Videoüberwachung Datenschutz: Leitfaden zu DSGVO & BDSG

Das Wichtigste auf einen Blick

Videoüberwachung Datenschutz: Warum DSGVO und BDSG den Rahmen setzen

Wer Kameras aufstellt, verarbeitet personenbezogene Daten. Das ist der Kern, den viele Unternehmen unterschätzen. Ob Kundeneingang, Lager oder Parkplatz: Sobald Menschen identifizierbar sind, greift die Datenschutz-Grundverordnung.

Die DSGVO gilt unmittelbar in allen Mitgliedstaaten. Sie lässt den Ländern aber Spielraum, den Deutschland mit dem Bundesdatenschutzgesetz gefüllt hat. Das BDSG regelt unter anderem Beschäftigtendatenschutz und Videoüberwachung öffentlich zugänglicher Räume.

Für Unternehmen bedeutet das eine doppelte Prüfung. Zuerst die allgemeinen Grundsätze der DSGVO, dann die nationalen Ergänzungen. Wer nur eine Ebene betrachtet, übersieht Pflichten.

Die Aufsichtsstruktur ist föderal. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist zuständig für Bundesbehörden und Telekommunikationsunternehmen. Für private Unternehmen in Bayern etwa ist das Bayerische Landesamt für Datenschutzaufsicht zuständig.

Diese Aufteilung ist praktisch relevant. Ein Unternehmen mit Standorten in mehreren Bundesländern hat je nach Sitz unterschiedliche Ansprechpartner. Beschwerden landen dort, wo der Verstoß vermutet wird.

Rechtsgrundlagen nach DSGVO und BDSG für Unternehmen

Die zentrale Norm ist Artikel 6 DSGVO. Videoüberwachung stützt sich meist auf das berechtigte Interesse nach Absatz 1 Buchstabe f. Daneben kommen Einwilligung, Vertrag oder rechtliche Verpflichtung in Betracht.

Das berechtigte Interesse ist kein Freibrief. Es verlangt eine Abwägung zwischen dem Interesse des Unternehmens und den Rechten der Betroffenen. Diese Abwägung muss dokumentiert werden, nicht nur gedacht.

Für Videoüberwachung öffentlich zugänglicher Räume ist § 4 BDSG die zentrale nationale Vorschrift. Bei Datenverarbeitung im Beschäftigungsverhältnis ist § 26 BDSG zu beachten. Beide Regelungen sind im Zusammenspiel mit der DSGVO und dem konkreten Zweck der Überwachung zu prüfen.

Wichtig ist die Unterscheidung der Räume. Öffentlich zugängliche Bereiche wie Verkaufsflächen oder Eingänge unterliegen anderen Maßstäben als reine Büro- oder Produktionsbereiche. Auch Wohnungen und Sozialräume sind Sonderfälle.

Neben DSGVO und BDSG können weitere Gesetze greifen. Bei Zutrittskontrolle und Sicherheitstechnik sind etwa baurechtliche und arbeitsschutzrechtliche Vorgaben zu beachten; sie ersetzen die datenschutzrechtliche Prüfung nicht.

Erforderlichkeit und Interessenabwägung: Wann Videoüberwachung zulässig ist

Der Grundsatz der Erforderlichkeit ist der härteste Prüfstein. Eine Kamera ist nur zulässig, wenn kein milderes Mittel zum Ziel führt. Das muss konkret belegt werden.

Mildere Mittel gibt es viele. Dazu zählen bessere Beleuchtung, Zutrittskontrolle, Einbruchmeldeanlagen, organisatorische Abläufe oder geschultes Personal. Wer diese Alternativen nicht prüft, kann die Erforderlichkeit nicht begründen.

Die Interessenabwägung braucht Substanz. Ein pauschales Sicherheitsbedürfnis reicht nicht. Es kommt auf konkrete Vorfälle, die Lage vor Ort und die Eingriffstiefe an.

