Personenbezogene Daten im IT-Projekt richtig behandeln

Was du nach dieser Lektion kannst

Die Klarblick Gebäudeservice GmbH möchte Reparaturtermine nicht mehr per Telefon und Tabellenkalkulation verwalten. Ein neues Portal namens “FixPlan” soll Meldungen von Kundinnen und Kunden aufnehmen, Termine koordinieren und den zuständigen Serviceteams die nötigen Informationen anzeigen.

Im ersten Entwurf fragt das Formular nach Name, Anschrift, Telefonnummer, Geburtsdatum, Beruf, einem Foto des Schadens und einem frei formulierten Hinweis. Alle Beschäftigten könnten sämtliche Meldungen sehen. Gelöscht werden soll vorerst nichts.

Deine Aufgabe ist nicht, das Portal pauschal als “DSGVO-konform” freizugeben. Du prüfst stattdessen die Verarbeitung Schritt für Schritt und dokumentierst, wo eine fachlich oder rechtlich zuständige Person entscheiden muss.

Nach dieser Lektion kannst du:

• personenbezogene Daten und Verarbeitungsvorgänge erkennen,
• Zweck, Rechtsgrundlage und Datenumfang auseinanderhalten,
• Betroffenenrechte in einen sicheren Arbeitsablauf übersetzen,
• Pseudonymisierung von Anonymisierung unterscheiden,
• technische und organisatorische Maßnahmen, kurz TOMs, begründen.

Die Lektion gehört zu Lernfeld 4 und zur gemeinsamen Berufsbildposition A6. Im ersten Teil der Abschlussprüfung können Grundzüge des Datenschutzes, personenbezogene Daten, Betroffenenrechte sowie Anonymisierung und Pseudonymisierung aufgegriffen werden. Daraus folgt keine Aussage über eine konkrete Prüfung.

Datenschutz beginnt mit dem Bezug zu einer Person

Die Datenschutz-Grundverordnung, kurz DSGVO, schützt bei dieser Verarbeitung natürliche Personen. Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Person kann direkt über ihren Namen oder indirekt über mehrere Merkmale erkennbar sein.

Bei FixPlan sind Name, Telefonnummer und Privatanschrift direkte Beispiele. Eine Ticketnummer wirkt zunächst neutral. Kann Klarblick sie über das Portal einer Person zuordnen, bleibt sie im betrieblichen Zusammenhang personenbezogen. Dasselbe kann für Gerätekennungen, Standortdaten, Fotos oder Freitext gelten.

Verarbeitung ist weiter gefasst als das Speichern. Schon das Erheben, Ordnen, Auslesen, Weitergeben, Verknüpfen, Einschränken oder Löschen personenbezogener Daten ist eine Verarbeitung.

Mehrfachauswahl

Welche Angaben sind im FixPlan-Kontext personenbezogen?

Wähle alle Angaben, die sich direkt oder über die betrieblichen Zuordnungsmöglichkeiten auf eine natürliche Person beziehen.

Wähle alle passenden Antworten

Die Telefonnummer der meldenden Kundin Eine Ticketnummer, die im Portal mit dem Kundenkonto verknüpft ist Die Gesamtzahl aller Reparaturen im Juni ohne Personenbezug Ein Schadensfoto, auf dem eine Bewohnerin erkennbar ist Die allgemeine Artikelnummer eines Ersatzteils

Auswahl prüfen Neu versuchen

Alle passenden Antworten gefunden.

Die Auswahl ist noch nicht vollständig richtig.

Telefonnummer und erkennbare Person im Foto haben einen direkten Bezug. Die Ticketnummer bleibt personenbezogen, solange Klarblick sie einem Konto zuordnen kann. Eine reine Gesamtzahl und eine allgemeine Artikelnummer beschreiben dagegen keine natürliche Person.

