Videoüberwachung und DSGVO, Leitfaden für deutsche Unternehmen

Das Wichtigste auf einen Blick

• Videoüberwachung Datenschutz ist kein Nebenthema der IT, sondern eine Verarbeitung personenbezogener Daten mit eigener Rechtsgrundlage.
• DSGVO und BDSG setzen den Rahmen, den Unternehmen vor der Installation prüfen müssen.
• Ohne dokumentierte Erforderlichkeit und Interessenabwägung ist jede Kamera ein Risiko.
• Hinweisschilder, Löschfristen und ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten sind Pflichtprogramm.
• BfDI und die Landesaufsichten, etwa das BayLDA, veröffentlichen Orientierungs- und Prüfmaßstäbe.
• Bei heiklen Konstellationen kann eine Datenschutz-Folgenabschätzung nötig werden.

Videoüberwachung Datenschutz: Warum DSGVO und BDSG den Rahmen setzen

Wer Kameras aufstellt, verarbeitet personenbezogene Daten. Das ist der Kern, den viele Unternehmen unterschätzen. Ob Kundeneingang, Lager oder Parkplatz: Sobald Menschen identifizierbar sind, greift die Datenschutz-Grundverordnung.

Die DSGVO gilt unmittelbar in allen Mitgliedstaaten. Sie lässt den Ländern aber Spielraum, den Deutschland mit dem Bundesdatenschutzgesetz gefüllt hat. Das BDSG regelt unter anderem Beschäftigtendatenschutz und Videoüberwachung öffentlich zugänglicher Räume.

Für Unternehmen bedeutet das eine doppelte Prüfung. Zuerst die allgemeinen Grundsätze der DSGVO, dann die nationalen Ergänzungen. Wer nur eine Ebene betrachtet, übersieht Pflichten.

Die Aufsichtsstruktur ist föderal. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist zuständig für Bundesbehörden und Telekommunikationsunternehmen. Für private Unternehmen in Bayern etwa ist das Bayerische Landesamt für Datenschutzaufsicht zuständig.

Diese Aufteilung ist praktisch relevant. Ein Unternehmen mit Standorten in mehreren Bundesländern hat je nach Sitz unterschiedliche Ansprechpartner. Beschwerden landen dort, wo der Verstoß vermutet wird.

Rechtsgrundlagen nach DSGVO und BDSG für Unternehmen

Die zentrale Norm ist Artikel 6 DSGVO. Videoüberwachung stützt sich meist auf das berechtigte Interesse nach Absatz 1 Buchstabe f. Daneben kommen Einwilligung, Vertrag oder rechtliche Verpflichtung in Betracht.

Das berechtigte Interesse ist kein Freibrief. Es verlangt eine Abwägung zwischen dem Interesse des Unternehmens und den Rechten der Betroffenen. Diese Abwägung muss dokumentiert werden, nicht nur gedacht.

Nationale Datenschutzregeln ergänzend zur DSGVO finden sich im BDSG im Volltext. Dort ist unter anderem geregelt, unter welchen Voraussetzungen Videoüberwachung öffentlich zugänglicher Räume zulässig ist und wie Beschäftigte zu behandeln sind.

Wichtig ist die Unterscheidung der Räume. Öffentlich zugängliche Bereiche wie Verkaufsflächen oder Eingänge unterliegen anderen Maßstäben als reine Büro- oder Produktionsbereiche. Auch Wohnungen und Sozialräume sind Sonderfälle.

Neben DSGVO und BDSG können weitere Gesetze greifen. Bei Zutrittskontrolle und Sicherheitstechnik sind etwa baurechtliche und arbeitsschutzrechtliche Vorgaben zu beachten. Eine Übersicht der einschlägigen Datenschutzgesetze für Videoüberwachung und Zutrittskontrolle bietet die Teilliste D der Gesetzessammlung.

Erforderlichkeit und Interessenabwägung: Wann Videoüberwachung zulässig ist

Der Grundsatz der Erforderlichkeit ist der härteste Prüfstein. Eine Kamera ist nur zulässig, wenn kein milderes Mittel zum Ziel führt. Das muss konkret belegt werden.

Mildere Mittel gibt es viele. Dazu zählen bessere Beleuchtung, Zutrittskontrolle, Einbruchmeldeanlagen, organisatorische Abläufe oder geschultes Personal. Wer diese Alternativen nicht prüft, kann die Erforderlichkeit nicht begründen.

Die Interessenabwägung braucht Substanz. Ein pauschales Sicherheitsbedürfnis reicht nicht. Es kommt auf konkrete Vorfälle, die Lage vor Ort und die Eingriffstiefe an.

Ein Praxisbeispiel: Ein Lagerbetrieb meldet wiederkehrende Diebstähle an einer Rampe. Kameras nur dort, nur zu den kritischen Zeiten und ohne Ton sind eher verhältnismäßig als eine flächendeckende Überwachung des gesamten Betriebsgeländes.