Ein Praxisbeispiel: Ein Lagerbetrieb meldet wiederkehrende Diebstähle an einer Rampe. Kameras nur dort, nur zu den kritischen Zeiten und ohne Ton sind eher verhältnismäßig als eine flächendeckende Überwachung des gesamten Betriebsgeländes.

Die Abwägung sollte schriftlich festgehalten werden. Dokumentieren Sie dabei den Zweck, konkrete Vorfälle oder Risiken, geprüfte mildere Mittel, den erfassten Bereich und die Gründe für die gewählte Speicherdauer. Wer die Abwägung später nicht vorlegen kann, verliert im Streitfall. Aufsichtsbehörden fragen genau nach dieser Dokumentation.

Wann eine Einwilligung nicht trägt

Im Beschäftigungsverhältnis ist die Einwilligung selten freiwillig. Wer sie dennoch nutzt, muss die Freiwilligkeit belegen können. Meist ist das berechtigte Interesse der ehrlichere Weg.

Für Datenverarbeitung im Beschäftigungsverhältnis ist § 26 BDSG zu beachten; die DSGVO-Pflichten gelten daneben. Gibt es einen Betriebsrat, ist bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, regelmäßig die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG zu beachten. Sie ersetzt keine Datenschutzprüfung.

Hinweisschilder und Information der Betroffenen richtig umsetzen

Hinweisschilder zur Videoüberwachung sind keine Dekoration, sondern Teil der Informationspflichten nach Artikel 12 und 13 DSGVO. Betroffene müssen erkennen, dass sie gefilmt werden, bevor sie in den Erfassungsbereich gelangen.

Das Schild muss verständlich sein. Es nennt den Verantwortlichen, den Zweck und den Hinweis auf die Datenschutzinformationen. Ein bloßes Kamerasymbol genügt nicht.

Die Information muss vor der Erfassung erfolgen. Wer erst im überwachten Bereich auf das Schild stößt, wurde bereits erfasst. Der Hinweis gehört an den Zugang, nicht an die Rückwand.

Zusätzlich braucht es eine Datenschutzerklärung oder ein Informationsblatt. Nach Artikel 12 und 13 DSGVO gehören dazu unter anderem Angaben zum Verantwortlichen, zu Zweck und Rechtsgrundlage, zur Speicherdauer, zu Empfängern und zu den Rechten der Betroffenen. Ein Link oder QR-Code kann dorthin führen.

Bei mehreren Zugängen müssen alle gekennzeichnet sein. Auch Nebenwege, Lieferantenzugänge und Tiefgaragen zählen. Fehlt ein Schild, ist die Verarbeitung für diesen Bereich nicht transparent.

Was auf dem Schild stehen sollte

Löschfristen und Speicherdauer: Was Unternehmen dokumentieren müssen

Löschfristen Videoüberwachung sind ein Dauerthema bei Prüfungen. Aufnahmen dürfen nicht länger gespeichert werden, als es der Zweck erfordert.

Eine pauschale gesetzliche Höchstfrist gibt es nicht. Die Orientierungshilfe Videoüberwachung der Datenschutzkonferenz (DSK) nennt 72 Stunden als Regelwert. Eine längere Speicherdauer muss im Einzelfall nachvollziehbar begründet werden.

Der Anlass bestimmt die Frist. Geht es um die Aufklärung einzelner Vorfälle, reicht oft eine kurze Vorhaltezeit. Dient die Aufzeichnung der Beweissicherung für Haftungsfälle, kann sie länger sein, wenn das nachvollziehbar dargelegt wird.

Die Löschung muss technisch funktionieren. Eine Frist im Konzept, die die Software nicht umsetzt, ist wertlos. Überschreibautomatik, Zugriffsrechte und Protokollierung gehören zur Einrichtung.

Wird eine Aufnahme für einen konkreten Vorfall gebraucht, darf sie länger aufbewahrt werden. Dann ist sie zu sichern, zu dokumentieren und nach Abschluss des Vorgangs zu löschen.

Speicherdauer dokumentieren

Verzeichnis von Verarbeitungstätigkeiten und Datenschutz-Folgenabschätzung

Jede Videoüberwachung gehört ins Verzeichnis von Verarbeitungstätigkeiten. Das ist keine Kür, sondern Pflicht nach Artikel 30 DSGVO.

