Datenschutzrecht

Warum es Datenschutz überhaupt gibt

Das Datenschutzrecht soll dich – und jeden anderen Menschen – davor schützen, dass der Umgang mit deinen personenbezogenen Daten dein Persönlichkeitsrecht verletzt. Grundlage dafür ist das Recht auf informationelle Selbstbestimmung, das das Bundesverfassungsgericht aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 Grundgesetz ableitet; die DS-GVO schützt nach ihrem Art. 1 die Grundrechte natürlicher Personen und insbesondere ihr Recht auf Schutz personenbezogener Daten: Jeder soll grundsätzlich selbst bestimmen können, wer was über ihn weiß und weitergibt.

Ein klassisches Beispiel für einen Verstoß: Ein Hausarzt behandelt einen Arbeitnehmer und gibt – ohne dass der Patient davon weiß – Informationen über dessen Gesundheitszustand an den Arbeitgeber weiter. Genau das soll das Datenschutzrecht verhindern.

Wichtig für dich: Geschützt werden natürliche Personen, also Menschen – Angaben über eine Firma als solche (juristische Person) fallen nicht unter die DS-GVO, wohl aber die Daten ihrer Mitarbeiter und Ansprechpartner. Zur Einhaltung der Vorschriften sind sowohl „öffentliche Stellen“ (Behörden, Gerichte, Ämter) als auch „nicht-öffentliche Stellen“ verpflichtet – Letztere umfassen ausdrücklich auch Sicherheitsunternehmen und deren Kunden. Als angehende Fachkraft für Schutz und Sicherheit bist du also mittendrin: Vom Besucherbuch am Empfang über die Kamera am Eingang bis zur Personalakte deines Arbeitgebers – überall dort, wo du mit Angaben zu konkreten Menschen zu tun hast, greift dieses Kapitel.

Diese Verzahnung mit dem Grundgesetz erklärt auch, warum das Sachgebiet trotz seines geringen Anteils an der schriftlichen Prüfung so ernst genommen wird: Ein Verstoß gegen Datenschutzvorgaben ist letztlich immer auch ein Eingriff in ein grundrechtlich geschütztes Interesse einer konkreten Person – deshalb lohnt es sich, die Regeln an Alltagsbeispielen aus deinem eigenen Dienst zu üben.

Die Rechtsquellen: DS-GVO und BDSG

Seit der Neufassung zum 25. Mai 2018 ist das für die Prüfung relevante Datenschutzrecht vor allem in zwei Vorschriften geregelt: der Datenschutz-Grundverordnung (DS-GVO) und dem Bundesdatenschutzgesetz (BDSG). Das BDSG ergänzt dabei an einigen Stellen die Regelungen der DS-GVO, verdrängt sie aber nicht. Daneben gibt es noch Datenschutzgesetze der einzelnen Bundesländer – die spielen in der Sachkundeprüfung aber keine Rolle.

Speziell für die Bewachungsbranche kommt noch eine weitere Vorschrift dazu, die in der Prüfung auftauchen kann: § 17 Abs. 3 der Bewachungsverordnung (BewachV). Danach muss dein Arbeitgeber dich schriftlich verpflichten, Geschäfts- und Betriebsgeheimnisse Dritter, die du im Dienst erfährst, auch nach deinem Ausscheiden nicht unbefugt zu offenbaren. Das ist streng genommen Geheimnisschutz, kein Datenschutz – beides verlangt aber denselben verschwiegenen Umgang mit dem, was du bei Kunden mitbekommst.

Zur Einordnung: Datenschutz macht in der schriftlichen Prüfung nach der aktuellen bundesweiten IHK-Gewichtung 5 von 82 Fragen bzw. 8 von 120 Punkten aus, du solltest das Thema also nicht überbewerten. Vernachlässigen solltest du es trotzdem nicht: Die Prüfung soll sich nach § 9 Abs. 2 BewachV auf jedes Sachgebiet erstrecken, auch mündlich kann Datenschutz also drankommen – selbst wenn § 11 BewachV den Akzent dort auf Recht der öffentlichen Sicherheit einschließlich Gewerberecht und auf Umgang mit Menschen legt.

Für die Prüfung hilft es, sich die Aufgabenteilung klarzumachen: Die DS-GVO gilt unmittelbar in allen EU-Mitgliedstaaten und regelt das Datenschutzrecht umfassend und einheitlich. Das BDSG konkretisiert einzelne Punkte speziell für Deutschland, etwa die Schwelle für die Pflicht zur Benennung eines Datenschutzbeauftragten (§ 38 BDSG). Die Videoüberwachungsregel des § 4 BDSG gilt nach der Rechtsprechung des Bundesverwaltungsgerichts dagegen nicht für private Unternehmen – für sie richtet sich Videoüberwachung nach Art. 6 Abs. 1 Buchst. f DS-GVO. Beide Vorschriften musst du also gemeinsam im Blick behalten, nicht als Alternative zueinander.

