Videoüberwachung im Unternehmen: DSGVO-konform

Videoüberwachung im Unternehmen braucht immer eine klar benannte Rechtsgrundlage, eine begrenzte Speicherfrist, sichtbare Kennzeichnung der überwachten Bereiche und ein Zugriffskonzept, das festlegt, wer die Aufnahmen wann sehen darf. Kameras „vorsorglich” überall zu installieren und sich später um die rechtlichen Details zu kümmern, führt fast immer zu einer Anlage, die nachträglich korrigiert werden muss – meist mit mehr Aufwand, als es vorher gekostet hätte, das sauber zu planen.

Welche Rechtsgrundlage braucht Videoüberwachung im Betrieb?

Videoüberwachung ist eine Verarbeitung personenbezogener Daten und braucht damit eine Rechtsgrundlage nach der DSGVO. In der betrieblichen Praxis stützt sich das meist auf ein berechtigtes Interesse – etwa Schutz vor Diebstahl, Einbruch oder Sachbeschädigung – das gegen die Interessen der betroffenen Personen abgewogen werden muss. Diese Abwägung ist keine Formalität: Eine Kamera, die den halben Gehsteig oder Nachbargrundstücke mitfilmt, oder eine Dauerüberwachung von Arbeitsplätzen ohne konkreten Anlass, hält einer solchen Abwägung in aller Regel nicht stand. Wichtig ist deshalb, für jede einzelne Kamera zu begründen, warum sie an dieser Stelle mit diesem Blickwinkel notwendig ist – nicht nur für die Anlage insgesamt.

• Für jede Kamera einen konkreten Zweck festhalten (z. B. Zugangskontrolle Lagereingang, nicht „allgemeine Sicherheit”)
• Blickwinkel so wählen, dass öffentlicher Raum, Nachbargrundstücke und Pausenbereiche möglichst nicht erfasst werden
• Dauerhafte Überwachung von Arbeitsplätzen vermeiden, sofern kein konkreter, begründeter Anlass vorliegt
• Die Interessenabwägung schriftlich dokumentieren, nicht nur im Kopf treffen

Wie lange dürfen Aufnahmen gespeichert werden?

Der Grundsatz der Datenminimierung verlangt, Aufnahmen nur so lange zu speichern, wie es für den festgelegten Zweck nötig ist. In der Praxis bedeutet das meist kurze Speicherfristen im Bereich weniger Tage, danach werden die Aufnahmen automatisch überschrieben – es sei denn, ein konkreter Vorfall (etwa ein Einbruch) macht eine längere Aufbewahrung einzelner Sequenzen zur Beweissicherung erforderlich. Eine pauschal lange Speicherung „auf Vorrat” lässt sich datenschutzrechtlich kaum rechtfertigen. Wie lange im Einzelfall angemessen ist, hängt vom Zweck der jeweiligen Kamera ab und sollte fallbezogen mit rechtlicher Beratung festgelegt werden.

• Automatische Löschung nach einer festgelegten, kurzen Frist als Standardeinstellung
• Verlängerte Aufbewahrung nur für konkret betroffene Sequenzen bei einem tatsächlichen Vorfall
• Löschfristen technisch umsetzen (automatisches Überschreiben), nicht nur als Regel auf Papier

Wie muss Videoüberwachung gekennzeichnet werden?

Personen, die einen überwachten Bereich betreten, müssen erkennen können, dass sie gefilmt werden, bevor sie den Bereich betreten – nicht erst danach. Dazu gehört ein gut sichtbares Hinweisschild an den Zugängen zum überwachten Bereich, das die wichtigsten Informationen auf einen Blick zeigt: dass gefilmt wird, wer verantwortlich ist, und wo weitere Informationen zur Verarbeitung zu finden sind, etwa über einen QR-Code zu einer ausführlichen Datenschutzinformation. Ein einzelnes, schlecht sichtbares Schild am Empfang reicht nicht, wenn mehrere Eingänge oder Bereiche überwacht werden.

