Recht und Datenschutz

Videoüberwachung: Das Hinweisschild ist Pflicht, die Anmeldung nicht

Kurz gesagt: Eine Videokamera muss bei keiner Behörde angemeldet und von keiner Behörde genehmigt werden. Pflicht sind stattdessen vier andere Dinge, und drei davon sieht man einer Anlage von außen nicht an: das Hinweisschild nach Art. 13 DSGVO, der Eintrag ins Verzeichnis von Verarbeitungstätigkeiten, die dokumentierte Abwägung vor der Installation und ein Löschkonzept. Dieser Beitrag geht die vier einzeln durch, nennt zu jeder die Fundstelle und zeigt die drei Stellen, an denen es in einer personalarmen Anlage anders aussieht als im Lehrbuch.

Für den Betrieb einer Videokamera gibt es weder Genehmigung noch Meldung

Die Frage nach der Anmeldung wird so oft gestellt, dass die Sächsische Datenschutz- und Transparenzbeauftragte sie in ihre öffentliche Fragensammlung aufgenommen hat. Die Antwort dort besteht aus zwei Sätzen, und der zweite ist der wichtigere. Zunächst: Für den Betrieb einer Videokamera bestehen weder eine Genehmigungs- noch eine Anzeige- oder Meldepflicht. Und dann: Dies bedeutet gleichwohl nicht, dass für eine Videoüberwachung keine rechtlichen Anforderungen gelten.

Videoüberwachung durch nichtöffentliche Stellen, Fragensammlung, Abschnitt „Muss ein Verantwortlicher seine Videoüberwachung von der zuständigen Datenschutzaufsichtsbehörde genehmigen lassen?"Die Sächsische Datenschutz- und TransparenzbeauftragteFragensammlung, Abschnitt zur Genehmigung durch die Aufsichtsbehörde

Der Irrtum hat einen nachvollziehbaren Ursprung. Vor der Datenschutz-Grundverordnung waren Verarbeitungen personenbezogener Daten bei den Aufsichtsbehörden generell meldepflichtig. Erwägungsgrund 89 der Verordnung begründet, warum das wegfiel: Die Meldepflicht war mit bürokratischem und finanziellem Aufwand verbunden und hat dennoch nicht in allen Fällen zu einem besseren Schutz personenbezogener Daten geführt. An ihre Stelle sind Verfahren getreten, die sich vorrangig um die riskanten Verarbeitungen kümmern.

Für Sie als Betreiber hat das eine unangenehme Nebenwirkung. Es gibt keine Stelle, die Ihre Anlage abnimmt, und keinen Bescheid, den Sie in den Ordner heften können. Die Prüfung findet trotzdem statt. Sie findet nur später statt und von der anderen Seite: dann, wenn ein Mitglied sich beschwert und die Aufsichtsbehörde Ihre Unterlagen anfordert.

Zwei weitere Punkte kommen hinzu, aber nicht bei jeder Anlage und nicht zum selben Zeitpunkt. Sie stehen weiter unten, weil sie sonst den Blick auf die vier verstellen, die immer gelten.

Die eine Meldung, die es wirklich gibt, betrifft nicht die Kamera

Eine Mitteilung an die Aufsichtsbehörde existiert tatsächlich, und sie ist vermutlich ein Grund, warum sich das Gerücht so hartnäckig hält. Sie betrifft aber nicht die Anlage, sondern eine Person. Wer einen Datenschutzbeauftragten benennt, veröffentlicht dessen Kontaktdaten und teilt sie der Aufsichtsbehörde mit. So steht es in Art. 37 Abs. 7 DSGVO.

Ob Sie überhaupt einen benennen müssen, hängt an einer Zahl. § 38 BDSG verlangt die Benennung, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl gilt sie, wenn Sie Verarbeitungen vornehmen, die einer Datenschutz-Folgenabschätzung unterliegen. Eine personalarme Anlage mit zwei Teilzeitkräften fällt in aller Regel unter keine der beiden Varianten, ein Verbund mit eigener Verwaltung durchaus.

