Videoüberwachung post DSGVO : Wie der rechtliche Rahmen nach dem Inkrafttreten der Datenschutzgrundverordnung aussieht

Videoüberwachung spielt in vielen Unternehmen eine wichtige Rolle zur Überwachung sensibler Bereiche. Durch moderne Systeme wird sie immer preiswerter und leichter zu administrieren, sodass die technischen Hürden für ihren Einsatz sinken. Selbst Mitarbeiter – oder auch Privatleute – können heute ohne großen Aufwand „stille Winkel“ mit einer Kamera versehen (Stichwort „Schatten-IT“).

Dabei bedeuten Videokameras einen erheblichen Eingriff in die Rechte derjenigen, die gefilmt und deren Verhalten vielleicht auch noch aufgezeichnet wird – etwa Mitarbeiter, Lieferanten, Besucher oder Kunden. Jegliche solche Überwachung, sei sie erkennbar oder versteckt, stellt einen Eingriff in das grundrechtlich geschützte Recht auf informationelle Selbstbestimmung dar.

Deswegen hat sich die Rechtsprechung auch schon relativ früh mit der Rechtmäßigkeit von Videoüberwachungsmaßnahmen beschäftigen müssen. Nach Einführung der EU-Datenschutzgrundverordnung (DSGVO) stellt sich die Frage, ob sich die Grundlagen hierfür geändert haben: Denn mit der DSGVO ist auch das (deutsche) Bundesdatenschutzgesetz (BDSG) durch das Datenschutz- Anpassungs- und -Umsetzungsgesetz EU (Art. 1 DSAnpUG-EU) komplett neu gefasst worden. Aus der vormaligen nationalen Regelung zur Videoüberwachung (§ 6b BDSG-alt) wurde der fast wortgleiche § 4 BDSG-neu (siehe www.gesetze-im-internet.de/bdsg_2018/__4.html).

Die DSGVO selbst enthält keine eigene ausdrückliche Regelung zur Videoüberwachung. Eine generelle Regelung zur Verarbeitung von Daten (und damit auch Videodaten) enthält lediglich Artikel 6 (Abs. 1 lit. f DSGVO, siehe https://dsgvo-gesetz.de/art-6-dsgvo/). Dennoch darf man aber daraus nicht den Schluss ziehen, dass § 4 BDSG die DSGVO ergänzt, weil sie die konkreteren Regelungen enthält oder dieser Paragraf der DSGVO sogar „vorgeht“.

Abweichung im öffentlichen Bereich

Die DSGVO erlaubt den Mitgliedstaaten zwar, spezifischere Regelungen in nationales Recht umzusetzen, als sie in der Verordnung zu finden sind (Art. 6 Abs. 2 und 3 DSGVO). Doch diese Öffnungsklausel gilt nur für bestimmte Fälle (Art. 6 Abs. 1 lit. c und e) – nämlich wenn die entsprechende Datenverarbeitung eine Aufgabe betrifft, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Für die Videoüberwachung durch private Unternehmen oder Privatleute kann also keine nationale Gesetzgebung die DSGVO konkretisieren.

Eine parallele Geltung von EU- (DSGVO) sowie nationalem Recht (BDSG – bzw. dessen Vorrang bei spezifischeren Regelungen) kann somit bei der Videoüberwachung nur in den genannten Fällen infrage kommen. So sieht es im Ergebnis richtigerweise auch eine aktuelle Entscheidung des Bundesverwaltungsgerichts (Urteil vom 27. März 2019 [1]). Hiernach ist § 4 BDSG nicht anwendbar auf die Videoüberwachung Privater (Privatpersonen und Unternehmen) – diese ist alleine an Art. 6 Abs. 1 lit. f DSGVO zu messen.

