Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

 

5    Datenschutz in der Wirtschaft

5.1          Impfnachweispflicht im Unternehmen

Das ULD erreichten zahlreiche Nachfragen von Unternehmen und Beschäftigten zu Datenschutzfragen in Bezug auf den Nachweis einer erfolgten Schutzimpfung gegen das Coronavirus SARS-CoV-2 oder einer überstandenen Infektion beim Arbeitgeber.

Eine gesetzliche Regelung zur Verarbeitung eines Impfnachweises oder einer überstandenen Infektion erfolgte erst mit der Änderung des Infektionsschutzgesetzes (IfSG) im November 2021. Davor bestand eine rechtliche Unsicherheit über die erforderliche Rechtsgrundlage für die Erhebung und Dokumentation zu Nachweisen über eine Impfung oder Genesung. So wurde z. B. vertreten, dass der Impfstatus in den Fällen abgefragt werden durfte, in denen Beschäftigte mit Kundinnen und Kunden sowie anderen Beschäftigten Kontakt haben, weil hier die Schutzpflicht des Arbeitgebers zu der Verpflichtung führe, die Gesundheit der Beschäftigten durch geeignete Maßnahmen zu schützen. Eine Rechtsgrundlage dafür ergäbe sich nämlich bei Vorliegen der Voraussetzungen des § 26 Abs. 3 BDSG i. V. m. Art. 9 Abs. 2 Buchst. b DSGVO und aus den Schutzpflichten des Arbeitgebers. Arbeitgeber, die sich auf diese Rechtsgrundlage berufen wollten, mussten in einem ersten Schritt darlegen, dass die Verarbeitung des Impf- bzw. Genesenenstatus für den konkreten Verarbeitungszweck, z. B. Vorkehrungen der Arbeitssicherheit durch Schutzkleidung o. Ä., geeignet, erforderlich und unter Berücksichtigung der Beschäftigteninteressen verhältnismäßig war. In einem weiteren Schritt war dann darzulegen, dass kein Grund zu der Annahme bestand, dass die schutzwürdigen Interessen der Betroffenen die Interessen des Verantwortlichen an der Verarbeitung überwiegen.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 31. März 2021 in einer Pressemitteilung deutlich gemacht, dass für eine Verarbeitung von pandemiebezogenen Gesundheitsdaten zwar eine Einwilligung der Beschäftigten grundsätzlich in Betracht kommt, diese allerdings nicht pauschal als freiwillig abgegeben betrachtet werden kann. Die erforderliche Abwägung ist schwierig und mit großer Rechtsunsicherheit verbunden. Darum wurde der Gesetzgeber aufgefordert, eine gesetzliche Grundlage zu schaffen. Alle Anfragenden wurden auf diese Situation hingewiesen.

Die Stellungnahme der DSK ist unter dem folgenden Link abrufbar:

https://www.datenschutzkonferenz-online.de/media/pm/20210331_pm_entschliessung_impfdaten.pdf
Kurzlink: https://uldsh.de/tb40-5-1a

Mit dem Gesetz zur Änderung des Infektionsschutzgesetzes und weiterer Gesetze anlässlich der Aufhebung der Feststellung der epidemischen Lage von nationaler Tragweite vom 22. November 2021 hat der Bundesgesetzgeber mit der Neufassung von § 28b IfSG Regelungen geschaffen, die Vorgaben zur Verarbeitung des Impf-, Sero- und Teststatus von Beschäftigten enthalten. Das ULD hat hierzu Hinweise veröffentlicht, die unter folgendem Link abrufbar sind:

https://www.datenschutzzentrum.de/artikel/1383-.html
Kurzlink: https://uldsh.de/tb40-5-1b

 

5.2          Verarbeitung von Test-, Genesenen- und Impfnachweisen in Gaststätten und Beherbergungsbetrieben

Das ULD erhielt eine Vielzahl an Beschwerden, die sich auf das Fotografieren, Scannen und Speichern von Test-, Genesenen- und Impfnachweisen, vornehmlich durch Gaststätten und Beherbergungsbetriebe, bezogen. Weiterhin wurden Gäste von Beherbergungsbetrieben vermehrt dazu aufgefordert, diese Nachweise vorab per E-Mail zu übermitteln oder auf einen Server hochzuladen. In einzelnen Fällen wurde den Gästen mitgeteilt, dass ohne ein vorheriges Übersenden der Nachweise eine Buchung nicht möglich wäre.

Bei Informationen hinsichtlich des Test-, Genesenen- oder Impfstatus einer Person handelt es sich um Gesundheitsdaten im Sinne des Art. 4 Nr. 15 DSGVO. Diese Daten unterliegen einem erhöhten Schutzbedarf.

Vorgaben hinsichtlich der Verarbeitung des Test-, Genesenen- und Impfstatus von Personen finden sich in der jeweils gültigen Corona-Bekämpfungsverordnung des Landes Schleswig-Holstein (Corona-BekämpfVO). Demnach gilt für bestimmte Einrichtungen, dass eine Beherbergung von Personen oder Bewirtung von Gästen innerhalb geschlossener Räume nur zulässig ist, wenn diese geimpft, getestet oder genesen sind. Die Betreiber dieser Einrichtungen müssen gewährleisten, dass diese Vorgaben eingehalten werden. Die Corona-BekämpfVO sieht vor, dass im Rahmen der Kontrolle der entsprechenden Nachweise auch eine Überprüfung der Identität mittels eines gültigen amtlichen Lichtbildausweises erfolgen muss, sofern die Person nicht persönlich bekannt ist.

Aus der Corona-BekämpfVO ergibt sich jedoch keine Verpflichtung, diese Nachweise in irgendeiner Form zu speichern oder sich diese vorab übermitteln zu lassen. Zur Erfüllung der Vorgaben aus der Corona-BekämpfVO reicht die kurze Einsichtnahme in die entsprechenden Nachweise aus. Zudem kann der Umstand vermerkt werden, dass kontrolliert wurde. Eine Rechtsgrundlage zur Verarbeitung dieser Daten kann sich nur aus Art. 6 Abs. 1 i. V. m. Art. 9 DSGVO (und gegebenenfalls weiteren landesrechtlichen Regelungen) ergeben.

