IAPP Certified Information Privacy Professional/Europe (CIPP/E) (CIPP-E Deutsch Version) - CIPP-E Deutsch Exam Practice Test

Welche GDPR-Anforderung stellt Unternehmen mit BYOD-Programmen (Bring Your Own Device) vor die größten Herausforderungen?

Wenn ein Unternehmen plant, in seinen Räumlichkeiten Videoüberwachung (Closed Circuit Television, CCTV) zu verwenden, und sich mit der Einhaltung der DSGVO befasst, sollte es zunächst alle folgenden Schritte ausführen, AUSSER?

SZENARIO
Bitte verwenden Sie zur Beantwortung der nächsten Frage:
Joe gründete die Gummy Bear Company im Jahr 2000 von seinem Zuhause in Vermont, USA.
Heute ist es ein milliardenschweres Süßwarenunternehmen, das auf allen Kontinenten tätig ist. Alle IT-Server des Unternehmens befinden sich in Vermont. In diesem Jahr stellt Joe seinen Sohn Ben ein, um in das Unternehmen einzusteigen und Project Big zu leiten, eine wichtige Marketingstrategie zur Verdreifachung des Bruttoumsatzes in nur 5 Jahren. Ben schloss sein Studium mit einem PhD in Computersoftware an einer Top-Universität ab. Ben beschloss, in das Unternehmen seines Vaters einzusteigen, arbeitet aber auch heimlich daran, eine neue globale Online-Dating-Website namens Ben Knows Best zu gründen.
Ben ist sich bewusst, dass die Gummy Bear Company Millionen von Kunden hat und glaubt, dass viele von ihnen auch daran interessiert sein könnten, ihren perfekten Partner zu finden. Für Project Big gestaltet Ben das Online-Webportal des Unternehmens neu und fordert Kunden in der Europäischen Union und anderswo auf, zusätzliche personenbezogene Daten anzugeben, um Kunde zu bleiben. Project Ben beginnt mit dem Sammeln von Daten über die philosophischen Überzeugungen, politischen Meinungen und den Familienstand der Kunden.
Wenn sich ein Kunde als Single identifiziert, kopiert Ben alle persönlichen Daten dieses Kunden in eine separate Datenbank für Ben Knows Best. Ben glaubt, dass er nichts falsch macht, weil er ausdrücklich jeden Kunden um seine Zustimmung bittet, indem er ihn auffordert, ein Kästchen anzukreuzen, bevor er seine Informationen akzeptiert. Da Project Big ein wichtiges Projekt ist, stellt das Unternehmen auch einen College-Studenten im ersten Jahr namens Sam ein, der Informatik studiert, um Ben zu helfen.
Ben ruft und Sam stößt auf die Ben Knows Best-Datenbank. Sam plant, mit 10 seiner Freunde über Spring Beak nach Irland zu reisen, also kopiert er alle Kundeninformationen von Personen, die in Irland wohnen, damit er und seine Freunde Personen kontaktieren können, wenn sie in Irland sind.
Joe stellt auch die Tochter seines besten Freundes, Alice, die gerade ihr Jurastudium in den USA abgeschlossen hat, als neuen General Counsel des Unternehmens ein. Alice hat von der DSGVO gehört, also recherchiert sie darüber. Alice wendet sich an Joe und informiert ihn, dass sie verbindliche Unternehmensregeln ausgearbeitet hat, die von allen im Unternehmen befolgt werden müssen, da es für das Unternehmen wichtig ist, über einen Rechtsmechanismus zu verfügen, um Daten intern von den Geschäftstätigkeiten des Unternehmens in der Europäischen Union an die EU zu übertragen UNS
Joe glaubt, dass Alice hervorragende Arbeit leistet, und teilt ihr mit, dass sie auch für die Bearbeitung einer großen Klage zuständig sein wird, die gegen das Unternehmen vor einem Bundesgericht in den USA angestrengt wurde. Zur Vorbereitung der Klage weist Alice die IT des Unternehmens an Abteilung, Kopien der Computerfestplatten des gesamten weltweiten Vertriebsteams, einschließlich der Europäischen Union, anzufertigen und ihr alles zuzusenden, damit sie die Informationen aller überprüfen kann. Alice glaubt, dass Joe froh sein wird, dass sie die Überprüfung auf erster Ebene durchgeführt hat, da das Unternehmen dadurch eine Menge Geld sparen wird, das sonst an seine externe Anwaltskanzlei gezahlt würde.
Der von Alice entworfene Datenübertragungsmechanismus verstößt gegen die DSGVO, weil das Unternehmen zuvor keine Genehmigung erhalten hat?

