Florian WildeandClaude Opus 5.5
7d171f149d
Vier neue Wochen nach Rahmenplan, im bestehenden Format: - Woche 5 Ausbildung, Betrieb und Zusammenarbeit (C1, C2, C5) - Woche 6 IT-Sicherheit und Datenschutz (A6, LF4) - Woche 7 Skripting mit PowerShell (A10, A4) - Woche 8 Datensicherung und Speicher (A9) 12 Handouts, 38 Merkkarten, 4 Praxisaufgaben, 2 Checklisten, 2 Lernzielkontrollen, 22 Glossareintraege, zwei neue Themenbloecke. Jede Berufsbildposition ist jetzt von mindestens einem Inhalt beruehrt. Die Praxisaufgaben bauen aufeinander auf: Die Abteilungsuebersicht aus 5.1 ist Grundlage der Schutzbedarfsfeststellung in 6.1, und deren Ergebnis ist Massstab fuer die Sicherungspruefung in 8.1. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
4.1 KiB
4.1 KiB
id, titel, block, woche, worum, rahmenplan, lernfeld, merksatz, karten
| id | titel | block | woche | worum | rahmenplan | lernfeld | merksatz | karten | |||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| I3 | Datenschutz in der IT – was du sehen kannst und was du anschauen darfst | sicherheit | 6 | In der IT hat man Zugriff auf fast alles. Die DSGVO regelt, was man damit tun darf – und das ist deutlich weniger. |
|
LF4 | Zugriff ist kein Anlass. Hineingeschaut wird nur, wenn der Auftrag es verlangt. |
|
Das Wesentliche
- Die DSGVO schützt Personen, nicht Daten. Personenbezogen ist alles, was sich einer bestimmten Person zuordnen lässt – auch eine IP-Adresse oder ein Kennzeichen.
- Besonders schützenswert sind Gesundheitsdaten, religiöse und politische Überzeugungen, Gewerkschaftszugehörigkeit, biometrische Daten und weitere. In der IT begegnen sie dir in Krankmeldungen, Personalakten und Zutrittssystemen.
- Die Grundsätze: rechtmäßig, zweckgebunden, so wenig wie nötig, richtig, nicht länger als nötig gespeichert, sicher verarbeitet. Und der Betrieb muss nachweisen können, dass er sich daran hält.
- Technische und organisatorische Maßnahmen (TOM): Zugriffsrechte, Verschlüsselung, Protokollierung, Datensicherung, Schulungen. Ein großer Teil davon ist IT-Arbeit.
- Als Administrator siehst du Postfächer, Personalordner und Protokolle. Hineinschauen darfst du nur, wenn ein Auftrag es erfordert – und dann nur so weit wie nötig. Was du dabei siehst, bleibt bei dir.
- Eine Datenpanne – verlorenes Notebook, falsch versendete Mail, offener Ordner – meldest du sofort intern. Der Betrieb hat 72 Stunden für die Meldung an die Aufsichtsbehörde, und die Uhr läuft ab dem Moment, in dem jemand im Betrieb davon weiß.
- Der Datenschutzbeauftragte berät und kontrolliert. Er ist Pflicht, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Übersicht
| Situation | Richtig |
|---|---|
| Ein Kollege bittet dich, „mal kurz" ins Postfach seiner Chefin zu schauen | Ablehnen – Zugriff nur mit Auftrag der berechtigten Stelle |
| Ein Notebook ist im Zug liegen geblieben | Sofort melden, Konto sperren, Verschlüsselung prüfen |
| Du siehst beim Support eine Krankmeldung auf dem Bildschirm | Nicht lesen, nicht erwähnen, Fenster schließen lassen |
| Alte Festplatten aus der Personalabteilung | Nachweisbar sicher löschen oder vernichten, Protokoll anlegen |
| Testdaten für eine neue Software gesucht | Keine echten Personaldaten, sondern erfundene oder unkenntlich gemachte |
Prüfungsfrage
Frage: Ein Außendienstmitarbeiter verliert ein Notebook mit Kundendaten. Die Festplatte ist mit BitLocker verschlüsselt. Muss der Vorfall der Aufsichtsbehörde gemeldet werden? Begründen Sie.
Antwort: Grundsätzlich ist der Verlust eines Geräts mit personenbezogenen Daten eine Verletzung des Schutzes dieser Daten und binnen 72 Stunden zu melden. Eine Meldung kann entfallen, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Das ist bei einer wirksamen, dem Stand der Technik entsprechenden Verschlüsselung regelmäßig der Fall – vorausgesetzt, das Gerät war ausgeschaltet oder gesperrt und der Schlüssel ist nicht mit verloren gegangen. Die Entscheidung trifft der Verantwortliche mit dem Datenschutzbeauftragten; der Vorfall wird in jedem Fall intern dokumentiert, und das Konto des Mitarbeiters wird vorsorglich gesperrt bzw. das Passwort geändert.