Datenschutzrecht für die Sachkundeprüfung 34a

Im Sicherheitsdienst hast du ständig mit Daten zu tun. Du führst Wachbücher, dokumentierst Vorfälle, schaust Videoaufnahmen an oder notierst Personalien bei einem Hausverbot. All das fällt unter das Datenschutzrecht. Die 34a-Prüfung verlangt, dass du die Grundregeln aus der Datenschutz-Grundverordnung, kurz DSGVO, und dem Bundesdatenschutzgesetz, kurz BDSG, kennst und im Alltag richtig anwendest.

DSGVO und BDSG

Die DSGVO gilt seit dem 25. Mai 2018 unmittelbar in der gesamten Europäischen Union. Sie ist das zentrale Gesetz für den Schutz personenbezogener Daten. Das BDSG ergänzt sie in Deutschland dort, wo die DSGVO den Mitgliedstaaten eigene Regeln erlaubt, zum Beispiel bei der Pflicht, einen Datenschutzbeauftragten zu benennen. Die DSGVO geht vor. Wo beide etwas regeln und das BDSG keine Öffnung in der DSGVO hat, gilt die DSGVO. Wie das Zusammenspiel funktioniert, erklärt die Seite DSGVO und BDSG.

Personenbezogene Daten und Verarbeitung

Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören Name, Anschrift und Geburtsdatum, aber auch ein Kfz-Kennzeichen, eine Ausweisnummer, ein Foto oder eine Videoaufnahme, auf der jemand erkennbar ist. Besonders geschützt sind nach Art. 9 DSGVO Gesundheitsdaten, biometrische Daten zur Identifizierung, Angaben zur ethnischen Herkunft oder Religion. Notierst du im Wachbuch, dass sich ein Besucher verletzt hat, sind das Gesundheitsdaten. Mehr dazu unter personenbezogene Daten.

Verarbeitung ist nach Art. 4 Nr. 2 DSGVO fast jeder Umgang mit solchen Daten: erheben, erfassen, speichern, auslesen, verwenden, weitergeben, löschen. Schon das Notieren eines Namens im Wachbuch ist eine Verarbeitung, auch auf Papier, wenn die Notizen geordnet abgelegt werden.

Die Grundsätze nach Art. 5 DSGVO

Art. 5 DSGVO nennt die Grundsätze, an denen sich jede Verarbeitung messen lassen muss:

• Rechtmäßigkeit, Treu und Glauben, Transparenz: Es braucht eine Rechtsgrundlage, und die Betroffenen müssen nachvollziehen können, was mit ihren Daten passiert.
• Zweckbindung: Daten werden für festgelegte, eindeutige Zwecke erhoben und nicht für unvereinbare andere Zwecke weiterverwendet.
• Datenminimierung: nur so viele Daten wie für den Zweck nötig. Der alte Begriff dafür war Datensparsamkeit.
• Richtigkeit: Daten müssen sachlich stimmen und bei Bedarf berichtigt werden.
• Speicherbegrenzung: Daten werden gelöscht, sobald der Zweck erfüllt ist.
• Integrität und Vertraulichkeit: Schutz vor unbefugtem Zugriff, Verlust und Zerstörung.

Dazu kommt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO: Der Verantwortliche muss nachweisen können, dass er die Grundsätze einhält. Die Grundsätze im Einzelnen stehen unter Grundsätze der Verarbeitung nach Art. 5 DSGVO.

Rechtsgrundlagen nach Art. 6 DSGVO

Im Datenschutz gilt ein Verbot mit Erlaubnisvorbehalt. Jede Verarbeitung personenbezogener Daten ist nur erlaubt, wenn eine Rechtsgrundlage greift. Art. 6 Abs. 1 DSGVO nennt sechs:

1. lit. a Einwilligung der betroffenen Person. Sie muss freiwillig sein und kann jederzeit für die Zukunft widerrufen werden.
2. lit. b Vertrag: etwa die Daten eines Mitarbeiters, der einen Besucherausweis bekommt.
3. lit. c rechtliche Verpflichtung: etwa die Aufzeichnungspflichten nach der Bewachungsverordnung.
4. lit. d lebenswichtige Interessen: etwa die Weitergabe von Angaben an den Rettungsdienst im Notfall.
5. lit. e öffentliche Aufgabe: vor allem für Behörden.
6. lit. f berechtigte Interessen des Verantwortlichen, wenn die Interessen der Betroffenen nicht überwiegen, etwa eine Liste mit Hausverboten oder eine Videoüberwachung zum Schutz vor Diebstahl.