Welche der folgenden Befugnisse hat die Aufsichtsbehörde?

In seinen Leitlinien 01/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten stuft der EDPB einen Ransomware-Angriff in erster Linie als Verletzung von … ein.

SZENARIO
Bitte verwenden Sie zur Beantwortung der nächsten Frage:
Javier ist Mitglied im Fitnessclub EVERFIT. Dieses Unternehmen hat Zweigniederlassungen in vielen EU-Mitgliedstaaten, behält aber im Sinne der DSGVO seine Hauptniederlassung in Frankreich. Javier lebt in Newry, Nordirland (Teil des Vereinigten Königreichs) und pendelt über die Grenze, um in Dundalk, Irland, zu arbeiten. Vor zwei Jahren wurde Javier während einer Geschäftsreise beim Training in einer EVERFIT-Filiale in Frankfurt fotografiert. Damals gab Javier sein Einverständnis, in das Foto aufgenommen zu werden, da ihm mitgeteilt wurde, dass es nur für Werbezwecke verwendet werden würde. Seitdem wird das Foto in den britischen Broschüren des Clubs verwendet und ist auf der Zielseite seiner britischen Website zu sehen. Jedoch, Der Fitnessclub ist in letzter Zeit aufgrund weit verbreiteter Misshandlungen von Mitgliedern in verschiedenen Zweigstellen des Clubs in mehreren EU-Mitgliedstaaten in Verruf geraten. Infolgedessen fühlt sich Javier nicht mehr wohl dabei, dass sein Foto öffentlich mit dem Fitnessclub in Verbindung gebracht wird.
Nach zahlreichen gescheiterten Versuchen, einen Termin mit dem Leiter der örtlichen Niederlassung zu vereinbaren, um diese Angelegenheit zu besprechen, schickt Javier einen Brief an EVETFIT, in dem er darum bittet, dass sein Bild von der Website und allen Werbematerialien entfernt wird. Monate vergehen und Javier, der keine Antwort auf seine Anfrage erhalten hat, macht sich wegen dieser Angelegenheit große Sorgen. Nachdem er EVETFIT wiederholt nicht über alternative Kanäle kontaktiert hat, beschließt er, gegen das Unternehmen vorzugehen.
Javier wendet sich an das UK Information Commissioner's Office („ICO“ – die Aufsichtsbehörde des Vereinigten Königreichs), um eine Beschwerde in dieser Angelegenheit einzureichen. Das ICO informiert gemäß Artikel 56 (3) der DSGVO die CNIL (dh die Aufsichtsbehörde der Hauptniederlassung von EVERFIT) über diese Angelegenheit. Trotz der Tatsache, dass EVERFIT eine Niederlassung im Vereinigten Königreich hat, entscheidet die CNIL, den Fall gemäß Artikel 60 der DSGVO zu behandeln. Die CNIL steht mit dem ICO in Verbindung, soweit dies im Rahmen des Kooperationsverfahrens relevant ist. Bei Entscheidungsproblemen der Aufsichtsbehörden schaltet sich der Europäische Datenschutzausschuss ein und erlässt gemäß dem Kohärenzverfahren eine verbindliche Entscheidung.
Darüber hinaus verklagt Javier EVERFIT für den Schaden, der dadurch entstanden ist, dass es seiner Aufforderung, sein Foto aus der Broschüre und der Website zu entfernen, nicht nachgekommen ist.
Was sollte die federführende Behörde (CNIL) im Rahmen des Kooperationsmechanismus tun, nachdem sie sich zu der Angelegenheit eine Meinung gebildet hat?

Ein Verantwortlicher in der EU plant, personenbezogene Daten über einen Auftragsverarbeiter in ein Drittland zu übermitteln. Was ist gemäß der Stellungnahme 22/2024 des EDSA der empfohlene erste Schritt?

Welche wesentlichen Informationen müssen nach der DSGVO den betroffenen Personen zur Verfügung gestellt werden, bevor ihre personenbezogenen Daten erhoben werden?

Welche der folgenden Aufgaben spielen KEINE Betriebsräte?

