Klausurzusammenfassung: IT-Recht
Juristische Fallbearbeitung, Datenschutzrecht, IT-Sicherheitsrecht, produktbezogene Verantwortung, KI-VO, IT-Sicherheitsforschung, Haftung im Internet und Rechtsdurchsetzung
Druckhinweis: Im Browser über Drucken > Als PDF speichern exportieren. Sinnvolle Einstellungen: Papierformat A4, Skalierung 100 %, Browser-Kopf- und Fußzeilen deaktivieren, Hintergrundgrafiken aktivieren.
1. Stoffkarte und Klausurlogik
Die Vorlesung verbindet zwei Ebenen: Erstens die juristische Methode, also Normsuche, Tatbestandsmerkmale und Subsumtion. Zweitens konkrete IT-rechtliche Regelungen zu Datenschutz, IT-Sicherheit, Produkten, KI, Sicherheitsforschung, Internet-Haftung und Rechtsdurchsetzung. Klausurrelevant ist deshalb vor allem, einen Sachverhalt sauber einer Norm zuzuordnen und dann jedes Tatbestandsmerkmal getrennt zu prüfen.
Klausurkern: Nicht mit dem Ergebnis beginnen. Immer zuerst Sachverhalt klären, einschlägige Norm suchen, Tatbestandsmerkmale herausarbeiten, jedes Merkmal mit Obersatz, Untersatz und Schlusssatz subsumieren und erst dann die Rechtsfolge nennen.
Grundschema juristischer Fallbearbeitung
Gliederung
- Juristische Methode und Rechtsquellen
- Grundrechte und Datenschutz-Rechtsquellen
- DSGVO-Anwendungsbereich und Begriffe
- Art. 6 DSGVO und Rechtmäßigkeit
- DSGVO-Pflichten, Rechte und Sanktionen
- Compliance, TOM und Art. 32 DSGVO
- BSIG, NIS-2 und KRITIS
- IT-Produkte, Mängel und Haftung
- KI-Verordnung
- IT-Sicherheitsforschung
- Haftung im Internet und DSA
- Rechtsdurchsetzung und Gerichte
- Checkliste, Klausurfragen und Abdeckung
2. Juristische Methode und Rechtsquellen
2.1 Recht, Gesetz und Rechtsnorm
| Begriff | Klausurrelevante Bedeutung | Beispiel aus dem Skript |
|---|---|---|
| Recht | Summe der geltenden Rechtsnormen. Positives Recht ist von zuständigen Organen gesetzt oder staatlich anerkannt. | Datenschutzrecht und IT-Sicherheitsrecht als Teile der Rechtsordnung. |
| Gesetz | Rechtsnorm mit generell-abstrakter Sollensanordnung, Tatbestand und Rechtsfolge. | § 223 StGB verbietet Körperverletzung; Art. 6 DSGVO regelt Rechtmäßigkeit der Verarbeitung. |
| Tatbestand | Voraussetzungen, unter denen eine Norm eingreift. Besteht meist aus mehreren Tatbestandsmerkmalen. | Bei Art. 6 Abs. 1 S. 1 lit. a DSGVO: Verarbeitung personenbezogener Daten, Einwilligung, Zweckbezug. |
| Rechtsfolge | Rechtliche Konsequenz, wenn alle Tatbestandsmerkmale erfüllt sind. | Datenverarbeitung ist rechtmäßig; Täter wird bestraft; Anspruch auf Schadensersatz entsteht. |
Merksatz: Ein Gesetz ist nicht nur Text. Für die Falllösung muss aus dem Text die prüfbare Struktur herausgearbeitet werden: Tatbestand, Tatbestandsmerkmale, Definitionen, Rechtsfolge.
2.2 Subsumtion
Subsumtion bedeutet, den festgestellten Sachverhalt unter die Tatbestandsmerkmale einer Norm einzuordnen. Die Methode besteht aus drei Sätzen pro Merkmal:
| Schritt | Funktion | Beispiel |
|---|---|---|
| Obersatz | Normative Frage: Was müsste vorliegen? | „Eine Einwilligung liegt vor, wenn die betroffene Person freiwillig, bestimmt, informiert und unmissverständlich zustimmt.“ |
| Untersatz | Tatsachenanwendung: Was ist im Sachverhalt passiert? | „Das Kästchen war vorangekreuzt; eine aktive Zustimmung fehlt.“ |
| Schlusssatz | Ergebnis zum einzelnen Merkmal. | „Eine wirksame Einwilligung liegt nicht vor.“ |
Prüfungsfalle: Ein Endergebnis ohne Tatbestandsprüfung ist fast immer zu dünn. Gerade bei Art. 6 DSGVO, Art. 32 DSGVO, Art. 82 DSGVO, § 202a StGB, § 823 BGB und DSA-Providerhaftung müssen die einzelnen Voraussetzungen sichtbar geprüft werden.
2.3 Rechtsquellen und Rangfolge
| Ebene | Rechtsquelle | IT-rechtliche Beispiele | Rang-/Prüfungshinweis |
|---|---|---|---|
| EU-Primärrecht | EUV, AEUV, EU-Grundrechtecharta | Art. 7, 8 GRC; Art. 288 AEUV | Steht über nationalem einfachen Recht. EU-Recht hat Anwendungsvorrang. |
| EU-Sekundärrecht | Verordnungen und Richtlinien | DSGVO, DSA, KI-VO, CRA, NIS-2-RL, ePrivacy-RL | Verordnungen gelten unmittelbar; Richtlinien brauchen nationale Umsetzung. |
| Verfassungsrecht | GG | Allgemeines Persönlichkeitsrecht, Fernmeldegeheimnis, Berufsfreiheit | Wichtig bei staatlichen Eingriffen und Auslegung. |
| Bundesrecht | Gesetze | BDSG, TDDDG, BSIG, BGB, StGB, UrhG, ProdHG | Darf EU-Recht nicht verdrängen; Öffnungsklauseln beachten. |
| Landesrecht | Landesdatenschutzgesetze | LDSG BW | Relevant bei öffentlichen Stellen der Länder. |
3. Grundrechte und Datenschutz-Rechtsquellen
3.1 Grundrechtsprüfung
Grundrechte schützen Freiheitssphären gegen staatliche Eingriffe und wirken über Auslegung und Schutzpflichten auch in privatrechtliche Fragen hinein. Für Datenschutz und IT-Sicherheit sind vor allem Persönlichkeit, Kommunikation, Datenverarbeitung und Vertraulichkeit betroffen.
| Prüfungspunkt | Frage | Typische Normen |
|---|---|---|
| Schutzbereich | Ist der Lebenssachverhalt vom Grundrecht erfasst? | Art. 7 GRC Achtung des Privat- und Familienlebens; Art. 8 GRC Schutz personenbezogener Daten; Art. 10 GG Fernmeldegeheimnis. |
| Eingriff | Wird die geschützte Freiheit beeinträchtigt? | Speicherung, Überwachung, Offenlegung oder staatlicher Zugriff auf Kommunikationsdaten. |
| Rechtfertigung | Gibt es eine gesetzliche Grundlage und ist der Eingriff verhältnismäßig? | Geeignetheit, Erforderlichkeit, Angemessenheit; klare und präzise Regeln bei schweren Grundrechtseingriffen. |
Vorratsdatenspeicherung: Das Skript nutzt sie als Musterfall für EU-Grundrechte. Betroffen sind insbesondere Art. 7 und 8 GRC. Die Speicherung von Verkehrs- und Standortdaten kann schon als solche einen Eingriff darstellen; eine Rechtfertigung verlangt strenge gesetzliche Grenzen, Garantien gegen Missbrauch und Beschränkung auf das Notwendige.
