Die Videoüberwachung wird auch nach dem 25. Mai 2018 sowohl für die Aufsichtsbehörden als auch für die Betreiber entsprechender Anlagen ein Thema mit erheblicher praktischer Relevanz bleiben: Die DS-GVO selbst enthält keine spezifische Regelung zur Videoüberwachung. Somit ist nicht klar, in welchem Umfang die bisherigen datenschutzrechtlichen Bewertungen in der Praxis beibehalten werden können. Daher widmet die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK) dem Thema ihr neueste Kurzpapier.

WELCHE REGELUNGEN DER DSGVO SIND HIER RELEVANT?

Der ab dem 25. Mai 2018 ebenfalls in Kraft tretende § 4 des Bundesdatenschutzgesetzes (BDSG-neu, vgl. Art. 1 DSAnpUG-EU) enthält zwar eine Regelung zur Videoüberwachung öffentlich zugänglicher Räume. Ob und in welchem Umfang diese Regelung aufgrund des Anwendungsvorrangs der DS-GVO angewendet werden kann, bleibt einer Entscheidung im jeweiligen konkreten Einzelfall vorbehalten. Für die Prüfung der Rechtmäßigkeit der (Daten-) Verarbeitung durch nicht öffentliche Stellen ist zunächst auf die „Generalklausel“ in Art. 6 Abs. 1 S. 1 lit. f DS-GVO abzustellen. Danach ist die Verarbeitung rechtmäßig, soweit sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Mit Art. 2 Abs. 2 lit. c lässt die DS-GVO das bisherige sog. Haushaltsprivileg fortbestehen. Die Verordnung findet also keine Anwendung auf die Verarbeitung personenbezogener Daten, die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten und somit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird (Erwägungsgrund [ErwGr.] 18).
Für öffentliche Stellen kann in bestimmten Fällen Art. 6 Abs. 1 S. 1 lit. e, Abs. 3 DS-GVO in Verbindung mit einem nationalen Gesetz als Rechtsgrundlage in Betracht kommen. Soll eine Videoüberwachung auf eine Einwilligung im Sinne des Art. 7 DS-GVO gestützt werden, dürften die Voraussetzungen dieser Vorschrift allerdings nur in seltenen Einzelfällen erfüllt sein. Insbesondere ist das Betreten des gekennzeichneten Erfassungsbereichs einer Videokamera nicht als „eindeutig bestätigende Handlung“ und auch nicht als informierte Einwilligung i. S. d. Art. 4 Nr. 11 DS-GVO zu werten.Eine Verarbeitung biometrischer Daten (Art. 4 Nr. 14 DS-GVO) zur eindeutigen Identifizierung natürlicher Personen ist nach Art. 9 Abs. 1 DS-GVO grundsätzlich untersagt. Auch die bloße Eignung von Videoaufnahmen für eine biometrische Analyse ist bei der Risikoabschätzung und der Auswahl der technischen und organisatorischen Maßnahmen zu berücksichtigen. Soweit bei der Videoüberwachung biometrische Daten zum Zweck der eindeutigen Identifizierung oder Authentifizierung einer natürlichen Person verarbeitet werden (z. B. mit einer Gesichtserkennungssoftware), gelten für solche Verarbeitungen die engen Ausnahmetatbestände des Art. 9 Abs. 2 DS-GVO. Detaillierte Hinweise hierzu sind im später noch zu veröffentlichen Kurzpapier Nr. 19 „Besondere Kategorien personenbezogener Daten“ zu finden.

INHALTLICHE VORRAUSSETZUNGEN FÜE EINE VIDEOÜBERWACHUNGSANLAGE

Die nach Art. 6 Abs. 1 S. 1 lit. f DS-GVO durchzuführende Prüfung folgt im Wesentlichen den bereits aus dem BDSG bekannten Kriterien:

• Wahrung berechtigter Interessen,
• Erforderlichkeit,
• Interessenabwägung.

