16 Aug
2019

EDSA-Leitlinien: Videoüberwachung unter der DS-GVO

Fertigen Sie in Ihrem Unternehmen, beispielsweise auf Baustellen oder in Ladengeschäften, Videoaufnahmen mittels Überwachungskameras an? Dann sollten Sie sich vorher mit den datenschutzrechtlichen Voraussetzungen beschäftigen: Wann ist die Anfertigung und Speicherung von Videoaufnahmen nach der Datenschutz-Grundverordnung (DS-GVO) zulässig? Welche Informationspflichten bestehen und wie ist diesen nachzukommen? Wie ist mit Betroffenenrechten umzugehen? Dazu hat der Europäische Datenschutzausschuss (EDSA) nun eine Broschüre mit Leitlinien veröffentlicht.

EDSA – Europäischer Datenschutzausschuss

Der Europäische Datenschutzausschuss (EDSA) ist eine unabhängige europäische Einrichtung mit Sitz in Brüssel. Der EDSA besteht aus dem Zusammenschluss der nationalen Datenschutzbehörden und Aufsichtsbehörden mit dem Europäischen Datenschutzbeauftragten. Er hat die vormalige Art.-29-Datenschutzgruppe abgelöst, die sich bis zum 25. Mai 2018 mit der Auslegung der DS-GVO beschäftigt hat. Seine Aufgabe ist es, für eine einheitliche Anwendung der DS-GVO in den Mitgliedstaaten der Europäischen Union (EU) zu sorgen. Dazu gibt er u.a. allgemeine Leitlinien heraus, in denen Begriffe und Regelungen der DS-GVO einheitlich ausgelegt werden. Diese können als Anleitung zur einheitlichen Umsetzung der DS-GVO verstanden werden.

Der EDSA hat nun Leitlinien für die Verarbeitung personenbezogener Daten im Rahmen der Videoüberwachung herausgegeben („Guidelines 3/2019 on processing of personal data through video devices“, beschlossen am 10.07.2019, zur Zeit nur auf Englisch abrufbar unter https://edpb.europa.eu/sites/edpb/files/consultation/edpb_guidelines_201903_videosurveillance.pdf). Darin gibt er Hinweise zu verschiedenen Aspekten, die Verantwortliche für einen möglichst rechtssicheren Betrieb von Videoüberwachungsanlagen beachten sollten.

Zulässige Videoüberwachung – Rechtmäßigkeit

Wie jede andere Verarbeitung personenbezogener Daten im Anwendungsbereich der DS-GVO muss auch die Datenverarbeitung im Rahmen einer Videoüberwachung den Voraussetzungen der DS-GVO entsprechen. Hier weist der EDSA darauf hin, dass bloße Fake-Kameras bzw. Kameraattrappen, die keine Aufnahmen anfertigen, nicht der DS-GVO unterfallen. Denn hier werden bereits gar keine Daten erhoben und verarbeitet. Aber Achtung: In Deutschland kann darüber hinaus bereits das Anbringen einer bloßen Kameraattrappe das Allgemeine Persönlichkeitsrecht verletzen und somit einen Beseitigungsanspruch begründen (so kürzlich erst LG Essen, Urteil vom 30. Januar 2019 – 12 O 62/18)!

Datenverarbeitungen im Anwendungsbereich der DS-GVO müssen zunächst die Voraussetzungen des Art. 5 DS-GVO erfüllen. So muss die Videoüberwachung in Hinblick auf jede Kamera u.a. einem zuvor festgelegten Zweck dienen und auf einer Rechtsgrundlage beruhen. Laut EDSA kommen dafür regelmäßig berechtigte Interessen nach Art. 6 Abs. 1 lit. f DS-GVO in Betracht, während auf eine Einwilligung nur in Ausnahmefällen zurückgegriffen werden sollte. Hier ist jedoch besondere Vorsicht geboten! Um die Videoüberwachung auf Art. 6 Abs. 1 lit. f DS-GVO stützen zu können, muss im Rahmen einer umfassenden rechtlichen Prüfung eine Interessenabwägung durchgeführt werden. Auch hierfür hat der EDSA detaillierte Hinweise gegeben. Er weist insbesondere darauf hin, dass sich hierbei eine pauschale Bewertung verbietet, sondern eine solche Entscheidung nur jeweils abhängig vom konkreten Einzelfall getroffen werden kann. Bei dieser Prüfung berücksichtigt werden muss auch eine etwaige Weitergabe der Aufnahmen an Dritte (beispielsweise an Rechtsanwälte oder Versicherungen im Falle einer aufgenommenen Beschädigung). Auch die Speicherdauer der Aufnahmen sollte kritisch geprüft werden.

