Was Sicherheitsverantwortliche beachten müssen

In Rechenzentren, in der Gebäudesicherheit oder beim Betrieb kritischer Infrastrukturen ist das Vertrauen in das eingesetzte Personal entscheidend. Unternehmen überlegen daher zunehmend, ob sie von externen Dienstleistern verlangen können, polizeiliche Führungszeugnisse ihrer Beschäftigten vorzulegen. Auf den ersten Blick scheint dies ein logischer Schritt zu mehr Sicherheit zu sein – tatsächlich aber handelt es sich um einen sensiblen Eingriff in die Rechte der betroffenen Personen, der rechtlich nur in engen Grenzen zulässig ist.

Ein Führungszeugnis enthält Informationen über mögliche strafrechtliche Verurteilungen. Damit fällt es in den besonderen Schutzbereich des Artikel 10 DSGVO. Unternehmen dürfen solche Daten nur verarbeiten, wenn es eine gesetzliche Grundlage gibt oder wenn eine behördliche Aufsicht vorgesehen ist. Allein eine vertragliche Vereinbarung mit dem Dienstleister reicht nicht aus. Auch eine „freiwillige“ Einwilligung des Mitarbeiters kann das Problem nicht lösen. In der Praxis ist sie oft nicht frei von Druck, denn wer seine Zustimmung verweigert, wird vom Auftrag möglicherweise ausgeschlossen – und damit verliert die Einwilligung ihre Wirksamkeit.

Die Folgen eines unbedachten Vorgehens können erheblich sein. Ein Beispiel dafür ist Amazon in Spanien: Dort mussten selbständige Fahrer Führungszeugnisse hochladen, um für das Unternehmen tätig zu werden. Die nationale Datenschutzbehörde stufte dies als Verstoß gegen Artikel 10 DSGVO ein und verhängte ein Bußgeld in Millionenhöhe. Der Fall zeigt, dass Verstöße nicht nur finanzielle Risiken bergen, sondern auch Reputationsschäden nach sich ziehen können.

Wie aber lässt sich das Bedürfnis nach Sicherheit mit den datenschutzrechtlichen Vorgaben vereinbaren? Eine mögliche Lösung besteht darin, dass der externe Dienstleister selbst das Führungszeugnis prüft und dem Auftraggeber lediglich bestätigt, dass keine relevanten Einträge vorliegen. Auf diese Weise erhält der Auftraggeber keine Details über Vorstrafen. Doch auch hier ist Vorsicht geboten: Manche Aufsichtsbehörden werten bereits die Aussage „keine Eintragungen vorhanden“ als Verarbeitung von Daten über Straftaten. Rechtliche Risiken bleiben also bestehen.

Für Sicherheitsverantwortliche bedeutet dies, dass Führungszeugnisse nicht pauschal verlangt werden dürfen. Erforderlich ist stets eine konkrete Begründung, warum gerade diese Maßnahme notwendig ist. So kann es in einem Rechenzentrum gerechtfertigt sein, wenn Techniker mit physischem Zugriff auf Serverräume eine besondere Zuverlässigkeit nachweisen müssen. In anderen Bereichen, etwa bei Wartungsarbeiten ohne Zugang zu sensiblen Daten, dürfte die Forderung nach einem Führungszeugnis unverhältnismäßig sein.

Der Grundsatz lautet deshalb: Jedes Unternehmen muss sorgfältig prüfen, ob die Anforderung eines Führungszeugnisses wirklich erforderlich ist und ob mildere Alternativen bestehen – beispielsweise interne Schulungen, Zugangsbeschränkungen oder Zertifizierungen. Nur wenn sich die besondere Vertrauenswürdigkeit anders nicht belegen lässt, kann die Einsichtnahme in ein Führungszeugnis rechtlich vertretbar sein.

Führungszeugnisse sind damit kein Allzweckinstrument, sondern ein hochsensibles Mittel. Wer ihre Anforderung auf externe Beschäftigte ausweitet, ohne die rechtlichen Grenzen zu kennen, riskiert Bußgelder, Vertrauensverlust und Konflikte mit den Aufsichtsbehörden. Für Sicherheitsverantwortliche bedeutet das: Sicherheit ja – aber nicht um den Preis eines Datenschutzverstoßes.

Checkliste: Zulässigkeit von Führungszeugnissen bei externen Dienstleistern

1. Erforderlichkeit prüfen

• Ist die Tätigkeit besonders sicherheitskritisch oder vertrauensrelevant?
• Gibt es andere Möglichkeiten, die Zuverlässigkeit nachzuweisen (z. B. Zertifikate, Schulungen, Zugangsbeschränkungen)?

2. Rechtsgrundlage sicherstellen

• Liegt eine gesetzliche Pflicht vor, die die Vorlage eines Führungszeugnisses erlaubt?
• Ist eine Verarbeitung auf Basis von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) vertretbar?

3. Verantwortlichkeiten klären

• Wer prüft die Führungszeugnisse – das Unternehmen selbst oder der externe Dienstleister?
• Wird dem Unternehmen nur die Bestätigung über „keine relevanten Eintragungen“ übermittelt, statt detaillierter Daten?

4. Datenschutzrisiken abwägen

• Werden schutzwürdige Interessen der betroffenen Mitarbeitenden gewahrt?
• Gibt es mögliche Drucksituationen, die die Freiwilligkeit der Einwilligung beeinträchtigen könnten?

5. Dokumentation und Nachweis

• Alle Entscheidungen zur Verarbeitung von Führungszeugnissen sollten dokumentiert werden.
• Begründung, warum keine milderen Mittel ausreichend sind, klar festhalten.

6. Einzelfallprüfung durchführen

• Jede Anforderung sollte individuell bewertet werden.
• Risiken mit der Datenschutzabteilung oder externen Experten besprechen.