Wie schon bei der Pflicht zur Kontaktdatenerhebung (39. TB, Tz. 5.3) zeigte sich auch bei der Verarbeitung der Test-, Genesenen- und Impfnachweise, dass die Speicherung oftmals aus Unwissenheit erfolgte. In vielen Fällen sahen sich die Verantwortlichen veranlasst, die Nachweise zu speichern, um im Falle einer Kontrolle die Einhaltung der Vorgaben der Corona-BekämpfVO belegen zu können. An den erhobenen Daten selbst bestand kein Interesse.

Aufgrund der Vielzahl der gemeldeten Verstöße und der Neuartigkeit der 3G-Regelung haben wir ein die Rechtslage klarstellendes Informationsschreiben erstellt und an die Gastronomie- und Beherbergungsbetriebe in Schleswig-Holstein übermittelt. Nach der Veröffentlichung des Informationsschreibens ging die Anzahl der Beschwerden hinsichtlich der Speicherung von Test-, Genesenen- und Impfnachweisen merklich zurück. Das Informationsschreiben ist unter dem folgenden Link abrufbar:

https://www.datenschutzzentrum.de/artikel/1380-.html

 

5.3          Abfrage von Corona-Daten vor Handwerkerservicetermin

Das ULD wurde im Berichtszeitraum darauf aufmerksam gemacht, dass ein Unternehmen im Rahmen von Serviceterminen im Handwerksbereich Corona-Daten der Kundinnen und Kunden abfragte. Hierzu wurde den Kundinnen und Kunden vorab ein Fragebogen zugestellt, der verschiedene Fragen zum Gesundheitszustand enthielt. So wurden neben der Frage nach dem Auftreten von Corona-Symptomen auch Informationen hinsichtlich erfolgter Kontakte zu Corona-Erkrankten, kürzlich erfolgter Reisen in ein Risikogebiet und des Gesundheitszustands von Haushalts- und Familienmitgliedern gestellt. Die Beantwortung der Fragen sollte telefonisch vor dem Termin erfolgen. Die Kundinnen und Kunden wurden darauf hingewiesen, dass ohne die Beantwortung der Fragen der Termin abgesagt werden würde. Begründet wurden diese Fragen mit dem Schutz der Servicemitarbeitenden vor einer möglichen Corona-Infektion.

Bei den abgefragten Informationen handelt es sich um Gesundheitsdaten, die einem höheren Schutzbedarf unterliegen. Eine Verarbeitung dieser Daten wäre hier nur rechtmäßig gewesen, wenn eine Einwilligung der betroffenen Kundinnen und Kunden vorgelegen hätte. Im vorliegenden Fall wurde jedoch die Erbringung der Dienstleistung an die Angaben der Kundinnen und Kunden zum aktuellen Gesundheitszustand gekoppelt, was keine freie Willensbekundung darstellt. Es lag demnach keine Rechtsgrundlage zur Verarbeitung der Gesundheitsdaten vor.

Anzuzweifeln waren auch die Erforderlichkeit der Daten und die Eignung der Gesundheitsfragen für den Zweck, die Servicemitarbeitenden vor einer Corona-Infektion zu schützen. Es bestand das Risiko, dass die Fragen nicht wahrheitsgemäß beantwortet worden wären, wenn ein Kunde ein starkes Interesse an der Erbringung der Dienstleistung gehabt hätte. Weiterhin sollten durch die Fragen zu Familien- und Haushaltsangehörigen auch Gesundheitsdaten von Personen erhoben werden, mit denen keine Geschäftsbeziehung bestand.

Durch das ULD wurde neben der Löschung der erhobenen Gesundheitsdaten verfügt, dass der Dienstleister derartige Abfragen von Gesundheitsdaten zu unterlassen habe. Als Alternative wird nun der Hinweis an die Kundschaft übermittelt, beim Auftreten von Corona-Symptomen den Dienstleister zu kontaktieren und ohne Angabe von Gründen eine Verlegung des Termins zu veranlassen.

 

5.4          Veröffentlichung von Teilaktbildern durch Fotostudio

Zum Beginn des Jahres 2021 ging bei uns eine Beschwerde eines Polizeibeamten ein, dass er von Freunden, seinem Kollegium und im Rahmen eines polizeilichen Einsatzes von einem Bürger auf ein Teilaktbild von ihm aufmerksam gemacht wurde, welches in verschiedenen Filialen eines Fotostudios aushing.

Der Betroffene berichtete hierzu, dass er zehn Jahre zuvor ein Fotoshooting besucht habe, bei dem „normale Bilder“ und ein Teilaktbild erstellt wurden. Hierbei sei ihm angeboten worden, sechs zusätzliche Fotodaten auf CD und ein Poster im Wert von 190 Euro gegen Erteilung einer Einwilligung kostenfrei zu erhalten.

Die entsprechende Vereinbarung habe er in Unkenntnis von Zweck, Art und Umfang der geplanten Verwendung der Bilder unterzeichnet, insbesondere sei ihm nicht klar gewesen, dass sich seine Zustimmung auch auf das Teilaktbild bezog und dieses umfänglichen Marketingmaßnahmen dienen sollte. Derzeit würde er auch einen Schadensersatzanspruch in erheblichem Umfang gegen das Unternehmen zivilrechtlich geltend machen.

Bei der Überprüfung der Vereinbarung stellten wir fest, dass die zeitlich, örtlich und inhaltlich uneingeschränkte Nutzung aller beim Fotoshooting erstellten Bilder für Werbe- und Publikationszwecke tatsächlich Bestandteil der Vereinbarung war.

Darüber hinaus handelte es sich hierbei um eine schuldrechtliche Vereinbarung, sodass die Nutzung der streitgegenständlichen Bilder als Gegenstand dieser Vereinbarung zunächst auf Grundlage des § 28 Abs. 1 Satz 1 Nr. 1 des zum damaligen Zeitpunkt geltenden BDSG rechtmäßig erfolgte. Da die Verarbeitung nach Inkrafttreten der Datenschutz-Grundverordnung auf Grundlage des Art. 6 Abs. 1 Buchst. b DSGVO erfolgen konnte, wurde von etwaigen Maßnahmen gegen das Fotostudio hierzu abgesehen.

Was ist zu tun?
Damit eine betroffene Person die Folgen ihrer Willenserklärung abschätzen kann, sind entsprechende Vereinbarungen vom Verantwortlichen hinreichend bestimmt und in einer verständlichen, klaren und einfachen Sprache zu formulieren.