Hinsichtlich des Tatbestandsmerkmals des „berechtigten Interesses“ kann der bisherigen Kasuistik auch weiterhin gefolgt werden. Neu ist aus deutscher Sicht allerdings die Berücksichtigung des sog. „Drittinteresses“. Als „Dritter“ kommen gemäß Art. 4 Nr. 10 DS-GVO sowohl private als auch juristische Personen in Betracht. Zu denken wäre dabei beispielswiese an die typische Konstellation in Einkaufszentren, bei der der Vermieter die Videoüberwachung auch im Interesse seiner (Laden-)Mieter, die in einer Vielzahl der Fälle nicht selbst Betroffene sind, betreibt. Im Rahmen der Erforderlichkeitsprüfung ist nach wie vor zu fragen, ob die konkrete Videoüberwachung zur Zweckerreichung geeignet ist und ob alternative Maßnahmen, die nicht oder weniger tief in das Recht auf Schutz personenbezogener Daten eingreifen, im konkreten Einzelfall vorzuziehen sind. Bei der Interessenabwägung ergibt sich aus ErwGr. 47 eine Relativierung des bisher strikt objektiven Ansatzes, da als Maßstab nunmehr die „vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen“ sind. Damit ist zunächst auf die subjektiven Erwartungen der betroffenen Person im Einzelfall abzustellen. Neben diesen ist aber auch zu fragen, was ein objektiver Dritter vernünftigerweise erwarten kann und darf. Entscheidend wird daher auch sein, ob die Videoüberwachung in bestimmten Bereichen der Sozialsphäre typischerweise akzeptiert oder abgelehnt wird.
Insbesondere im Arbeitsverhältnis wird ein strengerer Maßstab anzulegen sein als wenn der Betroffene als Kunde, Gast oder Passant von einer Videoüberwachung erfasst wird. In der Regel nicht zu erwarten und in diesem Zusammenhang daher nicht akzeptiert ist die Videoüberwachung z. B. im Nachbarschaftskontext, sowie in Individualbereichen wie Wohnen, Sportausübung/Fitness oder ärztlichen Behandlungs- und Warteräumen. Ausnahmslos nicht akzeptiert ist die Videoüberwachung in Sanitär- und Saunabereichen. Die Prüfung wird damit deutlich vielschichtiger. Die DS-GVO verlangt eine Abwägung im konkreten Einzelfall sowohl im Hinblick auf die Interessen der Verantwortlichen bzw. Dritten als auch der Betroffenen. Ein bloßes Abstellen auf abstrakte oder auf vergleichbare Fälle ohne Betrachtung des Einzelfalls genügt den Anforderungen der DS-GVO daher nicht.

TRANSPARENZ UND HINWEISSCHILDER

Neben der Rechtmäßigkeit der Verarbeitung fordert die DS-GVO in Art. 5 Abs. 1 lit. a ferner, dass die personenbezogenen Daten in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen. Mit dieser Regelung sowie den sich aus Art. 12 ff. DS-GVO ergebenden Anforderungen, sind die Transparenzpflichten stark angestiegen. Aus den Informationspflichten nach Art. 13 Abs. 1 und 2 DS-GVO ergeben sich folgende Mindestanforderungen:

• Umstand der Beobachtung – Piktogramm, Kamerasymbol.
• Identität des für die Videoüberwachung Verantwortlichen – Name einschl. Kontaktdaten (Art. 13 Abs. 1 lit. a DS-GVO).
• Kontaktdaten des betrieblichen Datenschutzbeauftragten – soweit benannt, dann aber zwingend (Art. 13 Abs. 1 lit. b DS – GVO).
• Verarbeitungszwecke und Rechtsgrundlage in Schlagworten (Art. 13 Abs. 1 lit. c DS – GVO).
• Angabe des berechtigten Interesses – so weit die Verarbeitung auf Art. 6 Abs. 1 S. 1 lit. f DS – GVO beruht (Art. 13 Ab s. 1 lit. d DS – GVO).
• Dauer der Speicherung (Art. 13 Abs. 2 lit. a DS – GVO).
• Hinweis auf Zugang zu den weiteren Pflichtinformationen gem. Art. 13 Abs. 1 und 2 DS – GVO (wie Auskunftsrecht, Beschwerderecht, ggf. Empfänger der Daten).

