Videoüberwachung und DSGVO

Ein sehr aktuelles und insbesondere im Hinblick auf den Datenschutz kritisch zu betrachtendes Thema ist die Videoüberwachung, die heutzutage vor allem in vielen Unternehmen zur Überwachung der eigenen Geschäftsräume eingesetzt wird.

Das Wichtigste zur Videoüberwachung:

1. Personenbezogene Daten und Kommunikation – Problemaufriss

2. Wann liegt eine Videoüberwachung vor? 

Unter Videoüberwachung ist die Beobachtung öffentlich zugänglicher Räume mittels optisch-elektronischer Einrichtungen zu verstehen. Es liegt also immer dann eine Videoüberwachung vor, wenn eine Beobachtung in Echtzeit über einen Monitor und/oder eine Videoaufzeichnung von Personen stattfindet. 

3. Zulässigkeit einer Videoüberwachung  

Da jede Videoaufnahme grundsätzlich einen Eingriff in das Persönlichkeitsrecht der betroffenen Person darstellt, weil unter anderem die Kontrolle über das Recht am eigenen Bild nicht mehr gewährleistet ist, ist die Durchführung von Videoüberwachungsmaßnahmen in den eigenen Geschäftsräumen nicht ohne weiteres gestattet. Sie ist aus diesen Gründen stets an hohe Anforderungen geknüpft und mit Rechtspflichten verbunden. Nur so kann gewährleistet werden, dass die mit ihr verfolgten Ziele auf grundrechtschonende Weise erreicht werden.  

Die Rechtspflichten für den datenschutzkonformen Einsatz von Videoüberwachungsmaßnahmen durch private Unternehmen, Bürger oder behördlichen Stellen sind überwiegend der Datenschutzgrundverordnung (DSGVO) zu entnehmen. 

Zwar enthält das 2018 in Kraft getretene Bundesdatenschutzgesetz (BDSG) Regelungen zur Videoüberwachung öffentlich zugänglicher Bereiche, ob und in welchem Umfang diese Regelung aufgrund des Anwendungsvorrangs der DSGVO angewendet werden können, bleibt einer Betrachtung im jeweiligen konkreten Einzelfall jedoch vorbehalten. Zudem hat der europäische Datenschutzausschuss eine Leitlinie zum datenschutzkonformen Einsatz von Videoüberwachung beschlossen, die das Rahmenwerk der DSGVO ergänzen soll.  

Da die DSGVO keine expliziten Regelungen zugeschnitten auf Videoüberwachungsmaßnahmen enthält, ist eine Prüfung der Rechtmäßigkeit überwiegend anhand der in Art. 6 Abs. 1 e), f) DSGVO  enthaltenen Generalklausel zu treffen.  

Der Grundsatz der DSGVO besagt, dass die Verarbeitung personenbezogener Daten regelmäßig an eine Einwilligung des Betroffenen geknüpft ist. Da es jedoch regelmäßig der Fall ist, dass Videoüberwachungsanlagen eine unbekannte Anzahl von Personen auf einmal erfassen, wird ein Nachweis oder die Einholung einer vorherigen ausdrücklichen Zustimmung der Betroffenen durch den Verantwortlichen, in der Praxis kaum möglich sein.  

Entsprechend Art. 6 Abs. 1 e), f) DSGVO ist  daher jegliche Erfassung, Verarbeitung oder Speicherung personenbezogener Daten nur zulässig, wenn sie erforderlich ist um berechtigte Interessen des Überwachenden oder Dritter zu wahren und die Grundrechte des Betroffenen diese Interessen nicht überragen. Insofern ist eine Interessenabwägung vorzunehmen, in der die Interessen des Verantwortlichen gegen die Interessen und Grundrechte der Betroffenen abgewogen werden.   

4. Rechtsgrundlage 

Der Verantwortliche muss mit der Videoüberwachung einen privilegierten Zweck verfolgen, Art. 6 Abs. 1 e), f) DSGVO. Privilegierter Zweck kann die Aufgabenerfüllung öffentlicher Stellen, die Wahrnehmung des Hausrechts oder die Wahrnehmung berechtigter Interessen sein, die konkret definiert sein müssen.  

4.1 Aufgabenerfüllung öffentlicher Stellen 

Danach ist eine Datenverarbeitung öffentlicher Stellen nur zulässig, wenn sie für die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe der verarbeitenden Stelle erforderlich ist oder wenn die Datenverarbeitung in Ausübung öffentlicher Gewalt erfolgt.  