 

5.5          Umgang mit Kundendaten im Fahrradgeschäft

In den vergangenen Monaten war in Schleswig-Holstein ein Fahrradboom zu beobachten, der in einem Fall allerdings ein datenschutzrechtliches Problem mit sich brachte: Aufgrund der hohen Auslastung einer Fahrradwerkstatt und des damit verbundenen Platzmangels wurden reservierte oder bereits verkaufte Räder nunmehr im Ladenbereich anstatt im für Kunden unzugänglichen Werkstattbereich abgestellt. Die vorliegende Beschwerde bezog sich darauf, dass an den Rädern die Auftragsformulare am Lenkrad der Fahrräder befestigt wurden und somit Fremde anhand der Auftragsformulare sehen konnten, welches Fahrrad für wen reserviert sei und wo dieser wohnen würde.

Auch Fahrradläden sind als Verantwortliche im Rahmen der Beachtung der Grundsätze der Integrität und Vertraulichkeit verpflichtet, Kundendaten in einer Art und Weise zu verarbeiten, die eine angemessene Sicherheit gewährleistet, und dabei insbesondere für einen Schutz vor unbefugter oder unrechtmäßiger Offenlegung gegenüber Dritten Sorge zu tragen.

Im Rahmen des durchgeführten Verfahrens teilte der Geschäftsführer mit, dass die Verfahrensweise nicht dem üblichen Betriebsablauf entspreche und dem situationsbedingt stark erhöhten Werkstattaufkommen mit dem damit verbundenen Platzmangel geschuldet sei. Der Vorfall wurde vom Geschäftsführer als Anlass genommen, den Betriebsablauf dahin gehend anzupassen, dass Kundenräder nunmehr lediglich mit einer Auftragsnummer statt mit Namen und Adressdaten versehen werden. Der dazugehörige Auftrag befindet sich jetzt in einem gesonderten Ordner, der nur für befugte Mitarbeitende zugänglich ist, sodass eine Offenlegung von Kundendaten gegenüber unberechtigten Dritten ausgeschlossen werden kann.

 

5.6          Löschung personalisierter E-Mail-Konten von Beschäftigten

Verfügen Beschäftigte über ein dienstliches personalisiertes E-Mail-Konto, stellt sich für den Arbeitgeber als Verantwortlichem bei deren Ausscheiden stets die Frage, wie mit dem EMail-Konto zu verfahren ist. Idealerweise wird der Umgang mit dienstlichen EMail-Konten im Vorhinein in einer Verfahrensbeschreibung geregelt. Eine einfache Lösung sind Funktionspostfächer, die bei einem Ausscheiden an den Nachfolger oder die Nachfolgerin übergeben werden. Handelt es sich um E-Mail-Adressen, die durch den Namen der beschäftigten Person gekennzeichnet sind, hat der Verantwortliche für deren unverzügliche Deaktivierung Sorge zu tragen.

In einem uns zur Kenntnis gelangten Fall hatte der Arbeitgeber den Posteingang eines personalisierten E-Mail-Kontos eines ausgeschiedenen Beschäftigten an einen anderen Beschäftigten weitergeleitet. Dadurch waren diesem auch EMails bekannt geworden, die mit privaten Inhalten an den ehemaligen Kollegen adressiert waren.

Grundsätzlich steht es dem Arbeitgeber frei, die private Nutzung eines dienstlichen E-Mail-Postfachs zuzulassen oder zu untersagen. Bei personalisierten Postfächern besteht aber stets die Möglichkeit, dass die oder der Beschäftigte E-Mails mit privaten Inhalten erhält, auch wenn das Konto von den Beschäftigten ausschließlich dienstlich genutzt wird. Solche EMails dürfen in jedem Fall nicht weiter inhaltlich zur Kenntnis genommen werden, sobald ihr privater Charakter deutlich wird. Dienstliche EMails kann sich ein Arbeitgeber zwar von den Beschäftigten vorlegen lassen, jedoch überschreitet eine automatisierte Weiterleitung in der Regel die Grenze der Erforderlichkeit für betriebliche Zwecke. Bei einem Ausscheiden einer oder eines Beschäftigten sollte daher ein personalisiertes E-Mail-Postfach umgehend mit dem Ausscheiden deaktiviert werden, damit dort keine weiteren E-Mails eingehen können.

Was ist zu tun?
Arbeitgeber sollten klare, schriftliche Vorgaben machen, wie bei einem Ausscheiden aus dem Betrieb mit dem E-Mail-Postfach und archivierten E-Mails der betroffenen Person zu verfahren ist. Ein personalisiertes Postfach ist mit dem Ausscheiden aus dem Betrieb zu deaktivieren, private EMails sind zu löschen. Den Beschäftigten ist schon vorab die Möglichkeit zu geben, private EMails zu löschen.

 

5.7          Nutzung von Daten aus der Hausverwaltung für Maklertätigkeit

Zahlreiche Immobilienunternehmen bieten neben der Hausverwaltung zum Teil selbst oder über Tochtergesellschaften Maklertätigkeiten an. Im Berichtszeitraum gab es hierzu einzelne Anfragen und Beschwerden, inwieweit solche Unternehmen auf personenbezogene Daten der Wohnungsverwaltung zugreifen dürfen, um für ihre Maklertätigkeiten zu werben.

Da die Verarbeitung der personenbezogenen Daten der Eigentümerinnen und Eigentümer lediglich für den Zweck der Wohnungsverwaltung erfolgt, würde eine solche Nutzung der Daten für Maklertätigkeiten eine Zweckänderung darstellen, die eine ausreichende rechtliche Befugnis erfordert.

Zweckbindung
Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.

Im Falle von selbstständigen Tochtergesellschaften handelt es sich um eine Datenübermittlung, die regelmäßig nicht erforderlich ist und somit ausschließlich auf Grundlage einer zuvor erteilten Einwilligung der betroffenen Person erfolgen darf.

Da auch im Falle einer Nutzung der Daten für werbliche Zwecke der Maklertätigkeit innerhalb eines Unternehmens nicht davon ausgegangen werden kann, dass eine solche Verwendung mit dem Zweck, für den die Daten ursprünglich erhoben wurden, vereinbar ist, wäre auch in diesen Fällen eine eigene rechtliche Grundlage für die werbliche Ansprache erforderlich. Hierbei ist u. a. zu beachten, dass Eigentümerinnen und Eigentümer vernünftigerweise nicht mit einer solchen Verwendung ihrer Daten aus der Wohnungsverwaltung rechnen müssen.

