Datenschutzrecht

Warum es Datenschutz überhaupt gibt

Das Datenschutzrecht soll dich – und jeden anderen Menschen – davor schützen, dass der Umgang mit deinen personenbezogenen Daten dein Persönlichkeitsrecht verletzt. Grundlage dafür ist das Recht auf informationelle Selbstbestimmung, das sich aus Art. 2 Abs. 1 Grundgesetz (freie Entfaltung der Persönlichkeit) in Verbindung mit Art. 1 DS-GVO ergibt: Jeder soll grundsätzlich selbst bestimmen können, wer was über ihn weiß und weitergibt.

Ein klassisches Beispiel für einen Verstoß: Ein Hausarzt behandelt einen Arbeitnehmer und gibt – ohne dass der Patient davon weiß – Informationen über dessen Gesundheitszustand an den Arbeitgeber weiter. Genau das soll das Datenschutzrecht verhindern.

Wichtig für dich: Der Schutz gilt nicht nur für einzelne Bürger (natürliche Personen), sondern auch für Firmen und Vereinigungen (juristische Personen). Zur Einhaltung der Vorschriften sind sowohl „öffentliche Stellen“ (Behörden, Gerichte, Ämter) als auch „nicht-öffentliche Stellen“ verpflichtet – Letztere umfassen ausdrücklich auch Sicherheitsunternehmen und deren Kunden. Als angehende Fachkraft für Schutz und Sicherheit bist du also mittendrin: Vom Besucherbuch am Empfang über die Kamera am Eingang bis zur Personalakte deines Arbeitgebers – überall dort, wo du mit Angaben zu konkreten Menschen zu tun hast, greift dieses Kapitel.

Diese Verzahnung mit dem Grundgesetz erklärt auch, warum das Sachgebiet trotz seines geringen Anteils an der schriftlichen Prüfung so ernst genommen wird: Ein Verstoß gegen Datenschutzvorgaben ist letztlich immer auch ein Eingriff in ein grundrechtlich geschütztes Interesse einer konkreten Person – und genau das prüft dich die mündliche Prüfung besonders gern anhand von Alltagsbeispielen aus deinem eigenen Dienst.

Die Rechtsquellen: DS-GVO und BDSG

Seit der Neufassung zum 25. Mai 2018 ist das für die Prüfung relevante Datenschutzrecht vor allem in zwei Vorschriften geregelt: der Datenschutz-Grundverordnung (DS-GVO) und dem Bundesdatenschutzgesetz (BDSG). Das BDSG ergänzt dabei an einigen Stellen die Regelungen der DS-GVO, verdrängt sie aber nicht. Daneben gibt es noch Datenschutzgesetze der einzelnen Bundesländer – die spielen in der Sachkundeprüfung aber keine Rolle.

Speziell für die Bewachungsbranche kommt noch eine weitere Vorschrift dazu, die in der Prüfung auftauchen kann: § 17 Abs. 3 der Bewachungsverordnung (BewachV). Er ergänzt die allgemeinen Datenschutzvorgaben um branchenspezifische Pflichten und zeigt, dass Datenschutz im Sicherheitsgewerbe kein Fremdkörper, sondern fest im eigenen Berufsrecht verankert ist.

Zur Einordnung: Datenschutz macht in der schriftlichen Prüfung nach der aktuellen bundesweiten IHK-Gewichtung 5 von 82 Fragen bzw. 8 von 120 Punkten aus, du solltest das Thema also nicht überbewerten. Vernachlässigen solltest du es trotzdem nicht, denn mündlich zählt Datenschutz nach § 11 i. V. m. § 7 Nr. 1 und 6 BewachV zu den Schwerpunktthemen – gemeinsam mit Recht der öffentlichen Sicherheit und Ordnung, Gewerberecht und Umgang mit Menschen.

Für die Prüfung hilft es, sich die Aufgabenteilung klarzumachen: Die DS-GVO gilt unmittelbar in allen EU-Mitgliedstaaten und regelt das Datenschutzrecht umfassend und einheitlich. Das BDSG konkretisiert einzelne Punkte speziell für Deutschland, etwa die Schwelle für die Pflicht zur Bestellung eines Datenschutzbeauftragten oder die Voraussetzungen der Videoüberwachung nach § 4 BDSG. Beide Vorschriften musst du also gemeinsam im Blick behalten, nicht als Alternative zueinander.

