Videoüberwachung unter der DSGVO
Jede Verarbeitungstätigkeit personenbezogener Daten, also auch der Einsatz von Videoüberwachung, braucht eine Rechtsgrundlage. Im nicht-öffentlichen Bereich wird dies meist eine Interessenabwägung nach Art. 6 Abs. 1 Buchst. f DSGVO sein.
Interessenabwägung in drei Stufen
Die Interessenabwägung besteht bei systematischer Betrachtung aus drei Stufen, die Verantwortliche durchlaufen müssen.
1. Berechtigte Interessen des Verantwortlichen prüfen
Die berechtigten Interessen des Verantwortlichen werden recht weit ausgelegt. Das bedeutet, dass sich jeder „redliche Grund“ zur Videoüberwachung, z.B. Schutz vor/Aufklärung von Diebstahl oder Wahrnehmung des Hausrechts, als berechtigtes Interesse annehmen lässt. „Neugier“ oder „den Nachbarn ärgern“ wäre dagegen kaum ein berechtigtes Interesse.
2. Erforderlichkeit prüfen
Die Erforderlichkeit, personenbezogene Daten zu verarbeiten, setzt zum einen voraus, dass die Überwachung geeignet ist, einen konkreten Zweck zu erreichen.
Zum anderen darf kein milderes Mittel vorhanden sein, um diesen Zweck zu erreichen.
Beim milderen Mittel gilt es allerdings den Grundsatz der Verhältnismäßigkeit zu beachten: Zu sagen, eine Videoüberwachung sei entbehrlich, da der Verantwortliche einen Sicherheitsdienst beauftragen könne, um z.B. die Treibstofflager im Hinterhof einer Tankstelle zu überwachen, wäre zu viel des Guten.
3. Berechtigte Interessen des Verantwortlichen gegen die schutzwürdigen Interessen des Betroffenen abwägen
Es gilt die Grundannahme, dass eine Videoüberwachung einen Überwachungsdruck beim Betroffenen auslöst.
Zusätzlich werden die Grundrechtsbeeinträchtigungen stärker, je sensitiver die Aufnahmen sind:
- So macht es einen Unterschied, ob Aufnahmen in öffentlich zugänglichen Bereichen wie einer Straße erfolgen oder in nicht-öffentlich zugänglichen Bereichen wie einer Wiese hinter einer Lagerhalle, die durch einen hohen Zaun begrenzt ist und die üblicherweise nicht einmal die Mitarbeiter betreten.
- Des Weiteren ist wichtig, ob die Videoüberwachung Aufnahmen an einem Ort macht, den betroffene Personen nur kurzzeitig betreten, wie am Eingang eines Juweliergeschäfts, oder ob der Ort ein besonderer Ausdruck der Persönlichkeit ist wie ein Restaurant.
- Auch ob die Gesellschaft üblicherweise eine Videoüberwachung sozial akzeptiert, etwa in einem Kaufhaus, einem Bahnhof oder im Personennahverkehr, fließt in die Abwägung ein.
Überwiegen nach Abwägung dieser Interessen die Interessen des Betroffenen nicht, kann ein Verantwortlicher eine Videoüberwachung auf Rechtsgrundlage von Art. 6 Abs. 1 Buchst. f DSGVO durchführen.
BEISPIELE: Sektoren, in denen häufig überwiegend berechtigte Interessen des Verantwortlichen angenommen werden, sind die Bank, die Tankstelle oder das Kaufhaus, die Überfälle verhindern oder aufklären möchten, aber auch das Schnellrestaurant am Bahnhof, das sein Hausrecht wahrnimmt.
Dagegen überwiegen die schutzwürdigen Interessen der Betroffenen häufig, wenn es um Aufnahmen im Aufenthaltsbereich eines Restaurants oder einer Kneipe geht, um solche am Arbeitsplatz, in Hotelzimmern und Sanitärbereichen, in Kindergärten und Schulen.
Es gilt die DSGVO
§ 4 Bundesdatenschutzgesetz (BDSG) enthält Regelungen zur Videoüberwachung. Obwohl es keine Öffnungsklauseln für den Bereich der Videoüberwachung gab, hat der deutsche Gesetzgeber sich entschieden, die Überwachung ins neue BDSG aufzunehmen.
Im Vergleich zur DSGVO fallen dabei zwei Bereiche besonders auf: Das BDSG definiert die Sicherheit für Leib und Leben als berechtigtes Interesse des Verantwortlichen, obwohl man der Meinung sein könnte, dass dies ausschließlich staatliche Aufgabe sei.
Die Informationspflicht bei der Beschilderung der Videoüberwachung fällt zudem teils deutlich hinter die Anforderungen der DSGVO zurück.
Hier empfiehlt es sich, der Meinung der Datenschutzaufsichtsbehörden zu folgen und die Informationen von Art. 13 DSGVO umzusetzen.