Zentrale Begriffe: Personenbezogene Daten und Verarbeitung

Art. 4 DS-GVO liefert die wichtigsten Definitionen, die du kennen musst. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – die sogenannte betroffene Person. Dazu zählen klassische Angaben wie Name, Vorname, Geburtsname, Geburtsdatum und Geburtsort, aber auch Krankendaten sowie Angaben zur physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität einer Person.

Ein Dateisystem ist jede strukturierte Sammlung personenbezogener Daten – das können auch nicht automatisiert, also handschriftlich geführte Akten und Wachbücher sein, sofern sie nach bestimmten Kriterien geordnet sind – nicht nur digitale Datenbanken. Verarbeitung meint jeden Vorgang im Zusammenhang mit personenbezogenen Daten – egal ob mit oder ohne automatisierte Verfahren. Darunter fallen zum Beispiel das Erheben, Ordnen, Speichern, Verändern, Auslesen, Abfragen, Verwenden, das Offenlegen durch Übermittlung, die Verbreitung oder das Löschen von Daten.

Ein paar Beispiele machen das greifbar: Speichern ist etwa das Archivieren von Daten auf einer Festplatte, einem USB-Stick, einer CD oder in einer Cloud. Verändern ist zum Beispiel das Anpassen einer Adresse nach einem Umzug. Übermitteln ist die Weitergabe von Daten an einen Dritten, und Löschen ist die Vernichtung der Daten. Für die Prüfung wichtig: Auch das bloße Ansehen oder Abfragen bereits gespeicherter Daten ist schon eine Verarbeitung – du musst dafür nichts verändern oder weitergeben.

Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare natürliche Person – vom Namen bis zur Krankenakte. Dieser Grundbegriff trägt das ganze Thema.

Die Grundsätze der Datenverarbeitung

Art. 5 DS-GVO legt fest, wie personenbezogene Daten verarbeitet werden müssen: auf rechtmäßige Weise, für festgelegte, eindeutige und legitime Zwecke erhoben, sachlich richtig und nötigenfalls auf dem neuesten Stand, sowie auf das notwendige Maß beschränkt und transparent verarbeitet. Dahinter steckt der Gedanke, dass niemand mehr Daten sammeln oder länger aufbewahren darf, als für den jeweiligen Zweck tatsächlich nötig ist.

Ergänzend muss gewährleistet sein, dass Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist (Speicherbegrenzung), dass sie ausreichend vor unbefugtem Zugriff geschützt sind (Integrität und Vertraulichkeit) und dass der Verantwortliche die Einhaltung all dieser Punkte auch nachweisen kann (Rechenschaftspflicht).

Eine Sonderrolle spielen besonders sensible Daten: Nach Art. 9 DS-GVO dürfen Angaben etwa zu rassischer und ethnischer Herkunft, politischen Meinungen, Religion, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben sowie genetische und zur Identifizierung genutzte biometrische Daten grundsätzlich nicht verarbeitet werden – diese sogenannten besonderen Kategorien personenbezogener Daten genießen einen deutlich strengeren Schutz als „gewöhnliche“ personenbezogene Daten wie Name oder Adresse. Für dich im Wachalltag heißt das: Notierst du dir zufällig erlangte Informationen über die Gesundheit, Religion oder ethnische Herkunft eines Besuchers, bewegst du dich in einem besonders sensiblen Bereich, der grundsätzlich tabu ist.

Merke dir die Systematik: Art. 5 DS-GVO ist die allgemeine Grundregel für jede Verarbeitung, Art. 9 DS-GVO verschärft diese Regel zusätzlich für eine eng begrenzte Gruppe besonders schutzwürdiger Datenarten. In der Prüfung wird gern getestet, ob du erkennst, wann eine Angabe – etwa der bloße Name eines Besuchers gegenüber seinem Implantat-Ausweis, der einen Herzschrittmacher belegt – der einen oder der anderen Kategorie zuzuordnen ist.