• Hinweisschild an jedem Zugang zu einem überwachten Bereich, nicht nur am Haupteingang
• Kurzinformation auf dem Schild plus Verweis (z. B. QR-Code) auf ausführliche Datenschutzinformation
• Schilder gut sichtbar und lesbar anbringen, nicht versteckt oder überklebt

Wer darf auf die Aufnahmen zugreifen?

Ein häufiger Schwachpunkt in der Praxis ist nicht die Kamera selbst, sondern der Zugriff auf die Aufnahmen danach. Wenn die komplette Belegschaft oder eine App auf dem Privathandy des Geschäftsführers Zugriff auf den Live-Stream und das Archiv hat, ist das Konzept aus Datenschutzsicht kaum noch zu rechtfertigen, selbst wenn die Kameras selbst korrekt aufgestellt sind. Der Zugriff sollte auf die Personen beschränkt sein, die ihn für ihre Aufgabe tatsächlich brauchen, mit einem Protokoll, das nachvollziehbar macht, wer wann welche Aufnahme gesichtet hat.

• Zugriff auf Live-Bild und Archiv nur für namentlich benannte, dafür zuständige Personen
• Jeder Zugriff auf gespeicherte Aufnahmen wird protokolliert
• Export oder Weitergabe von Aufnahmen (z. B. an Behörden) nach einem festgelegten, dokumentierten Ablauf

Was gehört in eine Datenschutzinformation zur Videoüberwachung?

Neben dem Hinweisschild vor Ort verlangt die DSGVO eine ausführlichere Information nach Artikel 13 – etwa über den Verantwortlichen, die konkrete Rechtsgrundlage, die Speicherdauer, an wen Aufnahmen im Einzelfall weitergegeben werden können, und welche Rechte betroffene Personen haben, etwa auf Auskunft. Diese Information muss nicht auf dem Schild selbst stehen, sollte aber über einen einfachen Weg erreichbar sein, etwa auf der Unternehmenswebsite oder über den bereits erwähnten QR-Code. Wichtig ist, dass diese Information für die konkrete Anlage gilt und nicht nur ein allgemeiner Textbaustein ohne Bezug zu den tatsächlich installierten Kameras ist.

Muss zusätzlich eine Datenschutz-Folgenabschätzung gemacht werden?

Bei einer systematischen und umfangreichen Überwachung öffentlich zugänglicher Bereiche kann eine Datenschutz-Folgenabschätzung erforderlich sein – eine strukturierte Risikobewertung, bevor die Anlage in Betrieb geht. Ob das im konkreten Fall zutrifft, hängt unter anderem von Anzahl der Kameras, Umfang der Überwachung und Art der erfassten Bereiche ab und lässt sich pauschal nicht beantworten. Wird in einem Betrieb mit Arbeitnehmervertretung überwacht, kommt in Österreich und der Slowakei häufig eine Mitbestimmungspflicht des Betriebsrats beziehungsweise der zuständigen Arbeitnehmervertretung hinzu, bevor Kameras aufgestellt werden dürfen. Auch das sollte vor der Installation geklärt werden, nicht danach.

Was gehört technisch zu einer sauber betriebenen Anlage?

Neben Rechtsgrundlage, Speicherfrist, Kennzeichnung und Zugriffsrechten kommt es auf die technische Umsetzung an. Die Kameras und der Videorekorder gehören in ein eigenes Netzwerksegment, getrennt vom übrigen Firmennetz – eine kompromittierte Kamera soll keinen Weg zu Arbeitsplatzrechnern oder Servern öffnen. Werkseinstellungen wie Standardpasswörter müssen vor der Inbetriebnahme geändert werden, und die Firmware sollte wie bei anderer Netzwerktechnik regelmäßig aktualisiert werden. Auch eine Verarbeitungstätigkeit für die Videoüberwachung im Verzeichnis von Verarbeitungstätigkeiten gehört in eine vollständige Dokumentation. Wer eine bestehende Anlage übernimmt – etwa nach einem Umbau oder Dienstleisterwechsel –, sollte diese Punkte einmal komplett neu durchgehen, statt anzunehmen, dass sie beim ursprünglichen Einbau bereits korrekt umgesetzt wurden.