Einsatz von Videoüberwachungsanlagen unter datenschutzrechtlichen Gesichtspunkten

Vertrauen ist gut, Kontrolle ist besser?
Videoüberwachung ist in Mode. Eine Vielzahl von Unternehmen setzt bei dem hauseigenen Sicherheitskonzept auf den Einsatz von mehr oder minder umfangreichen Videoüberwachungsanlagen. Der Grund hierfür ist plausibel und kann ohne Weiteres nachvollzogen werden: Während eine (erkennbare) Videoüberwachungsanlage bereits eine gewisse präventive „Abschreckung“ gewährleisten kann, können auch Straftaten oder sonstige Fehlverhalten schnell und einfach aufgedeckt werden. Aber ist dies datenschutzrechtlich unproblematisch?

Der folgende Beitrag soll einen ersten Überblick über typische datenschutzrechtliche Fallstricke bei dem Einsatz von Videoüberwachungsanlagen liefern. Dabei wird – da eine Vielzahl weiterer „Ausnahmefälle“ in Betracht kommt – zunächst der „typische“ Einsatz einer Videoüberwachungsanlage auf dem Betriebsgelände eines Unternehmens beleuchtet.

Bereits an dieser Stelle sei der Hinweis erlaubt, dass der Einsatz einer Videoüberwachungsanlage – zumindest nach unserer Erfahrung – im absoluten Fokus der Aufsichtsbehörden steht, da es hier immer wieder zu Beschwerden betroffener Personen kommt. Auch dies ist nachvollziehbar, da Videoaufzeichnungen – je nach deren Verwendung – zu sehr einschneidenden Folgen für die betroffenen Personen führen können.

Rahmenbedingungen
Unternehmen haben natürlich den nachvollziehbaren Wunsch, das eigene Betriebsgelände sowie ggf. Mitarbeiter und/oder Kunden im Wege einer Videoüberwachungsanlage zu schützen. Hierbei muss jedoch eine Vielzahl datenschutz- sowie arbeitsrechtlicher Aspekte beachtet werden.

In einem ersten Schritt sollte stets geprüft werden, zu welchen konkreten Zwecken die Videoüberwachungsanlage eingesetzt werden soll. Geht es bspw. (nur) um den Schutz des eigenen Betriebsgeländes oder sollen (zumindest auch) weitergehende Zwecke verfolgt werden? So müssen bspw. strenge arbeitsrechtliche Kriterien berücksichtigt werden, sofern Mitarbeiter – bei Vorliegen konkreter Verdachtsmomente – beim Begehen einer Straftat überführt werden sollen. Erst wenn der Anwendungsbereich der Videoüberwachungsanlage eindeutig definiert wurde, kann in eine konkrete datenschutzrechtliche Prüfung eingestiegen werden.

Grundsätzlich sollten Unternehmen – bevor eine Videoüberwachungsanlage implementiert wird – genauestens prüfen und festhalten, welcher Anlass für diese Maßnahme besteht. Kam es bspw. bereits zu Einbrüchen, Diebstählen oder sonstigen einschneidenden Fehlverhalten? Etwas „einfacher“ ist die Begründung ggf. im Falle besonders sensibler Unternehmen, welche aufgrund hochwertiger Waren oder deren Einstufung als kritische Infrastruktur häufiger als Zielobjekte für Angriffe Dritter herhalten müssen. Jedenfalls muss der Grund der Videoüberwachung bekannt sein und entsprechend dokumentiert werden.

Umfang der Videoüberwachung
Beim Thema Videoüberwachung sollte zunächst der Grundsatz „Weniger ist Mehr“ berücksichtigt werden. Nach den Anforderungen der Aufsichtsbehörden muss jede vorgesehene Videokamera einen messbaren Beitrag zu dem verfolgten Sicherheitskonzept leisten (können). Hierbei müssen also der Standort der Kameras, deren genaue Einsatzzeiten sowie die technischen Funktionalitäten der jeweiligen Kameras geprüft werden.

Während Audioaufnahmen zu deaktivieren sind, da diese bis hin zu strafrechtlichen Konsequenzen führen können, sollten auch weitergehende Funktionen, wie etwa manuelle oder automatische Zoom- und/oder Schwenkfunktionen, genauestens begründet werden. Hier sollte sich stets die Frage gestellt werden: Warum sind Kameras mit fest definierten Erfassungsbereichen nicht ausreichend, um den jeweils verfolgten Zweck zu erreichen?

Auch sollte besonders gründlich geprüft werden, aus welchen Gründen bspw. ein Live-Monitoring erfolgt. Sofern der Zweck verfolgt wird, Beweismittel für das Verfolgen von Straftaten bereithalten zu können, ist ein Live-Monitoring offensichtlich vollkommen ungeeignet. Geht es demgegenüber (bspw. im medizinischen Bereich) um die Bereitstellung einer schnellen Hilfe im Falle von Notfällen, kann diese Bewertung wieder anders ausfallen. Merken sollten Sie sich jedenfalls, dass der Einsatz eines Live-Monitorings grundsätzlich als schwererer Eingriff in das Persönlichkeitsrecht der Betroffenen angesehen wird, als die „bloße“ Aufzeichnung.

Übrigens: Nach dem Meinungsbild der Aufsichtsbehörden müssen Videoaufzeichnungen – sofern keine Besonderheiten vorliegen – grundsätzlich nach 72 Stunden (bestenfalls durch automatisiertes Überschreiben) gelöscht werden.