Zweck, Daten und Rechtsgrundlage bilden eine Kette

Bevor das Team ein Feld in FixPlan anlegt, beantwortet es drei Fragen:

1. Zweck: Welche konkrete betriebliche Aufgabe soll erfüllt werden?
2. Daten: Welche Angaben sind dafür tatsächlich nötig?
3. Rechtsgrundlage: Auf welche Bedingung für eine rechtmäßige Verarbeitung stützt sich genau dieser Vorgang?

Die Reihenfolge ist wichtig. “Wir sammeln es, weil das Formular das kann” ist kein Zweck. “Wir haben eine Einwilligung” macht einen unklaren oder unnötigen Datenbestand ebenfalls nicht automatisch sinnvoll.

Für die Terminabstimmung könnte der Zweck lauten: “Eine Reparaturmeldung einer Person zuordnen, Rückfragen ermöglichen und einen Zugangstermin vereinbaren.” Dafür können Name, Kontaktweg, Einsatzort, Schadensbeschreibung und Terminfenster erforderlich sein. Das Geburtsdatum und der Beruf tragen zu diesem Zweck im Normalfall nichts bei.

Die sechs Rechtsgrundlagen aus Artikel 6 einordnen

Artikel 6 Absatz 1 DSGVO nennt sechs mögliche Grundlagen. Eine Verarbeitung kann sich je nach Situation auf Folgendes stützen:

• eine wirksame Einwilligung für einen oder mehrere bestimmte Zwecke,
• die Erfüllung eines Vertrags oder vorvertragliche Maßnahmen auf Anfrage der betroffenen Person,
• eine rechtliche Verpflichtung des Verantwortlichen,
• den Schutz lebenswichtiger Interessen,
• eine Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt,
• berechtigte Interessen des Verantwortlichen oder eines Dritten nach der erforderlichen Abwägung.

Diese Liste ist kein Auswahlmenü, in dem das Team die bequemste Begründung anklickt. Rechtsgrundlage, Zweck und konkrete Situation müssen zusammenpassen. Für besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, gelten zusätzliche Anforderungen aus Artikel 9 DSGVO.

Bei FixPlan kann die Verarbeitung erforderlicher Kontaktdaten für die Durchführung eines Reparaturauftrags auf einem Vertrag beruhen, wenn die betroffene Person selbst Vertragspartei ist. Ein internes Sicherheitsprotokoll kann unter Umständen mit einem berechtigten Interesse begründet werden. Dafür braucht es aber eine dokumentierte Prüfung von Interesse, Erforderlichkeit und entgegenstehenden Rechten. Eine pauschale Einwilligung “für alles” ersetzt diese Prüfung nicht.

Schnellcheck

Prüfe Zweck und Rechtsgrundlage

Entscheide dich bei jeder Frage. Du bekommst die Erklärung direkt nach deiner Antwort.

/3

FixPlan braucht eine Rückrufnummer, um einen gewünschten Reparaturtermin abzustimmen. Was ist der fachlich nächste Schritt?

Das passt.

Noch nicht ganz.

Zuerst wird der konkrete Zweck festgelegt. Danach prüft das Team, welche Daten dafür nötig sind und welche Rechtsgrundlage den Vorgang trägt. Üblichkeit und eine pauschale Einwilligung ersetzen diese Kette nicht.

Nächste Frage

Klarblick möchte die Geburtsdaten aller meldenden Personen für mögliche Geburtstagswerbung speichern. Welche Aussage trägt?

Das passt.

Noch nicht ganz.

Ein neuer Zweck braucht eine eigene Prüfung. Aus dem Reparaturauftrag folgt nicht automatisch, dass ein Geburtsdatum für Werbung erhoben werden darf. Die pauschale Aussage, Werbung sei immer verboten, wäre ebenfalls falsch.

Nächste Frage

Ein Team schreibt nur 'berechtigtes Interesse' in die Dokumentation. Was fehlt mindestens?

Das passt.

Noch nicht ganz.

