Datenschutz für die Sachkundeprüfung § 34a – Lernmaterial

Datenschutz schützt Menschen davor, dass mit ihren personenbezogenen Daten Schaden angerichtet wird. Er ist kein Schutz von Daten als solchen, sondern ein Schutz der Persönlichkeit. Mehrere Rechtsquellen greifen ineinander:

• Grundgesetz: Aus der Menschenwürde (Art. 1 Abs. 1 GG: „Die Würde des Menschen ist unantastbar.“) und der freien Entfaltung der Persönlichkeit (Art. 2 Abs. 1 GG) hat das Bundesverfassungsgericht in seinem Volkszählungsurteil von 1983 das Recht auf informationelle Selbstbestimmung abgeleitet: Jeder soll grundsätzlich selbst entscheiden, wer was über ihn weiß.
• Europäische Grundrechte-Charta: Art. 8 Abs. 1: „Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.“
• DSGVO: die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679). Sie gilt unmittelbar in allen Mitgliedstaaten.
• BDSG: das Bundesdatenschutzgesetz ergänzt die DSGVO, zum Beispiel mit § 4 zur Videoüberwachung.
• Landesdatenschutzgesetze (LDSG): regeln vor allem den Datenschutz bei Behörden der Länder und sind Landesrecht.

Für Sicherheitsmitarbeiter ist der Alltag klar: Ausweiskopien, Besucherlisten, Kamerabilder, Meldungen im Wachbuch – überall geht es um personenbezogene Daten.

Datenschutz fragt: Darf ich diese Daten überhaupt verarbeiten? Datensicherheit fragt: Wie schütze ich die Daten technisch und organisatorisch vor Verlust und unbefugtem Zugriff? Beides hängt zusammen. Die DSGVO verlangt in Art. 5 Abs. 1 Buchst. f:

Art. 5 Abs. 1 Buchst. f DSGVO

Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).

Konkrete Sicherungsmaßnahmen regelt Art. 32 DSGVO (siehe unten). Für den Wachdienst heißt das praktisch: Besucherlisten nicht offen liegen lassen, Monitore nicht für Unbefugte einsehbar aufstellen, Schlüssel und Zugangsdaten sichern.

Die DSGVO definiert sie in Art. 4 Nr. 1 sehr weit:

Art. 4 Nr. 1 DSGVO

„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

Beispiele aus dem Wachdienst: Name auf der Besucherliste, Foto auf dem Ausweis, Kfz-Kennzeichen, das einer Person zugeordnet werden kann, und das Gesicht auf einem Kamerabild. Auch eine Kennnummer wie die Bewacherregisteridentifikationsnummer ist eine Kennung. Daten juristischer Personen (zum Beispiel einer GmbH) fallen nicht darunter, weil die Definition natürliche Personen meint.

Art. 4 Nr. 2 DSGVO

„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Der Begriff ist weit: Schon das Erheben (Ausweis ansehen und Namen notieren) und das Löschen sind Verarbeitung. Die Folge: Fast alles, was Sie mit Personendaten tun, braucht eine Rechtsgrundlage.

Auch Papier kann erfasst sein. Art. 2 Abs. 1 DSGVO gilt für „die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie […] die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“. Art. 4 Nr. 6 definiert:

Art. 4 Nr. 6 DSGVO

„Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

Ein nach Datum oder Namen geordnetes Besucherbuch in Papierform ist damit ein Dateisystem. Ein einzelner loser Notizzettel ohne Ordnung ist es in der Regel nicht.

Art. 5 Abs. 1 DSGVO enthält die Grundsätze. Die für Sie wichtigsten:

Art. 5 Abs. 1 Buchst. a und c DSGVO

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

Weitere Grundsätze: Zweckbindung (Buchst. b: festgelegte, eindeutige und legitime Zwecke), Richtigkeit (d), Speicherbegrenzung (e: nur so lange, wie es für den Zweck erforderlich ist) sowie Integrität und Vertraulichkeit (f). Dazu kommt die Rechenschaftspflicht: „Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können“ (Art. 5 Abs. 2).