Allgemeine Anforderungen

Grundsätzlich sind bei der rechtlichen Bewertung einer Videoüberwachung aber auch noch andere Rechtsgrundlagen zu beachten, beispielsweise das Recht am eigenen Bild (§ 22 KunstUrhG), das Recht auf informationelle Selbstbestimmung [2], das Grundrecht der freien Persönlichkeitsentfaltung (Art. 2 Abs. 1 GG), das Strafgesetzbuch (§ 201a StGB), Bestimmungen der Landesdatenschutzgesetze sowie bei Beschäftigten zusätzlich noch das betriebliche Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG).

Videoaufnahmen sind also in vielfältiger Weise gesetzlich reglementiert. Das Strafrecht greift mit § 201a StGB allerdings nur in Ausnahmefällen ein, wenn die dort genannten besonderen Voraussetzungen erfüllt sind – vor allem, wenn eine hilflose Person aufgenommen oder durch die Bildaufnahme der höchstpersönliche Lebensbereich eines Betroffenen verletzt wird.

Selbst auf Privatgrund kann man nicht einfach Videoaufnahmen herstellen (etwa durch Überwachung der Eingangstür, eines Foyers oder Hausflurs), denn es besteht immer die Gefahr, dass ein Dritter dort berechtigterweise „eindringt“ – etwa ein Paketbote oder Besucher. Ohne Einwilligung, entweder durch konkludentes Verhalten oder sogar ausdrücklich, wären solche Videoaufnahmen bereits verboten. Und einwilligen kann man natürlich nur dann, wenn man von der Überwachung weiß. Heimliche oder nicht erkennbare Videoüberwachung ist damit bereits unzulässig.

Beispielsweise darf ein Haus-, Wohnungs-, Geschäfts- oder Büroeigentümer nur dann Videobilder erfassen, wenn er vor dem Betreten des Überwachungsbereichs ein deutliches Schild mit dem eindeutigen Hinweis auf die Videoüberwachung so anbringt, dass jeder, der diesen Bereich betritt, das Schild sehen muss, zur Kenntnis nehmen kann und dann beispielsweise durch das Betreten des Bereichs seine konkludente Einwilligung gibt.

Auf keinen Fall zulässig ist es, solche Maßnahmen beispielsweise auf angrenzende Grundstücke oder (ggf. auch öffentliche) Bereiche auszudehnen und das Geschehen dort ebenfalls zu erfassen – denn davon würden Besucher des fremden Bereiches ebenso tangiert wie dessen Besitzer, der dies selbstverständlich unterbinden darf.

Leitlinien

Diese Grundzüge sind informierten Kreisen im Prinzip seit Jahren bekannt. Doch wie sieht es in der Praxis nach der Einführung der DSGVO aus und welche Bestimmungen sind zu beachten? Hierzu hat die Europäische Union im Juli einen Entwurf für Leitlinien zur Videoüberwachung gemäß DSGVO veröffentlicht [3].

Betrachtet man diese Leitlinien, wird schnell klar, dass sich nicht mit einem Satz sagen lässt, wann eine Videoüberwachung zulässig ist oder nicht. Denn sowohl BDSG als auch DSGVO sehen verschiedene Abwägungen vor, die naturgemäß keine klaren Grenzen setzen. Zum einen muss grundsätzlich ein berechtigtes Interesse des Überwachenden vorliegen (§ 4 Abs. 1 Nr. 3 BDSG; Art. 6 Abs. 1 lit. f DSGVO; Leitlinien EU 3.1.1). Sodann muss die Videoüberwachung insofern erforderlich sein, als es keine alternativen Möglichkeiten gibt, um zum gleichen Ergebnis zu kommen (§ 4 Abs. 1 Satz 1 BDSG; Art. 6 Abs. 1 lit. f DSGVO; Leitlinien EU 3.1.2). Abschließend muss die Videoüberwachung mit dem Recht der überwachten Personen und deren schutzwürdigen Interessen abgewogen werden, denn diese haben aus ihrem Grundrecht auf informationelle Selbstbestimmung das Recht, eben nicht überwacht zu werden (§ 4 Abs. 1 BDSG; Art. 6 Abs. 1 lit. f DSGVO, Leitlinien EU 3.1.3).

