Wer ist Verantwortlicher, wenn ein Kaufhaus allein Zweck und Mittel seiner Eingangskameras festlegt?
Grundlage: DSGVO Art. 4
Sachkundeprüfung § 34a · Datenschutz
Datenschutzrecht im Wach- und Sicherungsdienst: Übungsfragen zur Sachkundeprüfung § 34a
Wachpersonal verarbeitet ununterbrochen personenbezogene Daten: Videobilder, Besucherlisten, Einträge im Wachbuch. Die DSGVO erlaubt das nicht von selbst. Jede Verarbeitung braucht eine Rechtsgrundlage, und die Prüfungsaufgaben dieses Sachgebiets hängen fast immer an einem der Begriffe des Art. 4 DSGVO: Was ist ein personenbezogenes Datum, was ist eine Verarbeitung, wer ist Verantwortlicher und wer nur Auftragsverarbeiter.
Übung
Kostenlose Übungsfragen
Ein bewusstloser Besucher trägt einen Notfallausweis; die Daten werden dem Rettungsdienst übermittelt. Welche Grundlage liegt nahe?
Grundlage: DSGVO Art. 6
Welche Ausnahme kann einem Löschungsbegehren nach Artikel 17 entgegenstehen?
Grundlage: DSGVO Art. 17
Worauf muss ein Verantwortlicher bei der Auswahl eines Auftragsverarbeiters achten?
Grundlage: DSGVO Art. 28
Nach einem technischen Ausfall sind Zutrittsdaten nicht verfügbar. Welche Fähigkeit verlangt Artikel 32?
Grundlage: DSGVO Art. 32
Die Begriffe aus Art. 4 DSGVO entscheiden die meisten Aufgaben
Art. 4 Nr. 1 DSGVO erfasst alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ein Kfz-Kennzeichen, das einem bestimmten Mitarbeiter zugeordnet ist, gehört dazu; ein Videobild ohne Namen ebenfalls, sobald die Person erkennbar ist. Der Name ist nicht die Schwelle, die Erkennbarkeit ist es. Art. 4 Nr. 2 DSGVO nennt unter anderem Erheben, Erfassen und Speichern als Verarbeitung, weshalb bereits der Eintrag eines Besuchernamens ins digitale Wachbuch eine Verarbeitung ist. Nach Art. 4 Nr. 7 DSGVO ist Verantwortlicher, wer über Zwecke und Mittel entscheidet; ein Kaufhaus, das seine Eingangskameras selbst festlegt, ist es. Wer Daten nur nach dokumentierten Vorgaben des Auftraggebers verarbeitet, ist nach Art. 4 Nr. 8 DSGVO Auftragsverarbeiter. Art. 4 Nr. 5 DSGVO beschreibt die Pseudonymisierung als Zustand, in dem die Zuordnung nur mit einer gesondert aufbewahrten Zusatzinformation möglich bleibt.
- Art. 4 Nr. 1 DSGVO: identifiziert oder identifizierbar, nicht namentlich benannt.
- Art. 4 Nr. 7 DSGVO: Verantwortlicher ist, wer über Zwecke und Mittel entscheidet.
- Art. 4 Nr. 8 DSGVO: wer nur nach Weisung verarbeitet, ist Auftragsverarbeiter.
Rechtsgrundlage, Grundsätze und die Rolle des Wachunternehmens
Ohne Rechtsgrundlage nach Art. 6 DSGVO ist eine Verarbeitung unzulässig, so sinnvoll sie im Einzelfall erscheinen mag. Im Bewachungsalltag trägt meist das berechtigte Interesse, und tragfähig ist es nur nach einer Abwägung gegen die Interessen der betroffenen Person. Je eingriffsintensiver die Maßnahme, desto gewichtiger muss das Interesse sein: Eine Kamera, die das Nachbargrundstück oder den Sozialraum erfasst, überschreitet diese Grenze regelmäßig. Art. 5 DSGVO stellt die Grundsätze davor, unter anderem Zweckbindung, Datenminimierung und Speicherbegrenzung, und Art. 5 Abs. 2 DSGVO macht den Verantwortlichen für die Einhaltung rechenschaftspflichtig. Verarbeitet ein Sicherheitsunternehmen Daten für den Auftraggeber, verlangt Art. 28 DSGVO einen Vertrag mit festgelegtem Inhalt; nach Art. 28 Abs. 3 DSGVO gehören dazu Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Weisungsbindung.
- Art. 6 DSGVO: keine Verarbeitung ohne Rechtsgrundlage.