Haben Sie keinen benannt, bleibt die entsprechende Zeile auf dem Hinweisschild einfach leer, und das ist kein Makel, sondern die richtige Angabe. Ist einer benannt, ist sie dagegen zwingend. Die Datenschutzkonferenz schreibt genau diesen Zusatz in ihre Liste der Pflichtangaben: Kontaktdaten des betrieblichen Datenschutzbeauftragten, soweit benannt, dann aber zwingend.

Pflicht 1: Das Hinweisschild steht vor dem überwachten Bereich, nicht darin

Die Informationspflicht aus Art. 13 DSGVO wird bei einer Kamera an einem Ort erfüllt, an dem die Entscheidung noch offensteht. Der Umstand der Beobachtung sowie Name und Kontaktdaten des Verantwortlichen sind zum frühestmöglichen Zeitpunkt erkennbar zu machen. Was damit gemeint ist, sagt die Orientierungshilfe ohne Umschweife: vor dem Betreten videoüberwachter Bereiche, damit die betroffenen Personen ihr Verhalten entsprechend ausrichten können. Ein Schild, das erst im Flur hängt, kommt für diese Entscheidung zu spät.

Die Information läuft dabei in zwei Stufen. Vorn steht ein Hinweisschild auf Augenhöhe, das einen schnell wahrnehmbaren Überblick gibt. Die vollständigen Angaben kommen auf ein Informationsblatt, das an geeigneter Stelle ausliegt oder aushängt und zusätzlich auf der Website steht. Der Europäische Datenschutzausschuss nennt das die erste und die zweite Ebene und begründet die Zweiteilung schlicht damit, dass die Menge der Pflichtangaben auf ein Schild an der Tür nicht sinnvoll passt.

Was auf die erste Stufe gehört

• Umstand der Beobachtung, als Piktogramm oder Kamerasymbol
• Identität des Verantwortlichen und gegebenenfalls seines Vertreters, Name samt Kontaktdaten
• Kontaktdaten des betrieblichen Datenschutzbeauftragten, soweit benannt, dann aber zwingend
• Verarbeitungszwecke und Rechtsgrundlage in Schlagworten
• Angabe des berechtigten Interesses, soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht
• Dauer der Speicherung, in der Liste der Datenschutzkonferenz mit einem vorangestellten „gegebenenfalls"
• Hinweis auf die weiteren Pflichtinformationen und darauf, wo sie zu finden sind

Diese sieben Punkte sind die Prüfliste für Ihre eigene Tür. Gehen Sie sie einmal am vorhandenen Schild durch und zählen Sie mit. Fehlt einer, ist die erste Stufe unvollständig, und das ist der häufigste Befund überhaupt, weil die meisten Schilder aus dem Kamerakarton stammen und dort nur zwei der sieben Angaben stehen.

Ein Detail aus den Mustern der Datenschutzkonferenz wird dabei fast nie weitergegeben, obwohl es das am schnellsten prüfbare von allen ist: Das vorgelagerte Hinweisschild sollte mindestens in DIN A4 ausgedruckt werden, das vollständige Informationsblatt mindestens in DIN A3. Beide Angaben stehen als Fußnote unter den beiden Mustervorlagen, Anlage 1 und Anlage 2. Wer den handtellergroßen Aufkleber an der Scheibe hat, kann das in zehn Sekunden nachmessen.

Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen, Stand 17. Juli 2020Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz)Punkt 3.3 sowie Anlage 1 und Anlage 2, Seite 17 und Seite 40 bis 41

Wo eine Kamera überhaupt hängen darf, ist deshalb eine eigene Frage, und sie wird nicht für das ganze Studio beantwortet, sondern je Bereich. Was dazu von Aufsichtsbehörden und Gerichten vorliegt, steht im Beitrag zur Videoüberwachung im Fitnessstudio. Hier geht es um das, was zu tun ist, wenn die Kamera bleibt.

