2.1 Grundlagen personenbezogener Daten

Warum Datenschutz?

Das Grundgesetz schützt das Recht auf informationelle Selbstbestimmung: Jeder Mensch soll grundsätzlich selbst entscheiden, wer was über ihn weiß. In der EU regelt seit 2018 die Datenschutz-Grundverordnung (DSGVO) den Umgang mit personenbezogenen Daten. Sie gilt unmittelbar in allen Mitgliedstaaten. Ergänzend gilt in Deutschland das Bundesdatenschutzgesetz (BDSG).

Personenbezogene Daten – Art. 4 Nr. 1 DSGVO

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist eine Person, wenn man sie direkt oder indirekt bestimmen kann, etwa über einen Namen, eine Kennnummer, Standortdaten oder besondere Merkmale.

Beispiele aus dem Wachdienst:

• Name, Anschrift und Unternehmen eines Besuchers im Besucherbuch,
• Kfz-Kennzeichen bei der Zufahrtskontrolle,
• Videoaufnahmen, auf denen Personen erkennbar sind,
• Protokolle der Zutrittskontrolle (wer hat wann welche Tür geöffnet),
• Einträge im Wachbuch über einen Vorfall mit einer bestimmten Person.

Keine personenbezogenen Daten sind Angaben über juristische Personen (z. B. die Umsatzzahl einer GmbH) oder wirklich anonyme Daten, die niemandem mehr zugeordnet werden können. Daten Verstorbener fallen grundsätzlich nicht unter die DSGVO.

Verarbeitung – Art. 4 Nr. 2 DSGVO

Der Begriff Verarbeitung ist sehr weit. Er umfasst jeden Vorgang im Zusammenhang mit personenbezogenen Daten: Erheben, Erfassen, Ordnen, Speichern, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Einschränken, Löschen und Vernichten. Schon das Ansehen eines Live-Videobildes oder das Abschreiben eines Kennzeichens ist eine Verarbeitung.

Besondere Kategorien – Art. 9 DSGVO

Bestimmte Daten sind besonders sensibel. Dazu gehören Angaben über rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Ihre Verarbeitung ist grundsätzlich verboten und nur ausnahmsweise erlaubt. Wenn du also im Wachbuch notierst, dass eine Person nach einem Sturz verletzt war, handelt es sich um Gesundheitsdaten – sie dürfen nur so weit festgehalten werden, wie es für die Dokumentation wirklich nötig ist.

Wer ist wofür verantwortlich?

• Verantwortlicher (Art. 4 Nr. 7 DSGVO) ist, wer über Zwecke und Mittel der Verarbeitung entscheidet – häufig der Auftraggeber (z. B. Betreiber eines Einkaufszentrums) oder das Sicherheitsunternehmen selbst.
• Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO) verarbeitet Daten im Auftrag und nach Weisung des Verantwortlichen. Das kann ein Sicherheitsunternehmen sein, das im Auftrag eines Kunden eine Videoanlage bedient.
• Beschäftigte wie du dürfen Daten nur auf Weisung des Verantwortlichen verarbeiten (Art. 29 DSGVO). Du darfst Daten also nicht für eigene Zwecke nutzen oder an Dritte weitergeben.

Vertraulichkeit im Dienst

Was du im Dienst über Personen erfährst, bleibt vertraulich. Arbeitsverträge und die Bewachungsverordnung verpflichten Wachpersonen zur Verschwiegenheit. Verstöße gegen die DSGVO können mit hohen Geldbußen geahndet werden (Art. 83 DSGVO) und arbeitsrechtliche Folgen haben.

Typische Prüfungsfallen

• Kfz-Kennzeichen sind personenbezogen, weil der Halter über das Register identifizierbar ist.
• Juristische Personen werden durch die DSGVO nicht geschützt – wohl aber ihre Mitarbeiter als natürliche Personen.
• „Nur angesehen“ ist auch eine Verarbeitung; der Begriff erfasst jeden Umgang.
• Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO, keine „normalen“ Daten.