Datenschutz und rechtliche Anforderungen

Für nicht-öffentliche Stellen ist häufig Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) die maßgebliche Rechtsgrundlage. Für öffentliche Stellen gelten die jeweiligen Fachgesetze von Bund und Ländern. § 4 BDSG regelt die Videoüberwachung öffentlich zugänglicher Räume; seine Anwendbarkeit auf private Stellen wird in Rechtsprechung und Aufsichtspraxis unterschiedlich bewertet.

Die Datenschutzaufsichtsbehörden haben Orientierungshilfen veröffentlicht, ebenso der Europäische Datenschutzausschuss mit seinen Leitlinien 3/2019.

• Zweck konkret und vorab schriftlich festlegen, z. B. Schutz vor Einbruch außerhalb der Betriebszeiten.
• Erforderlichkeit prüfen: Gibt es mildere, gleich wirksame Mittel?
• Erfassungsbereich, Zeiten und Funktionen auf das Notwendige begrenzen.
• Keine Nutzung der Bilder für andere Zwecke ohne eigene Rechtsgrundlage.

Abzuwägen sind die Interessen des Betreibers gegen die schutzwürdigen Interessen der Betroffenen. Relevant sind unter anderem Art und Intensität des Eingriffs, die vernünftigen Erwartungen der Betroffenen, die Zahl erfasster Personen und die Frage, ob Rückzugsbereiche betroffen sind. Sanitär-, Umkleide- und Pausenräume sind grundsätzlich tabu.

Betroffene müssen vor Betreten des überwachten Bereichs erkennbar informiert werden. Üblich ist ein vorgelagertes Hinweisschild mit den wichtigsten Angaben und einem Verweis auf vollständige Informationen nach Art. 13 DSGVO, etwa als Aushang oder online.

Aufnahmen sind zu löschen, sobald sie für den Zweck nicht mehr erforderlich sind. Die Aufsichtsbehörden halten in vielen Fällen eine kurze Speicherdauer für angemessen; längere Fristen bedürfen einer Begründung. Zugriffe sind auf berechtigte Personen zu beschränken und zu protokollieren.

Werden Beschäftigte erfasst, gelten besondere Anforderungen. Eine Verhaltens- und Leistungskontrolle ist regelmäßig unzulässig. Besteht ein Betriebsrat, hat dieser bei technischen Einrichtungen, die zur Überwachung geeignet sind, ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Eine Betriebsvereinbarung schafft Klarheit.

Öffentlicher Verkehrsraum darf durch Private grundsätzlich nicht überwacht werden. Kameras sind so auszurichten oder zu maskieren, dass Gehwege, Straßen und Nachbargrundstücke nicht erfasst werden, soweit dies nicht ausnahmsweise erforderlich und zulässig ist.

Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen birgt – etwa bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche. Die Aufsichtsbehörden veröffentlichen Listen von Verarbeitungen, für die eine DSFA durchzuführen ist.

Werden Dienstleister – Leitstellen, Wartungsfirmen, Cloud-Anbieter – mit Zugriff auf Bilddaten eingebunden, ist in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Bei Datenübermittlungen in Drittstaaten sind zusätzliche Anforderungen zu prüfen.

Datenschutz beginnt in der Planung: Kamerapositionen, Masken, Speicherfristen und Rechte lassen sich früh datensparsam festlegen. Die Einbindung des Datenschutzbeauftragten ist empfehlenswert, eine Dokumentation im Verzeichnis der Verarbeitungstätigkeiten verpflichtend.

Wenn mildere Mittel – Beleuchtung, mechanische Sicherung, Zutrittskontrolle – den Zweck ebenso erfüllen, spricht das rechtlich gegen eine Videoüberwachung.