Im Rahmen eines von uns durchgeführten Verfahrens räumte ein Unternehmen den Zugriff auf E-Mail-Adressen von Eigentümern aus der Wohnungsverwaltung ein, um per E-Mail für seine Maklertätigkeit zu werben. Nach Mitteilung des Datenschutzbeauftragten habe es sich um eine rechtliche Fehleinschätzung der dortigen Geschäftsführung gehandelt. Das Unternehmen habe diese Fehleinschätzung nunmehr erkannt, bedaure dies und würde künftig ohne Vorliegen einer entsprechenden Einwilligung der betroffenen Personen keine weiteren Werbemaßnahmen per E-Mail mehr vornehmen. Da die entsprechenden Prozesse in Abstimmung mit dem Datenschutzbeauftragten angepasst und die Beschäftigten hierzu nochmals geschult wurden, konnte von weiteren Maßnahmen abgesehen werden.

 

5.8          Erhalt von Einladungen und Veranstaltungshinweisen nach Vereinsaustritt

Im Zusammenhang mit dem Vereinsaustritt hatte ein ehemaliges Mitglied die Löschung seiner Daten verlangt, was ihm umgehend vom Vorstand schriftlich bestätigt worden war. In der etwa einen Monat nach Erhalt der Löschbestätigung eingereichten Beschwerde beklagte die betroffene Person, dass ihre EMail-Adresse trotz der bestätigten Löschung weiterhin regelmäßig für den Versand von Einladungen und Veranstaltungshinweisen genutzt werde.

Im Rahmen des durchgeführten Verfahrens teilte der Vorstand mit, dass die personenbezogenen Daten zwar in der genutzten Mitgliedersoftware grundsätzlich gelöscht waren und daraus keine E-Mails mehr an die betroffene Person versandt wurden, es aber doch nicht ausgeschlossen werden könne, dass die betreffende EMail-Adresse noch in einzelnen Verteilern des Vereins außerhalb der Mitgliedersoftware gespeichert sei.

Nach Art. 17 Abs. 1 DSGVO haben betroffene Personen das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten gelöscht werden. Verantwortliche sind verpflichtet, die personenbezogenen Daten unverzüglich zu löschen, sofern einer der im § 17 Abs. 1 DSGVO aufgeführten Gründe zutrifft. Darüber hinaus haben betroffene Personen gemäß Art. 21 DSGVO ebenfalls das Recht, jederzeit Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten einzulegen.

Im Verfahren konnte der Vorstand anhand der Absenderadressen nachvollziehen, aus welcher Quelle die E-Mails stammten und in welchen Verteilern die E-Mail-Adresse der betroffenen Person noch gespeichert war. Nach erfolgter Löschung in diesen Verteilern erhält das ehemalige Mitglied nun keine entsprechenden Einladungen und Veranstaltungshinweise mehr.

Was ist zu tun?
Der Verantwortliche hat rechtzeitig geeignete Vorkehrungen zu treffen, um jederzeit eine zügige und vollumfängliche Erfüllung der Betroffenenrechte sicherstellen zu können. Für die Umsetzung eines Löschantrags müssen sämtliche zugehörige Daten gelöscht werden.

 

5.9          Missbräuchliche Halterabfrage zur privaten Kontaktaufnahme

Ein junger Mann kam in der Kieler Innenstadt spontan mit einer jungen Frau ins Gespräch. Diese sah er später auf einem Parkplatz wieder, als sie in ihr Auto stieg. Hierbei notierte er sich ihr Kfz-Kennzeichen. Unter dem Vorwand, zwecks Kontaktaufnahme nach einem von ihm verursachten Schaden die Wohnanschrift zu benötigen, beantragte er kurz darauf bei der Zulassungsstelle eine Halterabfrage. Die hieraus erlangten Daten nutzte er, um der Frau zwei Postkarten zu schicken, in denen er auf das vorangegangene Gespräch verwies und um ein weiteres Treffen zum näheren Kennenlernen bat. Die junge Frau war hiervon jedoch gar nicht begeistert und reichte beim ULD Beschwerde ein.

Eine Halterabfrage bei der zuständigen Zulassungsbehörde ist nur zulässig, wenn der Empfänger darlegen kann, dass er diese Daten zur Geltendmachung, Sicherung oder Vollstreckung oder zur Befriedigung oder Abwehr von Rechtsansprüchen im Zusammenhang mit der Teilnahme am Straßenverkehr oder zur Erhebung einer Privatklage wegen im Straßenverkehr begangener Verstöße benötigt. Zu anderen Zwecken, z. B. wie im vorliegenden Fall zur privaten Kontaktaufnahme, dürfen diese Daten nicht übermittelt werden.

Der junge Mann gab dem ULD gegenüber an, dass ihm dieser Umstand bewusst gewesen sei und er deshalb einen vermeintlich verursachten
Schaden als Grund für die Halterabfrage angegeben hätte. Generell zeigte er sich uneinsichtig, sagte aber zu, die erlangten Adressdaten nicht weiter zu verwenden und diese zu löschen.

Aufgrund der erfolgten unrechtmäßigen Verarbeitung personenbezogener Daten wurde hier eine Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO ausgesprochen.

 

5.10          Missbrauch von Kundendaten für private Zwecke

Mehrere Beschwerden, die beim ULD eingingen, bezogen sich auf den Missbrauch von Kundendaten für private Zwecke. So wurden die im Rahmen der beruflichen Tätigkeiten erlangten Handynummern genutzt, um die Kundinnen oder Kunden privat zu kontaktieren und um ein näheres Kennenlernen oder auch ein persönliches Treffen zu bitten.

Art. 5 Abs. 1 Buchst. f DSGVO
Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung.

Einer der Grundsätze für die Verarbeitung personenbezogener Daten sieht vor, dass diese in einer Weise verarbeitet werden, die eine angemessene Sicherheit gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung (Integrität und Vertraulichkeit). Hierzu hat der Verantwortliche geeignete technische und organisatorische Maßnahmen umzusetzen. Dies umfasst auch die Belehrung und Schulung der Mitarbeitenden hinsichtlich der datenschutzrechtlichen Bestimmungen im Umgang mit Kundendaten sowie das Aufzeigen von Konsequenzen bei Verstößen gegen diese.

