semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Juristische Fallbearbeitung
Welche Reihenfolge solltest du in einer IT-Recht-Klausur grundsätzlich einhalten?

answer:
Die saubere Denkkette lautet:

1. **Sachverhalt klären**: Was ist tatsächlich passiert?
2. **Norm suchen**: Welche Anspruchs-, Befugnis- oder Verbotsnorm passt?
3. **Tatbestand zerlegen**: Welche Tatbestandsmerkmale müssen erfüllt sein?
4. **Subsumieren**: Jeden Sachverhaltspunkt unter jedes Merkmal prüfen.
5. **Rechtsfolge nennen**: Anspruch, Verbot, Rechtmäßigkeit, Bußgeld, Schadensersatz usw.

Prüfungsfalle: Nicht mit dem Ergebnis beginnen. Ohne sichtbare Tatbestandsprüfung bleibt die Lösung meist zu dünn.

source: Zusammenfassung Abschnitt 1 und 2.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Tatbestand und Rechtsfolge
Wie unterscheiden sich Tatbestand, Tatbestandsmerkmal und Rechtsfolge?

answer:
- **Tatbestand:** Gesamtheit der Voraussetzungen, unter denen eine Norm eingreift.
- **Tatbestandsmerkmal:** Einzelne prüfbare Voraussetzung innerhalb des Tatbestands.
- **Rechtsfolge:** Rechtliche Konsequenz, wenn alle Merkmale erfüllt sind.

Beispiel Art. 6 DSGVO: Tatbestand ist die passende Rechtsgrundlage für eine Verarbeitung; Merkmale sind etwa Einwilligung, bestimmter Zweck und Freiwilligkeit; Rechtsfolge ist die Rechtmäßigkeit der Verarbeitung.

source: Zusammenfassung Abschnitt 2.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Subsumtion
Was bedeuten Obersatz, Untersatz und Schlusssatz?

answer:
- **Obersatz:** Normative Frage: Was müsste rechtlich vorliegen?
- **Untersatz:** Tatsachenanwendung: Was steht im Sachverhalt?
- **Schlusssatz:** Ergebnis zum konkreten Merkmal.

Beispiel: Obersatz: Eine Einwilligung verlangt eine aktive, informierte und freiwillige Erklärung. Untersatz: Das Cookie-Kästchen war vorangekreuzt. Schlusssatz: Eine wirksame Einwilligung liegt nicht vor.

source: Zusammenfassung Abschnitt 2.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Rechtsquellen
Wie ordnest du EU-Verordnungen, EU-Richtlinien und nationales Recht in der Klausur ein?

answer:
- **EU-Verordnungen** wie DSGVO, DSA, KI-VO und CRA gelten unmittelbar.
- **EU-Richtlinien** wie NIS-2 oder ePrivacy brauchen grundsätzlich nationale Umsetzung.
- **Nationales Recht** wie BDSG, TDDDG, BSIG, BGB, StGB und UrhG darf EU-Recht nicht verdrängen.

Prüfungsfalle: Nationale Normen im Datenschutz nur anwenden, wenn eine Öffnungsklausel besteht oder der Bereich außerhalb der DSGVO liegt.

source: Zusammenfassung Abschnitt 2.3 und 3.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Grundrechtsprüfung
Wie prüfst du einen Grundrechtseingriff bei Datenschutz- oder IT-Sicherheitsfällen?

answer:
Die Grundrechtsprüfung läuft regelmäßig über drei Punkte:

1. **Schutzbereich:** Ist der Sachverhalt vom Grundrecht erfasst?
2. **Eingriff:** Beeinträchtigt staatliches Handeln die geschützte Freiheit?
3. **Rechtfertigung:** Gibt es eine gesetzliche Grundlage und ist der Eingriff verhältnismäßig?

Wichtige Normen: Art. 7 GRC, Art. 8 GRC, Art. 10 GG.

source: Zusammenfassung Abschnitt 3.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Vorratsdatenspeicherung
Warum ist Vorratsdatenspeicherung ein typischer Grundrechtsfall?

answer:
Sie betrifft insbesondere Art. 7 GRC und Art. 8 GRC, weil Verkehrs- und Standortdaten Rückschlüsse auf Kommunikation, Kontakte und Verhalten zulassen.

Prüfungskern:

- Speicherung kann schon selbst ein Eingriff sein.
- Rechtfertigung verlangt klare gesetzliche Grenzen.
- Es braucht Garantien gegen Missbrauch.
- Die Maßnahme muss auf das Notwendige beschränkt sein.

Prüfungsfalle: Nicht erst die spätere Auswertung, sondern bereits die Speicherung rechtlich ernst nehmen.

source: Zusammenfassung Abschnitt 3.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# DSGVO-Anwendbarkeit
Wie prüfst du, ob die DSGVO anwendbar ist?

answer:
Prüfungsschema:

1. **Sachlicher Anwendungsbereich, Art. 2 Abs. 1 DSGVO:** automatisierte Verarbeitung personenbezogener Daten oder nichtautomatisierte Verarbeitung in einem Dateisystem.
2. **Ausnahmen, Art. 2 Abs. 2-4 DSGVO:** z. B. rein persönliche Tätigkeit oder Strafverfolgung/Sicherheitsbehörden.
3. **Räumlicher Anwendungsbereich, Art. 3 DSGVO:** EU-Niederlassung, Angebot an Personen in der EU oder Verhaltensbeobachtung.
4. **Spezialrecht/Öffnungsklauseln:** TDDDG, BDSG, LDSG oder Fachgesetze ergänzend prüfen.

source: Zusammenfassung Abschnitt 4.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Personenbezogene Daten
Was sind personenbezogene Daten nach Art. 4 Nr. 1 DSGVO?

answer:
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare **natürliche Person** beziehen.

Beispiele: Name, Kundennummer, IP-Adresse, Standortdaten, Gesundheitsdaten, Nutzerverhalten.

Prüfungsfalle: GmbH, AG oder Verein sind keine natürlichen Personen. Daten über Ansprechpartner in solchen Organisationen können aber personenbezogen sein.

source: Zusammenfassung Abschnitt 4.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Verarbeitung
Was gilt als Verarbeitung nach Art. 4 Nr. 2 DSGVO?

answer:
Verarbeitung ist praktisch jeder Vorgang mit personenbezogenen Daten, etwa:

- Erheben
- Erfassen
- Speichern
- Ordnen
- Verwenden
- Offenlegen oder Übermitteln
- Löschen oder Vernichten

Prüfungsfalle: Eine Auswertung ist nicht erforderlich. Schon Speichern oder Übermitteln kann Verarbeitung sein.

source: Zusammenfassung Abschnitt 4.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Pseudonymisierung vs. Anonymisierung
Warum ist Pseudonymisierung datenschutzrechtlich nicht dasselbe wie Anonymisierung?

answer:
Bei **Pseudonymisierung** kann die betroffene Person ohne Zusatzinformationen nicht mehr zugeordnet werden. Mit Zusatzinformationen bleibt eine Zuordnung aber möglich.

Bei echter **Anonymisierung** ist eine Identifizierung praktisch nicht mehr möglich.

