aiMOOC

Personaldaten sparsam und zweckgebunden bearbeiten - Finanzen Personal und Unternehmensentwicklung - Ausbildung

QR-Code

Einleitung

Du arbeitest im dritten Ausbildungsjahr als Industriekauffrau oder Industriekaufmann an einer rein fiktiven Lernsituation der Nordlicht Komponenten GmbH. Das Unternehmen stellt Montagebauteile her und will Personalprozesse vereinfachen. Deine Aufgabe: Daten für Bewerbung, Entgeltabrechnung und Weiterbildung nur dann erfassen, wenn es dafür einen bestimmten Zweck und eine tragfähige Rechtsgrundlage gibt. Du entscheidest nicht über echte Beschäftigte. Verwende ausschließlich die nachstehenden erfundenen Zahlen und keine echten Namen, Personalakten, Bewerbungen oder Zugangsdaten.

Lernziele: Du kannst Personaldaten und besondere Datenarten unterscheiden, Zweck und Erforderlichkeit prüfen, eine einfache Berechtigungsmatrix entwerfen, Aufbewahrung und Löschung begründet organisieren und den Erfolg eines verbesserten Ablaufs mit Kennzahlen belegen. Hinweis: Dieser Kurs ist Ausbildungsmaterial, keine Rechtsberatung oder rechtliche Vollfreigabe; betriebliche Freigaben und erforderliche Fachaufsicht bleiben notwendig.

Bild zum europäischen Datenschutzrahmen: Dooffy, CC0 1.0, Wikimedia Commons; Quellen- und Lizenznachweis unten.

Personaldaten und Datenschutzgrundsätze

Was zählt zu Personaldaten?

Personenbezogene Daten sind Angaben, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen etwa Personalnummer, Gehalt, Vertragsbeginn, Dienst-E-Mail-Adresse sowie gegebenenfalls Kombinationen scheinbar harmloser Merkmale. Schon das Erfassen, Speichern, Weitergeben, Ändern und Löschen ist eine Verarbeitung. Daten einer anderen Person werden durch eine erfundene Kennung nicht automatisch anonym.

'Besonders geschützte Kategorien nach Art. 9 DSGVO umfassen unter anderem Gesundheitsdaten und Daten über Gewerkschaftszugehörigkeit. Ihre Verarbeitung verlangt neben einer passenden Grundlage nach Art. 6 eine einschlägige Ausnahme nach Art. 9 und zusätzliche Schutzmaßnahmen. Im Lernfall werden solche Angaben nicht erhoben.

Fehler beim Erstellen des Vorschaubildes:

Symbolbild: Person und Schutzschild, Gregor Cresnar, CC BY 3.0; nicht als juristische Prüfgrafik verstehen.

Zweckbindung und Datenminimierung

Nach Art. 5 Abs. 1 Buchst. b DSGVO braucht die Erhebung einen festgelegten, eindeutigen und legitimen Zweck. Eine spätere Nutzung für einen anderen Zweck benötigt eine gesonderte Prüfung der Vereinbarkeit beziehungsweise eine andere tragfähige Rechtsgrundlage. Nach Art. 5 Abs. 1 Buchst. c DSGVO dürfen nur Daten verwendet werden, die für den jeweiligen Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sind.

Beispiel: Zur Einladung zum Bewerbungsgespräch können geeignete Kontaktdaten und Qualifikationsangaben erforderlich sein. Angaben über private Freizeitgewohnheiten sind dafür regelmäßig nicht notwendig. Auch ein zunächst freiwillig ausgefülltes Feld wird dadurch nicht automatisch rechtmäßig. Die genaue Beurteilung hängt vom Einzelfall ab.

Deutschsprachiges Fachvideo zu Art. 5 DSGVO: datenschutzvideos / Dr. Sebastian Kraska, IITR Datenschutz GmbH (2022). Externes YouTube-Angebot; beim Aufruf können Daten an den Plattformbetreiber fließen.

