Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Die Videoüberwachung wird auch nach dem 25. Mai 2018 sowohl für die Aufsichtsbehörden als auch für die Betreiber entsprechender Anlagen ein Thema mit erheblicher praktischer Relevanz bleiben: Die DS-GVO selbst enthält keine spezifische Regelung zur Videoüberwachung. Somit ist nicht klar, in welchem Umfang die bisherigen datenschutzrechtlichen Bewertungen in der Praxis beibehalten werden können. Der ab dem 25. Mai 2018 ebenfalls in Kraft tretende § 4 des Bundesdatenschutzgesetzes (BDSG-neu, vgl. Art. 1 DSAnpUG-EU) enthält zwar eine Regelung zur Videoüberwachung öffentlich zugänglicher Räume. Ob und in welchem Umfang diese Regelung aufgrund des Anwendungsvorrangs der DS-GVO angewendet werden kann, bleibt einer Entscheidung im jeweiligen konkreten Einzelfall vorbehalten. 

Welche Regelungen der DS-GVO sind für die Videoüberwachung einschlägig?

Für die Prüfung der Rechtmäßigkeit der (Daten-) Verarbeitung durch nicht öffentliche Stellen ist zunächst auf die „Generalklausel“ in Art. 6 Abs. 1   S. 1 lit. f DS-GVO abzustellen. Danach ist die Verarbeitung rechtmäßig, soweit sie zur Wahrung der be-rechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Inter-essen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Mit Art. 2 Abs. 2 lit. c lässt die DS-GVO das bisherige sog. Haushaltsprivileg fortbestehen. Die Verordnung findet also keine Anwendung auf die Verarbeitung personenbezogener Daten, die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten und somit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird (Erwägungsgrund  [ErwGr.] 18).

Für öffentliche Stellen kann in bestimmten Fällen Art. 6 Abs. 1 S. 1 lit. e, Abs. 3 DS-GVO in Verbindung mit einem nationalen Gesetz als Rechtsgrundlage in Betracht kommen.

Soll eine Videoüberwachung auf eine Einwilligung im Sinne des Art. 7 DS-GVO gestützt werden, dürften die Voraussetzungen dieser Vorschrift allerdings nur in seltenen Einzelfällen erfüllt sein. Insbesondere ist das Betreten des gekennzeichneten Erfassungsbereichs einer Videokamera nicht als „eindeutig bestätigende Handlung“ und auch nicht als informierte Einwilligung i. S. d. Art. 4 Nr. 11 DS-GVO zu werten.

Eine Verarbeitung biometrischer Daten (Art. 4 Nr. 14 DS-GVO) zur eindeutigen Identifizierung natürlicher Personen ist nach Art. 9 Abs. 1 DS-GVO grundsätzlich untersagt. Auch die bloße Eignung von Videoaufnahmen für eine biometrische Analyse ist bei der Risikoabschätzung und der Auswahl der technischen und organisatorischen Maßnahmen zu berücksichtigen. Soweit bei der Videoüberwachung biometrische Daten zum Zweck der eindeutigen Identifizierung oder Authentifizierung einer natürlichen Person verarbeitet werden (z. B. mit einer Gesichtserkennungssoftware), gelten für solche Verarbeitungen die engen Ausnahmetatbestände des Art. 9 Abs. 2 DS-GVO. Detaillierte Hinweise hierzu sind im Kurzpapier Nr. 19 „Besondere Kategorien personenbezogener Daten“ zu finden.

Welche inhaltlichen Voraussetzungen ergeben sich künftig für eine Videoüberwachungsanlage?

Die nach Art. 6 Abs. 1 S. 1 lit. f DS-GVO durchzuführende Prüfung folgt im Wesentlichen den bereits aus dem BDSG bekannten Kriterien:

• Wahrung berechtigter Interessen,
• Erforderlichkeit,
• Interessenabwägung.

Hinsichtlich des Tatbestandsmerkmals des „berechtigten Interesses“ kann der bisherigen Kasuistik auch weiterhin gefolgt werden. Neu ist aus deutscher Sicht allerdings die Berücksichtigung des sog. „Drittinteresses“. Als „Dritter“ kommen gemäß   Art. 4 Nr. 10 DS-GVO sowohl private als auch juristische Personen in Betracht. Zu denken wäre dabei beispielswiese an die typische Konstellation in Einkaufszentren, bei der der Vermieter die Videoüberwachung auch im Interesse seiner (Laden-)Mieter, die in einer Vielzahl der Fälle nicht selbst Betroffene sind, betreibt.