Klausurfolge: Pseudonymisierte Daten bleiben regelmäßig personenbezogene Daten; die DSGVO ist weiter anwendbar. Pseudonymisierung kann aber als Schutzmaßnahme, z. B. bei Art. 32 oder Art. 6 Abs. 4 DSGVO, wichtig sein.

source: Zusammenfassung Abschnitt 4.2 und 5.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Verantwortlicher und Auftragsverarbeiter
Wie grenzt du Verantwortlichen und Auftragsverarbeiter ab?

answer:
- **Verantwortlicher, Art. 4 Nr. 7 DSGVO:** entscheidet über Zwecke und Mittel der Verarbeitung.
- **Auftragsverarbeiter, Art. 4 Nr. 8 DSGVO:** verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

Prüfungsfalle: Vertragsbezeichnungen sind nicht entscheidend. Maßgeblich ist die tatsächliche Entscheidungsmacht. Bei echter Auftragsverarbeitung braucht es einen Vertrag nach Art. 28 DSGVO.

source: Zusammenfassung Abschnitt 4.2 und 6.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Art. 5 DSGVO
Welche Datenschutzgrundsätze sind in Art. 5 DSGVO klausurrelevant?

answer:
Zentrale Grundsätze:

- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
- Zweckbindung
- Datenminimierung
- Richtigkeit
- Speicherbegrenzung
- Integrität und Vertraulichkeit
- Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO

Prüfungsfalle: Art. 5 ist nicht nur Dekoration. Die Grundsätze prägen Art. 6, Art. 24, Art. 25 und Art. 32 DSGVO.

source: Zusammenfassung Abschnitt 4.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Vier Säulen der DSGVO
Wie kannst du DSGVO-Fragen grob strukturieren?

answer:
Die Zusammenfassung ordnet die DSGVO in vier klausurtaugliche Säulen:

1. **Grundsätze/Zulässigkeit:** Art. 5, 6, 9 DSGVO
2. **Rechte Betroffener:** Art. 12-23 DSGVO
3. **Pflichten Verantwortlicher:** Art. 24-43 DSGVO
4. **Aufsicht/Sanktionen:** Art. 51-84 DSGVO

Nutzen: Du erkennst schneller, ob eine Frage die Rechtmäßigkeit, Betroffenenrechte, Organisation/TOM oder Durchsetzung betrifft.

source: Zusammenfassung Abschnitt 3.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Art. 6 DSGVO
Welche sechs Rechtsgrundlagen nennt Art. 6 Abs. 1 S. 1 DSGVO?

answer:
Die sechs gleichwertigen Rechtsgrundlagen sind:

- lit. a: Einwilligung
- lit. b: Vertrag oder vorvertragliche Maßnahme
- lit. c: rechtliche Verpflichtung
- lit. d: lebenswichtige Interessen
- lit. e: öffentliche Aufgabe oder öffentliche Gewalt
- lit. f: berechtigte Interessen

Prüfungsfalle: Nicht beliebig eine Grundlage wählen. Es muss genau geprüft werden, welcher Tatbestand zum Sachverhalt passt.

source: Zusammenfassung Abschnitt 5


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Einwilligung
Welche Merkmale hat eine wirksame Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 7 DSGVO?

answer:
Eine Einwilligung setzt voraus:

- Erklärung oder eindeutig bestätigende Handlung
- Bezug auf eine konkrete Verarbeitung personenbezogener Daten
- ein oder mehrere bestimmte Zwecke
- Freiwilligkeit
- Informiertheit
- Unmissverständlichkeit
- Nachweisbarkeit durch den Verantwortlichen nach Art. 7 Abs. 1 DSGVO

Schweigen, Untätigkeit und vorangekreuzte Kästchen genügen nicht.

source: Zusammenfassung Abschnitt 5.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Cookie-Banner
Warum reicht bei Cookies eine Prüfung von Art. 6 DSGVO allein regelmäßig nicht aus?

answer:
Bei Cookies und vergleichbaren Zugriffen auf Endeinrichtungen ist zusätzlich § 25 TDDDG relevant. Die DSGVO regelt die Verarbeitung personenbezogener Daten; § 25 TDDDG schützt den Zugriff auf bzw. die Speicherung in Endeinrichtungen.

Prüfungsfalle: Banner sind problematisch, wenn Ablehnen schwerer ist als Zustimmen, Zwecke verschleiert werden oder keine echte Wahl besteht.

source: Zusammenfassung Abschnitt 5.1 und 3.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Vertrag als Rechtsgrundlage
Wann trägt Art. 6 Abs. 1 lit. b DSGVO eine Verarbeitung?

answer:
Art. 6 Abs. 1 lit. b DSGVO greift, wenn die Verarbeitung für die Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen auf Anfrage dieser Person erforderlich ist.

Beispiele:

- Personalisierte Eintrittskarte, wenn Personalisierung Vertragsbestandteil ist.
- Bestelldaten zur Lieferung im Online-Shop.

Prüfungsfalle: Nützlichkeit reicht nicht. Datenweitergaben oder spätere Auswertungen brauchen einen engen Vertragsbezug oder eine andere Grundlage.

source: Zusammenfassung Abschnitt 5.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Rechtliche Verpflichtung
Wann ist Art. 6 Abs. 1 lit. c DSGVO einschlägig?

answer:
Art. 6 Abs. 1 lit. c DSGVO greift, wenn der Verantwortliche personenbezogene Daten verarbeiten muss, um eine rechtliche Verpflichtung zu erfüllen.

Typisches Beispiel: Aufbewahrung von Rechnungen und Buchhaltungsunterlagen aufgrund steuer- oder handelsrechtlicher Pflichten.

Prüfungsfalle: Ein eigenes wirtschaftliches Interesse ist keine rechtliche Verpflichtung. Die Pflicht muss rechtlich vorgegeben sein.

source: Zusammenfassung Abschnitt 5.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Berechtigte Interessen
Wie prüfst du Art. 6 Abs. 1 lit. f DSGVO?

answer:
Prüfung in drei Schritten:

1. **Berechtigtes Interesse** des Verantwortlichen oder eines Dritten.
2. **Erforderlichkeit** der Verarbeitung zur Interessenwahrung.
3. **Abwägung:** Interessen, Grundrechte und Grundfreiheiten der betroffenen Person überwiegen nicht.

Prüfungsfalle: Die Abwägung muss sichtbar sein. Bei Cookies/Tracking zusätzlich Spezialrecht wie § 25 TDDDG prüfen.

source: Zusammenfassung Abschnitt 5.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Weiterverarbeitung
Welche Faktoren prüfst du bei Art. 6 Abs. 4 DSGVO?

answer:
Bei Zweckänderung prüfst du, ob der neue Zweck mit dem ursprünglichen Erhebungszweck vereinbar ist. Faktoren:

- Verbindung zwischen ursprünglichem und neuem Zweck
- Kontext der Erhebung und Beziehung zur betroffenen Person
- Art der Daten, besonders Art. 9 DSGVO
- mögliche Folgen für Betroffene
- Garantien wie Pseudonymisierung oder Verschlüsselung

Wenn keine Vereinbarkeit besteht, braucht es eine neue Rechtsgrundlage oder Einwilligung.

source: Zusammenfassung Abschnitt 5.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Betroffenenrechte
Welche Betroffenenrechte nach Art. 12-22 DSGVO solltest du kennen?

answer:
Wichtige Rechte:

- Art. 12: transparente Information und Kommunikation
- Art. 13, 14: Informationspflichten
- Art. 15: Auskunft
- Art. 16: Berichtigung
- Art. 17: Löschung
- Art. 18-20: Einschränkung, Mitteilung, Datenübertragbarkeit
- Art. 21: Widerspruch
- Art. 22: automatisierte Entscheidungen

Prüfungsfalle: Bei Löschung immer mögliche Aufbewahrungspflichten gegenprüfen.

source: Zusammenfassung Abschnitt 6.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Informationspflichten
Wann prüfst du Art. 13 und wann Art. 14 DSGVO?

answer:
- **Art. 13 DSGVO:** Daten werden direkt bei der betroffenen Person erhoben.
- **Art. 14 DSGVO:** Daten stammen nicht direkt von der betroffenen Person.

