FACHWISSEN | DATENSCHUTZ
Observationen, Recherchen und Dokumentationen betreffen regelmäßig personenbezogene Daten.
Professionelle Detektivarbeit muss deshalb nicht nur die Ermittlungsfrage beantworten, sondern zugleich klären, welche Informationen überhaupt erhoben werden dürfen, wofür sie benötigt werden und wie lange sie erforderlich bleiben.
Datenschutz ist damit kein Thema nach Abschluss eines Einsatzes.
Er beginnt bereits bei der Planung.
- Datenschutz im eigenen Fall einordnen
Ermittlungen brauchen Informationen. Datenschutz setzt die Grenzen.
DATENSCHUTZ VERHINDERT ERMITTLUNGEN NICHT
Er verlangt einen klaren Zweck.
Die Datenschutz-Grundverordnung verbietet die Verarbeitung personenbezogener Daten nicht grundsätzlich.
Sie verlangt jedoch eine Rechtsgrundlage und klare Verarbeitungsgrundsätze.
Art. 5 DSGVO nennt unter anderem:
Rechtmäßigkeit
Zweckbindung
Datenminimierung
Richtigkeit
Speicherbegrenzung
Zusätzlich muss der Verantwortliche die Einhaltung dieser Grundsätze nachweisen können.
Für eine Detektei bedeutet das:
Nicht möglichst viele Daten sind das Ziel, sondern diejenigen Informationen, die für den konkreten Ermittlungszweck tatsächlich notwendig sind.
PERSONENBEZOGENE DATEN BRAUCHEN EINE TRAGFÄHIGE GRUNDLAGE
Das Ermittlungsinteresse allein reicht nicht.
Art. 6 DSGVO nennt verschiedene Rechtsgrundlagen für die Verarbeitung personenbezogener Daten.
Bei privaten oder wirtschaftlichen Ermittlungen kann insbesondere Art. 6 Abs. 1 lit. f DSGVO relevant sein, wenn die Verarbeitung zur Wahrung berechtigter Interessen erforderlich ist und keine überwiegenden Interessen oder Grundrechte der betroffenen Person entgegenstehen.
Dabei sind drei Fragen zentral:
Besteht ein legitimes Interesse?
Ist die Datenverarbeitung dafür erforderlich?
Überwiegen die Rechte der betroffenen Person?
Der Europäische Datenschutzausschuss beschreibt genau diese Prüfung als Kern der Interessenabwägung bei Art. 6 Abs. 1 lit. f DSGVO.
Ein berechtigtes Interesse legitimiert daher nicht automatisch jede Methode.
DATEN DÜRFEN NICHT EINFACH FÜR ALLES VERWENDET WERDEN
Der Ermittlungszweck muss von Anfang an feststehen.
er Daten erhebt, sollte bereits vorher wissen, welche konkrete Frage damit beantwortet werden soll.
Art. 5 DSGVO verlangt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine spätere Nutzung für völlig andere Zwecke ist nicht automatisch zulässig.
Für die Praxis heißt das:
Eine Information, die zur Klärung eines bestimmten Unterhalts- oder Beschäftigungssachverhalts erhoben wurde, darf nicht beliebig für weitere Interessen verwendet werden.
§ 24 BDSG eröffnet zwar unter bestimmten Voraussetzungen eine Weiterverarbeitung zu anderen Zwecken, etwa zur Verfolgung von Straftaten oder zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche. Auch dabei bleiben jedoch Interessenabwägung und Erforderlichkeit relevant.
Die Ausnahme ersetzt also keine saubere Zweckdefinition.
MEHR INFORMATION IST NICHT AUTOMATISCH MEHR QUALITÄT
Nur erforderliche Daten gehören in die Ermittlung.
Datenminimierung gehört zu den zentralen Grundsätzen der DSGVO.
Personenbezogene Informationen dürfen nur in dem Umfang verarbeitet werden, der für den festgelegten Zweck angemessen und erforderlich ist.
Das beeinflusst unmittelbar die Ermittlungsplanung.
