Florian Padberg

Datenschutzbeauftragter

Videoüberwachung

Videoüberwachung und der Datenschutz – das müssen Sie wissen

In der DSGVO ist die Videoüberwachung nicht explizit geregelt. Es gelten auch hier die allgemeinen Regelungen zur Rechtmäßigkeit der Verarbeitung personenbezogener Daten. (Art 6 Abs. 1 S.1 lit. f DSGVO)
Auch bei Videoüberwachung greift die Informationspflicht (zusätzlich könnte noch eine Datenschutzfolgeabschätzung nötig sein) und die Pflicht auf ein Verzeichnis der Verarbeitungstätigkeiten.
Bei nicht datenschutzkonformer Videoüberwachung drohen Konsequenzen, u. a. auch Bußgelder.

Videoüberwachung unter der DSGVO

Was muss für eine datenschutzkonforme Videoüberwachung beachtet werden?

Viele Unternehmen bedienten sich der Videoüberwachung als Mittel zur Sicherung vor Vandalismus oder zum Schutz ihrer Sachwerte. Um das stolperfrei machen zu können, ist es wichtig, dass die Videoüberwachung datenschutz- und gesetzeskonform installiert wird.

Da in der EU-DSGVO keine genauen Regelungen zur Videoüberwachung enthalten sind, stellt sich die Frage, wie man eine Überwachung datenschutzkonform gestaltet. Ist sie überhaupt erlaubt, wenn ja, unter welchen Bedingungen?

Bisher waren diese Fragen ergänzend zur DSGVO in §4 BDSG-neu geregelt. Seitdem dieser Paragraph 2019 vom BVerwG als europarechtswidrig eingestuft wurde und daher nicht mehr greift,

gelten die allgemeinen Regelungen aus der DSGVO zur Verarbeitung personenbezogener Daten. Im Fall der Videoüberwachung heißt das, dass diese zulässig ist, sofern sie zur Wahrung des berechtigten Interesses des Unternehmens oder eines Dritten notwendig ist (s. Art. 6 Abs. 1 lit. F DSGVO).

Diese Begründung greift (wie immer bei dieser Rechtsgrundlage) nicht, wenn Interessen und Grundrechte oder -freiheiten betroffener Personen überwiegen – ganz besonders dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Dabei ist es übrigens nicht relevant, ob der Zweck der Aufnahmen nur in Ausnahmefällen (oder nur für einen kleinen Prozentsatz) für eine Identifikation genutzt werden sollen.

Datenschutzkonforme Installation

Um eine Videoüberwachung DSGVO-konform zu installieren, muss man sie zuvor begründen, Voraussetzungen erfüllen und Maßnahmen ergreifen. Was genau ist darunter zu verstehen?

Vor der Installation:

Bei einer Videoüberwachung muss vorweg erst begründet werden, warum ein Unternehmen dieses Instrument, nach objektiver Interessens-Abwägung, als die geeignete Methode sieht. Als Begründung kann hier ein berechtigtes Interesse des Unternehmens angeführt werden. Dazu zählen beispielsweise (nicht abschließend):

die Ausübung des Hausrechts (um ungebührliches Verhalten zu unterbinden)
zum Schutz, zur Abschreckung und Prävention bei konkretem Gefahrenpotential von Vandalismus, Einbrüchen und Diebstählen
zur Beweissicherung möglicher Straftaten (sollte objektives Potential dafür bestehen)
wenn dem Unternehmen erheblicher Schaden durch Verlust droht

Ergänzend muss noch die Erforderlichkeit zur Videoüberwachung gegeben sein. Das heißt, dass der Zweck der Überwachung durch kein anderes milderes Mittel erfüllt werden kann; mildere (weniger in die Rechte Betroffener eingreifende) Mittel müssen jedoch nicht ergriffen werden, wenn sie die Kosten einer Überwachung nachhaltig übersteigen (z.B. die Einstellung von Sicherheitspersonal).

Für eine datenschutzkonforme Überwachung das Überwiegen des berechtigten Interesses Voraussetzung. Das heißt, dass zu Beginn eine Interessensabwägung stattfinden sollte, die alle Parteien und deren Rechte und Interessen miteinbezieht.

Sollten nach einer gründlichen Abwägung die Rechte der Betroffenen das berechtigte Interesse übersteigen, so wird es schwer bzw. unmöglich eine Videoüberwachung wirksam zu installieren. Ausdrücklich ausgeschlossen ist die Überwachung von Räumen höchstpersönlicher, intimer Natur (z.B. Waschräume, Umkleidekabinen, Toiletten etc.). Eine Überwachung dieser Bereiche stellt eine grobe Verletzung der Rechte Betroffener dar und ist datenschutzrechtlich stets verboten.

Generell sollte vor der Installation einer Videoüberwachung ebenfalls eine Schutzbedarfsfeststellung und die Erfassung über ein Risikomanagement erfolgen. Wird hierbei eine unzulässige Benachteiligung eines Betroffenen festgestellt, darf die Videoüberwachung nicht erfolgen. Es muss ein milderes Mittel zur Wahrung des Interesses genutzt werden.