Die Abwägung sollte schriftlich festgehalten werden. Wer sie später nicht vorlegen kann, verliert im Streitfall. Aufsichtsbehörden fragen genau nach dieser Dokumentation.

Wann eine Einwilligung nicht trägt

Im Beschäftigtenverhältnis ist die Einwilligung selten freiwillig. Wer sie dennoch nutzt, muss die Freiwilligkeit belegen können. Meist ist das berechtigte Interesse der ehrlichere Weg.

Hinweisschilder und Information der Betroffenen richtig umsetzen

Hinweisschilder Videoüberwachung sind keine Dekoration, sondern Pflicht. Betroffene müssen erkennen, dass sie gefilmt werden, bevor sie in den Erfassungsbereich gelangen.

Das Schild muss verständlich sein. Es nennt den Verantwortlichen, den Zweck und den Hinweis auf die Datenschutzinformationen. Ein bloßes Kamerasymbol genügt nicht.

Die Information muss vor der Erfassung erfolgen. Wer erst im überwachten Bereich auf das Schild stößt, wurde bereits erfasst. Der Hinweis gehört an den Zugang, nicht an die Rückwand.

Zusätzlich braucht es eine Datenschutzerklärung oder ein Informationsblatt. Dort stehen Rechtsgrundlage, Speicherdauer, Empfänger und die Rechte der Betroffenen. Ein Link oder QR-Code kann dorthin führen.

Bei mehreren Zugängen müssen alle gekennzeichnet sein. Auch Nebenwege, Lieferantenzugänge und Tiefgaragen zählen. Fehlt ein Schild, ist die Verarbeitung für diesen Bereich nicht transparent.

Was auf dem Schild stehen sollte

• Bezeichnung des Verantwortlichen
• Zweck der Videoüberwachung
• Hinweis auf die Datenschutzinformationen
• Ansprechpartner für Fragen
• Gültigkeit für den gekennzeichneten Bereich

Löschfristen und Speicherdauer: Was Unternehmen dokumentieren müssen

Löschfristen Videoüberwachung sind ein Dauerthema bei Prüfungen. Aufnahmen dürfen nicht länger gespeichert werden, als es der Zweck erfordert.

Eine pauschale Frist gibt es nicht. Üblich sind kurze Zeiträume von wenigen Tagen bis zu einigen Wochen. Wer länger speichert, muss das begründen können.

Der Anlass bestimmt die Frist. Geht es um die Aufklärung einzelner Vorfälle, reicht oft eine kurze Vorhaltezeit. Dient die Aufzeichnung der Beweissicherung für Haftungsfälle, kann sie länger sein, wenn das nachvollziehbar dargelegt wird.

Die Löschung muss technisch funktionieren. Eine Frist im Konzept, die die Software nicht umsetzt, ist wertlos. Überschreibautomatik, Zugriffsrechte und Protokollierung gehören zur Einrichtung.

Wird eine Aufnahme für einen konkreten Vorfall gebraucht, darf sie länger aufbewahrt werden. Dann ist sie zu sichern, zu dokumentieren und nach Abschluss des Vorgangs zu löschen.

Speicherdauer dokumentieren

• Zweck der Speicherung benennen
• Frist je Kamera oder Bereich festlegen
• Technische Löschung nachweisen
• Zugriffe auf Aufnahmen protokollieren
• Ausnahmen schriftlich begründen

Verzeichnis von Verarbeitungstätigkeiten und Datenschutz-Folgenabschätzung

Jede Videoüberwachung gehört ins Verzeichnis von Verarbeitungstätigkeiten. Das ist keine Kür, sondern Pflicht nach Artikel 30 DSGVO.

Der Eintrag beschreibt Zweck, Rechtsgrundlage, Datenkategorien, Empfänger und Löschfristen. Auch die eingesetzte Technik und die Zugriffsberechtigten sollten erfasst sein.

Das Verzeichnis muss aktuell sein. Neue Kameras, geänderte Blickwinkel oder zusätzliche Funktionen wie Bewegungsanalyse sind Änderungen, die nachgetragen werden müssen.

Eine Datenschutz-Folgenabschätzung kann erforderlich sein. Sie kommt in Betracht, wenn die Verarbeitung aufgrund von Umfang, Art oder Zweck ein hohes Risiko für Betroffene birgt.

Bei Videoüberwachung ist das nicht automatisch der Fall. Große Flächen, biometrische Auswertung oder die Überwachung von Beschäftigten können die Schwelle jedoch überschreiten. Dann sind Risiken zu bewerten und Maßnahmen zu benennen.

Wann eine Folgenabschätzung naheliegt

• umfangreiche Überwachung öffentlich zugänglicher Bereiche
• Auswertung mit biometrischen Verfahren
• systematische Leistungs- oder Verhaltenskontrolle von Beschäftigten
• Kombination mehrerer Überwachungssysteme
• Verarbeitung besonders sensibler Bereiche

Zusammenarbeit mit Aufsichtsbehörden und typische Prüfungsfragen

Aufsichtsbehörden prüfen Videoüberwachung anlassbezogen und stichprobenartig. Der erste Blick gilt fast immer der Rechtsgrundlage und der Erforderlichkeit.

