Q139. SCENARIO
Beantworten Sie bitte die nächste Frage anhand der folgenden Angaben:
Sie wurden gerade von einem Spielzeughersteller mit Sitz in Hongkong eingestellt. Das Unternehmen vertreibt eine breite Palette von Puppen, Actionfiguren und Plüschtieren, die international in einer Vielzahl von Einzelhandelsgeschäften zu finden sind. Obwohl der Hersteller keine Niederlassungen außerhalb Hongkongs unterhält und auch kein Personal außerhalb Hongkongs beschäftigt, hat er eine Reihe von lokalen Vertriebsverträgen abgeschlossen. Die von dem Unternehmen hergestellten Spielzeuge sind in allen gängigen Spielwarengeschäften in Europa, den Vereinigten Staaten und Asien zu finden. Ein großer Teil der Einnahmen des Unternehmens stammt aus dem internationalen Verkauf.
Das Unternehmen möchte nun eine neue Reihe von vernetzten Spielzeugen auf den Markt bringen, die mit Kindern sprechen und interagieren können. Der CEO des Unternehmens preist diese Spielzeuge als das nächste große Ding an, da sie mehr Möglichkeiten bieten: Die Figuren können die Fragen der Kinder beantworten: zu verschiedenen Themen, wie mathematische Berechnungen oder das Wetter. Jede Figur ist mit einem Mikrofon und einem Lautsprecher ausgestattet und kann über Bluetooth mit jedem Smartphone oder Tablet verbunden werden. Jedes mobile Gerät in einem Umkreis von 10 Metern kann sich ebenfalls über Bluetooth mit den Spielzeugen verbinden. Die Figuren können auch mit anderen Figuren (desselben Herstellers) verbunden werden und miteinander interagieren, um das Spielerlebnis zu verbessern.
Wenn ein Kind dem Spielzeug eine FRAGE stellt, wird die Anfrage zur Analyse an die Cloud gesendet, und die Antwort wird auf Cloud-Servern generiert und an die Figur zurückgesendet. Die Antwort wird über die integrierten Lautsprecher der Figur gegeben, so dass es den Anschein hat, dass das Spielzeug tatsächlich auf die FRAGE des Kindes antwortet. Die Verpackung des Spielzeugs enthält weder technische Details zur Funktionsweise noch einen Hinweis darauf, dass für diese Funktion eine Internetverbindung erforderlich ist. Die dafür notwendige Datenverarbeitung wurde in ein Rechenzentrum in Südafrika ausgelagert. Ihr Unternehmen hat jedoch seine für den Verbraucher sichtbaren Datenschutzrichtlinien noch nicht dahingehend geändert.
Parallel dazu plant das Unternehmen die Einführung einer neuen Reihe von Spielsystemen, mit denen die Verbraucher die Figuren spielen können, die sie im Laufe des Spiels erwerben. Das System wird mit einem Portal ausgeliefert, das ein NFC-Lesegerät (Near-Field Communications) enthält. Dieses Gerät liest ein RFID-Etikett in der Actionfigur und erweckt diese auf dem Bildschirm zum Leben. Jede Figur hat ihre eigenen Standardfunktionen und -fähigkeiten, aber es ist auch möglich, durch das Erreichen von Spielzielen zusätzliche Fähigkeiten zu erwerben. Die einzigen Informationen, die auf dem Tag gespeichert sind, beziehen sich auf die Fähigkeiten der Figuren. Es ist einfach, während des Spiels zwischen den Figuren zu wechseln, und es ist möglich, die Figur an Orte außerhalb des Hauses zu bringen, ohne dass die Fähigkeiten der Figur verloren gehen.
Welche Praxis sollte das Unternehmen angesichts der Anforderungen von Artikel 32 der Datenschutz-Grundverordnung (in Bezug auf die Sicherheit der Verarbeitung) einführen?