Die weiteren Pflichtinformationen sind ebenfalls am Ort der Videoüberwachung an einer für die betroffene Person zugänglichen Stelle bereit bzw. zur Verfügung zu stellen, beispielsweise als vollständiges Informationsblatt (Aushang).
Konsequenz: Eine intransparente Videoüberwachung steht nicht im Einklang mit der DS-GVO (Art. 5, 13 DS-GVO). Die Aufsichtsbehörde kann gem. Art. 58 Abs. 2 lit. d DS-GVO den Verantwortlichen anwei-sen, den Mangel abzustellen oder gem. Art. 58 Abs. 2 lit. f DS-GVO die Videoüberwachung vorübergehend oder endgültig beschränken bzw. untersagen. Mangelnde Transparenz ist zudem ein Bußgeldtatbestand nach Art. 83 Abs. 5 DS-GVO.

SPEICHERDAUER/LÖSCHUNGSGEBOT

Die Daten der Videoüberwachung sind unverzüglich zu löschen, wenn sie zur Erreichung der Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 lit. a DS-GVO) oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen. Ob eine Sicherung des Materials notwendig ist, dürfte grundsätzlich innerhalb von ein bis zwei Tagen geklärt werden können. Unter Berücksichtigung von Art. 5 Abs. 1 lit. c und e DS-GVO – „Datenminimierung“ und „Speicherbegrenzung“ – sollte demnach grundsätzlich, wie bisher auch, nach 48 Stunden eine Löschung erfolgen.

SICHERE UND DATENSCHUTZFREUNDLICHE GESTALTUNG

Bei der Beschaffung, der Installation und dem Be-trieb von Videoüberwachungssystemen ist auf die sichere (Art. 32 DS-GVO) und datenschutzfreundliche (Art. 25 DS-GVO) Gestaltung zu achten. Insbesondere muss der Verantwortliche prüfen, inwieweit eine Videoüberwachung zeitlich eingeschränkt werden kann und welche Bereiche der Überwachung ausgeblendet oder verpixelt werden können. Schon bei der Beschaffung der Videotechnik ist auf „eingebauten Datenschutz“ zu achten. Nicht benötigte Funktionalität (z. B. freie Schwenkbarkeit, umfassende Überwachung per Dome-Kamera, Zoomfähigkeit, Funkübertragung, Internetveröffentlichung, Audioaufnahme) sollte von der beschafften Technik nicht unterstützt oder zumindest bei der Inbetriebnahme deaktiviert werden.

SONDERFALL – ÜBERWACHUNG IN ECHTZEIT

Die Videoüberwachung in Echtzeit (direkte Übertragung der Bilddaten auf einen Monitor ohne Speicherung der erhobenen Daten – Kamera-Monitor-Prinzip) stellt eine ganz oder teilweise automatisier-te Verarbeitung personenbezogener Daten dar und ist ebenfalls nach der DS-GVO zu beurteilen.

FORMELLE ANFORDERUNGEN

In dem nach Art. 30 Abs. 1 DS-GVO zu erstellenden Verarbeitungsverzeichnis soll die Videoüberwachung ausgewiesen und dokumentiert werden, welchem Zweck die Verarbeitung jeweils dient. Ferner ist gemäß Art. 35 DS-GVO eine Datenschutz-Folgenabschätzung durchzuführen, wenn die Videoüberwachung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dies gilt nach Art. 35 Abs. 3 lit. c DS-GVO insbesondere bei einer systematischen umfangreichen (ErwGr. 91: weiträumigen) Überwachung öffentlich zugänglicher Bereiche. Zum Inhalt der Datenschutz-Folgenabschätzung wird auf das entsprechende Kurzpapier Nr. 5 verwiesen.

EMPFEHLUNG DER DSK

Die formellen und materiellen Anforderungen für den Einsatz einer Videoüberwachung werden mit Inkrafttreten der DS-GVO im Vergleich zum BDSG nicht abgesenkt werden. Sie bleiben vielmehr hoch und nach wie vor komplex. Daher sollten sich Betreiber von Videoüberwachungsanlagen schon zum jetzigen Zeitpunkt intensiv mit der neuen Rechtslage auseinandersetzen und prüfen, ob laufende Videoüberwachungen den geänderten Anforderungen entsprechen und fortgesetzt werden können. Dies betrifft insbesondere die gestiegenen Anforderungen an die Transparenz und an die Gestaltung der Datenverarbeitung. In Zweifelsfällen hilft die Aufsichtsbehörde weiter.

 

Unsere Datenschutzkunden erhalten auf Anfrage gerne dementsprechende Vorlagen und Muster, um einen DSGVO konformen Einsatz der Videoüberwachung im Unternehmen zu gewährleisten.