Videoüberwachung nach DSGVO: Diese Rechtslage müssen nicht-öffentliche und öffentliche Stellen beachten
20.09.2019 | JS – Online-Redaktion, Forum Verlag Herkert GmbH
Videoüberwachung: Welche Regelungen der DSGVO sind einschlägig?
Bei der Videoüberwachung handelt es sich grundsätzlich immer um eine Datenverarbeitung i. S. d. Art. 4 Nr. 2 DSGVO. Das gilt sowohl für gespeicherte Videoaufnahmen als auch für die Überwachung in Echtzeit, die nicht gespeichert wird. Nicht-öffentliche und öffentliche Stellen haben demnach die „Generalklausel“ für Datenverarbeitung in Art. 6 Abs. 1 DSGVO zu beachten.
Erst am 10.07.2019 hat der Europäische Datenschutzausschuss (EDSA) Leitlinien zum datenschutzkonformen Umgang mit Videoüberwachung beschlossen. Nach diesen EDSA-Leitlinien kann für die Videoüberwachung jeder Erlaubnistatbestand nach Art. 6 Abs. 1 DSGVO herangezogen werden.
Dieser DSGVO-Artikel beinhaltet insgesamt sechs Rechtsgrundlagen. Die häufigsten jedoch, die im Rahmen von Videoüberwachung zum Tragen kommen, sind:
- Art. 6 Abs. 1 lit. e) DSGVO „Wahrnehmung einer Aufgabe im öffentlichen Interesse“
- Art. 6 Abs. 1 lit f) DSGVO „Wahrung des berechtigten Interesses des Verantwortlichen“
Der Erlaubnistatbestand der „Einwilligung“ z. B. ist im Rahmen der Videoüberwachung wenig griffig, weil gerade im öffentlichen Raum die Einholung von Einwilligungserklärungen jedes einzelnen Betroffenen unrealistisch ist.
Rechtsgrundlage für nicht-öffentliche Stellen
Art. 6 Abs. 1 lit f) DGSVO bezieht sich insbesondere auf nicht-öffentliche Stellen. Bei der Begründung des berechtigten Interesses können nicht-öffentliche Stellen die Kriterien des Erwägungsgrundes 47 der DSGVO heranziehen. Entscheidend ist, dass das berechtigte Interesse des Verantwortlichen oder eines Dritten real existiert. Die Berechtigung zur Videoüberwachung ist demnach für jeden Fall individuell zu prüfen. Ein bloßes Abstellen auf abstrakte oder vergleichbare Fälle ohne Betrachtung des Einzelfalls genügt den Anforderungen der DSGVO nicht.
Das berechtigte Interesse kann jedoch nur dann überwiegen, wenn die Interessen bzw. Grundrechte der betroffenen Person nicht mehr Gewicht haben. Besondere Vorsicht ist geboten, wenn es sich bei der betroffenen Person um ein Kind handelt.
Rechtsgrundlage für öffentliche Stellen
Art. 6 Abs. 1 lit e) ist von öffentlichen Stellen zu beachten. Demnach ist eine Videoüberwachung des öffentlichen Raums nur dann zulässig, wenn mit Videoaufnahmen die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe bezweckt wird, z. B. der Schutz von Personen.
Im öffentlichen Raum werden Videokameras insbesondere zur Gefahrenabwehr eingesetzt. Regelungen zu dieser Art der Videoüberwachung enthält das Polizei- und Ordnungsrecht.
Videoüberwachung im Betrieb: Wann dürfen Arbeitgeber ihre Beschäftigten überwachen?
Handelt es sich bei den erhobenen Bilddaten gleichzeitig um Beschäftigtendaten müssen Verantwortliche zusätzlich zu den Regelungen der DSGVO den § 26 BDSG berücksichtigen. Demnach hat jeder Beschäftigte in Deutschland das Recht, keiner ständigen Arbeits- und Leistungskontrolle zu unterliegen. Arbeitgeber dürfen ihre Beschäftigten also nur dann videoüberwachen, wenn sie einen konkreten Verdacht auf eine Straftat haben. Und dann dürfen sie nur den betroffenen Mitarbeiter überwachen.
