[
  {
    "claim_id": "CLAIM-001",
    "module_id": "M01",
    "learning_unit_id": "DSGVO-01-01",
    "claim": "Die DSGVO schützt Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere deren personenbezogene Daten.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 1 Abs. 1–2 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [
      "S09"
    ],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_1",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-002",
    "module_id": "M01",
    "learning_unit_id": "DSGVO-01-02",
    "claim": "Personenbezug besteht bei Informationen über eine identifizierte oder identifizierbare natürliche Person.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 4 Nr. 1 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_4",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-003",
    "module_id": "M01",
    "learning_unit_id": "DSGVO-01-02",
    "claim": "Pseudonymisierung trennt Zuordnung und Zusatzinformationen; sie ist nicht automatisch Anonymisierung.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 4 Nr. 5 DSGVO; Erwägungsgrund 26",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_4",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-004",
    "module_id": "M01",
    "learning_unit_id": "DSGVO-01-03",
    "claim": "Verarbeitung umfasst unter anderem Erheben, Abfragen, Verwenden, Übermitteln und Löschen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 4 Nr. 2 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_4",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-005",
    "module_id": "M01",
    "learning_unit_id": "DSGVO-01-03",
    "claim": "Die DSGVO erfasst automatisierte Verarbeitung und nichtautomatisierte Verarbeitung in oder für Dateisysteme.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 2 Abs. 1 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_2",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-006",
    "module_id": "M01",
    "learning_unit_id": "DSGVO-01-03",
    "claim": "Unterstellte Personen verarbeiten personenbezogene Daten grundsätzlich nur auf Weisung, außer bei gesetzlicher Verarbeitungspflicht.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 29 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_29",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-007",
    "module_id": "M01",
    "learning_unit_id": "DSGVO-01-04",
    "claim": "Artikel 9 nennt besondere Datenkategorien, untersagt grundsätzlich deren Verarbeitung und enthält Ausnahmen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 9 Abs. 1–4 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_9",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-008",
    "module_id": "M01",
    "learning_unit_id": "DSGVO-01-04",
    "claim": "Bei besonderen Kategorien sind die Voraussetzungen des Art. 9 zusätzlich zur allgemeinen Rechtmäßigkeit zu prüfen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 6 und 9 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_6",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-009",
    "module_id": "M01",
    "learning_unit_id": "DSGVO-01-04",
    "claim": "Kontodaten sind nicht allein deshalb eine besondere Kategorie nach Art. 9; Sicherheitsmaßnahmen richten sich gleichwohl nach dem Risiko.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 9 Abs. 1; Art. 32 Abs. 1–2 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_9",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-010",
    "module_id": "M02",
    "learning_unit_id": "DSGVO-02-01",
    "claim": "Für eine Verarbeitung braucht es eine tragfähige rechtliche Grundlage. Eine nützliche Idee allein reicht nicht.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 1 lit. a; Art. 6 Abs. 1 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-011",
    "module_id": "M02",
    "learning_unit_id": "DSGVO-02-02",
    "claim": "Datenverarbeitung soll fair sein. Menschen dürfen über den Umgang mit ihren Daten nicht getäuscht werden.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 1 lit. a DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-012",
    "module_id": "M02",
    "learning_unit_id": "DSGVO-02-03",
    "claim": "Menschen sollen nachvollziehen können, wer ihre Daten wozu verwendet. Dafür gibt es verständliche Datenschutzinformationen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 1 lit. a; Art. 12–14 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-013",
    "module_id": "M02",
    "learning_unit_id": "DSGVO-02-04",
    "claim": "Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben. Eine damit unvereinbare spätere Nutzung ist nicht erlaubt. Zweckänderungen brauchen eine Prüfung.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 1 lit. b; Art. 6 Abs. 4 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-014",
    "module_id": "M02",
    "learning_unit_id": "DSGVO-02-05",
    "claim": "Erheben und verwenden Sie nur Daten, die für den jeweiligen Zweck angemessen, erheblich und notwendig sind.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 1 lit. c DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-015",
    "module_id": "M02",