Ist eine punktuelle Feststellung ausreichend, spricht wenig für eine umfassende Dauerbeobachtung.
Lässt sich eine Person über öffentlich zugängliche Quellen eindeutig zuordnen, kann eine intensivere Maßnahme unnötig sein.
Genügt eine bestimmte Information zur rechtlichen Bewertung, muss nicht das gesamte private Umfeld dokumentiert werden.
Datenminimierung ist deshalb zugleich ein Qualitätsmerkmal guter Detektivarbeit.
ÖFFENTLICH ZUGÄNGLICH BEDEUTET NICHT RECHTSFREI
Darf alles verwendet werden, was im Internet zu finden ist?
Nein.
Öffentlich zugängliche Informationen können Bestandteil einer Recherche sein. Ihre Sichtbarkeit im Internet bedeutet jedoch nicht, dass sie ohne Zweckbegrenzung gesammelt, kombiniert oder dauerhaft gespeichert werden dürfen.
Auch öffentlich zugängliche personenbezogene Daten bleiben grundsätzlich personenbezogene Daten im Sinne der DSGVO.
Deshalb gelten weiterhin Fragen wie:
Warum wird die Information benötigt?
Ist sie für das Ermittlungsziel relevant?
Ist ihre weitere Verarbeitung verhältnismäßig?
Wie lange muss sie gespeichert werden?
Gerade bei umfangreichen Online-Recherchen ist damit Zurückhaltung erforderlich.
Auffindbarkeit ersetzt keine Rechtsgrundlage.
MITARBEITERERMITTLUNGEN HABEN BESONDERE ANFORDERUNGEN
Wann dürfen Beschäftigtendaten verarbeitet werden?
§ 26 BDSG enthält spezielle Regelungen für Daten im Beschäftigungsverhältnis.
Zur Aufdeckung vermuteter Straftaten verlangt die Vorschrift zu dokumentierende tatsächliche Anhaltspunkte, die den Verdacht begründen. Die Datenverarbeitung muss erforderlich sein und darf im Verhältnis zum Anlass nicht unverhältnismäßig ausfallen.
Das bedeutet:
Ein allgemeines Misstrauen reicht nicht.
Vor einer personenbezogenen Maßnahme sollte vielmehr dokumentiert sein,
welcher konkrete Verdacht besteht,
welche Tatsachen ihn stützen,
welche Information noch fehlt
und warum gerade die vorgesehene Maßnahme erforderlich ist.
Diese Prüfung ist besonders bei Observationen oder technischen Auswertungen bedeutsam.
GESUNDHEITSDATEN UND ANDERE SENSIBLE INFORMATIONEN BRAUCHEN MEHR SCHUTZ
Nicht alle personenbezogenen Daten sind gleich.
Art. 9 DSGVO schützt sogenannte besondere Kategorien personenbezogener Daten besonders streng.
Dazu gehören unter anderem Daten über Gesundheit, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische und bestimmte biometrische Daten sowie Informationen zum Sexualleben oder zur sexuellen Orientierung.
Ihre Verarbeitung ist grundsätzlich untersagt, sofern nicht eine der gesetzlichen Ausnahmen greift.
Für Detektivarbeit kann das beispielsweise relevant werden, wenn bei einer Observation Hinweise auf einen Gesundheitszustand dokumentiert werden.
Das Bundesarbeitsgericht hat 2024 ausdrücklich entschieden, dass eine Detektivobservation wegen vermuteter vorgetäuschter Arbeitsunfähigkeit Gesundheitsdaten verarbeiten kann, wenn der sichtbare Gesundheitszustand dokumentiert wird.
Je sensibler die Daten, desto höher die Anforderungen an Erforderlichkeit und Rechtsgrundlage.
VERDECKTE ERMITTLUNG UND TRANSPARENZ STEHEN IN EINEM SPANNUNGSVERHÄLTNIS
Muss eine betroffene Person über jede Datenerhebung sofort informiert werden?
Die DSGVO enthält umfassende Informationspflichten.