3.2 Datenschutz-Rechtsquellen
| Regelwerk | Rolle | Klausurhinweis |
|---|---|---|
| DSGVO | Grundnormierung für Verarbeitung personenbezogener Daten im Anwendungsbereich des EU-Rechts. | Immer zuerst Art. 2 und 3 DSGVO prüfen. Nationale Normen nur bei Öffnungsklausel oder außerhalb des DSGVO-Anwendungsbereichs. |
| ePrivacy-RL / TDDDG | Spezialregeln für elektronische Kommunikation und digitale Dienste, insbesondere Endeinrichtungen/Cookies. | Bei Cookies und Tracking reicht Art. 6 DSGVO allein nicht; § 25 TDDDG und Art. 5 ePrivacy-RL beachten. |
| BDSG / LDSG | Nationale Ergänzungen aufgrund von Öffnungsklauseln, z.B. Beschäftigtendaten oder Forschung. | Prüfen: Gibt es eine Öffnungsklausel? Falls ja, nationale Norm zusätzlich zur DSGVO anwenden. |
| JI-Richtlinie / Spezialrecht | Datenverarbeitung durch Strafverfolgungs- und Sicherheitsbehörden. | Art. 2 Abs. 2 lit. d DSGVO nimmt diesen Bereich aus der DSGVO heraus. |
Vier Säulen der DSGVO
4. DSGVO-Anwendungsbereich und Begriffe
4.1 Prüfschema DSGVO-Anwendbarkeit
1. Sachlicher Anwendungsbereich, Art. 2 Abs. 1 DSGVO: Liegt eine automatisierte Verarbeitung personenbezogener Daten oder eine nichtautomatisierte Verarbeitung in einem Dateisystem vor?
2. Ausnahmen, Art. 2 Abs. 2 bis 4 DSGVO: Keine Anwendung z.B. außerhalb des Unionsrechts, bei rein persönlicher/haushaltsbezogener Tätigkeit oder in Strafverfolgungs-/Sicherheitsbereichen.
3. Räumlicher Anwendungsbereich, Art. 3 DSGVO: Niederlassung in der EU, Anbieten von Waren/Dienstleistungen an Personen in der EU oder Beobachtung ihres Verhaltens.
4. Spezialrecht/Öffnungsklauseln: TDDDG, BDSG, LDSG, Fachgesetze und spezielle EU-Rechtsakte prüfen.
4.2 Zentrale Begriffe nach Art. 4 DSGVO
| Norm | Begriff | Tatbestandskern | Prüfungsfalle |
|---|---|---|---|
| Art. 4 Nr. 1 DSGVO | Personenbezogene Daten | Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. | GmbH/AG/Verein sind keine natürlichen Personen. Daten über Ansprechpartner können aber personenbezogen sein. |
| Art. 4 Nr. 2 DSGVO | Verarbeitung | Jeder Vorgang mit personenbezogenen Daten, etwa Erheben, Speichern, Verwenden, Offenlegen, Löschen. | Schon Speichern oder Übermitteln reicht; eine „Auswertung“ ist nicht erforderlich. |
| Art. 4 Nr. 5 DSGVO | Pseudonymisierung | Zuordnung ohne Zusatzinformationen nicht mehr möglich. | Pseudonymisiert ist nicht anonymisiert. Die DSGVO bleibt regelmäßig anwendbar. |
| Art. 4 Nr. 7 DSGVO | Verantwortlicher | Entscheidet über Zwecke und Mittel der Verarbeitung. | Nicht bloß auf Vertragsbezeichnungen schauen; maßgeblich ist die tatsächliche Entscheidungsmacht. |
| Art. 4 Nr. 8 DSGVO | Auftragsverarbeiter | Verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. | Art. 28 DSGVO-Vertrag erforderlich, wenn echte Auftragsverarbeitung vorliegt. |
4.3 Datenschutzgrundsätze, Art. 5 DSGVO
| Grundsatz | Inhalt | Klausurfrage |
|---|---|---|
| Rechtmäßigkeit, Treu und Glauben, Transparenz | Verarbeitung braucht eine Rechtsgrundlage und muss nachvollziehbar sein. | Welche Rechtsgrundlage nach Art. 6 DSGVO? |
| Zweckbindung | Daten dürfen nur für festgelegte Zwecke verarbeitet werden. | Liegt Weiterverarbeitung nach Art. 6 Abs. 4 DSGVO vor? |
| Datenminimierung | Nur erforderliche Daten verarbeiten. | Wird mehr erhoben als für den Zweck nötig? |
| Richtigkeit und Speicherbegrenzung | Daten müssen korrekt sein und dürfen nicht länger als nötig gespeichert werden. | Bestehen Löschfristen oder Aufbewahrungspflichten? |
| Integrität und Vertraulichkeit | Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie Verlust/Schädigung. | Art. 32 DSGVO, TOM und Nachweispflicht prüfen. |
| Rechenschaftspflicht | Verantwortlicher muss Einhaltung nachweisen können. | Dokumentation, TOM-Konzept, Verzeichnis, Datenschutzmanagement. |
5. Art. 6 DSGVO und Rechtmäßigkeit der Verarbeitung
Art. 6 Abs. 1 S. 1 DSGVO ist die zentrale Norm für die Rechtmäßigkeit der Verarbeitung. Die sechs Tatbestände sind gleichwertig. In der Klausur wird geprüft, welcher Tatbestand wirklich passt; die Norm darf nicht beliebig ausgetauscht werden.
| Norm | Rechtsgrundlage | Tatbestandsmerkmale | Typische Klausurfalle |
|---|---|---|---|
| Art. 6 Abs. 1 S. 1 lit. a DSGVO | Einwilligung | Betroffene Person, konkrete Verarbeitung, ein oder mehrere bestimmte Zwecke, freiwillige/informierte/unmissverständliche Erklärung, Nachweis nach Art. 7. | Vorangekreuzte Kästchen, unklare Zwecke und „Pay or consent“ ohne echte Wahlfreiheit. |
| lit. b | Vertrag / vorvertragliche Maßnahme | Vertrag mit der betroffenen Person oder Anfrage der betroffenen Person; Verarbeitung ist hierfür erforderlich. | Nicht jede nützliche Verarbeitung ist erforderlich. Datenweitergabe an Dritte braucht einen engen Vertragsbezug. |
| lit. c | Rechtliche Verpflichtung | Öffentlich-rechtliche Pflicht des Verantwortlichen; Verarbeitung zur Erfüllung erforderlich. | Beispiel: steuerliche Aufbewahrungspflichten nach AO/HGB, nicht bloß eigenes Interesse. |
| lit. d | Lebenswichtige Interessen | Erforderlich zum Schutz lebenswichtiger Interessen der betroffenen Person oder eines Dritten. | Enger Notfalltatbestand; nicht als allgemeine Sicherheitsnorm verwenden. |
| lit. e | Öffentliches Interesse / öffentliche Gewalt | Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt; Aufgabe ist rechtlich übertragen. | Nicht für beliebige private Unternehmen, nur wegen Gemeinwohlbezug. |
| lit. f | Berechtigte Interessen | Berechtigtes Interesse des Verantwortlichen/Dritten, Erforderlichkeit, keine überwiegenden Interessen/Rechte/Freiheiten der betroffenen Person. | Interessenabwägung sichtbar machen; bei Cookies/Tracking Spezialrecht beachten. |
5.1 Einwilligung, Art. 6 Abs. 1 lit. a und Art. 7 DSGVO
TBM 1: Es liegt eine Erklärung oder eindeutig bestätigende Handlung der betroffenen Person vor. Schweigen, Untätigkeit oder voreingestellte Kästchen genügen nicht.
