Dienstleistungen eines Wachunternehmens als Auftragsverarbeitung

Wachschutz als Auftragsverarbeitung

Frage des GDD Erfa-Kreises Würzburg zu den Dienstleistungen eines Wachunternehmens als Auftragsverarbeitung:

Ein Unternehmen (Wachunternehmen) führt die Einlasskontrolle in einem Produktionsunternehmen (Kunde) als externe Dienstleistung durch. Die Mitarbeiter des Wachunternehmens arbeiten auf Systemen des Kunden. Dabei werden einerseits Daten Einlass begehrender Personen mit den im System des Unternehmens gespeicherten Informationen abgeglichen, andererseits auch die Daten neuer Kontakte in das System des Kunden aufgenommen. Die Mitarbeiter müssen die Daten also zur Kenntnis nehmen, um die geschuldete Tätigkeit der Einlasskontrolle durchzuführen. Die Mitarbeiter sind nicht als überlassene Arbeitnehmer tätig, eine Geheimhaltungsvereinbarung ist geschlossen, die Mitarbeiter sind auf den Datenschutz verpflichtet.

  • Ist ein AV-Vertrag erforderlich oder liegt eine bloße Nebenleistung vor?
  • Ändert sich an der Antwort etwas, wenn die Mitarbeiter des Wachunternehmens streng nach den Vorgaben des Kunden vorgehen oder aber den Datenabgleich unter Berücksichtigung eigener Erfahrungswerte variieren (z. B. Tiefe der Prüfung im Sinne des Abgleichs von im Einzelfall mehr oder weniger Merkmalen?).

Antwort des BayLDA:

Externe Sicherheits-Dienstleister, die an der Pforte Besucher- und Anliefererdaten erheben, sind nach unserer Auffassung grundsätzlich Auftragsverarbeiter (vgl. die von uns veröffentlichte Übersicht zur Abgrenzung zwischen Auftragsverarbeitung und anderen Sachverhalten unter https://www.lda.bayern.de/media/FAQ_Abgrenzung_Auftragsverarbeitung.pdf). Dies würden wir in beiden angesprochenen Varianten so sehen, da in beiden Fällen nur das Pro-duktionsunternehmen derjenige ist, der über die Zwecke und Mittel der Datenverarbeitung entscheidet und daher Verantwortlicher ist, nicht hingegen der Dienstleister.

Letztes Update:13.11.18

  • Stand der Technik

    Handreichung zum Stand der Technik

    Sowohl das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme“ (IT-Sicherheitsgesetz bzw. ITSiG) als auch die europäische Datenschutz-Grundverordnung (DS-GVO) erwähnen den Begriff des Stands der Technik als eine Forderung, an der sich die IT-Sicherheit orientieren soll. Im Bereich des technischen Datenschutzes fordert die DS-GVO in Art. 32 DS-GVO zum Schutze der Rechte und Freiheiten natürlicher Personen

    Mehr erfahren
  • Wegweiser

    LDI NRW aktualisiert FAQ zum DSB

    Mit dem Inkrafttreten der Datenschutz-Grundverordnung (DS-GVO) existiert erstmals eine europaweit verbindliche verpflichtende Regelung zur Bestellung betrieblicher und behördlicher Datenschutzbeauftragter. Während die EG-Datenschutzrichtlinie (95/46/EG) die Verpflichtung zur Bestellung von Datenschutzbeauftragten lediglich als Alternative vorsah, um die Meldepflicht gegenüber der Datenschutzaufsichtsbehörde entfallen zu lassen, wird sich mit Geltung der DS-GVO ab dem 25. Mai 2018 eine Bestellpflicht

    Mehr erfahren
  • Kündigung wegen Missbrauch von Kundendaten

    Missbrauch von Kundendaten: Fristlose Kündigung

    In seinem Urteil vom 15.01.2020 hat das Arbeitsgericht Siegen entschieden, dass der Missbrauch von Kundendaten durch einen IT-Mitarbeiter die fristlose Kündigung des Arbeitsverhältnisses rechtfertigen kann. Nach Ansicht des Arbeitsgerichts ist ein IT-Mitarbeiter verpflichtet, sensible Kundendaten zu schützen und darf diese nicht zu anderen Zwecken missbrauchen. Ein Verstoß gegen diese Pflichten rechtfertige in der Regel eine

    Mehr erfahren