Sind besonders sensible Daten betroffen (z.B. zur Gesundheit), muss dafür eine spezielle Rechtsgrundlage gegeben sein (Art. 9 DS-GVO). Dasselbe gilt – neben Art. 6 DS-GVO – für Übertragungen der Daten in Drittländer (außerhalb der EU und des EWR), beispielsweise in Clouds auf Server in den USA (Art. 44 ff. DS-GVO).

Darüber hinaus sollte insbesondere auch dem Grundsatz der Datenminimierung besondere Aufmerksamkeit geschenkt werden. Die Einhaltung sämtlicher Anforderungen sollte zudem schriftlich dokumentiert werden.

Informationspflichten und Betroffenenrechte

Personen, die von den Videoaufnahmen betroffen sind, müssen stets proaktiv auf die Videoüberwachung hingewiesen werden (Art. 13, 14 DS-GVO). Dazu bietet sich nach Ansicht des EDSA regelmäßig die Information über einen mehrstufigen Ansatz an (sogenannte „layers“). Hier können auf der ersten Stufe, beispielsweise mittels eines Warnschildes mit entsprechenden Symbolen vor Ort, die wichtigsten Informationen mitgeteilt werden – u.a. zum Verantwortlichen und Zweck der Aufnahmen, zur Speicherdauer und Weitergabe an Dritte. Auf der zweiten Stufe können dann die übrigen Pflichtinformationen nach der DS-GVO mitgeteilt werden, beispielsweise mittels einer vor Ort ausliegenden Broschüre oder auf einer Internetseite, auf die wiederum mittels eines QR-Codes verwiesen wird. Der EDSA hat in den oben genannten Leitlinien ein Muster für einen entsprechenden Hinweis veröffentlicht.

Außerdem sind die Betroffenenrechte nach Art. 15 ff. DS-GVO sicherzustellen. Gerade im Falle der Videoüberwachung sollten dabei gewisse Besonderheiten beachtet werden. Verlangen die Betroffenen beispielsweise eine Kopie der Aufnahme, muss geprüft werden, ob darauf auch andere Personen zu sehen sind bzw. identifiziert werden können. Wird die Löschung der Aufnahme verlangt, kann dies nach Ansicht des EDSA bereits erreicht werden, indem die Aufnahme irreversibel unscharf bzw. unkenntlich gemacht wird (sogenanntes „Blurring“), sodass die betroffene Person nicht mehr identifiziert werden kann.

Technische und organisatorische Maßnahmen

Nicht zuletzt muss der Verantwortliche geeignete technische und organisatorische Maßnahmen der Datensicherheit treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 Abs. 1 DS-GVO). Das heißt, die Maßnahmen müssen sich daran orientieren, welche Risiken für die Betroffenen durch die Videoüberwachung begründet werden. Solche Risiken können beispielsweise die zufällige oder unrechtmäßige Vernichtung oder den Verlust der Aufnahmen sowie den unbefugten Zutritt oder eine solche Weitergabe an Dritte betreffen. Gegen solche Gefahren sind in organisatorischer und technischer Hinsicht geeignete Sicherheitsvorkehrungen zu treffen – beispielsweise durch eine Zutritts- und Zugriffskontrolle, Schulungsmaßnahmen, ein Störfallmanagement oder Verfahren zur Wiederherstellung gelöschter Aufnahmen sowie Verschlüsselung der Aufnahmen oder Schutz vor Angriffen auf die Hard- oder Software.

Zudem sollte geprüft werden, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO durchzuführen ist. Einzelheiten hierzu können einem gesonderten Papier mit Leitlinien der vormaligen Art.-29-Datenschutzgruppe entnommen werden („Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is „likely to result in a high risk” for the purpose of Regulation 2018/679”, abrufbar unter https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611236).

Das bedeutet für Sie: Wenn Sie bereits Videoüberwachung durchführen oder dies vorhaben, setzen Sie sich (ggf. nochmals) mit den Anforderungen der DS-GVO auseinander. Die Maßnahmen zur Videoüberwachung müssen in jedem Fall rechtmäßig sein und auch die übrigen Voraussetzungen nach Art. 5 DS-GVO müssen in Bezug auf jede verwendete Kamera vorliegen. Ebenso ist die notwendige Dokumentation nach Art. 5 Abs. 2 DS-GVO sicherzustellen. Des Weiteren müssen Betroffene gemäß Art. 13, 14 DS-GVO informiert werden. Zur Gewährleistung der Betroffenenrechte sollte außerdem bereits im Voraus ein entsprechendes Verfahren gestaltet werden.

Rechtsanwältin Johanna Mäkert, LL.M. (Bukarest)

dmp@derra-b.de

Stand: 08/2019