Ob Videodaten aufgezeichnet werden oder nicht, spielt übrigens keine Rolle, was jüngst das Bundesverwaltungsgericht in dem genannten Urteil [1] nochmals ausgeführt hat. Dies liegt auch auf der Hand, denn alleine schon das Beobachten eines Menschen greift in seine Rechte ein – ob die erfassten Videobilder auch später noch wiedergegeben werden können, ist nicht entscheidend (siehe auch die Erwägungsgründe zu § 6b BDSG-alt [4], S. 38). Deswegen spricht auch § 4 BDSG von „Beobachtung“ und nicht von Aufzeichnung.

Berechtigtes Interesse

Es reicht für die Zulässigkeit einer Videoüberwachung nicht aus, dass beispielsweise eine Firma oder Privatperson ein generelles Interesse hat, etwa den Außenbereich ihres Grundstücks zu überwachen oder per Video aufzuzeichnen, wer wann das Haus betritt oder verlässt. Erforderlich ist vielmehr, dass konkrete Tatsachen vorliegen, die eine solche Überwachung begründen. Wenn also beispielsweise schon mehrfach eingebrochen oder eine Außenwand mit Graffitis besprüht wurde, könnte ein solches berechtigtes Interesse vorliegen (vgl. Leitlinien EU [3] 3.1.1 „Existence of legitimate interests“). Eine generelle Neugier reicht ebenso wenig aus wie das Argument, dass es in einem Ladengeschäft eben „praktisch“ sei, wenn man sieht, wann Personen es betreten.

Erforderlichkeit

Bevor man eine Überwachungsmaßnahme startet, muss man prüfen, ob es andere Möglichkeiten gibt, zum gleichen Ziel zu gelangen. Gibt es alternative Möglichkeiten, so sind diese der Videoüberwachung vorzuziehen, denn diese Überwachung greift, wie angemerkt, in Grundrechte überwachter Personen ein (vgl. EU Leitlinien [3] 3.1.2 „Necessity of processing“). Dabei ist die Frage der Verhältnismäßigkeit zu stellen, denn natürlich könnte man beispielsweise auch Wachleute abstellen, um eine Wand vor Graffiti-Sprayern zu schützen, was allerdings hinsichtlich von Kosten und tatsächlichem Aufwand in keinem Verhältnis zu einer angebrachten Videokamera stünde.

Schutzwürdige Interessen überwachter Personen abwägen

Zuletzt ist abzuwägen, ob gegebenenfalls schutzwürdige Interessen der Überwachten den berechtigten Interessen des Überwachenden überwiegen (vgl. Leitlinien EU [3] 3.1.3 „Balancing of interests“). Eine Videoüberwachung kann ja ganz unterschiedliche Lebensbereiche überwachter Personen betreffen: Dabei ist es ein Unterschied, ob man nur beim Betreten eines Gebäudes kurz aufgezeichnet wird oder als Mitarbeiter eines Unternehmens während der gesamten Arbeitszeit unter Videoüberwachung steht.

Fallbeispiele

Aktuell wird viel über Videoüberwachung in öffentlichen Schwimmbädern diskutiert. Dies könnte etwa im Rahmen der Überwachung des Schwimmbeckens selbst erfolgen, um festzustellen, ob jemand Hilfe benötigt, oder in anderen Bereichen, um eine eventuelle Gefährdung Dritter auszuschließen. Es ist leicht einzusehen, dass ersteres unproblematischer ist, als wenn Umkleidekabinen oder ein Saunabereich überwacht werden sollen. Da in diesen Fällen massiv in die Intimsphäre eingegriffen würde, ist dort eine Videoüberwachung auf jeden Fall unzulässig und unter keinen Umständen zu rechtfertigen.