Für private Sicherheitsdienste ist lit. f die wichtigste Grundlage. Sie verlangt immer eine Abwägung im Einzelfall. Beispiele dazu findest du unter Rechtsgrundlagen nach Art. 6 DSGVO.

Videoüberwachung

Die Kameraüberwachung ist im Sicherheitsbereich Alltag und ein beliebtes Prüfungsthema. Für Unternehmen und Privatpersonen ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Der Betreiber braucht einen konkret festgelegten Zweck, etwa den Schutz vor Diebstahl oder Vandalismus. Die Kamera muss dafür erforderlich sein, und die Interessen der Gefilmten dürfen nicht überwiegen.

In vielen Lehrbüchern steht dazu Paragraf 4 BDSG. Er regelt die Beobachtung öffentlich zugänglicher Räume wie Verkaufsräume, Bahnhofshallen oder Parkhäuser und nennt dabei auch Hausrecht und berechtigte Interessen. Das Bundesverwaltungsgericht hat aber am 27. März 2019 (Az. 6 C 2.18) entschieden, dass Paragraf 4 Abs. 1 Satz 1 BDSG für private Verantwortliche keine Rechtsgrundlage ist, weil die DSGVO die Verarbeitung durch Private abschließend regelt. Die Aufsichtsbehörden folgen dem. Paragraf 4 BDSG betrifft deshalb vor allem öffentliche Stellen des Bundes. Seinen Inhalt solltest du trotzdem kennen, denn die Prüfpunkte Zweck, Erforderlichkeit, Abwägung, Erkennbarkeit und Löschung gelten auch nach der DSGVO. Die Einzelheiten stehen unter Videoüberwachung öffentlich zugänglicher Räume.

Weitere Regeln für die Praxis:

• Transparenz: Auf die Überwachung wird vor dem Betreten des Bereichs durch ein gut sichtbares Hinweisschild aufmerksam gemacht. Darauf stehen mindestens der Verantwortliche mit Kontaktdaten, der Zweck und wo die weiteren Informationen nach Art. 13 DSGVO zu finden sind.
• Speicherdauer: Eine feste gesetzliche Frist gibt es nicht. Die Aufsichtsbehörden halten in der Regel bis zu 72 Stunden für vertretbar. Länger nur, wenn ein konkreter Vorfall die Sicherung einer Sequenz rechtfertigt. Mehr dazu unter Speicherdauer von Videoaufnahmen.
• Tabuzonen: Toiletten, Umkleiden und Schlafräume werden nicht gefilmt. Heimliche Bildaufnahmen in solchen Räumen können nach Paragraf 201a StGB strafbar sein.
• Grenzen: Öffentliche Gehwege und Nachbargrundstücke gehören grundsätzlich nicht ins Bild.
• Zweckänderung: Aufnahmen zum Diebstahlschutz dürfen nicht zur Leistungs- oder Arbeitszeitkontrolle genutzt werden.

Vertraulichkeit: was aus dem Datengeheimnis wurde

Früher regelte Paragraf 5 BDSG das Datengeheimnis. Diese Vorschrift gibt es für private Unternehmen nicht mehr. Heute folgt die Pflicht zur Vertraulichkeit aus Art. 29 und Art. 32 Abs. 4 DSGVO: Wer für einen Verantwortlichen arbeitet und Zugang zu Daten hat, darf sie nur nach dessen Weisung verarbeiten. Dazu kommt Paragraf 17 Abs. 3 BewachV, der dich zur Verschwiegenheit über Geschäfts- und Betriebsgeheimnisse der Kunden verpflichtet, auch nach dem Ende deiner Beschäftigung. Mehr dazu unter Datengeheimnis und Vertraulichkeit.

Für die Praxis heißt das: Was du im Dienst über Personen erfährst, erzählst du nicht im Freundeskreis und postest es nicht in sozialen Netzwerken. Videoaufnahmen gibst du nicht eigenmächtig weiter. Fragt die Polizei wegen einer Straftat nach einer Sequenz, läuft die Herausgabe über den Verantwortlichen. Verstöße können arbeitsrechtliche Folgen haben, Bußgelder nach Art. 83 DSGVO auslösen und in schweren Fällen nach Paragraf 42 BDSG strafbar sein.

