Videoüberwachung und DSGVO-Vorgaben: Rechtsgrundsätze und -pflichten

Auch Videoaufnahmen sind eine Variante der Datenverarbeitung und deshalb dürfen personenbezogene Daten dürfen nur mit Videoaufnahmegeräten verarbeitet werden, wenn eine gesetzliche Grundlage dies erlaubt. Die Rechtsgrundlage für solche Datenverarbeitungen findet sich in Art.6 Abs. 1 Satz 1 der DSGVO.

Erweiterte Informationspflichten bei Videoaufnahmen begründet die DSGVO

Art. 6 Abs. 1 Satz 1 f bestimmt, dass die Verarbeitung nur dann zulässig ist, sofern diese Verarbeitung „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich“ ist, und „sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“

Als berechtigtes Interesse kann etwa der Schutz vor Vandalismus oder Diebstahl angesehen werden. Allerdings müssen beispielsweise Gefährdungslagen, die als Begründung für den Einsatz einer Videoüberwachung angeführt werden, sich aus tatsächlichen konkreten Erkenntnissen ergeben. Eine rein subjektive Befürchtung oder ein allgemeines Gefühl der Unsicherheit reicht nicht aus.

Es gilt das Prinzip der Datenminimierung

Eine weitere Einschränkung für die Videoüberwachung kann sich aus Artikel 5 Abs. 1 Buchstabe c der DSGVO ergeben, in dem der Grundsatz der Datenminimierung definiert ist.

Vor dem Einsatz der Videoüberwachung ist demnach zu überprüfen, ob diese Maßnahme geeignet und erforderlich ist, den zuvor festgelegten Zweck zu erfüllen und ob es nicht auch andere Mittel gibt, die bei gleicher Wirkung weniger tief in die Rechte der Betroffenen eingreifen. Diese anderen vergleichbaren Maßnahmen mit geringerer Eingriffsintensität sind jedoch nur dann als Alternative zu verwenden, wenn sie nicht unzumutbare wirtschaftliche oder organisatorische Maßnahmen mit sich bringen.

Dokumentations- und Informationspflichten bei Videoüberwachungen

Für die Durchführung einer Videoüberwachung gelten zudem umfassende Dokumentations- und Informationspflichten.

Hierzu zählt in aller Regel die nach Art. 30 DSGVO vorgeschriebene Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten.

• Hierbei müssen im Falle der Videoüberwachung etwa ihre genauen Zwecke in schriftlicher oder elektronischer Form angegeben werden.
• Ferner muss im Verzeichnis der Verarbeitungstätigkeiten der Verantwortliche für die Videoüberwachung
• sowie dessen Kontaktdaten benannt werden und es muss beschrieben werden, welcher Personenkreis von der Überwachung betroffen ist.
• Darüber hinaus muss aufgelistet werden, welche Kategorien von Daten erfasst
• und gegebenenfalls welche Dritte mit der Verarbeitung der Daten befasst werden.
• Sollten die Daten auch in Drittländern verarbeitet werden, so müssen auch die Informationen dazu erfasst werden.

Inhalte der Informationen zur Videoüberwachung

Nach Art. 12 DSGVO müssen die betroffenen Personen transparent und umfassend sowie zum frühestmöglichen Zeitpunkt über die jeweilige Datenverarbeitung informiert werden. Im Fall einer Videoüberwachung bedeutet dies etwa, dass bereits vor dem Betreten des videoüberwachten Bereichs auf diesen Umstand aufmerksam gemacht werden muss.

Datenschutzkonferenz (DSK) empfiehlt 2-stufiges Vorgehen

Für die Information über Videoüberwachung empfiehlt etwa die Datenschutzkonferenz (DSK) in ihrer Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen ein zweistufiges Verfahren:

1. Zum einen sind alle essentiellen Informationen auf einem Hinweisschild, das möglichst in Augenhöhe anzubringen ist, aufzuführen.
2. In einem zweiten Schritt soll ein Informationsblatt mit allen zusätzlichen Angaben zugänglich gemacht werden, was etwa über einen Aushang oder auch in elektronischer Form auf einer Webseite erfolgen kann.

Was gehört auf das Hinweisschild zur Videoüberwachung?

Das Hinweisschild für die Videoüberwachung muss nach Art. 13 Absatz 1 und 2 DSGVO folgende Elemente enthalten:

• Piktogram bzw. Kamerasymbol als Hinweis auf die Videoüberwachung
• Name sowie Kontaktdaten des Verantwortlichen sowie gegebenenfalls dessen Vertreters
• Falls im Unternehmen bzw. der Organisation ein Datenschutzbeauftragter vorhanden ist sind Name und Kontaktdaten ebenfalls anzugehen
• Stichwortartig sind Verarbeitungszwecke und Rechtsgrundlage anzugeben
• Angabe des berechtigten Interesses
• Dauer der Speicherung (falls die Aufnahmen gespeichert werden)
• Hinweis auf die Zugangsmöglichkeiten zu den weiteren Pflichtinformationen (etwa Auskunfts- und Beschwerderecht, Angaben zu weiteren Datenempfängern), die etwa auf einer Webseite oder einem Aushang bereitgestellt werden können.