Rechtsgrundlagen und Verantwortlichkeiten

Rechtsgrundlage vor der Erhebung bestimmen

DSGVO Art. 6 nennt mögliche Rechtmäßigkeitsgrundlagen, darunter Vertragserfüllung, rechtliche Verpflichtung und unter bestimmten Bedingungen berechtigte Interessen. Es gibt keine universelle Grundlage für alle Personaldaten. Im Arbeitsverhältnis sind außerdem Art. 88 DSGVO und die jeweils anwendbaren nationalen Bestimmungen, darunter § 26 BDSG, im konkreten Sachverhalt zu prüfen. Die Vereinbarkeit nationaler Regeln mit Unionsrecht und ihre Anwendung dürfen nicht ungeprüft vorausgesetzt werden. Gerade wegen des Abhängigkeitsverhältnisses ist Einwilligung Beschäftigter nicht pauschal als freiwillig anzusehen.

Prüffrage vor jeder Verarbeitung: Was ist der konkrete Zweck, welche Daten sind hierfür notwendig, worauf stützt sich die Verarbeitung, wer darf zugreifen, wann entfällt der Zweck und wer entscheidet über Ausnahmen? Bei Unsicherheit wird der Prozess an die zuständige Datenschutz- oder Rechtsfunktion gegeben und nicht eigenmächtig freigegeben.

Transparenz, Rechte und Rechenschaft

Beschäftigte müssen die erforderlichen Informationen zur Verarbeitung erhalten; je nach Fall regeln Art. 13 und 14 DSGVO die Informationspflichten. Auskunft, Berichtigung, gegebenenfalls Löschung und weitere Rechte stehen in Art. 15 bis 22 DSGVO. Die Löschung erfolgt nicht automatisch am selben Tag wie die Vertragsbeendigung: mögliche gesetzliche Aufbewahrungspflichten sind zweckbezogen zu prüfen und dokumentiert umzusetzen. Rechenschaftspflicht heißt, dass das Unternehmen die Einhaltung der Grundsätze nachweisen können muss.

Rollen: Der Verantwortliche legt Zwecke und Mittel fest. Die Personalabteilung arbeitet innerhalb freigegebener Regeln. Die Datenschutzfunktion berät und kontrolliert im gesetzlichen Rahmen; sie ersetzt nicht die Verantwortung der Leitung. Ein externer Dienstleister kann bei Verarbeitung im Auftrag zusätzliche vertragliche und technische Absicherungen erforderlich machen.

Fiktiver Ausbildungsfall: Bewerbungen schlanker bearbeiten

Ausgangslage und Dateninventur

Die Nordlicht Komponenten GmbH erhält für eine fiktive kaufmännische Stelle 25 Bewerbungen. Ein historisches digitales Eingabeformular verlangt bislang 12 Felder je Bewerbung. Eine fachlich überprüfte Neufassung sieht in dieser Modellaufgabe 7 erforderliche Felder vor: Kontaktweg, Vorname, Nachname, erreichbare E-Mail-Adresse, berufliche Qualifikation, einschlägige Erfahrung und gewünschter Tätigkeitsbereich. Ob jedes einzelne Feld im echten Betrieb notwendig ist, muss gesondert geprüft werden; ein optionaler Rückmeldeweg wäre ebenfalls denkbar.

Entfernt werden im Modell fünf hier nicht erforderliche Pflichtfelder: privates Social-Media-Profil, Familienstand, Zahl der Geschwister, private Hobbys und ein freies Feld für sensible persönliche Angaben. Das Formular bietet keinen Freitext zur Eingabe von Gesundheitsdaten. Zeugnisse werden nur angefordert, soweit im konkreten Auswahlprozess notwendig. Das Team prüft außerdem die Informationshinweise sowie die Grundlagen der Verarbeitung.

Wirkung berechnen, aber richtig interpretieren

Alt: 25 Bewerbungen × 12 Felder je Bewerbung = 300 mögliche Feldeinträge. Neu: 25 Bewerbungen × 7 Felder je Bewerbung = 175 mögliche Feldeinträge. Differenz: 300 − 175 = 125 Feldeinträge. Relative Verringerung: 125 ÷ 300 × 100 % = 41,67 % (auf zwei Nachkommastellen gerundet). Das ist eine Reduktion möglicher erfasster Feldwerte, keine nachgewiesene Einsparung von Speichervolumen und kein Nachweis vollständiger Rechtskonformität.