TBM 2: Die Erklärung bezieht sich auf eine konkrete Verarbeitung personenbezogener Daten für bestimmte Zwecke.
TBM 3: Die Einwilligung ist freiwillig, informiert und unmissverständlich. Bei Kindern Art. 8 DSGVO beachten.
RF/Nachweis: Die Verarbeitung ist rechtmäßig; der Verantwortliche muss die Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen können.
Cookies: Für Cookies und vergleichbare Zugriffe auf Endeinrichtungen ist neben DSGVO insbesondere § 25 TDDDG relevant. Die Datenschutzbehörden sehen viele Banner-Gestaltungen kritisch, wenn Ablehnen schwerer ist als Zustimmen oder Zwecke verschleiert werden.
5.2 Vertrag, rechtliche Pflicht und berechtigte Interessen
| Konstellation | Richtige Frage | Ergebnislogik |
|---|---|---|
| Personalisierte Eintrittskarte | Ist die Datennutzung erforderlich, um den Vertrag mit genau dieser Person zu erfüllen? | Kann nach lit. b zulässig sein, wenn Personalisierung Vertragsbestandteil ist. |
| Speicherung von Rückgabe-/Widerrufsverhalten | Dient die weitere Speicherung noch der Vertragserfüllung? | Nach Abschluss des Vorgangs regelmäßig nicht mehr lit. b; ggf. lit. f prüfen. |
| Rechnung und Buchhaltung | Gibt es eine gesetzliche Aufbewahrungspflicht? | Art. 6 Abs. 1 lit. c DSGVO, z.B. wegen AO/HGB. |
| Domain-/Admin-C-Daten | Welche Daten sind zur Interessenwahrung wirklich erforderlich? | Lit. f verlangt konkrete Interessenabwägung; nicht pauschal alle Rollen speichern. |
5.3 Weiterverarbeitung, Art. 6 Abs. 4 DSGVO
Wenn Daten für einen neuen Zweck genutzt werden sollen, muss geprüft werden, ob eine Einwilligung oder eine andere Rechtsgrundlage vorliegt oder ob der neue Zweck mit dem ursprünglichen Erhebungszweck vereinbar ist.
| Faktor | Frage |
|---|---|
| Verbindung der Zwecke | Wie eng hängen ursprünglicher und neuer Zweck zusammen? |
| Kontext der Erhebung | Welche Beziehung besteht zwischen betroffener Person und Verantwortlichem? |
| Art der Daten | Sind sensible Daten oder besondere Kategorien nach Art. 9 DSGVO betroffen? |
| Folgen | Welche Auswirkungen hat die Weiterverarbeitung für Betroffene? |
| Garantien | Gibt es technische/organisatorische Schutzmaßnahmen, z.B. Pseudonymisierung? |
6. DSGVO-Pflichten, Rechte und Sanktionen
6.1 Rechte betroffener Personen
| Norm | Recht/Pflicht | Klausurhinweis |
|---|---|---|
| Art. 12 DSGVO | Transparente Information und Kommunikation | Form, Verständlichkeit und Fristen beachten. |
| Art. 13, 14 DSGVO | Informationspflichten bei direkter/indirekter Erhebung | Quelle der Daten entscheidet, welche Norm einschlägig ist. |
| Art. 15 DSGVO | Auskunft | Welche Daten, Zwecke, Empfänger, Dauer, Rechte? |
| Art. 16, 17 DSGVO | Berichtigung und Löschung | Löschung kollidiert häufig mit Aufbewahrungspflichten. |
| Art. 18-20 DSGVO | Einschränkung, Mitteilung, Datenübertragbarkeit | Relevant bei Streit über Richtigkeit, Weitergabe oder Plattformwechsel. |
| Art. 21, 22 DSGVO | Widerspruch und automatisierte Entscheidungen | Bei Werbung, Profiling und automatisierten Entscheidungen prüfen. |
6.2 Pflichten des Verantwortlichen
| Norm | Pflicht | Prüfungskern |
|---|---|---|
| Art. 24 DSGVO | Verantwortung des Verantwortlichen | Geeignete Maßnahmen und Nachweis der DSGVO-Einhaltung. |
| Art. 25 DSGVO | Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen | Privacy by design/default, besonders bei Software und Webdiensten. |
| Art. 26 DSGVO | Gemeinsam Verantwortliche | Gemeinsame Zwecke/Mittel; interne Vereinbarung und Transparenz. |
| Art. 28 DSGVO | Auftragsverarbeitung | Vertrag, Weisungen, TOM, Unterauftragsverarbeiter. |
| Art. 30 DSGVO | Verzeichnis von Verarbeitungstätigkeiten | Dokumentationsanker für Zwecke, Daten, Empfänger, Löschfristen und TOM. |
| Art. 32 DSGVO | Sicherheit der Verarbeitung | Risikoangemessene TOM; zentral für IT-Sicherheitsfälle. |
| Art. 33, 34 DSGVO | Meldung/Benachrichtigung bei Datenschutzverletzung | Aufsichtsbehörde und ggf. Betroffene informieren. |
| Art. 35, 36 DSGVO | Datenschutz-Folgenabschätzung und Konsultation | Bei hohem Risiko, z.B. umfangreiche Überwachung oder sensible Daten. |
| Art. 37-39 DSGVO | Datenschutzbeauftragter | Benennung, Stellung und Aufgaben. |
| Art. 44-49 DSGVO | Drittlandübermittlungen | Angemessenheitsbeschluss, Garantien, Ausnahmen. |
6.3 Art. 82 DSGVO - Schadensersatz
TBM 1: Anspruchsteller ist eine Person.
TBM 2: Es liegt ein Verstoß gegen die DSGVO vor, begangen durch Verantwortlichen oder Auftragsverarbeiter.
TBM 3: Der Person ist ein materieller oder immaterieller Schaden entstanden.
TBM 4: Kausalität zwischen DSGVO-Verstoß und Schaden.
Rechtsfolge: Ersatz des entstandenen Schadens; Entlastung nach Art. 82 Abs. 3 DSGVO möglich, wenn keine Verantwortlichkeit für den Umstand besteht.
EuGH-Fall NAP: Eine unbefugte Offenlegung personenbezogener Daten reicht nicht automatisch für einen Art. 32-Verstoß. Der Verantwortliche muss aber darlegen und beweisen, welche TOM angeordnet, umgesetzt und geeignet waren. Auch Sorge/Furcht vor Missbrauch kann als immaterieller Schaden relevant sein, wenn sie nachvollziehbar ist.
