Ist beim Datenschutz im Sicherheitsdienst das Haus verantwortlich oder der Dienstleister?
Eine Sicherheitskraft hinterlässt in einer Einrichtung in jeder Schicht fünf Datenspuren: Besucherliste, Sperrliste, Wachbuch, Vorfallbericht und, wo es sie gibt, die Aufzeichnung von Kamera und Sprechstelle. Für Besucherliste, Sperrliste und Kamera ist das Haus verantwortlich, das den Dienst beauftragt hat, weil es über Zweck und Mittel entscheidet. Der Sicherheitsdienst führt sie in dessen Auftrag nach Art. 28 DSGVO, gebunden an Vertrag und Weisung. Wachbuch und Vorfallbericht schreibt er auch für sich, als Nachweis seiner Leistung und für seine Haftung, und dafür steht er selbst gerade. Die Kamera ist dabei der kleinste Teil des Problems, denn sie hat ein Hinweisschild und eine Löschfrist, während die Besucherliste am Tresen oft ohne beides geführt wird.
Ein Vorfallbericht über eine Bewohnerin mit Demenz oder einen alkoholisierten Patienten enthält Gesundheitsdaten nach Art. 9 DSGVO. An dieser Stelle geht der Datenschutz im Sicherheitsdienst schief, nicht an der Kamera.
Fünf Datenspuren in einer Schicht
Die Zutrittskontrolle im Krankenhaus kommt mit einem Namen auf der Besucherliste aus, ohne Grund und ohne Diagnose. Die Sperrliste ist die heikelste der fünf, weil ein Name darauf etwas über die Person sagt. Wer draufkommt und wann er verschwindet, entscheidet das Haus beim Aussprechen des Hausverbots.
| Datenspur | Was hineingehört und was nicht |
|---|---|
| Besucherliste | Hinein: Name, Kommen und Gehen, Ziel, Kürzel der Kraft. Nicht hinein: Besuchsgrund, Ausweisnummer, Ausweiskopie, Foto. |
| Sperrliste | Hinein: Name, Dauer, erteilende Stelle, Notfall-Ausnahme. Nicht hinein: Anlass, Vorgeschichte, Foto ohne Not. |
| Wachbuch oder Nachtbuch | Hinein: Zeiten, Rundgänge, Übergaben, Störungen. Nicht hinein: Namen ohne Anlass, Gesundheitsangaben, Bewertungen von Personal. |
| Vorfallbericht | Hinein: Uhrzeit, Ort, beobachtetes Verhalten, eigene Handlung, gerufene Stelle. Nicht hinein: Vermutungen, Diagnosen, Medikamente, Hörensagen, Fotos. |
| Kamera und Sprechstelle | Hinein: Bild vom Eingang, gesicherte Sequenz mit Anlass. Nicht hinein: Ton, Zimmer, Bäder, Ruheräume, Arbeitsplätze. |
Warum der Vorfallbericht das größte Risiko ist
Ein Vorfallbericht aus dem Nachtdienst eines Pflegeheims, drei Zeilen. Die Pflegefachkraft hatte die Kraft kurz nach zehn in den Wohnbereich gerufen, weil eine Bewohnerin im Flur nach ihr schlug und auch beim Eintreffen der Kraft nicht aufhörte. Im Bericht steht: „Bewohnerin Zimmer 12 aggressiv, vermutlich Demenzschub, hat wohl wieder ihre Tabletten verweigert.“ Drei Angaben, von denen die Kraft keine selbst wissen kann. „Aggressiv“ ist eine Bewertung, „Demenzschub“ eine Diagnose, die Tabletten sind Hörensagen.
Zwei davon sind Gesundheitsdaten nach Art. 9 DSGVO. Das Haus darf sie führen, weil es die Bewohnerin versorgt (Absatz 2 Buchstabe h). Der Sicherheitsdienst versorgt niemanden. Für ihn greift diese Ausnahme nicht, Art. 9 Absatz 1 verbietet ihm die Erhebung, und was der Zweck seines Berichts nicht braucht, verbietet ohnehin Art. 5 Absatz 1 Buchstabe c. Was die Kraft selbst sieht und tut, ein Sturz, der Anruf beim Rettungsdienst, gehört hinein, weil sie ihr Handeln im Streitfall belegen muss (Art. 9 Absatz 2 Buchstabe f); ein Befund nicht.