Zentrale Begriffe: Personenbezogene Daten und Verarbeitung

Art. 4 DS-GVO liefert die wichtigsten Definitionen, die du kennen musst. Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person – dem sogenannten Betroffenen. Dazu zählen klassische Angaben wie Name, Vorname, Geburtsname, Geburtsdatum und Geburtsort, aber auch Krankendaten sowie Angaben zur physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität einer Person.

Ein Dateisystem ist jede strukturierte Sammlung personenbezogener Daten – das schließt ausdrücklich auch nicht automatisierte, also handschriftlich geführte Akten und Wachbücher mit ein, nicht nur digitale Datenbanken. Verarbeitung meint jeden Vorgang im Zusammenhang mit personenbezogenen Daten – egal ob mit oder ohne automatisierte Verfahren. Darunter fallen zum Beispiel das Erheben, Ordnen, Speichern, Verändern, Auslesen, Abfragen, Verwenden, das Offenlegen durch Übermittlung, die Verbreitung oder das Löschen von Daten.

Ein paar Beispiele machen das greifbar: Speichern ist etwa das Archivieren von Daten auf einer Festplatte, einem USB-Stick, einer CD oder in einer Cloud. Verändern ist zum Beispiel das Anpassen einer Adresse nach einem Umzug. Übermitteln ist die Weitergabe von Daten an einen Dritten, und Löschen ist die Vernichtung der Daten. Für die Prüfung wichtig: Auch das bloße Ansehen oder Abfragen bereits gespeicherter Daten ist schon eine Verarbeitung – du musst dafür nichts verändern oder weitergeben.

Personenbezogene Daten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen – vom Namen bis zur Krankenakte. Dieser Grundbegriff trägt das ganze Thema.

Die Grundsätze der Datenverarbeitung

Art. 5 DS-GVO legt fest, wie personenbezogene Daten verarbeitet werden müssen: auf rechtmäßige Weise, für festgelegte, eindeutige und legitime Zwecke erhoben, sachlich richtig und nötigenfalls auf dem neuesten Stand, sowie auf das notwendige Maß beschränkt und transparent verarbeitet. Dahinter steckt der Gedanke, dass niemand mehr Daten sammeln oder länger aufbewahren darf, als für den jeweiligen Zweck tatsächlich nötig ist.

Ergänzend muss gewährleistet sein, dass Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist (Speicherbegrenzung), dass sie ausreichend vor unbefugtem Zugriff geschützt sind (Integrität und Vertraulichkeit) und dass der Verantwortliche die Einhaltung all dieser Punkte auch nachweisen kann (Rechenschaftspflicht).

Eine Sonderrolle spielen besonders sensible Daten: Nach Art. 9 DS-GVO dürfen Angaben zu rassischer und ethnischer Herkunft, Religion oder Gewerkschaftszugehörigkeit grundsätzlich gar nicht verarbeitet werden – diese sogenannten besonderen Kategorien personenbezogener Daten genießen einen deutlich strengeren Schutz als „gewöhnliche“ personenbezogene Daten wie Name oder Adresse. Für dich im Wachalltag heißt das: Notierst du dir zufällig erlangte Informationen über die Gesundheit, Religion oder ethnische Herkunft eines Besuchers, bewegst du dich in einem besonders sensiblen Bereich, der grundsätzlich tabu ist.

Merke dir die Systematik: Art. 5 DS-GVO ist die allgemeine Grundregel für jede Verarbeitung, Art. 9 DS-GVO verschärft diese Regel zusätzlich für eine eng begrenzte Gruppe besonders schutzwürdiger Datenarten. In der Prüfung wird gern getestet, ob du erkennst, wann eine Angabe – etwa der bloße Name eines Besuchers gegenüber der Diagnose auf seinem Schwerbehindertenausweis – der einen oder der anderen Kategorie zuzuordnen ist.

Rechtmäßigkeit der Verarbeitung (Art. 6 DS-GVO)

Damit eine Verarbeitung überhaupt rechtmäßig ist, muss nach Art. 6 DS-GVO mindestens eine bestimmte Voraussetzung erfüllt sein – etwa dass die betroffene Person eingewilligt hat, dass die Verarbeitung zur Erfüllung eines Vertrags erforderlich ist, dessen Partei die betroffene Person ist, oder dass sie dem Schutz lebenswichtiger Interessen der betroffenen Person dient. Weitere Rechtmäßigkeitsgründe sind unter anderem die Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen sowie ein überwiegendes berechtigtes Interesse des Verantwortlichen oder eines Dritten.