Artikel 6 Absatz 1 Buchstabe f verlangt mehr als ein Etikett. Das berechtigte Interesse und die Erforderlichkeit müssen bestimmt werden. Anschließend sind die Interessen und Rechte der betroffenen Person einzubeziehen.

Ergebnis ansehen

Geschafft

von 3

Situationen richtig eingeordnet.

Quiz noch einmal machen

Datenminimierung verändert das Systemdesign

Artikel 5 DSGVO nennt mehrere Grundsätze. Dazu gehören Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Der Verantwortliche muss die Einhaltung nachweisen können. Diese Rechenschaftspflicht macht eine nachvollziehbare Dokumentation wichtig.

Datenminimierung bedeutet: Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein. Das wirkt direkt auf Masken, Datenbanken, Schnittstellen, Protokolle und Berechtigungen.

Artikel 25 verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. FixPlan sollte deshalb nicht erst nach einem Vorfall aufgeräumt werden. Schon im Entwurf helfen zum Beispiel wenige Pflichtfelder, enge Standardberechtigungen, festgelegte Löschregeln und eine Oberfläche, die unnötige Freitextdaten vermeidet.

Pseudonymisiert ist nicht anonym

Bei einer Pseudonymisierung lassen sich Daten ohne zusätzliche Informationen nicht mehr einer bestimmten Person zuordnen. Die Zusatzinformationen werden getrennt aufbewahrt und geschützt. Kann Klarblick den Bezug mit einer Zuordnungstabelle wiederherstellen, bleiben die Datensätze personenbezogen und die DSGVO gilt weiter.

Bei einer wirksamen Anonymisierung ist der Personenbezug nicht mehr herstellbar. Das lässt sich nicht allein durch das Entfernen von Namen erreichen. Kombinationen aus Einsatzort, genauer Zeit, seltenem Schaden und Freitext können eine Person weiterhin erkennbar machen. Ob Daten tatsächlich anonym sind, hängt vom Datensatz, dem Kontext und den vernünftigerweise verfügbaren Mitteln zur erneuten Zuordnung ab.

Für eine interne Auswertung könnte Klarblick zum Beispiel nur die Anzahl der Reparaturen je grober Schadenskategorie und Monat speichern. Werden kleine Gruppen oder seltene Kombinationen ausgegeben, muss das Team erneut prüfen, ob Personen indirekt erkennbar werden.

Betroffenenrechte werden zu einem Arbeitsablauf

Betroffene Personen sollen nachvollziehen und beeinflussen können, wie ihre Daten verarbeitet werden. Die DSGVO sieht unter anderem diese Rechte vor:

• Auskunft: erfahren, ob und welche personenbezogenen Daten verarbeitet werden, einschließlich weiterer Angaben zum Verarbeitungskontext,
• Berichtigung: unrichtige Daten korrigieren und unvollständige Daten ergänzen lassen,
• Löschung: Daten löschen lassen, wenn eine gesetzliche Voraussetzung erfüllt ist,
• Einschränkung der Verarbeitung: Daten für bestimmte Fälle markieren und ihre weitere Verarbeitung begrenzen,
• Datenübertragbarkeit: bestimmte bereitgestellte Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten,
• Widerspruch: unter den Voraussetzungen von Artikel 21 einer Verarbeitung widersprechen,
• Beschwerde: sich an eine zuständige Aufsichtsbehörde wenden.

Diese Rechte sind nicht alle grenzenlos und greifen nicht in jeder Situation gleich. Ein Löschwunsch kann zum Beispiel mit einer gesetzlichen Aufbewahrungspflicht kollidieren. Dann wird nicht einfach gelöscht oder pauschal abgelehnt. Die zuständige Stelle prüft den konkreten Datenbestand, die Rechtsgrundlage, mögliche Ausnahmen und eine Einschränkung der weiteren Nutzung.

Bei einer Anfrage zählt außerdem die sichere Identifizierung. FixPlan darf eine Auskunft nicht an eine Person senden, deren Berechtigung ungeklärt ist. Dabei werden nur zusätzliche Identitätsdaten erhoben, die für die Prüfung nötig sind.