Der Eintrag beschreibt Zweck, Rechtsgrundlage, Datenkategorien, Empfänger und Löschfristen. Auch die eingesetzte Technik und die Zugriffsberechtigten sollten erfasst sein.

Setzt das Unternehmen einen Kamera- oder Cloud-Dienstleister ein, der Aufnahmen im Auftrag verarbeitet, ist die Auftragsverarbeitung nach Artikel 28 DSGVO zu regeln. Dazu gehört ein Vertrag, der unter anderem Gegenstand, Dauer und Pflichten der Verarbeitung festlegt.

Das Verzeichnis muss aktuell sein. Neue Kameras, geänderte Blickwinkel oder zusätzliche Funktionen wie Bewegungsanalyse sind Änderungen, die nachgetragen werden müssen.

Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Artikel 35 Absatz 1 DSGVO erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Zusätzlich ist die Liste der Verarbeitungsvorgänge zu prüfen, für die die zuständige Aufsichtsbehörde nach Artikel 35 Absatz 4 DSGVO eine DSFA verlangt.

Bei Videoüberwachung ist das nicht automatisch der Fall. Große Flächen, biometrische Auswertung oder die Überwachung von Beschäftigten können die Schwelle jedoch überschreiten. Dann sind Risiken zu bewerten und Maßnahmen zu benennen.

Wann eine Folgenabschätzung naheliegt

Zusammenarbeit mit Aufsichtsbehörden und typische Prüfungsfragen

Aufsichtsbehörden prüfen Videoüberwachung anlassbezogen und stichprobenartig. Der erste Blick gilt fast immer der Rechtsgrundlage und der Erforderlichkeit.

Dann folgen die Formalien. Verzeichnis, Information der Betroffenen, Hinweisschilder und Löschkonzept werden abgefragt. Fehlt eines davon, wird es unangenehm. Verstöße können nach Artikel 83 DSGVO zu Geldbußen führen. Unter den Voraussetzungen des Artikels 82 DSGVO können Betroffene außerdem Schadenersatz verlangen.

Der BfDI bietet Orientierungshilfen zur DSGVO, die auch für private Verantwortliche als Maßstab dienen. Die Datenschutzkonferenz (DSK) veröffentlicht eine Orientierungshilfe Videoüberwachung, die konkrete Maßstäbe für Planung und Prüfung bündelt. Für private Unternehmen ist regelmäßig die zuständige Landesaufsicht Ansprechpartner, in Bayern etwa das BayLDA.

Gute Erfahrungen machen Unternehmen, die von sich aus dokumentieren. Wer Abwägung, Löschkonzept und Schilder nachweisen kann, führt eine Prüfung deutlich ruhiger.

Ein häufiger Fehler ist die Scheindokumentation. Ein Konzept, das die Praxis nicht abbildet, fällt bei Nachfragen auseinander. Deshalb sollten Technik, Prozesse und Dokumente regelmäßig abgeglichen werden.

Typische Fragen der Aufsicht

Praktische Checkliste für den rechtssicheren Betrieb

Diese Checkliste bündelt die wichtigsten Schritte. Sie ersetzt keine Rechtsberatung, deckt aber die Prüfpunkte ab, die Aufsichtsbehörden regelmäßig ansprechen.

Vor der Installation

Bei der Einrichtung

Im laufenden Betrieb

Nach einem Vorfall

Die DSK-Orientierungshilfe Videoüberwachung kann als fachliche Orientierung für die eigene Prüfung herangezogen werden. Die konkrete Interessenabwägung und Dokumentation muss das Unternehmen dennoch auf Zweck, Lage und Eingriffstiefe der eigenen Anlage beziehen.

Wer die Videoüberwachung als Teil des Sicherheitskonzepts begreift, plant sie von Anfang an mit. Technik, Recht und Organisation greifen dann ineinander, statt sich zu widersprechen.

Häufige Fragen