Rechtmäßigkeit der Verarbeitung (Art. 6 DS-GVO)

Damit eine Verarbeitung überhaupt rechtmäßig ist, muss nach Art. 6 DS-GVO mindestens eine bestimmte Voraussetzung erfüllt sein – etwa dass die betroffene Person eingewilligt hat, dass die Verarbeitung zur Erfüllung eines Vertrags erforderlich ist, dessen Partei die betroffene Person ist, oder dass sie dem Schutz lebenswichtiger Interessen der betroffenen Person dient. Weitere Rechtmäßigkeitsgründe sind die Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen, die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt sowie berechtigte Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen der betroffenen Person überwiegen.

Für dich im Sicherheitsdienst ist besonders das „berechtigte Interesse“ relevant: Die Videoüberwachung eines Empfangsbereichs zur Verhinderung von Straftaten stützt sich in aller Regel genau auf diese Rechtsgrundlage, nicht auf eine ausdrückliche Einwilligung jedes einzelnen Besuchers – eine solche wäre in der Praxis auch gar nicht einholbar.

Wichtig für die Prüfung: Es reicht, wenn EINE der in Art. 6 DS-GVO genannten Voraussetzungen erfüllt ist – sie müssen nicht alle gleichzeitig vorliegen. Fehlt aber jede dieser Voraussetzungen, ist die Verarbeitung unrechtmäßig, egal wie gut gemeint sie war.

In der Praxis lohnt es sich, für jede Verarbeitung in deinem Betrieb kurz zu überlegen, welcher der Gründe konkret einschlägig ist. Bei der Personalakte deines Arbeitgebers ist es meist die Vertragserfüllung, bei der Weitergabe von Ermittlungsdaten an die Polizei häufig eine rechtliche Verpflichtung, und bei der Videoüberwachung zur Diebstahlprävention regelmäßig ein berechtigtes Interesse. Kannst du diesen Grund nicht klar benennen, ist das ein Warnsignal, dass die Verarbeitung möglicherweise unrechtmäßig ist.

Ohne eine der Rechtmäßigkeitsgrundlagen aus Art. 6 DS-GVO – zum Beispiel Einwilligung, Vertragserfüllung oder berechtigtes Interesse – darfst du personenbezogene Daten nicht verarbeiten, auch nicht „nur kurz“.

Rechte der Betroffenen und Informationspflicht bei der Erhebung

Der Betroffene selbst ist datenschutzrechtlich nicht machtlos: Nach Art. 15 DS-GVO hat er das Recht, Auskunft über seine Daten zu verlangen – unter anderem darüber, welche Daten zu seiner Person verarbeitet werden, zu welchem Zweck, an welche Empfänger sie gehen, wie lange sie gespeichert werden und woher sie stammen. Art. 12 DS-GVO regelt dazu das Verfahren: Die Auskunft ist unverzüglich, spätestens innerhalb eines Monats zu erteilen – schriftlich, elektronisch oder auf Wunsch auch mündlich. Aus Art. 17 DS-GVO ergibt sich außerdem ein besonders wichtiges Recht: das Recht auf Löschung der personenbezogenen Daten, etwa wenn diese nicht mehr benötigt werden oder ihre Verarbeitung von Anfang an unrechtmäßig war. Weitere Rechte des Betroffenen findest du in den Art. 12 bis 22 DS-GVO, etwa das Recht auf Berichtigung unrichtiger Daten oder das Recht auf Einschränkung der Verarbeitung.

Schon bei der Erhebung der Daten gibt es Pflichten für den Verantwortlichen: Nach Art. 13 DS-GVO muss er dem Betroffenen bereits zum Zeitpunkt der Erhebung u. a. seinen Namen und seine Kontaktdaten, die Zwecke und die Rechtsgrundlage der Verarbeitung, die Empfänger und die Speicherdauer mitteilen. Werden Daten nicht beim Betroffenen selbst erhoben, gilt eine entsprechende Informationspflicht nach Art. 14 DS-GVO. Diese Informationspflicht greift also nicht erst nachträglich oder nur auf Nachfrage, sondern von Anfang an – ein Besucher, dessen Ausweisdaten am Empfang erfasst werden, muss grundsätzlich sofort erfahren, wofür diese Daten verwendet werden.

Für deinen Arbeitsalltag heißt das: Ein einfacher Hinweis am Empfangstresen oder auf dem Besucherformular – wer die Daten verarbeitet, wofür und wie lange – erfüllt bereits einen wesentlichen Teil dieser Informationspflicht. Verweigerst du einem Besucher später die Auskunft über seine eigenen Daten mit der Begründung, der Besuch liege schon zu lange zurück, ist das kein zulässiger Ablehnungsgrund – das Auskunftsrecht aus Art. 15 DS-GVO kennt keine solche Frist.

