Videoüberwachung

Videoüberwachung erfasst regelmäßig Bilder identifizierbarer Personen und ist damit eine Verarbeitung personenbezogener Daten im Sinne des Art. 4 Nr. 1 und 2 DSGVO. Für nicht-öffentliche Stellen ist die praktisch wichtigste Rechtsgrundlage Art. 6 Absatz 1 Buchstabe f DSGVO, also das berechtigte Interesse etwa an Eigentumsschutz, Hausrecht oder Beweissicherung. Das Bundesverwaltungsgericht hat mit Urteil vom 27. März 2019 (6 C 2.18) klargestellt, dass § 4 BDSG auf die Videoüberwachung öffentlich zugänglicher Räume durch nicht-öffentliche Stellen nicht anwendbar ist, weil die DSGVO insoweit keine Öffnungsklausel enthält. Öffentliche Stellen stützen sich dagegen auf Art. 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 4 BDSG oder dem einschlägigen Landesrecht. Werden Beschäftigte erfasst, tritt § 26 BDSG hinzu; die reine Aufzeichnung im privaten Wohnumfeld ist nach der Rechtsprechung des EuGH (Rechtssache C-212/13, Ryneš) nur dann von der Haushaltsausnahme gedeckt, wenn kein öffentlicher Raum miterfasst wird.

Kern der Zulässigkeitsprüfung ist die dreistufige Interessenabwägung: Zunächst muss ein konkretes, gegenwärtiges berechtigtes Interesse belegt werden — pauschale Sicherheitsbedenken genügen nicht, gefordert sind etwa dokumentierte Vorfälle oder eine belegbare Gefährdungslage. Auf zweiter Stufe ist die Erforderlichkeit zu prüfen, also ob mildere, gleich wirksame Mittel wie bessere Beleuchtung, Zutrittskontrolle, Schließsysteme oder eine Verkleinerung des Erfassungsbereichs ausreichen. Auf dritter Stufe überwiegen die Interessen der betroffenen Personen häufig dort, wo ein hoher Überwachungsdruck entsteht: in Sanitär- und Umkleideräumen, Pausen- und Sozialräumen sowie bei einer lückenlosen Dauerüberwachung von Arbeitsplätzen. Heimliche Videoüberwachung von Beschäftigten kommt nur unter den engen Voraussetzungen des § 26 Absatz 1 Satz 2 BDSG und der Rechtsprechung des Bundesarbeitsgerichts bei konkretem Straftatverdacht in Betracht. Die Abwägung ist wegen der Rechenschaftspflicht aus Art. 5 Absatz 2 DSGVO schriftlich zu dokumentieren; bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche ist zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 Absatz 3 Buchstabe c DSGVO durchzuführen.

Transparenz und Speicherbegrenzung entscheiden in der Praxis über die Rechtmäßigkeit. Nach Art. 12 und 13 DSGVO sind die betroffenen Personen zum Zeitpunkt der Erhebung zu informieren; der Europäische Datenschutzausschuss (Leitlinien 3/2019) und die Datenschutzkonferenz empfehlen dafür ein zweistufiges Modell: ein gut sichtbares Hinweisschild vor dem Erfassungsbereich mit Kamerapiktogramm, Verantwortlichem und Kontaktdaten, Zwecken, Rechtsgrundlage, Speicherdauer, Hinweis auf die Betroffenenrechte und den Fundort der vollständigen Informationen — sowie auf zweiter Stufe die vollständigen Informationen als Aushang, Merkblatt, QR-Code oder Website. Für die Löschung enthält die DSGVO keine feste Frist; maßgeblich ist der Grundsatz der Speicherbegrenzung nach Art. 5 Absatz 1 Buchstabe e DSGVO. Aufsichtsbehörden halten für Aufzeichnungen zum Zweck der Sicherung und Beweissicherung eine Speicherdauer im Bereich weniger Tage — vielfach 48 bis 72 Stunden — für regelmäßig ausreichend; jede längere Aufbewahrung ist im Einzelfall zu begründen, etwa während der Aufklärung eines konkreten Vorfalls. Technisch wird dies über automatisches Überschreiben umgesetzt und in Löschkonzept, Verarbeitungsverzeichnis und Berechtigungskonzept dokumentiert.