Q140. SCENARIO
Beantworten Sie bitte die nächste Frage anhand der folgenden Angaben:
WonderkKids bietet einen Online-Buchungsservice für Kinderbetreuung. Wonderkids hat seinen Sitz in Frankreich, betreibt seine Website aber über ein Unternehmen in der Schweiz. Im Rahmen seiner Dienstleistung gibt Wonderkids alle ihm zur Verfügung gestellten personenbezogenen Daten an den über sein System gebuchten Kinderbetreuungsanbieter weiter. Zu den auf der Website erfassten personenbezogenen Daten gehören der Name der Person, die die Kinderbetreuung bucht, Adresse und Kontaktdaten sowie Informationen über die zu betreuenden Kinder wie Name, Alter, Geschlecht und Gesundheitsdaten. Die Datenschutzerklärung auf der Wonderkids-Website besagt Folgendes:
"WonderkKids stellt die Informationen, die Sie uns über diese Website zur Verfügung stellen, Ihrem Kinderbetreuer aus Gründen der Terminplanung und der Gesundheit und Sicherheit zur Verfügung. Wir können Ihre persönlichen Daten und die Ihres Kindes auch für unsere eigenen legitimen Geschäftszwecke verwenden, und wir beauftragen einen Drittanbieter mit Sitz in der Schweiz mit der Speicherung der Daten. Wir werden Ihre persönlichen Daten und die Ihres Kindes nur an Unternehmen weitergeben, die unserer Meinung nach einen echten Mehrwert für Sie darstellen. Indem Sie uns personenbezogene Daten zur Verfügung stellen, erklären Sie sich damit einverstanden, dass diese an verbundene Unternehmen weitergegeben werden und wir Ihnen Werbeangebote zusenden dürfen.
"Wir dürfen Ihre persönlichen Daten und die Ihres Kindes nicht länger als 28 Tage aufbewahren, danach werden die Daten entpersonalisiert, es sei denn, Ihre persönlichen Daten werden für einen legitimen Geschäftszweck über die 28 Tage hinaus verwendet, dann dürfen sie bis zu zwei Jahre aufbewahrt werden."
"Wir verarbeiten die personenbezogenen Daten von Ihnen und Ihrem Kind mit Ihrer Zustimmung. Wenn Sie sich dafür entscheiden, uns bestimmte Informationen nicht zur Verfügung zu stellen, können Sie unsere Dienste möglicherweise nicht nutzen. Sie haben das Recht: Zugang zu Ihren personenbezogenen Daten und denen Ihres Kindes zu verlangen; Ihre personenbezogenen Daten oder die Ihres Kindes zu berichtigen oder zu löschen; das Recht auf Berichtigung oder Löschung Ihrer und/oder der personenbezogenen Daten Ihres Kindes; Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten und der Ihres Kindes. Sie haben auch das Recht, sich bei der Aufsichtsbehörde über unsere Datenverarbeitungsaktivitäten zu beschweren". Welche zusätzlichen Informationen muss Wonderkids in seiner Datenschutzerklärung bereitstellen?

Q141. In welchem der folgenden Fälle, die in einem Leitfaden der WP29 als Beispiel angeführt werden, wäre die Durchführung einer einzigen Datenschutz-Folgenabschätzung für mehrere Verarbeitungen zulässig?