Wichtig! Auf keinen Fall sollten bei der Videoüberwachung zugleich auch Tonaufnahmen gemacht werden. Derartige heimliche Lauschaktionen verstoßen gegen § 201 StGB, der die Vertraulichkeit des Wortes schützt. Bei unbefugten Aufnahmen und der Weitergabe dieser Daten an Dritte drohen hohe Geld- oder sogar Freiheitsstrafen.

Videoüberwachung im öffentlichen Raum und Datenschutz-Folgenabschätzung

Kann eine Datenverarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, besteht für den Verantwortlichen die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung. Diese befasst sich etwa mit potenziellen Abhilfemaßnahmen zum Schutz der personenbezogenen Daten.

Intensive Videoüberwachungsmaßnahmen können etwa nach Ansicht der DSK ein solches hohes Risiko darstellen, wenn eine „systematische und umfangreiche Überwachung öffentlich zugänglicher Bereiche“ erfolgt oder biometrische Verfahren zum Einsatz gelangen. Damit fallen etwa großflächige Überwachungen in Einkaufszentren, Bahnhöfen, Straßen aber auch Sport-, Versammlungs- oder Vergnügungsstätten sowie Parkplätzen unter diese Regelung, sodass vor der Videoüberwachung derartiger Örtlichkeiten die geforderte Datenschutz-Folgenabschätzung durchgeführt werden muss.

Datenschutz bei Videoüberwachung in Unternehmen

Die dauerhafte Überwachung von Arbeitnehmern an deren Arbeitsplatz greift ganz erheblich in die Persönlichkeitsrechte der Beschäftigten ein und es entsteht ein erheblicher Überwachungsdruck, sodass hier bei der Beurteilung der Überwachungsmaßnahmen besonders strenge Maßstäbe herangezogen werden sollen.

Generell ist etwa eine Videoüberwachung zur Kontrolle von Arbeitsleistung oder ähnlichen Aspekten nicht zulässig. Ebenso dürfen Intim- und Persönlichkeitssphäre der Beschäftigten nicht verletzt werden. Daher ist der Einsatz von Kameras in Bereichen wie Umkleideräumen, Sanitärräumen aber auch Pausenräumen etc. ebenfalls unzulässig.

Prinzipiell zu prüfen ist, ob der Einsatz der Videoüberwachung zur Zweckerreichung geeignet, angemessen und erforderlich ist, wobei diese Überprüfung gegebenenfalls auch für jede Kamera einzeln durchzuführen ist. Ebenso ist zu überprüfen, ob alternative Möglichkeiten zur Zweckerfüllung genutzt werden können, die weniger gravierend in die Grundrechte der Mitarbeiter eingreifen (etwa der Einsatz von Alarmanlagen oder Sicherheitsdiensten).

Problematisch ist im Zuge der Überwachung im Arbeitsbereich die Einholung der Einwilligung der Betroffenen. Dies gilt insbesondere für die geforderte Freiwilligkeit der Einwilligung, da zwischen Arbeitgebern und Beschäftigten generell eher ein ungleiches Verhältnis anzunehmen ist.

Für eine allgemeine Videoüberwachung mit dem Zweck, die Beschäftigten zu kontrollieren und zu überwachen, etwa um Straftaten durch die Belegschaft zu verhindern, liegen die Voraussetzungen für eine wirksame Einwilligung daher regelmäßig nicht vor.

Temporäre Videoüberwachung bei konkretem Verdacht

Anders sieht die Situation aus, wenn im Rahmen der Aufdeckung von Straftaten Videoaufnahmen verarbeitet werden sollen. Dies ist nach § 26 Abs. 1 Satz 2 BDSG dann zulässig, sofern es tatsächliche Anhaltspunkte dafür gibt, dass die betroffene Person (oder eine eng begrenzte Gruppe von Arbeitnehmern) im Beschäftigungsverhältnis eine Straftat begangen hat und die Videoüberwachung zur Aufklärung dienen kann. Ohne das Vorliegen eines solchen konkreten Verdachts ist die Videoüberwachung jedoch unzulässig.

Aber selbst wenn ein konkreter Verdacht vorliegt, müssen zuvor andere potenziell effektive Maßnahmen zumindest in Erwägung gezogen bzw. eingesetzt worden sein, deren Eingriffsintensität niedriger liegt als bei der Videoüberwachung.

Regelung der Videoüberwachung über eine Betriebsvereinbarung

Prinzipiell möglich ist die Regelung der datenschutzkonformen Videoüberwachung über eine Betriebsvereinbarung. Dabei muss die Betriebsvereinbarung angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Personen beinhalten. In einer solchen Betriebsvereinbarung sollte nach Ansicht der DSK in jedem Fall deutlich werden, dass die Videoüberwachung zum Zweck einer Leistungskontrolle ausgeschlossen ist.

