Videoüberwachung ist immer wieder ein heikles Thema, unabhängig davon, ob man von der alten oder neuen Rechtsprechung ausgeht. Bereits im Mai 2017 hatten wir über die Videoüberwachung berichtet. Hier hatten wir aufgeklärt, wann eine Videoüberwachung vorliegt, wie man zwischen öffentlich und nicht öffentlich zugänglichen Raum unterscheidet und was Sie beim Einsatz einer Videoüberwachung im Unternehmen beachten müssen.

Anfang 2018 hat die Datenschutzkonferenz ein Whitepaper zur Handhabung von Videoüberwachungen in Hinblick auf die EU-Datenschutzgrundverordnung (DSGVO), die am 25. Mai in Kraft getreten ist, veröffentlicht. Dieses dient als Orientierungshilfe, insbesondere für nicht öffentliche Stellen.
Die Videoüberwachung selbst ist nicht in der DSGVO geregelt, sondern findet nur Berücksichtigung im § 4 BDSG (neu) im Bereich öffentlich zugänglicher Räume. Die Verordnung selbst findet keine Anwendung auf die Verarbeitung personenbezogener Daten im Privatbereich (das sogenannte Haushaltsprivileg stützt sich lt. Datenschutzkonferenz auf Art. 2 Abs. 2. Lit. c DSGVO)

Wann ist eine Videoüberwachung rechtmäßig?

Um die Rechtmäßigkeit der Verarbeitung durch nicht öffentliche Stellen prüfen zu können, sollte man einen Blick in Art. 6 Abs. 1 S.1 lit. f DSGVO werfen. Dieser besagt, dass eine Verarbeitung rechtmäßig ist, wenn

• sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist
  
  sofern nicht
  
  
• die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Bei öffentlichen Stellen, kann mit einem nationalen Gesetz ggfs. der Art. 6 Abs.1 S. 1 lit. e, Abs. 3 DSGVO zum Tragen kommen.
Dass sich eine Videoüberwachung auf eine Einwilligung im Sinne des Art. 7 DSGVO stützt, ist unwahrscheinlich und in den seltensten Fällen umsetzbar.

Ebenfalls wird erwähnt, dass die Verarbeitung biometrischer Daten zur Identifizierung natürlicher Personen grundsätzlich untersagt ist und nur mit Ausnahmen umgesetzt werden kann.

Welche Voraussetzungen müssen bei einer Videoüberwachung gegeben sein?

Die EU-Datenschutzgrundverordnung legt ähnliche Grundvoraussetzungen fest (Art. 6 Abs. 1 S. 1 lit. f DSGVO) wie sie bereits im Bundesdatenschutzgesetz (BDSG (alt)) zu finden waren:

• Wahrung berechtigter Interessen
• Erforderlichkeit
• Interessenabwägung

Neu zu berücksichtigen ist das sog. „Drittinteresse“, welches in Art. 4 Nr. 10 DSGVO definiert ist.

Videoüberwachung und Transparenz

Die DSGVO legt den Schwerpunkt auf die Betroffenenrechte, die sich in vielen Punkten auf die Informationspflichten bündeln. Bis heute ist vielerorts die Beschilderung noch nicht mal nach den alten Standards des BDSG (alt) korrekt dargestellt und ließe ich beanstanden. Nach den neuen Regelungen der EU-Datenschutzgrundverordnung müssen wesentlich mehr Punkte beachtet werden, um den Informationspflichten nachzukommen. Gemäß Art. 13 Abs. 1 und 2 DSGVO und lt. Orientierungshilfe der Datenschutzkonferenz sollten nachfolgende Mindestangaben vorgenommen werden:

• Umstand der Beobachtung - Kamerasymbol (Bild), Piktogramm
• Identität des für die Videoüberwachung Verantwortlichen - Name einschl. Kontaktdaten (Art. 13 Abs. 1 lit. a DSGVO)
• Kontaktdaten des betrieblichen Datenschutzbeauftragten - soweit benannt, dann aber zwingend (Art. 13 Abs. 1 lit. b DSGVO
• Verarbeitungszwecke und Rechtsgrundlage in Schlagworten (Art. 13 Abs. 1 lit. c DSGVO)
• Angabe des berechtigten Interesses - soweit die Verarbeitung auf Art. 6 Abs. 1 S. 1 lit. f DSGVO beruht (Art. 13 Abs. 1 lit. d DSGVO)
• Dauer der Speicherung (Art. 13 Abs. 2 lit. a DSGVO)
• Hinweis auf Zugang zu den weiteren Pflichtinformationen gem. Art. 13 Abs. 1 und 2 DSGVO (wie Auskunftsrecht, Beschwerderecht, ggf. Empfänger der Daten)

Entscheidend ist, dass die weiteren Pflichtinformationen am Ort der Überwachung für die betroffene Person gut ersichtlich bereitgestellt werden. Zum Beispiel in Form eines Informationsblattes.