Prüfungskern: Die betroffene Person muss transparent über Verarbeitung, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und Rechte informiert werden.

Prüfungsfalle: Die Quelle der Daten entscheidet, welche Norm einschlägig ist.

source: Zusammenfassung Abschnitt 6.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Pflichten des Verantwortlichen
Welche Organisationspflichten des Verantwortlichen sind klausurrelevant?

answer:
Wichtige Pflichten:

- Art. 24 DSGVO: Verantwortung und Nachweis geeigneter Maßnahmen
- Art. 25 DSGVO: Privacy by design/default
- Art. 26 DSGVO: gemeinsame Verantwortlichkeit
- Art. 28 DSGVO: Auftragsverarbeitung
- Art. 30 DSGVO: Verzeichnis von Verarbeitungstätigkeiten
- Art. 32 DSGVO: Sicherheit der Verarbeitung
- Art. 33, 34 DSGVO: Meldung/Benachrichtigung bei Datenschutzverletzungen
- Art. 35, 36 DSGVO: Datenschutz-Folgenabschätzung und Konsultation
- Art. 37-39 DSGVO: Datenschutzbeauftragter

source: Zusammenfassung Abschnitt 6.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Art. 28 DSGVO
Wann brauchst du einen Auftragsverarbeitungsvertrag?

answer:
Ein Vertrag nach Art. 28 DSGVO ist erforderlich, wenn ein Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Inhaltlich wichtig sind insbesondere:

- Weisungsbindung
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Kategorien personenbezogener Daten
- TOM
- Unterauftragsverarbeiter
- Unterstützung bei Betroffenenrechten und Sicherheitsvorfällen

Prüfungsfalle: Dienstleister ist nicht automatisch Auftragsverarbeiter; die Rollen hängen von Zweck- und Mittelentscheidung ab.

source: Zusammenfassung Abschnitt 4.2 und 6.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Datenschutzverletzung
Wie grenzt du Art. 33 und Art. 34 DSGVO ab?

answer:
- **Art. 33 DSGVO:** Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde.
- **Art. 34 DSGVO:** Benachrichtigung der betroffenen Personen, wenn voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten besteht.

Prüfungskern: Art des Vorfalls, Risiko, betroffene Daten, mögliche Folgen und ergriffene Maßnahmen.

Prüfungsfalle: Nicht jede Datenschutzverletzung löst automatisch eine Betroffenenbenachrichtigung aus.

source: Zusammenfassung Abschnitt 6.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Art. 82 DSGVO
Welche Tatbestandsmerkmale hat der Schadensersatzanspruch nach Art. 82 DSGVO?

answer:
Art. 82 DSGVO verlangt:

1. Anspruchsteller ist eine Person.
2. Verstoß gegen die DSGVO durch Verantwortlichen oder Auftragsverarbeiter.
3. Materieller oder immaterieller Schaden.
4. Kausalität zwischen DSGVO-Verstoß und Schaden.

Rechtsfolge: Ersatz des entstandenen Schadens. Entlastung nach Art. 82 Abs. 3 DSGVO ist möglich, wenn keine Verantwortlichkeit für den schadensauslösenden Umstand besteht.

source: Zusammenfassung Abschnitt 6.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# EuGH-Fall NAP
Was ist die klausurrelevante Aussage des NAP-Falls zu Art. 32 und Art. 82 DSGVO?

answer:
Eine unbefugte Offenlegung personenbezogener Daten bedeutet nicht automatisch, dass Art. 32 DSGVO verletzt wurde.

Wichtig ist aber:

- Der Verantwortliche muss darlegen und beweisen, welche TOM angeordnet, umgesetzt und geeignet waren.
- Art. 32 verlangt eine risikobasierte Sicherheitsprüfung.
- Sorge oder Furcht vor Datenmissbrauch kann ein immaterieller Schaden sein, wenn sie nachvollziehbar ist.

Prüfungsfalle: Art. 32-Verstoß, Schaden und Kausalität getrennt prüfen.

source: Zusammenfassung Abschnitt 6.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Compliance
Warum sind Datenschutz und IT-Sicherheit Leitungsaufgaben?

answer:
Compliance bedeutet Befolgung der für das Unternehmen relevanten Gesetze und Regeln. Datenschutz und IT-Sicherheit sind Organisationspflichten, nicht nur Technikfragen.

Beispiele:

- AG-Vorstand: §§ 91, 93 AktG
- GmbH-Geschäftsführer: § 43 GmbHG
- Verantwortlicher: Art. 5 Abs. 2, Art. 24, Art. 32 DSGVO

Folgen bei Verstößen: Innenhaftung, Schadensersatz, Bußgeld und aufsichtsrechtliche Maßnahmen.

source: Zusammenfassung Abschnitt 7.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# TOM nach Art. 32 DSGVO
Wie prüfst du technische und organisatorische Maßnahmen?

answer:
Prüfungsschritte:

1. Schutzbedarf: Welche Daten, Systeme und Zwecke sind betroffen?
2. Risiko: Welche Eintrittswahrscheinlichkeit und Schadensschwere bestehen?
3. Maßnahmen: Welche TOM entsprechen Stand der Technik, Kosten, Art, Umfang und Zweck der Verarbeitung?
4. Nachweis: Wurden Maßnahmen dokumentiert, umgesetzt und getestet?

Art. 32 verlangt angemessenes Schutzniveau, keine absolute Sicherheit.

source: Zusammenfassung Abschnitt 7.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Art. 32-Kriterien
Welche Kriterien nennt Art. 32 DSGVO für ein angemessenes Schutzniveau?

answer:
Zu berücksichtigen sind insbesondere:

- Stand der Technik
- Implementierungskosten
- Art, Umfang, Umstände und Zwecke der Verarbeitung
- Risiko für Rechte und Freiheiten natürlicher Personen
- Pseudonymisierung und Verschlüsselung
- Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Wiederherstellbarkeit nach Zwischenfällen
- regelmäßige Überprüfung und Evaluierung

Prüfungsfalle: Verschlüsselung ist wichtig, aber nicht automatisch ausreichend.

source: Zusammenfassung Abschnitt 7.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Rechnung per E-Mail
Welche Punkte prüfst du beim Fall einer manipulierten Rechnung per E-Mail?

answer:
Getrennt prüfen:

- Ist die DSGVO anwendbar?
- Welche personenbezogenen Daten sind betroffen?
- Welche Art. 32-TOM waren risikobasiert erforderlich?
- Welche Organisationspflichten bestanden?
- Liegt ein DSGVO-Verstoß vor?
- Ist ein Schaden entstanden?
- Besteht Kausalität zwischen Pflichtverstoß und Schaden?

