Unternehmen müssen ihre Geschäftsgeheimnisse, IT-Systeme und sensiblen Informationen vor unbefugtem Zugriff schützen. Deshalb kann es erforderlich sein, Mitarbeiter vor oder während ihrer Tätigkeit auf ihre Zuverlässigkeit und Eignung für besonders sicherheitsrelevante Positionen zu überprüfen. Gleichzeitig unterliegen solche Überprüfungen den strengen Anforderungen des Datenschutzrechts.

Zweck und Rechtsgrundlage

Der erste Schritt jeder Sicherheitsüberprüfung ist die Frage, welches konkrete Sicherheitsrisiko verhindert werden soll. Nicht jede Information, die für ein Unternehmen interessant sein könnte, darf auch erhoben werden.

Im Beschäftigungskontext ist insbesondere § 26 BDSG relevant. Zusätzlich gelten die Grundsätze der DSGVO, insbesondere Zweckbindung, Datenminimierung, Transparenz, Verhältnismäßigkeit und Speicherbegrenzung.

Für bestimmte besonders sicherheitsempfindliche Tätigkeiten gelten spezielle gesetzliche Regelungen. Dazu gehört insbesondere das Sicherheitsüberprüfungsgesetz (SÜG). Solche gesetzlich geregelten Sicherheitsüberprüfungen sind von einer allgemeinen unternehmensinternen Zuverlässigkeitsprüfung zu unterscheiden.

Datenminimierung und Verhältnismäßigkeit

Unternehmen sollten nur solche personenbezogenen Daten erheben, die für den konkreten Sicherheitszweck tatsächlich erforderlich sind.

Eine umfassende Recherche über die privaten Lebensumstände eines Mitarbeiters ist deshalb nicht automatisch zulässig. Das gilt auch für Informationen aus sozialen Netzwerken. Dass eine Information öffentlich zugänglich ist, bedeutet nicht automatisch, dass sie für Personal- oder Sicherheitsentscheidungen verwendet werden darf.

Besonders vorsichtig ist mit sensiblen personenbezogenen Daten, etwa Gesundheitsdaten oder Informationen über politische oder religiöse Überzeugungen, umzugehen.

Zugriff und Aufbewahrung

Sicherheitsinformationen sollten nur denjenigen Personen zugänglich sein, die sie für ihre Aufgaben tatsächlich benötigen. Es gilt das „Need-to-know“-Prinzip.

Sicherheitsbezogene Informationen sollten zudem organisatorisch und technisch angemessen geschützt werden. Bei speziellen Sicherheitsüberprüfungen nach dem SÜG bestehen hierfür besondere Anforderungen; unter anderem sind Sicherheitsakten getrennt von Personalakten zu führen.

Ebenso wichtig sind klare Lösch- und Speicherfristen. Daten dürfen nicht dauerhaft „vorsichtshalber“ gespeichert werden, sondern nur so lange, wie sie für den jeweiligen Zweck erforderlich sind oder eine gesetzliche Aufbewahrungspflicht besteht.

Transparenz und Mitarbeiterrechte

Mitarbeiter sollten grundsätzlich darüber informiert werden,

• warum eine Sicherheitsüberprüfung durchgeführt wird,

• welche Daten verarbeitet werden,

• aus welchen Quellen die Daten stammen,

• wer Zugriff auf die Informationen erhält und

• wie lange die Daten gespeichert werden.

Eine Einwilligung des Mitarbeiters ist dabei nicht automatisch die passende Rechtsgrundlage. Gerade im Beschäftigungsverhältnis muss die Freiwilligkeit einer Einwilligung kritisch geprüft werden.

Externe Dienstleister und technische Überwachung

Werden externe Dienstleister mit Background Checks oder Sicherheitsprüfungen beauftragt, muss das Unternehmen deren Datenschutzkonzept sorgfältig prüfen. Die Verantwortung für eine rechtmäßige Datenverarbeitung kann nicht einfach an den Dienstleister abgegeben werden.

Auch Sicherheitsmaßnahmen wie Protokollierungen, E-Mail-Kontrollen oder andere technische Überwachungen müssen einen klaren Zweck haben und verhältnismäßig sein. Ein Sicherheitskonzept darf nicht zu einer allgemeinen Überwachung der Beschäftigten führen.