Pflicht 2: Jede Kamera gehört einzeln ins Verzeichnis von Verarbeitungstätigkeiten

Art. 30 DSGVO verlangt ein Verzeichnis aller Verarbeitungstätigkeiten. Für eine Videoüberwachung heißt das nach der Orientierungshilfe: Name und Kontaktdaten des Verantwortlichen, die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und personenbezogener Daten sowie die Kategorien von Empfängern. Jede Kamera oder, bei Vergleichbarkeit, jede Kameragruppe wird dabei einzeln aufgenommen und dokumentiert. Das Verzeichnis ist der Aufsichtsbehörde auf Antrag zur Verfügung zu stellen.

Das ist der Punkt, an dem die Papierlage über den Ausgang einer Beschwerde entscheidet. Kommt die Anfrage, haben Sie das Verzeichnis entweder oder Sie haben es nicht. Nachträglich erstellen lässt es sich zwar, glaubwürdig datieren aber nicht.

Die Ausnahme für kleine Betriebe trägt bei einer Kamera nicht

Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Mitarbeitern von dieser Pflicht aus, und genau diesen Halbsatz zitieren Betreiber gern. Er hat drei Rückausnahmen, und die mittlere trifft jede laufende Kamera: Die Befreiung gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Eine Anlage, die während der Öffnungszeit durchläuft, verarbeitet nicht gelegentlich. Die Orientierungshilfe zieht daraus den knappen Schluss, dass eine Videoüberwachung in der Regel ins Verzeichnis aufzunehmen ist.

Die gute Nachricht daran ist, dass die Arbeit überschaubar bleibt und nichts kostet. Die Datenschutzkonferenz stellt ein Muster-Verzeichnis für Verantwortliche bereit, vorformuliert und frei nutzbar. Wer eine einzelne Kamera auf die Eingangstür betreibt, füllt darin wenige Felder aus und ist an dieser Stelle fertig.

Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen, Stand 17. Juli 2020Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz)Punkt 3.1.1 und 3.2, Seite 15 bis 17

Pflicht 3: Die Abwägung findet vor der Installation statt und wird aufgeschrieben

Die dritte Pflicht ist die einzige, die wirklich Arbeit macht, und zugleich die, die im Streitfall trägt. Bevor eine Videokamera aktiviert wird, ist eindeutig zu bestimmen und festzulegen, welcher Zweck erreicht werden soll. Die Orientierungshilfe wird an dieser Stelle ungewohnt direkt: Personenbezogene Daten dürfen nicht ins Blaue oder unter Berufung auf nicht näher genannte Sicherheitsgründe verarbeitet werden. Der jeweilige Zweck ist für jede einzelne Kamera schriftlich zu dokumentieren.

Danach folgt die Erforderlichkeitsprüfung, und die verlangt einen Umweg, den fast alle auslassen. Eine Videoüberwachung ist nur erforderlich, wenn der Zweck nicht genauso gut mit einem Mittel zu erreichen ist, das weniger tief eingreift und wirtschaftlich wie organisatorisch zumutbar bleibt. Als Beispiele nennen die Behörden Umzäunung, regelmäßige Kontrollgänge, Zutrittssicherungen, Wertschließfächer, helle und durchgehende Beleuchtung sowie Sicherheitsschlösser. Und dann steht dort der Satz, um den es geht: Die Ausschöpfung beziehungsweise Prüfung alternativer Maßnahmen muss dokumentiert werden.

Warum eine Notiz darüber, was Sie nicht getan haben, überhaupt zählt, steht in Art. 5 Abs. 2 DSGVO. Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können. Diese Rechenschaftspflicht dreht die Beweisrichtung um: Nicht die Behörde muss belegen, dass Sie zu weit gegangen sind, sondern Sie müssen belegen, dass Sie es nicht sind. Ein Blatt Papier mit vier geprüften Alternativen und dem Grund, warum jede ausschied, erledigt das.

Zur Dokumentation vor dem Start gehört noch ein zweites Papier, sobald Sie die Auswertung nicht selbst übernehmen. Übernimmt ein Dienstleister diesen Teil, ist das eine Auftragsverarbeitung nach Art. 28 DSGVO, und der Vertrag dazu muss vorliegen, bevor die ersten Bilder fließen. Die Orientierungshilfe führt ihn ausdrücklich als eigene Dokumentationspflicht im Vorfeld.

Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen, Stand 17. Juli 2020Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz)Punkt 2.1, 2.2.2 Buchstabe a und 3.1.1

Pflicht 4: Das Löschkonzept ist eine Regel, keine Zahl aus dem Internet

Die vierte Pflicht wird meist auf eine Stundenzahl verkürzt, und das ist der Fehler. Verlangt ist keine Zahl, sondern eine Regel. Sind die Aufnahmen für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig, sind sie unverzüglich zu löschen. Das folgt aus Art. 17 Abs. 1 lit. a DSGVO und aus dem Grundsatz der Speicherbegrenzung in Art. 5 Abs. 1 lit. e.

Wie wenig eine gemerkte Zahl wert ist, zeigt ein Vergleich der beiden Papiere der Datenschutzkonferenz untereinander. Das Kurzpapier Nr. 15 vom 17. Dezember 2018 empfiehlt, grundsätzlich nach 48 Stunden zu löschen. Die Orientierungshilfe vom 17. Juli 2020 hält eine Speicherdauer von 72 Stunden in der Regel für zulässig. Beide stammen von denselben Behörden, beide sind Auslegung und keine Frist aus einem Gesetz.

Ein Löschkonzept beantwortet deshalb drei Fragen schriftlich: nach wie vielen Stunden gelöscht wird, wer innerhalb dieser Frist prüft, ob ein Anlass zur Sicherung vorliegt, und was mit einer gesicherten Sequenz danach geschieht. Für längere Fristen steigt der Begründungsaufwand, und mit internen Arbeitsabläufen lassen sie sich nach Auffassung der Aufsichtsbehörden in der Regel nicht begründen. Eine einmal begründete längere Frist darf außerdem nicht als Standard auf alle übrigen Kameras übertragen werden.

Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen, Stand 17. Juli 2020Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz)Punkt 4.1, Seite 22 bis 23

Die fünfte Pflicht trifft nicht jede Anlage, die sechste vergessen fast alle

Die vier oben gelten für jede Kamera. Zwei Punkte kommen dazu, und beide fehlen in nahezu jeder Übersicht, die man zu diesem Thema findet.

Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist vorab durchzuführen, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Orientierungshilfe nennt zwei Fälle, in denen davon auszugehen ist: eine systematische und umfangreiche Überwachung öffentlich zugänglicher Bereiche und der Einsatz biometrischer Verfahren. Eine einzelne Kamera auf die Eingangstür ist in aller Regel keiner der beiden Fälle. Eine Anlage mit einer Vielzahl von Kameras über eine großflächige Sportstätte kann es sein, und für Gesichtserkennung an der Tür ist die Folgenabschätzung zwingend.

Der letzte Halbsatz ist der Grund, warum die Wahl der Zutrittskontrolle im Fitnessstudio und die Kamerafrage nicht getrennt voneinander zu entscheiden sind. Ein biometrisches Verfahren an der Tür verschiebt beide Themen auf einmal.

Der sechste Punkt steht in Abschnitt 4.3 der Orientierungshilfe und ist die am häufigsten überlesene Zeile des ganzen Dokuments. Der Betreiber soll in regelmäßigen Abständen prüfen, ob die Datenverarbeitung die Rechtmäßigkeitsvoraussetzungen noch immer erfüllt, insbesondere ob die Maßnahme noch geeignet und erforderlich ist. Fällt die Prüfung negativ aus, darf die Überwachung nicht weiter betrieben werden. Und dann folgt der Halbsatz, der die Prüfung überhaupt erst nachweisbar macht: Das Ergebnis der Prüfung ist schriftlich zu dokumentieren.

