Videoüberwachung – Was ist erlaubt und wo sind die Grenzen?

Hinweis: Dieser Beitrag wurde erstmals am 17.09.2020 veröffentlicht und zuletzt am 04.10.2023 überarbeitet.

Eine 24/7 Videoüberwachung kennen wir in Deutschland derzeit nur aus Fernsehformaten wie „Big Brother“. Doch auch in der Realität sind wir in vielen Situationen einer Videoüberwachung ausgesetzt. Die niedrigen Anschaffungskosten und die verbesserte Qualität der Geräte sorgen dafür, dass Videoüberwachungssysteme in der Praxis – sowohl im öffentlichen als auch im nicht-öffentlichen und sogar privaten Bereich – immer häufiger zum Einsatz kommen.

Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder hat diese Entwicklung zum Anlass genommen, die Anforderungen an eine datenschutzkonforme Videoüberwachung durch nicht-öffentliche Stellen in einer ausführlichen Orientierungshilfe zusammenzufassen und zu veröffentlichen.

Dieser Blogbeitrag zeigt auf, unter welchen Voraussetzungen eine Videoüberwachung zulässig ist, welche Anforderungen Sie dafür erfüllen müssen und wo die Grenzen sind.

Begriff der Videoüberwachung und Anwendbarkeit der DSGVO

Der Begriff der Videoüberwachung umfasst sowohl die Videobeobachtung, bei der eine Live-Übertragung der Bilder auf einen Monitor erfolgt, also auch die Videoaufzeichnung, bei der Aufnahmen gespeichert und zu einem späteren Zeitpunkt ausgelesen werden können. Der Anwendungsbereich der DSGVO ist dann eröffnet, wenn einzelne Personen auf den Aufnahmen eindeutig zu erkennen sind und somit eine Verarbeitung personenbezogener Daten stattfindet. Kamera-Attrappen verarbeiten keine personenbezogenen Daten. Daher kommen die Vorschriften der DSGVO und des BDSG nicht zur Anwendung. Ebenso wenig gelten die datenschutzrechtlichen Anforderungen an die Videoüberwachung, wenn diese ausschließlich im persönlichen oder privaten Bereich stattfinden, ohne dass dabei ein Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit besteht und insbesondere keine Überwachung eines öffentlichen Raums stattfindet.

Voraussetzungen für eine zulässige Datenverarbeitung

Um eine Videoüberwachung auf rechtssichere Beine zu stellen und den Unmut der Aufsichtsbehörde zu vermeiden, müssen bereits im Vorwege einer Installation einige Dinge beachtet werden.

1. Zweckbestimmung

Vor dem Kauf einer Kamera und der darauffolgenden Installation sind zunächst Überlegungen zum beabsichtigten Zweck der Überwachung anzustellen. Eine Videoüberwachung kann beispielsweise eingesetzt werden, um vor Einbrüchen, Diebstählen, Vandalismus oder Übergriffen zu schützen. Die Zwecke sind für jede einzelne Kamera gesondert zu dokumentieren. Eine Überwachung „ins Blaue“ oder unter Berufung auf nicht näher beschriebene „Sicherheitsgründe“ ist regelmäßig nicht ausreichend.

2. Rechtsgrundlage

Jede zulässige Datenverarbeitung ist gekoppelt an das Vorliegen einer Rechtsgrundlage. Die DSGVO enthält für Videoüberwachungen keine speziellen Regelungen. Der deutsche Gesetzgeber hatte zunächst § 4 BDSG als Spezialnorm für die Videoüberwachung in öffentlich zugänglichen Räumen vorgesehen, erhielt vom Bundesverwaltungsgericht jedoch einen Dämpfer als die Norm als europarechtwidrig eingestuft wurde. Somit bleiben dem Verantwortlichen ausschließlich die Auswahl der in Art. 6 Abs. 1 DSGVO aufgeführten Rechtsgrundlagen. Hierbei kommt regelmäßig nur Art. 6 Abs. 1 Buchst. f) DSGVO in Frage, wonach eine Videoüberwachung zulässig ist, soweit die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen erforderlich ist und nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