Praktischer Grundsatz für Unternehmen

Ein datenschutzkonformes Verfahren lässt sich auf einige Kernfragen reduzieren:

1. Welches konkrete Sicherheitsrisiko besteht?

2. Welche Daten sind dafür tatsächlich erforderlich?

3. Welche Rechtsgrundlage erlaubt die Verarbeitung?

4. Wer darf die Daten sehen?

5. Wie werden die Daten geschützt?

6. Wann werden sie gelöscht?

7. Sind Datenschutzbeauftragter und gegebenenfalls Betriebsrat einzubeziehen?

8. Gibt es spezielle gesetzliche Vorgaben, etwa nach dem SÜG?

Fazit

Sicherheitsüberprüfungen können für Unternehmen ein wichtiges Instrument zum Schutz von Geschäftsgeheimnissen und Unternehmenswerten sein. Sie dürfen jedoch nicht zu einer pauschalen Kontrolle des Privatlebens von Beschäftigten führen.

Der zentrale Grundsatz lautet:

So viel Sicherheitsprüfung wie erforderlich – so wenig personenbezogene Daten wie möglich.

Datenschutz und Unternehmenssicherheit sind dabei keine Gegensätze. Ein gut konzipiertes Sicherheitsverfahren schützt sowohl die Unternehmenswerte als auch die Persönlichkeitsrechte der Beschäftigten.

Hinweis: Die Ausführungen beziehen sich allgemein auf die Rechtslage in Deutschland und ersetzen keine individuelle Rechtsberatung.

Sicherheitsüberprüfungen in hochsensiblen Bereichen

Besondere Anforderungen gelten für Unternehmen, die in hochsensiblen Bereichen tätig sind – etwa in der Luftfahrt, der Rüstungs- und Verteidigungsindustrie, der kritischen Infrastruktur oder bei der Entwicklung besonders schutzbedürftiger Technologien. Hier kann das Sicherheitsrisiko deutlich über das eines gewöhnlichen Arbeitsplatzes hinausgehen. Mitarbeiter können beispielsweise Zugang zu sicherheitskritischen Anlagen, Verschlusssachen, sensiblen technischen Informationen oder besonders geschützten IT-Systemen erhalten.

In solchen Bereichen können deshalb weitergehende Zuverlässigkeits- und Sicherheitsprüfungen gerechtfertigt und teilweise gesetzlich vorgeschrieben sein. Maßgeblich ist jedoch immer die konkrete Tätigkeit und das damit verbundene Sicherheitsrisiko. Eine pauschale Überprüfung aller Beschäftigten ist auch in einem sicherheitskritischen Unternehmen nicht automatisch zulässig.

Für bestimmte Tätigkeiten in der Luftfahrt bestehen beispielsweise besondere Zuverlässigkeitsanforderungen nach dem Luftsicherheitsrecht. In der Rüstungs- und Verteidigungsindustrie können darüber hinaus Sicherheitsüberprüfungen nach dem Sicherheitsüberprüfungsgesetz (SÜG) relevant werden, insbesondere wenn Beschäftigte Zugang zu Verschlusssachen oder anderen besonders schutzbedürftigen Informationen erhalten.

Gerade bei solchen Überprüfungen ist eine klare Trennung zwischen Sicherheitsinteresse und allgemeiner Mitarbeiterkontrolle wichtig. Unternehmen sollten nur diejenigen personenbezogenen Daten verarbeiten, die für die jeweilige Sicherheitsprüfung erforderlich sind. Zugleich müssen besonders sensible Informationen vor unbefugtem Zugriff geschützt und die Zugriffsrechte auf einen möglichst kleinen Personenkreis beschränkt werden.

Ein wichtiger Grundsatz lautet daher:

Je höher das Sicherheitsrisiko, desto intensiver kann eine Überprüfung erforderlich sein – aber auch eine hochsensible Tätigkeit rechtfertigt keine unbegrenzte Datenerhebung.

Für Unternehmen in diesen Branchen empfiehlt sich deshalb ein abgestuftes Sicherheitskonzept. Je nach Risikoklasse des Arbeitsplatzes können unterschiedliche Prüfungsumfänge, Zugriffsrechte und Wiederholungsintervalle vorgesehen werden. Datenschutzrechtlich sollte jede Stufe nachvollziehbar begründet und regelmäßig auf ihre Erforderlichkeit überprüft werden.

Gerade in hochsensiblen Sicherheitsbereichen wie zum Beispiel der Luftfahrt oder Rüstungsindustrie sollte zudem frühzeitig geklärt werden, welche spezialgesetzlichen Anforderungen gelten und welche Stelle für die jeweilige Sicherheits- oder Zuverlässigkeitsprüfung zuständig ist. Die allgemeine datenschutzrechtliche Betrachtung nach DSGVO und BDSG reicht bei solchen Tätigkeiten allein nicht immer aus.

Das Ziel sollte ein ausgewogenes System sein: höchstmögliche Sicherheit für besonders schutzbedürftige Bereiche bei gleichzeitigem Schutz der Persönlichkeitsrechte der Beschäftigten.