Technische und organisatorische Maßnahmen

Die Art. 24 und 32 DS-GVO verpflichten den Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu ergreifen, damit sichergestellt ist – und auch nachgewiesen werden kann –, dass die Verarbeitung tatsächlich gemäß der DS-GVO erfolgt. Gefordert ist ein „angemessenes Schutzniveau“, wobei insbesondere die Eintrittswahrscheinlichkeit und die Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen berücksichtigt werden müssen.

Das gilt nicht nur für das Unternehmen selbst: Vergibt ein Unternehmen die Datenverarbeitung an einen Dritten, den sogenannten Auftragsverarbeiter, muss sich auch dieser an die Vorgaben der DS-GVO halten. Die Verantwortung lässt sich also nicht einfach outsourcen – der ursprüngliche Verantwortliche bleibt in der Pflicht, seinen Auftragsverarbeiter sorgfältig auszuwählen und vertraglich zu binden.

Für dein Sicherheitsunternehmen bedeutet das ganz praktisch: Wird zum Beispiel die Auswertung von Videoaufnahmen an einen externen Dienstleister ausgelagert, bleibt euer Unternehmen als Verantwortlicher weiterhin dafür verantwortlich, dass dieser Dienstleister die DS-GVO genauso einhält, wie ihr es selbst tun müsstet.

Zu den technischen Maßnahmen zählen etwa Zugriffsbeschränkungen, Verschlüsselung und Protokollierung, zu den organisatorischen Maßnahmen Regelungen wie ein abschließbarer Wachraum für Aktenordner oder eine klare Zuständigkeit, wer welche Daten einsehen darf. Auch die Rechenschaftspflicht aus Art. 5 DS-GVO wird hier konkret: Ein Unternehmen muss nicht nur handeln, sondern im Zweifel auch belegen können, welche Maßnahmen es ergriffen hat.

Videoüberwachung im Sicherheitsalltag

Videokameras gehören für dich als Sicherheitsmitarbeiter zum Alltag – und genau deshalb ist dieses Thema besonders prüfungsrelevant. Für private Unternehmen richtet sich Videoüberwachung nach Art. 6 Abs. 1 Buchst. f DS-GVO: Sie ist zulässig, wenn sie zur Wahrung berechtigter Interessen – etwa des Hausrechts oder zur Verhinderung von Straftaten – für einen konkret festgelegten Zweck erforderlich ist und die schutzwürdigen Interessen der Gefilmten nicht überwiegen. Die Vorschrift des § 4 BDSG nennt ähnliche Voraussetzungen, gilt nach einem Urteil des Bundesverwaltungsgerichts von 2019 aber nicht für private Stellen; in Prüfungsunterlagen taucht sie trotzdem oft auf. Zusätzlich muss nach Art. 13 DS-GVO frühzeitig auf die Überwachung hingewiesen werden, etwa mit einem Schild, das Verantwortlichen und Zweck nennt, und die Aufnahmen sind zu löschen, sobald sie für den Zweck nicht mehr erforderlich sind – ein gutes Beispiel ist die Überwachung eines Geldautomaten im Foyer.

Anders sieht es aus, wenn ein echter öffentlicher Bereich erfasst werden soll, der nicht mehr zum eigenen Gelände gehört – etwa der Gehweg vor dem Betriebsgelände. Hier überwiegen fast immer die Interessen der Passanten: Die Datenschutzaufsichtsbehörden halten die Überwachung öffentlicher Straßen, Plätze und Gehwege durch Private nur in ganz seltenen Ausnahmefällen für zulässig. Eine Genehmigung, mit der sich ein Unternehmen eine solche Überwachung von der Aufsichtsbehörde erlauben lassen könnte, sieht das Datenschutzrecht nicht vor.

Ein weiterer Praxis-Klassiker: Eine Kamera, die zwar auf dem eigenen Gelände installiert ist, aber auch den angrenzenden öffentlichen Gehweg erfasst, kann trotzdem unzulässig sein – entscheidend ist nicht der Standort der Kamera, sondern welcher Bereich tatsächlich erfasst wird. Ein bloßer, nicht näher konkretisierter „Abschreckungsgedanke“ ohne festgelegten Zweck genügt außerdem nicht als Rechtfertigung – der Zweck muss konkret benennbar sein, etwa die Verhinderung von Sachbeschädigung an einem bestimmten Bereich.

Kamera auf dem eigenen Gelände: nur mit konkretem berechtigtem Zweck, ohne überwiegende Interessen der Gefilmten und mit Hinweisschild (Art. 6 Abs. 1 Buchst. f DS-GVO). Kamera auf den öffentlichen Gehweg: für Private fast immer unzulässig.

