Was vor der ersten Kamera im Betrieb zu klären ist

Videoüberwachung gehört zu den Themen, bei denen die Technik der Begründung vorausläuft. Vier Kameras an Hof und Eingang sind an einem Vormittag installiert; die Unterlagen, die ihre Zulässigkeit belegen, entstehen oft erst, wenn jemand danach fragt. Weil die Aufsichtsbehörden für diesen Bereich eine ausführliche Orientierungshilfe mit Checkliste und Musterschildern veröffentlicht haben, ist der Prüfungsmaßstab hier ungewöhnlich gut dokumentiert.

Die Rechtsgrundlage ist nicht das Bundesdatenschutzgesetz

Die DSGVO enthält für die Videoüberwachung durch Unternehmen und Privatpersonen keine besondere Regelung. Rechtsgrundlage ist daher regelmäßig Artikel 6 Absatz 1 Satz 1 Buchstabe f – die Wahrung berechtigter Interessen. § 4 BDSG, der von Videoüberwachung öffentlich zugänglicher Räume spricht, wenden die Aufsichtsbehörden bei privaten Verantwortlichen ausdrücklich nicht als Rechtsgrundlage an; sie verweisen dazu auf das Urteil des Bundesverwaltungsgerichts vom 27. März 2019. Wer seine Dokumentation auf § 4 BDSG stützt, argumentiert damit an der Erwartung der prüfenden Behörde vorbei.

Der Begriff ist dabei weiter, als es scheint: Erfasst sind nicht nur Überwachungskameras, sondern auch Webcams, Türkameras, Dashcams oder Wildkameras, sobald sie zur längerfristigen Beobachtung eingesetzt werden. Attrappen verarbeiten keine personenbezogenen Daten und unterliegen dem Datenschutzrecht nicht – die Aufsichtsbehörden weisen aber darauf hin, dass täuschend echte Gehäuse einen Überwachungsdruck erzeugen können und deshalb zivilrechtliche Abwehransprüche auslösen können. Die Attrappe ist damit kein rechtsfreier Ausweg, sondern eine Verlagerung des Problems.

Zweck festlegen – je Kamera, schriftlich

Vor der Aktivierung ist für jede einzelne Kamera festzulegen und schriftlich zu dokumentieren, welcher Zweck verfolgt wird: Schutz vor Einbruch, Diebstahl und Vandalismus, Schutz von Personen vor Übergriffen. Die Zwecke gehören in das Verzeichnis der Verarbeitungstätigkeiten. Die Orientierungshilfe formuliert deutlich, dass Daten nicht „ins Blaue“ oder unter Berufung auf nicht näher genannte Sicherheitsgründe verarbeitet werden dürfen. Eine Anlage, deren vier Kameras denselben Satz als Zweck tragen, hat diese Festlegung nicht getroffen.

Die Abwägung in drei Schritten

Zuerst das berechtigte Interesse: Es ist erheblich, wenn höherrangige Rechtsgüter wie Leben, Gesundheit oder Freiheit geschützt werden sollen; der Schutz vor Bagatelldelikten überwiegt die Interessen der betroffenen Personen regelmäßig nicht. Je abstrakter die Gefahrenlage, desto weniger eingriffsintensiv darf die Maßnahme sein. Zweitens die Erforderlichkeit: Sie fehlt, wenn der Zweck genauso gut mit einem milderen Mittel erreichbar ist, das wirtschaftlich und organisatorisch zumutbar bleibt.

Die Orientierungshilfe nennt solche Alternativen konkret – Umzäunung, regelmäßige Kontrollgänge, Zugangs- und Zutrittssicherungen, Wertschließfächer, durchgehende Beleuchtung, Sicherheitsschlösser, einbruchsichere Fenster und Türen, Oberflächenbeschichtungen gegen Graffiti – und verlangt, dass die Prüfung dieser Alternativen dokumentiert wird. Kommen sie nicht in Betracht, ist die Anlage am Zweck auszurichten: Betriebszeiten und Erfassungsbereich je Kamera einschränken, nicht benötigte Bereiche irreversibel ausblenden, anlassbezogene statt dauerhafter Überwachung, zum Einbruchschutz häufig nur die Zeiten außerhalb des Geschäftsbetriebs. Reicht eine Beobachtung in Echtzeit, darf in aller Regel nicht zusätzlich gespeichert werden.

Drittens die Abwägung selbst. Sie ist zwingend am konkreten Einzelfall vorzunehmen; der Verweis auf eine allgemein vergleichbare Interessenlage genügt nicht. Beobachtungen, die die Intimsphäre betreffen – Toiletten, Duschen, Umkleidebereiche –, sind regelmäßig unverhältnismäßig und damit unzulässig. In die Abwägung fließt auch ein, ob den Betroffenen ein kontrollfreier Bereich verbleibt. Und ein Argument tragen die Aufsichtsbehörden ausdrücklich nur mit Vorbehalt: Ein Interesse, das allein aus Anforderungen des Versicherers folgt, ist hinsichtlich der Erforderlichkeit kritisch zu prüfen, weil für das Versicherungsverhältnis andere Sicherungsmaßnahmen ausreichen können.