Richtig sähe der Eintrag so aus: Uhrzeit des Anrufs, Wohnbereich und Flur, Schlag mit der flachen Hand nach dem Unterarm der Pflegefachkraft. Dazu, was die Kraft getan hat: Abstand gehalten, niemanden angefasst, Pflege verständigt, Uhrzeit der Übergabe. Unsere Kräfte halten fest, was sie selbst gesehen und getan haben, im Nachtdienst wie bei der Sitzwache für weglaufgefährdete Bewohner, keine Vermutung und nie eine Diagnose. Wer den Grund wissen will, findet ihn in der Pflegedokumentation, und die führt das Haus.
Der zweite Fehler ist der Weg, den so ein Bericht nimmt. Er geht an die Stelle, die die Objektdienstanweisung nennt, und an die Leitung des Dienstes. Nicht an den Verteiler des Trägers, nicht als Foto über einen Messenger an die Ablösung, denn jede Kopie ist eine Stelle mehr, an der jemand liest, was er für seine Arbeit nicht braucht.
Was in den Bewachungsvertrag gehört
Wem die Besucherliste gehört, steht im Vertrag, bevor die erste Kraft sie führt: dem Haus, weil es über Zweck und Mittel entscheidet (Art. 4 Nr. 7 DSGVO). Besucherliste, Sperrliste und Kamerabilder führt der Sicherheitsdienst als Auftragsverarbeiter nur auf dokumentierte Weisung (Art. 28 Absatz 3 Buchstabe a), und die Weisungen stehen in der Objektdienstanweisung. Wachbuch und Vorfallbericht schreibt der Dienst auch für sich selbst, als Nachweis seiner Leistung und für seine Haftung. Für diesen Zweck ist er eigener Verantwortlicher, das Haus für die Kopie, die es für Hausrecht und Aufsicht bekommt. Legen beide Form und Verwendung des Berichts gemeinsam fest, sind sie dafür gemeinsam Verantwortliche (Art. 26 DSGVO) und regeln, wer Auskunft gibt und wer eine Panne meldet. Für Dienstplan, Beschäftigtendaten (§ 26 BDSG) und die Aufzeichnungen nach § 21 BewachV ist der Dienst ohnehin allein verantwortlich.
Die Auftragsverarbeitung braucht den Vertrag nach Art. 28 Absatz 3 DSGVO mit Gegenstand, Dauer, Zweck, Datenarten und Betroffenen. Er schließt einen weiteren Auftragsverarbeiter ohne Genehmigung des Hauses aus (Absatz 2) und regelt Rückgabe oder Löschung der Daten nach Vertragsende (Absatz 3 Buchstabe g). Diese Anlage gehört zur Beauftragung eines Sicherheitsdienstes; Art. 28 Absatz 3 DSGVO verlangt sie, bevor die erste Liste geführt wird. Dieselbe Anlage sagt, wem das Datenschutzkonzept gehört: dem Haus und seinem Datenschutzbeauftragten (§ 38 Absatz 1 BDSG, bei Behörden Art. 37 DSGVO). Ein Sicherheitsdienst, der das Konzept gleich mitbringt, überschreitet seine Rolle, weil er über Zwecke entscheidet, die nicht seine sind. Von uns kommt die Dienstanweisung nach § 17 BewachV mit dem Kapitel, das zu Ihrem Konzept passt, quittiert von jeder Kraft vor dem ersten Dienst (§ 17 Absatz 2 BewachV). Ob das Konzept trägt, prüfen wir nicht; das bleibt beim Datenschutzbeauftragten des Hauses.