    "learning_unit_id": "DSGVO-02-06",
    "claim": "Daten müssen sachlich richtig und, soweit nötig, aktuell sein. Unrichtige Angaben sind angemessen und unverzüglich zu berichtigen oder zu löschen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 1 lit. d DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-016",
    "module_id": "M02",
    "learning_unit_id": "DSGVO-02-07",
    "claim": "Personenbezogene Daten bleiben nur so lange identifizierbar gespeichert, wie es für den Zweck erforderlich ist. Aufbewahrungspflichten und geregelte Ausnahmen können längere Speicherung erfordern.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 1 lit. e; Art. 17 Abs. 3 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-017",
    "module_id": "M02",
    "learning_unit_id": "DSGVO-02-08",
    "claim": "Daten sollen vor unbefugtem Zugriff, unerlaubter Veränderung und unbeabsichtigtem Verlust geschützt werden. Schutzmaßnahmen müssen zum Risiko passen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 1 lit. f; Art. 32 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-018",
    "module_id": "M02",
    "learning_unit_id": "DSGVO-02-09",
    "claim": "Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können. Im Unternehmen helfen dokumentierte Prozesse und nachvollziehbare Entscheidungen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 2 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-019",
    "module_id": "M03",
    "learning_unit_id": "DSGVO-03-01",
    "claim": "Art. 6 Abs. 1 enthält sechs Erlaubnistatbestände; Einwilligung ist einer davon.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 6 Abs. 1 lit. a–f DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [
      "S08"
    ],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_6",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-020",
    "module_id": "M03",
    "learning_unit_id": "DSGVO-03-02",
    "claim": "Eine Person stimmt freiwillig, informiert, für einen bestimmten Fall und eindeutig zu. Die Zustimmung muss nachweisbar sein und kann für die Zukunft widerrufen werden; der Widerruf muss so einfach sein wie die Erteilung.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 4 Nr. 11; Art. 6 Abs. 1 lit. a; Art. 7 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_4",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-021",
    "module_id": "M03",
    "learning_unit_id": "DSGVO-03-03",
    "claim": "Erforderliche Daten dürfen für einen Vertrag mit der betroffenen Person oder für vorvertragliche Schritte auf deren Anfrage verarbeitet werden. Nicht jede hilfreiche Zusatznutzung ist damit gedeckt.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 6 Abs. 1 lit. b DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_6",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-022",
    "module_id": "M03",
    "learning_unit_id": "DSGVO-03-04",
    "claim": "Eine konkrete Pflicht aus EU-Recht oder nationalem Recht kann die notwendige Verarbeitung tragen. Eine bloße interne Anweisung ist nicht selbst diese gesetzliche Verpflichtung.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 6 Abs. 1 lit. c, Abs. 3 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_6",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-023",
    "module_id": "M03",
    "learning_unit_id": "DSGVO-03-05",
    "claim": "Erforderliche Verarbeitung kann dem Schutz lebenswichtiger Interessen einer Person dienen. Das ist eine Grundlage für entsprechende Notlagen, kein Ersatz für normale Geschäftsprozesse. Bei Gesundheitsdaten sind zusätzlich die besonderen Voraussetzungen des Artikels 9 relevant.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 6 Abs. 1 lit. d; Art. 9 Abs. 2 lit. c DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_6",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-024",
    "module_id": "M03",
    "learning_unit_id": "DSGVO-03-06",
    "claim": "Diese Grundlage betrifft erforderliche Verarbeitung für eine rechtlich verankerte öffentliche Aufgabe oder übertragene öffentliche Gewalt. Dass ein privates Projekt gesellschaftlich nützlich ist, genügt nicht.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 6 Abs. 1 lit. e, Abs. 3 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_6",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-025",
    "module_id": "M03",
    "learning_unit_id": "DSGVO-03-07",
    "claim": "Erforderliche Verarbeitung kann auf ein berechtigtes Interesse gestützt werden, wenn entgegenstehende Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Die Abwägung ist zu prüfen und nachweisbar festzuhalten. Behörden können diese Grundlage nicht für die Erfüllung ihrer Aufgaben verwenden.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 6 Abs. 1 lit. f; Art. 5 Abs. 2 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_6",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-026",
    "module_id": "M03",
    "learning_unit_id": "DSGVO-03-08",
    "claim": "§ 26 BDSG enthält Regeln für Beschäftigtendaten; Bewerbende sind nach Abs. 8 einbezogen, Freiwilligkeit ist nach Abs. 2 besonders zu beurteilen.",
    "claim_type": "A_GESETZ",