- Art. 5 Abs. 2 DSGVO: der Verantwortliche muss die Einhaltung nachweisen können.
- Art. 28 DSGVO: Auftragsverarbeitung braucht einen Vertrag, kein bloßes Einverständnis.
Betroffenenrechte, Videohinweis und Datenpanne
Eine Anfrage nach Art. 15 DSGVO beantwortet der Verantwortliche, nicht die Wachperson am Empfang. Eine eigenmächtige Auskunft kann selbst ein Verstoß sein, also gehört das Ersuchen weitergeleitet. Art. 12 DSGVO regelt die Form: verständlich, in klarer Sprache und innerhalb der dort vorgesehenen Fristen. Art. 13 DSGVO verlangt die Information bei der Erhebung, was bei Videobeobachtung das Hinweisschild vor dem Erfassungsbereich bedeutet, mit Angabe des Verantwortlichen und des Zwecks. Ein Schild am Monitor oder erst im Gebäudeinneren kommt zu spät. Art. 17 DSGVO gibt ein Recht auf Löschung, das aber Ausnahmen kennt: Nach Art. 17 Abs. 3 DSGVO steht ihm unter anderem eine erforderliche Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung entgegen. Geht etwas schief, greift Art. 33 DSGVO: Eine Verletzung des Schutzes personenbezogener Daten ist der Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden zu melden. Für die Wachperson heißt das, intern sofort weiterzumelden, weil diese Frist sonst gar nicht eingehalten werden kann.
| Verantwortlicher | Auftragsverarbeiter |
|---|---|
| Entscheidet nach Art. 4 Nr. 7 DSGVO über Zwecke und Mittel der Verarbeitung. | Verarbeitet nach Art. 4 Nr. 8 DSGVO im Auftrag und nach Weisung. |
| Im Objektschutz meist der Auftraggeber, etwa das Kaufhaus mit eigenen Kameras. | Meist das Wachunternehmen, wenn es nur dokumentierte Vorgaben ausführt. |
| Beantwortet Auskunftsersuchen nach Art. 15 DSGVO. | Leitet ein Auskunftsersuchen an den Verantwortlichen weiter. |
| Muss nach Art. 5 Abs. 2 DSGVO die Einhaltung der Grundsätze nachweisen können. | Braucht nach Art. 28 DSGVO einen Vertrag mit festgelegtem Inhalt. |
Häufige Fragen
Häufige Fragen
Ist ein Videobild ohne Namen ein personenbezogenes Datum?
Ja, sobald die Person erkennbar ist. Art. 4 Nr. 1 DSGVO stellt auf Informationen ab, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Name ist keine Voraussetzung, sondern nur einer von mehreren möglichen Identifikatoren.
Braucht schon der Eintrag eines Besuchernamens eine Rechtsgrundlage?
Ja. Art. 4 Nr. 2 DSGVO nennt Erheben, Erfassen und Speichern als Verarbeitung, und ohne Rechtsgrundlage nach Art. 6 DSGVO ist eine Verarbeitung unzulässig. Das gilt für das digitale Wachbuch genauso wie für eine Besucherliste auf Papier.
Wo muss das Hinweisschild bei einer Videobeobachtung hängen?
Vor dem Erfassungsbereich, mit Angabe des Verantwortlichen und des Zwecks. Grundlage ist die Informationspflicht bei der Erhebung nach Art. 13 DSGVO. Ein Schild neben dem Monitor oder erst im Gebäudeinneren erfüllt sie nicht, weil die Information dann erst nach der Erfassung ankommt.
Darf eine Wachperson ein Auskunftsersuchen selbst beantworten?
Nein. Das Recht auf Auskunft nach Art. 15 DSGVO richtet sich gegen den Verantwortlichen, im Objektschutz in der Regel den Auftraggeber. Die Wachperson leitet das Ersuchen weiter; eine eigenmächtige Auskunft kann selbst ein Datenschutzverstoß sein.
Muss jede Löschungsforderung erfüllt werden?
Nein. Art. 17 DSGVO gibt ein Recht auf Löschung, Art. 17 Abs. 3 DSGVO nennt aber Ausnahmen, darunter eine Verarbeitung, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Eine Aufbewahrungspflicht kann der Löschung deshalb entgegenstehen.
Was ist bei einer Datenpanne zu tun?
Sofort intern melden. Art. 33 DSGVO verlangt vom Verantwortlichen die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden. Wer den Vorfall erst am Ende der Schicht weitergibt, nimmt dem Verantwortlichen die Zeit, die er für diese Frist braucht.
Übungsfragen