So müssen Verantwortliche nicht mit der Sorge umgehen, dass die zuständige Aufsichtsbehörde die rechtliche Einordnung von § 4 BDSG gerade mit der eigenen Institution gerichtlich klären möchte.
Datenschutz durch Technik
Ein datenschutzkonformer Einsatz von Videoüberwachung benötigt eine durchdachte Planung für jede einzelne Kamera. Das betrifft zum einen die Frage, ob die Überwachung überhaupt rechtmäßig ist.
Zum anderen geht es darum, den Anforderungen von Art. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung) Rechnung zu tragen. Die Tabelle zeigt einige Beispiele.
Transparenzpflichten und Betroffenenrechte
Es gelten die allgemeinen Transparenzpflichten von Art. 13 DSGVO. Damit müssen Verantwortliche die Bereiche, die die Videoüberwachung betrifft, geeignet beschildern – am besten, bevor Betroffene diese Bereiche betreten, wie etwa im Eingangsbereich eines Kaufhauses.
Da die vollständigen Informationspflichten sehr schnell zu einer unübersichtlichen Beschilderung führen, empfiehlt es sich, einen zweistufigen Ansatz zu verfolgen, den auf europäischer Ebene das Working Paper WP 260 zur Transparenz skizziert (siehe https://ogy.de/wp-260):
- Stufe: Beschilderung mit Icon der Videoüberwachung inklusive Name und Kontaktdaten des Verantwortlichen, Kontaktdaten des Datenschutzbeauftragten, sofern benannt, Zwecke der Überwachung, berechtigtes Interesses, falls Rechtsgrundlage Interessensabwägung, Dauer der Speicherung und Hinweis zu weiteren Informationen, z.B. Weblink und/oder Papieraushang
- Stufe: Weitere Informationspflichten wie Beschwerderecht bei Aufsichtsbehörde sowie weitere Betroffenenrechte.
Weiter reichende Betroffenenrechte wie das Recht auf Auskunft spielen aufgrund der kurzen Aufzeichnungsfristen kaum eine Rolle. Verantwortliche dürfen sie aber nicht kategorisch ausschließen und müssen sie im Einzelfall prüfen.
Die Informationspflichten an der DSGVO und nicht an § 4 BDSG auszurichten, erspart im Einzelfall Diskussionen mit der Aufsichtsbehörde und stellt keinen merklichen Mehraufwand für die Erstellung der Beschilderung dar.
Aufzeichnungsdauer
Die Datenschutzaufsichtsbehörden legen als pauschale Aufbewahrungsfrist 48 bis 72 Stunden fest. Hintergedanke dabei ist, dass sich damit der Zweck einer Aufnahme, etwa Straftaten aufzuklären, auch über das Wochenende erreichen lässt.
Da die DSGVO keine Spezialregelungen zur Videoüberwachung hat, legt sie demnach auch keine Speicherdauer fest. Insofern sind im Einzelfall auch mehr als 72 Stunden möglich.
Nur sollten Verantwortliche dies dann mit Blick auf die Erforderlichkeit gut begründen sowie weitere Schutzmaßnahmen wie ein Vier-Augen-Prinzip prüfen, um die Zweckbindung zu gewährleisten.
Beobachten oder Aufzeichnen?
Setzt ein Verantwortlicher eine Videokamera ohne Speicherung ein, spricht man von Beobachtung. Erfolgt eine Speicherung auf einem Datenträger (z.B. SD-Karte oder Festplatte), spricht man von Aufzeichnung.
Beobachten ist im Vergleich zum Aufzeichnen weniger beeinträchtigend für die betroffenen Personen. Sofern sich der Zweck einer Videoüberwachung auch mit einer Beobachtung erreichen lässt, ist sie einer Speicherung vorzuziehen.
Dokumentation und Rechenschaftspflicht
Auch bei der Videoüberwachung gilt der Ansatz, dass jeder Verantwortliche nachweisen können muss, dass er die DSGVO einhält.
Dazu muss er zum einen das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO um die Videoüberwachung ergänzen.
Dabei sollten Verantwortliche, die größere Überwachungssysteme betreiben, sie in verschiedene Verarbeitungstätigkeiten passend zum jeweiligen Zweck differenzieren.
Gegebenenfalls ist auch noch eine Unterscheidung bei den Mitteln, d.h. nach der eingesetzten Technik und eventuell eingebundenen Dienstleistern, nötig.
Es bietet sich dann an, jede Verarbeitungstätigkeit noch um weitere Fragestellungen wie Rechtsgrundlage, Umsetzung der Informationspflichten, Regelungen zu Betroffenenrechten, Datenschutz durch Technikgestaltung sowie die Frage, ob eine Datenschutz-Folgenabschätzung durchzuführen ist, zu ergänzen.
