Auftragsverarbeitung: der Sicherheitsdienst als Dienstleister

Ein Sicherheitsdienst arbeitet fast immer für einen Kunden. Er bewacht dessen Gelände, bedient dessen Kameras, führt dessen Besucherlisten. Damit stellt sich eine Frage, die in der Prüfung und in der Praxis wichtig ist: Wem "gehören" die Daten, die dabei entstehen, und wer trägt die Verantwortung? Die DSGVO beantwortet das mit zwei Rollen: Verantwortlicher und Auftragsverarbeiter.

Was im Gesetz steht

Art. 4 Nr. 8 DSGVO definiert den Auftragsverarbeiter als natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Art. 28 DSGVO regelt die Einzelheiten:

• Der Verantwortliche darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Abs. 1).
• Weitere Auftragsverarbeiter, also Subunternehmer, dürfen nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen eingeschaltet werden (Abs. 2).
• Die Verarbeitung erfolgt auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments (Abs. 3), der schriftlich abzufassen ist, was auch in elektronischem Format geschehen kann (Abs. 9).
• Wer als Auftragsverarbeiter selbst über Zwecke und Mittel entscheidet, gilt für diese Verarbeitung als Verantwortlicher (Abs. 10).

Was im Vertrag stehen muss

Der Vertrag zur Auftragsverarbeitung, oft AV-Vertrag genannt, regelt Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen. Außerdem muss er nach Art. 28 Abs. 3 insbesondere vorsehen, dass der Auftragsverarbeiter:

1. die Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeitet,
2. sicherstellt, dass seine Mitarbeiter zur Vertraulichkeit verpflichtet sind,
3. die Sicherheitsmaßnahmen nach Art. 32 ergreift,
4. Subunternehmer nur unter den Bedingungen von Abs. 2 und 4 einsetzt,
5. den Verantwortlichen bei Anfragen betroffener Personen unterstützt,
6. ihn auch bei Datensicherheit, Pannenmeldungen und Folgenabschätzungen unterstützt,
7. nach Ende des Auftrags alle Daten nach Wahl des Verantwortlichen löscht oder zurückgibt,
8. alle nötigen Nachweise bereitstellt und Kontrollen ermöglicht.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, muss er den Verantwortlichen unverzüglich darauf hinweisen.

Ist der Sicherheitsdienst Auftragsverarbeiter?

Das ist nicht automatisch so und wird nicht einheitlich beurteilt. Entscheidend ist, wer über Zweck und Mittel der Verarbeitung bestimmt und ob die Datenverarbeitung ein Kern der beauftragten Leistung ist.

Typische Fälle von Auftragsverarbeitung

• Der Sicherheitsdienst betreibt oder überwacht die Videoanlage des Kunden nach dessen Vorgaben, etwa in einer Notruf- und Serviceleitstelle mit Bildaufschaltung.
• Er führt das elektronische Besuchermanagement des Kunden nach festen Regeln: welche Felder, wie lange, wer Zugriff hat.
• Er verwaltet die Zutrittsberechtigungen im System des Kunden nach dessen Freigaben.

Wo der Sicherheitsdienst selbst verantwortlich ist

• Für die Daten seiner eigenen Beschäftigten: Dienstpläne, Lohn, Bewacherregister.
• Für eigene Zwecke, etwa wenn er Vorfallberichte für die eigene Qualitätskontrolle oder zur Abwehr von Haftungsansprüchen auswertet.
• Wenn er nach eigenem Sicherheitskonzept entscheidet, welche Daten er erhebt. Dann kann er eigener Verantwortlicher oder, gemeinsam mit dem Kunden, gemeinsam Verantwortlicher nach Art. 26 DSGVO sein.

Der Vertrag zwischen den Parteien sollte die Rollen klar festlegen. Am Ende zählt aber, wie die Verarbeitung tatsächlich abläuft, nicht wie der Vertrag sie nennt.

Was das für dich als Wachperson heißt

Ist dein Arbeitgeber Auftragsverarbeiter, gehören die Daten im datenschutzrechtlichen Sinn zum Verantwortlichen, also zum Kunden. Nach Art. 29 DSGVO dürfen du und dein Arbeitgeber sie nur auf Weisung des Verantwortlichen verarbeiten. Daraus folgt:

• Herausgabe von Aufnahmen oder Listen an Dritte nur, wenn der Kunde es anweist oder ein Gesetz es verlangt.
• Keine Nutzung für eigene Zwecke des Sicherheitsdienstes, zum Beispiel für Werbung oder Auswertungen für andere Kunden.
• Kein Einsatz von Subunternehmern, die Zugriff auf die Daten bekommen, ohne Genehmigung des Kunden.
• Anfragen von Betroffenen, etwa nach Auskunft über ihre Daten, leitest du an den Kunden weiter.

Ein Fall aus dem Dienst

Dein Arbeitgeber betreibt als Auftragsverarbeiter die Videoüberwachung eines Autohauses. Nachts beobachtest du auf dem Monitor, wie auf dem Nachbargrundstück ein Auto angefahren wird. Am nächsten Morgen kommt der Nachbar und möchte eine Kopie der Aufnahme. Er bietet dir 50 Euro an.

Du gibst nichts heraus und nimmst kein Geld. Über die Aufnahmen entscheidet allein das Autohaus als Verantwortlicher. Du dokumentierst die Anfrage und informierst deinen Einsatzleiter, der sie an den Kunden weitergibt. Gibst du die Aufnahme eigenmächtig gegen Geld heraus, verarbeitest du Daten außerhalb jeder Weisung. Je nach Fall kommt sogar eine Straftat nach Paragraf 42 Absatz 2 BDSG in Betracht, weil die Weitergabe gegen Entgelt geschieht.

Typische Prüfungsfallen

• Der Auftragsverarbeiter ist an Weisungen gebunden. Die Verantwortung für die Rechtmäßigkeit bleibt beim Verantwortlichen.
• Der AV-Vertrag muss schriftlich sein, ein elektronisches Format genügt.
• Subunternehmer brauchen die vorherige Genehmigung des Verantwortlichen.
• Wer Daten im Auftrag für eigene Zwecke nutzt, wird für diese Verarbeitung selbst Verantwortlicher.
• Nicht jeder Sicherheitsdienst ist automatisch Auftragsverarbeiter. Für die Daten seiner eigenen Beschäftigten ist er immer selbst verantwortlich.

Art. 28 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.