Diese Voraussetzungen können durch Rechtsvorschriften weiter eingeschränkt werden (Art. 23 DS-GVO). Für dich im Sicherheitsdienst ist besonders das „berechtigte Interesse“ relevant: Die Videoüberwachung eines Empfangsbereichs zur Verhinderung von Straftaten stützt sich in aller Regel genau auf diese Rechtsgrundlage, nicht auf eine ausdrückliche Einwilligung jedes einzelnen Besuchers – eine solche wäre in der Praxis auch gar nicht einholbar.

Wichtig für die Prüfung: Es reicht, wenn EINE der in Art. 6 DS-GVO genannten Voraussetzungen erfüllt ist – sie müssen nicht alle gleichzeitig vorliegen. Fehlt aber jede dieser Voraussetzungen, ist die Verarbeitung unrechtmäßig, egal wie gut gemeint sie war.

In der Praxis lohnt es sich, für jede Verarbeitung in deinem Betrieb kurz zu überlegen, welcher der Gründe konkret einschlägig ist. Bei der Personalakte deines Arbeitgebers ist es meist die Vertragserfüllung, bei der Weitergabe von Ermittlungsdaten an die Polizei häufig eine rechtliche Verpflichtung, und bei der Videoüberwachung zur Diebstahlprävention regelmäßig ein berechtigtes Interesse. Kannst du diesen Grund nicht klar benennen, ist das ein Warnsignal, dass die Verarbeitung möglicherweise unrechtmäßig ist.

Ohne eine der Rechtmäßigkeitsgrundlagen aus Art. 6 DS-GVO – zum Beispiel Einwilligung, Vertragserfüllung oder berechtigtes Interesse – darfst du personenbezogene Daten nicht verarbeiten, auch nicht „nur kurz“.

Rechte der Betroffenen und Informationspflicht bei der Erhebung

Der Betroffene selbst ist datenschutzrechtlich nicht machtlos: Nach Art. 12 DS-GVO hat er das Recht, schriftlich Auskunft über seine gespeicherten Daten zu verlangen – darüber, welche Daten zu seiner Person gespeichert sind, woher sie stammen, zu welchem Zweck sie gespeichert werden und ob sie an Dritte weitergegeben wurden. Aus Art. 17 DS-GVO ergibt sich außerdem ein besonders wichtiges Recht: das Recht auf Löschung der personenbezogenen Daten, etwa wenn diese nicht mehr benötigt werden oder ihre Verarbeitung von Anfang an unrechtmäßig war. Weitere Rechte des Betroffenen findest du in den Art. 12 bis 22 DS-GVO, etwa das Recht auf Berichtigung unrichtiger Daten oder das Recht auf Einschränkung der Verarbeitung.

Schon bei der Erhebung der Daten gibt es Pflichten für den Verantwortlichen: Nach Art. 13 DS-GVO muss er dem Betroffenen bereits zum Zeitpunkt der Erhebung u. a. den Zweck, die Art der Verarbeitung und Nutzung sowie seinen Namen und seine Kontaktdaten mitteilen. Diese Informationspflicht greift also nicht erst nachträglich oder nur auf Nachfrage, sondern von Anfang an – ein Besucher, dessen Ausweisdaten am Empfang erfasst werden, muss grundsätzlich sofort erfahren, wofür diese Daten verwendet werden.

Für deinen Arbeitsalltag heißt das: Ein einfacher Hinweis am Empfangstresen oder auf dem Besucherformular – wer die Daten verarbeitet, wofür und wie lange – erfüllt bereits einen wesentlichen Teil dieser Informationspflicht. Verweigerst du einem Besucher später die Auskunft über seine eigenen Daten mit der Begründung, der Besuch liege schon zu lange zurück, ist das kein zulässiger Ablehnungsgrund – das Auskunftsrecht aus Art. 12 DS-GVO kennt keine solche Frist.

Technische und organisatorische Maßnahmen

Die Art. 24 und 32 DS-GVO verpflichten den Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu ergreifen, damit sichergestellt ist – und auch nachgewiesen werden kann –, dass die Verarbeitung tatsächlich gemäß der DS-GVO erfolgt. Gefordert ist ein „angemessenes Schutzniveau“, wobei insbesondere die Eintrittswahrscheinlichkeit und die Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen berücksichtigt werden müssen.

