Kurz gesagt: Eine Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der sechs Bedingungen aus Art. 6 Abs. 1 DSGVO erfüllt ist. Für private Sicherheitsdienste sind Vertrag, rechtliche Pflicht und vor allem das berechtigte Interesse nach Buchstabe f am wichtigsten.
Die wichtigste Frage im Datenschutz lautet: Darf ich das überhaupt? Die Antwort steht in Art. 6 DSGVO. Er zählt abschließend auf, wann eine Verarbeitung rechtmäßig ist. Was nicht darunter fällt, ist verboten. In der Sachkundeprüfung werden die sechs Rechtsgrundlagen gern als Liste abgefragt, und Fallfragen drehen sich oft darum, welche davon im konkreten Fall passt.
Was im Gesetz steht
Nach Art. 6 Abs. 1 DSGVO ist eine Verarbeitung nur rechtmäßig, wenn mindestens eine der folgenden Bedingungen erfüllt ist:
| Buchstabe | Rechtsgrundlage | Beispiel aus dem Wachdienst |
|---|---|---|
| a | Einwilligung der betroffenen Person für bestimmte Zwecke | Kollegen stimmen zu, dass ein Teamfoto auf der Firmenwebsite erscheint |
| b | Erfüllung eines Vertrags mit der betroffenen Person oder vorvertragliche Maßnahmen auf ihre Anfrage | Abgleich eines personalisierten Tickets mit dem Namen des Gastes am Einlass |
| c | Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen | Aufzeichnungen über Wachpersonen nach Paragraf 21 Bewachungsverordnung |
| d | Schutz lebenswichtiger Interessen der betroffenen oder einer anderen Person | Angaben an den Rettungsdienst bei einem bewusstlosen Gast |
| e | Wahrnehmung einer Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt | Behörden, im privaten Wachdienst selten |
| f | Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten, wenn die Interessen der betroffenen Person nicht überwiegen | Besucherliste zur Kontrolle, wer sich im Gebäude aufhält |
Die Rechtsgrundlagen stehen gleichrangig nebeneinander. Die Einwilligung steht zwar an erster Stelle, ist aber nicht die wichtigste oder beste. Im Gegenteil: Im Wachdienst ist sie oft die schwächste, weil sie jederzeit widerrufen werden kann. Details stehen auf der Seite zur Einwilligung.
Die Rechtsgrundlagen im Wachdienst
b) Vertrag
Gemeint ist ein Vertrag mit der betroffenen Person selbst. Der Bewachungsvertrag zwischen deinem Arbeitgeber und dem Kunden ist kein Vertrag mit den Besuchern. Er reicht deshalb nicht als Rechtsgrundlage für deren Daten. Für die Daten der Wachpersonen ist dagegen ihr Arbeitsvertrag maßgeblich, ergänzt durch Paragraf 26 BDSG.
c) Rechtliche Verpflichtung
Hier zwingt ein Gesetz den Verantwortlichen zur Verarbeitung. Für Bewachungsunternehmen sind das etwa die Meldung der Wachpersonen an das Bewacherregister und die Aufzeichnungs- und Aufbewahrungspflichten aus der Bewachungsverordnung. Auch steuer- und sozialversicherungsrechtliche Pflichten gehören dazu.
d) Lebenswichtige Interessen
Diese Grundlage ist für Notfälle gedacht. Geht es um die lebenswichtigen Interessen einer anderen Person, soll sie nach Erwägungsgrund 46 grundsätzlich nur greifen, wenn offensichtlich keine andere Rechtsgrundlage passt. Für Gesundheitsdaten gilt zusätzlich Art. 9 Abs. 2 Buchstabe c, siehe besondere Kategorien personenbezogener Daten.
e) Öffentliches Interesse und öffentliche Gewalt
Das ist die Grundlage für Behörden. Private Sicherheitsdienste kommen nur ausnahmsweise in Betracht, etwa wenn ihnen hoheitliche Aufgaben übertragen sind und sie als sogenannte Beliehene handeln. Im normalen Objektschutz oder Ordnerdienst ist das nicht der Fall.
f) Berechtigtes Interesse
Für private Sicherheitsdienste ist das die zentrale Rechtsgrundlage. Sie wird in drei Schritten geprüft:
- Berechtigtes Interesse: Der Verantwortliche oder ein Dritter hat ein legitimes Anliegen, zum Beispiel Schutz des Eigentums, Durchsetzung des Hausrechts, Sicherheit der Mitarbeiter, Aufklärung von Diebstählen.
- Erforderlichkeit: Die Verarbeitung ist nötig, um das Interesse zu erreichen. Gibt es ein milderes, gleich wirksames Mittel, fehlt die Erforderlichkeit.
- Abwägung: Die Interessen und Grundrechte der betroffenen Person dürfen nicht überwiegen. Dabei zählt nach Erwägungsgrund 47 auch, was die Person vernünftigerweise erwarten kann. Besonders schutzwürdig sind Kinder.
Wichtig für die Prüfung: Behörden dürfen sich bei der Erfüllung ihrer Aufgaben nicht auf Buchstabe f stützen. Das steht ausdrücklich in Art. 6 Abs. 1 Unterabsatz 2.
Ein Fall aus dem Dienst
Bei einem Konzert mit personalisierten Tickets kontrollierst du am Einlass, ob der Name auf dem Ticket zum Ausweis passt. Ein Gast fragt, mit welchem Recht du seinen Namen ansiehst. Später will der Veranstalter außerdem, dass ihr Fotos vom Publikum für Instagram macht.
Der Namensabgleich ist für die Erfüllung des Ticketvertrags erforderlich, den der Gast mit dem Veranstalter geschlossen hat. Die Bedingungen der Personalisierung kennt er vorher, also trägt Buchstabe b, ergänzt durch das berechtigte Interesse, Weiterverkauf und Ticketbetrug zu verhindern. Für Instagram-Fotos, auf denen einzelne Gäste erkennbar sind, passt diese Grundlage nicht mehr. Hier kommt es auf eine eigene Rechtsgrundlage an, meist eine Einwilligung. Das klärt der Veranstalter, nicht du am Einlass.
Typische Prüfungsfallen
- Es genügt eine Rechtsgrundlage. Mehrere können aber gleichzeitig vorliegen.
- Die Einwilligung ist nicht vorrangig. Sie ist nur eine von sechs gleichrangigen Grundlagen.
- Der Vertrag nach Buchstabe b muss mit der betroffenen Person bestehen, nicht nur mit dem Auftraggeber.
- Beim berechtigten Interesse wird immer abgewogen. Ohne Abwägung keine Rechtmäßigkeit.
- Behörden können sich bei ihren Aufgaben nicht auf das berechtigte Interesse berufen.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Wie viele der Bedingungen aus Art. 6 Abs. 1 DSGVO müssen erfüllt sein, damit eine Verarbeitung rechtmäßig ist?
Welche Rechtsgrundlagen nennt Art. 6 Abs. 1 DSGVO?
Ein Bewachungsunternehmen meldet seine Wachpersonen im Bewacherregister an. Welche Rechtsgrundlage trägt das am ehesten?
Welche Schritte gehören zur Prüfung des berechtigten Interesses nach Art. 6 Abs. 1 Buchstabe f DSGVO?
Kann sich der Kunde für die Daten seiner Besucher auf den Bewachungsvertrag mit dem Sicherheitsdienst als Vertrag nach Buchstabe b stützen?
Wer kann sich bei der Erfüllung seiner Aufgaben nicht auf das berechtigte Interesse nach Buchstabe f berufen?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 6 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.