Verschwiegenheit in drei Schichten
Die erste Schicht kommt aus dem Bewachungsrecht. Nach § 17 Absatz 3 BewachV verpflichtet der Gewerbetreibende jede Wachperson vor der ersten Bewachungstätigkeit schriftlich, Geschäfts- und Betriebsgeheimnisse Dritter auch nach dem Ausscheiden nicht unbefugt zu offenbaren. Das deckt Schließplan und Alarmplan des Hauses ab. Der Name der Bewohnerin aus Zimmer 12 ist kein Geschäftsgeheimnis und braucht deshalb mehr.
In Kliniken, Pflegeeinrichtungen und Wohngruppen reicht das nicht, denn dort arbeiten Geheimnisträger nach § 203 Absatz 1 StGB: Ärztinnen ebenso wie Pflegefachkräfte (Nr. 1) und Sozialpädagogen (Nr. 6). Ist eine Sicherheitskraft in die Abläufe des Hauses eingebunden und bekommt dabei mit, wer dort liegt oder lebt, kann sie als mitwirkende Person gelten, also als jemand, der bei dieser Arbeit hilft. Dann steht die Kraft nach § 203 Absatz 4 StGB unter derselben Strafdrohung wie die Ärztin. Ob schon die reine Bewachung von Tür und Gelände dazu zählt, ist nicht abschließend geklärt. Dass die Kraft vorher zur Geheimhaltung verpflichtet wird, muss der Geheimnisträger sicherstellen (Absatz 4 Satz 2 Nr. 1); in der Praxis übernimmt es das Haus.
Bei Jugendämtern und anderen Leistungsträgern kommt das Sozialgeheimnis dazu (§ 35 SGB I). Nach Absatz 6 bindet es auch einen Auftragsverarbeiter, sobald er Sozialdaten verarbeitet, also das, was die Behörde über die Menschen weiß, die sie betreut. Was einem Mitarbeiter des Jugendamts anvertraut wurde, darf dieser nach § 65 SGB VIII nur mit Einwilligung oder in den eng gefassten Fällen der Nummern 2 bis 7 weitergeben; eine Sicherheitskraft nennt die Vorschrift nicht. Eine Wohngruppe in freier Trägerschaft ist kein Leistungsträger. Sie sichert den Datenschutz nach § 61 Absatz 3 SGB VIII in entsprechender Weise. Die Kraft kennt deshalb Vornamen und Zimmer, der Grund der Unterbringung bleibt beim Träger.
Quer zu allen drei Schichten liegt die datenschutzrechtliche Pflicht: Als Auftragsverarbeiter verpflichtet der Dienst jede Kraft zur Vertraulichkeit (Art. 28 Absatz 3 Buchstabe b, Art. 32 Absatz 4 DSGVO), gleich in welchem Haus sie steht. Die Verpflichtungserklärung für alle Schichten unterschreibt die Kraft vor dem ersten Dienst; eine Kopie liegt in der Einrichtung. Welche Schicht Ihr Haus betrifft, legt Ihr Datenschutzbeauftragter oder die Rechtsabteilung des Trägers fest – der Wortlaut steht dann in der Erklärung.
Kamera und Sprechstelle am Eingang
Für die Kamera gilt, was die Datenschutzkonferenz, der Zusammenschluss der Aufsichtsbehörden, in ihrer Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen (2020, Seiten 22 bis 24) festhält. Nach ein bis zwei Arbeitstagen weiß das Haus, ob jemand die Aufnahme braucht; deshalb hält die Konferenz 72 Stunden im Regelfall für zulässig. Den Ton lässt das Haus vom Errichter, der Fachfirma für die Anlage, so abschalten, dass ihn niemand wieder einschalten kann. Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB mit bis zu drei Jahren Freiheitsstrafe bedroht. Die Sprechstelle überträgt Ton erst nach dem Klingeln und ohne Aufzeichnung, und vor dem erfassten Bereich hängt das Hinweisschild nach Art. 13 DSGVO.
