01 · Was ist Datenschutz?

Datenschutz schützt personenbezogene Daten und das Recht auf informationelle Selbstbestimmung. Er betrifft nicht nur geheime oder besonders sensible Informationen, sondern grundsätzlich alle Informationen, die einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können.

Prüfungsmerker: Datenschutz schützt Menschen – nicht bloß Computer oder Dateien.

02 · Personenbezogene Daten

Beispiele sind Name, Anschrift, Telefonnummer, Dienstausweisnummer, Besucherlisten, Kfz-Kennzeichen in einem zuordenbaren Zusammenhang, Standortdaten und identifizierbare Videoaufnahmen. Besondere Kategorien nach Art. 9 DSGVO umfassen unter anderem Gesundheitsdaten sowie Angaben zur politischen Meinung oder Religion.

Achtung: Ein Datum muss nicht für sich allein eine Person benennen; die Identifizierbarkeit kann auch durch Verknüpfung mit anderen Informationen entstehen.

03 · Verarbeitung von Daten

Verarbeitung ist ein weiter Begriff. Dazu gehören beispielsweise das Erheben, Erfassen, Ordnen, Speichern, Auslesen, Verwenden, Übermitteln, Einschränken oder Löschen personenbezogener Daten. Auch das Eintragen eines Besuchers in eine Liste oder das Abrufen einer Videoaufzeichnung ist eine Verarbeitung.

04 · Die Grundsätze der DSGVO

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz
• Zweckbindung: nur für festgelegte, eindeutige und legitime Zwecke
• Datenminimierung: nur erforderliche Daten
• Richtigkeit: sachlich richtige und erforderlichenfalls aktuelle Daten
• Speicherbegrenzung: nicht länger als notwendig aufbewahren
• Integrität und Vertraulichkeit: angemessene Sicherheit gewährleisten
• Rechenschaftspflicht: Einhaltung der Grundsätze nachweisen können

05 · Rechtmäßigkeit der Verarbeitung

Personenbezogene Daten dürfen nicht beliebig verarbeitet werden. Es muss eine Rechtsgrundlage nach Art. 6 DSGVO vorliegen, etwa eine wirksame Einwilligung, die Erforderlichkeit zur Vertragserfüllung, eine rechtliche Verpflichtung, der Schutz lebenswichtiger Interessen, eine öffentliche Aufgabe oder ein berechtigtes Interesse nach Interessenabwägung. Welche Grundlage passt, muss im konkreten Fall geprüft werden.

Im Sicherheitsdienst reicht „Das ist bei uns üblich“ nicht als Rechtsgrundlage.

06 · Umgang mit Daten im Sicherheitsdienst

Besucherlisten, Ausweiskontrollen, Schichtbücher und Vorfallsberichte dürfen nur für zulässige dienstliche Zwecke und im erforderlichen Umfang genutzt werden. Informationen sind vor Einsicht durch Unbefugte zu schützen. Keine privaten Fotos, Kopien, Messenger oder privaten Cloud-Dienste ohne ausdrückliche betriebliche Freigabe und rechtliche Grundlage verwenden.

07 · Datensicherheit und Schutzmaßnahmen

Datenschutz beschreibt den Schutz personenbezogener Daten; Datensicherheit umfasst Maßnahmen, die Daten und Systeme vor Verlust, Manipulation, Zerstörung und unbefugtem Zugriff schützen. Dazu gehören zum Beispiel Zugriffsbeschränkungen, sichere Passwörter, Bildschirmsperren, verschlossene Unterlagen, Berechtigungskonzepte, sichere Übermittlung und geregelte Löschung.

08 · Videoüberwachung

Videoüberwachung benötigt einen zulässigen Zweck und eine tragfähige Rechtsgrundlage. Betroffene sind grundsätzlich transparent zu informieren; der Erfassungsbereich ist auf das Erforderliche zu begrenzen. Zugriffe auf Aufzeichnungen sind zu beschränken und Speicherfristen müssen begründet sein. Aufnahmen nicht privat ansehen, kopieren oder weitergeben. Für öffentlich zugängliche Räume ist insbesondere § 4 BDSG zu prüfen; zusätzlich gelten die Anforderungen der DSGVO.

09 · Rechte betroffener Personen

Je nach Situation haben Betroffene unter anderem Rechte auf Information, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Diese Rechte gelten nicht ausnahmslos; es bestehen gesetzliche Voraussetzungen und Ausnahmen. Anfragen deshalb dokumentieren und an die zuständige Stelle oder den Datenschutzbeauftragten weiterleiten, statt eigenmächtig zu entscheiden.

10 · Datenschutzverletzungen

Beispiele: verlorene Besucherliste, fehlgeleitete E-Mail, gestohlenes Dienstgerät, unbefugter Zugriff oder versehentlich veröffentlichte Videoaufnahme. Den Vorfall unverzüglich nach internen Vorgaben an die zuständige Führungskraft bzw. Datenschutzstelle melden, Fakten sichern und Anweisungen befolgen. Nicht vertuschen und Beweismittel nicht eigenmächtig löschen.

Der Verantwortliche muss eine mögliche Meldepflicht gegenüber der Aufsichtsbehörde prüfen. Nach Art. 33 DSGVO gilt grundsätzlich eine Frist von 72 Stunden ab Bekanntwerden, sofern die Verletzung voraussichtlich zu einem Risiko für Rechte und Freiheiten führt; bei hohem Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich sein.

11 · Technische und organisatorische Maßnahmen (TOM)

Nach Art. 32 DSGVO müssen angemessene Maßnahmen ein dem Risiko entsprechendes Schutzniveau gewährleisten. Beispiele: Zutrittskontrolle zu Räumen, Zugangskontrolle zu IT-Systemen, Berechtigungskonzepte, Verschlüsselung wo angemessen, Sicherungskopien, Verfügbarkeits- und Wiederherstellungsmaßnahmen sowie regelmäßige Überprüfung der Schutzmaßnahmen.

12 · Datenschutz im Alltag – Fallbeispiel

Ein Besucher bittet einen Sicherheitsmitarbeiter um die Telefonnummer einer anderen Person, die sich im Gebäude aufhält. Die Telefonnummer darf nicht einfach herausgegeben werden. Identität, Befugnis, Zweck und Rechtsgrundlage müssen geklärt werden; im Zweifel ist die zuständige Stelle einzuschalten.

Merke: Neugier, Kollegialität oder eine mündliche Bitte sind keine automatische Berechtigung zur Datenweitergabe.