Generell wird eine Videoüberwachung schwierig zu rechtfertigen sein, wenn tatsächlich noch nichts passiert ist, sondern man sie prophylaktisch installieren möchte, um beispielsweise besonders schützenswerte Firmendaten vor dem Zugriff Dritter zu bewahren. Denn: Auch wenn eine Videoüberwachung generell auf viele abschreckend wirkt, muss man bedenken, dass der physische Zugriff auf die zu schützenden Güter hierdurch ja in keiner Weise unterbunden wird – wenn die Täter etwa eine Maske tragen, wäre eine Videoüberwachung zudem relativ nutzlos, um die Tat aufzuklären. Kommt man zu dem Ergebnis, dass etwa das Anbringen von physischen Schutzmechanismen oder Alarmanlagen die geheimen Daten besser schützt, muss man im Ergebnis wohl die Zulässigkeit einer Videoüberwachung verneinen.

Nach den EU-Leitlinien ([3] Randziffer 21) kann es daher hilfreich sein, etwa Daten über Einbrüche bei den Nachbarn eines Geschäfts zu erfassen. Häufen sich Straftaten in der eigenen Straße, ließe sich eine prophylaktische Videoüberwachung eher begründen.

Anders sähe es lediglich im rein privaten Bereich aus: Denn die DSGVO macht eine Ausnahme, wenn natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten eine solche Überwachungsmaßnahme vornehmen wollen – dann findet die DSGVO überhaupt keine Anwendung (Art. 2 Abs. 2 lit. c DSGVO). Eine gleichlautende Regelung findet man in § 1 Abs. 1 BDSG. Auch hier gelten jedoch trotzdem die allgemeinen Vorschriften (auch des Strafrechts), sodass es natürlich nicht zulässig ist, etwa im Gästezimmer eine heimliche Videoüberwachung zu installieren.

Auch eine Videoüberwachung von allgemein zugänglichen Räumlichkeiten oder Bereichen wie Bahnsteigen, Zapfsäulen einer Tankstelle oder etwa der Parfümerieabteilung eines Kaufhauses ist nicht grundsätzlich zulässig, sondern muss immer einer Abwägung der Interessen unterworfen werden. Allerdings darf man dabei berücksichtigen, dass das schutzwürdige Interesse überwachter Personen an vielen solchen Orten gering ist, da heutzutage in vielen Fällen schon mit einer solchen Überwachung zu rechnen ist und in diesen Bereichen rechtfertigende Gründe vorliegen – etwa die Gefährdung von Reisenden am Bahnsteig durch einfahrende Züge, eine besonders hohe Diebstahlswahrscheinlichkeit bei Parfüm oder auch bekanntermaßen häufige Überfälle auf Tankstellen. Insofern wird man bei Abwägung aller Interessen in diesen Fällen wohl die Zulässigkeit einer Videoüberwachung annehmen dürfen.

Eigene Mitarbeiter zu beobachten oder gar aufzuzeichnen ist nur in Ausnahmefällen zulässig: Sollen sie bei der Arbeit beobachtet werden, so ist dies unzulässig. Soll ein Bereich überwacht werden, in dem nachweislich schon öfter Firmeneigentum gestohlen wurde, so ist eine Überwachung nur zulässig, wenn andere Mittel nicht wirken und die dort verkehrenden Personen über die Überwachung informiert sind (vgl. <kes> 2019#2, S. 73) – und nur, wenn auch dies nicht greift, ist unter Umständen eine heimliche Überwachung statthaft.