In den vorliegenden Fällen hatten die Arbeitgeber ihre Beschäftigten bereits hinsichtlich der datenschutzrechtlichen Anforderungen belehrt. Gleichwohl verstießen einige Beschäftigte gegen die Vorgaben. Daraufhin wurden die Mitarbeitenden über ihr Fehlverhalten nochmals belehrt und bezüglich der Datenschutzregeln sensibilisiert, teilweise folgten personalrechtliche Konsequenzen durch die Arbeitgeber. Durch das ULD wurde eine unrechtmäßige Verarbeitung personenbezogener Daten festgestellt und gegenüber den Verantwortlichen ein Hinweis gemäß Art. 58 Abs. 1 Buchst. d DSGVO erteilt.

 

5.11          Datenpannen in der Wirtschaft

5.11.1       Nutzung von erbeuteten Daten

Auch im Jahr 2021 meldeten Unternehmen zahlreiche Verletzungen des Schutzes personenbezogener Daten ans ULD, bei denen Unbefugte Zugang zu E-Mail-Adressen sowie EMail-Inhalten erlangt hatten. Die unrechtmäßige Nutzung solcher Daten ließ in mehreren Fällen nicht lange auf sich warten: So gingen den betroffenen Personen sogenannte Phishing-E-Mails zu, in denen diese zur Eingabe ihrer Zugangsdaten oder zur Begleichung von Rechnungen auf ein Bankkonto der Absender aufgefordert wurden. Nicht immer ist eine solche Phishing-E-Mail für die Empfängerinnen und Empfänger als betrügerisch zu identifizieren, besonders dann nicht, wenn Zahlungsaufforderungen und EMails mit Kenntnis der erbeuteten E-Mail-Inhalte überzeugend gestaltet werden. Daher entstand bei mehreren betroffenen Personen ein finanzieller Schaden, da sie den Zahlungsaufforderungen nachgekommen waren.

Als ungewöhnlichen Weg, E-Mail-Adressen gewinnbringend einzusetzen, wurde in einem gemeldeten Sachverhalt die Newsletter-Funktion eines Unternehmens der Süßwarenbranche missbraucht. Hier wurden automatisiert ca. 150.000 E-Mail-Adressen zur Anmeldung für den Newsletter in das entsprechende Formular eingefügt und in dem Feld zur (freiwilligen) Namensangabe ein eigener Link eingetragen, sodass die betroffenen Personen sämtlich eine EMail mit der Grußformel „Guten Tag Herr https://(...)Perfect Place for Sex Dating Online“ erhielten. Durch Öffnen des Links erfolgte eine einschlägige werbliche Ansprache, die bei direktem Versand übliche Spamfilter wohl kaum überwunden hätte. Glücklicherweise kam es jedoch nach den vorliegenden Erkenntnissen nicht zur Infizierung mit Schadsoftware. Das Unternehmen reagierte umgehend, löschte die ihm zugeflossenen E-Mail-Adressen und ergriff technische Maßnahmen zur Vermeidung eines erneuten gleichartigen Vorfalls: So wurden eine Captcha-Abfrage für die Newsletter-Anmeldung eingerichtet und die Nutzung des Formulars mit einer zeitlichen Taktungsbeschränkung belegt.

Über umfangreichere Datensätze verfügten Betrüger in einem anderen Missbrauchsfall, bei dem diese fremde Identitäten zur Anmeldung von Accounts bei einem Lotterieanbieter nutzten und auf diese Weise den mit dem Registrierungsprozess verbundenen Schufa-Identitätscheck erfolgreich durchliefen. Die für die Begleichung der Spieleinsätze verwendeten Bankdaten stammten jeweils von anderen Drittpersonen, Institutionen oder Unternehmen, die diese im Internet veröffentlicht hatten. Da zumindest mittelfristig mit einer Entdeckung der unrechtmäßigen Abbuchungen durch die Kontoinhaber zu rechnen war, wurden für den Missbrauch Lotteriespiele mit täglicher Ziehung sowie Online-Lose gewählt. Kurz vor der Auszahlung von möglichen Gewinnen erfolgte eine Änderung der Bankverbindung, um die erzielten Beträge auf das neue Konto auszahlen zu lassen. Ein finanzieller Schaden entstand den betroffenen Personen durch einen entsprechenden Ausgleich des Lotterieanbieters in diesem Fall nicht. Die verwendeten personenbezogenen Daten wurden auch in diesem Fall aus dem Produktivsystem des Unternehmens gelöscht, jedoch gesondert für den Fall der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen verwahrt.

Die genannten Beispiele zeigen die Bedeutung der Benachrichtigung betroffener Personen über die Verletzung des Schutzes personenbezogener Daten, um sie in die Lage zu versetzen, selbst Maßnahmen zu ergreifen, um eigene Schäden aufgrund der Datenschutzverletzung zu vermindern oder auszuschließen. Eine Benachrichtigung erfolgte mehrfach auch dann, wenn von einem voraussichtlich hohen Risiko für die betroffenen Personen nicht auszugehen war, die Verantwortlichen sich jedoch im Sinne einer transparenten Information hierfür entschieden. Dies ist zu befürworten. In mehreren Fällen haben wir daher gegenüber Verantwortlichen, die ihrer Meldepflicht an uns nachgekommen waren, Empfehlungen zur Benachrichtigung der betroffenen Personen ausgesprochen, wenn eine missbräuchliche Nutzung der Daten möglich war, auch ohne dass von einem voraussichtlich hohen Risiko ausgegangen werden musste.

 

5.11.2       Datenpannen in Zusammenhang mit Beschäftigtendaten

Etwa 30 Meldungen von Verletzungen des Schutzes personenbezogener Daten im Jahr 2021 betrafen unmittelbar die Verarbeitung von Beschäftigtendaten. Wie bereits in den Vorjahren waren diese insbesondere auf fehlerhaft eingerichtete Zugriffsberechtigungen oder auf eine Ablage an einem falschen Speicherort zurückzuführen. Hinsichtlich der Speicherung von Beschäftigtendaten fehlten teilweise konkrete Vorgaben, jedoch wurden auch bestehende Vorgaben durch Mitarbeitende nicht beachtet. So war beispielsweise ein unberechtigter Zugang möglich auf Bewerbungsdaten, von denen Kopien angefertigt und im eigenen Bereich abgelegt worden waren, auf eine Liste über den Impfstatus von Beschäftigten sowie auf ganze Personalakten.