7. Compliance, TOM und Art. 32 DSGVO
7.1 Compliance als Leitungsaufgabe
Compliance bedeutet Befolgung der für das Unternehmen relevanten Gesetze und Regeln. IT-Sicherheit und Datenschutz sind keine rein technischen Themen, sondern Organisationspflichten der Leitung.
| Adressat | Normen aus dem Skript | Inhalt | Folge bei Verstoß |
|---|---|---|---|
| AG-Vorstand | §§ 91, 93 AktG | Organisation, Risikofrüherkennung, Sorgfalt eines ordentlichen Geschäftsleiters. | Innenhaftung gegenüber Gesellschaft; mittelbar Außenrisiken. |
| GmbH-Geschäftsführer | § 43 GmbHG | Sorgfalt eines ordentlichen Geschäftsmannes. | Schadensersatz gegenüber Gesellschaft. |
| Personengesellschaft | § 714 BGB | Geschäftsführungspflichten nach Gesellschaftsrecht. | Haftung nach allgemeinen Regeln. |
| Verantwortlicher | Art. 5 Abs. 2, Art. 24, 32 DSGVO | Nachweis, Organisation und Sicherheit der Verarbeitung. | Schadensersatz, Bußgeld, aufsichtsrechtliche Maßnahmen. |
7.2 TOM-Prüfung
Risikoangemessene TOM
| Art. 32-Kriterium | Prüfungsinhalt |
|---|---|
| Stand der Technik, Kosten, Art/Umfang/Zwecke | Keine absolute Sicherheit, sondern angemessenes Schutzniveau bezogen auf Risiko und Verarbeitung. |
| Risiko für Rechte und Freiheiten | Wahrscheinlichkeit und Schwere möglicher Schäden, z.B. Identitätsdiebstahl, Manipulation, Offenlegung. |
| Pseudonymisierung und Verschlüsselung | Typische technische Maßnahmen, aber nicht automatisch ausreichend. |
| Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit | Schutzziele für Systeme und Dienste. |
| Wiederherstellung und Tests | Backup/Recovery, regelmäßige Evaluierung und Wirksamkeitskontrolle. |
Ausgangsfall Rechnung per E-Mail: Bei manipulierter Rechnung sind DSGVO-Anwendbarkeit, personenbezogene Daten, Art. 32-TOM, Organisationspflichten und Schadensfolgen getrennt zu prüfen. Nicht vorschnell nur „E-Mail war unsicher“ schreiben.
7.3 § 19 TDDDG
§ 19 TDDDG verpflichtet Anbieter digitaler Dienste zu technischen und organisatorischen Vorkehrungen gegen unerlaubten Zugriff, Störungen und Angriffe. In der Klausur ist der Begriff des digitalen Dienstes wichtig: regelmäßig gegen Entgelt, elektronisch, im Fernabsatz und auf individuellen Abruf erbracht.
8. BSIG, NIS-2 und KRITIS
8.1 Begriffe und Regelungszweck
| Begriff | Bedeutung |
|---|---|
| Bedrohung | Umstand oder Ereignis, das einen Schaden herbeiführen kann, etwa Angreifer, Schadsoftware, Hochwasser oder Stromausfall. |
| Gefahr/Gefährdung | Konkrete Bedrohung für ein Schutzobjekt. |
| Schaden | Abweichung vom erwarteten Ergebnis. |
| Risiko | Häufigkeit und Ausmaß eines Schadens. |
Die NIS-2-Richtlinie wird nach dem Skript durch das BSIG und weitere Spezialgesetze umgesetzt. Die CER-Richtlinie betrifft vor allem physische Resilienz kritischer Einrichtungen und wird durch das KRITIS-DachG umgesetzt.
8.2 BSI und adressierte Einrichtungen
| Element | Norm/Beispiel | Prüfungshinweis |
|---|---|---|
| BSI | § 1 Abs. 1 S. 2 BSIG, Aufgaben § 3 BSIG | Zentrale Stelle für Informationssicherheit auf nationaler Ebene. |
| BSI-Befugnisse | § 10 BSIG Maßnahmen; § 13 BSIG Warnungen | Befugnisse bei Sicherheitsvorfällen und gegenüber bestimmten Anbietern. |
| Besonders wichtige Einrichtungen | § 28 Abs. 1 BSIG | U.a. Betreiber kritischer Anlagen, bestimmte TK-, DNS- und Top-Level-Domain-Akteure sowie große Einrichtungen bestimmter Sektoren. |
| Wichtige Einrichtungen | § 28 Abs. 2 BSIG | Bestimmte Vertrauensdiensteanbieter, TK-Anbieter und Einrichtungen aus Anlagen/Sektoren nach Größenkriterien. |
| Betreiber kritischer Anlagen | § 28 Abs. 8 BSIG, KRITIS-DachG | Bestimmender Einfluss auf kritische Anlage; kritische Dienstleistungen in KRITIS-Sektoren. |
8.3 Pflichten nach BSIG
| Norm | Pflicht | Klausurinhalt |
|---|---|---|
| § 30 BSIG | Risikomanagement/TOM | Besonders wichtige und wichtige Einrichtungen müssen TOM nach Stand der Technik und unter Berücksichtigung europäischer/internationaler Normen umsetzen. |
| § 30 Abs. 2 S. 3 BSIG | Maßnahmenkatalog | Risikoanalyse, Bewältigung von Vorfällen, Business Continuity, Lieferkette, sichere Entwicklung/Wartung, Wirksamkeitsbewertung, Schulung, Kryptographie. |
| § 31 BSIG | KRITIS-Risikomanagement | Strengerer Maßstab und Pflicht zum Einsatz von Angriffserkennungssystemen. |
| § 32 BSIG | Meldepflichten | Erhebliche Sicherheitsvorfälle an BSI und Bundesamt für Bevölkerungsschutz/Katastrophenhilfe; frühe Erstmeldung und erste Bewertung binnen 72 Stunden nach Kenntnis, Zwischenmeldungen, Abschlussmeldung binnen eines Monats. |
| § 33 BSIG | Registrierung | Registrierung beim BSI, grundsätzlich binnen drei Monaten nach Aufnahme der Tätigkeit. |
| § 35 BSIG | Unterrichtung | Informationspflichten im Zusammenhang mit Sicherheitsvorfällen. |
| § 38 BSIG | Geschäftsleitungspflichten | Umsetzen und Überwachen der TOM, Haftung nach Gesellschaftsrecht, regelmäßige Schulung. |
Prüfungsschema BSIG: 1. Einrichtungskategorie bestimmen. 2. Sektor/Größe/Schwellen prüfen. 3. Pflichten aus §§ 30 ff. BSIG zuordnen. 4. Sicherheitsvorfall? Melde- und Unterrichtungspflichten prüfen. 5. Geschäftsleitungspflichten und Haftung nennen.
9. IT-Produkte, Mängel und Haftung
9.1 Vertragliche Verantwortung
| Vertragstyp | Normen | IT-Beispiel | Mängelrechte |
|---|---|---|---|
| Kaufrecht | §§ 433, 434, 437, 439 BGB | Dauerhafte Überlassung von Hard-/Software gegen Geld oder Daten. | Nacherfüllung, Rücktritt, Minderung, Schadensersatz; regelmäßig Fristsetzung beachten. |
| Schenkungsrecht | §§ 516 ff. BGB, Haftungsbegrenzung § 521 BGB | Kostenlose Apps/Freeware. | Haftung typischerweise enger als bei entgeltlichen Verträgen. |
| Mietrecht | §§ 535, 536, 536a BGB | SaaS, Cloud-Anwendungen, zeitlich begrenzte Softwareüberlassung. | Mietminderung ohne Fristsetzung, Mangelbeseitigung, Aufwendungsersatz, Schadensersatz. |
| Werkvertragsrecht | §§ 633, 634, 635, 637, 638 BGB | Individualsoftware/Softwareentwicklung auf Bestellung. | Nacherfüllung, Selbstvornahme, Rücktritt/Minderung, Schadensersatz. |
| Verbraucherverträge über digitale Produkte | §§ 327 ff. BGB, insbesondere §§ 327e, 327f, 327i BGB | Digitale Inhalte und Dienste gegenüber Verbrauchern. | Produktanforderungen, Updatepflichten und eigene Rechtsbehelfe. |
Fehlende IT-Sicherheit als Mangel: Immer Vertragstyp, Zeitpunkt des Gefahrübergangs bzw. Leistungszeitpunkt, subjektive/objektive Anforderungen und Gebrauchstauglichkeit prüfen. Nicht jede Schwachstelle ist automatisch ein kaufrechtlicher Sachmangel, aber fehlende Sicherheitsanforderungen können relevant werden.