Informationspflichten

Bei jeder Videoüberwachung müssen überwachte Personen im rechtlich erforderlichen Maße über diese Maßnahme informiert werden (Art. 12 und 13 DSGVO, vgl. EU-Leitlinien [3] Kapitel 7 „Transparency and Information Obligations“. Während das BDSG lediglich verlangt, dass der Umstand der Überwachung unmittelbar bekannt gegeben und über die Kontaktdaten mit Namen der verantwortlichen Person informiert werden muss (§ 4 Abs. 2 BDSG), verlangt Artikel 13 DSGVO hier deutlich mehr, sodass eine Videoüberwachung gesetzlich nur dann zulässig ist, wenn man ein gut erkennbares Schild vor die überwachte Zone installiert, welches als Muster bei vielen Datenschutzbehörden unentgeltlich heruntergeladen werden kann.

Interessanterweise findet man heute solche Schilder im Alltag noch so gut wie gar nicht. Dies verwundert umso mehr, als Verantwortliche mit hohen Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens belegt werden können (Art. 83 Abs. 5 b DSGVO). Ein einfaches Schild, etwa mit dem Hinweis „Videoüberwachung“, reicht nach den Vorschriften der DSGVO bei Weitem nicht mehr aus!

Vielmehr verlangt Artikel 13 DSGVO die Angabe folgender Informationen:

• Namen und Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters
• gegebenenfalls Kontaktdaten des Datenschutzbeauftragten
• Zwecke, für welche die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage der Verarbeitung
• sofern die Verarbeitung auf Artikel 6 Abs. 1 lit. f beruht: die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden
• gegebenenfalls Empfänger oder Kategorien von Empfängern der personenbezogenen Daten
• gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der EU-Kommission oder bei bestimmten Übermittlungen einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist oder wo diese verfügbar sind (Übermittlungen gem. Art. 46, 47 oder 49 Abs. 1 Unterabsatz 2).

Darüber hinaus müssen Betroffene auch über Folgendes informiert werden:

• die Dauer, für die personenbezogene Daten gespeichert werden oder, falls eine konkrete Angabe nicht möglich ist, die Kriterien für die Festlegung dieser Dauer
• das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit
• wenn die Verarbeitung auf einer Einwilligung (Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a DSGVO) beruht: das Bestehen eines Rechts, diese Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde

Speicherdauer

Auch wenn die Verantwortlichen nach diesen Regelungen über die Speicherdauer von Videodaten informieren müssen, heißt dies nicht, dass sie diese Dauer beliebig festlegen dürften – sie ist letztlich nach den bereits genannten Kriterien abzuwägen. Dient die Überwachung etwa dem Schutz vor Einbruch, so sind diese Daten bereits überflüssig, wenn man feststellen kann, dass kein Einbruch stattgefunden hat. Das bedeutet, dass ein Unternehmen solche Daten am nächsten Tag bereits löschen müsste.

Dient eine Videoaufzeichnung jedoch beispielsweise dazu, berechtigterweise auch im Nachhinein noch bestimmte Aspekte überprüfen zu können, so ist auch eine längere Speicherung zulässig – dabei kommt es auf die Begründung des Einzelfalls an. Auf jeden Fall ist es unzulässig, Daten ohne jegliche Abwägung beispielsweise nach dem „First-in-first-out“-Prinzip auf einer Festplatte zu speichern.

Literatur

[1] Bundesverwaltungsgericht, Urteil vom 27. März 2019 (Az. 6 C 2.18), www.bverwg.de/270319U6C2.18.0

[2] Bundesverfassungsgericht (BVerfG), Urteil vom 15. Dezember 1983 (Az. 1 BvR 209/83), www.bverfg.de/e/rs19831215_1bvr020983.html

[3] European Data Protection Board (EDPB), Guidelines 3/2019 on processing of personal data through video devices, „Version for public consultation“, Juli 2019, https://edpb.europa.eu/our-work-tools/public-consultations/2019/guidelines-32019-processing-personal-datathrough-video_en

[4] Deutscher Bundestag, Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze, BT-Drs. 14/4329, Oktober 2000, http://dip21. bundestag.de/dip21/btd/14/043/1404329.pdf  widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde