Recht und Datenschutz
Was geregelt ist — und was noch nicht.
Diese Anwendung verarbeitet Daten über Tatvorwürfe. Das ist keine Randfrage, sondern die Frage, an der alles hängt. Hier steht, wie wir damit umgehen — einschließlich der Punkte, die heute offen sind.
Stand: 17. August 2026. Diese Seite ist keine Rechtsberatung und ersetzt keine. Sie beschreibt, wie die Anwendung gebaut ist.
Wo die Daten liegen
Auf Servern in Deutschland, bei einem deutschen Anbieter. Eine Übermittlung in Drittländer findet nicht statt — auch nicht mittelbar über einen Dienstleister.
Übertragung
Verschlüsselt (TLS). Ohne gültige Verschlüsselung kommt keine Verbindung zustande.
Speicherung
Beweismittel werden verschlüsselt abgelegt und mit einer Prüfsumme versehen.
Sicherung
Bei jeder Auslieferung, und der Wiederherstellungsweg wird dabei tatsächlich eingespielt — nicht beschrieben. Jede Sicherung trägt eine Prüfsumme und bestätigt sich damit selbst; die letzten 14 bleiben liegen. Ein automatischer Nachtlauf ist gebaut und geprüft, aber noch nicht in Betrieb.
Zugriff von außen
Der Datenbestand liegt außerhalb des ausgelieferten Bereichs und ist zusätzlich gesperrt — auch dann, wenn eine Servereinstellung sich einmal ändert.
Die Trennung zwischen Unternehmen
Jedes Unternehmen ist ein eigener Mandant. Jeder Datensatz gehört genau einem — und jede einzelne Abfrage wird daraufhin überwacht, maschinell, bei jedem Zugriff. Berührt eine Abfrage eine der 75 unternehmensgebundenen Tabellen, ohne die Unternehmenskennung zu nennen, ist das ein Befund: in der Entwicklung ein Abbruch, im Betrieb ein Eintrag im Fehlerprotokoll.
Die Liste dieser Tabellen wird aus dem Datenmodell abgeleitet, nicht von Hand gepflegt. Eine Liste, die man beim nächsten Modul nachtragen muss, ist eine Liste, die man vergisst.
Daten über Tatvorwürfe
Eine Fallakte enthält Angaben über den Verdacht einer Straftat. Solche Daten unterliegen besonderen Anforderungen. Daraus folgen zwei Entscheidungen, die die Anwendung spürbar unbequemer machen — und die wir trotzdem so getroffen haben:
Kein Zugang per Klick
Eine Buchung ist ein Antrag. Der Zugang entsteht erst durch die Freischaltung durch einen Menschen. Jeder Schritt wird protokolliert.
Die Fallakte wird zuletzt gebaut
Vorfall, Beweismittel und Anzeigenunterlage entstehen erst, wenn die rechtliche Prüfung vorliegt — nicht vorher und dann nachträglich geprüft.
Woran wir uns halten
Grundlage unserer Arbeitsweise ist ISO/IEC 27001. Das ist keine Zertifizierung — wir haben keine, und wir behaupten keine. Es ist die Art, wie gearbeitet wird: Risiken werden benannt statt verschwiegen, Maßnahmen festgelegt, ihre Wirksamkeit geprüft, und der Stand wird offengelegt — einschließlich dessen, was noch nicht erfüllt ist.
Wir führen dafür ein Risikoregister, in dem jeder Eintrag Ursache, Wirkung, die vorhandene Maßnahme und das benennt, was danach übrig bleibt. Ein Register, in dem nur grüne Zeilen stünden, wäre nicht sicher, sondern bequem eingestuft.
Für den Fall eines eigenen Sicherheitsvorfalls gibt es ein schriftliches Verfahren mit Fristen. Es beruht auf einem Satz: Unsere Uhr muss vor Ihrer ablaufen — wer selbst Meldefristen hat, erfährt von uns rechtzeitig genug, um sie einhalten zu können.
Was rechtlich ungeklärt ist, läuft nicht
Die üblichere Bauweise ist umgekehrt: Man baut die Funktion, nimmt sie in Betrieb und klärt die Rechtsfrage, wenn jemand fragt. Bis dahin ist alles erlaubt — nicht, weil es jemand entschieden hätte, sondern weil es niemand verboten hat.