    "primary_source": "§ 26 Abs. 1, 2, 8 BDSG",
    "primary_source_id": "S02",
    "secondary_source": [],
    "source_url": "https://www.gesetze-im-internet.de/bdsg_2018/__26.html",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Gesetzeswortlaut verifiziert. Unionsrechtliche Tragfähigkeit und konkrete Anwendung, insbesondere bei Überwachung und Lernnachweisen, bleiben Gegenstand der fachlichen Prüfung."
  },
  {
    "claim_id": "CLAIM-027",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-01",
    "claim": "Empfänger- und Anhangskontrolle sowie geeignete Verteiler und sichere Übertragungswege sind betriebliche Maßnahmen gegen unbefugte Offenlegung.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Art. 5 Abs. 1 lit. c und f; Art. 32 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-028",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-01",
    "claim": "BCC begrenzt die Sichtbarkeit der Empfängerliste, ersetzt aber weder die Zulässigkeitsprüfung noch den Schutz des Inhalts.",
    "claim_type": "E_DIDAKTIK",
    "primary_source": "Art. 5 Abs. 1 lit. a und f; Art. 6; Art. 32 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Funktional-technische Erläuterung, verbunden mit gesetzlichen Anforderungen; BCC ist keine pauschale DSGVO-Versandfreigabe."
  },
  {
    "claim_id": "CLAIM-029",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-02",
    "claim": "Bildschirmsperre, geschützte Papierablage und geregelter Besucherzugang sind mögliche organisatorische Sicherheitsmaßnahmen.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Art. 32 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_32",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-030",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-03",
    "claim": "Geschützte Ablage, sichere Druckausgabe und sichere Entsorgung setzen risikogerechten Datenschutz im Dokumentenablauf um.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Art. 5 Abs. 1 lit. e und f; Art. 32 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-031",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-04",
    "claim": "Individuelle Zugänge, freigegebene Passwortmanager und MFA sind geeignete Bausteine des Kontoschutzes; persönliche Zugangsdaten werden nicht geteilt.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "BSI Basistipps: Benutzerkonten und Passwörter; Art. 32 DSGVO",
    "primary_source_id": "S07",
    "secondary_source": [],
    "source_url": "https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/cyber-sicherheitsempfehlungen.html",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-032",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-04",
    "claim": "Verdächtige Nachrichten werden über einen unabhängig bekannten Kontaktweg geprüft und intern gemeldet; reine Sprachqualität beweist keine Echtheit.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "BSI Basistipps: E-Mails und Anhänge; Art. 32 DSGVO",
    "primary_source_id": "S07",
    "secondary_source": [],
    "source_url": "https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/cyber-sicherheitsempfehlungen.html",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-033",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-05",
    "claim": "Blickschutz, kontrollierte Geräte und freigegebene mobile Arbeitswege sind betriebliche Schutzmaßnahmen; Geräteverluste werden sofort intern gemeldet.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Art. 32–33 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_32",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-034",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-06",
    "claim": "Zugriffsrechte werden bedarfsgerecht vergeben und Fehlfreigaben intern gemeldet; ein entfernter Link ersetzt keine Vorfallbewertung.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Art. 5 Abs. 1 lit. c und f; Art. 32–33 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-035",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-07",
    "claim": "Die DSK empfiehlt klare interne Regeln, welche KI-Anwendungen für welche Zwecke unter welchen Voraussetzungen verwendet werden dürfen.",
    "claim_type": "B_AUFSICHT",
    "primary_source": "DSK KI und Datenschutz, Abschnitte 2.2 und 2.7",
    "primary_source_id": "S05",
    "secondary_source": [
      "S06"
    ],
    "source_url": "https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2026-12-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-036",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-07",
    "claim": "KI-Eingaben und personenbezogene Ergebnisse sind als jeweilige Verarbeitung zu prüfen; ein Produktname oder Firmenkonto belegt keine pauschale Zulässigkeit.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5–6, 9 DSGVO; DSK Abschnitte 1.5, 3.1–3.3",
    "primary_source_id": "S01",
    "secondary_source": [
      "S05",
      "S06"
    ],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2026-12-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-037",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-07",