Als empfehlenswerte Elemente einer Betriebsvereinbarung sieht die DSK Inhalte wie:

• Gegenstand der Datenerhebung, -verarbeitung und -nutzung
• Zweckbindung
• Datenvermeidung und Datensparsamkeit
• Art und Umfang der erhobenen, verarbeiteten oder genutzten Daten
• Empfänger der Daten
• Rechte der Betroffenen
• Löschfristen
• Angaben zu technischen und organisatorischen Maßnahmen (z.B. Berechtigungs- und Zugriffskonzepte)

Erhebliche Konsequenzen bei Verstößen gegen Datenschutz- Regeln zur Videoüberwachung

Dass die Aufsichtsbehörden die engen Vorgaben zur Videoüberwachung auch mit Nachdruck durchsetzen wollen, zeigen zwei Beispiele aus Niedersachsen: Im Dezember 2020 verhängte die niedersächsische Landesbeauftragte für den Datenschutz ein Bußgeld in Höhe von 10,4 Millionen Euro gegen den Elektronikhändler Notebooksbilliger.de und im Juli 2022 ein Bußgeld in Höhe von 1,1 Millionen Euro gegen die Volkswagen AG. 

Beschäftigte von Notebooksbilliger.de über mindestens zwei Jahre per Video überwacht

Die Behörde hatte Notebooksbilliger.de vorgeworfen, seine Beschäftigten über mindestens zwei Jahre per Video überwacht zu haben, ohne dass dafür eine Rechtsgrundlage vorhanden gewesen sei. Die Videoüberwachung habe sich auf Arbeitsplätze, Verkaufsräume, Lager oder auch Aufenthaltsbereiche erstreckt.

Insbesondere störte sich die Behörde am Motiv für die Überwachung, dass in der Verhinderung von Diebstählen gelegen haben soll. Denn nur bei einem begründeten Verdacht gegen konkrete Personen sei eine zeitlich befristete Überwachung zulässig. Ebenfalls beanstandeten die Datenschützer, dass einige Kameras in den Läden auch auf dortige Sitzgelegenheiten ausgerichtet waren und somit auch Kundinnen und Kunden überwacht werden konnten.

Das Unternehmen beurteilt die Sachlage allerdings komplett anders und wehrt sich gegen das Bußgeld. So wurde nicht nur ein Einspruch gegen den Bescheid der Behörde eingereicht, in einer Mitteilung unterstellt der Geschäftsführer, dass zu Lasten seines Unternehmens ein Exempel statuiert und ein abschreckendes Bußgeldregime in Sachen Datenschutz etabliert werden solle. Das Bußgeld stehe auch in keiner Relation zur Schwere der angeblichen Verstöße. Für den Fall, dass der Einspruch abgelehnt und die Bußgeldhöhe beibehalten werde, kündigte er an, dass man sich vor Gericht gegen das Bußgeld wehren wolle. Über den Einspruch wurde noch nicht entschieden.

VW ließ Forschungsfahrten ohne erforderliche Kamerakennzeichnung durchführen

2019 hatte die österreichische Polizei bei einer Verkehrskontrolle ein Forschungsfahrzeug angehalten, das im Auftrag von VW unterwegs war. Das Fahrzeug war mit Kameras ausgestattet, die das Verkehrsgeschehen rund um das Fahrzeug aufzeichnen sollten, um anhand des Videomaterials Fehleranalysen durchführen zu können. Was fehlte, waren Magnetschilder mit einem Kamerasymbol und den vorgeschriebenen Informationen für die datenschutzrechtlich betroffenen anderen Verkehrsteilnehmer. Im Zuge der weiteren Untersuchung stellte sich dann noch heraus, dass VW keinen Auftragsverarbeitungsvertrag mit dem Unternehmen geschlossen hatte, das die Forschungsfahrten durchgeführt hatte. Auch fehlte eine „Datenschutz-Folgenabschätzung“. Die niedersächsische Datenschutzbeauftragte verhängte für die Datenschutzverstöße ein Bußgeld in Höhe von 1,1 Millionen Euro, das VW akzeptiert und bereits bezahlt hat.

Hintergrund: DSGVO-Sanktionen

Gemäß Art. 83 Abs. 4 DSGVO sind

• Geldbußen bis 10 Millionen Euro bzw. bis 2 % des weltweiten Jahresumsatzes,
• in schweren Fällen bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes möglich.

Die Abschreckungswirkung dieser enorm hohen Geldbußen soll von Anfang an dazu beitragen, die DSGVO möglichst schnell und nachhaltig zur Geltung zu bringen.

Bemessung der DSGVO-Sanktionen bei Verstößen

Art. 83 DSGVO regelt die möglichen Bußgelder bei Verstößen, für deren Bemessung verschiedene Faktoren,

• wie die Art und Schwere eines Verstoßes,
• die Empfindlichkeit der betroffenen Daten,
• die vorsätzliche oder fahrlässige Begehung
• sowie die Kooperation mit der Aufsichtsbehörde

eine entscheidende Rolle spielen können.