Diese Anwendung kennt für sensible Vorgänge drei Zustände und keinen vierten: geprüft und freigegeben, zulässig nur unter benannten Auflagen, oder gesperrt bis zur rechtlichen Klärung. Es gibt bewusst kein „vorläufig erlaubt" — ein solcher Zustand wird zum Dauerzustand, sobald der Termindruck steigt.
Heute 18 gesperrte Vorgänge
Darunter die Verarbeitung von Tatvorwürfen, das Identifikationsbild, die Übergabe an ein Inkassounternehmen, die Ortung fremder Fahrzeuge, der Versand über einen Messenger, das Telefonjournal und die Anbindung einer eigenen KI. Jeder mit Begründung und Fundstelle im Prüfauftrag.
Einer davon lässt sich nicht freigeben: Emotionserkennung am Arbeitsplatz ist nach Art. 5 der KI-Verordnung verboten. Die Anwendung nimmt dafür keine Regel entgegen — auch nicht mit Einwilligung, weil im Beschäftigungsverhältnis die Freiwilligkeit fehlt.
Unbekannt heißt gesperrt
Ein Vorgang, den der Katalog nicht kennt, ist gesperrt — nicht erlaubt. Ein Tippfehler schließt die Tür, statt sie zu öffnen.
Kein Knopf, der freigibt
Keine Oberfläche kann eine Sperre aufheben. Eine Freigabe entsteht nur als hinterlegte Regel mit Aktenzeichen der Stelle, die sie erteilt hat — und sie gilt je Land.
Entwicklung mit synthetischen Daten ist davon nicht betroffen. Gesperrt ist der Betrieb mit echten Personendaten — genau die Unterscheidung, die auch der Prüfauftrag zieht.
Auskunft an Betroffene
Wer in dieser Anwendung vorkommt, darf erfahren, was über ihn gespeichert ist — und eine Kopie verlangen. Die Frist beträgt einen Monat.
Dass das kein theoretischer Anspruch ist, hat das OLG Oldenburg am 09.04.2024 entschieden (13 U 48/23, rechtskräftig): Nach wochenlanger Observation stand dem Beobachteten die Auskunft zu, einschließlich einer Kopie des Detektivberichts. Die Berufung auf Vertraulichkeit wurde zurückgewiesen.
Auf Knopfdruck
Zusammengestellt wird, was in zweiundzwanzig Quellen zu einer Person steht — samt der Nachweise darüber, was mit den Daten geschehen ist.
Freitext getrennt
Steht ein Name in einer Notiz, wird die Fundstelle gesondert vorgelegt. Ob dieselbe Person gemeint ist, kann kein System entscheiden.
Vollständigkeit erzwungen
Jede Tabelle mit Personenbezug muss Quelle der Auskunft oder begründete Ausnahme sein. Ein neues Modul kommt daran nicht vorbei — der Bau bricht sonst ab.
Freigabe durch Menschen
Die Zusammenstellung ist ein Entwurf. Ob Rechte Dritter entgegenstehen (Art. 15 Abs. 4), entscheidet die Geschäftsleitung.
Was einmal steht, bleibt stehen
Ein Bericht, der später herausgegeben werden muss, darf nicht nachträglich glatt gezogen werden können. Ein nachträglich geglätteter Bericht ist vor Gericht wertlos — und im Zweifel eine Fälschung.
Protokollkette
Jeder Eintrag trägt die Prüfsumme des vorangegangenen. Ein entfernter oder veränderter Eintrag bricht die Kette und ist erkennbar.
Observationseinträge
Werden nie geändert. Eine Berichtigung entsteht als neuer Eintrag, der auf den alten zeigt und den Grund nennt. Beide bleiben, beide gehen in eine Auskunft.
Prüfsumme je Eintrag
Eine Änderung unmittelbar in der Datenbank — an der Anwendung vorbei — fällt beim nächsten Aufruf auf.
Drei Zeitpunkte
Wann beobachtet, wann erfasst, wann eingegangen. Erst das unterscheidet eine Nacherfassung aus dem Funkloch von einer nachträglichen Änderung.