9.2 Delikt und Produkthaftung
| Anspruchsgrundlage | Tatbestandskern | Grenze/Falle |
|---|---|---|
| § 823 Abs. 1 BGB | Rechtsgutverletzung, Handlung, Kausalität, Rechtswidrigkeit, Verschulden. | Erfasst klassische Rechtsgüter, aber reine Vermögensschäden nur begrenzt. |
| § 823 Abs. 2 BGB | Verstoß gegen Schutzgesetz, Schaden, Kausalität, Verschulden. | Umstritten/zu prüfen, ob konkrete IT-Sicherheitsnorm Schutzgesetzcharakter hat. |
| § 1 ProdHG | Verschuldensunabhängige Produkthaftung bei Produktfehler. | Software nur erfasst, wenn sie als Produkt im Sinne des ProdHG eingeordnet wird; neue Produkthaftungsrichtlinie beachten. |
9.3 CRA und produktbezogene Cybersicherheit
Der Cyber Resilience Act (CRA, VO (EU) 2024/2847) stellt produktbezogene Cybersicherheitsanforderungen für Produkte mit digitalen Elementen auf. Produkte mit digitalen Elementen sind Software- oder Hardwareprodukte samt Datenfernverarbeitungslösungen. Nach Skriptlogik ist der CRA wichtig, weil er vom Hersteller bis zum Händler Pflichten begründet und durch Marktüberwachung sowie Bußgelder flankiert wird.
| Normbereich | Inhalt |
|---|---|
| Art. 1 CRA | Ziel und produktbezogene Cybersicherheitsanforderungen. |
| Art. 6-8 CRA | Anforderungen an Produkte mit digitalen Elementen, wichtige Produkte und kritische Produkte. |
| Art. 13, 14 CRA | Herstellerpflichten, Cybersicherheit, Meldung von Schwachstellen/Sicherheitsvorfällen. |
| Art. 19, 20 CRA | Konformitätsbewertung/CE-nahe Nachweislogik. |
| Art. 52 ff., 64 CRA | Marktüberwachung, Maßnahmen bis Vertriebsverbot und Bußgelder. |
10. KI-Verordnung
Die KI-VO (VO (EU) 2024/1689) verfolgt einen risikobasierten Regulierungsansatz. In der Klausur ist weniger die vollständige Detailkenntnis aller Pflichten wichtig, sondern die saubere Einordnung: Liegt ein KI-System vor? Welche Rolle hat die beteiligte Person? Welche Risikokategorie ist betroffen?
Risikobasierter Ansatz der KI-VO
| Prüfungsschritt | Norm | Inhalt |
|---|---|---|
| KI-System? | Art. 3 Nr. 1 KI-VO | Maschinengestütztes, ggf. anpassungsfähiges System, das aus Eingaben ableitet, wie Ausgaben die Umgebung beeinflussen. |
| Rolle? | Definitionen der KI-VO | Anbieter, Betreiber, Importeur, Händler, Bevollmächtigter oder Produkthersteller unterscheiden. |
| Verbot? | Art. 5 KI-VO | U.a. manipulative Techniken, Ausnutzung vulnerabler Gruppen, Social Scoring, bestimmte Emotionserkennung. |
| Hochrisiko? | Art. 6 KI-VO | Systeme als Sicherheitskomponenten bestimmter Produkte oder in Anhang III. |
| Transparenz? | Art. 50 KI-VO | Direkte Interaktion mit natürlichen Personen, Inhaltsgenerierung, biometrische Kategorisierung, Deepfakes. |
| GPAI? | Art. 51 ff., Art. 53 KI-VO | KI mit allgemeinem Verwendungszweck, z.B. große Basismodelle. |
Ausgangsfall Chatbot für Online-Shops: Zuerst Art. 3 Nr. 1 KI-VO prüfen. Dann Anbieter/Betreiber trennen. Ein normaler Shop-Chatbot ist nicht automatisch Hochrisiko, kann aber Transparenzpflichten aus Art. 50 KI-VO auslösen, wenn natürliche Personen direkt interagieren.
11. IT-Sicherheitsforschung
11.1 Responsible Disclosure
Responsible Disclosure bedeutet, dass Forschende eine gefundene Schwachstelle nicht sofort veröffentlichen, sondern den Hersteller/Anbieter informieren, sicheren Kontakt suchen, eine angemessene Frist zur Behebung geben und erst danach koordiniert veröffentlichen. Rechtlich reduziert das Risiken, beseitigt sie aber nicht automatisch.
11.2 Strafrechtliche Risiken
| Norm | Tatbestandskern | Fallfrage |
|---|---|---|
| § 202a StGB | Verschaffen von Zugang zu nicht für den Täter bestimmten und besonders gesicherten Daten unter Überwindung der Zugangssicherung. | Gab es eine besondere Sicherung? Wurde sie überwunden? Waren die Daten für die Forscherin bestimmt? |
| § 202b StGB | Abfangen nicht für den Täter bestimmter Daten aus nichtöffentlicher Datenübermittlung oder elektromagnetischer Abstrahlung. | Ruhende Daten auf einem Server sind kein Abfangen aus einer Übermittlung. |
| § 202c StGB | Vorbereiten von § 202a/§ 202b durch Passwörter, Zugangscodes oder Computerprogramme. | Toolbereitstellung kann gefährlich sein, insbesondere bei Zweckrichtung auf Ausspähen/Abfangen. |
| §§ 303a, 303b StGB | Datenveränderung und Computersabotage. | Relevant, wenn Forschung Systeme oder Daten beeinträchtigt. |
| § 269 StGB | Fälschung beweiserheblicher Daten. | Bei Manipulation beweisrelevanter Datenbestände prüfen. |
| § 34 StGB | Rechtfertigender Notstand. | Responsible Disclosure kann eine Notstandshandlung sein, wenn gegenwärtige Gefahr, Erforderlichkeit, Interessenabwägung und Angemessenheit erfüllt sind. Das bleibt einzelfallabhängig. |
11.3 Datenschutz und Urheberrecht
| Rechtsgebiet | Normen | Prüfung |
|---|---|---|
| Datenschutz | Art. 6 Abs. 1 lit. f DSGVO, bei besonderen Daten Art. 9 DSGVO und ggf. § 27 BDSG | Berechtigtes Interesse der Sicherheitsforschung, Erforderlichkeit und Abwägung mit Datenschutzinteressen; bei besonderen Kategorien zusätzliche Rechtsgrundlage. |
| Urheberrecht an Software | §§ 69a, 69c, 69d UrhG | Computerprogramme sind geschützt; Vervielfältigung, Bearbeitung und öffentliche Zugänglichmachung brauchen Nutzungsrecht oder gesetzliche Erlaubnis. |
| Folgen Urheberrechtsverstoß | § 97 UrhG, § 106 UrhG | Unterlassung, Auskunft, Schadensersatz und ggf. Strafverfolgung. |
Prüfungsfalle: „Gute Absicht“ ersetzt keine Rechtsgrundlage. Bei Sicherheitsforschung immer Strafrecht, Datenschutzrecht und Urheberrecht getrennt prüfen.
