DSGVO und Brandschutz-Dokumentation: Was Sie 2026 beachten müssen
Brandschutzprotokolle enthalten personenbezogene Daten — Prüfer-Namen, Unterschriften, Objektdaten. Was die DSGVO vorschreibt und wie Sie compliant bleiben.
Brandschutz-Dokumentation und Datenschutz — auf den ersten Blick kein offensichtliches Thema. Aber Prüfprotokolle enthalten personenbezogene Daten: Prüfer-Namen, Unterschriften, Kontaktdaten von Hausverwaltern, Fotos, Objektpläne. Damit fällt die gesamte Dokumentation unter die DSGVO.
Welche Daten sind betroffen?
Typische personenbezogene Daten in Brandschutz-Protokollen:
- Namen und Unterschriften der Prüfer
- Kontaktdaten von Betreibern und Hausverwaltern
- Fotos mit Mitarbeitern oder Bewohnern im Hintergrund
- Objektadressen mit Zuordnung zu natürlichen Personen
- Zugangsberechtigungen und Schließpläne
Rechtsgrundlage: Art. 6 DSGVO
Die Verarbeitung dieser Daten ist in der Regel gerechtfertigt durch:
- Art. 6 Abs. 1 lit. b — Vertragserfüllung (Brandschutz-Dienstleistungsvertrag)
- Art. 6 Abs. 1 lit. c — rechtliche Verpflichtung (Dokumentationspflicht nach Bauordnung)
- Art. 6 Abs. 1 lit. f — berechtigtes Interesse (Nachweisführung)
Die 5 wichtigsten Pflichten
1. Technisch-organisatorische Maßnahmen (Art. 32)
Verschlüsselung im Transit und at rest, Zugriffskontrolle, Protokollierung administrativer Zugriffe, regelmäßige Backups. Papierordner im Auto erfüllen das nicht.
2. Auftragsverarbeitungsvertrag (Art. 28)
Wenn Sie externe Dienstleister (z. B. SaaS-Plattformen) nutzen, benötigen Sie mit jedem einen AVV. Cloud-Anbieter müssen DSGVO-konforme Standardvertragsklauseln bieten, Server innerhalb der EU sind stark empfohlen.
3. Speicherbegrenzung (Art. 5)
Protokolle nur so lange aufbewahren, wie gesetzlich vorgeschrieben oder betrieblich nötig. Handelsrechtliche Aufbewahrungspflichten: 6–10 Jahre. Danach löschen.
4. Betroffenenrechte (Art. 15–22)
Betroffene können Auskunft, Berichtigung oder Löschung ihrer Daten verlangen. Ihre Dokumentation muss durchsuchbar sein — bei Papier-Ordnern ein praktisch unlösbares Problem.
5. Meldepflicht bei Datenschutzverletzungen (Art. 33)
Bei einem Datenleck haben Sie 72 Stunden Zeit, die Aufsichtsbehörde zu informieren. Das erfordert strukturierte Prozesse — nicht spontane Notfall-Koordination.
Häufige Fehler
- E-Mail-Anhänge: Prüfprotokolle per unverschlüsselter E-Mail verschicken
- Öffentliche Cloud: Dropbox, Google Drive, WhatsApp — ohne AVV, Server oft in den USA
- Keine Löschkonzepte: Protokolle liegen Jahrzehnte nach Vertragsende auf Backups
Wie eine compliant Plattform aussieht
- Server ausschließlich in der EU, idealerweise Deutschland
- Rollenbasierte Zugriffe — nicht jeder Mitarbeiter sieht alles
- Verschlüsselung AES-256 at rest + TLS 1.3 in transit
- Automatische Löschzyklen nach konfigurierbaren Aufbewahrungsfristen
- Export-Funktion für Betroffenenrechte
- AVV wird standardmäßig zum Vertragsabschluss bereitgestellt
Fazit
DSGVO ist kein Hindernis für digitale Brandschutz-Dokumentation — im Gegenteil: eine gut gewählte digitale Plattform erfüllt die Anforderungen deutlich zuverlässiger als jedes Papierarchiv. Der Wechsel zu digital ist oft der einfachste Weg, DSGVO-Konformität herzustellen.