Inhalte: Wochen 5 bis 8

Vier neue Wochen nach Rahmenplan, im bestehenden Format:

- Woche 5 Ausbildung, Betrieb und Zusammenarbeit (C1, C2, C5)
- Woche 6 IT-Sicherheit und Datenschutz (A6, LF4)
- Woche 7 Skripting mit PowerShell (A10, A4)
- Woche 8 Datensicherung und Speicher (A9)

12 Handouts, 38 Merkkarten, 4 Praxisaufgaben, 2 Checklisten,
2 Lernzielkontrollen, 22 Glossareintraege, zwei neue Themenbloecke.
Jede Berufsbildposition ist jetzt von mindestens einem Inhalt beruehrt.

Die Praxisaufgaben bauen aufeinander auf: Die Abteilungsuebersicht aus
5.1 ist Grundlage der Schutzbedarfsfeststellung in 6.1, und deren
Ergebnis ist Massstab fuer die Sicherungspruefung in 8.1.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

content/handouts/I3-datenschutz-am-arbeitsplatz.md

@@ -0,0 +1,64 @@
+---
+id: I3
+titel: Datenschutz in der IT – was du sehen kannst und was du anschauen darfst
+block: sicherheit
+woche: 6
+worum: In der IT hat man Zugriff auf fast alles. Die DSGVO regelt, was man damit tun darf – und das ist deutlich weniger.
+rahmenplan: [A6, C1]
+lernfeld: LF4
+merksatz: Zugriff ist kein Anlass. Hineingeschaut wird nur, wenn der Auftrag es verlangt.
+karten:
+  - frage: Was sind personenbezogene Daten?
+    antwort: Alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen – Name, E-Mail-Adresse, Personalnummer, IP-Adresse, Standortdaten, aber auch ein Foto oder eine Stimmaufnahme.
+  - frage: Innerhalb welcher Frist muss eine Datenschutzverletzung der Aufsichtsbehörde gemeldet werden?
+    antwort: Innerhalb von 72 Stunden, nachdem sie bekannt geworden ist – es sei denn, sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Melden muss der Betrieb; du meldest intern sofort.
+  - frage: Was bedeutet Datenminimierung?
+    antwort: Es werden nur die Daten erhoben und gespeichert, die für den Zweck wirklich nötig sind – und gelöscht, sobald der Zweck erfüllt ist.
+---
+
+## Das Wesentliche
+
+- **Die DSGVO schützt Personen, nicht Daten.** Personenbezogen ist alles, was sich einer
+  bestimmten Person zuordnen lässt – auch eine IP-Adresse oder ein Kennzeichen.
+- **Besonders schützenswert** sind Gesundheitsdaten, religiöse und politische
+  Überzeugungen, Gewerkschaftszugehörigkeit, biometrische Daten und weitere. In der IT
+  begegnen sie dir in Krankmeldungen, Personalakten und Zutrittssystemen.
+- **Die Grundsätze:** rechtmäßig, zweckgebunden, so wenig wie nötig, richtig, nicht länger als
+  nötig gespeichert, sicher verarbeitet. Und der Betrieb muss nachweisen können, dass er sich
+  daran hält.
+- **Technische und organisatorische Maßnahmen (TOM):** Zugriffsrechte, Verschlüsselung,
+  Protokollierung, Datensicherung, Schulungen. Ein großer Teil davon ist IT-Arbeit.
+- **Als Administrator** siehst du Postfächer, Personalordner und Protokolle. Hineinschauen
+  darfst du nur, wenn ein Auftrag es erfordert – und dann nur so weit wie nötig. Was du
+  dabei siehst, bleibt bei dir.
+- **Eine Datenpanne** – verlorenes Notebook, falsch versendete Mail, offener Ordner – meldest
+  du sofort intern. Der Betrieb hat 72 Stunden für die Meldung an die Aufsichtsbehörde, und
+  die Uhr läuft ab dem Moment, in dem jemand im Betrieb davon weiß.
+- **Der Datenschutzbeauftragte** berät und kontrolliert. Er ist Pflicht, sobald in der Regel
+  mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener
+  Daten beschäftigt sind.
+
+## Übersicht
+
+| Situation | Richtig |
+|---|---|
+| Ein Kollege bittet dich, „mal kurz" ins Postfach seiner Chefin zu schauen | Ablehnen – Zugriff nur mit Auftrag der berechtigten Stelle |
+| Ein Notebook ist im Zug liegen geblieben | Sofort melden, Konto sperren, Verschlüsselung prüfen |
+| Du siehst beim Support eine Krankmeldung auf dem Bildschirm | Nicht lesen, nicht erwähnen, Fenster schließen lassen |
+| Alte Festplatten aus der Personalabteilung | Nachweisbar sicher löschen oder vernichten, Protokoll anlegen |
+| Testdaten für eine neue Software gesucht | Keine echten Personaldaten, sondern erfundene oder unkenntlich gemachte |
+
+## Prüfungsfrage
+
+**Frage:** Ein Außendienstmitarbeiter verliert ein Notebook mit Kundendaten. Die Festplatte
+ist mit BitLocker verschlüsselt. Muss der Vorfall der Aufsichtsbehörde gemeldet werden?
+Begründen Sie.
+
+**Antwort:** Grundsätzlich ist der Verlust eines Geräts mit personenbezogenen Daten eine
+Verletzung des Schutzes dieser Daten und binnen 72 Stunden zu melden. Eine Meldung kann
+entfallen, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen
+führt. Das ist bei einer wirksamen, dem Stand der Technik entsprechenden Verschlüsselung
+regelmäßig der Fall – vorausgesetzt, das Gerät war ausgeschaltet oder gesperrt und der
+Schlüssel ist nicht mit verloren gegangen. Die Entscheidung trifft der Verantwortliche mit
+dem Datenschutzbeauftragten; der Vorfall wird in jedem Fall intern dokumentiert, und das
+Konto des Mitarbeiters wird vorsorglich gesperrt bzw. das Passwort geändert.