Meldepflicht bei Datenpannen und der Datenschutzbeauftragte

Wird der Schutz personenbezogener Daten verletzt – etwa durch einen Datenverlust oder unbefugten Zugriff –, muss der Verantwortliche das unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde melden (Art. 33 DS-GVO) – es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Diese kurze Frist zeigt, wie ernst der Gesetzgeber das Thema nimmt: Für dich als Mitarbeiter heißt das, einen Verlust – etwa eines USB-Sticks mit Besucherdaten – sofort an deine Objektleitung oder den Verantwortlichen im Unternehmen zu melden, damit die Frist überhaupt eingehalten werden kann.

Um Datenschutzverstöße im Betrieb von vornherein zu verhindern, sieht die DS-GVO in den Art. 37 bis 39 den Datenschutzbeauftragten vor. Benannt werden muss er nach § 38 Abs. 1 BDSG, wenn in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – und unabhängig davon nach Art. 37 Abs. 1 DS-GVO, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht. Benannt wird er aufgrund seiner beruflichen Qualifikation, insbesondere seines Fachwissens – er muss dabei nicht einmal Mitarbeiter des Unternehmens sein, auch ein Externer ist möglich. Zu seinen Aufgaben zählen laut Art. 39 DS-GVO unter anderem die Beratung des Verantwortlichen und die Zusammenarbeit mit der Aufsichtsbehörde. Er hat dabei selbst keine hoheitlichen Rechte gegenüber den Mitarbeitern, sondern eine beratende und überwachende Funktion.

Für die Prüfung lohnt es sich, die beiden Fristen und Schwellenwerte klar auseinanderzuhalten: Die 72-Stunden-Frist betrifft die Meldung einer bereits eingetretenen Datenschutzverletzung, der Schwellenwert von 20 Personen betrifft dagegen die grundsätzlich vorbeugende Organisation des Datenschutzes im Unternehmen. Beide Regelungen verfolgen denselben Zweck – Datenschutzverstöße zu vermeiden bzw. schnell zu begrenzen –, setzen aber an unterschiedlichen Punkten an.

Eine Datenschutzverletzung ist unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden – ab in der Regel 20 ständig mit automatisierter Datenverarbeitung beschäftigten Personen ist außerdem ein Datenschutzbeauftragter Pflicht.

Verstöße und Sanktionen

Was passiert bei Verstößen gegen den Datenschutz? Im Strafgesetzbuch sind unter anderem die Verletzung der Vertraulichkeit des Wortes (§ 201 StGB), die Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen (§ 201a StGB), die Verletzung des Briefgeheimnisses (§ 202 StGB) und das Ausspähen von Daten (§ 202a StGB) geregelt. Diese Vorschriften greifen zum Beispiel, wenn heimlich in sensiblen Bereichen wie Umkleideräumen gefilmt oder unbefugt auf fremde Datenbestände zugegriffen wird.

Zusätzlich gewährt Art. 82 DS-GVO jedem, dem durch einen Verstoß ein Schaden entstanden ist, einen Schadensersatzanspruch gegen den Verantwortlichen oder den Auftragsverarbeiter. Nach Art. 83 DS-GVO drohen außerdem Bußgelder, die bei Unternehmen bis zu 20.000.000 Euro oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs betragen können – je nachdem, welcher Betrag höher ist. Weitere Straf- und Bußgeldvorschriften findest du in den §§ 42 und 43 BDSG.

Für dich als Sicherheitsmitarbeiter heißt das: Ein datenschutzrechtlicher Verstoß ist nie „nur“ ein Kavaliersdelikt. Je nach Schwere drohen zivilrechtliche Schadensersatzansprüche, empfindliche Bußgelder gegen das Unternehmen und in besonders gravierenden Fällen sogar strafrechtliche Konsequenzen für dich persönlich.

Wichtig ist, dass diese drei Ebenen – strafrechtlich, zivilrechtlich und aufsichtsrechtlich – unabhängig nebeneinander bestehen können, ganz ähnlich wie du es schon aus dem Kapitel zum Recht der öffentlichen Sicherheit und Ordnung kennst: Ein einziger Vorfall, etwa eine heimliche Kameraaufnahme im Umkleideraum, kann gleichzeitig eine Straftat nach § 201a StGB, einen Schadensersatzanspruch nach Art. 82 DS-GVO und ein Bußgeldverfahren nach Art. 83 DS-GVO auslösen.

Datenschutzverstöße können gleichzeitig strafrechtliche (§§ 201 ff. StGB), zivilrechtliche (Art. 82 DS-GVO) und aufsichtsrechtliche (Art. 83 DS-GVO, Bußgeld) Folgen haben.