Aufbewahrung und Löschung
Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert. In dieser Anwendung ist das keine Absichtserklärung, sondern ein Pflichtfeld.
Frist als Voraussetzung
Ein Ermittlungsauftrag lässt sich nicht freigeben, solange kein Datum feststeht, bis zu dem die Akte aufbewahrt wird.
Vorgelegt, nicht gelöscht
Abgelaufene Akten werden angezeigt, nicht automatisch entfernt. Eine Ermittlungsakte verschwindet nicht nebenbei — jemand muss die Löschung verantworten.
Sperre bei laufendem Verfahren
Ein laufendes Verfahren lässt sich als Sperre festhalten — mit Begründung, nie ohne. Wer sie später liest, muss entscheiden können, ob sie noch trägt.
Und eine Höchstfrist darüber
Eine Sperre hebt die Höchstfrist nicht auf. Läuft sie dagegen, ist das kein stiller Zustand, sondern ein Befund für einen Menschen. Sonst wird aus einer Sperre mit einem Klick ein unbefristetes Archiv — und niemand merkt es, weil das Datum ja „berechnet" ist.
11 Datenkategorien statt einer Pauschale
Beweismittel, Zeitbuchung, Observationsaufzeichnung, Protokoll: jede mit eigener Frist, eigenem Fristbeginn und eigener Rechtsgrundlage — je Land verschieden setzbar.
Bevor beobachtet wird, muss der Auftrag tragen
Eine Observation ist der eingriffsintensivste Vorgang dieser Anwendung. Sie beginnt deshalb nicht mit einem Häkchen, sondern mit einer Prüfung — und die hat vier Stufen, die aufeinander aufbauen.
Ein einzelnes Freitextfeld genügt dafür nicht. Wer alles in einen Absatz schreibt, hat nicht geprüft, sondern behauptet. Die Anwendung stellt deshalb 5 Fragen zur Verhältnismäßigkeit, jede mit eigenem Feld: Wozu wird beobachtet? Was ist bisher bekannt? Warum ist es nötig — nicht nützlich? Was wäre schonender gewesen? Überwiegt das Interesse des Auftraggebers?
Die Frage, die am häufigsten fehlt
„Was wäre schonender gewesen?" stellt sich niemand von selbst — und genau sie entscheidet vor Gericht. Auch „es gab kein milderes Mittel" ist eine Antwort, aber sie muss dastehen und begründet sein.
Alle Mängel auf einmal
Wer nach jedem Absenden einen neuen Fehler bekommt, füllt beim dritten Mal irgendetwas ein. Die Freigabe nennt deshalb alles, was fehlt.
Wortgleiche Antworten fallen auf
Der häufigste Weg, eine Pflichtprüfung zu unterlaufen, ist nicht das Leerlassen — es ist derselbe Satz in allen Feldern. Eine Mindestlänge fängt das nicht ab, ein Vergleich schon.
Wo beobachtet wurde, gehört in den Bericht
Dieselbe Beobachtung ist an verschiedenen Orten verschieden zulässig. Wer auf einem öffentlichen Platz steht, muss damit rechnen, gesehen zu werden. Wer in seinem Garten sitzt, nicht. Ein Freitext „Parkplatz" beantwortet die Frage nicht — auch nicht nachträglich.
Jeder Eintrag trägt deshalb eine von 5 Ortsarten. Vier davon warnen. Eine sperrt: Im geschützten Privatbereich — Wohnung, Umkleide, Sanitärbereich — entsteht kein Eintrag, auch nicht als Notiz.
Warum nur eine sperrt
Eine Sperre, die im Zweifel zuschlägt, erzieht dazu, die harmlosere Kategorie anzuklicken. Dann steht dort etwas Falsches — und das ist schlimmer als eine Warnung, die jemand liest.
Standort am Ereignis, nicht dazwischen
Der Ermittler setzt seinen Standortpunkt selbst. Es gibt keine fortlaufende Ortung: Zwischen zwei Ereignissen wird keine Position erfasst, es entsteht kein Bewegungsprofil seines Arbeitstages.
Genauigkeit gehört dazu
Zu jedem Punkt wird die Genauigkeit in Metern geführt. Wer sagt „der Wagen stand dort", muss wissen, ob „dort" acht Meter heißt oder zweihundert.