Um der Nachweispflicht gemäß Art. 5 Abs. 2 DS-GVO nachkommen zu können, ist es daher unerlässlich, dass ein Lageplan erstellt wird, welcher sämtliche Kameras sowie deren konkrete Erfassungsbereiche festhält. Zudem ist es aus unserer Sicht ebenfalls sinnvoll, eine zusätzliche Auflistung sämtlicher (oder zumindest ausgewählter) Kameras zu erstellen, in welcher der konkrete Zweck der jeweiligen Kameras dokumentiert wird. Um keinerlei Angriffsfläche offen zu lassen, sollte die gesamte Anlage – da voraussichtlich ohnehin eine Datenschutz-Folgenabschätzung durchzuführen ist – mit einer umfassenden Systembeschreibung versehen werden, welche sämtliche technischen und organisatorischen Aspekte aufzeigt.

Nur sofern die vorgesehene Videoüberwachungsanlage in deren Gesamtheit betrachtet wird, kann bspw. geprüft werden, ob eine (unumkehrbare) Verpixelung solcher Aufnahmen erforderlich ist, welche „über das Betriebsgelände hinaus“ angefertigt wurden.

Gebot der Transparenz
Dass eine verdeckte Videoüberwachung – sofern sie überhaupt zulässig ist – zu erheblichen datenschutzrechtlichen Risiken führen kann, sollte bekannt sein. Als ein wichtiger Bestandteil der Datenschutz-Compliance muss daher eine ordnungsgemäße Beschilderung auf dem eigenen Betriebsgelände angesehen werden. Letzteres umso mehr, da dieser Umstand letztlich jeder Person offen erkennbar ist und daher – im wahrsten Sinne des Wortes – als „Aushängeschild“ der ergriffenen Maßnahmen anzusehen ist.

Im Falle einer Videoüberwachungsanlage wird regelmäßig ein 2-stufiges Vorgehen vorgeschlagen, welches zwischen einer vorläufigen und einer umfassenden Information differenziert. Während zunächst die „Eckdaten“ des Art. 13 DS-GVO für jede betroffene Person erkennbar sein müssen, kann für weitergehende Informationen (bspw. betreffend die Ausübung von Betroffenenrechten) etwa auf einen QR-Code zurückgegriffen werden. Wichtig ist jedoch in jedem Fall, dass betroffene Personen diese Informationen in Erfahrung bringen können, bevor diese einen von der Videoüberwachung erfassten Bereich betreten. Für das Bereithalten der umfassenden Informationen schlagen wir zudem regelmäßig vor, zumindest an einem „markanten“ Ort des Betriebsgeländes eine umfassende Beschilderung vorzusehen, um bspw. auch Personen, welche über kein Smartphone verfügen, eine Information zu ermöglichen.

Vorliegen einer Rechtsgrundlage
Weiter sollten sich Unternehmen die konkrete Frage stellen, auf welche Rechtsgrundlage die Videoüberwachung gestützt werden kann. Während in vielen Fällen die Interessenabwägungsklausel des Art. 6 Abs. 1 lit. f) DS-GVO herangezogen werden kann, sollte für Mitarbeiter regelmäßig der Abschluss einer Betriebsvereinbarung im Sinne des § 26 Abs. 4 BDSG als datenschutzrechtliche Rechtsgrundlage in Erwägung gezogen werden. Dies umso mehr, da § 87 Abs. 1 Nr. 6 BetrVG ohnehin die Einbindung des Betriebsrats voraussetzt.

Eine datenschutzrechtliche Einwilligung wird in diesen Fällen – losgelöst von ohnehin bestehenden Problemen im Beschäftigtendatenschutz – regelmäßig ungeeignet sein, da der Einsatz der Videoüberwachungsanlage gerade nicht vom Einverständnis der betroffenen Personen abhängig sein soll.

Schutz der Videoaufzeichnungen
Letztlich müssen – wie auch sonst – die Anforderungen des Art. 32 DS-GVO beachtet werden, welche die verantwortliche Stelle zum Ergreifen angemessener technischer und organisatorischer Maßnahmen verpflichtet. Hierbei muss insbesondere geprüft werden, wer, wann und in welchem Umfang eine Zugriffsmöglichkeit auf die Videoaufnahmen hat. Zudem muss sichergestellt sein, dass die Videoüberwachungsanlage in einer (technisch) sicheren Umgebung vorgesehen wird, welche eine dem aktuellen Stand der Technik entsprechende Verschlüsselung der Daten sowie der jeweiligen Kommunikationswege vorsieht. Werden Sicherheitsdienstleister oder sonstige (IT-)Dienstleister eingesetzt, muss zudem geprüft werden, ob ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO abzuschließen ist. Um die ganze Sache unnötig komplizierter zu machen, können auch Fragen des Drittlandtransfers im Sinne der Art. 44 ff. DS-GVO zu berücksichtigen sein, sofern zur Speicherung der Daten eine (internationale) Cloud genutzt wird.

Sie sehen recht schnell, dass der Einsatz von Videoüberwachungsanlagen gründlich geprüft und von „Profis“ zumindest gegengecheckt werden sollte.

Praxishinweis
SKW Schwarz berät eine Vielzahl von Unternehmen bei der Planung und dem Einsatz von Videoüberwachungsanlagen. Aufbauend auf unserer Erfahrung haben wir für nahezu jede denkbare Situation ein entsprechendes Muster-Dokument vorliegen. Dies umfasst insbesondere

• Betriebsvereinbarungen und/oder Richtlinien für den Einsatz von Videoüberwachung
• Datenschutzhinweise für Beschäftigte sowie Muster für eine Beschilderung
• Muster für eine Datenschutz-Folgenabschätzung, welche gerade auf den Einsatz einer Videoüberwachungsanlage ausgerichtet sind

Wir helfen Ihnen gerne, die "Herausforderung Videoüberwachung" zu meistern.