Liegt keine korrekte, transparente Darstellung der Videoüberwachung vor, ist diese nicht Datenschutzkonform. Die Behörde kann den Verantwortlichen anweisen, den Mangel abzustellen oder die Kameras vorläufig abzustellen bis der Mangel behoben ist oder die Nutzung gänzlich untersagen. Auch ist die Nichterfüllung der Informationspflicht und mangelnde Transparenz ein Busgeldtatbestand nach Art. 83 Abs. 5 DSGVO.

Wie lange darf ich die Daten der Videoüberwachung speichern?

Grundsätzlich gilt: ist der Zweck erreicht, zu dem die Daten erhoben wurden, sind diese unverzüglich zu löschen. Die Datenschutzkonferenz empfiehlt aufgrund der Aspekte der Datenminimierung und der Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e DSGVO), dass die Daten, wie bisher auch, nach 48 Stunden gelöscht werden sollen. Eine längere Speicherung sollten Sie mit Ihrem zuständigen Datenschutzbeauftragten klären.

Datenschutzfreundliche Technik

Bereits bei der Beschaffung der Videotechnik, sollte darauf geachtet werden, dass die Möglichkeiten der Videoüberwachung beschränkt sind bzw. sich beschränken lassen (privacy by default und privacy by design). So sollte darauf geachtet werden, dass nachfolgende Punkte nicht möglich oder abstellbar sind:

• die Überwachung zeitlich eingeschränkt werden kann
• gewisse Bereiche ausgeblendet oder verpixelt werden können
• freie Schwenkbarkeit
• umfassende Überwachung per Dome-Kamera
• Zoom-Fähigkeit
• Funkübertragung
• Internetveröffentlichung
• Audioaufnahme

Alle aufgelisteten Punkte sollten seitens der Technik nicht unterstützt bzw. bei Inbetriebnahme deaktiviert werden können.

Eine Videoüberwachung in Echtzeit, auch ohne Speicherung der Daten, ist lt. Datenschutzkonferenz ebenfalls nach DSGVO zu beurteilen. Denn sie stellt eine ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten dar.

Was ist zusätzlich zu beachten?

Die Videoüberwachung stellt eine Verarbeitung von personenbezogenen Daten dar, weshalb diese in einem Verzeichnis der Verarbeitungstätigkeit dokumentiert werden muss.

Zudem muss, sofern die Überwachung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, eine Datenschutzfolgenabschätzung durchgeführt werden. Dies ist vor allem dann der Fall, wenn die Videoüberwachung bei einer systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche zum Einsatz kommt.

Zusammenfassend muss man folgendes beachten:

• Verzeichnis der Verarbeitungstätigkeit für die Videoüberwachung erstellen
• Risikoanalyse durchführen
• ggfs. Datenschutzfolgenabschätzung durchführen

Fazit

Die EU-Datenschutzgrundverordnung hält die Anforderungen an die Videoüberwachung genauso hoch wie das bisherige Bundesdatenschutzgesetz (alt) und jede Überwachung sollte im Einzelfall geprüft werden.
Vor allem im Bereich des Transparenzgebots und der Informationspflichten gegenüber den Betroffen müssen die Verantwortlichen ihren Pflichten nachkommen und diese entsprechend aktualisieren. Wie bisher auch ist das Führen des Verzeichnisses der Verarbeitungstätigkeit und die jetzige Risikoanalyse zwingend erforderlich. Denn auf letztere folgt unter Umständen eine notwendige Datenschutzfolgenabschätzung.
Wir haben Ihnen eine mögliche Darstellung für ein Hinweisschild als Beispiel hier verlinkt.

Falls Sie das gesamte Whitepaper der Datenschutzkonferenz zum Thema Videoüberwachung lesen möchten, finden Sie dieses über den Hamburger Beauftragten für Datenschutz oder unter diesem Link.

Als externe Datenschutzbeauftragte unterstützen wir unsere Kunden in allen Bereichen des Datenschutzes. Sowohl bei allgemeinen Themen wie private E-Mail-Nutzung, Sensibilisierung der Mitarbeiter durch Schulung, Erstellung der Verzeichnisse der Verarbeitungstätigkeiten, Prüfung von Verträgen zur Auftragsverarbeitung und vieles mehr. Die dacuro UG ist nicht nur im Rhein-Neckar-Kreis für ihre Kunden unterwegs. Wir unterstützen unsere Kunden auch in Karlsruhe, Stuttgart, Neustadt an der Weinstraße, Solingen oder gar in Nord- und Ostdeutschland. Sollten Sie Fragen haben, können Sie sich gerne an uns wenden.