Dann folgen die Formalien. Verzeichnis, Information der Betroffenen, Hinweisschilder und Löschkonzept werden abgefragt. Fehlt eines davon, wird es unangenehm.

Der BfDI bietet Orientierungshilfen zur DSGVO, die auch für private Verantwortliche als Maßstab dienen. Die Landesaufsichten veröffentlichen eigene Praxishinweise, etwa das BayLDA mit einem Leitfaden zur Videoüberwachung.

Gute Erfahrungen machen Unternehmen, die von sich aus dokumentieren. Wer Abwägung, Löschkonzept und Schilder nachweisen kann, führt eine Prüfung deutlich ruhiger.

Ein häufiger Fehler ist die Scheindokumentation. Ein Konzept, das die Praxis nicht abbildet, fällt bei Nachfragen auseinander. Deshalb sollten Technik, Prozesse und Dokumente regelmäßig abgeglichen werden.

Typische Fragen der Aufsicht

1. Auf welcher Rechtsgrundlage erfolgt die Videoüberwachung?
2. Welche milderen Mittel wurden geprüft?
3. Wie und wann werden Betroffene informiert?
4. Wie lange werden Aufnahmen gespeichert und wie werden sie gelöscht?
5. Wer hat Zugriff auf die Aufnahmen?
6. Ist die Verarbeitung im Verzeichnis eingetragen?
7. Wurde eine Datenschutz-Folgenabschätzung geprüft?

Praktische Checkliste für den rechtssicheren Betrieb

Diese Checkliste bündelt die wichtigsten Schritte. Sie ersetzt keine Rechtsberatung, deckt aber die Prüfpunkte ab, die Aufsichtsbehörden regelmäßig ansprechen.

Vor der Installation

• Zweck der Videoüberwachung schriftlich festhalten
• mildere Mittel prüfen und dokumentieren
• Interessenabwägung erstellen
• Rechtsgrundlage nach DSGVO und BDSG bestimmen
• Erfassungsbereiche und Kamerawinkel festlegen

Bei der Einrichtung

• Hinweisschilder an allen Zugängen anbringen
• Datenschutzinformationen bereitstellen
• Löschfristen technisch konfigurieren
• Zugriffsrechte vergeben und protokollieren
• Eintrag im Verzeichnis von Verarbeitungstätigkeiten anlegen

Im laufenden Betrieb

• Löschung regelmäßig kontrollieren
• Zugriffe auf Aufnahmen überprüfen
• Schilder auf Vollständigkeit prüfen
• Änderungen an der Anlage nachtragen
• Datenschutz-Folgenabschätzung bei Bedarf aktualisieren

Nach einem Vorfall

1. Aufnahme sichern und Zugriff dokumentieren.
2. Zweck und Aufbewahrungsgrund festhalten.
3. Betroffene und Aufsicht informieren, wenn erforderlich.
4. Nach Abschluss des Vorgangs löschen.
5. Vorfall für die nächste Überprüfung auswerten.

Für die praktische Umsetzung stellen die Aufsichtsbehörden Vorlagen bereit. Das BayLDA veröffentlicht Checklisten des BayLDA, die sich als Grundlage für eigene Dokumente nutzen lassen.

Wer die Videoüberwachung als Teil des Sicherheitskonzepts begreift, plant sie von Anfang an mit. Technik, Recht und Organisation greifen dann ineinander, statt sich zu widersprechen.

Häufige Fragen

Brauchen wir für jede Kamera eine Einwilligung? Nein. In den meisten Fällen ist das berechtigte Interesse nach Artikel 6 DSGVO die passende Grundlage. Eine Einwilligung ist nur sinnvoll, wenn sie wirklich freiwillig ist.

Wie lange dürfen wir Aufnahmen speichern? So kurz wie möglich, so lange wie nötig. Üblich sind wenige Tage bis Wochen. Jede längere Frist muss mit dem Zweck begründet und dokumentiert werden.

Reicht ein Kamerasymbol als Hinweisschild? Nein. Das Schild muss Verantwortlichen, Zweck und den Verweis auf die Datenschutzinformationen enthalten und vor dem Erfassungsbereich sichtbar sein.

Wann ist eine Datenschutz-Folgenabschätzung nötig? Wenn die Verarbeitung ein hohes Risiko für Betroffene erwarten lässt. Das kann bei großen Flächen, biometrischer Auswertung oder Beschäftigtenkontrolle der Fall sein.

Wer prüft unsere Videoüberwachung? Je nach Sitz und Zuständigkeit der BfDI oder die Landesaufsicht, in Bayern etwa das BayLDA. Geprüft wird anlassbezogen oder stichprobenartig.

Müssen wir die Videoüberwachung im Verzeichnis eintragen? Ja, jede Verarbeitungstätigkeit gehört nach Artikel 30 DSGVO ins Verzeichnis. Dazu zählen Zweck, Rechtsgrundlage, Datenkategorien und Löschfristen.