SZENARIO
Bitte verwenden Sie Folgendes, um die nächste Frage zu beantworten:
Finanziell war es ein sehr gutes Jahr für ARRA Hotels: Ihre 21 Hotels in Griechenland (5), Italien (15) und Spanien (1) verzeichneten die profitabelsten Ergebnisse aller Zeiten. Um diesen Erfolg zu feiern, hat die Personalabteilung von ARRA Hotels in der italienischen Hauptniederlassung von ARRA ein Teamevent für ihre 420 Mitarbeiter und deren Familien in ihrem Hotel in Spanien organisiert.
Bei der Ankunft im Hotel erhält jeder Mitarbeiter und jedes Familienmitglied an der Rezeption ein elektronisches Armband. Das Armband erfüllt mehrere Funktionen:
. Ermöglicht den Zugang zur „Partyzone“ des Hotels und gibt einen Summton ab, wenn sich der Benutzer einem unbefugten Bereich nähert
. Ermöglicht bis zu drei Freigetränke für jede volljährige Person und ertönt, sobald diese Grenze erreicht ist
. Gewährt eine eindeutige ID-Nummer für die Teilnahme an den geplanten Spielen und Wettbewerben.
Zusammen mit dem Armband erhält jeder Gast einen QR-Code, der zu der Online-Datenschutzerklärung führt, in der die Verwendung des Armbands beschrieben wird. Die Seite enthält außerdem ein deaktiviertes Kontrollkästchen für die Einwilligung. Bei Familienangehörigen des Arbeitnehmers unter 16 Jahren ist die Einwilligung eines Erziehungsberechtigten erforderlich.
Unter den verschiedenen für die Veranstaltung geplanten Aktivitäten hat die Personalabteilung von ARRA Hotels unabhängig vom Hauptveranstaltungsort einen Fototerminbereich eingerichtet, in dem Mitarbeiter in traditioneller Karnevalstracht fotografieren können.
Die Fotos werden zu allgemeinen Marketingzwecken auf der Hauptwebsite von ARRA Hotels veröffentlicht.
Am Abend der Veranstaltung ist ein Mitarbeiter eines der griechischen Hotels von ARRA unzufrieden mit den Ergebnissen der Fotos, auf denen er zu sehen ist. Er beabsichtigt, bei der zuständigen Aufsichtsbehörde eine Beschwerde wegen folgender Punkte einzureichen:
. Das Fehlen jeglicher Datenschutzerklärung im separaten Fototerminbereich
Die rechtswidrige grenzüberschreitende Verarbeitung seiner personenbezogenen Daten
. Das inakzeptable ästhetische Ergebnis seiner Fotos
Welcher der folgenden Grundsätze wurde bei der Verarbeitung der Fototerminfotos, die personenbezogene Daten enthalten, wahrscheinlich verletzt?

SCENARIO
Please use the following to answer the next question:
You have just been hired by a toy manufacturer based in Hong Kong. The company sells a broad range of dolls, action figures and plush toys that can be found internationally in a wide variety of retail stores. Although the manufacturer has no offices outside Hong Kong and in fact does not employ any staff outside Hong Kong, it has entered into a number of local distribution contracts. The toys produced by the company can be found in all popular toy stores throughout Europe, the United States and Asi a. A large portion of the company's revenue is due to international sales.
The company now wishes to launch a new range of connected toys, ones that can talk and interact with children. The CEO of the company is touting these toys as the next big thing, due to the increased possibilities offered: The figures can answer children's Questions: on various subjects, such as mathematical calculations or the weather. Each figure is equipped with a microphone and speaker and can connect to any smartphone or tablet via Bluetooth. Any mobile device within a 10-meter radius can connect to the toys via Bluetooth as well. The figures can also be associated with other figures (from the same manufacturer) and interact with each other for an enhanced play experience.
When a child asks the toy a QUESTION, the request is sent to the cloud for analysis, and the answer is generated on cloud servers and sent back to the figure. The answer is given through the figure's integrated speakers, making it appear as though that the toy is actually responding to the child's QUESTION. The packaging of the toy does not provide technical details on how this works, nor does it mention that this feature requires an internet connection. The necessary data processing for this has been outsourced to a data center located in South Africa. However, your company has not yet revised its consumer-facing privacy policy to indicate this.
In parallel, the company is planning to introduce a new range of game systems through which consumers can play the characters they acquire in the course of playing the game. The system will come bundled with a portal that includes a Near-Field Communications (NFC) reader. This device will read an RFID tag in the action figure, making the figure come to life onscreen. Each character has its own stock features and abilities, but it is also possible to earn additional ones by accomplishing game goals. The only information stored in the tag relates to the figures' abilities. It is easy to switch characters during the game, and it is possible to bring the figure to locations outside of the home and have the character's abilities remain intact.
To ensure GDPR compliance, what should be the company's position on the issue of consent?