Prüfungsfalle: Nicht pauschal schreiben: „E-Mail war unsicher“. Entscheidend ist das konkrete Risiko- und Maßnahmenkonzept.

source: Zusammenfassung Abschnitt 7.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# § 19 TDDDG
Wann ist § 19 TDDDG relevant?

answer:
§ 19 TDDDG verpflichtet Anbieter digitaler Dienste zu technischen und organisatorischen Vorkehrungen gegen unerlaubten Zugriff, Störungen und Angriffe.

Ein digitaler Dienst ist typischerweise:

- gegen Entgelt erbracht,
- elektronisch,
- im Fernabsatz,
- auf individuellen Abruf.

Klausurbezug: Neben DSGVO-TOM kann § 19 TDDDG eine eigenständige IT-Sicherheitspflicht für digitale Dienste begründen.

source: Zusammenfassung Abschnitt 7.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# IT-Sicherheitsbegriffe
Wie unterscheiden sich Bedrohung, Gefahr/Gefährdung, Schaden und Risiko?

answer:
- **Bedrohung:** Umstand oder Ereignis, das Schaden verursachen kann, z. B. Angreifer, Schadsoftware, Hochwasser.
- **Gefahr/Gefährdung:** konkrete Bedrohung für ein Schutzobjekt.
- **Schaden:** Abweichung vom erwarteten Ergebnis.
- **Risiko:** Häufigkeit und Ausmaß eines Schadens.

Prüfungsfalle: Risiko ist nicht nur „es kann etwas passieren“, sondern verbindet Wahrscheinlichkeit und Schwere.

source: Zusammenfassung Abschnitt 8.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# NIS-2, BSIG und KRITIS
Wie hängen NIS-2, BSIG, CER und KRITIS-DachG zusammen?

answer:
- **NIS-2-Richtlinie:** EU-Richtlinie zur Cybersicherheit bestimmter Einrichtungen.
- **BSIG:** nationales deutsches Umsetzungs- und Spezialrecht für Informationssicherheit.
- **CER-Richtlinie:** betrifft physische Resilienz kritischer Einrichtungen.
- **KRITIS-DachG:** nationale Umsetzung/Regelung für kritische Anlagen und physische Resilienz.

Prüfungsfalle: NIS-2 ist als Richtlinie nicht einfach wie eine EU-Verordnung unmittelbar anzuwenden; in der Klausur regelmäßig über BSIG/Spezialrecht arbeiten.

source: Zusammenfassung Abschnitt 8.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# BSI
Welche Rolle hat das BSI im IT-Sicherheitsrecht?

answer:
Das BSI ist die zentrale nationale Stelle für Informationssicherheit.

Wichtige Anknüpfungen:

- § 1 Abs. 1 S. 2 BSIG: Einordnung des BSI
- § 3 BSIG: Aufgaben
- § 10 BSIG: Maßnahmen
- § 13 BSIG: Warnungen
- §§ 61, 62 BSIG: staatliche Eingriffsmaßnahmen im Durchsetzungskontext

Klausurfrage: Beruht eine BSI-Maßnahme auf einer passenden Befugnisnorm und ist der richtige Adressat betroffen?

source: Zusammenfassung Abschnitt 8.2 und 13.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# BSIG-Adressaten
Welche Einrichtungskategorien sind im BSIG besonders wichtig?

answer:
Wichtige Kategorien:

- **Besonders wichtige Einrichtungen**, § 28 Abs. 1 BSIG
- **Wichtige Einrichtungen**, § 28 Abs. 2 BSIG
- **Betreiber kritischer Anlagen**, § 28 Abs. 8 BSIG und KRITIS-DachG

Klausurprüfung: Einrichtungskategorie, Sektor, Größe/Schwellenwerte und konkrete Anlage/Dienstleistung bestimmen, bevor Pflichten zugeordnet werden.

source: Zusammenfassung Abschnitt 8.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# BSIG-Prüfungsschema
Wie prüfst du BSIG-Pflichten in einem Fall?

answer:
Schema:

1. Einrichtungskategorie bestimmen.
2. Sektor, Größe und Schwellen prüfen.
3. Pflichten aus §§ 30 ff. BSIG zuordnen.
4. Sicherheitsvorfall prüfen.
5. Melde- und Unterrichtungspflichten prüfen.
6. Geschäftsleitungspflichten und Haftung nennen.

Prüfungsfalle: Nicht direkt mit Meldepflichten starten. Erst muss klar sein, ob der Adressat überhaupt unter die BSIG-Pflichten fällt.

source: Zusammenfassung Abschnitt 8.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# § 30 BSIG
Was verlangt § 30 BSIG von wichtigen und besonders wichtigen Einrichtungen?

answer:
§ 30 BSIG verlangt Risikomanagement und technische/organisatorische Maßnahmen nach Stand der Technik unter Berücksichtigung europäischer und internationaler Normen.

Der Maßnahmenkatalog umfasst u. a.:

- Risikoanalyse
- Bewältigung von Vorfällen
- Business Continuity
- Lieferkettensicherheit
- sichere Entwicklung und Wartung
- Wirksamkeitsbewertung
- Schulung
- Kryptographie

source: Zusammenfassung Abschnitt 8.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# § 31 BSIG
Was ist bei KRITIS-Risikomanagement nach § 31 BSIG besonders?

answer:
§ 31 BSIG betrifft Betreiber kritischer Anlagen und legt einen strengeren Maßstab an.

Besonders klausurrelevant:

- erhöhtes Risikomanagement
- besondere Bedeutung kritischer Dienstleistungen
- Pflicht zum Einsatz von Angriffserkennungssystemen

Prüfungsfalle: KRITIS nicht nur als Schlagwort verwenden. Entscheidend ist die konkrete kritische Anlage und der Bezug zu kritischen Dienstleistungen.

source: Zusammenfassung Abschnitt 8.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# BSIG-Meldepflichten
Welche Fristen und Meldeschritte nennt die Zusammenfassung zu § 32 BSIG?

answer:
Bei erheblichen Sicherheitsvorfällen sind Meldungen an BSI und Bundesamt für Bevölkerungsschutz/Katastrophenhilfe vorgesehen.

Genannt werden:

- frühe Erstmeldung,
- erste Bewertung binnen 72 Stunden nach Kenntnis,
- Zwischenmeldungen,
- Abschlussmeldung binnen eines Monats.

Prüfungsfalle: Sicherheitsvorfall, Adressat, Meldepflicht und Frist getrennt prüfen.

source: Zusammenfassung Abschnitt 8.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# § 38 BSIG
Welche Bedeutung haben Geschäftsleitungspflichten im BSIG?

answer:
§ 38 BSIG verknüpft IT-Sicherheit mit Leitungspflichten.

Kernpunkte:

- Geschäftsleitung muss TOM umsetzen und überwachen.
- Regelmäßige Schulung ist relevant.
- Haftung kann nach Gesellschaftsrecht folgen.

