Handlungsbedarf Videoüberwachung?

Die Aufsichtsbehörde NRW hat Raststätten im Visier

Nach unseren Informationen hat der Landesbeauftragte für Datenschutz und Informationsfreiheit
Nordrhein-Westfalen (LDI NRW) derzeit die Videoüberwachung auf Raststätten im Fokus, aber das Folgende gilt für alle Firmen, die Videoüberwachung einsetzen (möchten).

Bitte bedenken Sie die doppelte Haftung im Datenschutz: Einmal als Bußgeld und vielfach Schadenersatz für jeden Betroffenen.

Voraussetzungen legaler Videoüberwachung

1. Ausführliche Dokumentation

   1. der Risikoabwägung und Interessenabwägung (DSFA)

   2. der verwendeten Geräte (Kameras, Speicher, Monitore etc.)

   3. im Verarbeitungsverzeichnis mit Rechtsgrundlage

2. i.d.R. Bestellung eines Datenschutzbeauftragten

3. Grundsätzlich

   1. kein Filmen von Mitarbeitern über längere Zeit

   2. kein Filmen in privaten Bereichen (Toilette, Umkleide, Gastbereich)

   3. kein Filmen im öffentlichen Außenbereich

   4. kein heimliches Filmen

   5. keine Speicherung länger als 72 Stunden

4. Ausreichende Beschilderung mit Datenschutzerklärung

5. Keine Verwendung von Geräten mit Mikrofon (strafbar)

6. Sofern Dienstleister eingesetzt werden, muss mit diesen ein Auftragsverarbeitungsvertrag (AVV) geprüft und abgeschlossen werden.

Ausführliche Dokumentation

Normalerweise senden wir unseren Mandanten einen ausführlichen Prüfkatalog, um die Videoüberwachung einschätzen zu können und bei der Erstellung der Interessen- und Risikoabwägung helfen zu können. Viele Mandanten bevorzugen es aber, die Details in einem gemeinsamen Gespräch anhand dieser Checkliste gemeinsam zu erarbeiten.

Zur fast immer nötigen Risikoabwägung für die Datenschutzfolgeabschätzung nach Art. 35 DSGVO gehört es insbesondere, zu dokumentieren, ob eine Versicherung eine Überwachung gefordert hat oder es Vorfälle in der Vergangenheit gab, die ein erhöhtes Risiko belegen. Zur Interessenabwägung gehört es, zu dokumentieren, wer die potentiellen Betroffenen sind, etwa Gäste, Kunden, Mitarbeiter und was man unternommen hat, um deren Interessen zu erfahren, ob man eine Umfrage durchgeführt oder einen Betriebsrat befragt hat.

Man sollte von Kameras und Aufzeichnungsgeräten die Produktdatenblätter vorhalten und von jeder Kameraperspektive eine Aufnahme. In der Regel sollten die Übertragungswege verschlüsselt sein und die Speicherung nicht in der Cloud erfolgen, weil die Technisch-Organisatorischen Maßnahmen Teil der Risikoabwägung sind.

Im Verarbeitungsverzeichnis sollte man die Rechtsgrundlage dokumentieren. Das ist in der Regel die Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO, weil Mitarbeiter meist nicht wirksam in eine Überwachung einwilligen können.

Was man nicht tun sollte

Mitarbeiter sollten weder längere Zeit während der Arbeit, noch in ihren Pausen gefilmt werden. Persönliche Bereiche, wie Toiletten oder Umkleiden sind grundsätzlich tabu. Heimliches Filmen und Filmen öffentlicher Bereiche sind tabu. Schon die Ausstattung der Geräte mit Mikrofonen ist in der Regel ein Sicherheitsrisiko, da Tonaufnahmen regelmäßig nach § 201 StGB strafbar sind.

Die deutschen Datenschutzbehörden stehen auf dem Standpunkt, dass Aufnahmen nicht länger als 72 Stunden gespeichert werden dürfen. Wenn Sie das anders sehen, müssen Sie das sehr gut juristisch begründen können.

Videoschild

Sie müssen auf jeden Fall nach Art. 13 DSGVO mit ausreichend großen Schildern auf Ihre Videoüberwachung hinweisen und jedem eine Datenschutzerklärung anbieten, bevor er in den überwachten Bereich kommt.

Die Schilder müssen so angebracht werden, dass jeder sie sehen kann, bevor er in den überwachten Bereich kommt. Gerade bei Raststätten kann ein sehr großes Schild nötig sein, wenn man es etwa sehen muss, bevor man mit dem Kfz zur Tanksäule fährt, die gefilmt wird. Bitte bedenken Sie, dass auf einer Raststätte nicht jeder seine Lesebrille dabei hat. Die Schrift sollte nicht kleiner sein, als auf Ihrer Speisekarte.

Wenn die komplette Datenschutzerklärung nicht auf das Schild soll, kann man sie mit einem QR-Code digital verlinken und parallel darauf verweisen, wo man sie vor Ort gedruckt erhalten kann.

Datenherausgabe?

Wenn Sie die Videoaufnahmen an die Polizei o.ä. geben sollen und die Polizei nicht auf sofortiger Übergabe per Zwang besteht, sollten Sie sich erst mit Ihrem Datenschutzbeauftragten beraten. Polizisten werden nicht immer gut geschult, wie sie Daten rechtmäßig anfordern. Dann ist die Herausgabe rechtswidrig. Auf jeden Fall sollten Sie die Identität des Gegenüber prüfen und sich die Herausgabe quittieren lassen. Im Idealfall haben Sie dafür einen verschlüsselten USB-Stick und ein Übergabeprotokoll bereit liegen.

Doppelte Haftung

Wenn Sie die Videoüberwachung nicht datenschutzkonform vornehmen, kann der Landesdatenschutzbeauftragte ein empfindliches Bußgeld nach Art. 83 DSGVO verhängen (bis 4 % Ihres Umsatzes).

Zusätzlich kann jeder Betroffene (etwa jeder Ihrer Mitarbeiter oder Laufkundschaft) jeweils Schadenersatz nach Art. 82 DSGVO von Ihnen fordern. Wenn zehn Mitarbeiter jeweils 5.000 € erhalten, sind das zusammen 50.000 €.

Weiterführend

Gerne helfen wir Ihnen, Ihre Dokumentation zu erstellen.

• LDI NRW: Videoüberwachung

• DSK: Kurzpapier Nr. 15. Videoüberwachung nach der Datenschutz-Grundverordnung vom 17. Dezember 2018

• DSK: Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen vom 17. Juli 2020

• EDSA: Leitlinien zur Verarbeitung personenbezogener Daten durch Videogeräte 2.0 vom 20. Januar 2020

Autor: Thomas Hofmann, Data Privacy Legal Consultant, 27.03.2024