    "claim": "Bei Auftragsverarbeitung sind die Anforderungen des Art. 28, einschließlich bindender Regelung, zu beachten.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 28 Abs. 1 und 3 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_28",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2026-12-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-038",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-07",
    "claim": "Bei einer Übermittlung in ein Drittland müssen zusätzlich die Bedingungen des Kapitels V erfüllt sein.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 44 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_44",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2026-12-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-039",
    "module_id": "M04",
    "learning_unit_id": "DSGVO-04-07",
    "claim": "Auch vertrauliche Informationen ohne Personenbezug nur im betrieblich freigegebenen KI-Verfahren verwenden.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Betriebliche Vertraulichkeits- und KI-Regelung; DSK Abschnitt 2.2 als Orientierung",
    "primary_source_id": "S05",
    "secondary_source": [],
    "source_url": "https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2026-12-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-040",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-01",
    "claim": "Betroffenenrechte sollen erleichtert werden; die genannten alltagssprachlichen Anliegen können Anträge auf entsprechende Rechte sein.",
    "claim_type": "E_DIDAKTIK",
    "primary_source": "Art. 12 Abs. 2; Art. 15–18 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_12",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-041",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-01",
    "claim": "Beschäftigte leiten Betroffenenanfragen unverzüglich nach internem Prozess weiter und beurteilen sie ohne entsprechende Zuständigkeit nicht selbst abschließend.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Art. 12 Abs. 2–4; Art. 24 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_12",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-042",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-02",
    "claim": "Art. 13 verlangt Informationen grundsätzlich bei direkter Erhebung; Art. 14 Abs. 3 regelt bei anderer Quelle spätestens einen Monat bzw. frühere Kommunikation/Offenlegung; Ausnahmen sind zu prüfen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 13 Abs. 1–4; Art. 14 Abs. 1–5 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_13",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-043",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-02",
    "claim": "Die Bereitstellung von Datenschutzinformationen ersetzt keine erforderliche Einwilligung.",
    "claim_type": "E_DIDAKTIK",
    "primary_source": "Art. 7; Art. 13–14 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_7",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-044",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-03",
    "claim": "Auskunft umfasst Bestätigung, Daten, weitere Informationen und eine Datenkopie; Rechte und Freiheiten anderer sind zu beachten.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 15 Abs. 1–4 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_15",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-045",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-03",
    "claim": "Unrichtige personenbezogene Daten sind auf Verlangen unverzüglich zu berichtigen; unvollständige können zweckbezogen zu ergänzen sein.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 16 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [
      "S08"
    ],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_16",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-046",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-03",
    "claim": "Löschung hat Voraussetzungen und Ausnahmen, etwa erforderliche Verarbeitung zur Erfüllung gesetzlicher Pflichten oder für Rechtsansprüche.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 17 Abs. 1 und 3 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_17",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-047",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-03",
    "claim": "Einschränkung begrenzt unter Art. 18 die weitere Verwendung; Speicherung und gesetzlich vorgesehene Verwendungen bleiben möglich.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 18 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_18",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-048",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-03",
    "claim": "Berichtigung, Löschung oder Einschränkung ist grundsätzlich Empfängern mitzuteilen, soweit dies nicht unmöglich oder unverhältnismäßig aufwendig ist.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 19 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_19",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-049",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-04",
