Vorwort
Im dritten Teil unserer Selbsthilfeserie “Wie kriegen wir die Seiten voll?” geht es um Videoüberwachung.
Ziel der Serie ist es über das bloße Teilen von Informationen hinaus zu unterstützen, indem wir Ihnen auch das Werkzeug für die praktische Umsetzung datenschutzrechtlicher Verpflichtungen zur Verfügung stellen. Wissensbibliotheken zum Datenschutz gibt es wirklich schon genug.
Auf unseren Social Media Kanälen wird jede Woche ein neuer Teil gepostet.
Teil 3 Videoüberwachung
Je länger ich mich mit Datenschutz beschäftige, umso mehr fällt mir seine Relevanz auch im Alltag auf. Häufig fehlen Datenschutzinformationen, ich bekomme Newsletter oder Werbepost, obwohl es keine Rechtsgrundlage dafür gibt, und: An überraschend vielen Stellen hängen Überwachungskameras. Es ist nachvollziehbar, dass man ein Auge auf die Dinge haben möchte. Allerdings gibt es aus datenschutzrechtlicher Sicht einiges zu beachten und unter bestimmten Umständen ist Videoüberwachung auch einfach unzulässig.
Disclaimer: Dieser Beitrag stellt keine Rechtsberatung dar und erhebt keinen Anspruch auf Vollständigkeit. Es wird bewusst nur auf Videoüberwachung durch nichtöffentliche Stellen eingegangen. Auslassungen, Verkürzungen und Vereinfachungen sind beabsichtigt. Bei Unsicherheiten empfehle ich ein Gespräch mit einem Rechtsanwalt oder Datenschutzbeauftragten.
Übersicht
Das Erstellen von Videos, auf denen Personen zu sehen sind, ist eine Verarbeitung personenbezogener Daten und damit erst einmal verboten. Denn wie immer braucht es eine Rechtsgrundlage, die die Verarbeitung ausnahmsweise erlaubt, und einen bestimmten Zweck, der mit der Verarbeitung verfolgt wird. Der Zweck ist in diesem Fall schnell gefunden, denn regelmäßig möchte man sein Hausrecht wahrnehmen, Straftaten verfolgen, sich vor Vandalismus schützen, etc. Schauen wir uns nun die anderen Punkte an.
1. Rechtsgrundlage
In den meisten Fällen wird sich der Verantwortliche auf Art. 6 Abs. 1 lit. f DSGVO berufen und argumentieren, dass die Überwachung zur Wahrung seiner berechtigten Interessen oder der eines Dritten erforderlich ist und diese Interessen die Interessen oder Grundrechte und Grundfreiheiten der aufgezeichneten Personen überwiegen. Ob das zutrifft, ist für jeden Einzelfall individuell zu prüfen und zu dokumentieren. In die Abwägung fließen u.a. die folgenden Aspekte ein: Handelt es sich um einen öffentlich zugänglichen Bereich? Werden Beschäftigte von den Kameras erfasst? Können die Betroffenen in der Situation, in der sie aufgenommen werden, davon ausgehen, dass sie aufgenommen werden?
In Gaststätten oder Cafés fällt die Abwägung regelmäßig zugunsten der anwesenden Gäste und Beschäftigten aus. Die Rechtsprechung argumentiert, dass in diesen Freizeitsituationen die Persönlichkeitsrechte der Gäste besonders schützenswert sind. Das Interesse des Betreibers am Schutz seines Eigentums etc. muss dahinter zurückstehen, denn im Regelbetrieb ist die Gefahr gering.
In Betrieben mit nichtöffentlichen Produktionsbereichen kann dagegen Videoüberwachung stattfinden, wenn damit z.B. Zutritt zu bestimmten Bereichen überwacht wird oder die Sicherheit der Beschäftigten es erfordert. Soweit möglich ist jedoch der Bereich von der Überwachung auszunehmen, in dem die Arbeit stattfindet, denn eine Kontrolle durch Überwachung von Beschäftigten ist grundsätzlich unzulässig.
Wichtig: In § 4 BDSG ist zwar von Videoüberwachung die Rede, es ist aber trotzdem NICHT die richtige Rechtsgrundlage. Nach einem Urteil des Bundesverwaltungsgerichts ist diese Norm europarechtswidrig und kann daher von Verantwortlichen, die nicht-öffentliche Stellen sind, nicht herangezogen werden.
2. Dokumentation
Datenschutzinformation
So weit, so nachvollziehbar, aber die Betroffenen müssen Bescheid wissen. Wie bei allen Verarbeitungen personenbezogener Daten, sind die mit den Kameras aufgenommenen Personen über diese Form der Verarbeitung zu informieren, und zwar bevor sie von den Kameras erfasst werden. Manchmal fehlt das völlig. Häufig gibt es zumindest ein Schild an der Tür, auf dem eine Kamera abgebildet ist. Auch das ist jedoch unzureichend.
Der Umfang der Informationspflichten ist derselbe wie stets, wenn personenbezogene Daten direkt bei der betroffenen Person erhoben werden:
- Name und Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten
(bei der Einrichtung von Videoüberwachungssystemen ist wegen des voraussichtlich hohen Risikos für die Rechte und Freiheiten natürlicher Personen regelmäßig eine Datenschutzfolgenabschätzung durchzuführen – die Benennung eines DSB ist daher auch dann verpflichtend, wenn der Verantwortliche weniger als 20 Beschäftigte hat) - Verarbeitungszwecke
- Berechtigte Interessen (bei Art. 6 Abs. 1 lit. f DSGVO erforderlich)
- Empfänger bzw. Empfängerkategorien
- Absicht zur Übermittlung der Daten an ein Drittland
- Speicherdauer
- Aufklärung über Betroffenenrechte
Ja, ein Schild mit all diesen Informationen würde eine dicht beschriebene Seite im Format DIN A4 locker sprengen. Ein solcher Aushang wäre unübersichtlich und damit nicht in Ordnung, denn die Informationen müssen schließlich in einer Form präsentiert sein, die die Attribute „transparent“ und „verständlich“ verdienen.
Glücklicherweise ist ein sog. Medienbruch zulässig: Man stellt grundlegende Informationen auf dem Schild zur Verfügung und druckt dort außerdem einen QR-Code ab, den man mit dem Smartphone scannen kann. Der Link hinter dem Code führt zur Website des Verantwortlichen, wo dann die vollständigen Datenschutzinformationen nachzulesen sind. Bei der Gestaltung ist man frei, man kann sich jedoch an einem Muster der Aufsichtsbehörden orientieren.
Link zum Muster auf der Website des Bayerischen Landesamtes für Datenschutzaufsicht: https://www.lda.bayern.de/media/muster/video_hinweis.pdf
Verzeichnis von Verarbeitungstätigkeiten
Videoüberwachung ist eine Verarbeitungstätigkeit und muss daher im VVT dokumentiert sein. Mehr dazu in Teil 2 der Serie DIY Datenschutz. Außerdem sollte jede einzelne Kamera in das Verzeichnis aufgenommen werden.
Datenschutzfolgenabschätzung
Da es sich um eine Verarbeitung handelt, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, ist regelmäßig eine Datenschutzfolgenabschätzung durchzuführen. Ziel ist es, das Risiko für die Betroffenen zu bewerten und durch geeignete Maßnahmen zu senken. Der Bericht sollte als Anlage zum VVT genommen werden. Mehr zur Datenschutzfolgenabschätzung in einem späteren Teil der Serie.
3. Speicherdauer
Grundsatz ist, dass personenbezogene Daten verarbeitet werden dürfen, bis der Zweck der Verarbeitung erreicht ist. Wann ist das bei Videoverarbeitung der Fall? Die Aufsichtsbehörden gehen von einer zulässigen Speicherdauer von 72 Stunden aus. Wird ein Dienstleister mit der Durchführung der Überwachungstätigkeit beauftragt, ist darauf zu achten, dass dieser die Frist einhält. Wichtig ist in diesem Fall außerdem, dass ein Auftragsverarbeitungsvertrag (AVV) mit dem Dienstleister abgeschlossen wird.
4. Sonderfall: Attrappen
Es gibt täuschend echte Attrappen von Videokameras, die man anstelle funktionsfähiger Kameras einrichten kann. Wie ist das datenschutzrechtlich einzuordnen?
Gar nicht. Da diese Attrappen eben keine Bilder produzieren, werden auch keine personenbezogenen Daten verarbeitet. Die DSGVO ist deshalb nicht anwendbar.
Daher ein kurzer Exkurs in das Zivilrecht: Nach der Rechtsprechung kann das Aufstellen von Attrappen einen Eingriff in Persönlichkeitsrechte darstellen, der entsprechende Abwehransprüche auslöst. Es ist von außen nicht erkennbar, ob die Attrappe Bilder anfertigen kann oder nicht. Man fühlt sich also unter bestimmten Umständen unabhängig von der Funktionsfähigkeit beobachtet und passt sein Verhalten dementsprechend an diese gefühlte Überwachungssituation an. Wenn man also datenschutzrechtliche Probleme vermeiden möchte, kann man Attrappen verwenden. Probleme anderer Art können jedoch trotzdem auftreten.
Fazit
Bevor man eine Videokamera an die Decke schraubt, sollte man sich mit den Auswirkungen auf die Rechte der erfassten Personen beschäftigen. Es erfordert einiges an Vorbereitung, aber in vielen Fällen lässt sich Videoüberwachung gesetzeskonform umsetzen.
Alle Beiträge der Reihe:
Teil 1 Datenschutzerklärung
Teil 2 Verzeichnis der Verarbeitungstätigkeiten (VVT)
Teil 3 Videoüberwachung
Sonderbeitrag 1: KI-generierte Datenschutzunterlagen
Teil 4 Vorgehen bei Datenpannen
Teil 5 Einwilligung bietet keine ultimative Sicherheit
Teil 6 Cookie-Banner
Teil 7 Auftragsverarbeitungsvertrag (AVV)
Teil 8 Vorgehen bei Betroffenenanfragen
Teil 9 Datenschutzbeauftragter (DSB)