Offene Kommunikation
Sicherheitsdienstleister verarbeiten täglich sensible Daten: Schichtpläne, Zugangsberechtigungen, Videoaufnahmen, Personaldaten von Kundenmitarbeitern. Doch viele unterschätzen ihre Rolle als Auftragsverarbeiter nach DSGVO. Wir klären über Rechte, Pflichten und typische Fallstricke auf.
Warum Auftragsverarbeitung in der Sicherheitsbranche besonders relevant ist
Sicherheitsdienstleister haben typischerweise Zugriff auf besonders schützenswerte Daten:
| Datenart | Beispiele |
|---|---|
| Personendaten | Namen, Adressen, Geburtsdaten von Kunden, Besuchern oder Mitarbeitern |
| Zutrittsdaten | Wer wann welche Tür geöffnet hat (inklusive Zeitstempel) |
| Videoaufnahmen | Bewegtbilder von Personen, oft mit Gesichtserkennung |
| Einsatzberichte | Detaillierte Beschreibungen von Vorfällen (auch mit Personenbezug) |
| Schichtpläne | Arbeitszeiten und Einsatzorte der eigenen Sicherheitskräfte |
| Sicherheitskonzepte | Vertrauliche Dokumente über Schwachstellen des Kunden |
Die Krux: Der Sicherheitsdienstleister handelt im Auftrag seines Kunden. Damit ist er rechtlich ein Auftragsverarbeiter – mit weitreichenden Pflichten.
Die rechtliche Grundlage: Art. 28 DSGVO
Die Datenschutz-Grundverordnung (DSGVO) unterscheidet klar zwischen:
| Rolle | Definition | Beispiel |
|---|---|---|
| Verantwortlicher | Entscheidet über Zweck und Mittel der Verarbeitung | Der Kunde (z. B. ein Unternehmen, das sein Gebäude überwachen lässt) |
| Auftragsverarbeiter | Verarbeitet Daten im Auftrag des Verantwortlichen | Der Sicherheitsdienstleister |
Kernaussage: Der Sicherheitsdienstleister darf nur das tun, was ihm der Kunde vertraglich erlaubt hat – und muss strenge technische und organisatorische Maßnahmen (TOM) umsetzen.
Die 7 wichtigsten Pflichten als Auftragsverarbeiter
1. Abschluss eines Auftragsverarbeitungsvertrags (AVV)
Dies ist zwingend erforderlich, bevor Sie mit der Verarbeitung beginnen. Der AVV muss regeln:
- Gegenstand und Dauer der Auftragsverarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien betroffener Personen
- Pflichten des Auftragsverarbeiters (Weisungsgebundenheit, TOM, Unterstützungspflichten)
Praxistipp: Viele Kunden haben eigene AVV-Vorlagen. Prüfen Sie diese sorgfältig – insbesondere Haftungs- und Kontrollrechte.
2. Weisungsgebundenheit
Sie dürfen nur nach Weisung des Kunden handeln. Eigenmächtige Verarbeitungen (z. B. länger speichern als vereinbart, Daten an Dritte weitergeben) sind verboten.
Ausnahme: Gesetzlich verpflichtende Weisungen (z. B. Herausgabe von Videoaufnahmen an die Polizei) sind zulässig, müssen aber dokumentiert werden.
3. Technische und organisatorische Maßnahmen (TOM)
Sie müssen nachweisen, dass Ihre Systeme und Abläufe sicher sind. Dazu gehören:
- Verschlüsselung von Video- und Zutrittsdaten
- Zugriffskontrollen (nur befugte Mitarbeiter haben Zugriff)
- Protokollierung aller Zugriffe
- Regelmäßige Backups und Wiederherstellungsmöglichkeiten
- Sicherheitsupdates und Patch-Management
- Notfallplan bei Datenpannen
Praxistipp: Dokumentieren Sie Ihre TOM schriftlich – das ist im Streitfall Ihre beste Verteidigung.
