Datenschutzrecht

Wenn Sie in Deutschland ein Datenschutzkonzept erstellen, müssen Sie sich zwingend auf die zwei zentralen Säulen des Datenschutzrechts stützen: die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG).

1. DSGVO (Datenschutz-Grundverordnung): Dies ist eine Verordnung der Europäischen Union, die seit Mai 2018 unmittelbar in allen EU-Mitgliedstaaten gilt. Sie steht in der Normenhierarchie über den nationalen Gesetzen. Ihr Ziel ist es, den Schutz personenbezogener Daten innerhalb der EU zu vereinheitlichen. Sie bildet das Fundament für jedes Datenschutzkonzept.
2. BDSG (Bundesdatenschutzgesetz): Da die DSGVO sogenannte „Öffnungsklauseln“ enthält, darf der deutsche Gesetzgeber eigene spezifische Regelungen treffen. Das BDSG ergänzt und konkretisiert die DSGVO für Deutschland. Es enthält beispielsweise spezifische Vorschriften zur Videoüberwachung (§ 4 BDSG) oder zum Datenschutz im Beschäftigungsverhältnis (§ 26 BDSG), was für Sicherheitsdienste besonders relevant ist.

Rechtlicher Hintergrund: Der Datenschutz schützt nicht die Daten an sich, sondern die Menschen, über die Daten gespeichert werden. Das Ziel ist der Schutz des Rechts auf informationelle Selbstbestimmung. Dieses Recht leitet sich aus dem Grundgesetz (GG) ab, genauer gesagt aus der Menschenwürde (Art. 1 GG) in Verbindung mit dem allgemeinen Persönlichkeitsrecht (Art. 2 GG). Es besagt, dass jeder Mensch grundsätzlich selbst entscheiden darf, wer welche Informationen über ihn wann und zu welchem Zweck erhält.

Warum sind die anderen Antworten falsch?

• StGB (Strafgesetzbuch): Das StGB regelt, welche Taten unter Strafe stehen (z. B. Diebstahl oder Körperverletzung). Es enthält zwar Paragrafen zum Schutz von Geheimnissen (z. B. § 202a StGB - Ausspähen von Daten), ist aber kein Gesetz zur Erstellung eines allgemeinen Datenschutzkonzepts.
• BGB (Bürgerliches Gesetzbuch): Das BGB regelt die Rechtsbeziehungen zwischen Privatpersonen (Verträge, Haftung, Schadensersatz). Es ist nicht die primäre Rechtsgrundlage für den administrativen Datenschutz.
• GewO (Gewerbeordnung): Die GewO regelt die Ausübung eines Gewerbes. Für Sicherheitsdienste ist zwar der § 34a GewO entscheidend für die Zulassung, aber die detaillierten Regeln zur Datenverarbeitung stehen dort nicht.
• GG (Grundgesetz): Das Grundgesetz liefert zwar die verfassungsrechtliche Basis (das Grundrecht), aber für die praktische Umsetzung in einem Konzept nutzt man die konkreten Fachgesetze (DSGVO und BDSG).

Datenschutz schützt nicht die Daten als bloße Sache, sondern den Menschen, auf den sich die Daten beziehen. Gemeint ist vor allem das allgemeine Persönlichkeitsrecht und daraus abgeleitet das Recht auf informationelle Selbstbestimmung. Danach soll jeder Mensch grundsätzlich selbst entscheiden können, wann, wie und in welchem Umfang persönliche Informationen verarbeitet oder weitergegeben werden.

Die verfassungsrechtliche Grundlage liegt in der Verbindung von Art. 1 Abs. 1 GG und Art. 2 Abs. 1 GG. Daraus hat das Bundesverfassungsgericht das Recht auf informationelle Selbstbestimmung entwickelt.

Für die Praxis bedeutet das: Wer personenbezogene Daten verarbeitet, muss die Rechte der betroffenen Personen beachten. Die DSGVO und das BDSG geben dafür den rechtlichen Rahmen vor.

Warum sind die anderen Antworten falsch?

• B: Der Schutz von Computern und Hardware gehört zur IT-Sicherheit, nicht zum Datenschutz.
• C: Geschützt werden nicht die Daten als Sache, sondern die betroffene Person.
• D: Unternehmen können Verantwortliche im Datenschutz sein, sind aber nicht der geschützte Adressat.
• E: Das ist falsch; Datenschutz ist rechtlich klar geregelt.
• F: Datenschutz gilt nicht nur gegenüber staatlichen Stellen, sondern auch im privaten Bereich, wenn personenbezogene Daten verarbeitet werden.

Im Datenschutzrecht ist die zentrale Frage immer, ob Daten einen Bezug zu einer konkreten Person haben. Gemäß Art. 4 Nr. 1 DSGVO (Datenschutz-Grundverordnung) sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Person gilt als identifizierbar, wenn sie direkt oder indirekt – insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten oder zu einer Online-Kennung – identifiziert werden kann.

Für einen statistischen Bericht, der keine Datenschutzprobleme verursachen soll, ist die vollständige Anonymisierung die sicherste Methode. Laut Erwägungsgrund 26 der DSGVO gelten die Grundsätze des Datenschutzes nicht für anonyme Informationen. Anonymisierung bedeutet, dass die Daten so verändert wurden, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Wenn Sie also nur noch Zahlenwerte wie „50 % der Besucher waren zwischen 20 und 30 Jahre alt“ verwenden, besteht kein Personenbezug mehr.

Warum sind die anderen Antworten falsch?

• A (Autokennzeichen): Ein Kennzeichen ist ein personenbezogenes Datum, da über die Zulassungsstelle (Halterabfrage) ein Bezug zu einer natürlichen Person hergestellt werden kann.
• B (IP-Adressen): Nach ständiger Rechtsprechung sind IP-Adressen personenbezogene Daten, da der Internetanbieter den Nutzer hinter der Adresse identifizieren kann.
• D (Fotos): Ein Foto zeigt das Gesicht einer Person und ermöglicht damit die direkte Identifikation.
• E (Namen): Der Name ist das klassische Beispiel für ein direkt identifizierendes Datum.
• F (E-Mail-Adressen): Diese enthalten oft den Namen oder erlauben über den Provider die Zuordnung zu einem Nutzer.

Im Bewachungsgewerbe nach § 34a GewO ist der sorgsame Umgang mit Daten essenziell, um Bußgelder oder rechtliche Konsequenzen zu vermeiden. Nur bei echten anonymen Statistiken verlassen Sie den Anwendungsbereich der DSGVO.