Q142. SCENARIO
Beantworten Sie bitte die nächste Frage anhand der folgenden Angaben:
Joe ist der neue Datenschutzbeauftragte von Who-R-U, einem kanadischen Unternehmen, das DNA-Analysen anbietet. Der Hauptsitz des Unternehmens befindet sich in Montreal, und alle seine Mitarbeiter sind dort beschäftigt. Das Unternehmen bietet seine Dienste nur Kanadiern an: Seine Website ist auf Englisch und Französisch, es akzeptiert nur kanadische Währungen und blockiert den Internetverkehr von außerhalb Kanadas (obwohl diese Lösung nicht den gesamten nicht-kanadischen Verkehr verhindert). Außerdem lehnt es die Bearbeitung von Bestellungen ab, bei denen die Zusendung des DNA-Gutachtens außerhalb Kanadas verlangt wird, und schickt Bestellungen zurück, die eine nicht-kanadische Absenderadresse aufweisen.
Bob, der Präsident von Who-R-U, ist der Meinung, dass das Produkt in der EU auf großes Interesse stößt, und das Unternehmen prüft eine Reihe von Plänen zur Erweiterung seines Kundenstamms.
Der erste Plan, kollegial We-Track-U genannt, wird eine App nutzen, um Informationen über den derzeitigen kanadischen Kundenstamm zu sammeln. Die Erweiterung wird es den kanadischen Kunden ermöglichen, die App auf Reisen im Ausland zu nutzen. Er schlägt vor, dass das Unternehmen diese App nutzt, um Standortinformationen zu sammeln. Wenn der Plan Erfolg verspricht, schlägt Bob vor, Push-Benachrichtigungen und Textnachrichten zu verwenden, um bestehende Kunden zu ermutigen, sich für eine EU-Version des Dienstes zu registrieren. Bob nennt diesen Arbeitsplan "We-Text-U". Sobald das Unternehmen genügend Vorregistrierungen gesammelt hat, wird es EU-spezifische Inhalte und Dienste entwickeln.
Ein weiterer Plan heißt "Customer for Life". Die Idee ist, über die App des Unternehmens zusätzliche Dienste anzubieten, wie die Speicherung und Weitergabe von DNA-Informationen an andere Anwendungen und medizinische Anbieter. Der Vertrag des Unternehmens besagt, dass es die DNA der Kunden auf unbestimmte Zeit speichern und für das Angebot neuer Dienste und deren Vermarktung an die Kunden verwenden kann. Er besagt auch, dass die Kunden ihre Zustimmung zu Direktmarketing nicht zurückziehen können. Paul, der Marketing-Direktor, schlägt vor, dass das Unternehmen diese Bestimmungen voll ausschöpfen sollte und dass es die Versuche der Kunden, ihre Zustimmung zu widerrufen, umgehen kann, weil der Vertrag sie ungültig macht.
Der endgültige Plan ist, eine Markenpräsenz in der EU zu entwickeln. Das Unternehmen hat mit diesem Prozess bereits begonnen. Es ist dabei, die Namensrechte für ein Gebäude in Deutschland zu erwerben, in dem einige Büros untergebracht werden sollen, die die Who-R-U-Führungskräfte auf ihren internationalen Reisen nutzen können. Das Büro umfasst keine Technologie oder Infrastruktur, sondern ist lediglich ein Raum mit einem Schreibtisch und einigen Stühlen.
Auf einer Reise, bei der es um das Geschäft mit den Namensrechten ging, wurde Bobs Laptop gestohlen. Auf dem Laptop befanden sich unverschlüsselte DNA-Berichte über 5.000 Who-R-U-Kunden, die alle in Kanada ansässig sind. Die Berichte enthalten den Namen des Kunden, sein Geburtsdatum, seine ethnische Zugehörigkeit, seinen rassischen Hintergrund, die Namen von Verwandten, sein Geschlecht und gelegentlich auch Gesundheitsinformationen.
Who-R-U ist NICHT verpflichtet, die örtliche deutsche Datenschutzbehörde über den Laptop-Diebstahl zu informieren, weil?

Q143. In Artikel 9 der Datenschutz-Grundverordnung sind Ausnahmen vom allgemeinen Verbot der Verarbeitung biometrischer Daten aufgeführt. Welche der folgenden Ausnahmen gehört NICHT dazu?

Q144. Welche Art von Datenschutzhinweis, der ursprünglich von der Artikel-29-Datenschutzgruppe befürwortet wurde, wird allgemein für KI-gestützte Technologien empfohlen, da er Informationen über die Verarbeitung an bestimmten Punkten der Datenerhebung enthält?

Q145. Welche der folgenden Angaben würde am ehesten die extraterritoriale Wirkung der Datenschutz-Grundverordnung auslösen, wie sie in Artikel
3?

Q146. Nach Ansicht des Europäischen Datenschutzausschusses sollten die betroffenen Personen über eine Videoüberwachung informiert werden. Wie sollte der Betreiber eines Einzelhandelsgeschäfts sicherstellen, dass die betroffenen Personen die Informationen erhalten, die nach dem EU-Datenschutzrecht für einen solchen Zweck erforderlich sind?

Q147. Viele Unternehmen drucken die Fotos ihrer Mitarbeiter auf Gebäudeausweise, damit die Mitarbeiter vom Sicherheitspersonal identifiziert werden können. Dies gilt ungeachtet der Tatsache, dass Gesichtsbilder nach der Datenschutz-Grundverordnung potenziell als biometrische Daten gelten. Warum sollte eine solche Praxis zulässig sein?

Q148. Was ist ein wichtiger Unterschied zwischen dem Europäischen Gerichtshof für Menschenrechte (EGMR) und dem Gerichtshof der Europäischen Union (EuGH) in Bezug auf ihre Aufgaben und Funktionen?