Prüfungsfalle: IT-Sicherheit ist keine rein operative Admin-Aufgabe. In der Klausur Leitung, Organisation, Kontrolle und Haftung nennen.

source: Zusammenfassung Abschnitt 8.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# IT-Vertragstypen
Welche Vertragstypen kommen bei IT-Produkten typischerweise in Betracht?

answer:
Wichtige Vertragstypen:

- **Kaufrecht, §§ 433, 434, 437 BGB:** dauerhafte Überlassung von Hard-/Software.
- **Schenkung, §§ 516 ff. BGB:** kostenlose Apps/Freeware; Haftung enger.
- **Miete, §§ 535, 536, 536a BGB:** SaaS, Cloud, zeitlich begrenzte Nutzung.
- **Werkvertrag, §§ 633, 634 BGB:** Individualsoftware oder Entwicklungserfolg.
- **Digitale Produkte, §§ 327 ff. BGB:** Verbraucherverträge über digitale Inhalte/Dienste.

source: Zusammenfassung Abschnitt 9.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Kaufrecht bei Software
Welche Mängelrechte sind bei dauerhaft überlassener Hard-/Software relevant?

answer:
Bei Kaufrecht nach §§ 433, 434, 437, 439 BGB kommen in Betracht:

- Nacherfüllung
- Rücktritt
- Minderung
- Schadensersatz

Regelmäßig ist eine Fristsetzung zu beachten.

Prüfungsfalle: Zuerst klären, ob überhaupt Kaufrecht passt, z. B. dauerhafte Überlassung gegen Geld oder Daten.

source: Zusammenfassung Abschnitt 9.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# SaaS und Mietrecht
Warum wird SaaS häufig mietrechtlich eingeordnet?

answer:
SaaS und Cloud-Anwendungen sind oft zeitlich begrenzte Software- oder Dienstnutzungen. Das passt häufig zu Mietrecht, §§ 535, 536, 536a BGB.

Mögliche Rechte:

- Mangelbeseitigung
- Mietminderung ohne Fristsetzung
- Aufwendungsersatz
- Schadensersatz

Prüfungsfalle: Nicht automatisch Kaufrecht anwenden, wenn keine dauerhafte Überlassung vorliegt.

source: Zusammenfassung Abschnitt 9.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Individualsoftware
Wann ist Werkvertragsrecht bei Software einschlägig?

answer:
Werkvertragsrecht, §§ 633, 634 BGB, passt typischerweise bei Individualsoftware oder Softwareentwicklung auf Bestellung, wenn ein konkreter Erfolg geschuldet ist.

Mängelrechte:

- Nacherfüllung
- Selbstvornahme
- Rücktritt oder Minderung
- Schadensersatz

Prüfungsfalle: Bei laufender Bereitstellung ohne konkreten Entwicklungserfolg kann eher Miet-/Dienstvertragslogik relevant sein.

source: Zusammenfassung Abschnitt 9.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Digitale Produkte
Welche Rolle spielen §§ 327 ff. BGB bei IT-Produkten?

answer:
§§ 327 ff. BGB regeln Verbraucherverträge über digitale Inhalte und digitale Dienste.

Klausurrelevant sind insbesondere:

- Produktanforderungen
- Bereitstellung digitaler Produkte
- Aktualisierungs- und Updatepflichten
- eigene Rechtsbehelfe bei Mängeln

Prüfungsfalle: Bei Verbraucherfällen mit Apps, Plattformdiensten oder digitalen Inhalten §§ 327 ff. BGB mitdenken, nicht nur allgemeines Kauf- oder Mietrecht.

source: Zusammenfassung Abschnitt 9.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# IT-Sicherheit als Mangel
Ist fehlende IT-Sicherheit automatisch ein Sachmangel?

answer:
Nein. Fehlende IT-Sicherheit kann ein Mangel sein, muss aber sauber geprüft werden.

Prüfungspunkte:

- Vertragstyp
- Zeitpunkt des Gefahrübergangs oder Leistungszeitpunkt
- subjektive Anforderungen
- objektive Anforderungen
- gewöhnliche oder vereinbarte Gebrauchstauglichkeit
- Sicherheits- und Updateanforderungen

Prüfungsfalle: Nicht jede Schwachstelle ist automatisch kaufrechtlicher Sachmangel. Aber fehlende Sicherheitsanforderungen können relevant werden.

source: Zusammenfassung Abschnitt 9.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# § 823 BGB
Welche Unterschiede bestehen zwischen § 823 Abs. 1 und Abs. 2 BGB?

answer:
- **§ 823 Abs. 1 BGB:** schützt absolute Rechte/Rechtsgüter; verlangt Rechtsgutverletzung, Handlung, Kausalität, Rechtswidrigkeit und Verschulden.
- **§ 823 Abs. 2 BGB:** setzt Verstoß gegen ein Schutzgesetz voraus; außerdem Schaden, Kausalität und Verschulden.

Prüfungsfalle: Reine Vermögensschäden sind über Abs. 1 nur begrenzt erfasst. Bei IT-Sicherheitsnormen muss Schutzgesetzcharakter gesondert geprüft werden.

source: Zusammenfassung Abschnitt 9.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Produkthaftung
Wann ist Produkthaftung bei Software ein Problem?

answer:
§ 1 ProdHG begründet verschuldensunabhängige Produkthaftung bei Produktfehlern.

Problem bei Software: Es ist zu prüfen, ob Software als Produkt im Sinne der Produkthaftung eingeordnet wird. Die Zusammenfassung weist außerdem auf die neue Produkthaftungsrichtlinie hin.

Prüfungsfalle: Produkthaftung nicht vorschnell bejahen. Produktbegriff, Fehler, Schaden und Kausalität bleiben eigene Prüfungspunkte.

source: Zusammenfassung Abschnitt 9.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Cyber Resilience Act
Was regelt der Cyber Resilience Act grob?

answer:
Der Cyber Resilience Act (CRA, VO (EU) 2024/2847) stellt produktbezogene Cybersicherheitsanforderungen für Produkte mit digitalen Elementen auf.

Wichtig:

- Software-/Hardwareprodukte samt Datenfernverarbeitungslösungen
- Pflichten vom Hersteller bis zum Händler
- Anforderungen an wichtige und kritische Produkte
- Meldung von Schwachstellen und Sicherheitsvorfällen
- Konformitätsbewertung
- Marktüberwachung und Bußgelder

Klausurbezug: Produktbezogene Cybersicherheit nicht nur über Vertrag/Delikt, sondern auch regulatorisch einordnen.

source: Zusammenfassung Abschnitt 9.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# KI-VO-Prüfung
Welche Grundfragen stellst du bei der KI-Verordnung?

answer:
Prüfungsreihenfolge:

1. Liegt ein KI-System nach Art. 3 Nr. 1 KI-VO vor?
2. Welche Rolle hat die beteiligte Person: Anbieter, Betreiber, Importeur, Händler, Bevollmächtigter oder Produkthersteller?
3. Ist eine verbotene Praktik nach Art. 5 KI-VO betroffen?
4. Liegt ein Hochrisiko-System nach Art. 6 KI-VO vor?
5. Greifen Transparenzpflichten nach Art. 50 KI-VO?
6. Geht es um GPAI nach Art. 51 ff. und Art. 53 KI-VO?

source: Zusammenfassung Abschnitt 10


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# KI-System
Was ist ein KI-System nach Art. 3 Nr. 1 KI-VO?

answer:
Ein KI-System ist ein maschinengestütztes, ggf. anpassungsfähiges System, das aus Eingaben ableitet, wie Ausgaben erzeugt werden, die die Umgebung beeinflussen können.

Beispiele für Ausgaben: Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen.