Im Rahmen der Erforderlichkeitsprüfung ist nach wie vor zu fragen, ob die konkrete Videoüberwachung zur Zweckerreichung geeignet ist und ob alternative Maßnahmen, die nicht oder weniger tief in das Recht auf Schutz personenbezogener Daten eingreifen, im konkreten Einzelfall vorzuziehen sind.

Bei der Interessenabwägung ergibt sich aus ErwGr. 47 eine Relativierung des bisher strikt objektiven Ansatzes, da als Maßstab nunmehr die „vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen“ sind. Damit ist zunächst auf die subjektiven Erwartungen der betroffenen Person im Einzelfall abzustellen. Neben diesen ist aber auch zu fragen, was ein objektiver Dritter vernünftigerweise erwarten kann und darf. Entscheidend wird daher auch sein, ob die Videoüberwachung in bestimmten Bereichen der Sozialsphäre typischerweise akzeptiert oder abgelehnt wird.

Insbesondere im Arbeitsverhältnis wird ein strengerer Maßstab anzulegen sein als wenn der Betroffene als Kunde, Gast oder Passant von einer Videoüberwachung erfasst wird. In der Regel nicht zu erwarten und in diesem Zusammenhang daher nicht akzeptiert ist die Videoüberwachung z. B. im Nachbarschaftskontext, sowie in Individualbereichen wie Wohnen, Sportausübung/Fitness oder ärztlichen Behandlungs- und Warteräumen. Ausnahmslos nicht akzeptiert ist die Videoüberwachung in Sanitär- und Saunabereichen. Die Prüfung wird damit deutlich vielschichtiger.

Die DS-GVO verlangt eine Abwägung im konkreten Einzelfall sowohl im Hinblick auf die Interessen der Verantwortlichen bzw. Dritten als auch der Betroffenen. Ein bloßes Abstellen auf abstrakte oder auf vergleichbare Fälle ohne Betrachtung des Einzelfalls genügt den Anforderungen der DS-GVO daher nicht.

Transparenzanforderungen und Hinweisbeschilderung

Neben der Rechtmäßigkeit der Verarbeitung fordert die DS-GVO in Art. 5 Abs. 1 lit. a ferner, dass die per-sonenbezogenen Daten in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen. Mit dieser Regelung sowie den sich aus Art. 12 ff. DS-GVO ergebenden Anforderungen, sind die Transparenzpflichten stark angestiegen. Aus den Informationspflichten nach Art. 13 Abs. 1 und 2 DS-GVO ergeben sich folgende Mindestanforderungen:

• Umstand der Beobachtung – Piktogramm, Kamerasymbol.
• Identität des für die Videoüberwachung Verantwortlichen – Name einschl. Kontaktdaten (Art. 13 Abs. 1 lit.a DS-GVO).
• Kontaktdaten des betrieblichen Daten-schutzbeauftragten – soweit benannt, dann aber zwingend (Art. 13 Abs. 1 lit.b DS-GVO).
• Verarbeitungszwecke und Rechtsgrundlage in Schlagworten (Art. 13 Abs. 1 lit.c DS-GVO).
• Angabe des berechtigten Interesses – soweit die Verarbeitung auf Art. 6 Abs. 1 S. 1 lit.f DS-GVO beruht (Art. 13 Abs. 1 lit.d DS-GVO).
• Dauer der Speicherung (Art. 13 Abs. 2 lit.a DS-GVO).
• Hinweis auf Zugang zu den weiteren Pflichtinformationen gem. Art. 13 Abs. 1 und 2 DS-GVO (wie Auskunftsrecht, Beschwerderecht, ggf. Empfänger der Daten).

Die weiteren Pflichtinformationen sind ebenfalls am Ort der Videoüberwachung an einer für die betrof-fene Person zugänglichen Stelle bereit bzw. zur Ver-fügung zu stellen, beispielsweise als vollständiges Informationsblatt (Aushang).

Konsequenz: Eine intransparente Videoüberwachung steht nicht im Einklang mit der DS-GVO (Art. 5, 13 DS-GVO). Die Aufsichtsbehörde kann gem. Art. 58 Abs. 2 lit. d DS-GVO den Verantwortlichen anwei-sen, den Mangel abzustellen oder gem. Art. 58 Abs. 2 lit. f DS-GVO die Videoüberwachung vorübergehend oder endgültig beschränken bzw. untersagen. Mangelnde Transparenz ist zudem ein Bußgeldtatbestand nach Art. 83 Abs. 5 DS-GVO.