Das gilt nicht nur für das Unternehmen selbst: Vergibt ein Unternehmen die Datenverarbeitung an einen Dritten, den sogenannten Auftragsverarbeiter, muss sich auch dieser an die Vorgaben der DS-GVO halten. Die Verantwortung lässt sich also nicht einfach outsourcen – der ursprüngliche Verantwortliche bleibt in der Pflicht, seinen Auftragsverarbeiter sorgfältig auszuwählen und vertraglich zu binden.

Für dein Sicherheitsunternehmen bedeutet das ganz praktisch: Wird zum Beispiel die Auswertung von Videoaufnahmen an einen externen Dienstleister ausgelagert, bleibt euer Unternehmen als Verantwortlicher weiterhin dafür verantwortlich, dass dieser Dienstleister die DS-GVO genauso einhält, wie ihr es selbst tun müsstet.

Zu den technischen Maßnahmen zählen etwa Zugriffsbeschränkungen, Verschlüsselung und Protokollierung, zu den organisatorischen Maßnahmen Regelungen wie ein abschließbarer Wachraum für Aktenordner oder eine klare Zuständigkeit, wer welche Daten einsehen darf. Auch die Rechenschaftspflicht aus Art. 5 DS-GVO wird hier konkret: Ein Unternehmen muss nicht nur handeln, sondern im Zweifel auch belegen können, welche Maßnahmen es ergriffen hat.

Videoüberwachung im Sicherheitsalltag

Videokameras gehören für dich als Sicherheitsmitarbeiter zum Alltag – und genau deshalb ist dieses Thema besonders prüfungsrelevant. Auf öffentlich zugänglichem Privatgelände ist Videoüberwachung nach § 4 BDSG (i.V.m. Art. 32 ff. DS-GVO) grundsätzlich zulässig, aber nur unter drei Bedingungen: Sie muss zur Wahrnehmung des Hausrechts oder berechtigter Interessen für konkret festgelegte Zwecke erforderlich sein (zum Beispiel zur Verhinderung von Straftaten), schutzwürdige Interessen der Betroffenen dürfen nicht überwiegen, und auf die Kameras muss ausreichend hingewiesen werden. Zusätzlich müssen die gewonnenen Daten unverzüglich gelöscht werden, sobald der Zweck erreicht ist oder ein schutzwürdiges Interesse des Betroffenen einer weiteren Speicherung entgegensteht – ein gutes Beispiel dafür ist die Überwachung eines Geldautomaten.

Anders sieht es aus, wenn ein echter öffentlicher Bereich überwacht werden soll, der nicht mehr zum eigenen Gelände gehört – etwa der öffentliche Gehweg vor dem Betriebsgelände. So eine Überwachung durch Private ist nur in Ausnahmefällen erlaubt und braucht zusätzlich die Zustimmung der zuständigen Aufsichtsbehörde. Die Grundstücksgrenze ist damit die entscheidende Trennlinie: Innerhalb davon reicht grundsätzlich die Erfüllung der drei Voraussetzungen, außerhalb davon ist eine behördliche Zustimmung nötig.

Ein weiterer Praxis-Klassiker: Eine Kamera, die zwar auf dem eigenen Gelände installiert ist, aber zufällig auch den angrenzenden öffentlichen Gehweg mit erfasst, kann trotzdem unzulässig sein – entscheidend ist nicht der Standort der Kamera, sondern welcher Bereich tatsächlich erfasst wird. Ein bloßer, nicht näher konkretisierter „Abschreckungsgedanke“ ohne festgelegten Zweck genügt außerdem nicht als Rechtfertigung – der Zweck muss konkret benennbar sein, etwa die Verhinderung von Sachbeschädigung an einem bestimmten Bereich.

Kamera auf dem eigenen Gelände: mit Hinweis grundsätzlich erlaubt. Kamera auf dem öffentlichen Gehweg davor: nur in Ausnahmefällen und nur mit Zustimmung der Aufsichtsbehörde.

Meldepflicht bei Datenpannen und der Datenschutzbeauftragte

Wird der Schutz personenbezogener Daten verletzt – etwa durch einen Datenverlust oder unbefugten Zugriff –, muss der Verantwortliche das grundsätzlich innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden (Art. 33 DS-GVO). Diese kurze Frist zeigt, wie ernst der Gesetzgeber das Thema nimmt: Für dich als Mitarbeiter heißt das, einen Verlust – etwa eines USB-Sticks mit Besucherdaten – sofort an deine Objektleitung oder den Verantwortlichen im Unternehmen zu melden, damit die Frist überhaupt eingehalten werden kann.