Verhältnismäßigkeit und Datenminimierung gelten auch bei Videoaufnahmen
Neben Art. 6 Abs. 1 DSGVO müssen Verantwortliche für die Videoüberwachung weiterhin die Anforderungen des Art. 5 DSGVO erfüllen. Sie müssen
- gem. Art. 5 Abs. 1 lit. b) DSGVO genau festlegen, welchem Zweck die Videoüberwachung dient.
- gem. Art. 5 Abs. 1 lit. c) DSGVO auf die Verhältnismäßigkeit der Datenverarbeitung und Datenminimierung achten.
- gem. Art. 5 Abs. 2 DSGVO ihre Rechenschaftspflichten erfüllen.
Insbesondere der Grundsatz der Rechtmäßigkeit ist genauestens zu prüfen und zu dokumentieren. Die EDSA betont in ihren Leitlinien, dass Videoüberwachung nicht standardmäßig eine Notwendigkeit ist. Zuerst ist vom Verantwortlichen zu prüfen, ob es ein anderes milderes Mittel gibt, das denselben Zweck erfüllt.
Was bei der Dokumentation zu beachten ist und welche weiteren datenschutzrechtlichen Anforderungen das BDSG und die DSGVO stellen, zeigt das Buch „Datenschutz 2019“ ausführlich. Mit dem „Datenschutz-Paket“ erhalten Unternehmen und Behörden zudem hilfreiche Dokumente zur Erfüllung ihrer Datenschutzpflichten.
Datenschutz-Folgenabschätzung und Verzeichnis der Verarbeitungstätigkeiten
Die Prüfung, ob die Videoüberwachung das letzte Mittel ist, um den gewünschten Zweck zu erreichen, kann durch eine Datenschutz-Folgenabschätzung (DSFA) gem. Art. 35 Abs. 3 lit. c) DSGVO erfolgen. Anhand der DSFA beurteilt der Verantwortliche, welche Konsequenzen für den Betroffenen aufgrund der Videoüberwachung zu befürchten sind.
Die DSK führt in ihrem Kurzpapier Nr. 15 aus, dass eine Datenschutz-Folgenabschätzung durchzuführen ist, „wenn die Videoüberwachung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dies gilt nach Art. 35 Abs. 3 lit. c DS-GVO insbesondere bei einer systematischen umfangreichen (ErwGr. 91: weiträumigen) Überwachung öffentlich zugänglicher Bereiche“.
Das Bayerische Landesamt für Datenschutz (BayLDA) führt in seinen FAQ weiter aus: „Eine Datenschutz-Folgenabschätzung muss nur bei einem hohen Risiko für die Rechte und Freiheiten durchgeführt werden. Dieser Schwellwert des hohen Risikos wird nach Anwendung der technischen und organisatorischen Maßnahmen (TOM) bestimmt, die aufgrund von Art. 25 DS-GVO (Datenschutz durch Technikgestaltung) nachweisbar dargelegt werden können. Bei Videoüberwachungen sind deswegen in der Regel keine Datenschutz-Folgenabschätzungen durchzuführen, sondern - im Prinzip wie bei der Vorabkontrolle unter BDSG-alt - Schutzmaßnahmen ohne detaillierte Risikoanalyse auszuwählen (z. B. Begrenzung Speicherdauer, Aufzeichnungsbereich, ...)."
Verzeichnis der Verarbeitungstätigkeiten auch für personenbezogene Daten aus Videoüberwachung
Der Verantwortliche für die Videoüberwachung muss für die personenbezogenen Daten, die mittels der Videoüberwachung erhoben wurden, ein Verzeichnis für Verarbeitungstätigkeiten gem Art. 30 DSGVO erstellen. In diesem Verzeichnis dokumentiert er, welche personenbezogenen Daten mithilfe welchen Verfahrens verarbeitet wurden und welche Datenschutzmaßnahmen er getroffen hat. Dieses Dokument muss er der Aufsichtsbehörde vorlegen können. Erfüllen mehrere Kameras denselben Zweck, können sie unter einer Verarbeitungstätigkeit erfasst werden.