4. Unterstützungspflichten gegenüber dem Kunden
Sie müssen den Kunden unterstützen bei:
- Erfüllung von Auskunftsansprüchen betroffener Personen (“Welche Daten über mich sind gespeichert?”)
- Berichtigung oder Löschung von Daten
- Einschränkung der Verarbeitung
- Meldung von Datenschutzverletzungen an Aufsichtsbehörden
5. Meldepflicht bei Datenschutzverletzungen
Stellen Sie eine Datenschutzverletzung fest (z. B. gehacktes Videosystem, verlorener Dienstlaptop mit sensiblen Daten), müssen Sie:
- Unverzüglich den Kunden informieren (keine Frist, aber “ohne angemessene Verzögerung”)
- Alle bekannten Informationen zur Verletzung liefern (Umfang, betroffene Daten, Gegenmaßnahmen)
- Den Kunden bei der Meldung an die Aufsichtsbehörde unterstützen
Achtung: Verschweigen kann teuer werden – Bußgelder bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes.
6. Einsatz von Subunternehmern nur mit Genehmigung
Dürfen Ihre Sicherheitskräfte eigenständig externe Dienstleister einsetzen (z. B. Cloud-Speicher, Wartungstechniker, Reinigungskräfte mit Zugang zu sensiblen Bereichen)?
- Nur mit vorheriger schriftlicher Genehmigung des Kunden
- Gleiche vertragliche Pflichten für den Subunternehmer (AVV erforderlich)
- Haftung bleibt bei Ihnen (Sie müssen dem Kunden für Subunternehmer haften)
7. Löschung oder Rückgabe aller Daten nach Auftragsende
Nach Vertragsende müssen Sie entweder:
- Alle personenbezogenen Daten löschen (auch Backups, Logs, E-Mails) oder
- Dem Kunden aushändigen (z. B. auf einer Festplatte)
Eine Aufbewahrung “für den Fall der Fälle” ist nicht erlaubt. Ausnahmen gelten nur, wenn gesetzliche Aufbewahrungspflichten bestehen (z. B. handelsrechtliche Aufbewahrung von Rechnungen für 10 Jahre – aber ohne personenbezogene Inhalte).
Typische Fallstricke in der Sicherheitsbranche
Fallstrick 1: Mündliche Vereinbarungen reichen nicht
Viele Sicherheitsdienstleister arbeiten seit Jahren mit einem Kunden – aber es gibt keinen schriftlichen AVV. Das ist rechtswidrig und kann bei einer Prüfung durch die Aufsichtsbehörde zu hohen Bußgeldern führen.
Fallstrick 2: Videoüberwachung ohne Löschkonzept
“Daueraufzeichnung für 30 Tage – sicher ist sicher.” Ist es nicht. Die DSGVO erlaubt nur so lange Speicherung, wie es für den Zweck erforderlich ist. Im Zweifel müssen Sie kürzere Fristen oder ereignisgesteuerte Aufzeichnung (nur bei Alarm) vereinbaren.
Fallstrick 3: Keine Dokumentation von Zugriffen
Wer hat wann auf welche Videoaufnahme zugegriffen? Wenn Sie das nicht protokollieren, können Sie im Streitfall nicht beweisen, dass kein unbefugter Zugriff stattfand.
Fallstrick 4: Private Handys von Sicherheitskräften
Ein Mitarbeiter fotografiert einen verdächtigen Gegenstand mit seinem privaten Smartphone und teilt das Bild über WhatsApp. Datenschutzverletzung! Private Geräte haben in der Auftragsverarbeitung nichts zu suchen.
Fallstrick 5: Unklare Weisungslage
Der Kunde fordert “einfach mal kurz” eine Löschung aller Aufnahmen von einem bestimmten Tag. Darf er das? Ja, aber nur, wenn der AVV das vorsieht. Und Sie müssen die Weisung dokumentieren.