Prüfung: Wären statt 25 nur 20 Bewerbungen eingegangen, ergäben sich alt 240 und neu 140, also 100 weniger Feldeinträge; die relative Reduktion bliebe 41,67 %. Der Vergleich funktioniert nur, wenn die Fallzahlen und die Definition der gezählten Felder gleich bleiben. Ein bereinigtes Formular spart darüber hinaus mögliche Folgearbeiten, diese werden hier aber nicht in Minuten oder Euro behauptet.

Zweckwechsel verhindern

Die Bewerbungsdaten dürfen nicht einfach in einen allgemeinen Marketingverteiler übernommen werden. Auch der Wunsch der Vertriebsabteilung, alle Bewerberkontakte für eine Produktumfrage zu benutzen, begründet noch keine Befugnis. Der Zweck Stellenbesetzung unterscheidet sich vom Zweck Werbung. Das Team dokumentiert die Ablehnung und klärt etwaige weitere Anfragen vorab. Bei Einstellung wird nur ein geprüfter, tatsächlich nötiger Teil der Angaben in das Personalsystem übernommen; sonstige Bewerbungsdaten unterliegen dem freigegebenen Lösch- oder Aufbewahrungsprozess.

Schutzmaßnahmen im digitalen Personalprozess

Zugriffsrechte nach Aufgaben

Die Personalabteilung hat in unserem Modell vier autorisierte Mitarbeitende für den Bewerbungsprozess; sechs Personen aus den Fachabteilungen benötigen lediglich freigegebene Informationen zur Eignung und zu Interviewterminen. Nicht jede Führungskraft braucht vollständige Unterlagen oder Gehaltsdaten. Eine Berechtigungsmatrix legt fest, welche Rolle Daten lesen, verändern oder löschen darf. Dienstliche Berechtigungen werden regelmäßig überprüft und bei Rollenwechsel angepasst. Das Need-to-know-Prinzip verlangt einen auf die jeweilige Aufgabe beschränkten Zugriff.

Beispiel einer rein fiktiven Matrix:

Rolle	Bewerberkontakt	Eignungszusammenfassung	Entgeltdaten	Technische Verwaltung
Personalteam	bei Zuständigkeit	bei Zuständigkeit	nur besonders befugte Rolle	nein
Fachabteilung	nur freigegebene Termininfo	ja, bei Auswahlbeteiligung	nein	nein
IT-Betrieb	kein fachlicher Standardzugriff	kein fachlicher Standardzugriff	kein fachlicher Standardzugriff	technische Administration nach dokumentierter Freigabe

Das Modell trennt die Funktion der IT-Administration vom inhaltlichen Lesezugriff; bei technisch möglichen Sonderzugriffen sind besondere Kontrollen erforderlich.

Verschlüsseln, pseudonymisieren, löschen

Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen, abhängig vom Risiko. Dazu können Mehrfaktor-Authentisierung, Transport- und Speicherverschlüsselung, Zugriffskontrollen, gesicherte Backups, Protokollierung unter eigenen Löschregeln und Schulungen gehören. Pseudonymisierung ersetzt Identifikatoren, lässt eine Wiederzuordnung aber grundsätzlich möglich; die Daten bleiben personenbezogen. Anonymisierung muss eine Identifizierung nach den maßgeblichen Umständen praktisch ausschließen; eine bloße Namenslöschung genügt oft nicht.

Schutzsymbol von GDJ, CC0 1.0, Wikimedia Commons.

Datei:AES Encryption for AI Model Parameter.gif

Animation eines technischen AES-Beispiels an einem KI-Modellparameter; sie veranschaulicht nur Verschlüsselungsschritte und ist keine Anleitung zur Verarbeitung von Personaldaten. Madhav-Malhotra-003, CC0 1.0, Wikimedia Commons.

Aufbewahrung: Für Bewerbung, Vertrag, Entgeltbelege und Weiterbildungsnachweise können unterschiedliche Regeln gelten. Fachbereich, Datenschutzfunktion und gegebenenfalls Rechtsberatung legen auf Grundlage konkreter Pflichten Fristen und Löschereignisse fest. Keine pauschale Zahl von Monaten ist für alle Akten richtig. Löschroutinen müssen auch Kopien, Zugänge, Ausnahmen und Nachweise sinnvoll behandeln.