12. Haftung im Internet und DSA
12.1 Rechtsverletzende Inhalte
| Rechtsposition | Normen/Beispiele | Typischer Inhalt |
|---|---|---|
| Urheberrecht | UrhG, bei Software §§ 69a ff. UrhG | Text, Foto, Musik, Video, Software; KI-Inhalte regelmäßig problematisch, weil keine persönliche geistige Schöpfung. |
| Persönlichkeitsrecht / Recht am Bild | Allgemeines Persönlichkeitsrecht, KunstUrhG, DSGVO | Fotos, Videos, personenbezogene Informationen. |
| Name | § 12 BGB | Fremder Name in Domain oder Profil. |
| Unternehmen/Wettbewerb | § 823 Abs. 1 BGB, UWG | Eingerichteter und ausgeübter Gewerbebetrieb, unlautere Werbung. |
| Illegaler Inhalt im DSA | Art. 3 lit. h DSA | Information, die nicht mit Unionsrecht oder nationalem Recht vereinbar ist. |
12.2 Anspruchsgrundlagen und Passivlegitimation
| Frage | Prüfung |
|---|---|
| Welche Anspruchsgrundlage? | § 823 Abs. 1 BGB bei sonstigen Rechten; § 823 Abs. 2 BGB bei Schutzgesetzverstoß; § 1004 BGB analog für Unterlassung; spezialgesetzlich z.B. § 97 UrhG. |
| Welche Rechtsfolge? | Unterlassung, Entfernung, Vertragsstrafe/Ordnungsgeld, Schadensersatz, Auskunft. |
| Wer haftet? | Eigene Inhalte, zu eigen gemachte Inhalte Dritter, Linksetzer, Plattform/Host-Provider je nach Kenntnis und DSA-Regime. |
Linkhaftung nach dem Playboy-Fall: Ein frei zugänglicher Link ist nicht automatisch eine urheberrechtliche öffentliche Zugänglichmachung. Relevant werden Kenntnis, Gewinnerzielungsabsicht, Umgehung von Beschränkungen und ob der Link ein neues Publikum erreicht.
12.3 Providerhaftung nach DSA
| Anbieterrolle | Norm | Haftungsprivileg grob |
|---|---|---|
| Access-Provider / Mere Conduit | Art. 4 DSA | Keine Haftung, wenn Übermittlung nicht veranlasst, Empfänger nicht ausgewählt und Information nicht verändert wird. |
| Caching | Art. 5 DSA | Privileg bei automatischer, zeitlich begrenzter Zwischenspeicherung unter Bedingungen. |
| Hosting | Art. 6 DSA | Privileg bis zur tatsächlichen Kenntnis bzw. bis der Anbieter rechtswidrige Inhalte erkennt und nicht zügig handelt. |
| Melde- und Abhilfeverfahren | Art. 16, 17 DSA | Hostinganbieter brauchen Notice-and-Action-Strukturen und müssen Entscheidungen begründen. |
13. Rechtsdurchsetzung durch Behörden und Gerichte
Kapitel 4 ergänzt die materiellen Regeln um die Frage, wie Datenschutz- und IT-Sicherheitsrecht praktisch durchgesetzt werden. Klausurrelevant ist die Zuordnung: Wer setzt welches Recht gegen wen mit welchem Instrument durch?
13.1 Modelle der Rechtsdurchsetzung
| Modell | Akteur | Instrument | Beispiel |
|---|---|---|---|
| Staatliche Durchsetzung | Behörden | Verwaltungsakte, Verfügungen, Anordnungen, Verbote und Vollstreckung mit staatlicher Gewalt. | Datenschutzaufsicht untersagt eine Verarbeitung; BSI trifft Eingriffsmaßnahmen. |
| Individuelle Durchsetzung | Rechtssubjekte selbst | Bilaterale Geltendmachung, Klage und spätere Vollstreckung. | A verlangt von B Schadensersatz, etwa nach Art. 82 DSGVO oder § 823 BGB. |
| Kollektive Durchsetzung | Verbände/Organisationen | Prozessstandschaft oder Verbandsklage. | Art. 80 Abs. 1 DSGVO: Verband klagt im Auftrag eines Betroffenen; Art. 80 Abs. 2 DSGVO: Verbandsklage im eigenen Namen, soweit national vorgesehen. |
Durchsetzung in Datenschutz und IT-Sicherheit
13.2 Behörden der IT-Sicherheit
| Behörde | Rolle | Norm-/Prüfungshinweis |
|---|---|---|
| ENISA | EU-Agentur für Cybersicherheit; wichtig für europäische Koordination und Standards. | Im Skript als zentrale europäische IT-Sicherheitsbehörde eingeordnet. |
| BSI | Nationale Zentralstelle für Informationssicherheit; Gefahrenabwehr und Aufsicht im BSIG-Kontext. | § 3 BSIG Aufgaben; staatliche Eingriffsmaßnahmen z.B. nach §§ 61, 62 BSIG. |
Klausurformel IT-Sicherheit: Erst klären, ob ein BSIG-pflichtiger Adressat betroffen ist. Dann prüfen, ob die Maßnahme als staatliche Durchsetzung auf einer Befugnisnorm beruht, etwa Aufgaben/Befugnisse des BSI und gegebenenfalls Verwaltungsakt mit Rechtsschutz.
13.3 Datenschutzaufsichtsbehörden
| Stelle | Zuständigkeit/Rolle | Merksatz |
|---|---|---|
| EDSA / EDPB | Europäischer Datenschutzausschuss; sorgt für einheitliche Anwendung der DSGVO und der Datenschutzrichtlinie im Strafverfolgungsbereich in den Mitgliedstaaten. | Keine lokale Aufsichtsbehörde für den Einzelfall, sondern europäische Koordinations- und Kohärenzstelle. |
| BfDI | Bundesbeauftragte(r) für den Datenschutz und die Informationsfreiheit. | Aufsicht für Behörden des Bundes. |
| Landesdatenschutzbeauftragte / BayLDA | 16 Landesdatenschutzbeauftragte plus Landesamt für Datenschutzaufsicht in Bayern. | Aufsicht für öffentliche Stellen und nichtöffentliche Stellen in den Ländern, also auch Unternehmen im jeweiligen Bundesland. |
| LfDI Baden-Württemberg | Landesbeauftragter für Datenschutz und Informationsfreiheit Baden-Württemberg. | Zuständig für baden-württembergische Stellen im jeweiligen Zuständigkeitsbereich; Webseite laut Skript: baden-wuerttemberg.datenschutz.de. |
13.4 Befugnisse nach Art. 58 DSGVO
| Kategorie | Norm | Typische Befugnisse | Klausurhinweis |
|---|---|---|---|
| Untersuchung | Art. 58 Abs. 1 DSGVO | Anweisung zur Bereitstellung von Informationen/Unterlagen; Untersuchung von Datenverarbeitungsanlagen oder Programmen. | Dient der Sachverhaltsaufklärung. Nicht schon mit Sanktion verwechseln. |
| Abhilfe | Art. 58 Abs. 2 DSGVO | Warnung, Verwarnung, Anweisung zur Erfüllung von Betroffenenrechten, Beschränkung oder Verbot der Verarbeitung, Widerruf von Zertifizierungen. | Hier liegen die einschneidenden Verwaltungsmaßnahmen. |
| Beratung/Genehmigung | Art. 58 Abs. 3 DSGVO | Beratung, Stellungnahmen, Genehmigungen, Standardklauseln. | Präventive und koordinierende Rolle; nicht jede Tätigkeit ist repressiv. |
| Nationale Ergänzung | §§ 40-44 BDSG | Einbindung der deutschen Datenschutzaufsicht. | Im Skript ausdrücklich mit Art. 58 DSGVO verknüpft. |
13.5 IT-Sicherheit und Datenschutz vor Gericht
| Gerichtszweig | Typische Fälle aus dem Skript | Prüfungsfrage |
|---|---|---|
| Zivilgerichte | DSGVO-Ansprüche Betroffener, Wettbewerber, Haftung wegen unterlassener Compliance, IT-Sicherheitslücken als Mängel, Ansprüche aus dem UrhG. | Wer will was von wem woraus? Anspruchsgrundlage und Passivlegitimation sauber bestimmen. |
| Arbeitsgerichte | Datenschutz- und IT-Sicherheitsfragen im Beschäftigungskontext. | Arbeitsverhältnis als spezieller Kontext, Art. 88 DSGVO und § 26 BDSG mitdenken. |
| Strafgerichte | Verstöße gegen StGB und § 106 UrhG; zudem DSGVO-Bußgeldbezug über § 41 BDSG. | Strafbarkeit, Rechtfertigung und Verfahrensart von zivilrechtlichen Ansprüchen trennen. |
| Verwaltungsgerichte | Behördliche Maßnahmen und Verwaltungsakte, etwa Datenschutzaufsicht oder BSI-Maßnahmen. | Geht es um Rechtsschutz gegen staatliche Anordnung, Beschränkung oder Verbot? |
| Europäischer Gerichtshof | Auslegung von DSGVO, DSA, KI-VO und EU-Grundrechten. | Relevant bei unionsrechtlicher Auslegung und Vorlagefragen. |
13.6 Verfahrensgang
1. Klage oder Anklage: Zivil-/Verwaltungsverfahren beginnen typischerweise mit Klage; Strafverfahren im gerichtlichen Stadium mit Anklage.
2. Zustellung: Beklagter bzw. Angeklagter erhält die Verfahrenseinleitung.
3. Stellungnahmen: Beteiligte tragen Tatsachen, Rechtsansichten und Anträge vor.
4. Beweiserhebung: Falls erforderlich, werden Beweise erhoben.
5. Urteil: Gericht entscheidet; anschließend kann je nach Verfahrensart Vollstreckung oder Rechtsmittel folgen.
14. Lerncheckliste, Klausurfragen und Abdeckung
14.1 Kompakte Lerncheckliste
- Ich kann Tatbestand, Tatbestandsmerkmal und Rechtsfolge voneinander trennen.
- Ich kann eine Subsumtion mit Obersatz, Untersatz und Schlusssatz formulieren.
- Ich prüfe DSGVO-Anwendbarkeit immer über Art. 2 und 3 DSGVO.
- Ich kenne die Begriffe personenbezogene Daten, Verarbeitung, Verantwortlicher und Auftragsverarbeiter.
- Ich kann alle sechs Tatbestände des Art. 6 Abs. 1 DSGVO nennen und anwenden.
- Ich erkenne Cookie-/Tracking-Fälle als Zusammenspiel von DSGVO, ePrivacy und TDDDG.
- Ich kann Art. 32 DSGVO risikobasiert prüfen und TOM begründen.
- Ich kann Art. 82 DSGVO mit Verstoß, Schaden und Kausalität prüfen.
- Ich unterscheide BSIG-Pflichten aus §§ 30 ff. BSIG nach Adressaten.
- Ich ordne IT-Produkte vertraglich ein: Kauf, Miete/SaaS, Werkvertrag, digitale Produkte.
- Ich erkenne strafrechtliche Risiken der Sicherheitsforschung und prüfe § 34 StGB nur als Ausnahme.
- Ich kann Internet-Haftung über Rechtsverletzung, Anspruchsgrundlage, Passivlegitimation und DSA-Providerrolle lösen.
- Ich kann staatliche, individuelle und kollektive Rechtsdurchsetzung unterscheiden und Art. 58 sowie Art. 80 DSGVO einordnen.
14.2 Mögliche Klausurfragen
- Erklären Sie den Unterschied zwischen Tatbestand und Rechtsfolge und wenden Sie ihn auf Art. 6 DSGVO an.
- Prüfen Sie, ob die DSGVO auf die Speicherung von Angebotsdaten anwendbar ist, wenn nur GmbH-/AG-Daten betroffen sind.
- Prüfen Sie die Wirksamkeit einer Newsletter-Einwilligung mit vorangekreuztem Kästchen.
- Ein Online-Shop speichert Rückgabeverhalten zur Betrugsprävention. Welche Rechtsgrundlagen kommen in Betracht?
- Nach einem Hackerangriff werden Kundendaten veröffentlicht. Prüfen Sie Art. 32 und Art. 82 DSGVO.
- Welche TOM müssen nach Art. 32 DSGVO risikobasiert berücksichtigt werden?
- Wer unterliegt nach dem BSIG welchen Pflichten und welche Meldepflichten bestehen bei erheblichen Sicherheitsvorfällen?
- Ist fehlende IT-Sicherheit einer Software ein Sachmangel? Ordnen Sie den Vertragstyp ein.
- Prüfen Sie die rechtlichen Risiken einer Sicherheitsforscherin, die eine Schwachstelle findet und meldet.
- Ein Plattformbetreiber erhält eine Meldung über rechtswidrige Inhalte. Welche DSA- und zivilrechtlichen Fragen stellen sich?
- Welche Behörde oder welches Gericht ist für die Durchsetzung zuständig, wenn eine Datenschutzaufsicht eine Verarbeitung untersagt?