4.2 Wahrnehmung des Hausrechts 

Unter Wahrnehmung des Hausrechts ist der Schutz des eigenen Objekts zu verstehen, unabhängig davon ob es ein Behörden- oder Fabrikgelände ist. 

In solchen Fällen kann eine optische Raumüberwachungseinrichtung regelmäßig dann legitim sein, wenn sie beispielsweise der Prävention von Straftaten oder der Abschreckung dienen soll. Insoweit kann zumeist eine Rechtfertigung zugunsten des Verantwortlichen angenommen werden, wenn Güter die sich in den überwachten Räumlichkeiten befinden einen hohen Wert haben, somit eine erhöhte Wahrscheinlichkeit für ein konkret strafbares Verhalten besteht.

Dies ist regelmäßig auch dann der Fall, wenn es in der Vergangenheit zu Straftaten kam, die sich gegen das Eigentum oder die Sicherheit des Verantwortlichen richteten, wie beispielsweise Diebstahl, Vandalismus oder Drohungen. Auch Straftaten, die sich in unmittelbarer Nähe zum Geschäft des Verantwortlichen ereignet haben, können einen Grund darstellen, Videoüberwachungsmaßnahmen zu ergreifen. 

Darüber hinaus kann diese auch der Sicherung von Beweisen im Falle potentieller Straftaten dienen. Neben den eigenen Interessen können zudem Interessen Dritter als legitimer Zweck für die Überwachung angesehen werden. Darunter fällt insbesondere das Verhindern von störendem Fehlverhalten innerhalb der Geschäftsräume oder die Gewährleistung der Sicherheit Dritter, die sich in den überwachten Räumlichkeiten aufhalten.  

4.3 Wahrnehmung berechtigter Interessen 

Im Hinblick auf die Wahrnehmung berechtigten Interessen, müssen eigene Interessen vorliegen, die das schutzwürdige Interesse des Beobachteten überwiegen. Insoweit ist meistens keine eindeutige Grenzziehung zur Wahrnehmung des Hausrechts möglich.  

4.3.1 Interessenabwägung 

Dabei ist eine Interessenabwägung vorzunehmen. Demensprechend sind Videoüberwachungsmaßnahmen nur gerechtfertigt, wenn im Rahmen der Interessenabwägung ein überwiegendes berechtigtes Verarbeitungsinteresse besteht, das das Interesse auf das grundrechtlich geschützte Persönlichkeitsrecht des Betroffenen überwiegt. 

Maßstab der Abwägung ist das informationelle Selbstbestimmungsrecht als besondere Ausprägung des grundrechtlich geschützten Persönlichkeitsrechts zum einen und zum anderen der Schutz des Eigentums oder der körperlichen Unversehrtheit auf Seiten des Betreibers der Videoanlage. 

Die Betroffeneninteressen überwiegen insbesondre dort, wo die Entfaltung der Persönlichkeit im Vordergrund steht, sodass bei der Videoüberwachung höchstpersönliche Bereiche, bspw. Toiletten, Umkleiden oder Duschen, in denen die Intimsphäre berührt wird, bereits eine fehlende Rechtfertigung anzunehmen ist. 

Grundsätzlich gilt, dass die Transparenz einer Videoüberwachung stets zum Überwiegen des Verarbeitungsinteresses beiträgt. 

Je früher und intensiver eine wahrnehmbare Belehrung über die Art und den Grund der Durchführung von Überwachungsmaßnahmen erfolgt, desto besser können die Betroffenen sich darauf einstellen und selbst darüber entscheiden, ob und/oder wie lange sie sich in den betroffenen Räumlichkeiten aufhalten möchten.

Dies ist auch der Grund, weshalb verdeckte Videoüberwachungsmaßnahmen regelmäßig unzulässig sind, da dem Überwachten jegliche Möglichkeit genommen wird, seine Rechte wahrzunehmen oder sein Verhalten entsprechend anzupassen. 

4.3.2 Erforderlichkeit  

Abgesehen vom berechtigten Interesse ist die Überwachungsmaßnahme weiterhin daraufhin zu untersuchen, ob sie erforderlich und geeignet ist um den angestrebten Überwachungszweck zu erreichen. 