Datenschutz als Prozessverbesserung und Ausbildungsziel

Schulisches Lernfeld und betriebliche Ausbildungsordnung

Der KMK-Rahmenlehrplan vom 15.12.2023 beschreibt für die Berufsschule im 3. Ausbildungsjahr das Lernfeld 12: Personalprozesse planen, steuern und kontrollieren mit einem Zeitrichtwert von 80 Unterrichtsstunden. Dazu zählen unter anderem Personalakten unter Beachtung von Datenschutz und Datensicherheit sowie Personalstatistiken. Die Lernfelder 10 und 13 verbinden dies mit Finanzentscheidungen beziehungsweise innovativen Problemlösungsprozessen.

Im Betrieb gilt dagegen die Industriekaufleuteausbildungsverordnung vom 12.03.2024 samt betrieblichem Ausbildungsrahmenplan. Sie enthält unter den integrativ zu vermittelnden Berufsbildpositionen die digitalisierte Arbeitswelt einschließlich Datenschutz und Datensicherheit. Das ist nicht dasselbe Dokument wie der KMK-Rahmenlehrplan. Beide Lernorte ergänzen sich. Der Kurs behauptet keine Gleichstellung mit einer amtlichen Prüfung oder betrieblichen Befähigung.

Verbesserungszyklus und interne Lernkontrolle

Du beschreibst zunächst Zweck, Eingaben, Beteiligte und Schwachstellen; danach entwirfst du die neue Datenerhebung, kontrollierst Rollenzugriffe und dokumentierst offene Entscheidungen. Die fiktive Kennzahl Feldeinträge je Bewerbung sinkt von 12 auf 7, also um 5; die berechnete Senkung liegt bei 41,67 %. Ergänzend sollte der Betrieb Beschwerden, Fehladressierungen, Berechtigungskontrollen und Löschaufgaben qualitativ auswerten. Eine einzelne Kennzahl erfasst die Rechte der Betroffenen oder das tatsächliche Risiko nicht vollständig.

Mini-Protokoll zur sachgerechten Prüfung: (1) Zweck schriftlich definieren; (2) Notwendigkeit jedes Feldes nachweisen; (3) Rechtsgrundlage fachlich bewerten lassen; (4) Betroffene informieren; (5) Zugriff und Speicherung begrenzen; (6) Wirksamkeit regelmäßig überprüfen. Eine neue Softwarelösung darf erst nach betrieblichen Freigaben und entsprechenden Tests mit fiktiven Daten in einem freigegebenen Testsystem eingesetzt werden.

Interaktive Aufgaben

Mit den folgenden Übungen überprüfst du Entscheidungen aus dem fiktiven Fall. Die Begründungen nach jeder Frage erklären den sachlichen Zusammenhang.

Multiple-Choice-Quiz

Welcher Grundsatz begrenzt die erhobenen Angaben auf das Notwendige? (Datenminimierung) (!Beliebige Vorratsspeicherung) (!Werbliche Mehrfachnutzung) (!Unbefristete Archivierung)

Begründung: Art. 5 DSGVO verlangt, dass die Daten dem konkreten Zweck angemessen und auf das notwendige Maß beschränkt sind.

Was ist vor einer Nutzung von Bewerberdaten für Produktwerbung zu tun? (Anderen Zweck und tragfähige Grundlage gesondert prüfen) (!Kontaktdaten automatisch weitergeben) (!Nur den Dateinamen ändern) (!Alle Angaben ohne Prüfung exportieren)

Begründung: Die Stellenbesetzung ist ein anderer Zweck als Werbung; die weitere Verwendung bedarf einer eigenständigen rechtlichen Bewertung.

Welche Information gilt regelmäßig als personenbezogen? (Einer Person zuordenbare Personalnummer) (!Völlig anonymisierte Gesamtzahl ohne Rückschluss) (!Allgemeine Firmenanschrift ohne Personenbezug) (!Unpersönlicher Wetterbericht)

Begründung: Auch eine Kennziffer ist personenbezogen, wenn das Unternehmen damit eine bestimmte Person bestimmen kann.