Ein berechtigtes Interesse muss ein tatsächlich und gegenwärtig vorliegendes Interesse darstellen. Subjektive Befürchtungen oder ein Gefühl der Unsicherheit sind spekulativer Natur und reichen, ebenso wie eine vermeintlich abschreckende Wirkung von Videoüberwachungen, in der Regel nicht aus. Vielmehr muss sich das berechtigte Interesse anhand konkreter Vorkommnisse wie beispielsweise Beschädigungen oder anderen Ereignissen, die eine Gefahrenlage objektiv begründen, gegenüber der Aufsichtsbehörde nachweisen lassen. Solche Vorfälle begründen ein berechtigtes Interesse, wenn sie in der Vergangenheit bei Überwachenden selbst oder aber in der unmittelbaren Nachbarschaft nachweisbar stattgefunden haben. Der Nachweis für die konkrete Gefahrenlage kann durch die Dokumentation des jeweiligen Vorfalls (Datum, Art und Ort des Vorfalls, Schadenshöhe, etc.) erbracht werden. Regelmäßig sollte zudem Strafanzeige erstattet und auch diese dokumentiert werden. Lässt sich im Rahmen einer Überprüfung nicht nachweisen, dass die Videoüberwachung erst installiert wurde, nachdem es bereits zu Vorfällen kam, wird sich ein berechtigtes Interesse oft nur schwer darlegen lassen. Eine Ausnahme gilt bei Situationen, die nach allgemeiner Lebenserfahrung typischerweise gefährlich sind (z.B. bei Tankstellen oder Juwelieren).

Der Weiteren muss die beabsichtigte Überwachung erforderlich sein, um den beabsichtigen Zweck zu erfüllen. Bestehen also alternative Maßnahmen, die weniger in die Rechte und Freiheiten der betroffenen Personen eingreifen, sind diese einer Videoüberwachung immer vorzuziehen. In Frage kommen hier regelmäßig der Einbau von Sicherheitsschlössern, Zugangs- und Zutrittssicherungen oder Kontrollgänge durch Bewachungspersonal.

Bei der Abwägung der Interessen der Überwachenden gegen die Schutzbedürftigkeit der von den Aufnahmen Betroffenen, kommt es insbesondere auf die Intensität des Eingriffs an. Hierbei gilt: Je abstrakter eine Gefahrenlage ist, desto weniger eingriffsintensiv darf eine Maßnahme sein.

Als alternative Rechtsgrundlage mag manch einer eine Einwilligung nach Art. 6 Abs. 1 Buchst. a) DSGVO in Erwägung ziehen. Aber: Die Einwilligung der betroffenen Personen stellt keine akzeptable Rechtsgrundlage dar. Der Verantwortliche kann die gesetzlichen Anforderungen an eine Einwilligung in der Regel nicht erfüllen, da das bloße Betreten eines speziell gekennzeichneten Bereichs jedenfalls keine Einwilligung darstellt, sondern diese gesondert und freiwillig eingeholt werden müsste.

3. Technisch-organisatorische Maßnahmen

Sind andere Maßnahmen wirkungslos und bleibt die Videoüberwachung das letzte Mittel, müssen technisch-organisatorische Maßnahmen implementiert werden, die ein angemessenes Schutzniveau gewährleisten und den Eingriff in die Rechte und Freiheiten der Betroffenen möglichst abmildern. Es gilt, dem Datenschutz durch Technikgestaltung (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) nachzukommen. Das betrifft beispielsweise auch die Auswahl der Kameras und deren Einstellungen, die so getroffen werden, dass Betriebszeiten, Aufnahmequalität und Erfassungsbereiche auf ein notwendiges Minimum reduziert werden. Sind bestimmte Bereiche für den Zweck der Überwachung nicht relevant und kann die Kamera nicht anders ausgerichtet werden, sind technische Schutzmaßnahmen zu treffen, die diese Bereiche irreversibel ausblenden, schwärzen oder verpixeln.

Reicht eine Beobachtung in Echtzeit zur Erreichung des Zweckes aus, dürfen die Aufnahmen in aller Regel nicht zusätzlich gespeichert werden. Ist eine Aufzeichnung zur Erreichung des Zwecks hingegen notwendig, ist auch die Speicherdauer der Aufzeichnung jeder einzelnen Kamera auf ein notwendiges Minimum zu reduzieren. Nach Sicht der Behörden könne in den meisten Fällen innerhalb von ein bis zwei Arbeitstagen geklärt werden, ob eine Sicherung des Materials notwendig ist. Das bedeutet, dass eine Speicherdauer von 72 Stunden in der Regel zulässig ist. Eine längere Speicherung der Aufnahmen sei nur für solche Kameras zulässig, für die eine besondere Begründung vorliegt. Darüber hinaus sind Berechtigungskonzepte für den Zugriff auf die Aufnahmen zu erstellen. Bei netzwerkfähigen Videokameras ist regelmäßig die Sicherheit (Firmware-Aktualisierungen, Passwortschutz, Benutzerkonten, etc.) zu überprüfen.