In mehreren Fällen erfolgte eine Versendung von personenbezogenen Daten von Beschäftigen an falsche Empfänger. Dies betraf sowohl die postalische Versendung als auch die Versendung per E-Mail. Hierdurch wurden sensible personenbezogene Daten aus Verdienstabrechnungen, Auflösungsverträgen und Beurteilungen der Arbeitsleistungen gegenüber externen Dritten, aber teilweise auch gegenüber unmittelbaren Kollegen offengelegt. Die Gründe für die fehlerhaften Zusendungen reichten hierbei von einer defekten Kuvertiermaschine über Versehen bei der manuellen Bearbeitung bis hin zu fehlerhaften Steuerzeilen für die Adressierung in der Software für die Erstellung der Dokumente. Letztere entstanden in einem Fall durch eine versehentliche Löschung bei einer Programmierung im Rahmen einer Anpassung, in einem anderen Fall dadurch, dass eine zuvor erfolgte Anpassung einer Standardsoftware nicht im Patch- bzw. Update-Prozess berücksichtigt und somit durch ein Update überschrieben wurde. Da die jeweils durchgeführten Tests eine Prüfung der Adressierung der Dokumente nicht vorsahen, blieben die Fehler unbemerkt.

Auch die automatische Vervollständigung von E-Mail-Adressen war für eine fehlerhafte Auswahl von Adressaten von Bedeutung. Das entsprechende Risiko wäre hier deutlich zu vermindern, indem E-Mail-Adressen, die nicht mehr für aktuelle Schriftwechsel erforderlich sind, regelmäßig aus dem Adressbuch gelöscht würden. Obwohl dies zur Einhaltung des Grundsatzes der Datenminimierung angezeigt ist, passiert es in der Praxis nach den vorliegenden Erkenntnissen wohl eher selten.

Mehrfach wurden bei dem Versand von E-Mails Dokumente weitergeleitet oder aktiv angehängt, die personenbezogene Daten enthielten, die nicht für eine Übermittlung an die Empfänger bestimmt waren: So wurde einem Vorgesetzten ein Attest über die Arbeitsunfähigkeit eines Beschäftigten zugeleitet, aus dem sich Rückschlüsse auf dessen Erkrankung ziehen ließen. Einer E-Mail eines anderen Verantwortlichen wurde ein Zwischenzeugnis angehängt, das auf diese Weise mehr als 300 Lieferanten des Unternehmens zugestellt wurde. Versteckter erfolgte der ungewollte Versand in einem anderen gemeldeten Vorfall: Hier sollte den Empfängern tatsächlich eine Berechnungstabelle zugesandt werden, allerdings enthielt die angehängte Datei auf weiteren Blättern der Tabellenkalkulation Gehaltsdaten der Beschäftigten.

Erstaunen löste ein besonderer Fehlversand aus, bei dem ein Verantwortlicher einer der Landesbeauftragten für Datenschutz zugesandten Stellungnahme zu einer Anhörung (einen Datenschutzvorfall betreffend) als Anlage die Gewährung eines Arbeitgeberzuschusses für ein Leasingfahrrad einer Beschäftigten beifügte – was mit dem ursprünglichen Datenschutzvorfall nun gar nichts zu tun hatte, aber gleich einen neuen Fall begründete.

Soweit keine ausreichenden technischen und organisatorischen Maßnahmen getroffen waren, die eine angemessene Sicherheit der personenbezogenen Daten gewährleisten, wurden gegenüber den Verantwortlichen Verwarnungen ausgesprochen. Zu berücksichtigen war hierbei, dass aufgrund der hohen Sensibilität von Beschäftigtendaten in besonderem Maße dafür Sorge zu tragen ist, dass diese rechtmäßig verarbeitet werden.

Was ist zu tun?
Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Datenminimierung); dies betrifft auch die Speicherung von E-Mail-Adressen im Adressbuch des E-Mail-Programms. Die Einhaltung des Grundsatzes der Datenminimierung stellt zugleich eine organisatorische Maßnahme dar, die das Risiko eines Fehlversands von E-Mails vermindert, da sich die Anzahl der im Rahmen der „Autovervollständigung“ vorgeschlagenen Empfänger reduziert.
Auch sonst ist in Bezug auf Beschäftigtendaten Sorgfalt vonnöten, um Datenpannen durch beispielsweise fehlerhafte Zugriffsmöglichkeiten, falsche Adressaten oder inkorrekte Beifügung von Dokumenten zu vermeiden.

 

5.12          Bußgeld wegen unbefugter Zugriffe auf Kontodaten durch Mitarbeiter einer Bank

Durch eine Beschwerde wurden wir darauf hingewiesen, dass ein Mitarbeiter einer Bank über den Zeitraum von etwa einem Jahr regelmäßig auf die Kontodaten des Beschwerdeführers zugegriffen hatte. Der Beschwerdeführer hatte dies erfahren, weil er gegenüber der Bank eine Auskunft über die zu seiner Person verarbeiteten Daten verlangt und erhalten hatte.

Die Bank konnte ausschließen, dass es einen dienstlichen Grund für die Zugriffe gegeben hatte. Zwischen dem Mitarbeiter der Bank und dem Beschwerdeführer bestand allerdings eine private Verbindung. Hierin lag offenkundig auch das Motiv des Bankmitarbeiters, sich regelmäßig über die Bewegungen auf dem Konto des Beschwerdeführers zu informieren. Somit konnte festgestellt werden, dass für die Kenntnisnahme der Kontodaten keine Rechtsgrundlage bestand und sie somit rechtswidrig war. Außerdem ließ sich aufklären, dass nicht die Bank, sondern der Mitarbeiter selbst für den unzulässigen Zugriff auf die Daten verantwortlich war.

Aufgrund des Verstoßes gegen die Datenschutz-Grundverordnung haben wir gegen den Mitarbeiter eine Geldbuße verhängt.

Was ist zu tun?
Der Zugriff auf personenbezogene Daten, die zu Geschäftszwecken oder zur Aufgabenerfüllung öffentlicher Stellen gespeichert werden oder zugänglich sind, ist zu privaten Zwecken unzulässig und stellt einen Verstoß gegen datenschutzrechtliche Vorschriften dar. Solche Verstöße kann die Aufsichtsbehörde mit einer Geldbuße ahnden. Daneben können den betroffenen Personen Schadensersatzansprüche zustehen. Unternehmen oder Behörden sind verpflichtet, ihre Datenbestände gegen solche unbefugten Zugriffe durch technische und organisatorische Maßnahmen zu schützen.