Wie viele Feldeinträge ergeben sich bei 25 Bewerbungen mit je 7 Feldern? (175) (!125) (!300) (!700)

Begründung: Multiplikation von 25 Bewerbungen mit 7 möglichen Feldeinträgen ergibt 175 Einträge.

Wie hoch ist die relative Reduktion von 12 auf 7 Felder? (41,67 Prozent) (!5 Prozent) (!58,33 Prozent) (!70 Prozent)

Begründung: Fünf eingesparte Felder geteilt durch zwölf ursprüngliche Felder ergeben rund 41,67 Prozent.

Welche Aussage über Pseudonymisierung ist richtig? (Wiederzuordnung kann weiterhin möglich sein) (!Sie garantiert immer vollständige Anonymität) (!Sie erlaubt jede Zweckänderung) (!Sie ersetzt alle Zugriffsrechte)

Begründung: Weil ein Zuordnungsschlüssel oder Zusatzwissen existieren kann, bleiben pseudonymisierte Daten personenbezogen.

Wer soll typischerweise vollständige Entgeltangaben sehen? (Nur die hierfür besonders befugte Funktion) (!Alle Beschäftigten des Standorts) (!Jede Fachabteilung ohne Anlass) (!Alle externen Bewerber)

Begründung: Berechtigungen richten sich nach dienstlicher Aufgabe und Notwendigkeit und nicht nach allgemeiner Neugier.

Warum gilt Einwilligung im Beschäftigungsverhältnis nicht automatisch als freiwillig? (Wegen des möglichen Abhängigkeitsverhältnisses) (!Weil Einwilligung immer verboten ist) (!Weil jede E Mail anonym ist) (!Weil Artikel 5 nicht existiert)

Begründung: Abhängigkeiten können die freie Entscheidung beeinflussen; die Freiwilligkeit ist anhand der konkreten Umstände zu prüfen.

Welche Vorgehensweise ist bei Löschfristen richtig? (Zweck und anwendbare Aufbewahrungspflichten prüfen) (!Alle Akten stets nach genau einem Tag löschen) (!Jede Akte unbegrenzt speichern) (!Alle Speicherorte unkontrolliert ignorieren)

Begründung: Löschfristen müssen nach Datenart und rechtlichen Pflichten begründet und überprüfbar eingerichtet werden.

Welche Aussage zur dualen Ausbildung trifft zu? (Der KMK Rahmenlehrplan betrifft den Lernort Berufsschule) (!Der KMK Plan ersetzt jede Ausbildungsordnung) (!Eine private Webseite ist die amtliche Prüfung) (!Die Datenschutzgrundsätze gelten nur im Unterricht)

Begründung: Die betriebliche Vermittlung folgt der Ausbildungsordnung samt Rahmenplan, während die KMK die schulischen Lernfelder beschreibt.

Memory

Verbinde sechs eindeutige Begriffe mit den passenden Beschreibungen.

Zweckbindung	Daten nur für festgelegte legitime Zwecke bearbeiten
Datenminimierung	Nur erforderliche Angaben für den konkreten Zweck verarbeiten
Pseudonymisierung	Kennzeichen durch Zuordnungscode ersetzen
Rechenschaftspflicht	Einhaltung der Schutzregeln belegen können
Berechtigungsmatrix	Zugriffe anhand betrieblicher Rollen zuordnen
Speicherbegrenzung	Personenbezug nicht länger als notwendig vorhalten

Drag-and-Drop

Ordne jedem Arbeitsschritt die passende sichere Vorgehensweise zu.

Ordne die passende Entscheidung zu.	Personalsituation
Zweck schriftlich festlegen	Vor dem Erstellen des Bewerbungsformulars
Nicht erforderliche Felder streichen	Bei der fachlichen Formularprüfung
Rollenrechte einschränken	Vor der Freischaltung des Personalsystems
Aufbewahrung dokumentieren	Bei der Planung des Aktenlebenszyklus
Zugriffe regelmäßig prüfen	Bei der laufenden Prozesskontrolle

Kreuzworträtsel

Gesucht sind sechs Fachbegriffe mit jeweils genau einem Wort.