Q149. Ein Unternehmen hat seinen Sitz in einem Land, das von der Europäischen Union (EU) NICHT als Land mit angemessenem Datenschutzniveau angesehen wird. Welche der folgenden Verpflichtungen hat das Unternehmen, wenn es personenbezogene Daten von einer anderen Organisation im Europäischen Wirtschaftsraum (EWR) gemäß Standardvertragsklauseln importiert?

Q150. SCENARIO
Beantworten Sie bitte die nächste Frage anhand der folgenden Angaben:
Die Hotelkette ABC und das Reisebüro XYZ sind multinationale Unternehmen mit Sitz in den USA. Sie nutzen eine gemeinsame internetbasierte Plattform für die Erfassung und den Austausch ihrer Kundendaten, um ihre Marketingaktivitäten zu integrieren. Darüber hinaus vereinbaren sie, welche Daten gespeichert werden sollen, wie Reservierungen gebucht und bestätigt werden und wer Zugriff auf die gespeicherten Daten hat.
Mike, der in der EU wohnt, hat in der Vergangenheit über das Reisebüro XYZ Reisen gebucht, um in den Hotels der ABC Hotelkette zu übernachten. Das XYZ-Reisebüro bietet ein Prämienprogramm an, bei dem Kunden Punkte sammeln können, die später für kostenlose Reisen eingelöst werden können. Mike hat die Vereinbarung zur Teilnahme am Rewards-Programm unterzeichnet.
Nun möchte Mike wissen, welche persönlichen Daten das Unternehmen über ihn besitzt. Er schickt eine E-Mail, in der er Zugang zu seinen Daten beantragt, um seine Rechte als Betroffener wahrzunehmen.
Welche Rolle spielen die Hotelkette ABC und das Reisebüro XYZ in dieser Beziehung?

Q151. Gemäß Artikel 21 der DSGVO muss ein für die Verarbeitung Verantwortlicher das Profiling auf Antrag einer betroffenen Person einstellen, es sei denn, er kann zwingende berechtigte Gründe nachweisen, die die Interessen der betroffenen Person überwiegen. In den Leitlinien zur automatisierten Entscheidungsfindung und zum Profiling heißt es in der Arbeitsgruppe 29, dass der für die Verarbeitung Verantwortliche alle folgenden Maßnahmen ergreifen muss, um nachzuweisen, dass er solche berechtigten Gründe hat, AUSSER?

Q152. Was die Frage der Zustimmung betrifft, so lässt die DSGVO den Mitgliedstaaten eine gewisse Wahlmöglichkeit, was?

Q153. Welcher der folgenden Punkte muss NICHT in die Aufzeichnungen aufgenommen werden, die die meisten Auftragsverarbeiter in Bezug auf ihre Datenverarbeitungstätigkeiten führen müssen?

Q154. SCENARIO
Beantworten Sie bitte die nächste Frage anhand der folgenden Angaben:
T-Craze, ein in Deutschland ansässiges Unternehmen für Spezial-T-Shirts, verkaufte erfolgreich in großen deutschen Metropolen. Nach einer kürzlich erfolgten Fusion mit einem anderen in Deutschland ansässigen Unternehmen, das auf einem breiteren europäischen Markt tätig ist, hat T-Craze seine Marketingbemühungen überarbeitet, um ein breiteres Publikum anzusprechen. Zu diesen Bemühungen gehörte eine komplette Neugestaltung des Logos, um die kürzliche Fusion widerzuspiegeln, sowie Verbesserungen der Website, um durch die Verwendung von Cookies mehr Informationen über die Besucher zu erfassen.
T-Craze eröffnete außerdem verschiedene Niederlassungen in ganz Europa, um sein Geschäft zu erweitern. Während der Hauptsitz von T-Craze und das Hauptbüro für Produktdesign weiterhin in Deutschland angesiedelt sind, ist die französische Tochtergesellschaft für alle Marketing- und Vertriebsaktivitäten zuständig. Vor kurzem beauftragte die französische Tochtergesellschaft Right Target, ein renommiertes Marketingunternehmen mit Sitz auf den Philippinen, mit der Durchführung ihrer jüngsten Marketingkampagne. Nach gründlichen Untersuchungen stellte Right Target fest, dass T-Craze bei Kunden im Alter zwischen 18 und 22 Jahren am erfolgreichsten ist. Daher richtete sich die erste Kampagne an Universitätsstudenten in mehreren europäischen Hauptstädten, was T-Craze in einem Quartal fast 40% neue Kunden einbrachte. Right Target führte auch spätere Kampagnen für T-Craze durch, allerdings mit deutlich geringerem Erfolg.
Die letzten beiden Kampagnen bezogen sich auf eine breitere demografische Gruppe und führten zu unzähligen Abmeldeanfragen, darunter auch eine große Anzahl in Spanien. Die spanische Datenschutzbehörde erhielt sogar eine Beschwerde von Sofia, einer Investmentbankerin in der Mitte ihrer Laufbahn. Sofia war verärgert, nachdem sie eine Marketingmitteilung erhalten hatte, obwohl sie solche Mitteilungen von Right Target im Namen von T-Craze abbestellt hatte.
Welche der folgenden Stellen ist die federführende Aufsichtsbehörde von T-Craze?