Eine ausreichende Dokumentierung der Videoüberwachung ist Voraussetzung vor, während und nach der Installation. Grundrisse mit sichtbaren Aufzeichnungsbereichen (Bilder aus der Kamera zur Prüfung der Stimmigkeit nach der Installation), Dokumentationen über die Kameras und die Server, eine Festlegung der Berechtigungen zur Einsicht (4-Augen-Prinzip) und eine automatisierte Löschung der Aufnahmen gehören zwingend zu dieser Dokumentation.

Eine Überwachung muss erkennbar gemacht werden; dies kann z. B. durch eine angemessene Beschilderung oder piktographische Hinweise geschehen. Auch muss erkennbar sein, wo, wie lang, warum und wann eine Überwachung stattfindet und wen man diesbezüglich kontaktieren kann.

Da Videoüberwachung (dadurch, dass sie personenbezogene Daten Betroffener verarbeitet) unter Art. 6 DSGVO fällt, gilt hierfür ebenfalls die Informationspflicht wie auch die Pflicht für ein Verzeichnis von Verarbeitungstätigkeiten. (Art. 30 DSGVO).

Checkliste Datenschutzkonforme Videoüberwachung

Begründung begründet, warum ein Unternehmen dieses Instrument, nach objektiver Interessens-Abwägung, als die geeignete Methode sieht (beispielsweise berechtigtes Interesse)

Es muss eine Erforderlichkeit gegeben sein und der Zweck der Videoüberwachung kann durch kein anderes „milderes“ Mittel erfüllt werden

Sorgfältige Interessensabwägung mit dem Ergebnis: Überwieges des berechtigten Interesses

Schutzbedarfsfestellung & Risikomanagement um die Benachteiligung der Betroffenen zu vermeiden

Erfüllung aller Informationspflichten

Nach der Installation:

Eine weitere Maßnahme besteht darin, die Überwachung durch den Betreiber mit geeigneten Methoden erkennbar zu machen. Wie sich diese zusammenstellen, ergibt sich aus Art. 13 DSGVO:

Namen und die Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters;
die Kontaktdaten des Datenschutzbeauftragten;
Zweck, sowie die Rechtsgrundlage für die Verarbeitung;
die berechtigten Interessen (Begründungen) der Verantwortlichen oder Dritter, wenn die Verarbeitung auf Art. 6 Abs. 1 lit. f beruht;
gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission.
Im Falle von Übermittlungen einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

Des Weiteren muss das Unternehmen der betroffenen Person notwendige zusätzliche Informationen zum Zeitpunkt der Erhebung zu Verfügung zu stellen (die Begründung hierfür liegt darin, dass eine faire und transparente Verarbeitung gewährleistet werden muss):

Hinweis auf

die Pflicht auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf das Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung und das Widerspruchsrechts gegen die Verarbeitung, sowie auf das Recht auf Datenübertragbarkeit;
auf ein Beschwerderecht bei einer Aufsichtsbehörde
das Recht, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit, der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird; (wenn die Verarbeitung auf Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a beruht)

Auskunft darüber

ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben ist oder
ob die Bereitstellung für einen Vertragsabschluss erforderlich ist, oder
ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche möglichen Folgen die Nichtbereitstellung hätte;

des weiteren Auskunft über

das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling (gem. Art. 22 Abs. 1 und 4)
die Speicherdauer der Daten oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.

Regelungen zur Dauer der Speicherung personenbezogener Daten

Wie lange darf ich die Daten aufheben?

Daten, die durch Videoüberwachung verarbeitet werden, dürfen nach Angaben der Aufsichtsbehörden nur bis maximal 72 Stunden gespeichert werden. Da dies in manchen Situationen impraktikabel ist, wurde die Frist zu Aufbewahrung in diesen Fällen auf 10 Tage verlängert. Wie lang die Speicherdauer sein kann, ergibt sich aus dem Zweck der Verarbeitung. Sollte dieser z.B. wegfallen oder nicht mehr greifen, so sind die Daten unverzüglich zu löschen.

focus-photo-of-yellow-paper-near-trash-can-850216

Folgen einer nicht datenschutzkonformen Videoüberwachung

Welche Konsequenzen kann eine nichtkonforme Überwachung haben?

Die DSGVO sieht eine transparente Dokumentation zur und Information über eine Videoüberwachung vor; wenn dies also nicht in angemessenem Umfang geschieht, so können Aufsichtsbehörden beim Unternehmen anordnen, die Schwachstelle zu beheben. Sollte der Mangel nicht beseitigt werden, kann in weiteren Schritten die Videoüberwachung temporär oder endgültig begrenzt oder unterbunden werden. Darüber hinaus ist fehlende Transparenz bei der Videoüberwachung bußgeldpflichtig (Art. 83 Abs. 5 DSGVO).

Wenn sich ein Unternehmen dazu entschließt, Kameras zu installieren, muss es dabei einkalkulieren, dass Verstöße gegen die Transparenz (auch anonym) bei den Aufsichtsbehörden gemeldet werden können. Bei der Planung bzw. Installation einer Videoüberwachung sollte daher grundsätzlich frühzeitig der jeweilige Datenschutzbeauftragte und – sofern vorhanden – ggfs. der Personal- bzw. Betriebsrat hinzugezogen werden.