Datenschutz im Sicherheitsdienst: was Wachpersonen aufzeichnen und weitergeben dürfen

Datenschutzrecht ist Sachgebiet Nr. 2 des § 7 BewachV. Die IHK Rhein-Neckar nennt es außerdem als einen Schwerpunkt ihrer mündlichen Prüfung.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; identifizierbar ist sie zum Beispiel über einen Namen, eine Kennnummer oder Standortdaten (Art. 4 Nr. 1 DSGVO). Verarbeitung ist fast jeder Umgang damit, etwa das Erheben, Erfassen, Speichern, Abfragen, Verwenden, die Offenlegung durch Übermittlung und das Löschen (Art. 4 Nr. 2 DSGVO). Wenn Sie ins Wachbuch eintragen, wer wann das Gelände verlassen hat, verarbeiten Sie also personenbezogene Daten.

Für jede Verarbeitung gelten die Grundsätze des Art. 5 DSGVO: rechtmäßig, nach Treu und Glauben und für die betroffene Person nachvollziehbar; nur für festgelegte, eindeutige und legitime Zwecke (Zweckbindung); auf das für die Zwecke notwendige Maß beschränkt (Datenminimierung); sachlich richtig; nicht länger identifizierbar gespeichert als nötig (Speicherbegrenzung); und mit angemessener Sicherheit. Der Verantwortliche muss nachweisen können, dass er das einhält (Rechenschaftspflicht).

Eine Verarbeitung ist nur rechtmäßig, wenn mindestens eine der Bedingungen des Art. 6 Abs. 1 DSGVO erfüllt ist, zum Beispiel eine Einwilligung der betroffenen Person (Buchst. a), die Erfüllung eines Vertrags mit ihr (Buchst. b), eine rechtliche Verpflichtung des Verantwortlichen (Buchst. c) oder berechtigte Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen (Buchst. f).

Verantwortlich ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Als Wachperson arbeiten Sie nach der Dienstanweisung Ihres Arbeitgebers. Was Sie aufschreiben, filmen oder weitergeben, richtet sich deshalb nach seinen Vorgaben. Unser Rat für den Alltag: Schreiben Sie nur auf, was Sie für den Auftrag brauchen.

Besonders geschützt sind unter anderem Gesundheitsdaten, Angaben zur ethnischen Herkunft, zu religiösen Überzeugungen oder zur sexuellen Orientierung. Ihre Verarbeitung ist grundsätzlich untersagt (Art. 9 Abs. 1 DSGVO); die Ausnahmen stehen in Art. 9 Abs. 2 DSGVO.

Nach seinem Wortlaut erlaubt § 4 BDSG die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) nur, soweit sie zur Aufgabenerfüllung öffentlicher Stellen, zur Wahrnehmung des Hausrechts oder zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen (§ 4 Abs. 1 BDSG). Der Umstand der Beobachtung und der Name und die Kontaktdaten des Verantwortlichen sind zum frühestmöglichen Zeitpunkt erkennbar zu machen (Abs. 2), und die Daten sind unverzüglich zu löschen, wenn sie für den Zweck nicht mehr erforderlich sind (Abs. 5).

Für Videoüberwachung durch Private hat das Bundesverwaltungsgericht 2019 aber entschieden: Ihre Zulässigkeit richtet sich nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO. Für eine Anwendung des § 4 Abs. 1 Satz 1 BDSG auf Videoüberwachungen privater Verantwortlicher sei kein Raum (Urteil vom 27. März 2019, 6 C 2.18). Die Orientierungshilfe der Datenschutzkonferenz sagt dasselbe: Rechtsgrundlage für Videoüberwachungen durch Privatpersonen und Unternehmen ist regelmäßig Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO, und die Aufsichtsbehörden wenden § 4 BDSG nicht als Rechtsgrundlage für sie an. Das gilt auch für Bewachungsunternehmen und private Auftraggeber; für öffentliche Stellen nennt § 4 Abs. 1 Nr. 1 BDSG einen eigenen Fall.