 

5.13          Videoüberwachung

5.13.1       Allgemeine Entwicklungen

Gegenüber den Vorjahren haben sich im Berichtsjahr die Beschwerden und Anfragen zur Videoüberwachung um etwa 20 Prozent erhöht.

Einen Schwerpunkt bildeten, wie in den Vorjahren, Beschwerden über Videoüberwachung in der Nachbarschaft. Weit mehr als die Hälfte der Beschwerden bezieht sich auf die Videoüberwachung durch Private auf ihren eigenen Grundstücken, an ihren Wohnungen oder an ihren Fahrzeugen. Hierüber haben wir bereits in den Vorjahren ausführlich berichtet (37. TB, Tz. 5.5.4). Im Berichtszeitraum mehrten sich Beschwerden über Videokameras in Fahrzeugen, die auch im geparkten Zustand ihre Umgebung überwachen. In manchen neueren Fahrzeugen sind solche Kameras bereits eingebaut.

Einen weiteren Schwerpunkt bildete im Berichtszeitraum die Videoüberwachung im Gesundheitswesen, insbesondere in Apotheken und in Krankenhäusern. In einem größeren Krankenhaus in Schleswig-Holstein wurde infolge einer Prüfung und anschließender Anordnung durch uns die vorher übermäßige Videoüberwachung in vielen Bereichen erheblich eingeschränkt. Dies betraf vor allem die Überwachung auf Fluren von Stationen.

Auch die Videoüberwachung in der Gastronomie hat uns durch mehrere Beschwerden im Berichtszeitraum beschäftigt. Während des pandemiebedingten Lockdowns haben wir zunächst alle Verfahren in diesem Bereich ausgesetzt und erst nach dessen Ende wieder aufgenommen. In einigen Fällen mussten wir die Überwachung während der Geschäftszeiten im Gastraum und in den Arbeitsbereichen, wie z. B. der Küche, untersagen.

In der deutlichen Mehrzahl der von uns geprüften Fälle reichten Hinweise an die Verantwortlichen auf die Rechtslage aus, um datenschutzkonforme Zustände herzustellen. Die Verantwortlichen haben die Hinweise aufgenommen, ihre Videoüberwachung daran angepasst und uns einen Nachweis darüber vorgelegt.

In einigen Fällen war es jedoch erforderlich, den Verantwortlichen durch förmlichen Verwaltungsakt anzuweisen, die Videoüberwachung einzuschränken oder sonstige Änderungen vorzunehmen. Die meisten dieser Anordnungen sind rechtskräftig und vom Verantwortlichen umgesetzt worden. In drei Fällen haben die Verantwortlichen gegen unsere Anordnung Klage erhoben. Hier sind Gerichtsverfahren anhängig. Ebenfalls noch beim Gericht anhängig ist die Untersagungsordnung gegen die Videoüberwachung in mehreren Fitnessstudios (siehe Tz. 5.13.2).

Aufgrund der stetig steigenden Nachfrage haben wir das Informationsangebot zur Videoüberwachung auf unserer Webseite ausgebaut. Verantwortliche und betroffene Personen finden Informationen zu Datenschutzfragen bei einer Videoüberwachung unter dem folgenden Link:

https://www.datenschutzzentrum.de/video/

 

5.13.2       Videoüberwachung im Fitnessstudio, ein Dauerbrenner

Bereits in früheren Tätigkeitsberichten war die Videoüberwachung in Fitnessstudios ein wiederkehrendes Thema (35. TB, Tz. 5.6.2, 36. TB, Tz. 5.6.3, 37. TB, Tz. 5.5.6, 38. TB, Tz. 5.4.1). Seinerzeit wurden in verschiedenen Fitnessstudios einer Fitnessstudiokette sowohl der jeweilige Umkleidebereich, die Trainingsflächen und die Aufenthaltsbereiche mittels Videoüberwachung gefilmt. Gegen die von uns im Jahr 2017 erlassene Untersagungsanordnung für die Überwachung der Umkleidebereiche sowie Teile der Trainingsflächen ist ein Gerichtsverfahren anhängig: Die Klage des Betreibers gegen unsere Anordnung wurde in der ersten Instanz, dem Verwaltungsgericht, abgewiesen. Die Entscheidung in der zweiten Instanz, dem Oberverwaltungsgericht, steht noch aus.

In der Zwischenzeit mehren sich die Beschwerden gegen die von der Anordnung betroffene Kette sowie gegen weitere Fitnessstudios. In einem Fall mussten wir gegenüber einem Betreiber eines Fitnessstudios die Überwachung der Trainingsfläche untersagen. Bei einer Überprüfung der Videoüberwachung hatten wir festgestellt, dass die gesamte Trainingsfläche, auf der sich überwiegend fest platzierte Kardio- oder Krafttrainingsgeräte befanden, mit zwei Kameras aus verschiedenen Blickrichtungen überwacht wurde. Darüber hinaus wurden der Tresen- und der Eingangsbereich mittels Videokameras überwacht. Zur Begründung gab der Betreiber an, dass festgestellt worden sei, dass Mitglieder auch unbefugte Personen in das Fitnessstudio mitgenommen hätten und darüber hinaus insbesondere Hanteln mehrfach gestohlen worden seien. Auch habe es Sachbeschädigungen am Inventar gegeben. Zudem sei die Eingangstür mutwillig beschädigt worden, was ebenfalls durch die Kamera aufgenommen worden sei.