Videoüberwachung im Beschäftigtenverhältnis
Eine Videoüberwachung zum Zweck der Überwachung von Beschäftigten ist nur unter den strengen Maßstäben von § 26 BDSG zur Aufklärung von Straftaten möglich.
Nimmt eine Videoüberwachung Beschäftigte zwangsläufig mit auf, z.B. die Angestellten eines Kaufhauses, dann ist darauf zu achten, dass diese keinem permanenten Überwachungsdruck ausgesetzt sind.
Aufnahmen in Sozialräumen sind kategorisch ausgeschlossen.
Biometrie und Videoüberwachung
Die DSGVO versteht unter biometrischen Daten nach Art. 4 Nr. 14 DSGVO mit „speziellen technischen Verfahren“ gewonnene personenbezogene Daten, die eine „eindeutige Identifizierung“ einer natürlichen Person ermöglichen.
Nach Ansicht vieler deutscher Aufsichtsbehörden ist dies gemäß dem Positionspapier der Datenschutzkonferenz zur biometrischen Analyse schon bei Bildaufnahmen einer gewissen Qualität gegeben (siehe https://ogy.de/oh-biometrie).
Das Problem, das sich bei der Videoüberwachung daraus ergibt, ist, dass besondere personenbezogene Daten nach Art. 9 DSGVO auch „biometrische[n] Daten zur eindeutigen Identifizierung einer natürlichen Person“ umfassen und damit z.B. eine Interessensabwägung nach Art. 6 Abs. 1 Buchst. f DSGVO ausgeschlossen ist.
Das Positionspapier „löst“ diese Problematik dadurch, dass bei einer Videoüberwachung die Identifizierung nicht Bestandteil der Verarbeitungstätigkeit ist, sondern im Einzelfall manuell nachgelagert erfolgt.
Eine andere Sichtweise, die auch auf europäischer Ebene häufig vertreten wird: Die „speziellen technischen Verfahren“, die Art. 4 Nr. 14 DSGVO nennt, seien die Merkmalsextraktionen, die dazu dienen, Erkennungsverfahren auf Basis von künstlicher Intelligenz vorzubereiten. Mit dieser Sichtweise wären „klassische“ Videoaufnahmen keine biometrischen Daten.
Eine normale Videoüberwachung stellt also bei beiden Sichtweisen keine Verarbeitung von Art.-9-Daten dar. Damit sind Aufnahmen auch auf Basis einer Interessenabwägung möglich.
Datenschutz-Folgenabschätzung
Die DSGVO trifft an einer Stelle eine Regelung, die sich am ehesten direkt auf die Videoüberwachung bezieht: Nach Art. 35 DSGVO müssen Verantwortliche bei einer systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche eine Datenschutz-Folgenabschätzung (DSFA) durchführen.
Eine Videoüberwachung erfolgt sicher systematisch. Doch stellt sich die Frage nach dem Begriff „umfangreich“, den die DSGVO leider nicht klar definiert.
Aus diesem Grund müssen Verantwortliche prüfen, welche anderen Maßnahmen zur Risikoeindämmung – was der Kern einer DSFA ist – sie ansonsten treffen müssen.
Nach Art. 25 Abs. 1 DSGVO sind unter Berücksichtigung u.a. des Risikos für die Rechte und Freiheiten die Datenschutzgrundsätze von Art. 5 Abs. 1 DSGVO wirksam umzusetzen. Diese Regelung lässt dem Verantwortlichen im Vergleich zur DSFA eine freiere Form der Umsetzung.
Bei Videoüberwachungen, bei denen ein Verantwortlicher keine DSFA macht, muss er unbedingt dokumentieren, dass andere Maßnahmen das Risiko wirksam eindämmen.
ACHTUNG: Videoüberwachungen, bei denen sich die Wirksamkeit der technischen und organisatorischen Maßnahmen zur Risikoeindämmung nicht nachweisen lässt (Rechenschaftspflicht!) oder die eine große Anzahl von Kameras samt komplexer Verarbeitungsketten und Zugriffsmöglichkeiten auf die Aufnahmen besitzen wie in Bahnhöfen, Fußballstadien, großen Einkaufszentren oder im öffentlichen Nahverkehr, unterliegen auf jeden Fall einer DSFA-Pflicht.
Blick zu den Aufsichtsbehörden nach Deutschland und Europa
Auf europäischer Ebene gibt es seit Kurzem die „Guidelines 3/2019 on processing of personal data through video devices“, die Verantwortliche im Zweifel sorgfältig studieren sollten (abrufbar unter https://ogy.de/edpd-video).
Es wird im Einklang mit dieser Guideline bald eine Orientierungshilfe zur Videoüberwachung der deutschen Aufsichtsbehörden geben – es lohnt ein regelmäßiger Blick auf die Webseite der DSK unter www.datenschutzkonferenz-online.de.