Die Videoüberwachung ist nur dann als erforderlich anzusehen, wenn der mit ihr angestrebte Zweck nicht auch mit einem anderen, weniger eingriffsintensiven Mittel zu erreichen ist.

Die Erforderlichkeit könnte bspw. insbesondere dadurch gewahrt werden, dass nur bestimmte Geschäftsbereiche, zur bestimmten Zeit überwacht werden oder technische Mittel wie Schwarzschaltungen, Echtzeitverpixelung oder begrenzte Aufnahmewinkel eingesetzt werden. 

In diesem Rahmen ist ferner zu untersuchen, ob eine reine Beobachtung durch Live-Monitoring ausreichend sein könnte oder ob es zur Zweckerreichung einer Aufzeichnung bedarf, die meistens eingriffsintensiver ist. 

Inwieweit solche Maßnahmen vorrangig vorgenommen werden müssen, hängt von den Umständen des Einzelfalls (bspw. Straftaten in der Vergangenheit, Wert der Ware) ab. Als milderes Mittel kommen zudem nur solche Maßnahmen infrage, deren Implementierung geringere oder zumindest gleich hohe Kosten verursacht. Maßnahmen, die zwar datenschutzfreundlicher jedoch kostenintensiver sind, müssen nicht zwingend ergriffen werden.  

Letzten Endes ist darüber hinaus, die konkrete Umsetzung der Beobachtung öffentlich zugänglicher Räume mit Hilfe von Videosystemen im Einzelfall entscheidend.   

5. Formale Anforderungen an den Verantwortlichen 

5.1 Informationspflichten gegenüber den Betroffenen 

Die Unternehmen sind zudem nach der DSGVO zu Transparenz im Hinblick auf die Arbeit mit personenbezogenen Daten verpflichtet, d.h. Betroffene müssen nachvollziehen können, dass eine Videoüberwachung stattfindet und zu welchem Zweck. 

Ein Hinweis auf die Überwachungsmaßnahme ist frühestmöglich vorzunehmen. Dieser Pflicht kann der Betreiber leicht nachkommen, indem er ein gutwahrnehmbares Schild vor den überwachten Bereichen, sowie in unmittelbarer Nähe der Kameras anbringt.  

Aus der Informationspflicht nach Art. 13 und 14 DSGVO ergibt sich, dass die Betroffenen über folgende Punkte aufgeklärt werden müssen: 

• Umstand der Beobachtung bspw. durch Aushang mit Kamerasymbol 

• Identität des Verantwortlichen und Kontaktdaten 

• Kontaktdaten des zuständigen Datenschutzbeauftragten 

• Zweck der Verarbeitung sowie die entsprechende Rechtsgrundlage iSd DSGVO  

• Speicherdauer der Videodaten 

• Hinweis auf Zugang zu weiteren Pflichtinformationen, wie bspw. Auskunfts-Beschwerde- und Widerrufsrecht des Betroffenen 

5.2 Dokumentationspflicht 

Aus Gründen der Transparenz ist vor einer Datenverarbeitung stets der Zweck der Verarbeitung festzulegen und schriftlich zu dokumentieren, Art. 5 DSGVO.

Im Fall der Videoüberwachung ist der Zweck für jede verwendete Kamera separat anzugeben. Sofern die Kameras einer einzigen Steuerung unterliegen und demselben Zweck dienen, können diese gemeinsam dokumentiert werden.  

5.3 Datenspeicherung  

Zwar muss eine Aufzeichnung, sprich die dauerhafte Speicherung auf einem Datenträger nicht zwingend erfolgen. Ist diese auf ein erforderliches Maß zu beschränken. Wurde der mit der Videospeicherung verfolgte Zweck erreicht, sind die Aufzeichnungen unverzüglich zu löschen (Art. 17 DSGVO). 

Entsprechendes gilt wenn das Betroffeneninteresse einer weitere Datenspeicherung entgegensteht. Videoaufnahmen auf denen nur Personen zu erkennen sind, deren Verhalten nicht vom Überwachungszweck erfasst wird, sind unverzüglich zu löschen. Entsprechend der datenschutzrechtlichen Grundsätze der Datenminimierung und Speicherbegrenzung können 48 Stunden als Richtwert für die Dauer der Speicherung herangezogen werden. 

Eine längere Datenspeicherung, kann nur bei Vorliegen eines triftigen Grundes erwogen werden. In der Praxis erfolgt die Löschung häufig durch periodische Löschungsmechanismen, wie beispielsweise durch Selbstüberschreibung zurückliegender Aufnahmen. 