Ihre Rechte als Auftragsverarbeiter
Nicht nur Pflichten – Sie haben auch wichtige Rechte:
| Recht | Bedeutung |
|---|---|
| Weisungsgebundene Vergütung | Sie können für Mehraufwand (z. B. aufwendige Auskunftserteilung) eine gesonderte Vergütung verlangen, wenn nichts anderes vereinbart ist. |
| Einschränkung der Haftung | Sie haften nur für Schäden, die durch Ihre Pflichtverletzung entstanden sind – nicht für allgemeine Risiken des Kunden. |
| Kündigung bei Weisungsverstoß | Wenn der Kunde rechtswidrige Weisungen erteilt (z. B. “Überwachen Sie auch die Toiletten”), können Sie die Weisung verweigern und im Extremfall kündigen. |
| Nachweis der TOM | Sie dürfen dem Kunden gegenüber nachweisen, dass Ihre Sicherheitsmaßnahmen angemessen sind (z. B. durch Zertifikate wie ISO 27001). |
Vertragsgestaltung: Was unbedingt in den AVV muss
Ein professioneller Auftragsverarbeitungsvertrag für Sicherheitsdienstleister sollte mindestens enthalten:
- Genaue Beschreibung der verarbeiteten Daten (z. B. “Videoaufnahmen aus den Kameras 1-10, Zutrittsdaten vom Haupteingang”)
- Speicherfristen für jede Datenkategorie
- Weisungsrecht des Kunden (einschließlich Verfahren für Weisungen)
- TOM-Katalog (technisch und organisatorisch) als Anlage
- Kontrollrechte des Kunden (z. B. jährliches Auditrecht)
- Regelungen zu Subunternehmern (Genehmigungsvorbehalt, AVV für Subunternehmer)
- Meldepflichten bei Datenschutzverletzungen
- Lösch- und Rückgabepflichten nach Vertragsende
- Haftungsregelungen (wer haftet für was)
- Vertragsstrafe bei Pflichtverletzung (optional, aber empfehlenswert)
Checkliste für Sicherheitsdienstleister
Prüfen Sie regelmäßig, ob Sie folgende Punkte erfüllen:
- Liegt mit jedem Kunden ein schriftlicher AVV vor?
- Ist der AVV aktuell (insbesondere die TOM)?
- Haben Sie Ihre TOM dokumentiert und können sie nachweisen?
- Werden Zugriffe auf personenbezogene Daten protokolliert?
- Gibt es ein Verfahren für Datenschutzverletzungen (interner Meldeweg, Vorlagen für Kundenmeldungen)?
- Sind Ihre Mitarbeiter regelmäßig zum Thema Datenschutz geschult?
- Nutzen Ihre Mitarbeiter Dienstgeräte (keine privaten Smartphones)?
- Werden Daten nach Vertragsende wirklich gelöscht (nicht nur “vergessen”)?
- Haben Sie einen Datenschutzbeauftragten bestellt (falls gesetzlich erforderlich)?
Fazit: Auftragsverarbeitung als Wettbewerbsvorteil
Viele Sicherheitsdienstleister sehen die DSGVO-Pflichten als lästige Bürokratie. Dabei ist die rechtskonforme Auftragsverarbeitung ein echtes Qualitätsmerkmal:
- Kunden fühlen sich sicher, wenn Sie professionell mit ihren Daten umgehen
- Ein sauberer AVV vermeidet spätere Streitigkeiten
- Gute TOM reduzieren das Risiko von Datenpannen (und damit Haftungsrisiken)
Investieren Sie in Rechtsberatung, Dokumentation und Mitarbeiterschulung. Die Kosten sind gering im Vergleich zu einem Bußgeld oder einem Vertrauensverlust.
Sie haben Fragen zur Auftragsverarbeitung oder benötigen Unterstützung bei der Vertragsgestaltung? Wir beraten Sie diskret, praxisnah und mit langjähriger Erfahrung in der Sicherheitsbranche.
Hinweis: Dieser Artikel ersetzt keine anwaltliche Beratung. Die Rechtslage kann sich ändern, und individuelle Verträge sollten von einem Fachanwalt für Datenschutzrecht geprüft werden.