Sortieraufgabe

Bringe die Bearbeitung einer Auskunftsanfrage in eine sinnvolle Reihenfolge

Ziehe die Einträge an die richtige Position. Geht auch per Tastatur über den Griff.

Reihenfolge prüfen Neu versuchen

Die Reihenfolge stimmt.

Die Reihenfolge passt noch nicht.

Die Anfrage wird zuerst zuverlässig in den festgelegten Prozess gebracht. Vor der Herausgabe wird die Identität angemessen geprüft. Danach werden die relevanten Informationen vollständig gesucht, mögliche Grenzen berücksichtigt und die Antwort sicher übermittelt. Die Dokumentation trägt die Rechenschaftspflicht.

TOMs richten sich nach dem Risiko

Technische und organisatorische Maßnahmen sollen personenbezogene Daten angemessen schützen. Artikel 32 DSGVO verlangt kein starres Paket für jedes System. Berücksichtigt werden unter anderem Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten natürlicher Personen.

Für FixPlan kann das Team Maßnahmen in mehreren Schichten planen:

Verschlüsselung und Pseudonymisierung nennt Artikel 32 als mögliche Maßnahmen. Sie sind aber kein universeller Abschluss. Eine verschlüsselte Datenbank schützt nicht davor, dass zu viele Beschäftigte nach der Anmeldung alles lesen können. Ein Backup verbessert die Wiederherstellbarkeit, begrenzt aber nicht automatisch unbefugte Zugriffe.

Schnellcheck

Begründe angemessene Maßnahmen

Entscheide dich bei jeder Frage. Du bekommst die Erklärung direkt nach deiner Antwort.

/2

Nur die Disposition und das jeweils zugeteilte Serviceteam benötigen Zugriff auf eine Meldung. Welche Maßnahme setzt diese Anforderung am direktesten um?

Das passt.

Noch nicht ganz.

Berechtigungen setzen den erforderlichen Zugriff direkt um. Eine längere Ticketnummer ersetzt keine Zugriffskontrolle. Organisatorisch braucht es zusätzlich einen Prozess für Vergabe, Prüfung und Entzug der Rechte.

Nächste Frage

FixPlan erstellt täglich ein Backup, testet die Wiederherstellung aber nie. Wie ist das einzuordnen?

Das passt.

Noch nicht ganz.

Artikel 32 nennt auch Verfahren zur regelmäßigen Überprüfung und Bewertung der Maßnahmen. Ein vorhandenes Backup ist erst dann belastbar, wenn Wiederherstellung, Schutz und Verantwortlichkeiten praktisch funktionieren.

Ergebnis ansehen

Geschafft

von 2

Situationen richtig eingeordnet.

Quiz noch einmal machen

Wende das Vorgehen auf eine neue Situation an

Transferaufgabe

Prüfe ein Feedbacktool für interne Schulungen

Ein Unternehmen plant ein Tool für freiwilliges Feedback nach internen IT-Schulungen. Der Entwurf speichert Name, Personalnummer, Abteilung, genaue Uhrzeit, Bewertung, Freitext, IP-Adresse und Browserkennung auf unbestimmte Zeit. Teamleitungen sollen alle Einzelantworten sehen. Ziel ist zunächst nur, Inhalte künftiger Schulungen zu verbessern. Erstelle eine kurze Datenschutzprüfung für diesen Entwurf.

Deine Lösung

Musterlösung vergleichen

Musterlösung: Der konkrete Zweck ist die Verbesserung künftiger Schulungsinhalte. Name, Personalnummer, genaue Uhrzeit, IP-Adresse und Browserkennung sind dafür nicht automatisch erforderlich. Auch Abteilung und Freitext können bei kleinen Gruppen einen indirekten Personenbezug herstellen. Der Entwurf sollte deshalb zuerst prüfen, ob eine tatsächlich anonyme Erhebung mit groben Antwortgruppen ausreicht. Wenn eine Zuordnung über Zusatzdaten möglich bleibt, handelt es sich nur um pseudonymisierte und weiterhin personenbezogene Daten.

