Videoüberwachung im Betrieb: was die DSGVO erlaubt

Hinweis: Dieser Beitrag gibt einen praxisnahen Überblick und ersetzt keine Rechtsberatung. Bei Anlagen, die Beschäftigte erfassen, oder in Zweifelsfällen sollten Datenschutzbeauftragte oder Rechtsbeistand einbezogen werden.

Die Rechtsgrundlage: berechtigtes Interesse – und dessen Grenze

Videoüberwachung verarbeitet personenbezogene Daten und braucht eine Rechtsgrundlage. In Betrieben stützt man sie üblicherweise auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO: Schutz vor Diebstahl, Vandalismus oder Einbruch.

Dieses Interesse muss aber gegen die Rechte der gefilmten Personen abgewogen werden, und diese Abwägung ist zu dokumentieren. Zwei Fragen entscheiden fast immer:

• Gibt es ein milderes Mittel? Bessere Beleuchtung, ein Zaun, ein Schloss, eine Alarmanlage. Wenn ja, ist die Kamera schwer zu rechtfertigen.
• Ist der erfasste Bereich so eng wie möglich? Der Gehweg oder das Nachbargrundstück gehören grundsätzlich nicht ins Bild.

Für öffentlich zugängliche Räume gilt zusätzlich § 4 BDSG. Werden Beschäftigte erfasst, kommt § 26 BDSG ins Spiel – und die Anforderungen steigen deutlich.

Wo Kameras nie hingehören

Unabhängig vom Sicherheitsbedürfnis sind bestimmte Bereiche tabu, weil dort die Persönlichkeitsrechte praktisch immer überwiegen:

• Sanitär-, Umkleide- und Sozialräume
• Pausenräume und Bereiche, die überwiegend der Erholung dienen
• Arbeitsplätze zur reinen Leistungs- und Verhaltenskontrolle
• Fremde Grundstücke und öffentliche Verkehrsflächen

Eine dauerhafte, lückenlose Überwachung von Arbeitsplätzen gilt als besonders eingriffsintensiv und ist regelmäßig unzulässig – auch dann, wenn die Belegschaft angeblich einverstanden ist. Eine Einwilligung im Arbeitsverhältnis gilt schnell als nicht freiwillig.

Hinweispflicht: das Schild allein genügt nicht

Betroffene müssen vor Betreten des überwachten Bereichs informiert werden. In der Praxis heißt das zweistufig:

• Stufe 1: gut sichtbares Hinweisschild mit Kamerapiktogramm, Verantwortlichem, Zweck, Rechtsgrundlage, Speicherdauer und Hinweis auf die weiteren Informationen.
• Stufe 2: die vollständigen Informationen nach Art. 13 DSGVO, leicht zugänglich – etwa im Empfangsbereich, im Intranet oder auf der Website.

Dazu gehören außerdem ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten und – bei systematischer Überwachung öffentlich zugänglicher Bereiche – regelmäßig eine Datenschutz-Folgenabschätzung.

Löschfristen und Zugriff

Aufnahmen dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Als praxisüblicher Richtwert gelten etwa 72 Stunden; längere Fristen brauchen eine nachvollziehbare Begründung, etwa weil ein Schaden erfahrungsgemäß erst nach dem Wochenende auffällt. Wird eine Aufnahme zur Aufklärung eines konkreten Vorfalls benötigt, darf sie für diesen Zweck gesondert aufbewahrt werden.

Genauso wichtig ist die Frage, wer zugreifen darf. Ein Rekorder, an dem sich alle mit demselben Passwort anmelden, ist kein kontrollierter Zugriff. Sinnvoll sind benannte Benutzerkonten, dokumentierte Berechtigungen und – bei sensiblen Anlagen – ein Vier-Augen-Prinzip.

Mitbestimmung nicht vergessen

Existiert ein Betriebsrat, unterliegt die Einführung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. „Geeignet“ genügt – die Absicht zu überwachen ist nicht erforderlich. Ohne Beteiligung des Betriebsrats ist die Anlage angreifbar, unabhängig davon, wie gut sie datenschutzrechtlich begründet ist.

Die technischen Punkte, die am häufigsten fehlen

Aus unserer Praxis die Klassiker, die bei fast jeder übernommenen Anlage auftauchen:

• Port-Forwarding auf den Recorder. Damit ist das Gerät aus dem Internet erreichbar – regelmäßig mit Standardpasswort und veralteter Firmware. Fernzugriff gehört über VPN oder einen abgesicherten Herstellerdienst gelöst.
• Standardzugangsdaten ab Werk, nie geändert.
• Keine Updates. Kameras und Recorder sind vollwertige Computer und werden aktiv nach Schwachstellen gescannt.
• Kameras im selben Netz wie Büro-PCs statt in einem eigenen Segment.
• Löschfrist nicht konfiguriert – der Ringspeicher läuft, bis die Platte voll ist, und speichert faktisch monatelang.
• Blickfeld nie geprüft: Nach dem Ausrichten filmt die Kamera plötzlich den Nachbargarten mit.

Häufige Fragen

Reicht ein Hinweisschild als Information aus?

Als erste Stufe ja, aber nicht allein. Das Schild muss die Kernangaben enthalten und auf die vollständigen Informationen nach Art. 13 DSGVO verweisen, die leicht zugänglich bereitzuhalten sind.

Wie lange dürfen Aufnahmen gespeichert werden?

Nur so lange wie erforderlich. Als Richtwert haben sich rund 72 Stunden etabliert; längere Fristen müssen begründet und dokumentiert sein. Für die Aufklärung eines konkreten Vorfalls dürfen einzelne Aufnahmen darüber hinaus gesichert werden.

Dürfen wir Mitarbeiter filmen?

Nur unter engen Voraussetzungen und nie zur reinen Leistungs- und Verhaltenskontrolle. Sobald Beschäftigte betroffen sind, greifen § 26 BDSG und – falls vorhanden – die Mitbestimmung des Betriebsrats. Hier lohnt sich fachliche Prüfung vor der Installation, nicht danach.

Attrappen statt echter Kameras – einfacher?

Datenschutzrechtlich verarbeiten Attrappen keine Daten. Sie können aber trotzdem einen Überwachungsdruck erzeugen, der zivilrechtlich relevant wird – und sie schützen im Schadensfall überhaupt nicht.

Kameraanlage geplant oder übernommen und unsicher, ob alles sauber läuft?

Beschreiben Sie kurz die Ausgangslage – innerhalb von 24 Stunden erhalten Sie eine Antwort und eine erste Einschätzung. Remote oder vor Ort im Kreis Mettmann.

Weitere Beiträge