ein Verfahren, mit dem alte Zugriffe entzogen und neue Zugriffe nachvollziehbar vergeben werden.
CRM-Beschaffung: Vergleiche Datenschutzfunktionen, Preis und Arbeitsaufwand der drei fiktiven CRM-Angebote und dokumentiere eine begründete Entscheidung ohne pauschale Compliance-Aussage.
Fehlversendung bewerten: Erkläre, welche betrieblichen Informationen zur Bewertung einer versehentlichen Empfängerwahl benötigt werden und warum schnelles internes Melden wichtig ist.
Datensparsame Prozessverbesserung: Überarbeite einen fiktiven Kundenprozess so, dass weniger personenbezogene Daten verarbeitet werden, ohne den Geschäftsprozess zu blockieren.
Rechnung und Datenschutz: Zeige an einem fiktiven Beleg, wie gesetzlich notwendige Rechnungsangaben und datenschutzrechtliche Datenminimierung gleichzeitig berücksichtigt werden können.

Lernnachweis

Für einen überzeugenden Lernnachweis ist wichtig, dass Du Entscheidungen begründest statt nur Begriffe aufzuzählen.

Zweck prüfen: Du kannst für einen Verarbeitungsvorgang einen konkreten Zweck formulieren.
Daten minimieren: Du kannst notwendige von nur nützlichen oder überflüssigen Daten unterscheiden.
Berechtigungen begründen: Du kannst Zugriffe aus betrieblichen Aufgaben ableiten.
Rechtsgrundlage einordnen: Du erkennst, dass eine Verarbeitung eine passende Rechtsgrundlage braucht.
Kaufmännisch abwägen: Du kannst Preis, Funktion, Datenschutzanforderungen und Prozessnutzen gemeinsam bewerten.
Verantwortung übernehmen: Du kennst den betrieblichen Meldeweg bei möglichen Datenschutzvorfällen und handelst nicht eigenmächtig.

Quellen- und Medienprüfung

Fachquellen, geprüft am 9. Oktober 2026:

EUR-Lex: Datenschutz-Grundverordnung – insbesondere Art. 5, 6, 13 und 32.
Gesetze im Internet: § 26 BDSG – Beschäftigtendaten; Auszubildende sind erfasst.
Gesetze im Internet: § 12 UStG – Regelsteuersatz 19 %, ermäßigter Satz 7 % für gesetzlich bestimmte Umsätze.
Gesetze im Internet: § 14 UStG – Rechnungsangaben.
IHK München: DSGVO in der Unternehmenspraxis – betriebliche Umsetzung und verlinkte Webinare.
BSI: Cyber-Sicherheit für Unternehmen – organisatorische und technische Schutzpraxis.

Medienrechte:

– Wikimedia Commons, CC0 1.0.
– Wikimedia Commons, CC0 1.0.
– Wikimedia Commons, CC0 1.0.
– Wikimedia Commons, CC BY-SA 4.0, Urheber: Nikowsk.
– Wikimedia Commons; Darstellung einer im Amtsblatt der EU veröffentlichten Seite mit den dort angegebenen Nutzungsbedingungen.
Die eingebetteten YouTube-Videos stammen aus öffentlich verlinkten Angeboten von IHK München beziehungsweise BSI. Für sie wird keine offene OER-Lizenz behauptet; Rechte und Nutzungsbedingungen verbleiben bei den jeweiligen Rechteinhabern und Plattformanbietern.