Hinweispflichten in zwei Stufen

Auf die Überwachung ist zum frühestmöglichen Zeitpunkt hinzuweisen, also vor dem Betreten des überwachten Bereichs. Die Aufsichtsbehörden empfehlen ein zweistufiges Vorgehen: ein vorgelagertes Hinweisschild auf Augenhöhe mit den wichtigsten Angaben und, in einem zweiten Schritt, ein vollständiges Informationsblatt, das ausgelegt oder ausgehängt und zusätzlich auf der Website vorgehalten wird. Auf das vorgelagerte Schild gehören:

Ein Satz der Orientierungshilfe verdient besondere Beachtung: Allein das Aufstellen einer geeigneten Beschilderung führt nicht zur Zulässigkeit einer ansonsten rechtswidrigen Videoüberwachung. Das Schild erfüllt eine Informationspflicht, es heilt keine fehlende Abwägung.

Speicherdauer: 72 Stunden als Regelmaß

Aufnahmen sind unverzüglich zu löschen, sobald sie für den Zweck nicht mehr erforderlich sind. Da sich in den meisten Fällen innerhalb von ein bis zwei Arbeitstagen klären lässt, ob eine Sicherung des Materials nötig ist, halten die Aufsichtsbehörden eine Speicherdauer von 72 Stunden in der Regel für zulässig. Mit jeder Stunde darüber steigt der Begründungsaufwand für Zweck und Notwendigkeit.

Eine längere Frist ist begründbar, etwa an mehrtägigen Feiertagen oder in Betriebsferien, wenn kein Geschäftsbetrieb stattfindet und Schäden nicht unmittelbar bemerkt werden. Interne Arbeitsabläufe tragen eine Verlängerung dagegen in der Regel nicht. Und die Verlängerung gilt nur für die Kameras mit besonderem Überwachungszweck und nur für die Zeiten, in denen dieser Grund tatsächlich besteht – als Standardeinstellung für die gesamte Anlage darf sie nicht übernommen werden.

Die Löschung muss technisch umgesetzt sein, nicht nur beschrieben. Dazu gehören eine überprüfte Systemzeit, ein Berechtigungskonzept, aus dem hervorgeht, wer Aufnahmen ansehen und exportieren darf, und die Protokollierung dieser Zugriffe. Die Orientierungshilfe verweist für die Umsetzung ausdrücklich auf gängige Normen sowie auf die Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik. Wird die Anlage über das Netz erreichbar gemacht oder von einem Dienstleister betreut, kommen die Anforderungen an die Auftragsverarbeitung hinzu.

Beschäftigte, Betriebsrat und die Grenze der Kontrolle

Eine dauerhafte Videoüberwachung im Arbeitsverhältnis greift erheblich in Persönlichkeitsrechte ein und ist nach Auffassung der Aufsichtsbehörden regelmäßig unzulässig. Kameras sind nicht erlaubt, wenn mit ihnen Arbeitsleistung, Sorgfalt oder Effizienz kontrolliert werden sollen. Unzulässig ist der Einsatz in Umkleidekabinen, Sanitär-, Pausen-, Sozial- und Aufenthaltsräumen; Dauerarbeitsplätze und Bereiche, in denen sich Beschäftigte länger aufhalten, dürfen grundsätzlich nicht gefilmt werden. Werden Beschäftigte auf öffentlich zugänglichen Verkaufsflächen lediglich miterfasst, richtet sich die Zulässigkeit nach der Interessenabwägung.

Für die gezielte Überwachung zur Aufdeckung von Straftaten gilt § 26 Absatz 1 Satz 2 BDSG: Es braucht zu dokumentierende tatsächliche Anhaltspunkte gegen eine bestimmte Person oder einen eng eingrenzbaren Personenkreis, und nach Auffassung der Aufsichtsbehörden ist auf dieser Grundlage nur eine zeitweise, keine dauerhafte Überwachung möglich. Existiert ein Betriebsrat, ist er nach § 87 Absatz 1 Nummer 6 BetrVG vor Einführung und Anwendung zu beteiligen; ohne Betriebsrat empfiehlt die Orientierungshilfe eine datenschutzkonforme Dienstanweisung.

Wo Prüfungen regelmäßig ansetzen

Die Checkliste der Orientierungshilfe fragt genau diese Punkte ab und lässt sich deshalb unmittelbar als Selbstprüfung verwenden. Wer sie einmal je Kamera durcharbeitet, hat am Ende drei bis vier Seiten, die im Prüfungsfall genügen – und meist auch eine Kamera weniger, weil sich beim Schreiben zeigt, dass eine von ihnen keinen tragfähigen Zweck hatte. Die abschließende Bewertung einer konkreten Anlage bleibt der Datenschutzberatung überlassen.

Verwandte Themen: Wer hier weiterdenkt, liest bei Datenschutzvorfall, Beschäftigtendatenschutz und Datenschutz-Folgenabschätzung weiter.