4. Dokumentationspflicht

Nach erfolgreicher Interessensabwägung und danach ausgewählten und eingerichteten Kameras, ist die Videoüberwachung zur Erfüllung der Rechenschaftspflicht detailliert und vollständig zu dokumentieren. Dabei muss nach Ansicht der DSK jede Kamera (oder bei gegebener Vergleichbarkeit jede Kameragruppe) einzeln in das Verzeichnis von Verarbeitungstätigkeiten aufgenommen werden.

Der Verantwortliche einer Videoüberwachungsanlage hat vorab außerdem eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat. Ob die Voraussetzungen dafür erfüllt werden, ist in jedem Einzelfall gesondert zu prüfen. Eine Datenschutz-Folgenabschätzung ist jedenfalls dann vorzunehmen, wenn eine systematische und umfangreiche Überwachung öffentlich zugänglicher Bereiche erfolgt oder biometrische Verfahren zur Datenverarbeitung eingesetzt werden.

Werden für den Betrieb und/oder die Wartung der Videoüberwachungsanlage Dienstleister eingesetzt, die ebenfalls Zugriff auf die Aufnahmen haben, stellt dies eine Auftragsverarbeitung gem. Art. 28 DSGVO dar, die den Abschluss eines sogenannten Auftragsverarbeitungsvertrages fordert.

5. Hinweispflicht

Die Anforderungen an eine transparente und informierte Datenverarbeitung gegenüber betroffenen Personen gilt auch bei der Videoüberwachung. Somit sind die von einer Videoüberwachung betroffenen Personen entsprechend den Vorgaben aus Art. 12 ff DSGVO auf die Überwachung hinzuweisen und darüber zu informieren.

Die Aufsichtsbehörden schlagen vor, die Betroffenen in zwei Schritten zu informieren. Zunächst mit einem vorgelagerten Hinweisschild, das auf Augenhöhe angebracht sein sollte und den Betroffenen einen schnell wahrnehmbaren Überblick über die wichtigsten Informationen verschafft. Darauf sind neben einem Kamerasymbol bereits Angaben zum Verantwortlichen, seinem Datenschutzbeauftragten sowie zu Zwecken, Rechtsgrundlage und Speicherdauer zu platzieren. Außerdem muss das Schild ein Hinweis enthalten, wie der Betroffene in einem zweiten Schritt die vollständigen Informationen nach Art. 13 DSGVO erhalten kann. Die vollständigen Informationen können an geeigneter Stelle ausgelegt oder ausgehängt und zusätzlich auf einer Webseite vorgehalten werden. In der Orientierungshilfe der DSK befinden sich im Anhang bereits Vorlagen für Hinweisschilder.

Externer Datenschutzbeauftragter// Newsletter abonnieren // Hinweisgebersystem

Fazit

Eine Videoüberwachung kann nicht „einfach mal so“ implementiert werden. Der Versuch datenschutzrechtlich notwendige Vorkehrungen anschließend nachzuziehen misslingt regelmäßig, da bereits zur Auswahl und Anzahl der Kamera eine fundierte Prüfung der Anforderungen des Datenschutzes erforderlich ist.

Zusammenfassend sollten Sie sich daher im Voraus an folgenden Fragen orientieren:

• Zu welchem konkreten Zweck soll eine Videoüberwachung eingesetzt werden?
• Ist die Implementierung von meinem berechtigten Interesse gedeckt und gibt es insbesondere keine milderen Mittel zur Erreichung des beabsichtigten Zwecks?
• Welche technisch-organisatorischen Maßnahmen müssen getroffen werden, um den Eingriff in die Rechte und Freiheiten der Betroffenen abzumildern und ein angemessenes Schutzniveau zu gewährleisten?

Anschließend müssen die Dokumentations- und Informationspflichten gewissenhaft und vollständig erfüllt werden.