Speicherdauer/Löschungsgebot

Die Daten der Videoüberwachung sind unverzüglich zu löschen, wenn sie zur Erreichung der Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 lit. a DS-GVO) oder schutzwürdige In-teressen der Betroffenen einer weiteren Speicherung entgegenstehen. Ob eine Sicherung des Materials notwendig ist, dürfte grundsätzlich innerhalb von ein bis zwei Tagen geklärt werden können. Unter Berücksichtigung von Art. 5 Abs. 1 lit. c und e DS-GVO – „Datenminimierung“ und „Speicherbegrenzung“ – sollte demnach grundsätzlich, wie bisher auch, nach 48 Stunden eine Löschung erfolgen.

Sichere und datenschutzfreundliche Gestaltung

Bei der Beschaffung, der Installation und dem Betrieb von Videoüberwachungssystemen ist auf die sichere (Art. 32 DS-GVO) und datenschutzfreundliche (Art. 25 DS-GVO) Gestaltung zu achten. Insbesondere muss der Verantwortliche prüfen, inwieweit eine Videoüberwachung zeitlich eingeschränkt werden kann und welche Bereiche der Überwachung ausgeblendet oder verpixelt werden können. Schon bei der Beschaffung der Videotechnik ist auf „eingebauten Datenschutz“ zu achten. Nicht benötigte Funktionalität (z. B. freie Schwenkbarkeit, umfassende Überwachung per Dome-Kamera, Zoomfähigkeit, Funkübertragung, Internetveröffentlichung, Audioaufnahme) sollte von der beschafften Technik nicht unterstützt oder zumindest bei der Inbetriebnahme deaktiviert werden.

Sonderfall: Videobeobachtung in Echtzeit

Die Videoüberwachung in Echtzeit (direkte Übertragung der Bilddaten auf einen Monitor ohne Speicherung der erhobenen Daten – Kamera-Monitor-Prinzip) stellt eine ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten dar und ist ebenfalls nach der DS-GVO zu beurteilen.

Welche weiteren formellen Anforderungen sind zu beachten?

In dem nach Art. 30 Abs. 1 DS-GVO zu erstellenden Verarbeitungsverzeichnis soll die Videoüberwachung ausgewiesen und dokumentiert werden, wel-chem Zweck die Verarbeitung jeweils dient.

Ferner ist gemäß Art. 35 DS-GVO eine Datenschutz-Folgenabschätzung durchzuführen, wenn die Videoüberwachung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dies gilt nach Art. 35 Abs. 3 lit. c DS-GVO insbesondere bei einer systematischen umfangreichen    (ErwGr. 91: weiträumigen) Überwachung öffentlich zugänglicher Bereiche. Zum Inhalt der Datenschutz-Folgenabschätzung wird auf das entsprechende Kurzpapier Nr. 5 verwiesen.

Unsere Empfehlung:

Die formellen und materiellen Anforderungen für den Einsatz einer Videoüberwachung werden mit Inkrafttreten der DS-GVO im Vergleich zum BDSG nicht abgesenkt werden. Sie bleiben vielmehr hoch und nach wie vor komplex. Daher sollten sich Betreiber von Videoüberwachungsanlagen schon zum jetzigen Zeitpunkt intensiv mit der neuen Rechtslage auseinandersetzen und prüfen, ob laufende Videoüberwachungen den geänderten Anforderungen entsprechen und fortgesetzt werden können. Dies betrifft insbesondere die gestiegenen Anforderungen an die Transparenz und an die Gestaltung der Datenverarbeitung.

In Zweifelsfällen hilft die Aufsichtsbehörde weiter.

 

---

Anmerkung zur Nutzung dieses Kurzpapiers: 

Dieses Kurzpapier darf – ohne Rückfrage bei einer Aufsichtsbehörde – kommerziell und nicht kommerziell genutzt, insbesondere vervielfältigt, ausgedruckt, präsentiert, verändert, bearbeitet sowie an Dritte übermittelt oder auch mit eigenen Daten und Daten Anderer zusammengeführt und zu selbständigen neuen Datensätzen verbunden werden, wenn der  folgende  Quellenvermerk  angebracht  wird:
„Konferenz  der  unabhängigen  Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz). Datenlizenz Deutschland – Namensnennung – Version 2.0 (www.govdata.de/dl-de/by-2-0)".