Um Datenschutzverstöße im Betrieb von vornherein zu verhindern, sieht die DS-GVO in den Art. 37 bis 39 den Datenschutzbeauftragten vor. Bestellt werden muss er immer dann, wenn mindestens zwanzig Personen im Unternehmen ständig mit der Datenverarbeitung beschäftigt sind (Art. 37 Abs. 4 DS-GVO i.V.m. § 38 Abs. 1 BDSG). Benannt wird er aufgrund seiner beruflichen Qualifikation, insbesondere seines Fachwissens – er muss dabei nicht einmal Mitarbeiter des Unternehmens sein, auch ein Externer ist möglich. Zu seinen Aufgaben zählen laut Art. 39 DS-GVO unter anderem die Beratung des Verantwortlichen und die Zusammenarbeit mit der Aufsichtsbehörde. Er hat dabei selbst keine hoheitlichen Rechte gegenüber den Mitarbeitern, sondern eine beratende und überwachende Funktion.

Für die Prüfung lohnt es sich, die beiden Fristen und Schwellenwerte klar auseinanderzuhalten: Die 72-Stunden-Frist betrifft die Meldung einer bereits eingetretenen Datenschutzverletzung, der Schwellenwert von 20 Personen betrifft dagegen die grundsätzlich vorbeugende Organisation des Datenschutzes im Unternehmen. Beide Regelungen verfolgen denselben Zweck – Datenschutzverstöße zu vermeiden bzw. schnell zu begrenzen –, setzen aber an unterschiedlichen Punkten an.

Eine Datenschutzverletzung muss grundsätzlich innerhalb von 72 Stunden gemeldet werden – ab 20 ständig mit Datenverarbeitung beschäftigten Personen ist außerdem ein Datenschutzbeauftragter Pflicht.

Verstöße und Sanktionen

Was passiert bei Verstößen gegen den Datenschutz? Im Strafgesetzbuch sind unter anderem die Verletzung der Vertraulichkeit des Wortes (§ 201 StGB), die Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen (§ 201a StGB), die Verletzung des Briefgeheimnisses (§ 202 StGB) und das Ausspähen von Daten (§ 202a StGB) geregelt. Diese Vorschriften greifen zum Beispiel, wenn heimlich in sensiblen Bereichen wie Umkleideräumen gefilmt oder unbefugt auf fremde Datenbestände zugegriffen wird.

Zusätzlich gewährt Art. 82 DS-GVO jedem, dem durch einen Verstoß ein Schaden entstanden ist, einen Schadensersatzanspruch gegen den Verantwortlichen oder den Auftragsverarbeiter. Nach Art. 83 DS-GVO drohen außerdem Bußgelder, die bei Unternehmen bis zu 20.000.000 Euro oder 4 % des vorangegangenen Jahresumsatzes betragen können – je nachdem, welcher Betrag höher ist. Weitere Straf- und Bußgeldvorschriften findest du in den §§ 42 und 43 BDSG.

Für dich als Sicherheitsmitarbeiter heißt das: Ein datenschutzrechtlicher Verstoß ist nie „nur“ ein Kavaliersdelikt. Je nach Schwere drohen zivilrechtliche Schadensersatzansprüche, empfindliche Bußgelder gegen das Unternehmen und in besonders gravierenden Fällen sogar strafrechtliche Konsequenzen für dich persönlich.

Wichtig ist, dass diese drei Ebenen – strafrechtlich, zivilrechtlich und aufsichtsrechtlich – unabhängig nebeneinander bestehen können, ganz ähnlich wie du es schon aus dem Kapitel zum Recht der öffentlichen Sicherheit und Ordnung kennst: Ein einziger Vorfall, etwa eine heimliche Kameraaufnahme im Umkleideraum, kann gleichzeitig eine Straftat nach § 201a StGB, einen Schadensersatzanspruch nach Art. 82 DS-GVO und ein Bußgeldverfahren nach Art. 83 DS-GVO auslösen.

Datenschutzverstöße können gleichzeitig strafrechtliche (§§ 201 ff. StGB), zivilrechtliche (Art. 82 DS-GVO) und aufsichtsrechtliche (Art. 83 DS-GVO, Bußgeld) Folgen haben.