FÜR BETREIBER

Downloadcenter CheckIn-Kontrolle

Aushänge, Textbausteine und die Datentransfer-Folgenabschätzung zum Mitnehmen.

Informiere die Kunden

Informiere deine Kunden über die CheckIn-Kontrolle. Am Einfachsten geht das bei Facebook. Gehe auf die Seite:

https://www.facebook.com/fitplus.rotenburg.fulda/about_contact_and_basic_info

Statt fitplus.rotenburg.fulda trage deinen Seitennamen ein. Klicke dann auf Infos zum Datenschutz und Rechtlichem. Füge im Punkt Impressum folgendes ein:

Download Aushänge

Lade dir hier zur Erneuerung oder Ersteinrichtung die DSGVO-konformen Videoüberwachung Warnschilder herunter:

Datentransfer-Folgenabschätzung (Transfer Impact Assessment, TIA)

1. Beteiligte Parteien

Datenverantwortlicher: Der jeweilige Betreiber des Fitnessstudios in Deutschland. Er entscheidet über Zweck und Mittel der Videoüberwachung im Eingangsbereich.

Datenverarbeiter und Datenexporteur: Bories Fitness GmbH (Marke: Securityview-Global), Sitz: Deutschland. Die Bories Fitness GmbH führt im Auftrag des Verantwortlichen die technische Umsetzung der Videoüberwachung sowie den Datentransfer an ein Videoprüfbüro in Pakistan durch.

Datenimporteur: Externes Videoprüfbüro in Pakistan, Sitz: Karachi, Pakistan.

Zweck: Sichtung und Bewertung der Videoaufnahmen aus dem Eingangsbereich, um unberechtigte Zutritte („CheckIn-Verstöße") zu identifizieren.

2. Beschreibung der Datenübermittlung

• Art der Daten: Videodaten (Eingangsbereich) und Check-In-Zeit (Datum und Uhrzeit)
• Personenbezug: Möglich, sofern Gesichter oder Körpermerkmale erkennbar sind
• Verarbeitung: Sichtung und Bewertung der Videodateien durch Watcher in Pakistan
• Übermittlungsweg: Online-Fernzugriff über passwortgeschützte, verschlüsselte Verbindung (TLS 1.3)
• Speicherung: Temporäre Speicherung in Pakistan technisch möglich; Löschung nach Bearbeitung
• Rechtsinstrument: EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO zwischen Bories Fitness GmbH (Datenexporteur) und dem Videoprüfbüro (Datenimporteur)

3. Rechtsgrundlage der Übermittlung

• Art. 6 Abs. 1 lit. f DSGVO, Berechtigtes Interesse: Wahrnehmung des Hausrechts, Sicherung des Zutritts, Prävention von Vertragsverstößen.
• Art. 46 Abs. 2 lit. c DSGVO, Standardvertragsklauseln für den internationalen Datentransfer.
• Die Verarbeitung erfolgt im Auftrag der Verantwortlichen gemäß Art. 28 DSGVO.
• Der Datentransfer dient ausschließlich der Zweckerfüllung der beauftragten Dienstleistung.

4. Bewertung des Drittlandes (Pakistan)

• Kein umfassendes Datenschutzgesetz; PECA 2016 ist die zentrale Regelung.
• Staatliche Zugriffe auf gespeicherte Daten sind möglich.
• Keine unabhängige Datenschutzaufsicht.
• Kein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO.

5. Zusatzmaßnahmen zur Risikominderung

Technische Maßnahmen:

• Verschlüsselung sämtlicher Verbindungen (TLS 1.3)
• Trennung von Videodaten und Check-In-Zeiten
• Keine Übermittlung von Namen, E-Mails oder Mitgliedsnummern
• Zugriffsbeschränkung auf autorisierte Personen

Organisatorische Maßnahmen:

• Vertraulichkeitsverpflichtung der Watcher
• Zugriff ausschließlich nach dem Need-to-know-Prinzip
• Protokollierung sämtlicher Bearbeitungen
• Schulungen zu Datenschutz und Geheimhaltung

Vertragliche Maßnahmen:

• Abschluss von EU-Standardvertragsklauseln
• Verpflichtung zur unverzüglichen Löschung nach Abschluss der Bearbeitung
• Informationspflicht des Importeurs bei Behördenanfragen oder Datenpannen

6. Ergänzende Bewertung: Sensibilität und Relevanz der Daten

Die übermittelten Daten besitzen eine sehr geringe Aussagekraft:

• Begrenzter Inhalt: Aufnahmen zeigen ausschließlich den Eingangsbereich, neutrale Bewegungsszenen ohne intime oder sensible Kontexte.
• Fehlende Zuordenbarkeit: In Pakistan liegt kein Zugang zu Mitgliederdaten oder Identifikatoren vor; die Daten sind ohne Kontext faktisch anonym.
• Kein Nutzwert für Dritte: Weder staatliche Stellen noch private Akteure könnten aus diesen Daten verwertbare Informationen gewinnen.
• Kurzlebigkeit: Die Videosegmente werden nach Sichtung gelöscht; keine Aggregation oder dauerhafte Speicherung.