Nach Art. 6 Abs. 1 DSGVO ist die Verarbeitung „nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist“. Diese Bedingungen sind:

• a) Einwilligung der betroffenen Person für bestimmte Zwecke
• b) Erfüllung eines Vertrags oder vorvertragliche Maßnahmen
• c) Erfüllung einer rechtlichen Verpflichtung
• d) Schutz lebenswichtiger Interessen
• e) Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt
• f) berechtigte Interessen des Verantwortlichen oder eines Dritten

Für private Sicherheitsdienste ist oft Buchst. f einschlägig:

Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO

die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Es ist also immer eine Abwägung: Interesse des Verantwortlichen gegen Schutzinteresse der betroffenen Person. Verantwortlicher ist in der Regel der Auftraggeber oder das Bewachungsunternehmen, nicht die einzelne Wachperson.

Die Rechte der Betroffenen und die Grundsätze sind nicht absolut. Art. 23 Abs. 1 DSGVO erlaubt es der Union und den Mitgliedstaaten, sie durch Gesetz zu beschränken:

Art. 23 Abs. 1 DSGVO (Auszug)

Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt: a) die nationale Sicherheit; b) die Landesverteidigung; […]

Merksatz: Beschränkungen brauchen ein Gesetz und müssen notwendig und verhältnismäßig sein. Eine Anweisung des Auftraggebers allein genügt nicht.

Art. 32 Abs. 1 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, „geeignete technische und organisatorische Maßnahmen“ zu treffen, „um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Dazu zählen unter anderem die Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.

Für das Personal wichtig ist Abs. 4:

Art. 32 Abs. 4 DSGVO

Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

Organisatorisch heißt das: klare Zuständigkeiten, Dienstanweisung, Belehrung. Technisch: Zugriffsschutz, Verschlüsselung, Sicherung der Kameratechnik. Ergänzend verpflichtet § 17 Abs. 3 BewachV den Gewerbetreibenden, die Beschäftigten schriftlich zur Verschwiegenheit über Geschäfts- und Betriebsgeheimnisse Dritter zu verpflichten.

Art. 4 Nr. 12 DSGVO

„Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;

Beispiel: Ein Wachbuch mit Personendaten geht verloren, oder eine Besucherliste wird an Unbefugte weitergegeben. Für die Meldung gilt Art. 33 Abs. 1 Satz 1:

Art. 33 Abs. 1 Satz 1 DSGVO

Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 51 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Wenn dem Auftragsverarbeiter eine Verletzung bekannt wird, meldet er sie dem Verantwortlichen unverzüglich (Art. 33 Abs. 2). Für Mitarbeiter bedeutet das: Eine Panne sofort an den Vorgesetzten melden, damit die Frist eingehalten werden kann.

Transparenz ist ein Grundsatz (Art. 5 Abs. 1 Buchst. a). Art. 12 Abs. 1 DSGVO verlangt:

Art. 12 Abs. 1 Satz 1 DSGVO

Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten.

Bei Erhebung der Daten teilt der Verantwortliche nach Art. 13 Abs. 1 DSGVO zum Beispiel mit: Namen und Kontaktdaten des Verantwortlichen, gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten, die Zwecke und die Rechtsgrundlage der Verarbeitung sowie die Empfänger. Anträge der betroffenen Person auf Auskunft usw. muss er grundsätzlich innerhalb eines Monats beantworten (Art. 12 Abs. 3).

Das ist die wichtigste Einzelnorm für Ihre Prüfung. § 4 Abs. 1 Satz 1 BDSG:

§ 4 BDSG (Absätze 1, 2 und 5)

(1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit sie

1. zur Aufgabenerfüllung öffentlicher Stellen,

2. zur Wahrnehmung des Hausrechts oder

3. zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke

erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der betroffenen Personen überwiegen. […]

(2) Der Umstand der Beobachtung und der Name und die Kontaktdaten des Verantwortlichen sind durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen.

[…]

(5) Die Daten sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der betroffenen Personen einer weiteren Speicherung entgegenstehen.

Die Merkpunkte: (1) Nur zulässig, wenn die Überwachung für einen der drei Zwecke erforderlich ist und keine überwiegenden schutzwürdigen Interessen bestehen. (2) Die Beobachtung und der Verantwortliche müssen erkennbar sein, also durch ein Hinweisschild. (3) Für die Speicherung gilt dasselbe Erforderlichkeits- und Abwägungsprinzip (Abs. 3). (4) Wird eine Person identifiziert, besteht eine Informationspflicht nach den Art. 13 und 14 DSGVO (Abs. 4). (5) Löschung unverzüglich, wenn die Daten nicht mehr nötig sind (Abs. 5). Eine feste Löschfrist in Tagen nennt § 4 BDSG nicht.

• Recht am eigenen Bild (KunstUrhG): „Bildnisse dürfen nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden.“ (§ 22 Satz 1 KunstUrhG). Ausnahmen nennt § 23 Abs. 1, zum Beispiel Bilder, auf denen die Personen nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen. Die Ausnahme gilt nicht, wenn ein berechtigtes Interesse des Abgebildeten verletzt wird (§ 23 Abs. 2).
• Verschwiegenheit: Geschäfts- und Betriebsgeheimnisse Dritter dürfen auch nach dem Ausscheiden nicht unbefugt offenbart werden (§ 17 Abs. 3 BewachV).
• Strafrecht: Verletzungen der Privatsphäre können eigene Straftatbestände erfüllen. Sie werden im Sachgebiet Strafrecht nach Anlage 2 nicht einzeln aufgezählt.

Art. 82 Abs. 1 DSGVO

Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

Ein Auftragsverarbeiter haftet nur, wenn er seinen speziell ihm auferlegten Pflichten nicht nachgekommen ist oder Anweisungen missachtet hat (Art. 82 Abs. 2). Befreit wird, wer nachweist, dass er „in keinerlei Hinsicht“ für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist (Abs. 3).

Art. 83 Abs. 1 DSGVO verlangt, dass Geldbußen „in jedem Einzelfall wirksam, verhältnismäßig und abschreckend“ sind. Die Obergrenzen stehen in den Absätzen 4 und 5. Verstöße gegen die Grundsätze für die Verarbeitung (Art. 5, 6, 7 und 9) und gegen die Rechte der betroffenen Personen (Art. 12 bis 22) werden mit Geldbußen von bis zu 20 000 000 EUR oder, bei einem Unternehmen, von bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet, je nachdem, welcher Betrag höher ist (Abs. 5). Für Verstöße gegen die Pflichten der Verantwortlichen nach Art. 25 bis 39 (darunter Art. 32 und 33) gelten bis zu 10 000 000 EUR oder 2 % (Abs. 4).

Bei der Höhe sind unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit und die Zusammenarbeit mit der Aufsichtsbehörde zu berücksichtigen (Abs. 2).

• Hinweisschild: Die Videoüberwachung und der Name samt Kontaktdaten des Verantwortlichen müssen erkennbar sein (§ 4 Abs. 2 BDSG). Ein Schild ohne Verantwortlichen genügt nicht.
• Erforderlichkeit: Überwachung ist nicht schon deshalb zulässig, weil sie technisch möglich ist; sie muss für einen der drei Zwecke erforderlich sein.
• Löschung: Unverzüglich, sobald der Zweck erreicht ist (§ 4 Abs. 5 BDSG).
• Verantwortlicher: Das ist in der Regel Auftraggeber oder Unternehmen, nicht die einzelne Wachperson.
• Einwilligung: Sie ist nur eine von mehreren Rechtsgrundlagen (Art. 6 Abs. 1 DSGVO).
• Mehrfachantworten: In der Prüfung können mehrere Antworten richtig sein.

Wortlaut: DSGVO (Verordnung (EU) 2016/679) und Charta der Grundrechte der Europäischen Union Art. 8 nach EUR-Lex (eur-lex.europa.eu, CELEX 32016R0679 und 12012P/TXT), BDSG § 4 (www.gesetze-im-internet.de/bdsg_2018/__4.html), KunstUrhG §§ 22, 23 (www.gesetze-im-internet.de/kunsturhg), Grundgesetz Art. 1 und 2 (www.gesetze-im-internet.de/gg), BewachV § 17 Abs. 3. Abgerufen am 18.10.2026. Das Volkszählungsurteil ist Rechtsprechung, kein Gesetzestext.

Stand / geprüft am 18.10.2026. Landesdatenschutzgesetze sind nicht dargestellt; sie unterscheiden sich je Land.