Ein Tatverdächtiger ist kein Kontakt
Ein Kontakt im Adressbestand wird angerufen, angeschrieben, in Verteiler aufgenommen und beim nächsten Auftrag wiedererkannt. Genau das darf mit einer Person nicht geschehen, die nur deshalb erfasst ist, weil gegen sie ermittelt wurde.
Geschäftskontakte und Fallbeteiligte liegen deshalb in getrennten Beständen ohne automatische Verbindung. Der Unterschied ist fein und trägt die ganze Entscheidung: Wer beauftragt, ist Kunde. Wer beobachtet wird, ist es nicht.
Wird eine Zielperson später Kunde, entsteht ein neuer Kontakt. Die beiden Datensätze wissen nichts voneinander — und das ist der Punkt.
Wer was sehen darf
Der Grundsatz lautet: Rang ist nicht gleich Zugriff. Der Vertrieb steht in der Hierarchie über der Gebietsleitung — und sieht trotzdem keine Vorfälle, keine Beweismittel und keine Personendaten Dritter.
Der Ermittler kennt den Auftraggeber nicht
Er weiß, was zu tun ist, nicht für wen. Der Auftraggeber wird für ihn gar nicht erst aus der Datenbank gelesen.
Fremde Kalender nur als Belegung
Ohne besondere Berechtigung zeigt ein fremder Termin „Besetzt" — genug, um zu planen, zu wenig, um jemanden zu beobachten.
Auskunft nur der Geschäftsleitung
Sie legt alle Daten zu einer Person offen, quer durch die Anwendung. Wer das darf, sieht mehr als jede andere Rolle.
Am Server durchgesetzt
Was die Oberfläche ausblendet, wird zusätzlich am Server abgelehnt. Die Oberfläche ist Komfort, nicht Schutz.
Erlaubnis und Sachkunde
Wer im Bewachungsgewerbe tätig ist, braucht die Erlaubnis nach § 34a Gewerbeordnung. Für die Tätigkeit „Schutz vor Ladendieben" ist zusätzlich die Sachkundeprüfung nach § 34a Abs. 1a GewO vor der IHK vorgeschrieben.
Keine Software erteilt sie, und keine ersetzt sie. Eine Anwendung kann darauf vorbereiten und Nachweise führen — mehr nicht. Wer etwas anderes verspricht, verspricht etwas, das er nicht halten kann.
Was die Anwendung ausdrücklich nicht tut
Diese Grenzen sind fest eingebaut und nicht abschaltbar:
Keine rechtliche Bewertung
Sie entscheidet nicht über die Zulässigkeit einer Maßnahme und sichert keine Beweiskraft zu. Die Bewertung von Beweismitteln obliegt allein den Gerichten.
Die KI erfindet nichts
Die vorgesehene Formulierungshilfe formuliert ausschließlich Fakten aus, die der Nutzer selbst erfasst hat. Jeder Entwurf wird geprüft und freigegeben, bevor er den Vorgang verlässt.
Keine Leistungskontrolle
Auswertungen, die eine Rangfolge einzelner Mitarbeiter erzeugen würden, sind bewusst nicht vorgesehen.
Keine Rechtsberatung
Die Rechts- und Datenschutzberatung für Ihren eigenen Betrieb bleibt Ihre Sache — und ist im Preis nicht enthalten.
Was heute noch nicht geklärt ist
Diese Liste steht hier, weil eine Seite über Recht ohne sie unvollständig wäre.
Die Trennung auf Datenbankebene ist nicht entschieden. Siehe oben — sie hängt an der Wahl der Betriebsplattform.
Der Auftragsverarbeitungsvertrag wird geprüft. Wer die Anwendung nutzt, bleibt Verantwortlicher für die Daten seines Betriebs; der Betrieb ist eine Auftragsverarbeitung nach Art. 28 DSGVO. Vor dem ersten produktiven Einsatz liegen die Unterlagen vor.
Eine Frage, die hier nicht beantwortet ist?
Dann stellen Sie sie. Rechtliche Fragen sind uns die liebsten — sie führen zu besseren Entscheidungen als jede Funktionsdiskussion.