Zweckbindung	Grundsatz, der eine beliebige Änderung des Verarbeitungsanlasses untersagt
Datenminimierung	Beschränkung auf sachlich notwendige Angaben
Pseudonym	Kennzeichen, das den direkten Namen ersetzt
Löschung	Entfernen nicht mehr benötigter Daten nach dem geregelten Verfahren
Zugriff	Berechtigte Einsicht oder Verwendung von Daten
Transparenz	Verständliche Information über die Verarbeitung

LearningApps

Suche passende zusätzliche Übungen und prüfe jeweils die Qualität und Aktualität selbst.

Lückentext

Trage pro Satz jeweils einen passenden Fachbegriff ein; verwende die Erklärungen aus dem Kurs.

Der Grundsatz festgelegter Nutzungszwecke heißt

.

Die Beschränkung auf notwendige Angaben wird

genannt.

Ein ersetzter Personenbezeichner mit möglicher Wiederzuordnung heißt

.

Die Pflicht zum nachweisbaren Datenschutz heißt

.

Die Übersicht zulässiger Rollenrechte nennt man

.

Im Modell ergibt sieben mal fünfundzwanzig die Zahl

.

Der Begriff für angemessenen technischen Schutz ist

.

Ein nicht mehr benötigter Datensatz wird nach Prüfung im geregelten Verfahren zur

vorgesehen.

Offene Aufgaben

Bearbeite alle zwölf Aufgaben ausschließlich anhand des erfundenen Falls und selbst erstellter Platzhalter. Weder echte Lebensläufe noch echte Unternehmensunterlagen verwenden.

Leicht

Personenbezogene Daten: Formuliere fünf Beispiele aus einem fiktiven Industriebetrieb und begründe, warum die Angaben einer Person zugeordnet werden können.
Zweckbindung: Unterscheide in einer Tabelle die Zwecke Bewerbung, Entgeltabrechnung und Weiterbildung; notiere je zwei dafür denkbare notwendige Datenarten.
Datensparsamkeit: Markiere im Modellformular die fünf entfallenden Felder und gib für jedes eine knappe Begründung der fehlenden Erforderlichkeit.
Datenschutz-Grundverordnung: Erstelle ein einseitiges Merkblatt zu Zweckbindung, Minimierung und Transparenz ohne Abdruck langer Gesetzestexte.

Standard

Prozessmodell: Zeichne einen Ablauf aus Erhebung, Zweckprüfung, Rollenzuteilung, Nutzung und Löschprüfung; verwende ausschließlich Fantasiedaten.
Berechtigung: Entwirf eine Matrix mit vier fiktiven Rollen und differenziere Lese-, Änderungs- und Administrationsrechte.
Kennzahl: Berechne bei 40 Bewerbungen den Unterschied zwischen zwölf und sieben Pflichtfeldern sowie die relative Reduktion; erläutere die Einheit Feldeinträge.
Informationspflicht: Formuliere einen verständlichen Muster-Informationstext für das fiktive Bewerbungsformular und kennzeichne Punkte, die vor echter Verwendung juristisch geprüft werden müssen.

Schwer

Datenschutz-Folgenabschätzung: Skizziere, welche Risikofragen bei einer neuen digitalen Personalplattform zu prüfen wären; entscheide ausdrücklich nicht ohne Fachprüfung, ob eine DSFA rechtlich erforderlich ist.
Prozessoptimierung: Vergleiche zwei fiktive Gestaltungsvarianten anhand von Datensparsamkeit, Arbeitsaufwand, Zugriffsrisiken und Nachvollziehbarkeit; begründe eine Wahl.
Personalentwicklung: Entwickle ein Kennzahlenblatt mit aggregierten Schulungsstunden für fiktive Abteilungen und erkläre, weshalb kleine Gruppen Rückschlüsse auf Personen ermöglichen können.
Datensicherheit: Beschreibe einen fiktiven Fehlversand eines Bewerbungsdokuments, sichere Sofortmaßnahmen und die Prüfung möglicher Meldepflichten durch zuständige Fachleute; verwende keine echten personenbezogenen Daten.