Verantwortlicher und Auftragsverarbeitung

Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO, wer über Zwecke und Mittel der Verarbeitung entscheidet. Betreibt ein Sicherheitsunternehmen die Videoüberwachung eines Kaufhauses nur nach dessen Vorgaben, ist es meist Auftragsverarbeiter nach Art. 28 DSGVO. Dafür braucht es einen eigenen Vertrag. Für die Daten seiner eigenen Beschäftigten bleibt das Sicherheitsunternehmen selbst Verantwortlicher. Wie du die Rollen unterscheidest, steht unter Auftragsverarbeitung.

Technische und organisatorische Maßnahmen und Datenpannen

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, kurz TOM. Technisch sind etwa Passwörter, Verschlüsselung und ein abgeschlossener Raum für den Videorekorder. Organisatorisch sind klare Zugriffsrechte, Löschroutinen und Schulungen. Wachbücher mit Personendaten liegen nicht offen auf dem Pförtnertresen.

Geht trotzdem etwas schief, etwa ein verlorener USB-Stick mit Aufnahmen oder ein gestohlenes Wachbuch, ist das eine Datenpanne. Der Verantwortliche muss sie nach Art. 33 DSGVO möglichst binnen 72 Stunden der Aufsichtsbehörde melden, wenn ein Risiko für die Betroffenen besteht. Deine Aufgabe ist, den Vorfall sofort intern zu melden. Den Ablauf erklärt die Seite Datenpanne: was die Wachperson tun muss.

Rechte der betroffenen Personen

Wessen Daten verarbeitet werden, der hat Rechte nach Art. 15 bis 21 DSGVO: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Der Verantwortliche muss in der Regel innerhalb eines Monats antworten. Fragt dich jemand im Dienst, ob er auf einer Aufnahme zu sehen ist, gibst du keine eigene Auskunft. Du nimmst das Anliegen auf und leitest es an den Verantwortlichen oder den Datenschutzbeauftragten weiter. Mehr dazu unter Rechte der betroffenen Personen.

Typische Prüfungsfallen

• Für private Betreiber ist Art. 6 Abs. 1 lit. f DSGVO die Rechtsgrundlage der Videoüberwachung, nicht §4 BDSG.
• Für die Speicherdauer gibt es keine gesetzliche Frist. Die 72 Stunden sind ein Orientierungswert der Aufsichtsbehörden.
• Das Datengeheimnis nach §5 BDSG ist alte Rechtslage. Heute gelten Art. 29 und Art. 32 Abs. 4 DSGVO.
• Auch ein Kfz-Kennzeichen oder ein Videobild ohne Namen kann ein personenbezogenes Datum sein.
• Die 72-Stunden-Frist bei Datenpannen trifft den Verantwortlichen. Du meldest intern sofort.

Alle Themen in diesem Sachgebiet

• Was ist Datenschutz?
• DSGVO und BDSG: wie sie zusammenspielen
• Personenbezogene Daten
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)
• Umgang mit Daten im Wachdienst
• Was bedeutet Verarbeitung? Erheben, Speichern, Löschen
• Automatisierte Verarbeitung
• Nichtautomatisierte Dateisysteme
• Die Grundsätze der Verarbeitung nach Art. 5 DSGVO
• Datenminimierung (früher Datensparsamkeit)
• Zweckbindung
• Rechtmäßigkeit: die Rechtsgrundlagen nach Art. 6 DSGVO
• Die Einwilligung
• Auftragsverarbeitung: der Sicherheitsdienst als Dienstleister
• Wer ist Verantwortlicher?
• Datengeheimnis und Vertraulichkeit
• Der Datenschutzbeauftragte
• Technische und organisatorische Maßnahmen (TOM)
• Videoüberwachung: was erlaubt ist
• Videoüberwachung öffentlich zugänglicher Räume: §4 BDSG und Art. 6 DSGVO
• Hinweisschild bei Videoüberwachung
• Wie lange dürfen Videoaufnahmen gespeichert werden?
• Rechte der betroffenen Personen
• Das Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Löschung
• Datenpanne: was die Wachperson tun muss
• Wachbuch, Protokolle und Berichte datenschutzgerecht führen
• Ausweiskontrolle und Besucherlisten
• Bodycams im Sicherheitsdienst
• Fotos und Handyaufnahmen im Dienst
• Bußgelder und Strafen bei Datenschutzverstößen
• Prüfungsfragen: Datenschutzrecht

Wichtige Begriffe

Diese Begriffe solltest du sicher diesem Sachgebiet zuordnen können:

• personenbezogene Daten
• DSGVO
• BDSG
• Videoüberwachung
• Datengeheimnis