Die Überwachung im Eingangsbereich sowie im Bereich des Tresens und der Hantelablage war rechtmäßig. Hierfür kann sich der Betreiber auf sein berechtigtes Interesse berufen, dem keine überwiegenden schutzwürdigen Interessen der betroffenen Mitglieder und Beschäftigten entgegenstehen. Anders war die Überwachung der Trainingsflächen zu beurteilen. Hier war bereits zweifelhaft, ob eine Überwachung der gesamten Fläche überhaupt für die angegebenen Zwecke erforderlich war. Denn zur Verhinderung und Aufklärung der Mitnahme von unbefugten Personen in das Fitnessstudio reichte eine Ausrichtung einer Videoüberwachungskamera auf den unmittelbaren Eingangsbereich aus. Zur Aufklärung von Hanteldiebstählen genügte die Videoüberwachung des Aufnahme- und Ablageorts der Hanteln. Eine darüber hinausgehende Videoüberwachung, insbesondere der Trainingsbereiche, in denen sich Mitglieder sowie Beschäftigte überwiegend aufhalten, erschien nicht als erforderlich. Auch die schutzwürdigen Interessen sowohl der Mitglieder als auch der Beschäftigten wiegen in diesem Bereich schwerer. Sie halten sich hier für einen längeren Zeitraum auf. Eine Videoüberwachung bedeutet, dass sie beim Training oder bei der Arbeit beobachtet und dauerhaft aufgezeichnet werden. In der Gesamtbetrachtung war daher aufgrund der Zweifel an der Erforderlichkeit und der Gewichtung der schutzwürdigen Interessen der betroffenen Personen die Überwachung in diesem Bereich nicht gerechtfertigt.

Besucherinnen und Besucher von Fitnessstudios haben grundsätzlich ein Interesse daran, unbeobachtet ihre Freizeit zu gestalten und sich sportlich zu betätigen bzw. sich auch nur in den Räumlichkeiten aufzuhalten und mit anderen zu treffen, ohne dass ihr Verhalten von Videokameras aufgezeichnet wird. Auch die Beschäftigten haben ein Interesse daran, dass ihr Verhalten am Arbeitsplatz während der Arbeitszeit nicht dauerhaft überwacht wird. Wer ununterbrochen bei der Arbeit gefilmt wird, muss davon ausgehen, dass jede seiner Verhaltensweisen kontrolliert und rekonstruiert werden kann. Gestik und beispielsweise Mimik bei der Arbeit oder bei der Kommunikation mit Vorgesetzten und Kollegen können mit der Videoüberwachung stets dokumentiert und gegebenenfalls zu einer Leistungsbewertung des Mitarbeiters genutzt werden. Dieses greift in einem nicht zu rechtfertigenden Maß in das schutzwürdige Interesse der Beschäftigten daran ein, dass sie ihre Tätigkeit ohne dauerhafte Überwachung ausführen können.

Zwar haben Fitnessstudiobetreiber ein berechtigtes Interesse daran, ihre Studios vor unbefugter Benutzung durch Dritte, vor Diebstahl und Sachbeschädigung zu schützen. Hierbei könnte aber eine Videoüberwachung, die rund um die Uhr betrieben wird, nur die letzte Lösung sein. Zuvor sind andere, gleich geeignete Maßnahmen in der Praxis zu prüfen. Hierzu kann auch ein verstärkter Personaleinsatz gehören, der in der Regel zuverlässiger vor Gefahren oder Schäden schützt als eine Videokamera. Sofern das Ziel nur durch Videoüberwachung erreicht werden kann, ist sie eng auf den verfolgten Zweck zu beschränken. Dies gilt zunächst räumlich für die Auswahl des zu überwachenden Bereichs. Zeitlich sind ebenfalls oft Einschränkungen möglich, sodass vielfach beispielsweise auf eine Überwachung während der Öffnungszeiten des Studios ganz verzichtet werden kann.

Auch die Dauer der Speicherung von Videoaufnahmen ist sorgfältig zu prüfen. Nach der DSGVO sind personenbezogene Daten unverzüglich zu löschen, wenn sie für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind. Die Erforderlichkeit der Speicherung selbst sowie einer bestimmten Speicherdauer ist für jeden Erfassungsbereich, d. h. für jede Videokamera, gesondert zu begründen. Hieraus kann folgen, dass für unterschiedliche Kameras unterschiedlich zulässige Speicherfristen bestehen. Die Datenschutzkonferenz und der Europäische Datenschutzausschuss haben sich darauf verständigt, dass – sofern die Voraussetzungen für eine Speicherung vorliegen – eine Speicherung personenbezogener Daten für 72 Stunden regelmäßig für erforderlich gehalten werden kann, sodass sie keiner gesonderten Begründung bedarf. Bei der Festlegung auf diese Speicherdauer hatten die Gremien auch besonderen Umständen wie Wochenenden und Feiertagen Rechnung getragen. Eine darüber hinausgehende Speicherung der personenbezogenen Daten ist damit nicht ausgeschlossen. Sie bedarf aber einer tragfähigen Begründung.

 

5.13.3       Webcam auf dem Marktplatz

Im Berichtszeitraum erreichte uns eine Beschwerde über eine Webcam, die auf den Marktplatz einer Kleinstadt in Schleswig-Holstein ausgerichtet war. Auf diesem Platz findet einmal pro Woche ein Wochenmarkt statt und auch zu den übrigen Zeiten herrscht dort reger Betrieb. Es konnte daher nicht ausgeschlossen werden, dass Personen oder Fahrzeuge von den Internetnutzenden, die die Webcam-Bilder betrachten, erkannt werden konnten. Als besonders problematisch erachteten wir eine Rückspulfunktion, die auf der Webseite enthalten war. Mit dieser ließen sich auch die aufgezeichneten Aufnahmen der letzten Stunden abrufen.

Der Verantwortliche hat auf unser Einschreiten sofort reagiert und die Webcam zunächst außer Betrieb genommen. Anschließend hat er sein Konzept für die Webcam überarbeitet und uns schließlich das Ergebnis präsentiert.

Die neu gestaltete Webcam stellt einen gelungenen Ausgleich des Interesses der Stadt, sich im Internet zu präsentieren, mit den Persönlichkeitsrechten der Besucherinnen und Besucher sowie Anwohnerinnen und Anwohner des Marktplatzes dar. Auf die Rückspulfunktion hat der Verantwortliche komplett verzichtet. Auf den Liveaufnahmen, die nun zu sehen sind, sind alle sich bewegenden Personen und Fahrzeuge stark verpixelt dargestellt, um einer Identifizierung vorzubeugen. Bestimmte Bereiche des Marktplatzes sind dauerhaft verpixelt dargestellt.

Was ist zu tun?
Das Beispiel zeigt, dass auch belebte Orte im Internet präsentiert werden können, ohne Personen erkennbar abzubilden. Dazu kann eine geeignete Festlegung des aufgenommenen Bildausschnitts gehören. Zudem bieten technische Lösungen eine Verpixelung oder Verunschärfung von Personen oder Objekten an.

 

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel