Wenn ein Unternehmen eine anonyme E-Mail erhält, in der Lösegeld für die gestohlenen personenbezogenen Daten seiner Kunden gefordert wird, was muss das Unternehmen gemäß den DSGVO-Anforderungen als nächstes tun?

• A. Senden Sie eine E-Mail über den Vorfall an alle Kunden und bitten Sie sie, ihre Passwörter zu ändern
• B. Benachrichtige die Polizei und erstatte Tile eine Strafanzeige über den Vorfall
• C. Starten Sie eine Untersuchung, um den möglichen Umfang, die Dauer und die Art des Vorfalls zu verstehen
• D. Senden Sie eine Benachrichtigung an die zuständige Aufsichtsbehörde, in der Sie den Vorfall beschreiben.

Nach Artikel 5 Absatz 1 Buchstabe b der DSGVO müssen personenbezogene Daten "für bestimmte, explizite und legitime Zwecke erhoben und nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist". Welche Auswirkungen hat die Auslegung des Wortes "unvereinbar" durch einen Mitgliedstaat auf der Grundlage von Artikel 5 Absatz 1 Buchstabe b?

• A. Hiermit wird der Standard für den Detaillierungsgrad festgelegt, den ein Controller aufzeichnen muss, wenn er den Zweck der Erfassung personenbezogener Daten dokumentiert.
• B. Es leitet die Gerichte über die Schwere der Folgen für diejenigen, die wegen vorsätzlichen Missbrauchs personenbezogener Daten verurteilt werden.
• C. Sie bestimmt die Sicherheitsstufe, die ein Prozessor einhalten muss, wenn er personenbezogene Daten für zwei verschiedene Zwecke verwendet und speichert.
• D. Gibt an, wie flexibel ein Controller ist, wenn er personenbezogene Daten auf eine Weise verwendet, die von seinem ursprünglichen Verwendungszweck abweichen kann.

Die Website eines US-Unternehmens verkauft Widgets. Welcher der folgenden Faktoren würde das Unternehmen an sich NICHT der DSGVO unterwerfen?

• A. Die Widgets werden in der EU angeboten und in Euro berechnet.
• B. Die Website platziert Cookies, um das Nutzerverhalten der EU-Website zu überwachen.
• C. Die Website ist in Englisch und Französisch verfügbar und in Frankreich zugänglich.
• D. Eine Niederlassung befindet sich in Frankreich, die Verarbeitung erfolgt jedoch in den USA.

SZENARIO
Bitte verwenden Sie Folgendes, um die nächste Frage zu beantworten:
Joe ist der neue Datenschutzmanager für Who-R-U, ein kanadisches Unternehmen, das DNA-Analysen anbietet. Das Unternehmen hat seinen Hauptsitz in Montreal und alle Mitarbeiter sind dort ansässig. Das Unternehmen bietet seine Dienste nur Kanadiern an: Die Website ist in Englisch und Französisch, akzeptiert nur kanadische Währung und blockiert den Internetverkehr von außerhalb Kanadas (obwohl diese Lösung nicht den gesamten nicht-kanadischen Verkehr verhindert). Es wird auch abgelehnt, Bestellungen zu verarbeiten, bei denen der DNA-Bericht außerhalb Kanadas gesendet werden soll, und Bestellungen mit einer nicht kanadischen Rücksendeadresse zurückzusenden.
Bob, der Präsident von Who-R-U, ist der Ansicht, dass in der EU großes Interesse an dem Produkt besteht, und das Unternehmen prüft derzeit eine Reihe von Plänen zur Erweiterung seiner Kundenbasis.
Der erste Plan, kollegial We-Track-U genannt, wird eine App verwenden, um Informationen über seinen aktuellen kanadischen Kundenstamm zu sammeln. Die Erweiterung ermöglicht es seinen kanadischen Kunden, die App auf Reisen ins Ausland zu nutzen. Er schlägt vor, dass das Unternehmen diese App verwendet, um Standortinformationen zu sammeln. Wenn der Plan vielversprechend ist, schlägt Bob vor, Push-Benachrichtigungen und Textnachrichten zu verwenden, um bestehende Kunden zu ermutigen, sich für eine EU-Version des Dienstes vorab zu registrieren. Bob nennt diesen Arbeitsplan We-Text-U. Sobald das Unternehmen genügend Vorregistrierungen gesammelt hat, wird es EU-spezifische Inhalte und Dienste entwickeln.
Ein anderer Plan heißt Customer for Life. Die Idee ist, zusätzliche Dienste über die App des Unternehmens anzubieten, wie das Speichern und Teilen von DNA-Informationen mit anderen Anwendungen und medizinischen Anbietern. Der Vertrag des Unternehmens sieht vor, dass Kunden-DNA unbegrenzt aufbewahrt und verwendet werden kann, um neue Dienstleistungen anzubieten und diese an Kunden zu vermarkten. Es heißt auch, dass Kunden damit einverstanden sind, die Zustimmung zum Direktmarketing nicht zu widerrufen. Paul, der Marketingdirektor, schlägt vor, dass das Unternehmen diese Bestimmungen vollständig nutzen sollte und dass es die Versuche der Kunden, die Einwilligung zu widerrufen, umgehen kann, da der Vertrag sie ungültig macht.
Der endgültige Plan ist die Entwicklung einer Markenpräsenz in der EU. Das Unternehmen hat diesen Prozess bereits begonnen. Derzeit werden die Namensrechte für ein Gebäude in Deutschland erworben, für das einige Büros zur Verfügung stehen, die Who-R-U-Führungskräfte auf internationalen Reisen nutzen können. Das Büro enthält keine Technologie oder Infrastruktur. Vielmehr ist es einfach ein Raum mit einem Schreibtisch und einigen Stühlen.
Auf einer kürzlichen Reise bezüglich des Namensrechtsabkommens wird Bobs Laptop gestohlen. Der Laptop enthielt unverschlüsselte DNA-Berichte über 5.000 Who-R-U-Kunden, die alle in Kanada ansässig sind. Die Berichte enthalten Kundennamen, Geburtsdatum, ethnische Zugehörigkeit, Rassenhintergrund, Namen von Verwandten, Geschlecht und gelegentlich Gesundheitsinformationen.
Wenn Who-R-U den We-Track-U-Pilotplan annimmt, warum unterliegt er wahrscheinlich dem territorialen Geltungsbereich der DSGVO?

• A. Es würde betroffenen Personen in der Union Waren oder Dienstleistungen anbieten.
• B. Es überwacht das Verhalten der betroffenen Personen in der Union.
• C. Sein Plan würde im Zusammenhang mit der Einrichtung eines für die Verarbeitung Verantwortlichen in der Union stehen.
• D. Es übt kommerzielle Aktivitäten in der Union aus.