Prüfungsfalle: Nicht jede Software ist automatisch ein KI-System. Der konkrete Funktionsmechanismus und die Ableitung aus Eingaben sind entscheidend.

source: Zusammenfassung Abschnitt 10


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Risikobasierter Ansatz der KI-VO
Welche Risikokategorien sind für die Klausur zentral?

answer:
Die KI-VO arbeitet risikobasiert:

- **Verbotene Praktiken:** Art. 5 KI-VO, z. B. bestimmte manipulative Techniken oder Social Scoring.
- **Hochrisiko-Systeme:** Art. 6 ff. KI-VO, z. B. Sicherheitskomponenten bestimmter Produkte oder Anhang-III-Fälle.
- **Transparenz/GPAI/sonstige Systeme:** Art. 4, Art. 50, Art. 51 ff., Art. 53 KI-VO.

Je höher das Risiko, desto strenger die Pflichten.

source: Zusammenfassung Abschnitt 10


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Shop-Chatbot
Wie ordnest du einen normalen Shop-Chatbot nach KI-VO ein?

answer:
Prüfung:

1. Art. 3 Nr. 1 KI-VO: Liegt ein KI-System vor?
2. Rollen trennen: Anbieter und Betreiber können verschiedene Personen sein.
3. Hochrisiko nicht automatisch bejahen.
4. Transparenzpflichten nach Art. 50 KI-VO prüfen, wenn natürliche Personen direkt interagieren.

Prüfungsfalle: „KI“ im Marketing reicht nicht. Die rechtliche Kategorie hängt von Systemfunktion, Einsatzkontext und Rolle ab.

source: Zusammenfassung Abschnitt 10


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# KI-Kompetenz
Warum ist Art. 4 KI-VO klausurrelevant?

answer:
Art. 4 KI-VO betrifft KI-Kompetenz und kann Anbieter und Betreiber breit erfassen.

Klausuridee: Wer KI-Systeme einsetzt oder anbietet, muss organisatorisch sicherstellen, dass betroffene Personen im Unternehmen ausreichend Kompetenz für Betrieb, Risiken, Pflichten und Nutzungskontext haben.

Prüfungsfalle: Art. 4 ist nicht nur bei Hochrisiko-KI mitzudenken, sondern kann schon breiter relevant werden.

source: Zusammenfassung Abschnitt 10 und Normenreferenz


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Responsible Disclosure
Was bedeutet Responsible Disclosure?

answer:
Responsible Disclosure bedeutet:

- Schwachstelle nicht sofort veröffentlichen.
- Hersteller oder Anbieter informieren.
- sicheren Kontaktweg wählen.
- angemessene Frist zur Behebung setzen.
- anschließend koordiniert veröffentlichen.

Rechtliche Wirkung: Das reduziert Risiken, beseitigt sie aber nicht automatisch.

source: Zusammenfassung Abschnitt 11.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# § 202a StGB
Wann ist Ausspähen von Daten nach § 202a StGB ein Risiko?

answer:
§ 202a StGB erfasst das Verschaffen von Zugang zu Daten, wenn die Daten:

- nicht für den Täter bestimmt sind,
- besonders gesichert sind,
- und der Zugang unter Überwindung der Zugangssicherung erfolgt.

Fallfrage bei Sicherheitsforschung: Gab es eine besondere Sicherung? Wurde sie überwunden? Waren die Daten für die Forschende bestimmt?

Prüfungsfalle: Gute Absicht ersetzt keine Tatbestandsprüfung.

source: Zusammenfassung Abschnitt 11.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# § 202b StGB
Was unterscheidet § 202b StGB von § 202a StGB?

answer:
§ 202b StGB betrifft das Abfangen nicht für den Täter bestimmter Daten aus nichtöffentlicher Datenübermittlung oder aus elektromagnetischer Abstrahlung.

Abgrenzung:

- § 202a: Zugang zu besonders gesicherten Daten.
- § 202b: Abfangen während einer nichtöffentlichen Übermittlung.

Prüfungsfalle: Ruhende Daten auf einem Server sind nicht automatisch „Abfangen“ aus einer Übermittlung.

source: Zusammenfassung Abschnitt 11.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# § 202c StGB
Warum ist Toolbereitstellung in der Sicherheitsforschung strafrechtlich sensibel?

answer:
§ 202c StGB stellt das Vorbereiten von § 202a oder § 202b StGB unter Strafe, insbesondere durch Passwörter, Zugangscodes oder Computerprogramme.

Klausurrelevant ist die Zweckrichtung: Ein Tool kann problematisch sein, wenn es auf Ausspähen oder Abfangen ausgerichtet bereitgestellt wird.

Prüfungsfalle: Nicht jedes Security-Tool ist automatisch strafbar, aber Zweck, Kontext und Verwendungsabsicht müssen geprüft werden.

source: Zusammenfassung Abschnitt 11.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Datenveränderung und Computersabotage
Wann sind §§ 303a, 303b StGB bei Forschung relevant?

answer:
§§ 303a, 303b StGB werden relevant, wenn Sicherheitsforschung Systeme oder Daten beeinträchtigt.

- **§ 303a StGB:** Datenveränderung.
- **§ 303b StGB:** Computersabotage.

Beispiele: Test verändert Produktivdaten, legt Systeme lahm oder beeinträchtigt Verfügbarkeit.

Prüfungsfalle: Auch wenn kein Datendiebstahl vorliegt, kann eine technische Beeinträchtigung strafrechtlich relevant sein.

source: Zusammenfassung Abschnitt 11.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# § 34 StGB
Wann kann rechtfertigender Notstand bei Sicherheitsforschung helfen?

answer:
§ 34 StGB kann ausnahmsweise rechtfertigen, wenn alle Voraussetzungen erfüllt sind:

- gegenwärtige Gefahr,
- Erforderlichkeit der Handlung,
- Interessenabwägung zugunsten des geschützten Interesses,
- Angemessenheit.

Responsible Disclosure kann in diese Richtung sprechen, ersetzt die Prüfung aber nicht.

Prüfungsfalle: § 34 StGB ist kein Freifahrtschein für Schwachstellensuche.

source: Zusammenfassung Abschnitt 11.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Sicherheitsforschung und Datenschutz
Welche DSGVO-Fragen stellen sich bei Sicherheitsforschung?

answer:
Typische Prüfung:

- Werden personenbezogene Daten verarbeitet?
- Welche Rechtsgrundlage passt, häufig Art. 6 Abs. 1 lit. f DSGVO?
- Ist die Verarbeitung für Sicherheitsforschung erforderlich?
- Überwiegen Interessen der betroffenen Personen?
- Sind besondere Kategorien nach Art. 9 DSGVO betroffen?
- Gibt es zusätzliche Grundlagen, z. B. § 27 BDSG?

Prüfungsfalle: Forschungsinteresse ist ein starkes Argument, aber keine automatische Rechtsgrundlage.

source: Zusammenfassung Abschnitt 11.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Software-Urheberrecht
Welche urheberrechtlichen Fragen können bei Sicherheitsforschung auftreten?

answer:
Computerprogramme sind nach §§ 69a ff. UrhG geschützt. Zu prüfen sind insbesondere:

- Vervielfältigung
- Bearbeitung
- öffentliche Zugänglichmachung
- Nutzungsrecht oder gesetzliche Erlaubnis

Folgen bei Verstoß: Unterlassung, Auskunft, Schadensersatz nach § 97 UrhG und ggf. Strafbarkeit nach § 106 UrhG.