Beim Schutz in Pflege- und Seniorenheimen zeigt eine Kamera den Eingang, nicht den Wohnbereich. Zimmer, Bäder und Ruheräume bleiben frei, weil dort die Privatsphäre der Bewohner vorgeht, die Arbeitsplätze, weil eine dauerhafte Videoüberwachung von Beschäftigten nach der Orientierungshilfe regelmäßig unzulässig ist. Ein Betriebsrat bestimmt nach § 87 Absatz 1 Nr. 6 BetrVG mit, ein Personalrat nach dem Personalvertretungsrecht, bei kirchlichen Trägern die Mitarbeitervertretung, bevor die erste Kamera hängt. Die Kraft bedient die Anlage, installiert hat sie der Errichter. Folgenabschätzung und Auswertung einer KI-Videoüberwachung sind ein eigenes Kapitel.
Wer Auskunft bekommt und wer eine Panne meldet
Der Sohn der Bewohnerin steht zwei Tage später bei der Heimleitung und verlangt den Bericht der Nachtschicht, weil seine Mutter einen blauen Fleck am Handgelenk hat. Auskunft nach Art. 15 DSGVO bekommt er über seine eigenen Daten, über die seiner Mutter nur mit Vollmacht oder als Betreuer mit passendem Aufgabenkreis. Die Auskunft erteilt das Haus als Verantwortlicher, nicht die Kraft. Die verweist ihn an die Leitung. Ein Bericht, der nur Beobachtung, eigene Handlung und Uhrzeiten enthält, lässt sich als Kopie herausgeben (Absatz 3), den Namen der Pflegefachkraft geschwärzt, soweit Absatz 4 das verlangt. Das Haus muss sich dann für den Inhalt nicht rechtfertigen. Einer mit „vermutlich Demenzschub“ nicht.
Um 6:50 Uhr, beim Schichtwechsel in einer Wohngruppe der Jugendhilfe, fotografiert die Nachtkraft die Seite des Wachbuchs mit ihrem privaten Handy und schickt sie der Ablösung. Auf der Seite stehen zwei Vornamen und die Uhrzeit, zu der einer der Jugendlichen nachts zurückkam. Damit liegen ihre Daten auf zwei privaten Geräten und dem Server eines Messengers – im Gesetz eine Verletzung des Schutzes personenbezogener Daten, im Haus eine Datenpanne. Die Kraft meldet es der Leitung ihres Dienstes, der Dienst dem Haus unverzüglich (Art. 33 Absatz 2 DSGVO). Für sein eigenes Wachbuch prüft der Dienst selbst, ob die Aufsichtsbehörde binnen 72 Stunden zu informieren ist; das Haus entscheidet dasselbe mit seinem Datenschutzbeauftragten für die Daten, die es verantwortet (Absatz 1), gerechnet ab Kenntnis. Für ein verlorenes Wachbuch oder eine Besucherliste im Altpapier gilt derselbe Meldeweg, auch wenn am Ende niemand die Seite gelesen hat.
Wie lange die Daten bleiben
Für die Kamera gibt es die 72 Stunden, für Papier und Tablet keine eigene Frist in der Bewachungsverordnung. Sie verpflichtet den Dienst in § 21 BewachV nur, Verträge, Wachpersonen, Belehrungen und den Umgang mit Waffen aufzuzeichnen und diese Aufzeichnungen und Belege bis zum Schluss des dritten folgenden Kalenderjahres aufzubewahren. Vom Wachbuch steht dort nichts, vom Vorfallbericht auch nicht. Deren Aufbewahrung folgt aus Zweck und Vertrag. Das Wachbuch belegt die Leistung; darum richtet sich seine Aufbewahrung nach den drei Jahren der regelmäßigen Verjährung ab Jahresende (§§ 195, 199 BGB), als Anhalt, nicht als Vorschrift. Ein Vorfallbericht mit Verletzung bleibt, bis Verfahren oder Versicherung abgeschlossen sind, und so lange geht auch ein Löschverlangen nach Art. 17 DSGVO ins Leere (Absatz 3 Buchstabe e). Ein Besucher-Eintrag bleibt zur Nachvollziehbarkeit wenige Tage, ein Sperrlisten-Eintrag bis zum Ende des Hausverbots. Diese Fristen stehen in Vertrag und Dienstanweisung.