Das ist eine gute Nachricht für jeden, der die vier Pflichten einmal ordentlich erledigt hat. Die Wiedervorlage kostet dann eine halbe Stunde im Jahr, weil Zweck, Abwägung und Löschregel bereits auf Papier stehen und nur noch gegengelesen werden. Ohne diese Grundlage ist dieselbe Wiedervorlage eine Neuerhebung, und deshalb unterbleibt sie.

Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen, Stand 17. Juli 2020Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz)Punkt 3.4 und 4.3, Seite 18 bis 20 und Seite 24

Drei Stellen, an denen es in einer personalarmen Anlage anders aussieht

Die sechs Punkte gelten für jeden Betrieb gleich. Wie sie sich praktisch auswirken, hängt allerdings davon ab, ob während der Öffnungszeit jemand vor Ort ist. Drei Unterschiede fallen dabei ins Gewicht.

1. Die zweite Stufe muss ohne Erklärung funktionieren. In einem besetzten Studio kann ein Mitglied an der Theke nachfragen, wo die vollständigen Informationen stehen. In einer unbesetzten Anlage kann das niemand beantworten. Das Informationsblatt gehört deshalb tatsächlich in den Eingangsbereich und nicht in einen Ordner hinter dem Tresen, und dieselben Angaben gehören zusätzlich in die Datenschutzerklärung auf Ihrer Website.
2. Das mildere Mittel ist ein anderes als im Lehrbuch. Die Erforderlichkeitsprüfung fragt, ob der Zweck auch ohne laufende Aufzeichnung erreichbar ist. Wenn Ihr eigentliches Anliegen die Zutrittsberechtigung ist und nicht der Einbruchschutz, dann stehen dafür Mittel zur Verfügung, die deutlich weniger tief eingreifen als eine Kamera auf der Fläche.
3. Fehlendes Personal erweitert die Befugnisse nicht. Ohne Aufsicht zu betreiben ist eine Organisationsentscheidung, keine Rechtsgrundlage. Die Abwägung nach Art. 6 Abs. 1 lit. f DSGVO fragt nach den Interessen der Mitglieder, und die verschieben sich nicht dadurch, dass Sie den Empfang nicht besetzen.

Der zweite Punkt ist zugleich der, an dem sich der Zweck im Verzeichnis entscheidet. Wer aufschreibt, dass es um die Prüfung der Zutrittsberechtigung geht, beschreibt einen anderen Vorgang als jemand, der Sicherheit hinschreibt. Wie dieser Vorgang praktisch aussieht und was er an mitgeschleusten Zutritten überhaupt sichtbar macht, ist eine eigene Frage. Ob eine Anlage ohne Personal überhaupt betrieben werden darf, ebenfalls: dazu gibt es einen Beitrag zum Betrieb ohne Personal.

Vier verbreitete Sätze und was in den Quellen tatsächlich steht

Beim Recherchieren zu diesem Thema stößt man auf vier Aussagen, die so oft wiederholt werden, dass sie wie geltendes Recht klingen. Keine davon hält dem Abgleich mit der Fundstelle stand.

Beim letzten Punkt lohnt der genaue Wortlaut, weil beide Hälften einzeln kursieren und keine für sich allein stimmt. Die Orientierungshilfe der Datenschutzkonferenz schreibt, dass Kamera-Attrappen keine personenbezogenen Daten verarbeiten und die Vorschriften deshalb nicht angewendet werden. Im selben Absatz steht, dass täuschend echte Kameragehäuse einen Überwachungsdruck erzeugen und wer eine Attrappe zur Verhaltenssteuerung Dritter einsetzt, mit zivilrechtlichen Abwehransprüchen rechnen muss.

Häufige Fragen zur Hinweispflicht bei Videoüberwachung

Muss ich meine Videoüberwachung bei einer Behörde anmelden?

Nein. Für den Betrieb einer Videokamera bestehen weder eine Genehmigungs- noch eine Anzeige- oder Meldepflicht. Was stattdessen gilt, sind die vier Pflichten oben, und keine davon fragt jemand ab, solange sich niemand beschwert.