Was daraus folgt, beschreibt die Orientierungshilfe so: Auf die Überwachung ist nach den Art. 12 ff. DSGVO hinzuweisen, und zwar schon vor dem Betreten des überwachten Bereichs, damit sich die Betroffenen darauf einstellen können. Kommt es zu keinem Ereignis wie einem Überfall oder Diebstahl, sind die Aufnahmen unverzüglich zu löschen. Mit einer Speicherdauer von 72 Stunden kann der Betreiber nach der Orientierungshilfe regelmäßig seine Sicherheitsinteressen verfolgen; je länger die Speicherdauer, desto höher der Begründungsaufwand.

Als Wachperson betreiben Sie eine Anlage meist nicht selbst, sondern beobachten Monitore nach Dienstanweisung. Unser Rat: Sehen Sie sich Aufnahmen nur an, wenn Ihr Auftrag es verlangt, und geben Sie sie nur weiter, wenn Ihr Arbeitgeber es nach der Dienstanweisung vorsieht.

Strafbar ist, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt oder eine solche Aufnahme gebraucht oder einem Dritten zugänglich macht (§ 201 Abs. 1 StGB), und wer das nicht zu seiner Kenntnis bestimmte nichtöffentlich gesprochene Wort eines anderen mit einem Abhörgerät abhört (§ 201 Abs. 2 StGB). Eine Videoüberwachungskamera mit Audiofunktion kann nach der Orientierungshilfe der Datenschutzkonferenz unter diesen Straftatbestand fallen.

§ 201a StGB schützt den höchstpersönlichen Lebensbereich vor Bildaufnahmen. Strafbar ist zum Beispiel, unbefugt eine Bildaufnahme von jemandem herzustellen oder zu übertragen, der sich in einer Wohnung oder einem gegen Einblick besonders geschützten Raum befindet, oder eine Bildaufnahme, die die Hilflosigkeit einer anderen Person zur Schau stellt, wenn dadurch jeweils der höchstpersönliche Lebensbereich verletzt wird (Abs. 1 Nr. 1 und 2). Ebenso strafbar ist, eine solche Aufnahme zu gebrauchen oder einer dritten Person zugänglich zu machen (Abs. 1 Nr. 4) und eine Aufnahme, die geeignet ist, dem Ansehen der abgebildeten Person erheblich zu schaden, unbefugt einer dritten Person zugänglich zu machen (Abs. 2).

Ein Beispiel: Ein betrunkener Gast liegt hilflos am Boden, und jemand filmt ihn mit dem Handy und schickt das Video in eine Gruppe. Das kann nach § 201a Abs. 1 Nr. 2 und 4 StGB strafbar sein. Kümmern Sie sich stattdessen um ihn und holen Sie Hilfe.

Daten zu einem anderen Zweck zu verarbeiten als zu dem, für den sie erhoben wurden, ist für nichtöffentliche Stellen zulässig, wenn es zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist, sofern nicht die Interessen der betroffenen Person überwiegen (§ 24 Abs. 1 Nr. 1 BDSG). Ihr Unternehmen kann deshalb zum Beispiel einen Wachbucheintrag zu einer Straftat an die Polizei weitergeben, wenn diese Voraussetzungen vorliegen. Ob sie vorliegen, klären Sie im Zweifel mit Ihrem Arbeitgeber, bevor Sie selbst Daten herausgeben.

Erhebt Ihr Unternehmen Daten bei der betroffenen Person selbst, etwa bei einer Kontrolle am Eingang, muss es ihr dabei unter anderem seinen Namen und seine Kontaktdaten, die Zwecke und die Rechtsgrundlage der Verarbeitung mitteilen (Art. 13 Abs. 1 DSGVO).

Verschwiegenheit gehört zum Dienst: Der Gewerbetreibende verpflichtet Sie schriftlich, Geschäfts- und Betriebsgeheimnisse Dritter, die Ihnen im Dienst bekannt werden, auch nach Ihrem Ausscheiden nicht unbefugt zu offenbaren (§ 17 Abs. 3 BewachV). Unser Rat: Was Sie im Dienst über Menschen erfahren, gehört nicht in private Chats oder soziale Netzwerke; die Zweckbindung des Art. 5 DSGVO gilt auch dort.