Werden personenbezogene Daten nicht direkt bei der betroffenen Person erhoben, regelt insbesondere Art. 14 DSGVO, welche Informationen grundsätzlich mitzuteilen sind. Dazu gehören unter anderem Verantwortlicher, Zweck, Rechtsgrundlage, Datenkategorien und mögliche Empfänger.
Gerade bei verdeckten Ermittlungen kann eine sofortige Information jedoch den Untersuchungszweck beeinträchtigen.
Ob und in welchem Umfang gesetzliche Ausnahmen oder Einschränkungen greifen, hängt vom konkreten Fall und den einschlägigen Vorschriften ab.
Deshalb gehört auch die Transparenzpflicht in die rechtliche Planung eines Auftrags – nicht erst in die spätere Verwaltung.
ERMITTLUNGSDATEN SOLLEN NICHT UNBEGRENZT BESTEHEN BLEIBEN
Der Zweck bestimmt auch die Speicherdauer.
Art. 5 DSGVO verlangt, personenbezogene Daten grundsätzlich nur so lange identifizierbar zu speichern, wie es für den Verarbeitungszweck erforderlich ist.
Wann eine Löschung möglich oder erforderlich ist, hängt vom jeweiligen Auftrag ab.
Relevant können beispielsweise sein:
laufende rechtliche Auseinandersetzungen
Dokumentations- oder Nachweiserfordernisse
gesetzliche Aufbewahrungspflichten
offene Ansprüche
der endgültige Abschluss des Ermittlungszwecks
Eine pauschale unbegrenzte Aufbewahrung sämtlicher Ermittlungsdaten wäre dagegen mit dem Grundsatz der Speicherbegrenzung schwer vereinbar.
Datenschutz endet damit nicht mit dem letzten Einsatztag.
DATENSCHUTZ MUSS NACHVOLLZIEHBAR SEIN
Eine Entscheidung sollte später noch erklärbar sein.
Die DSGVO verlangt nicht nur die Einhaltung datenschutzrechtlicher Grundsätze.
Art. 5 Abs. 2 begründet zugleich eine Rechenschaftspflicht: Verantwortliche müssen die Einhaltung der Grundsätze nachweisen können.
Für einen Ermittlungsauftrag spricht daher vieles dafür, wesentliche Entscheidungen nachvollziehbar festzuhalten:
Ausgangslage
Ermittlungszweck
Rechtsgrundlage
Interessenabwägung
Umfang der Maßnahme
relevante Begrenzungen
Das dient nicht nur dem Datenschutz.
Es verbessert gleichzeitig die Qualität der gesamten Ermittlung.
SO VIEL WIE NÖTIG. NICHT SO VIEL WIE MÖGLICH.
Datenschutz und Ermittlungsqualität gehören zusammen.
Bei Astor betrachten wir personenbezogene Daten nicht als möglichst umfassend zu sammelnden Informationsbestand.
Vor einer Maßnahme stehen vielmehr konkrete Fragen:
Welcher Zweck soll erreicht werden?
Welche Information fehlt tatsächlich?
Welche Datenerhebung ist dafür erforderlich?
Gibt es eine weniger eingriffsintensive Alternative?
Welche Informationen haben mit dem Auftrag nichts zu tun?
Dieser Ansatz schützt nicht nur die Rechte betroffener Personen.
Er reduziert gleichzeitig irrelevante Informationen und konzentriert den Auftrag auf das eigentliche Ermittlungsziel.
DATENSCHUTZ VOR DEM EINSATZ MITDENKEN
Ein konkreter Auftrag braucht eine konkrete Datenstrategie.
Sie haben einen Verdacht, möchten aber wissen, welche Recherche- oder Observationsmaßnahmen datenschutzrechtlich überhaupt in Betracht kommen?
Schildern Sie uns die Ausgangslage und das gewünschte Ermittlungsziel.
Wir prüfen gemeinsam, welche Informationen tatsächlich benötigt werden und wie sich der Untersuchungsumfang sinnvoll begrenzen lässt.
- Zentrale Anfrage