5.4 Anfertigen von Tonaufnahmen im Zuge der Videoüberwachung 

Kameratechnik die eine Audiofunktion hat darf nur verwendet werden, wenn diese deaktiviert ist, sodass die Anfertigung einer Tonaufnahme ausgeschlossen ist. Die Anfertigung von Tonaufnahmen ist grundsätzlich nicht gerechtfertigt, weil es zu sehr in die Intimsphäre eindringt und unter anderem die Integrität von Privatkonversationen gefährdet.

5.5 Verzeichnis über die Verarbeitungstätigkeit 

Der Betreiber der Videoanlage hat zudem ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO zu erstellen, das er auf Nachfrage der Aufsichtsbehörde vorzulegen hat.

Das Verarbeitungsverzeichnis muss folgende Informationen enthalten: 

• Kontaktdaten des Verantwortlichen 

• Zweck der Überwachung 

• Kategorisierung der Betroffenen, sowie der personenbezogenen Daten die verarbeitet werden nach DSGVO 

• Bei Datenweitergabe an Dritte: Informationen im Hinblick auf die Übermittlung personenbezogener Daten und den jeweiligen Empfänger  

• Löschfristen 

• Beschreibung der technisch-organisatorischen Maßnahmen 

5.6 Datenschutzfolgenabschätzung 

Darüber hinaus ist,  sobald eine Datenverarbeitung stattfindet die ein hohes Risiko für Rechte und Freiheiten natürlicher Personen mit sich bringt, eine Datenschutzfolgenabschätzung durchzuführen (Art 35 DSGVO). 

Dies ist bei einer systematisch umfangreichen Überwachung öffentlich zugänglicher Bereiche durch optische Videoüberwachungssysteme regelmäßig der Fall. Eine solche Datenschutzfolgenabschätzung hat zum Ziel, die Folgen einer Datenverarbeitung in umfassender Weise zu erfassen und ggf. Maßnahmen zur Minimierung der Risiken herauszuarbeiten. 

5.7 Verarbeitung biometrischer Daten 

Die Verarbeitung biometrischer Daten, zur eindeutigen Identifizierung und Authentifizierung natürlicher Personen, ist nach Art. 9 Abs. 1 DSGVO privaten Unternehmen grundsätzlich untersagt und darf nur mit ausdrücklicher Einwilligung des Betroffenen erfolgen.  

5.8 Kamera-Attrappen 

Die DSGVO gilt nicht für die Verarbeitung von Daten die keinerlei Personenbezug aufweisen, was bei einer Kamera-Attrappe regelmäßig der Fall ist, so der Europäische Datenschutzausschuss in seiner aktuellen Leitlinie vom 29.01.2020. Selbst wenn bei Attrappen keinerlei personenbezogene Daten erhoben oder verarbeitet werden, kann in Deutschland die Informationspflicht dennoch fortbestehen, weil Attrappen einen Überwachungsdruck bei Personen erzeugen können, der ebenso eine Verletzung des allgemeinen Persönlichkeitsrechts begründen kann. 

6. Konsequenzen einer datenschutzwidrigen Videoüberwachung

Die Aufsichtsbehörde kann den Verantwortlichen unter anderem anweisen den Mangel abzustellen oder die Videoüberwachungsanlage vorrübergehend oder endgültig beschränken(Art. 58 DSGVO).

Im härtesten Fall kann mangelnde Transparenz zu hohen Bußgeldern führen (Art. 83 DSGVO) oder bei datenschutzwidrigem Umgang mit Daten auch Schadenersatzansprüche der Betroffenen begründen (Art. 82 DSGVO).  

7. Ausblick 

Die Beurteilung der Rechtssicherheit von Videoüberwachungsmaßnahme kann nur schwer auf Grundlage allgemein gehaltener Formulierungen, auslegungsbedürftiger Tatbestände und fehlender Konkretisierungsansätze erfolgen.

Zudem muss stets aufgrund vielfältiger Gegebenheiten vor Ort eine individuelle Betrachtung des Einzelfalls vorgenommen werden, um eine Aussage darüber treffen zu können, ob die Beobachtung mittels optisch-elektronischer Einrichtungen rechtmäßig ist. Aus diesem Grund ist die Beratung durch einen Datenschutz- sowie IT-Experten prinzipiell empfehlenswert.