Das Sicherheitsüberprüfungsgesetz: Datenschutz und Regelungslücken

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) beschäftigt sich in seinem 30. Tätigkeitsbericht (S. 72 f.) auch mit dem Spannungsverhältnis zwischen dem SÜG und der DS-GVO*.
Das Sicherheitsüberprüfungsrecht unterliegt der besonderen Herausforderung, die unterschiedlichen Interessen des Staates und des Einzelnen möglichst ins Gleichgewicht zu bringen (vgl. BfDI-Broschüre: Datenschutz im Sicherheitsüberprüfungsrecht).

Den Sicherheitsinteressen des Staates steht hierbei das Recht auf informationelle Selbstbestimmung des Einzelnen gegenüber, der im Rahmen der Sicherheitsüberprüfung einige auch höchstpersönliche Daten preisgeben muss.
Durch eine Sicherheitsüberprüfung soll im Vorfeld verhindert werden, dass Personen zum Umgang mit Verschlusssachen ermächtigt werden oder Zugang zu sicherheitsempfindlichen Stellen erhalten, bei denen ein Sicherheitsrisiko besteht. Im Sicherheitsüberprüfungsverfahren werden hierzu viele teils höchstpersönliche Daten erhoben und verarbeitet. Daher sieht das Gesetz vor, dass eine Sicherheitsüberprüfung nicht ohne die ausdrückliche Zustimmung der betroffenen und mitbetroffenen Person (z.B. Ehe- oder Lebenspartner) erfolgen darf.

Die gesetzliche Grundlage des Geheim- und Sabotageschutzes bildet das Sicherheitsüberprüfungsgesetz (SÜG). Hier finden sich auch spezielle datenschutzrechtliche Regelungen für den Umgang mit den personenbezogenen Daten der sicherheitsüberprüften Personen. Insbesondere findet die Datenschutz-Grundverordnung keine Anwendung. Aus dem für Polizei und Justiz maßgeblichen dritten Teil des Bundesdatenschutzgesetzes gelten nur einzelne Vorschriften.  

Bei einer anstehenden Evaluierung des SÜG regt der BfDI die Beantwortung folgenden Fragen mittels gesetzlicher Regelung an:

1. Haben Datenschutzbeauftragte eines Unternehmens das Recht, die dort geführten Sicherheitsakten einzusehen?

2. Wer ist der richtige Adressat einer Beanstandung im nichtöffentlichen Bereich?

3. Welche Maßnahmen sind durch das Bundesamt für Verfassungsschutz (BfV) bei einer Sicherheitsüberprüfung auf Antrag ausländischer Dienststellen nach § 33 SÜG durchzuführen?

4. Auf welcher Grundlage kann die Datenübermittlung im Rahmen des in der Wirtschaft häufig auftretenden Besuchskontrollverfahrens erfolgen?
Ist hier eine Einwilligung seitens der Betroffenen zur Datenweitergabe möglich?

Die abschließende Empfehlung des BfDI für diese Thematik ist wie folgt:
„Ich empfehle, das Einsichtsrecht der betrieblichen Datenschutzbeauftragten in die im Unternehmen geführten Sicherheitsakten, den Adressaten einer Beanstandung im nichtöffentlichen Bereich, den Umfang der Maßnahmen bei Sicherheitsüberprüfungen gem. § 33 SÜG sowie die Datenübermittlung im sogenannten Besuchskontrollverfahren im SÜG zu regeln.„


*Neben dem Auskunftsrecht kann sich jede Person an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) wenden, wenn sie der Ansicht ist, bei der Verarbeitung ihrer personenbezogenen Daten nach dem Sicherheitsüberprüfungsgesetz durch öffentliche oder nichtöffentliche Stellen in ihren Rechten verletzt worden zu sein (§ 36a SÜG). Der BfDI prüft ausschließlich Verstöße gegen die Datenschutzbestimmungen des Sicherheitsüberprüfungsgesetzes. Geprüft und bewertet wird zum Beispiel, ob personenbezogene Daten im Sicherheitsüberprüfungsverfahren richtig erhoben, übermittelt, gespeichert, korrigiert oder gelöscht wurden. Die Prüfung und Bewertung, insbesondere von sicherheitserheblichen Erkenntnissen oder die Feststellung eines Verfahrenshindernisses, unterliegen hingegen nicht der Prüfkompetenz des BfDI.

(Foto: unshu – stock.adobe.com)