Ist ein Hinweisschild bei Videoüberwachung Pflicht?

Ja. Die Pflicht folgt aus Art. 13 DSGVO und aus dem Transparenzgrundsatz in Art. 5 Abs. 1 lit. a. Sie ist mit einem Schild allein aber nicht erfüllt: Zur ersten Stufe gehört die zweite, das vollständige Informationsblatt.

Reicht ein Aufkleber mit der Aufschrift „Achtung Videoüberwachung"?

Nein. Ein solcher Aufkleber deckt von den sieben Pflichtangaben regelmäßig nur eine ab, nämlich den Umstand der Beobachtung. Es fehlen Name und Kontaktdaten des Verantwortlichen, Zweck und Rechtsgrundlage, das berechtigte Interesse und der Verweis auf die weiteren Informationen.

Wo genau muss das Schild hängen?

Vor dem überwachten Bereich und auf Augenhöhe, damit jemand die Überwachung erkennen kann, bevor er den Bereich betritt. Die Position der Kamera selbst muss dabei nicht offengelegt werden, solange kein Zweifel daran besteht, welche Bereiche erfasst werden.

Muss die Speicherdauer auf dem Schild stehen?

Die Datenschutzkonferenz führt sie in ihrer Liste mit einem vorangestellten „gegebenenfalls", stellt sie also nicht mit den übrigen Angaben gleich. Auf dem vollständigen Informationsblatt ist sie dagegen als eigenes Feld vorgesehen. Wer sie auf beiden Stufen angibt, macht nichts falsch.

Reicht das Schild für Kunden auch für meine Mitarbeiter?

Für miterfasste Beschäftigte greift zunächst dieselbe Rechtsgrundlage. Sobald Beschäftigte im Fokus stehen oder dauerhaft erfasst werden, gelten allerdings die einschränkenden Vorschriften des Art. 88 DSGVO in Verbindung mit § 26 BDSG, und dann ist die Frage nicht mehr mit einem Schild zu beantworten.

Was passiert, wenn Schild oder Verzeichnis fehlen?

Beides sind Bußgeldtatbestände, und sie liegen in verschiedenen Rahmen. Verstöße gegen die Dokumentationspflichten nach Art. 30 und Art. 35 fallen unter Art. 83 Abs. 4 DSGVO mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Mangelnde Transparenz fällt unter Art. 83 Abs. 5 mit bis zu 20 Millionen Euro oder 4 Prozent. Das sind Obergrenzen der Verordnung und keine Prognose für einen Einzelfall.

Brauche ich für eine Kamera-Attrappe ein Hinweisschild?

Datenschutzrechtlich nicht, weil eine Attrappe keine personenbezogenen Daten verarbeitet. Wer sie einsetzt, um das Verhalten anderer zu steuern, muss aber mit zivilrechtlichen Ansprüchen auf Unterlassung oder Schadensersatz rechnen. Die Attrappe ist damit rechtlich nicht der einfachere Weg, sondern nur der Weg mit dem anderen Risiko.

Was Sie an einem Nachmittag erledigen können

Die vier Pflichten sind keine Bauaufgabe. Drei davon sind Papier, und das vierte ist ein Ausdruck in DIN A4. Wenn Sie heute anfangen, gehen Sie die sieben Angaben an Ihrer Tür durch, schreiben den Zweck je Kamera in einem Satz auf, notieren die geprüften Alternativen samt Grund für die Ablehnung und halten fest, nach wie vielen Stunden gelöscht wird und wer dazwischen hinsieht. Damit liegt die Akte, die im Beschwerdefall zählt.

Und der Punkt, der über allem steht, gehört noch einmal hierher, weil er die Reihenfolge festlegt: Beschilderung ist Transparenz, keine Rechtsgrundlage. Wenn die Kamera am falschen Ort hängt, macht auch das vollständigste Schild sie nicht zulässig.