2.2 Grundsätze und Rechtmäßigkeit (DSGVO)

Verbot mit Erlaubnisvorbehalt

Das Datenschutzrecht folgt einem einfachen Grundprinzip: Die Verarbeitung personenbezogener Daten ist nur erlaubt, wenn eine Rechtsgrundlage sie gestattet. Man spricht vom Verbot mit Erlaubnisvorbehalt. Zusätzlich muss jede Verarbeitung die Grundsätze des Art. 5 DSGVO einhalten.

Die Grundsätze des Art. 5 DSGVO

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Betroffene sollen nachvollziehen können, was mit ihren Daten geschieht.
2. Zweckbindung: Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben und nicht für andere, unvereinbare Zwecke weiterverwendet.
3. Datenminimierung: Es dürfen nur die Daten verarbeitet werden, die für den Zweck wirklich nötig sind.
4. Richtigkeit: Daten müssen sachlich richtig sein; falsche Daten sind zu berichtigen oder zu löschen.
5. Speicherbegrenzung: Daten werden nur so lange gespeichert, wie es für den Zweck erforderlich ist.
6. Integrität und Vertraulichkeit: Daten müssen vor unbefugtem Zugriff, Verlust und Zerstörung geschützt werden.

Hinzu kommt die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Der Verantwortliche muss nachweisen können, dass er die Grundsätze einhält.

Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO

Eine Verarbeitung ist rechtmäßig, wenn mindestens eine der folgenden Bedingungen erfüllt ist:

• a) Einwilligung der betroffenen Person,
• b) Vertrag: Die Verarbeitung ist für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich,
• c) rechtliche Verpflichtung des Verantwortlichen,
• d) lebenswichtige Interessen einer Person (z. B. Weitergabe von Daten an den Notarzt),
• e) Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt,
• f) berechtigtes Interesse des Verantwortlichen oder eines Dritten, sofern nicht die Interessen der betroffenen Person überwiegen.

Im privaten Sicherheitsdienst ist lit. f besonders wichtig: Der Schutz von Eigentum, die Durchsetzung des Hausrechts oder die Aufklärung von Straftaten sind berechtigte Interessen. Sie müssen aber immer gegen die Interessen der Betroffenen abgewogen werden.

Die Einwilligung

Eine Einwilligung (Art. 4 Nr. 11, Art. 7 DSGVO) ist nur wirksam, wenn sie freiwillig, für den bestimmten Fall, informiert und unmissverständlich abgegeben wird. Sie kann jederzeit für die Zukunft widerrufen werden. In Arbeitsverhältnissen oder in Drucksituationen ist die Freiwilligkeit oft zweifelhaft – deshalb stützt man Verarbeitungen dort meist auf andere Grundlagen.

Anwendung im Wachdienst

• Im Besucherbuch werden nur die Angaben erfasst, die für Zutritt und Sicherheit nötig sind (Datenminimierung) – keine Geburtsdaten oder Telefonnummern ohne Grund.
• Besucherlisten liegen nicht offen aus, damit andere Besucher sie nicht einsehen können (Vertraulichkeit).
• Daten aus der Zutrittskontrolle dürfen nicht nebenbei zur Leistungskontrolle von Mitarbeitern genutzt werden, wenn das nicht vorgesehen und erlaubt ist (Zweckbindung).
• Alte Wachbücher und Listen werden nach Ablauf der Aufbewahrungszeit datenschutzgerecht vernichtet (Speicherbegrenzung).

Typische Prüfungsfallen

• Zweckbindung vs. Datenminimierung: Zweckbindung betrifft das „Wofür“, Datenminimierung das „Wie viel“.
• Einwilligung ist nicht immer nötig: Es reicht, wenn irgendeine Rechtsgrundlage des Art. 6 Abs. 1 DSGVO erfüllt ist.
• Widerruf wirkt nur für die Zukunft; bis dahin erfolgte Verarbeitungen bleiben rechtmäßig.
• Berechtigtes Interesse erfordert immer eine Interessenabwägung – es ist kein Freibrief.