Die Datenschutzkonferenz (DSK) hat eine neue Orientierungshilfe zur Videoüberwachung durch nichtöffentliche Stellen veröffentlicht: https://www.datenschutzkonferenz-online.de/media/oh/20200903_oh_v%C3%BC_dsk.pdf

In dieser Orientierungshilfe werden die neuesten Entwicklungen sowohl rechtlich (DS-GVO, Leitlinien des EDSA zur Verarbeitung personenbezogener Daten durch Videogeräte) als auch auf technischer und gesellschaftlicher Ebene berücksichtigt.

Wir wollen hier die wichtigsten Aussagen, Informationen und Hilfsmittel beleuchten. Da die Orientierungshilfe mit 41 Seiten sehr umfangreich ist, gehen wir hier im ersten Teil insbesondere auf den Anwendungsbereich und die datenschutzrechtlichen Vorgaben beim Einsatz von Videoüberwachungsanlagen ein.

1. Anwendungsbereich

Unsicherheit herrscht häufig darüber, wann die datenschutzrechtlichen Regelungen überhaupt auf die Videoüberwachungen anzuwenden sind.

1. Haushaltausnahme

Die DSK stellt fest, dass der Betrieb eines Kamerasystems an einem Einfamilienhaus zum Zweck des Schutzes des Eigentums und der Gesundheit der Bewohner, welches auch eine Überwachung des öffentlichen Raums umfasst, niemals eine rein persönliche oder familiäre Tätigkeit sein kann und damit stets von den Regelungen des Datenschutzrechts erfasst wird. Gleiches gilt auch für Aufnahmen, die im Internet einer unbegrenzten Anzahl von Personen zugänglich gemacht werden.

• Kameraattrappen

Häufig werden auch Kameraattrappen installiert, welche gar keine Aufnahmen anfertigen. Die DSK stellt hierzu klar, dass die Regeln von DS-GVO und BDSG nicht auf diesen Sachverhalt anzuwenden sind. Das heißt auch, dass hierfür keine Hinweispflichten und andere datenschutzrechtliche Vorgaben gelten. Allerdings können die Attrappen zu einem gewissen Überwachungsdruck führen, der letztendlich in Unterlassungs- oder Schadensersatzansprüchen münden könnte.

1. Datenschutzrechtliche Maßnahmen
2. Dokumentationspflicht

Der Verantwortliche ist dazu Verpflichtet den Einsatz von Videoüberwachungsanlagen zu dokumentieren. Hierzu gehört insbesondere die Pflicht, die die Überwachungsmaßnahme im Verzeichnis für Verarbeitungstätigkeiten einzutragen. Insbesondere der Zweck der Datenverarbeitung muss dabei dokumentiert werden.

• Rechenschaftspflicht

Weiterhin muss der Verantwortliche nachweisen, dass er die Grundsätze des Art. 5 DS-GVO mit der Videoüberwachung erfüllt: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit.

Durch folgende Maßnahmen kann bzw. muss der Nachweis erfolgen:

1. Verzeichnis der Verarbeitungstätigkeiten
2. Hinweispflicht

Der Verantwortliche muss die Betroffenen transparent und umfassend über die Videoüberwachung informieren. Dies lässt sich am besten durch Hinweisschilder umsetzen. Die DSK lässt hierfür eine zweistufige Information gelten. Zunächst kann der Betroffene in einer ersten Stufe durch ein Hinweisschild auf Augenhöhe mit den wichtigsten Informationen zu Datenverarbeitung versorgt werden. Dazu gehören Name des Verantwortlichen und Zweck der Verarbeitung. In einer zweiten Stufe kann der Betroffene durch ein ausführliches Informationsblatt noch über die Betroffenenrechte und weitere Voraussetzungen des Art. 13 DS-GVO informiert werden. Dies kann über einen Aushang oder eine Auslage der Informationen erfolgen. Die DSK hat für die beiden Hinweisschilder Muster im Anhang der Orientierungshilfe zur Verfügung gestellt.

• Datenschutz-Folgenabschätzung

Wenn eine Datenverarbeitung ein hohes Risiko für die Rechte und Freiheiten der Betroffenen darstellt, muss außerdem eine Datenschutz-Folgenabschätzung durchgeführt werden. Bei der Videoüberwachung ist davon auszugehen, wenn eine systematische und umfangreiche Überwachung öffentlich zugänglicher Bereiche erfolgt oder biometrische Verfahren zur Datenverarbeitung eingesetzt werden. Die Überwachung einer großen, weiträumigen Fläche kann ein hohes Risiko für die Rechte der betroffenen Personen darstellen und in der Folge eine Pflicht zur Erstellung einer Datenschutz-Folgenabschätzung auslösen. Hier ist demnach immer im Einzelfall zu prüfen, ob diese Voraussetzungen vorliegen.

• Technische und organisatorische Maßnahmen

Weiterhin ist nachzuweisen, dass geeignete technische und organisatorische Maßnahmen getroffen wurden, um die erhobenen Daten entsprechend zu schützen. Dabei spielt der Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen eine Rolle. Umsetzbar ist dies für den Verantwortlichen u.a. durch eine geeignete Wahl des videoüberwachten Bereichs. Dieser sollte möglichst nur den zur Zweckerfüllung erforderlichen Bereich umfassen. Sollte dies nicht möglich sein, kann durch irreversible Verpixelung und irreversibles Ausblenden von nicht relevanten Bereichen, durch die Wahl der Videoauflösung und durch eine möglichst kurze Speicherdauer eine Datenminimierung erreicht werden. Technische Möglichkeiten wie Schwenken, Neigen oder Zoomen, biometrische Erkennung, Verhaltenserkennung und Audioaufnahmen sind in der Regel nicht zulässig. Bei netzwerkfähigen Videokameras ist regelmäßig die Sicherheit (Firmware-Aktualisierungen, Passwortschutz, Zugriffsrechte, Benutzerkonten, etc.) zu überprüfen, insbesondere, wenn das Gerät per W-LAN angebunden/und oder mit dem Internet verbunden ist. Sonstige nicht benötigte Funktionen sind zu deaktivieren.

1. Speicherdauer

Da häufig auch Unsicherheiten über den Zeitraum bestehen, hat die DSK auch hierüber Angaben in der Orientierungshilfe gemacht. Grundsätzlich sind die Aufnahmen unverzüglich zu löschen, wenn sie für die Erreichung des Zwecks nicht mehr notwendig sind. Das heißt, dass die Speicherdauer eng an den jeweiligen Zweck der Überwachung gebunden ist.

Findet eine Überwachung zur Abwehr von Gefahren statt, geht die DSK davon aus, dass hier regelmäßig 72 Stunden als Speicherfrist ausreichend sind, um Schäden festzustellen und das entsprechende Videomaterial zu sichern. Ausnahmen hiervon können durch Feiertage oder Urlaubszeiten durchaus begründet sein.

Im nächsten Teil gehen wir auf einige spezielle Fallkonstellationen im Rahmen der Videoüberwachung ein.