Muss die Videoüberwachung durch Hinweisschilder gekennzeichnet sein?
Um ihren Informationspflichten nachzukommen, müssen Verantwortliche auf Grundlage des Art. 13 DSGVO auf die Videoüberwachung hinweisen. Dieser Pflicht kommen sie in Form von Hinweisschildern nach, die mindestens folgende Angaben enthalten sollten:
- Kamerasymbol mit dem Hinweis „Achtung! Videoüberwachung!“
- Name und Kontakt des Verantwortlichen für die Videoüberwachung und ggf. seines Vertreters (Art. 13 Abs. 1 lit. a DSGVO)
- (sofern benannt) Kontaktdaten des Datenschutzbeauftragten (Art. 13 Abs. 1 lit. b DSGVO)
- Verarbeitungszwecke und Rechtsgrundlage für die Datenverarbeitung in Schlagworten (Art. 13 Abs. 1 lit. c DSGVO)
- Angabe des berechtigten Interesses, soweit die Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht (Art. 13 Abs. 1 lit. d DSGVO)
- Speicherdauer oder Kriterien für die Festlegung der Dauer (Art. 13 Abs. 2 lit. a DSGVO)
Die Datenschutzkonferenz (DSK) hat sich auf ein Muster für ein Hinweisschild verständigt:
Quelle: BayLDA
Hinweis in Datenschutzerklärung
Ergänzend zum Hinweisschild sollten Verantwortliche im nicht-öffentlichen Bereich auch in der eigentlichen Datenschutzerklärung, die den Kunden des jeweiligen Unternehmens spätestens bei Vertragsabschluss ausgehändigt wird, auf die Videoüberwachung in den Räumlichkeiten hinweisen.
Wie lange dürfen Daten aus der Videoüberwachung gespeichert werden?
Sobald die Daten der Videoüberwachung zur Erreichung der definierten Zwecke nicht mehr benötigt werden oder schutzwürdige Interessen der Betroffenen der Speicherung entgegenstehen, sind Verantwortliche gem. Art. 17 Abs. 1 lit. a DSGVO verpflichtet, sie unverzüglich zu löschen. Grundsätzlich wird angenommen, dass innerhalb von ein bis zwei Tagen klar sein sollte, ob die Sicherung des Bildmaterials noch notwendig ist oder nicht.
Unter Berücksichtigung der Grundsätze „Datenminimierung“ und „Speicherbegrenzung“ (Art. 5 Abs. 1 lit. c und e DSGVO) sollten die Daten aus der Videoüberwachung nach maximal 48 Stunden gelöscht werden.
Sind Videoaufnahmen mit Ton zulässig?
Videoaufnahmen mit Ton sind grundsätzlich verboten, denn die Rechtsgrundlage für Videoüberwachung umfasst keine Tonaufnahmen. Nehmen Verantwortliche neben Bild auch Ton auf, machen sie sich strafbar gem. § 201 Strafgesetzbuch (StGB), denn das vertraulich gesprochene Wort ist rechtlich geschützt.
Fazit zur Videoüberwachung
Zusammenfassend sind für eine Videoüberwachung v. a. drei Voraussetzungen zwingend nötig:
- Es muss eine Rechtsgrundlage für die Videoüberwachung geben.
- Betroffene müssen frühzeitig durch korrekte Hinweisschilder informiert werden.
- Insbesondere bei einer systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche ist eine DSFA durchzuführen.
Quellen: „Infodienst Datenschutz für Praktiker“, Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz), Der Landesbeauftragte für den Datenschutz Niedersachsen, Bayerisches Landesamt für Datenschutzaufsicht