Q155. Unternehmen X hat Anbieter Y mit der Verarbeitung seiner Gehaltsabrechnungsdaten betraut.
Anbieter Y speichert diese verschlüsselten Daten auf seinem Server. Die IT-Abteilung von Anbieter Y stellt fest, dass es jemandem gelungen ist, sich in das System einzuhacken und eine Kopie der Daten von seinem Server zu nehmen. Wen hat Anbieter Y in diesem Fall zu benachrichtigen?

Q156. SCENARIO
Beantworten Sie bitte die nächste Frage anhand der folgenden Angaben:
Joe gründete die Gummy Bear Company im Jahr 2000 von seinem Haus in Vermont, USA aus.
Heute ist es ein milliardenschweres Süßwarenunternehmen, das auf allen Kontinenten tätig ist. Die gesamten IT-Server des Unternehmens befinden sich in Vermont. In diesem Jahr stellt Joe seinen Sohn Ben ein, der in das Unternehmen eintritt und das "Project Big" leitet, eine umfassende Marketingstrategie zur Verdreifachung des Bruttoumsatzes in nur fünf Jahren. Ben hat einen Doktortitel in Computersoftware von einer Spitzenuniversität erhalten. Ben beschließt, in das Unternehmen seines Vaters einzusteigen, arbeitet aber insgeheim auch an der Gründung einer neuen globalen Online-Dating-Website namens Ben Knows Best.
Ben weiß, dass die Gummy Bear Company Millionen von Kunden hat und glaubt, dass viele von ihnen auch daran interessiert sein könnten, ihren perfekten Partner zu finden. Für das Projekt Big gestaltet Ben das Online-Webportal des Unternehmens um und verlangt von Kunden in der Europäischen Union und anderswo zusätzliche persönliche Informationen, um Kunde zu bleiben. Projekt Ben beginnt mit der Sammlung von Daten über die philosophischen Überzeugungen, politischen Meinungen und den Familienstand der Kunden.
Wenn ein Kunde sich als Single ausweist, kopiert Ben alle persönlichen Daten dieses Kunden in eine separate Datenbank für Ben Knows Best. Ben glaubt, dass er nichts Falsches tut, weil er jeden Kunden ausdrücklich um seine Zustimmung bittet, indem er ihn auffordert, ein Kästchen anzukreuzen, bevor er seine Daten akzeptiert. Da es sich bei Project Big um ein wichtiges Projekt handelt, stellt das Unternehmen auch einen Studenten im ersten Jahr seines Informatikstudiums namens Sam ein, der Ben helfen soll.
Ben ruft aus und Sam stößt auf die Datenbank von Ben Knows Best. Sam plant, mit 10 seiner Freunde über den Frühlingsanfang nach Irland zu fahren, also kopiert er alle Kundeninformationen von Leuten, die in Irland wohnen, damit er und seine Freunde die Leute kontaktieren können, wenn sie in Irland sind.
Joe stellt auch die Tochter seines besten Freundes, Alice, ein, die gerade ihr Jurastudium in den USA abgeschlossen hat, um die neue Rechtsabteilung des Unternehmens zu leiten. Alice hat von der Datenschutz-Grundverordnung gehört und recherchiert deshalb darüber. Alice wendet sich an Joe und teilt ihm mit, dass sie verbindliche Unternehmensregeln ausgearbeitet hat, an die sich alle im Unternehmen halten müssen, da es für das Unternehmen wichtig ist, über einen rechtlichen Mechanismus für die interne Datenübermittlung von den Betrieben des Unternehmens in der Europäischen Union in die USA zu verfügen.
Joe ist der Meinung, dass Alice großartige Arbeit leistet, und teilt ihr mit, dass sie auch für die Bearbeitung einer großen Klage zuständig sein wird, die gegen das Unternehmen vor einem Bundesgericht in den USA eingereicht wurde. Um sich auf die Klage vorzubereiten, weist Alice die IT-Abteilung des Unternehmens an, Kopien der Computerfestplatten des gesamten weltweiten Vertriebsteams, einschließlich der Europäischen Union, anzufertigen und alles an sie zu schicken, damit sie die Informationen aller Mitarbeiter überprüfen kann. Alice ist davon überzeugt, dass Joe froh sein wird, dass sie die Überprüfung auf der ersten Ebene vorgenommen hat, da das Unternehmen dadurch viel Geld sparen kann, das es sonst an eine externe Anwaltskanzlei zahlen müsste.
Bei der Vorbereitung des Unternehmens auf die bevorstehende Klage verstieß die Anweisung von Alice an die IT-Abteilung des Unternehmens gegen Artikel 5 der Datenschutz-Grundverordnung, denn was hat das Unternehmen nicht zuerst getan?