Prüfungsfalle: Strafrecht, Datenschutzrecht und Urheberrecht getrennt prüfen.

source: Zusammenfassung Abschnitt 11.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Rechtsverletzende Inhalte
Welche Rechtspositionen können durch Internetinhalte verletzt werden?

answer:
Typische Rechtspositionen:

- Urheberrecht, einschließlich Software nach §§ 69a ff. UrhG
- Persönlichkeitsrecht und Recht am Bild
- Datenschutzrecht bei personenbezogenen Informationen
- Namensrecht, § 12 BGB
- eingerichteter und ausgeübter Gewerbebetrieb, § 823 Abs. 1 BGB
- Wettbewerbsrecht/UWG
- illegaler Inhalt nach Art. 3 lit. h DSA

Prüfungsfalle: Erst Rechtsposition bestimmen, dann Anspruchsgrundlage und richtigen Gegner prüfen.

source: Zusammenfassung Abschnitt 12.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# KI-Inhalte und Urheberrecht
Warum sind KI-generierte Inhalte urheberrechtlich problematisch?

answer:
Urheberrecht setzt regelmäßig eine persönliche geistige Schöpfung voraus. Bei rein KI-generierten Inhalten ist problematisch, ob diese menschliche schöpferische Leistung vorliegt.

Klausurfolge: Nicht pauschal Urheberrechtsschutz bejahen. Prüfen, ob und welche menschliche Gestaltung den Inhalt prägt.

Prüfungsfalle: Die Frage nach Schutz des KI-Inhalts ist von Rechtsverletzungen durch Trainingsdaten, Prompts oder Output zu trennen.

source: Zusammenfassung Abschnitt 12.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Internet-Haftung
Welche Anspruchsgrundlagen und Rechtsfolgen kommen bei rechtsverletzenden Online-Inhalten in Betracht?

answer:
Mögliche Anspruchsgrundlagen:

- § 823 Abs. 1 BGB bei sonstigen Rechten
- § 823 Abs. 2 BGB bei Schutzgesetzverstoß
- § 1004 BGB analog für Unterlassung
- Spezialgesetze, z. B. § 97 UrhG

Mögliche Rechtsfolgen:

- Unterlassung
- Entfernung
- Vertragsstrafe oder Ordnungsgeld
- Schadensersatz
- Auskunft

Prüfungsfalle: Anspruchsgrundlage, Rechtsfolge und Passivlegitimation getrennt prüfen.

source: Zusammenfassung Abschnitt 12.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Passivlegitimation
Wer kann bei rechtsverletzenden Inhalten im Internet haften?

answer:
Mögliche Haftungsadressaten:

- Ersteller eigener Inhalte
- Personen, die sich fremde Inhalte zu eigen machen
- Linksetzer
- Plattformbetreiber
- Host-Provider

Entscheidend sind Rolle, Kenntnis, Kontrolle und das DSA-Regime.

Prüfungsfalle: Nicht automatisch die Plattform verklagen. Zuerst fragen: Wer will was von wem woraus?

source: Zusammenfassung Abschnitt 12.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Linkhaftung
Was ist die Kernaussage des Playboy-Falls zur Linkhaftung?

answer:
Ein frei zugänglicher Link ist nicht automatisch eine urheberrechtliche öffentliche Zugänglichmachung.

Relevant werden insbesondere:

- Kenntnis von Rechtswidrigkeit
- Gewinnerzielungsabsicht
- Umgehung technischer Beschränkungen
- Erreichen eines neuen Publikums

Prüfungsfalle: Linksetzung nicht pauschal als haftungsfrei oder haftungsbegründend behandeln. Die Umstände entscheiden.

source: Zusammenfassung Abschnitt 12.2


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# DSA-Providerrollen
Welche Providerrollen und Haftungsprivilegien kennt der DSA grob?

answer:
- **Access-Provider / Mere Conduit, Art. 4 DSA:** keine Haftung, wenn Übermittlung nicht veranlasst, Empfänger nicht ausgewählt und Information nicht verändert wird.
- **Caching, Art. 5 DSA:** Privileg für automatische, zeitlich begrenzte Zwischenspeicherung unter Bedingungen.
- **Hosting, Art. 6 DSA:** Privileg bis zur tatsächlichen Kenntnis bzw. bis der Anbieter rechtswidrige Inhalte erkennt und nicht zügig handelt.

Prüfungsfalle: Anbieterrolle genau bestimmen.

source: Zusammenfassung Abschnitt 12.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Notice-and-Action
Was verlangen Art. 16 und 17 DSA grob von Hostinganbietern?

answer:
Art. 16 und 17 DSA betreffen Melde- und Abhilfeverfahren.

Kern:

- Hostinganbieter brauchen Notice-and-Action-Strukturen.
- Meldungen über rechtswidrige Inhalte müssen verarbeitet werden können.
- Entscheidungen über Entfernung, Sperrung oder Nichtstun müssen begründet werden.

Prüfungsfalle: Kenntnis durch Meldung kann für Hostingprivilegien entscheidend werden; zügiges Handeln ist dann zentral.

source: Zusammenfassung Abschnitt 12.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Rechtsdurchsetzung
Welche drei Modelle der Rechtsdurchsetzung unterscheidet die Zusammenfassung?

answer:
Drei Modelle:

1. **Staatliche Durchsetzung:** Behörden erlassen Verwaltungsakte, Anordnungen, Verbote oder vollstrecken, z. B. Datenschutzaufsicht oder BSI.
2. **Individuelle Durchsetzung:** Betroffene oder Unternehmen klagen selbst, z. B. Art. 82 DSGVO oder § 823 BGB.
3. **Kollektive Durchsetzung:** Verbände oder Organisationen handeln über Prozessstandschaft oder Verbandsklage, z. B. Art. 80 DSGVO.

Prüfungsfalle: Materielle Norm und Durchsetzungsweg getrennt benennen.

source: Zusammenfassung Abschnitt 13.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Art. 80 DSGVO
Was regelt Art. 80 DSGVO zur kollektiven Rechtsdurchsetzung?

answer:
Art. 80 DSGVO ermöglicht die Einbindung von Verbänden/Organisationen.

- **Art. 80 Abs. 1 DSGVO:** Vertretung im Auftrag einer betroffenen Person.
- **Art. 80 Abs. 2 DSGVO:** Verbandsklage im eigenen Namen, soweit nationales Recht dies vorsieht.

Klausurbezug: Nicht nur der einzelne Betroffene kann datenschutzrechtliche Interessen durchsetzen; kollektive Verfahren können hinzutreten.

source: Zusammenfassung Abschnitt 13.1


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Datenschutzaufsicht
Welche Datenschutzaufsichtsstellen solltest du unterscheiden?

answer:
- **EDSA/EDPB:** europäische Koordinations- und Kohärenzstelle, keine lokale Einzelfallaufsicht.
- **BfDI:** Aufsicht für Behörden des Bundes.
- **Landesdatenschutzbeauftragte/BayLDA:** Aufsicht für öffentliche und nichtöffentliche Stellen der Länder.
- **LfDI Baden-Württemberg:** zuständig für baden-württembergische Stellen im jeweiligen Zuständigkeitsbereich.

