Kurze Zusammenfassung:
- Eine Anfrage ist noch keine Auskunftspflicht. Entscheidend sind die konkrete Rechtsgrundlage und die Art der verlangten Mitwirkung.
- Auch freiwillige Auskünfte brauchen eine Grundlage. Unternehmen müssen Erforderlichkeit, Betroffeneninteressen und gegebenenfalls eine Zweckänderung prüfen.
- Videoaufnahmen sind nicht automatisch biometrische Daten. Besondere Anforderungen können sich aber aus Inhalt und technischer Verarbeitung ergeben.
- Ein geregelter Ablauf erleichtert die Entscheidung. Zuständigkeiten, sichere Übermittlung und Dokumentation sollten vor der ersten Anfrage feststehen.
Die Polizei bittet Ihren Betrieb um Kundendaten oder Aufnahmen einer Überwachungskamera. Die Anfrage wirkt nachvollziehbar, die Bearbeitung eilig. Darf Ihr Team die Informationen direkt versenden?
Für Geschäftsführungen kleiner und mittlerer Unternehmen gilt: Ein Auskunftsverlangen der Polizei muss zunächst rechtlich eingeordnet werden. Das Unternehmen bleibt für seine Datenübermittlung verantwortlich. Die Befugnisse der Ermittlungsbehörde ersetzen diese Prüfung nicht. Das erläutert auch der Europäische Datenschutzausschuss in seinen Leitlinien zur Videoüberwachung, Abschnitt 4.2.
Wann besteht eine Auskunftspflicht?
Die Strafprozessordnung unterscheidet zwischen Ermittlungsbefugnissen, Zeugenaussagen und der Herausgabe von Beweismitteln. Daraus folgen unterschiedliche Pflichten.
Eine allgemeine polizeiliche Anfrage: Die Polizei darf Straftaten erforschen. Daraus ergibt sich jedoch keine pauschale Verpflichtung privater Unternehmen, jede gewünschte Information herauszugeben. Die allgemeine Auskunftsbefugnis in § 163 Absatz 1 StPO richtet sich insoweit ausdrücklich an Behörden.
Eine Zeugenladung: Wer als Zeuge vor Ermittlungspersonen der Staatsanwaltschaft geladen wird, muss grundsätzlich erscheinen und aussagen, wenn ein Auftrag der Staatsanwaltschaft zugrunde liegt. Zeugnis- und Auskunftsverweigerungsrechte bleiben zu beachten. Maßgeblich ist § 163 Absatz 3 StPO. Für Ladungen durch die Staatsanwaltschaft gilt § 161a StPO.
Ein Herausgabeverlangen: Für Gegenstände, die als Beweismittel bedeutsam sein können, regeln §§ 94 und 95 StPO Sicherstellung und Herausgabepflichten. Ob das konkrete Verlangen darunter fällt und welche Grenzen gelten, muss anhand seines Inhalts geprüft werden.
Besteht eine wirksame gesetzliche Verpflichtung, kommt für die erforderliche Übermittlung Artikel 6 Absatz 1 Buchstabe c DSGVO in Betracht. Ein Aktenzeichen oder ein Behördenbrief allein schafft diese Verpflichtung nicht.
Wann sind freiwillige Auskünfte zulässig?
Fehlt eine Herausgabepflicht, kann eine Übermittlung dennoch zulässig sein. Für gewöhnliche personenbezogene Daten kommt insbesondere Artikel 6 Absatz 1 Buchstabe f DSGVO infrage: Die Verarbeitung muss einem berechtigten Interesse dienen, erforderlich sein und darf nicht an überwiegenden Interessen oder Grundrechten der betroffenen Personen scheitern.
Prüfen Sie deshalb konkret:
- Welcher nachvollziehbare Verdacht oder Vorfall liegt vor?
- Welchen Beitrag leisten gerade diese Daten zur Aufklärung?
- Lassen sich Umfang oder betroffener Personenkreis begrenzen?
- Welche Folgen hat die Offenlegung für Betroffene und unbeteiligte Dritte?
Die maßgeblichen Voraussetzungen enthält Artikel 6 DSGVO, Behördenausgabe der Berliner Datenschutzbeauftragten. Eine pauschale Begründung wie „Unterstützung der Polizei“ genügt für eine nachvollziehbare Einzelfallprüfung nicht.
Zweckänderung gesondert prüfen
Kundendaten werden häufig zur Vertragsabwicklung erhoben. Ihre spätere Verwendung zur Strafverfolgung kann einen anderen Zweck verfolgen.
Für nichtöffentliche Stellen erlaubt § 24 Absatz 1 Nummer 1 BDSG eine solche Zweckänderung, wenn sie zur Strafverfolgung oder zur Abwehr bestimmter Sicherheitsgefahren erforderlich ist und die Interessen der betroffenen Person am Ausschluss der Verarbeitung nicht überwiegen.
Die Vorschrift begründet keine allgemeine Auskunftspflicht. Dokumentieren Sie deshalb sowohl die Grundlage der Übermittlung als auch die Zulässigkeit eines gegebenenfalls geänderten Verwendungszwecks.
Für besondere Datenkategorien verlangt § 24 Absatz 2 BDSG zusätzliche Voraussetzungen. Die allgemeine Zweckänderungsregel reicht dafür allein nicht aus.
Videoaufnahmen richtig einordnen
Eine Aufnahme wird nicht schon deshalb zu biometrischen Daten im Sinne von Artikel 9 DSGVO, weil Gesichter erkennbar sind. Dafür kommt es insbesondere auf spezielle technische Verfahren und den Zweck der eindeutigen Identifizierung an.