    "claim": "Datenübertragbarkeit betrifft bereitgestellte Daten bei automatisierter Verarbeitung auf Einwilligungs- oder Vertragsgrundlage; Art. 20 enthält weitere Grenzen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 20 Abs. 1–4 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_20",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-050",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-05",
    "claim": "Art. 21 unterscheidet situationsbezogenen Widerspruch gegen Art. 6 Abs. 1 lit. e/f und jederzeitigen Widerspruch gegen Direktwerbung; nach Werbewiderspruch endet diese Nutzung.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 21 Abs. 1–3 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_21",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-051",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-06",
    "claim": "Art. 22 betrifft ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, mit Ausnahmen und Schutzmaßnahmen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 22 Abs. 1–4 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_22",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-052",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-06",
    "claim": "Eine nur formelle menschliche Beteiligung genügt nach der DSK nicht als echte Entscheidungsmöglichkeit bei KI-Vorschlägen.",
    "claim_type": "B_AUFSICHT",
    "primary_source": "DSK KI und Datenschutz, Abschnitt 1.6",
    "primary_source_id": "S05",
    "secondary_source": [],
    "source_url": "https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-053",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-07",
    "claim": "Information über Maßnahmen auf Anträge nach Art. 15–22 erfolgt unverzüglich, spätestens binnen eines Monats ab Eingang; Verlängerung um zwei weitere Monate nur bei erforderlicher Berücksichtigung von Komplexität und Anzahl, mit Gründen im ersten Monat.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 12 Abs. 3 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_12",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-054",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-07",
    "claim": "Bei Nichttätigwerden sind unverzüglich, spätestens binnen eines Monats, Gründe und Beschwerde-/Rechtsbehelfsmöglichkeiten mitzuteilen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 12 Abs. 4 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_12",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-055",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-07",
    "claim": "Nur bei begründeten Identitätszweifeln können zusätzliche erforderliche Bestätigungsinformationen verlangt werden.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 12 Abs. 6 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_12",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-056",
    "module_id": "M05",
    "learning_unit_id": "DSGVO-05-07",
    "claim": "Informationen und Maßnahmen nach Art. 12 Abs. 5 sind grundsätzlich unentgeltlich; gesetzliche Ausnahmen beurteilt die zuständige Stelle.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 12 Abs. 5 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_12",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-057",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-01",
    "claim": "Eine Datenschutzverletzung umfasst sicherheitsbedingte Vernichtung, Verlust, Veränderung, unbefugte Offenlegung oder Zugang zu personenbezogenen Daten.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 4 Nr. 12 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_4",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-058",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-01",
    "claim": "Verdächtige Sicherheitsereignisse sollten unmittelbar in den internen Prüf- und Meldeprozess gelangen; nicht jeder Verdacht ist schon eine bestätigte Datenschutzverletzung.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "EDPB 9/2022, Rn. 31–41; Art. 32–33 DSGVO",
    "primary_source_id": "S03",
    "secondary_source": [],
    "source_url": "https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202209_personal_data_breach_notification_v2.0_en.pdf",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-059",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-02",
    "claim": "Beschäftigte sollen Vorfälle unverzüglich intern melden, bekannte Fakten sichern und nur befugt begrenzen; vollständige Aufklärung ist keine Voraussetzung für die Erstmeldung.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Art. 32–33 DSGVO; EDPB 9/2022 Rn. 37–41",
    "primary_source_id": "S01",
    "secondary_source": [
      "S03"
    ],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_32",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-060",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-03",
    "claim": "Der Verantwortliche meldet unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden; Ausnahme: voraussichtlich kein Risiko für Rechte und Freiheiten. Spätere Meldung ist zu begründen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 33 Abs. 1 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_33",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-061",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-03",
