Datenschutz
Reinigungsdienstleister und Datenschutz: der unbeaufsichtigte Zutritt, den keiner geregelt hat
Abends ist eine fremde Person allein in Ihren Räumen — an Schreibtischen, Vernichtungsbehältnissen und Serverschränken. Warum der naheliegende Vertragstyp der falsche ist.
Für eigene Beschäftigte führen Unternehmen Verpflichtungserklärungen, Unterweisungen und Berechtigungskonzepte. Für die Person, die abends allein an allen Schreibtischen steht, existiert oft nur ein Reinigungsvertrag mit Quadratmeterpreis.
Warum die Reinigung ein Datenschutzthema ist
Reinigungskräfte arbeiten dann, wenn niemand mehr da ist — abends, morgens vor Dienstbeginn, am Wochenende. Sie betreten praktisch jeden Raum: Büros, Besprechungsräume, Poststelle, Personalabteilung, häufig auch Technik- und Serverräume. Sie haben Schlüssel, Transponder oder Alarmcodes. Und sie tun das ohne Aufsicht.
Bei kaum einer anderen Personengruppe ist die Diskrepanz so groß zwischen dem, was jemand faktisch erreichen kann, und dem, was über ihn geregelt ist. Verschärfend kommt die Branchenrealität hinzu: hohe Personalfluktuation, Springer und Urlaubsvertretungen, übliche Unterauftragnehmer. Wer heute reinigt, kann nächste Woche eine andere Person sein — von einem Unternehmen, das nie beauftragt wurde.
„Ihre Verantwortung für die Sicherheit der Verarbeitung endet nicht am Feierabend.“
Datenschutzrechtlich ist das keine Randfrage. Zutrittskontrolle gehört zu den technischen und organisatorischen Maßnahmen, die Art. 32 DSGVO vom Verantwortlichen verlangt. Wer den regelmäßigsten unbeaufsichtigten Zutritt im Unternehmen nicht regelt, hat eine Lücke in genau diesen Maßnahmen — und im Prüffall keinen Nachweis.
Wo die Risiken konkret liegen
Es geht nicht um böse Absicht. Die typischen Vorfälle entstehen aus der Kombination von unbeaufsichtigtem Zutritt und Nachlässigkeit im eigenen Haus:
📄 Unterlagen und Bildschirme
Offene Personalakten, Kündigungsschreiben im Ausgangskorb, Gehaltslisten im Drucker, nicht gesperrte Bildschirme mit geöffneter Kundendatenbank, das Whiteboard aus der Leitungssitzung. Wer wischt, sieht das alles — ohne etwas Verbotenes zu tun.
🗑️ Papierkorb und Vernichtungsbehältnisse
Die Entsorgung von Papier ist oft Teil des Reinigungsauftrags. Damit gelangen ausgerechnet die Dokumente in fremde Hände, die bewusst vernichtet werden sollten. Ein unverschlossener Sammelbehälter ist keine Vernichtung, sondern eine Zwischenlagerung im Zugriff Dritter.
🔌 Physischer Zugang zur IT
Ein unbeaufsichtigter Raum mit erreichbaren USB-Anschlüssen, Netzwerkdosen oder einem offenen Serverschrank ist ein Einfallstor, gegen das keine Firewall hilft. Passwörter am Monitor sind kein Klischee — sie finden sich bei Vor-Ort-Terminen regelmäßig.
🔑 Schlüssel, Codes und fremde Gesichter
Ein verlorener Schlüssel oder ein weitergegebener Alarmcode fällt oft erst auf, wenn etwas passiert ist. Und weil wechselndes Reinigungspersonal normal ist, ist die Reinigungskleidung der unauffälligste Vorwand, um in ein Gebäude zu kommen: Wer abends mit Putzwagen im Flur steht, wird nicht gefragt.
Auftragsverarbeitung? In der Regel nicht
Wer das Thema angeht, greift meist zum Auftragsverarbeitungsvertrag. Das ist gut gemeint und trotzdem falsch. Ein Reinigungsunternehmen ist in der Regel kein Auftragsverarbeiter: Es verarbeitet die Daten nicht für den Auftraggeber, sondern kommt bei der Reinigung nur unvermeidbar mit ihnen in Kontakt. Kenntnis ist nicht ausgeschlossen — sie ist nur nicht der Zweck des Auftrags.
