Kurz gesagt: Daten auf Papier fallen nur dann unter die DSGVO, wenn sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Ein Dateisystem ist jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist, etwa alphabetisch, nach Datum oder nach Firma.
Trotz aller Technik wird im Wachdienst noch viel auf Papier gearbeitet. Das gebundene Besucherbuch an der Pforte, der Schlüsselausgabeordner, die Kladde im Wachlokal, der Ordner mit den Hausverboten. Für die Prüfung musst du wissen, unter welchen Voraussetzungen die DSGVO auch für solche Unterlagen gilt. Die kurze Antwort: fast immer, sobald die Daten geordnet sind. Für alles, was mit Technik geschieht, gilt dagegen die einfachere Regel der automatisierten Verarbeitung.
Was im Gesetz steht
Nach Art. 2 Abs. 1 DSGVO gilt die Verordnung für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Art. 4 Nr. 6 DSGVO definiert das Dateisystem als jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind. Dabei ist egal, ob die Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird.
Erwägungsgrund 15 stellt klar, was nicht dazugehört: Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind.
Die Merkmale eines Dateisystems
Strukturierte Sammlung
Es muss mehr als ein loses Blatt sein. Eine Sammlung entsteht, wenn mehrere Datensätze nach einem gleichen Muster zusammengeführt werden, zum Beispiel in einem Vordruck mit Spalten für Name, Firma, Uhrzeit und besuchte Person.
Nach bestimmten Kriterien zugänglich
Entscheidend ist, dass du gezielt bestimmte Daten wiederfinden kannst. Das Ordnungskriterium kann der Name sein, das Datum, die Firma, das Kennzeichen oder die Nummer eines Schlüssels. Eine Karteikarte pro Person, alphabetisch sortiert, ist das Lehrbuchbeispiel. Aber auch ein chronologisch geführtes Besucherbuch mit festen Spalten erfüllt die Voraussetzung, weil du nach Datum und Uhrzeit suchen kannst.
Die Form ist egal
Ob die Sammlung in einem Ordner, einem Karteikasten oder in mehreren Heften an verschiedenen Toren geführt wird, spielt keine Rolle. Der Europäische Gerichtshof hat 2018 entschieden, dass sogar Notizen, die Mitglieder einer Religionsgemeinschaft bei Hausbesuchen machten, ein Dateisystem sein können, wenn sie so geordnet sind, dass die Daten später leicht wiederzufinden sind. Karteikästen oder Verzeichnisse sind nicht zwingend nötig.
"Gespeichert werden sollen"
Die DSGVO gilt auch dann schon, wenn die Daten erst später in ein Dateisystem kommen sollen. Notierst du ein Kennzeichen auf einem Zettel, um es am Ende der Schicht in die Fahrzeugliste zu übertragen, fällt bereits der Zettel darunter.
Beispiele aus dem Wachdienst
| Unterlage | Dateisystem? |
|---|---|
| Besucherbuch mit Spalten für Datum, Name, Firma, Uhrzeit | Ja, nach Datum und Name auffindbar |
| Hausverbotsordner, alphabetisch sortiert, mit Fotos | Ja |
| Schlüsselausgabebuch mit Schlüsselnummer und Empfänger | Ja |
| Zettel mit Kennzeichen, der in eine Liste übertragen werden soll | Ja, weil die Speicherung im Dateisystem geplant ist |
| Ein einzelner Notizzettel mit einer Telefonnummer, der danach weggeworfen wird | In der Regel nein |
| Ein ungeordneter Stapel alter Schreiben ohne Sortierung | Nein, nach Erwägungsgrund 15 |
Früher und heute
Das BDSG vor 2018 sprach von einer "nicht automatisierten Datei". Gemeint war im Kern dasselbe. Heute heißt der Begriff Dateisystem. Wenn du in alten Unterlagen auf die Datei stößt, ersetzt du sie gedanklich durch das Dateisystem.
Eine Besonderheit bei Beschäftigtendaten
Für Daten von Beschäftigten gilt eine strengere Regel. Nach Paragraf 26 Absatz 7 BDSG gelten die Vorschriften zum Beschäftigtendatenschutz auch dann, wenn die Daten nicht in einem Dateisystem gespeichert sind oder werden sollen. Wenn dein Schichtleiter also handschriftliche Notizen über dich führt, sind diese geschützt, egal wie ungeordnet sie sind.
Wenn die DSGVO nicht greift
Fällt eine Notiz ausnahmsweise nicht unter die DSGVO, heißt das nicht, dass du damit machen kannst, was du willst. Das allgemeine Persönlichkeitsrecht schützt die Person weiterhin, und dein Arbeitsvertrag verpflichtet dich zur Verschwiegenheit. Außerdem muss dein Arbeitgeber dich nach Paragraf 17 Absatz 3 Bewachungsverordnung schriftlich verpflichten, Geschäfts- und Betriebsgeheimnisse Dritter nicht unbefugt zu offenbaren. Mehr dazu unter Datengeheimnis und Vertraulichkeit.
Ein Fall aus dem Dienst
An der Einfahrt eines Baumarkt-Zentrallagers führt dein Team einen Ordner "Lieferanten", in dem für jeden Fahrer eine Seite mit Name, Spedition und Kennzeichen abgeheftet ist, sortiert nach Speditionen. Ein Kollege meint, das sei nur Papier und deshalb nicht so streng.
Falsch. Die Seiten sind nach Speditionen geordnet und nach Namen auffindbar. Das ist ein klassisches Dateisystem, die DSGVO gilt in vollem Umfang. Der Ordner braucht also einen klaren Zweck und eine Löschfrist, gehört in einen abschließbaren Schrank und darf nicht für Unbefugte zugänglich im Wachhäuschen stehen. Veraltete Seiten werden geschreddert und nicht in die Altpapiertonne geworfen.
Typische Prüfungsfallen
- Papier ist nicht automatisch datenschutzfrei. Sobald die Daten geordnet sind, gilt die DSGVO.
- Es reicht, dass die Daten in ein Dateisystem kommen sollen.
- Auch eine chronologische Ordnung, etwa nach Datum, ist ein Kriterium.
- Ungeordnete Akten ohne Struktur fallen nicht unter den Begriff.
- Für Beschäftigtendaten gilt der Schutz nach Paragraf 26 Absatz 7 BDSG auch ohne Dateisystem.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Wann gilt die DSGVO für personenbezogene Daten auf Papier?
Was ist ein Dateisystem im Sinne von Art. 4 Nr. 6 DSGVO?
Welche Unterlagen sind typischerweise ein Dateisystem?
Du notierst ein Kennzeichen auf einem Zettel, um es später in die Fahrzeugliste zu übertragen. Gilt die DSGVO schon für den Zettel?
Welche Besonderheit gilt für Daten von Beschäftigten auf Papier?
Wie hieß der Begriff Dateisystem im BDSG vor 2018?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 4 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.