Prüfungsfalle: Zuständigkeit nicht mit materieller Rechtsfrage vermischen.

source: Zusammenfassung Abschnitt 13.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Art. 58 DSGVO
Welche Befugniskategorien der Aufsichtsbehörden nennt Art. 58 DSGVO?

answer:
Art. 58 DSGVO unterscheidet:

- **Untersuchungsbefugnisse, Art. 58 Abs. 1:** Informationen, Unterlagen, Untersuchungen.
- **Abhilfebefugnisse, Art. 58 Abs. 2:** Warnung, Verwarnung, Anweisung, Beschränkung oder Verbot der Verarbeitung, Widerruf von Zertifizierungen.
- **Beratungs- und Genehmigungsbefugnisse, Art. 58 Abs. 3:** Beratung, Stellungnahmen, Genehmigungen, Standardklauseln.

Prüfungsfalle: Sachverhaltsaufklärung nicht vorschnell als Sanktion einordnen.

source: Zusammenfassung Abschnitt 13.4


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Gerichtszweige
Welche Gerichte können bei IT-Sicherheit und Datenschutz zuständig sein?

answer:
- **Zivilgerichte:** DSGVO-Ansprüche, Wettbewerber, IT-Mängel, UrhG, § 823 BGB.
- **Arbeitsgerichte:** Datenschutz und IT-Sicherheit im Beschäftigungskontext.
- **Strafgerichte:** StGB, § 106 UrhG, ggf. DSGVO-Bußgeldbezug über § 41 BDSG.
- **Verwaltungsgerichte:** Rechtsschutz gegen behördliche Maßnahmen, z. B. Datenschutzaufsicht oder BSI.
- **EuGH:** Auslegung von DSGVO, DSA, KI-VO und EU-Grundrechten.

Prüfungsfalle: Gerichtszweig aus Streitgegenstand und Beteiligten ableiten.

source: Zusammenfassung Abschnitt 13.5


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Verfahrensgang
Wie läuft ein gerichtliches Verfahren grob ab?

answer:
Grobstruktur:

1. Klage oder Anklage.
2. Zustellung an Beklagten oder Angeklagten.
3. Stellungnahmen der Beteiligten.
4. Beweiserhebung, falls erforderlich.
5. Urteil.
6. Danach ggf. Vollstreckung oder Rechtsmittel.

Klausurbezug: Materielle Anspruchsgrundlage beantwortet nicht automatisch, wie der Anspruch praktisch durchgesetzt wird.

source: Zusammenfassung Abschnitt 13.6


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Normen-Schnellcheck Datenschutzfall
Welche Normen prüfst du typischerweise in einem Datenschutzfall?

answer:
Schnellcheck:

- Art. 2, 3 DSGVO: Anwendungsbereich
- Art. 4 DSGVO: Begriffe und Rollen
- Art. 5 DSGVO: Grundsätze
- Art. 6 DSGVO: Rechtsgrundlage
- ggf. Art. 9 DSGVO: besondere Kategorien
- Art. 12-23 DSGVO: Betroffenenrechte
- Art. 24, 25, 28, 30, 32 DSGVO: Organisation/TOM
- Art. 33, 34 DSGVO: Datenschutzverletzung
- Art. 82, 83 DSGVO: Schadensersatz/Bußgeld
- Art. 58 DSGVO: Aufsichtsbehörden

source: Zusammenfassung Abschnitt 14.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Spezialrecht im IT-Recht
Welche Spezialnormen solltest du neben der DSGVO im Blick behalten?

answer:
Je nach Fall insbesondere:

- § 25 TDDDG: Cookies/Endeinrichtungen
- § 19 TDDDG: IT-Sicherheit digitaler Dienste
- §§ 30-33, 35, 38 BSIG: IT-Sicherheitsorganisation
- §§ 61, 62 BSIG: BSI-Eingriffsmaßnahmen
- §§ 433 ff., 535 ff., 633 ff., 327 ff. BGB: IT-Produkte
- § 823 BGB: Delikt
- §§ 202a-202c, 303a, 303b StGB: IT-Strafrecht
- §§ 69a, 69c, 69d UrhG: Software
- KI-VO, DSA und CRA

Prüfungsfalle: Das passende Spezialrecht kann die DSGVO ergänzen oder die Falllösung in eine andere Richtung führen.

source: Zusammenfassung Abschnitt 14.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Öffnungsklauseln
Warum sind Öffnungsklauseln im Datenschutzrecht wichtig?

answer:
Die DSGVO gilt unmittelbar und verdrängt entgegenstehendes nationales Recht. Nationale Normen wie BDSG oder LDSG können aber relevant werden, wenn die DSGVO eine Öffnungsklausel enthält oder der Bereich außerhalb der DSGVO liegt.

Beispiele: Beschäftigtendaten, Forschung, öffentliche Stellen und spezielle Verarbeitungskontexte.

Prüfungsfalle: BDSG/LDSG nicht isoliert prüfen, sondern zuerst DSGVO-Anwendungsbereich und Öffnungsklausel klären.

source: Zusammenfassung Abschnitt 3.2 und 2.3


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Art. 9 DSGVO
Wann musst du besondere Kategorien personenbezogener Daten prüfen?

answer:
Art. 9 DSGVO wird relevant bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, biometrischen Daten, politischen Meinungen oder ähnlichen sensiblen Informationen.

Prüfungsidee:

- Liegen besondere Kategorien vor?
- Gibt es eine Ausnahme oder spezielle Rechtsgrundlage?
- Welche zusätzlichen Schutzmaßnahmen sind erforderlich?

Prüfungsfalle: Art. 6 DSGVO allein genügt bei Art. 9-Daten regelmäßig nicht.

source: Zusammenfassung Abschnitt 5.3, 11.3 und Normenreferenz


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# Anspruchsprüfung
Was bedeutet die Formel „Wer will was von wem woraus?“ im IT-Recht?

answer:
Die Formel strukturiert Anspruchsfälle:

- **Wer:** Anspruchsteller.
- **Was:** begehrte Rechtsfolge, z. B. Schadensersatz, Unterlassung, Auskunft.
- **Von wem:** richtiger Anspruchsgegner/Passivlegitimation.
- **Woraus:** Anspruchsgrundlage, z. B. Art. 82 DSGVO, § 823 BGB, § 97 UrhG.

Klausurbezug: Besonders wichtig bei Internet-Haftung, Datenschutzschäden und IT-Produktmängeln.

source: Zusammenfassung Abschnitt 12.2 und 13.5


semester: Semester 4

subject: IT-Recht

deck: Semester 4

question:
# IT-Recht-Falllösung
Welche Themen musst du bei einem Hackerangriff mit Kundendaten typischerweise trennen?

answer:
Typische getrennte Prüfung:

- DSGVO-Anwendbarkeit und Personenbezug
- Rollen: Verantwortlicher/Auftragsverarbeiter
- Art. 32 DSGVO: angemessene TOM
- Art. 33/34 DSGVO: Meldung und Benachrichtigung
- Art. 82 DSGVO: Schaden, Kausalität, Entlastung
- ggf. BSIG/TDDDG-Pflichten
- ggf. Vertrags-/Deliktshaftung
- Durchsetzung durch Betroffene oder Aufsicht

Prüfungsfalle: Nicht alles unter „Datenschutzverletzung“ zusammenwerfen.

source: Zusammenfassung Abschnitte 6.3, 7.2, 8 und 13