Ein Vertrag nach Art. 28 DSGVO unterstellt deshalb Weisungsverhältnisse, die es nicht gibt, überfordert viele Reinigungsunternehmen in der Abstimmung — und lässt genau die Punkte offen, auf die es hier ankommt: Schlüssel, Zutritt, wechselndes Personal. Umgekehrt gilt aber auch: gar keine Regelung ist keine Option. Richtig ist eine eigenständige Datenschutzvereinbarung mit Elementen eines schlanken Auftragsverarbeitungsvertrages.
Anders kann es liegen, wenn der Dienstleister zusätzliche Leistungen übernimmt — etwa die Aktenvernichtung als eigenen Auftrag. Dann ist der Vertragstyp gesondert zu prüfen. Wie sich das Thema Vernichtung sauber aufsetzen lässt, steht im Beitrag Was beim Löschen von Daten zu beachten ist.
Was in die Vereinbarung gehört
Die Vereinbarung muss kurz genug sein, dass ein mittelständischer Dienstleister sie unterschreibt, und vollständig genug, dass sie im Prüffall trägt. Diese Punkte gehören hinein:
✓ Vertraulichkeit — auch gegenüber Dritten, zeitlich unbegrenzt, und ohne Nutzung der Daten zu eigenen Zwecken.
✓ Verpflichtung der eingesetzten Kräfte — durch den Dienstleister selbst, auf Anfrage nachweisbar.
✓ Maßnahmen nach Art. 32 DSGVO — mit Nachweispflicht gegenüber dem Auftraggeber.
✓ Unterauftragnehmer — nur mit vorheriger Zustimmung in Textform, und mit Durchgriff der Kontrollrechte auf den Unterauftragnehmer.
✓ Kontrollrechte — Auskunft und Vor-Ort-Kontrolle, in dringenden Fällen auch ohne Vorankündigung.
✓ Meldepflicht bei Vorfällen — unverzüglich und in Textform.
✓ Schlüssel und Zutrittsberechtigungen — gesonderte Sicherung, Meldung bei Verlust, Rückgabe zum Vertragsende, Löschung elektronischer Berechtigungen.
✗ Nicht hineingehört die Konstruktion eines Weisungsverhältnisses nach Art. 28 DSGVO — sie beschreibt die Zusammenarbeit falsch.
Fünf Schritte für die Praxis
01 Bestand prüfen — Vertragsunterlagen des Reinigungsdienstleisters heraussuchen: Existiert überhaupt eine Datenschutzregelung — und ist es die richtige?
02 Zuständigkeit benennen — Ohne verantwortliche Person bleibt das Thema zwischen Facility, IT und Verwaltung liegen.
03 Schlüssel erfassen — Wie viele Schlüssel und Zutrittsberechtigungen sind ausgegeben, und wer hat sie aktuell? Diese Liste fehlt erfahrungsgemäß genauso häufig wie die Vereinbarung.
04 Abendgang mit fremdem Blick — Einmal selbst nach Dienstschluss durch die eigenen Räume gehen: Was liegt offen, was ist unverschlossen, welcher Bildschirm ist nicht gesperrt?
05 Räume aus dem Umfang nehmen — Technik-, Server-, Personal- und Posträume herausnehmen oder nur begleitet reinigen lassen. Das ist der wirksamste Einzelschritt — und er kostet nichts.
Der organisatorische Teil wirkt dabei stärker als der vertragliche: Eine Vereinbarung schützt im Prüffall, ein aufgeräumter Schreibtisch verhindert den Vorfall. Wie sich Zugriffsrechte im digitalen Bereich sauber ordnen lassen, steht im Beitrag Dateiablagen und Zugriffsberechtigungen.
Regelung mit Ihrem Reinigungsdienstleister offen?
Als externer Datenschutzbeauftragter prüfe ich für meine Mandanten, was im Einzelfall gilt: konkreter Dienstleister, Leistungsumfang, Schlüssel- und Zutrittsregelung, Umgang mit Vernichtungsbehältnissen. Auf dieser Grundlage erarbeiten wir die passende Regelung. Zum Mandat gehört der Zugang zum TBCS Datenschutz-Manager, in dem Vereinbarungen digital gezeichnet und revisionssicher dokumentiert werden.