1 · Einwilligung der Fahrschüler
Die Anmeldung ist der erste Kontakt mit personenbezogenen Daten: Name, Geburtsdatum, Kontakt, ggf. Ausweisdaten. Verarbeitet wird nur, was der Zweck erfordert (Art. 5 DSGVO, Datenminimierung). Für Werbung, Weitergabe an Dritte oder Fotos braucht es eine eigene Einwilligung — die Anmeldung allein ist keine.
2 · Zweck vor Werkzeug
Die DSK verlangt: Erst das Einsatzfeld und den Zweck festlegen, dann Daten fließen lassen (Art. 5 DSGVO). Ein Termin-Assistent braucht keinen Zugriff auf Gesundheitsangaben zur Fahreignung oder auf Ausweiskopien.
3 · Menschliche Letztentscheidung
Art. 22 DSGVO: Entscheidungen mit Rechtswirkung trifft der Mensch. Ob ein Fahrschüler zur Prüfung vorgestellt wird, ob ein Termin storniert wird oder ob Unterlagen vollständig sind — das entscheidet die verantwortliche Person. Eine rein formelle menschliche Beteiligung reicht nicht.
4 · Geschlossenes System vor offener Cloud
Die DSK bevorzugt technisch geschlossene Systeme: Die Kontrolle über Ein- und Ausgabedaten bleibt bei Euch. Läuft ein Werkzeug in der Cloud, sind Auftragsverarbeitung (Art. 28 DSGVO), Unterauftragnehmer und Datenorte zu prüfen — ein EU-Standort allein reicht nicht.
5 · Das Team kann es
Art. 4 KI-Verordnung: Wer KI einsetzt, braucht ausreichende KI-Kompetenz. Die DSK ergänzt: Beschäftigte sensibilisieren, betriebliche Accounts einrichten, wo nötig eine Datenschutz-Folgenabschätzung durchführen. Schulung ist Teil der Einführung, kein Anhang.
6 · Mobilithek-Transparenz richtig einordnen
Die Reform verpflichtet Fahrschulen, Preise und Erfolgsquoten an die Mobilithek zu melden. Das sind Betriebsdaten, keine einzelnen Fahrschülerdaten — Meldepflicht und Einwilligung der Fahrschüler sind zu trennen. Mehr Transparenz ersetzt keine DSGVO-Prüfung.