Datenschutz · Awareness
Sicherheitsüberprüfung von Beschäftigten – wer wird geprüft und warum?
Aufträge aus dem Verteidigungsbereich bringen ein Thema in Unternehmen, das dort bisher keine Rolle spielte. Was hinter der Sicherheitsüberprüfung steckt, wie sie abläuft und welche Rechte Beschäftigte dabei haben.
Eine wachsende Zahl von Unternehmen ist erstmals in die Abwicklung von Aufträgen aus dem Verteidigungsbereich eingebunden. Damit taucht eine Anforderung auf, die vielen Betrieben fremd ist: Der öffentliche Auftraggeber verlangt eine Sicherheitsüberprüfung von Beschäftigten. Für die Betroffenen wirft das sofort Fragen auf — wer prüft hier eigentlich was, und was passiert mit den erhobenen Daten?
Für manche Branchen ist das Routine
In der Zusammenarbeit mit Bundeswehr, Polizei oder Nachrichtendiensten sind Sicherheitsüberprüfungen seit Langem üblich. Auch Beschäftigte von IT-Dienstleistern, die in diesen Bereichen arbeiten, kennen entsprechende Anforderungen aus der Praxis.
Der Grund ist naheliegend: Bei solchen Aufträgen kann der Zugriff auf vertrauliche oder hochvertrauliche Unterlagen erforderlich sein. Öffentliche Auftraggeber müssen deshalb sicherstellen, dass von den beteiligten Personen keine Risiken für die Sicherheit dieser Informationen ausgehen.
Geprüft wird mit offenen Karten
Eine Sicherheitsüberprüfung läuft nicht hinter dem Rücken der Betroffenen ab — im Gegenteil. Jede Person wird individuell informiert, wenn eine Überprüfung vorgesehen ist. Die Information erfolgt in der Regel über ein offizielles Schreiben der zuständigen Behörde, das über den Arbeitgeber weitergeleitet wird.
Grundlage sind standardisierte Fragen zur jeweiligen Person. Diese Fragen dienen ausschließlich der Überprüfung und begründen keinen Verdacht. Wichtig für die eigene Nachvollziehbarkeit: Die eigenen Angaben dürfen dokumentiert werden, etwa durch eine Kopie der ausgefüllten Erklärung.
Mitwirkung ist freiwillig – hat aber Folgen
Die Teilnahme an einer Sicherheitsüberprüfung ist grundsätzlich freiwillig, eine Verpflichtung zur Mitwirkung besteht nicht. Allerdings gilt umgekehrt: Ohne abgeschlossene Überprüfung ist ein Einsatz in sicherheitsrelevanten Projekten nicht möglich.
In der Praxis bedeutet das, dass Beschäftigte ohne Überprüfung in anderen Projekten eingesetzt werden. Je nach Tätigkeit kann das Auswirkungen haben — etwa wenn bestimmte Aufgaben oder Zuschläge an sicherheitsrelevante Bereiche gebunden sind. Diese Konsequenz sollte im Gespräch offen benannt werden, statt sie später als Überraschung auftauchen zu lassen.
Die gesetzlichen Grundlagen sind öffentlich
Sicherheitsüberprüfungen sind gesetzlich geregelt: Für Bundesbehörden gilt das Sicherheitsüberprüfungsgesetz des Bundes, für Landesbehörden gelten die entsprechenden Landesgesetze. Ergänzt werden sie durch die „Verschlusssachenanweisungen“ — Verwaltungsvorschriften mit konkreten Vorgaben zur Durchführung. Alle diese Regelwerke sind öffentlich zugänglich und können vor einer Überprüfung nachgelesen werden.
Arten der Überprüfung und Geheimhaltungsstufen
Im Regelfall wird eine einfache Sicherheitsüberprüfung durchgeführt. Eine erweiterte Überprüfung kommt zum Einsatz, wenn die Tätigkeit mit besonders sensiblen Informationen verbunden ist. Welche Stufe greift, hängt an der Einstufung der Unterlagen, mit denen jemand arbeitet:
VS – Nur für den Dienstgebrauch
Niedrigste Geheimhaltungsstufe. Bei Bundeswehr und Polizei gehören solche Unterlagen häufig zum Arbeitsalltag.
VS – Vertraulich
Zweite Stufe, seltener, kommt aber regelmäßig vor. „VS“ steht für Verschlusssache: Diese Informationen müssen besonders geschützt werden.
Geheim und Streng geheim
Die beiden höchsten Stufen betreffen sehr wenige Beschäftigte — selbst innerhalb der Behörden ist der Personenkreis klein.
An den Datenschutz ist gedacht
Gerade bei erweiterten Sicherheitsüberprüfungen werden auch Angaben zum persönlichen Umfeld erhoben. Das kann einen Eingriff in das Persönlichkeitsrecht darstellen — und genau deshalb ist der Datenschutz im Verfahren ausdrücklich mitgeregelt. Beschäftigte können sich bei Fragen oder Beschwerden an die zuständige Datenschutzaufsicht wenden; für Überprüfungen nach dem Bundesrecht ist das die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.
Für Unternehmen heißt das auch: Die Daten aus einem Überprüfungsverfahren sind kein normaler Personalvorgang. Sie gehören nicht in die allgemeine Personalakte und nicht in Verteiler, die für andere Zwecke gedacht sind. Wer solche Aufträge annimmt, sollte den Umgang damit vorher festlegen — einschließlich der Frage, wer im Betrieb überhaupt Kenntnis erhält und wie eine Löschung personenbezogener Daten nach Abschluss sichergestellt wird.
Weiterführende Informationen
Datenschutz und Sicherheitsüberprüfungen (BfDI)
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit erläutert, welche Daten im Sicherheitsüberprüfungsverfahren verarbeitet werden dürfen, welche Rechte Betroffene haben und wie eine Beschwerde läuft.
Zu den BfDI-Informationen →Was Beschäftigte und Unternehmen konkret tun sollten
✓ Schreiben in Ruhe lesen: Die Information über eine bevorstehende Überprüfung kommt schriftlich von der zuständigen Behörde. Der Umfang der Fragen ergibt sich daraus, nicht aus Vermutungen.
✓ Eigene Angaben dokumentieren: Eine Kopie der ausgefüllten Erklärung aufbewahren, damit später nachvollziehbar bleibt, was angegeben wurde.
✓ Freiwilligkeit und Folgen offen ansprechen: Niemand muss mitwirken — der Einsatz in sicherheitsrelevanten Projekten setzt die Überprüfung aber voraus.
✓ Unterlagen getrennt halten: Daten aus dem Verfahren gehören nicht in die allgemeine Personalakte und nur zu den Personen, die sie zwingend benötigen.
✓ Bei Zweifeln nachfragen: Datenschutzrechtliche Fragen zum Verfahren beantwortet die zuständige Aufsichtsbehörde; im Unternehmen ist der Datenschutzbeauftragte erster Ansprechpartner.
Eine Sicherheitsüberprüfung ist kein Misstrauensvotum gegenüber einzelnen Beschäftigten, sondern ein geregeltes Verfahren mit klaren Rechtsgrundlagen und klaren Betroffenenrechten. Wer sie im Betrieb sauber vorbereitet, nimmt ihr genau das, was sonst für Unruhe sorgt: die Unklarheit darüber, wer hier was über wen erfährt.
Neue Auftraggeber, neue Anforderungen?
Ich unterstütze Sie dabei, Aufträge mit erhöhten Sicherheitsanforderungen datenschutzkonform aufzusetzen — von der Frage, wer welche Unterlagen sieht, bis zur Aufbewahrung und Löschung der Verfahrensdaten.