Lernkontrolle

Zweckprüfung: Begründe an drei Datenarten, welche Informationen du für einen Einladungstermin benötigst und welche du nicht erheben würdest.
Rechenaufgabe: Kontrolliere für 25 Bewerbungen beide Gesamtzahlen und weise die Reduktion von 41,67 Prozent mit Rechenweg und Einheit nach.
Rollenkonzept: Erläutere an der fiktiven Fachabteilung, weshalb fachliche Eignung sichtbar sein darf, allgemeine Entgeltdaten jedoch nicht.
Rechtsgrundlage: Unterscheide Zweck, Rechtsgrundlage und technische Schutzmaßnahme und formuliere je eine eigenständige Prüfentscheidung.
Aufbewahrung: Entwickle ein sachgerechtes Verfahren für Löschung und dokumentierte Ausnahmefälle, ohne pauschale Rechtsfristen zu erfinden.
Transfer: Prüfe eine fiktive Anfrage der Werbeabteilung nach Bewerberadressen und beschreibe, wie du den Zweckkonflikt dokumentierst und eskalierst.

Lernnachweis

Wissen: Du erklärst Art. 5 DSGVO, personenbezogene Daten, Zweckbindung, Minimierung, Pseudonymisierung und Speicherbegrenzung in eigenen Worten.

Fertigkeiten: Du erstellst ein zweckorientiertes Dateninventar, eine minimierte Felderliste, ein Rechtekonzept und einen dokumentierten Entscheidungspfad. Überprüfbares Ergebnis: Im fiktiven Beispiel rechnest du 300 alt, 175 neu, 125 weniger Feldeinträge und 41,67 Prozent Reduktion korrekt aus.

Produkte: Ein anonymes Modellformular, eine Rollenmatrix, eine Kennzahlentabelle, ein Prozessdiagramm und ein Prüfprotokoll. Transfer: Du kannst rechtliche Unsicherheiten benennen und fachliche Freigaben einfordern, statt selbst echte Personaldaten zu verarbeiten.

OER und Wikipedia

Fachliche und amtliche Orientierung (Abruf und Gegenprüfung 21.10.2026; Normen nicht als Volltext reproduziert):

Verordnung (EU) 2016/679 – DSGVO, besonders Art. 4, 5, 6, 9, 13–22, 32 und 88, amtliche EUR-Lex-Veröffentlichung.
§ 26 BDSG – Beschäftigtendaten, amtlicher Wortlaut; europarechtskonforme Anwendung im Einzelfall prüfen.
BfDI – Info 1 Datenschutzrecht, DSGVO und BDSG, fachliche Erläuterung.
KMK-Rahmenlehrplan Industriekaufmann und Industriekauffrau, Beschluss 15.12.2023, insbesondere Lernfeld 12 für den Lernort Berufsschule.
BIBB-Berufsprofil Industriekaufleute und Bundes-Ausbildungsordnung 12.03.2024, für den Lernort Betrieb.

Verifizierte Medien, Urheber und Rechte:

Dateiname / Video	Datei- oder Videonachweis	Urheber	Lizenz und Rechtehinweis
File:Gdpr Europe.jpg	Commons	Dooffy	CC0 1.0
File:User-privacy-icon.svg	Commons	Gregor Cresnar / Noun Project	CC BY 3.0
File:Privacy icon.svg	Commons	GDJ / Open Clip Art Library	CC0 1.0
File:AES Encryption for AI Model Parameter.gif	Commons	Madhav-Malhotra-003	CC0 1.0
File:De-Datenschutzgrundverordnung.ogg	Commons	Jeuwre	CC BY-SA 4.0
https://www.youtube.com/watch?v=nOR3NCUp1pU	YouTube und Anbieterseite	datenschutzvideos / Dr. Sebastian Kraska, IITR Datenschutz GmbH	Urheberrechtlich geschütztes Anbieterwerk; Einbettung gemäß YouTube-Nutzungsbedingungen, keine offene Lizenz behauptet

Audio zur Fachsprache: Aussprache des Begriffs „Datenschutzgrundverordnung“ (Jeuwre, CC BY-SA 4.0; keine Fachvorlesung).

Wikipedia-Vertiefung: Datenschutz-Grundverordnung ist ein sekundäres Orientierungsangebot; für verbindliche Normtexte die amtlichen Fundstellen prüfen.