Bewertung: Das Risiko einer missbräuchlichen Nutzung ist praktisch ausgeschlossen, da die Daten inhaltlich unbedeutend und ohne Identifizierbarkeit sind.

7. Risikoabschätzung

Im Rahmen der Datentransfer-Folgenabschätzung wurde das Gesamtrisiko der Übermittlung als sehr gering bewertet. Ein staatlicher Zugriff auf die übertragenen Daten ist zwar theoretisch möglich, hätte jedoch keinerlei praktischen Nutzen, da die Informationen keinen Personenbezug oder relevanten Inhalt aufweisen. Ein technischer Zugriff durch Dritte wird aufgrund der eingesetzten Verschlüsselung als äußerst unwahrscheinlich eingeschätzt. Der Zugriff durch Mitarbeiter des Videoprüfbüros in Pakistan ist auf einen kleinen, vertraglich gebundenen Personenkreis beschränkt und wird protokolliert. Eine unrechtmäßige Weitergabe der Daten ist durch die Standardvertragsklauseln ausdrücklich untersagt. Insgesamt besteht somit kein realistisches Risiko für die Rechte und Freiheiten betroffener Personen. Das verbleibende Restrisiko ist niedrig und wird durch die getroffenen technischen und organisatorischen Maßnahmen umfassend kontrolliert.

8. Ergebnis und Fazit

• Die Check-In-Zeiten sind für sich genommen nicht personenbezogen.
• Die Videoaufnahmen sind inhaltlich geringfügig, technisch gesichert und rechtlich abgesichert.
• Das Gesamtrisiko der Drittlandübermittlung wird als niedrig bewertet.
• Die Maßnahme ist im Rahmen der DSGVO vertretbar und dokumentiert die Einhaltung des Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht).

9. Überprüfung und Aktualisierung

Die regelmäßige Überprüfung dieser Datentransfer-Folgenabschätzung obliegt dem Verantwortlichen (dem jeweiligen Fitnessstudiobetreiber). Der Datenverarbeiter und Datenexporteur (Bories Fitness GmbH / Securityview-Global) kann auf Wunsch mit der Durchführung oder Dokumentation der Überprüfung beauftragt werden, handelt dabei jedoch ausschließlich im Auftrag des Verantwortlichen und übernimmt keine eigene Verantwortlichkeit im Sinne von Art. 4 Nr. 7 DSGVO.

Eine Neubewertung ist erforderlich bei:

• Änderungen der Rechtslage in Pakistan,
• Anpassung des Datenumfangs oder der technischen Infrastruktur,
• Wechsel oder Erweiterung der Drittempfänger.

10. Dynamische Risikominderung durch Verblurrfolie

Die CheckIn-Kontrolle verfügt über eine zweistufige Sicherheitsarchitektur:

• Normale Betriebsstufe: Verarbeitung unverblurrter Aufnahmen im Rahmen der DSGVO, gesichert durch SCC und TOMs.
• Optionale Sicherheitsstufe (Fallback-Ebene): Sollte sich die Risikobewertung ändern oder ein Datenschutzvorfall eintreten, kann innerhalb weniger Stunden eine Verblurrfolie auf die Kameralinse aufgebracht werden. Dadurch werden alle Aufnahmen irreversibel anonymisiert, der Personenbezug entfällt vollständig.
• Rechtliche Wirkung: Die Verblurrfolie ermöglicht eine sofortige Anpassung an neue rechtliche oder faktische Umstände und stellt ein Beispiel für Privacy by Design gemäß Art. 25 DSGVO dar.

11. Schlussfolgerung

Die Übermittlung der Check-In-Zeiten und Videodateien nach Pakistan ist unter den beschriebenen Bedingungen vertretbar. Durch die Kombination aus vertraglichen, technischen und organisatorischen Maßnahmen sowie der jederzeit aktivierbaren Verblurrung ist das Schutzniveau angemessen und das verbleibende Risiko minimal.

Stand: 26. August 2026