Das Datenschutz-Kapitel der Objektdienstanweisung
Was in einer Schicht aufgeschrieben wird und was nicht, gehört in die Objektdienstanweisung. Das Kapitel zum Datenschutz im Sicherheitsdienst braucht sechs Punkte, hinter jedem steht eine Entscheidung des Hauses:
- Was aufgeschrieben wird und was nicht: Beobachtung, eigene Handlung, Uhrzeit, gerufene Stelle. Keine Vermutungen, keine Diagnosen, keine Fotos von Personen.
- Wo Papier und Tablet liegen: abschließbarer Schrank, Tablet mit Sperre, kein privates Handy für dienstliche Notizen (Art. 32 DSGVO).
- Wer liest: die Leitung des Dienstes und die vom Haus benannten Funktionen mit Rufnummer, sonst niemand.
- Meldeweg bei einer Panne: Kraft an die Leitung des Dienstes, Dienst an Haus und für sein eigenes Wachbuch selbst an die Aufsichtsbehörde, Haus an Datenschutzbeauftragten und gegebenenfalls binnen 72 Stunden an die Aufsichtsbehörde.
- Verpflichtungserklärung: vor dem ersten Dienst unterschrieben, Kopie in der Einrichtung; Art. 28 Absatz 3 Buchstabe b DSGVO und § 17 BewachV immer, § 203 StGB oder § 35 SGB I je nach Haus.
- Übergabe und Löschung bei Vertragsende: welche Bücher und Listen an das Haus gehen, welche der Dienst zum Nachweis behält, wann er sie vernichtet, mit Quittung.
Häufige Fragen
Darf der Sicherheitsdienst eine Besucherliste führen?
Ja, wenn das Haus als Verantwortlicher sie angeordnet hat und der Zweck feststeht, meist Zutritt und Räumung im Notfall. Rechtsgrundlage der Besucherliste ist nach der DSGVO bei privaten Trägern das berechtigte Interesse (Art. 6 Absatz 1 Buchstabe f), bei Behörden die Aufgabenerfüllung (Buchstabe e mit § 3 BDSG oder dem Landesdatenschutzgesetz).
Wie lange darf ein Wachbuch aufbewahrt werden?
Eine eigene Frist nennt die Bewachungsverordnung nicht, denn § 21 BewachV betrifft Verträge, Wachpersonen und Belehrungen, nicht das Schichtbuch. Die Aufbewahrung richtet sich nach Nachweis und Haftung und orientiert sich an der regelmäßigen Verjährungsfrist von drei Jahren ab Jahresende (§§ 195, 199 BGB). Die konkrete Frist gehört in den Bewachungsvertrag.
Braucht der Sicherheitsdienst einen AV-Vertrag?
Ja, einen Vertrag zur Auftragsverarbeitung für Besucherlisten, Sperrlisten und Kamerabilder, die er nach den Vorgaben des Hauses führt. Dann handelt er auf Weisung nach Art. 28 DSGVO. Für seine eigenen Zwecke, also Dienstplan, Wachbuch und den Bericht als Leistungsnachweis, bleibt er selbst Verantwortlicher. Diese Grenze folgt aus dem Zweck, und der Vertrag hält sie fest.
Darf im Vorfallbericht die Diagnose eines Bewohners stehen?
Nein. Eine Diagnose ist ein Gesundheitsdatum nach Art. 9 DSGVO, und der Sicherheitsdienst braucht sie für den Zweck des Berichts nicht. In den Bericht gehören Uhrzeit, Ort, das beobachtete Verhalten, die eigene Handlung und wer gerufen wurde.
Darf eine Überwachungskamera Ton aufnehmen?
Nein. Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB strafbar, und die Datenschutzkonferenz verlangt, eine vorhandene Audiofunktion unumkehrbar zu deaktivieren. Eine Sprechstelle am Eingang darf Ton übertragen, nach dem Klingeln und ohne Aufzeichnung.