Die Rechtsgrundlage lässt sich aus der Beschreibung nicht abschließend bestimmen. Beschäftigtendaten können zusätzliche nationale Regeln berühren. Der Verantwortliche sollte den genauen Prozess deshalb mit der zuständigen Datenschutz- oder Rechtsstelle bewerten. “Freiwillig” allein belegt noch keine wirksame Einwilligung im Beschäftigungskontext.

Für Datenminimierung sprechen eine anonyme Standardeinstellung, wenige strukturierte Fragen, ein optionaler und begrenzter Freitext sowie der Verzicht auf nicht benötigte technische Kennungen. Ein begründeter Löschzeitpunkt gehört zum Konzept. Teamleitungen sollten nur zusammengefasste Ergebnisse sehen, wenn Einzelantworten für den Zweck nicht nötig sind. Passende TOMs sind enge Rollen, geschützte Übertragung, eine Begrenzung der Protokolle, dokumentierte Löschläufe und regelmäßige Wirksamkeitsprüfungen. Für Auskunft, Berichtigung oder Löschung braucht es einen erreichbaren Prozess. Bei wirklich anonymen Antworten kann das Unternehmen eine einzelne Antwort allerdings nicht mehr einer Person zuordnen.

Das steckt auch in meiner Lösung:

Ich habe personenbezogene oder potenziell personenbeziehbare Angaben erkannt. Ich habe Zweck, erforderliche Daten und Rechtsgrundlage getrennt geprüft. Ich habe mindestens drei Datenfelder oder Voreinstellungen auf Datenminimierung geprüft. Ich habe einen Weg für Betroffenenrechte und Löschung beschrieben. Ich habe mindestens drei zum Risiko passende technische oder organisatorische Maßnahmen begründet. Ich habe offene Rechtsfragen an die zuständige Stelle verwiesen.

Das Wichtigste in Kürze

• Personenbezogene Daten können eine Person direkt oder indirekt erkennbar machen.
• Jede Verarbeitung braucht einen bestimmten Zweck und eine tragfähige Rechtsgrundlage.
• Datenminimierung beginnt bei Feldern, Voreinstellungen, Schnittstellen und Speicherfristen.
• Eine Einwilligung ist nur eine von mehreren Rechtsgrundlagen und nicht automatisch die passende.
• Pseudonymisierte Daten bleiben personenbezogen, wenn eine Zuordnung wieder möglich ist.
• Betroffenenrechte brauchen einen sicheren, dokumentierten Prozess und eine Prüfung des Einzelfalls.
• TOMs werden aus den Risiken abgeleitet und regelmäßig auf Wirksamkeit geprüft.

Quellenbasis und Abgrenzung

Inhaltlicher Stand ist der 10. Juli 2026. Die rechtlichen Kernaussagen stützen sich auf den konsolidierten Text der DSGVO bei EUR-Lex. Die Übersicht zu Betroffenenrechten wird durch die Erläuterungen der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit ergänzt. Rahmenlehrplan, Ausbildungsordnung und Prüfungskatalog tragen die Zuordnung zu Lernfeld 4, Berufsbildposition A6 und zum ersten Teil der Abschlussprüfung.

Die Lektion behandelt den allgemeinen Arbeitsablauf bei üblichen personenbezogenen Daten. Besondere Kategorien nach Artikel 9, Beschäftigtendatenschutz, Auftragsverarbeitung, internationale Datenübermittlungen, Datenschutz-Folgenabschätzung, Informationspflichten und Meldungen von Datenschutzverletzungen werden nur berührt oder ausgeklammert. Sie brauchen eigene Lektionen und im Betrieb eine fallbezogene Prüfung.

Belegmatrix