14.3 Normen-Schnellreferenz
| Norm | Stichwort | Wann prüfen? |
|---|---|---|
| Art. 2, 3 DSGVO | Anwendungsbereich | Jeder Datenschutzfall. |
| Art. 4 Nr. 1, 2, 7, 8 DSGVO | Begriffe | Personenbezug, Verarbeitung, Rollen. |
| Art. 5 DSGVO | Grundsätze | Prüfung von Zweck, Minimierung, Sicherheit, Nachweis. |
| Art. 6 DSGVO | Rechtmäßigkeit | Jede Verarbeitung braucht mindestens eine Grundlage. |
| Art. 7, 8 DSGVO | Einwilligung/Kinder | Newsletter, Cookies, Plattformen, Minderjährige. |
| Art. 9 DSGVO | Besondere Kategorien | Gesundheit, Biometrie, politische Meinung, Forschung. |
| Art. 24, 25, 28, 30, 32 DSGVO | Verantwortlichkeit/TOM | Compliance und Datenschutzmanagement. |
| Art. 33, 34 DSGVO | Data Breach | Verletzung des Schutzes personenbezogener Daten. |
| Art. 82, 83 DSGVO | Schadensersatz/Bußgeld | Rechtsfolgen bei Verstößen. |
| Art. 58 DSGVO | Aufsichtsbehörden | Untersuchung, Abhilfe, Beratung und Genehmigung. |
| Art. 80 DSGVO | Kollektive Rechtsdurchsetzung | Vertretung Betroffener und Verbandsklage. |
| § 25 TDDDG | Cookies/Endeinrichtungen | Tracking, Cookie-Banner. |
| § 19 TDDDG | IT-Sicherheit digitale Dienste | Digitale Dienste im Fernabsatz/auf Abruf. |
| §§ 30-33, 35, 38 BSIG | IT-Sicherheitsorganisation | NIS-2/BSIG-Pflichten, Meldung, Registrierung, Geschäftsleitung. |
| §§ 61, 62 BSIG | BSI-Eingriffsmaßnahmen | Staatliche Rechtsdurchsetzung in der IT-Sicherheit. |
| §§ 40-44 BDSG | Datenschutzaufsicht Deutschland | Nationale Ergänzung zu Art. 58 DSGVO. |
| § 41 BDSG | Bußgeld/Strafverfahren-Bezug | Bei DSGVO-Bußgeldern und gerichtlicher Durchsetzung mitdenken. |
| §§ 433, 434, 437 BGB | Kauf/Mangel | Dauerhafte Überlassung von Hard-/Software. |
| §§ 535, 536, 536a BGB | Miete/SaaS | Zeitweise Software-/Cloud-Nutzung. |
| §§ 633, 634 BGB | Werkvertrag | Individualsoftware/Entwicklungserfolg. |
| §§ 327 ff. BGB | Digitale Produkte | Verbraucherverträge über digitale Inhalte/Dienste. |
| § 823 BGB | Delikt | Rechtsverletzungen, Schutzgesetze, Internet-Haftung. |
| §§ 202a-202c, 303a, 303b StGB | IT-Strafrecht | Sicherheitsforschung, Ausspähen/Abfangen, Datenveränderung. |
| §§ 69a, 69c, 69d UrhG | Software-Urheberrecht | Download, Analyse, Bearbeitung, Nutzungshandlungen. |
| Art. 4-6, 50, 51 ff. KI-VO | KI-Regulierung | KI-Kompetenz, Verbote, Hochrisiko, Transparenz, GPAI. |
| Art. 3 lit. h, 4-6, 16, 17 DSA | Illegale Inhalte/Providerhaftung | Internetplattformen, Hosting, Notice-and-Action. |
14.4 Abdeckungstabelle
| Folie/Kapitel | Inhalt | In Zusammenfassung enthalten? | Wo behandelt? |
|---|---|---|---|
| Teil 1, S. 1-5 | Vorwort, Literatur, Abkürzungen | Ja, soweit prüfungsrelevant | Einordnung und Normenreferenz |
| Teil 1, S. 6-18 | Recht, Gesetz, Rechtsnorm, Tatbestand, Rechtsfolge, Art. 4/6 DSGVO-Beispiele | Ja | Kap. 2, 4, 5 |
| Teil 1, S. 19-27 | Rechtsanwendung, Normensuche, Subsumtion, § 223 StGB, Art. 7 DSGVO | Ja | Kap. 2 |
| Teil 1, S. 28-29 | Rechtsquellen und Rangfolge | Ja | Kap. 2.3 |
| Teil 2, S. 1-22 | Grundrechte, Art. 7/8 GRC, Vorratsdatenspeicherung, EU-Rechtsquellen | Ja | Kap. 3 |
| Teil 2, S. 23-36 | DSGVO, Art. 2/3, Öffnungsklauseln, ePrivacy, TDDDG | Ja | Kap. 3-5, 7.3 |
| Teil 2, S. 37-52 | GG, BDSG, LDSG, IT-Sicherheitsrecht, Schutzziele, BSIG/NIS-2 | Ja | Kap. 3, 7, 8 |
| DSGVO-Inhaltsverzeichnis, S. 1-8 | DSGVO-Kapitel, Betroffenenrechte, Verantwortlichenpflichten, Aufsicht/Sanktionen | Ja | Kap. 3.2, 6, 14.3 |
| Teil 3.1, Folien 1-13 | DSGVO-Aufbau, Art. 6 Überblick, vier Säulen | Ja | Kap. 3.2, 5 |
| Teil 3.1, Folien 14-23 | Einwilligung, Cookies, Minderjährige, Pay-or-consent | Ja | Kap. 5.1 |
| Teil 3.1, Folien 24-39 | Vertrag, vorvertragliche Maßnahmen, Beschäftigtendaten, lit. c-e | Ja | Kap. 5.2 |
| Teil 3.1, Folien 40-53 | Berechtigte Interessen, Abwägung, ICANN, Weiterverarbeitung | Ja | Kap. 5.2-5.3 |
| Teil 3.2, Folien 1-15 | Compliance, Leitungspflichten, Ausgangsfall Rechnung | Ja | Kap. 7.1 |
| Teil 3.2, Folien 16-20 | Art. 5/24/32 DSGVO, TOM, Risikoabwägung | Ja | Kap. 7.2 |
| Teil 3.2, Folien 21-38 | NAP-Fall, Art. 82 DSGVO, Art. 32-Verstoß, Schaden | Ja | Kap. 6.3, 7.2 |
| Teil 3.2, Folien 39-41 | § 19 TDDDG digitale Dienste | Ja | Kap. 7.3 |
| Teil 3.3, Folien 1-7 | Bedrohung, Risiko, NIS/NIS-2, KRITIS-DachG | Ja | Kap. 8.1 |
| Teil 3.3, Folien 8-17 | BSIG-Gliederung, BSI, Einrichtungskategorien | Ja | Kap. 8.2 |
| Teil 3.3, Folien 18-27 | §§ 30 ff. BSIG, Meldepflichten, Registrierung, Geschäftsleitung, CER/KRITIS | Ja | Kap. 8.3 |
| Teil 3.4, Folien 1-19 | IT-Produkte, Kauf, Schenkung, Miete/SaaS, Werkvertrag, digitale Produkte | Ja | Kap. 9.1 |
| Teil 3.4, Folien 20-30 | Delikt, Produkthaftung, neue Produkthaftungsrichtlinie, CRA | Ja | Kap. 9.2-9.3 |
| Teil 3.4, Folien 31-46 | KI-VO, KI-System, Risikoklassen, Art. 4/5/6/50, GPAI, Durchsetzung | Ja | Kap. 10 |
| Teil 3.5, Folien 1-7 | IT-Sicherheitsforschung und Responsible Disclosure | Ja | Kap. 11.1 |
| Teil 3.5, Folien 8-15 | §§ 202a-202c StGB, weitere Strafnormen, § 34 StGB | Ja | Kap. 11.2 |
| Teil 3.5, Folien 16-24 | Datenschutz, Art. 6 lit. f, Art. 9 DSGVO, Urheberrecht Software | Ja | Kap. 11.3 |
| Teil 3.6, Folien 1-10 | Internet-Inhalte, Rechtsverletzungen, § 823 BGB, Unterlassung | Ja | Kap. 12.1-12.2 |
| Teil 3.6, Folien 11-18 | Passivlegitimation, Links, Playboy/EuGH | Ja | Kap. 12.2 |
| Teil 3.6, Folien 19-23 | DSA Providerhaftung, Notice-and-Action, Zusammenfassung | Ja | Kap. 12.3 |
| Teil 4, Folien 1-3 | Rechtsdurchsetzung staatlich, individuell und kollektiv, Art. 80 DSGVO | Ja | Kap. 13.1 |
| Teil 4, Folien 4-9 | ENISA, BSI, Datenschutzbehörden, EDSA, BfDI, Landesaufsicht, Art. 58 DSGVO, §§ 40-44 BDSG | Ja | Kap. 13.2-13.4 |
| Teil 4, Folien 10-12 | IT-Sicherheit und Datenschutz vor Zivil-, Straf- und Verwaltungsgerichten; Verfahrensgang | Ja | Kap. 13.5-13.6 |
| Teil 4, Folie 13 | Abschlussfolie | Ja, ohne eigenen Lerninhalt | Abdeckungstabelle |