    "claim": "Fehlende Angaben können ohne unangemessene weitere Verzögerung schrittweise übermittelt werden.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 33 Abs. 4 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_33",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-062",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-03",
    "claim": "Der Auftragsverarbeiter meldet dem Verantwortlichen eine bekannt gewordene Datenschutzverletzung unverzüglich.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 33 Abs. 2 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_33",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-063",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-03",
    "claim": "Nach dem EDPB liegt Bekanntwerden bei hinreichender Gewissheit vor, dass ein Sicherheitsereignis personenbezogene Daten beeinträchtigt hat; erste Untersuchungen dürfen nicht verzögert werden.",
    "claim_type": "B_AUFSICHT",
    "primary_source": "EDPB 9/2022 Rn. 31–41",
    "primary_source_id": "S03",
    "secondary_source": [],
    "source_url": "https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202209_personal_data_breach_notification_v2.0_en.pdf",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-064",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-04",
    "claim": "Bei voraussichtlich hohem Risiko benachrichtigt der Verantwortliche Betroffene unverzüglich; Art. 34 Abs. 3 enthält gesondert zu prüfende Ausnahmen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 34 Abs. 1–3 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_34",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-065",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-04",
    "claim": "Der Verantwortliche dokumentiert Datenschutzverletzungen einschließlich Fakten, Auswirkungen und Abhilfemaßnahmen.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 33 Abs. 5 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_33",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-066",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-04",
    "claim": "Der Verantwortliche ist für geeignete Datenschutzmaßnahmen zuständig; DSB unterrichten, beraten und überwachen nach Art. 39.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 24 Abs. 1; Art. 38–39 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_24",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-067",
    "module_id": "M06",
    "learning_unit_id": "DSGVO-06-04",
    "claim": "Die EDPB-Beispiele zeigen unterschiedliche Meldefolgen je nach Daten, Schutz und Umständen; Verschlüsselung allein ersetzt keine Einzelfallbewertung.",
    "claim_type": "B_AUFSICHT",
    "primary_source": "EDPB 01/2021, Abschnitte 5.1–5.3, 6.1–6.3",
    "primary_source_id": "S04",
    "secondary_source": [],
    "source_url": "https://www.edpb.europa.eu/system/files/documents/2022-01/edpb_guidelines_012021_pdbnotification_adopted_en.pdf",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-068",
    "module_id": "M07",
    "learning_unit_id": "DSGVO-07-01",
    "claim": "Technische Sicherheit ersetzt keine Rechtsgrundlage oder Zweckprüfung; zulässige Verarbeitung muss zugleich angemessen geschützt sein.",
    "claim_type": "E_DIDAKTIK",
    "primary_source": "Art. 5–6; Art. 32 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-069",
    "module_id": "M07",
    "learning_unit_id": "DSGVO-07-02",
    "claim": "Art. 32 verlangt risikogerechte technische und organisatorische Maßnahmen, gegebenenfalls etwa Verschlüsselung, dauerhafte Vertraulichkeit/Integrität/Verfügbarkeit und Wiederherstellung sowie regelmäßige Wirksamkeitsprüfung.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 32 Abs. 1–2 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_32",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-070",
    "module_id": "M07",
    "learning_unit_id": "DSGVO-07-02",
    "claim": "Zeitnahe Sicherheitsupdates und passende Kontoberechtigungen sind empfohlene Sicherheitsmaßnahmen.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "BSI Basistipps: Software aktuell halten und Benutzerkonten",
    "primary_source_id": "S07",
    "secondary_source": [],
    "source_url": "https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/cyber-sicherheitsempfehlungen.html",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-071",
    "module_id": "M07",
    "learning_unit_id": "DSGVO-07-03",
    "claim": "Freigegebene Arbeitswege und die IT-Meldung bei Hindernissen vermeiden unkontrollierte Kopien und nicht bewertete Datenträger.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Art. 29; Art. 32 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_29",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-072",
    "module_id": "M08",
    "learning_unit_id": "DSGVO-08-02",
    "claim": "Vor Rollout sind erreichbare Datenschutz-, IT- und Ersatzkontakte sowie ein freigegebener Meldeprozess einzutragen.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Betriebliche Ausgestaltung zu Art. 24, 32–33 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Eigene betriebliche Handlungsempfehlung; keine wörtliche Gesetzespflicht und noch keine bestätigte Kundenrichtlinie."