Q157. Wie wird die Vorratsspeicherung von Kommunikationsverkehrsdaten zu Strafverfolgungszwecken im europäischen Datenschutzrecht behandelt?

Q158. Wie lautete das Haupturteil des Gerichtshofs der Europäischen Union (EuGH) in der Rechtssache Planet 49 zur Frage der Cookies?

Q159. SCENARIO
Beantworten Sie bitte die nächste Frage anhand der folgenden Angaben:
Jack arbeitete als Pharmacovigiliance Operations Specialist in der irischen Niederlassung eines multinationalen Pharmaunternehmens an einer klinischen Studie zu COVID-19. Als Teil seines Einarbeitungsprozesses erhielt Jack eine Datenschutzschulung. Er wurde ausdrücklich darauf hingewiesen, dass er im Rahmen seiner Arbeit zwar vertrauliche Patientendaten verarbeiten muss, diese Daten aber unter keinen Umständen für andere Zwecke als die Durchführung arbeitsbezogener Aufgaben verwenden darf (fragt Dies wurde auch in der Datenschutzrichtlinie festgelegt, die Jack nach Abschluss der Schulung unterzeichnete.
Nach einigen Monaten der Beschäftigung geriet Jack am Telefon in einen Streit mit einem Patienten. Aus Wut postete er später den Namen und die Herddaten des Patienten zusammen mit abfälligen Kommentaren auf einer Social-Media-Website. Als dies von seinen Pharmakovigilanz-Vorgesetzten entdeckt wurde. Jack wurde sofort entlassen. Jacks Anwalt schickte ein Schreiben an das Unternehmen, in dem er erklärte, dass die Entlassung eine unverhältnismäßige Sanktion sei und dass seine Kanzlei keine andere Wahl hätte, als gerichtlich gegen das Unternehmen vorzugehen, wenn Jack nicht innerhalb von 14 Tagen wieder eingestellt würde. Diesem Schreiben war ein Antrag auf Datenzugang von Jack beigefügt, in dem er um eine Kopie "aller personenbezogenen Daten, einschließlich interner E-Mails, die von Jack gesendet/empfangen wurden oder deren Inhalt Jack direkt oder indirekt identifizierbar macht" bat. In Bezug auf die E-Mails nannte Jack sechs Mitglieder des Managementteams, auf deren Posteingänge er Zugriff begehrte.
Wie sollte das Unternehmen auf Jacks Antrag auf Vergessenwerden reagieren?

Q160. Was muss eine schriftliche Vereinbarung zwischen dem für die Verarbeitung Verantwortlichen und dem Auftragsverarbeiter in Bezug auf die Verarbeitung im Auftrag des für die Verarbeitung Verantwortlichen enthalten?

Q161. Wer außer der Europäischen Kommission kann Standardvertragsklauseln annehmen, sofern alle erforderlichen Bedingungen erfüllt sind?