Allerdings können Aufnahmen andere besonders geschützte Informationen enthalten oder entsprechend ausgewertet werden. Bei Gesundheitsdaten oder biometrischer Gesichtserkennung ist deshalb eine zusätzliche Prüfung erforderlich. Die Einzelheiten erläutern die EDSA-Leitlinien, Abschnitte 5 und 5.1.
Auch § 4 BDSG sollte ein privates Unternehmen nicht pauschal als Grundlage seiner Videoüberwachung heranziehen. Die Datenschutzkonferenz verweist hierfür auf die DSGVO und auf das Urteil des Bundesverwaltungsgerichts vom 27.03.2019, 6 C 2.18. Das Verfahren betraf eine Überwachung in einer Zahnarztpraxis, keine polizeiliche Datenanforderung.
Beispiel: Eine Werkstatt erhält eine Anfrage nach sämtlichen Kameraaufnahmen einer Woche. Als Anlass wird ein Vorfall an einem bestimmten Nachmittag genannt. Sinnvoll ist zunächst die Klärung des benötigten Zeitfensters und Kamerabereichs. Ein vollständiger Wochenexport kann zahlreiche Unbeteiligte erfassen.
Auskunftsverlangen im Betrieb bearbeiten
Für die Praxis empfiehlt sich ein zentraler Ablauf:
- Anfrage verifizieren. Prüfen Sie Dienststelle und anfragende Person über unabhängig ermittelte Kontaktdaten. Eine angezeigte Telefonnummer genügt dafür nicht.
- Verlangen konkretisieren. Lassen Sie sich Anlass, Rechtsgrundlage, Datenumfang und eine etwaige Frist erläutern. Eine schriftliche Bestätigung erleichtert die Prüfung.
- Zuständige Stelle einschalten. Bestimmen Sie, wer entscheidet und wann Rechtsberatung sowie Datenschutzbeauftragte einzubeziehen sind.
- Datenumfang festlegen. Begrenzen Sie die Herausgabe auf das erforderliche beziehungsweise wirksam angeordnete Material. Stimmen Sie Unklarheiten ab, bevor Sie Beweismaterial verändern.
- Sicher übermitteln. Nutzen Sie einen zum Schutzbedarf passenden Übertragungsweg und kontrollieren Sie den Empfänger.
- Entscheidung festhalten. Dokumentieren Sie Anfrage, Prüfung, Freigabe, Datenumfang, Empfänger und Übergabezeitpunkt.
Datenminimierung und nachvollziehbare Dokumentation gehören zu den Anforderungen, welche die Datenschutzkonferenz in ihrer Orientierungshilfe zur Videoüberwachung erläutert.
Eine kurze Arbeitsanweisung sollte außerdem Vertretungen und dringende Fälle regeln. Praktische Übungen lassen sich in eine Inhouse-Schulung zum Datenschutz aufnehmen.
Betroffene und Speicherung berücksichtigen
Eine rechtmäßige Übermittlung erledigt nicht automatisch alle weiteren Datenschutzfragen. Prüfen Sie bestehende Datenschutzhinweise und zusätzliche Informationspflichten bei einer Zweckänderung.
Eine Bitte um Vertraulichkeit ersetzt keine gesetzliche Ausnahme. Ob Informationen zum Schutz von Ermittlungen unterbleiben dürfen, muss gesondert geprüft werden; einschlägig kann insbesondere § 32 BDSG sein.
Legen Sie außerdem fest, wann intern angefertigte Exportdateien und Arbeitskopien wieder gelöscht werden. Eine konkrete Beweissicherung ist von einer unbegrenzten Vorratsspeicherung zu unterscheiden.
Fazit: Zuständigkeiten vorab festlegen
Unternehmen sollten polizeiliche Anfragen zügig einer zuständigen Person vorlegen. Diese klärt die Mitwirkungspflicht, prüft eine mögliche freiwillige Übermittlung und legt den zulässigen Datenumfang fest.
Die anwaltskanzlei schutt unterstützt Unternehmen bei der Prüfung solcher Anfragen und bei internen Datenschutzabläufen. Ein Datenschutz-Check kann organisatorischen Handlungsbedarf aufzeigen. Für die Prüfung Ihres konkreten Verfahrens nutzen Sie den Kontakt zur anwaltskanzlei schutt.
FAQ
Müssen Unternehmen einen richterlichen Beschluss verlangen?
Nicht in jedem Fall. Mitwirkungspflichten können auch ohne richterlichen Beschluss bestehen. Entscheidend sind die gesetzliche Grundlage, die Zuständigkeit und die konkrete Maßnahme.
Darf das Unternehmen telefonisch Auskunft geben?
Eine telefonische Anfrage ist nicht automatisch unwirksam. Identität, Rechtsgrundlage und Datenumfang müssen jedoch zuverlässig geklärt werden. Bei gewöhnlichen Anfragen empfiehlt sich eine schriftliche Konkretisierung.
Muss die betroffene Person vorher einwilligen?
Nicht, wenn eine andere tragfähige Rechtsgrundlage die Übermittlung erlaubt oder verlangt. Eine Einwilligung ist daher kein allgemeiner Pflichtschritt.
Gelten diese Regeln auch bei akuter Gefahr?
Akute Gefahren können andere Befugnisse und Rechtsgrundlagen auslösen. Die hier behandelte Strafverfolgung lässt sich nicht unverändert auf jede Maßnahme der Gefahrenabwehr übertragen.
Reicht diese Prüfung auch für Telekommunikationsdaten?
Nicht ohne Weiteres. Für bestimmte Daten und Branchen gelten zusätzliche Vorschriften, etwa zum Fernmeldegeheimnis. Solche Anfragen benötigen eine gesonderte rechtliche Einordnung.