  },
  {
    "claim_id": "CLAIM-073",
    "module_id": "M08",
    "learning_unit_id": "DSGVO-08-02",
    "claim": "Die vorgeschlagene Bestehensgrenze von 12/15 Punkten (80 %) ist eine organisatorische Festlegung von Zero One IT, keine gesetzlich vorgeschriebene DSGVO-Grenze.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Eigene Prüfungsregel; Art. 24, 32 und 39 DSGVO enthalten keine solche Punkteschwelle.",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Vorschlag des Content-Pakets, vor Rollout organisatorisch freizugeben. Keine Aussage zu zusätzlichen branchenspezifischen Anforderungen."
  },
  {
    "claim_id": "CLAIM-074",
    "module_id": "M08",
    "learning_unit_id": "DSGVO-08-02",
    "claim": "Der Abschlussnachweis dokumentiert die konkrete Schulung; er ist keine Zertifizierung nach Art. 42 DSGVO und keine behördliche Berufsqualifikation.",
    "claim_type": "E_DIDAKTIK",
    "primary_source": "Art. 42 Abs. 1 und 5 DSGVO; eigenes Nachweiskonzept",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_42",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-075",
    "module_id": "M08",
    "learning_unit_id": "DSGVO-08-02",
    "claim": "Auch personenbezogene Lernnachweise brauchen einen festgelegten Zweck, eine passende Rechtsgrundlage, Datenminimierung, begrenzte Speicherung und Schutz.",
    "claim_type": "A_GESETZ",
    "primary_source": "Art. 5 Abs. 1 lit. b, c, e, f; Art. 6; Art. 32 DSGVO",
    "primary_source_id": "S01",
    "secondary_source": [],
    "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504#art_5",
    "verified_at": "2026-09-29",
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "VERIFIED",
    "review_notes": "Mit bezeichnetem Quellentext abgeglichen; keine unabhängige juristische Freigabe."
  },
  {
    "claim_id": "CLAIM-076",
    "module_id": "M08",
    "learning_unit_id": "DSGVO-08-02",
    "claim": "Welche Rechtsgrundlage, Speicherfrist und Mitbestimmung für den konkreten betrieblichen Lernnachweis gelten, ist vor dem Rollout festzulegen.",
    "claim_type": "D_GUTE_PRAXIS",
    "primary_source": "Art. 5–6 DSGVO; § 26 BDSG, insbesondere Abs. 6",
    "primary_source_id": "S02",
    "secondary_source": [],
    "source_url": "https://www.gesetze-im-internet.de/bdsg_2018/__26.html",
    "verified_at": null,
    "last_checked_at": "2026-09-29",
    "review_due": "2027-03-29",
    "verification_status": "REVIEW_REQUIRED",
    "review_notes": "Kein Kunde, Beschäftigungskontext oder abgestimmtes Nachweiskonzept bekannt. Zuständige Stelle prüft Erforderlichkeit, Unionsrecht und aktuelle Rechtsprechung, gegebenenfalls Kollektivvereinbarung und Beteiligung. Keine pauschale Beschäftigteneinwilligung vorgeben."
  }
]