Datenschutz (DSGVO): Videoaufzeichnung und Videoüberwachung – tun oder lassen?

• Compliance/Datenschutz/ESG
• IP-IT
• KMU

Wie die Praxis der Strafverfolgung zeigt, stehen Videoüberwachung und andere Arten von Videoaufzeichnungen im Mittelpunkt der Aufmerksamkeit der Datenschutzbehörden. Dies ist ein Bereich, in dem sowohl Unternehmen als auch Einzelpersonen eine Reihe von Fehlern begehen, die zur Verhängung von Bußgeldern wegen Verstößen gegen Datenschutzvorschriften, einschließlich der Allgemeinen Datenschutzverordnung der EU (DSGVO), führen.

Videoaufzeichnung und Verstöße gegen die Datenschutzgrundverordnung: Fallbeispiele

Die Datenschutzbehörden verschiedener Länder haben in einer Reihe von Fällen im Zusammenhang mit Videoüberwachung und anderen Arten von Videoaufzeichnungen bereits eine Reihe von Geldbußen wegen Verstößen gegen die DSGVO verhängt. Unter anderem wurden Geldbußen für Verstöße gegen die DSGVO verhängt:

• gegen einen Getränkehändler – für den Betrieb eines Videoüberwachungssystems, bei dem der Beobachtungswinkel der Kameras in den öffentlichen Raum hineinreicht;
• gegen ein Unternehmen – wegen der Durchführung einer Videoüberwachung in einem Wettbüro, das nicht ausreichend gekennzeichnet war, sowie wegen einer Videoaufzeichnung eines großen Teils des Gehwegs in der Nähe der Einrichtung;
• in einem Geschäft – wegen unzureichender technischer und organisatorischer Maßnahmen zur Gewährleistung der Informationssicherheit. Aufgrund einer fehlerhaften Konfiguration enthielten die Kamerabilder Videoaufnahmen von Angestellten und Kunden und wurden ohne das Wissen und die Absicht des Geschäfts verbreitet;
• in einem Restaurant – wegen des übermäßigen Einsatzes von Videoüberwachungskameras zur Überwachung von Kundenbereichen im Restaurant (Verstoß gegen den in der DSGVO verankerten Grundsatz der Datenminimierung);
• gegen einen Bewohner eines Wohnhauses – wegen rechtswidriger Videoaufnahmen, die u. a. Teile des gemeinsam genutzten Innenhofs abdeckten;
• gegen eine Privatperson – wegen heimlicher Videoaufnahmen während einer Gerichtsverhandlung mit einem Mobiltelefon;
• wegen unrechtmäßiger Verwendung einer Dashcam, um Aufnahmen vom öffentlichen Straßenverkehr zu machen und diese dann als Zusammenschnitt auf YouTube zu veröffentlichen;
• für die Live-Videoüberwachung, die über das Internet zugänglich war und mangels ausreichender Verpixelung oder Schwärzung die Erkennung von Personen ermöglichte, usw.

Videokamera an Testfahrzeug von Volkswagen

So verhängte die deutsche Datenschutzbehörde gegen Volkswagen ein Bußgeld in Höhe von insgesamt 1,1 Millionen Euro, weil das Unternehmen bei der Installation von Kameras seinen Informationspflichten nach der Datenschutz-Grundverordnung nicht ausreichend nachgekommen war. Insbesondere installierte das Unternehmen Kameras an einem Testfahrzeug, das dazu diente, die Funktionalität eines Fahrassistenzsystems zur Vermeidung von Verkehrsunfällen zu testen und zu trainieren. Zu diesem Zweck zeichneten die installierten Kameras den Verkehr rund um das Fahrzeug auf. Die Datenschutzbehörde gelangte zum Schluss, dass Volkswagen:

• keine Informationen gemäß der Datenschutz-Grundverordnung über die Datenverarbeitung durch die im Fahrzeug installierten Kameras bereitgestellt hat,
• mit dem Unternehmen, das die Fahrten durchführte, keinen Datenverarbeitungsvertrag abgeschlossen hat,
• keine Datenschutz-Folgenabschätzung durchgeführt hat,
• die technischen und organisatorischen Schutzmaßnahmen in der Liste der Tätigkeiten zur Verarbeitung personenbezogener Daten nicht dargelegt hat.

Videoüberwachung in Umkleidekabine eines Restaurants

Die spanische Datenschutzbehörde verhängte eine Geldbuße in Höhe von insgesamt 20’000 EUR gegen ein Unternehmen, das in der Umkleidekabine eines seiner Restaurants Videoüberwachungskameras und Mikrofone installiert hatte. Die Datenschutzbehörde kam zu dem Schluss, dass es keine Rechtsgrundlage für eine derart umfassende Verarbeitung der personenbezogenen Daten der Mitarbeiter gab und die Datenverarbeitung daher unrechtmäßig war.

Videoüberwachungsanlage mit permanenter Überwachung von Mitarbeitern und Kunden

Die deutsche Datenschutzbehörde verhängte ein Bußgeld in Höhe von insgesamt 16’000 Euro gegen einen Elektronikmarkt, der eine Videoüberwachungsanlage installiert hatte, die permanent Mitarbeiter, Kunden sowie Räumlichkeiten und technische Anlagen dieses Unternehmens aufzeichnete. Zweck der Videoüberwachung war es, Mitarbeiter, Kunden und das Eigentum des Geschäfts zu schützen sowie Beweise für die Verfolgung von Straftaten und Vandalismus (falls vorhanden) zu sammeln. Die Datenschutzbehörde vertrat jedoch den Standpunkt, dass:

• In diesem besonderen Fall die Erfassung der Beschäftigten nicht notwendig war, um diese Zwecke zu gewährleisten, und daher unverhältnismäßig;
• das Geschäft hat gegen den Grundsatz der Datenminimierung gemäß der Datenschutz-Grundverordnung verstoßen,
• das Unternehmen die Videoaufnahmen übermäßig lange aufbewahrt hat,
• das Geschäft hat keine Datenschutz-Folgenabschätzung durchgeführt.

Installation von Videokameras in einer medizinischen Klinik

Eine Geldbuße wegen Verstoßes gegen die Datenschutz-Grundverordnung wurde auch gegen eine medizinische Klinik verhängt, die zum Schutz vor Verbrechen und Sachbeschädigung 21 Kameras in ihren Räumlichkeiten installiert hatte. Diese Kameras ermöglichten es der Klinik, ihre Mitarbeiter und Patienten rund um die Uhr zu überwachen. Die Klinik ging davon aus, dass ihre Videoaufzeichnungen rechtmäßig waren, da sie über die Zustimmung ihrer Mitarbeiter sowie über in der Klinik angebrachte Hinweisschilder verfügte. Die Datenschutzbehörde kam jedoch zu dem Schluss, dass:

• In diesem Fall die Einwilligung der Beschäftigten keine geeignete Rechtsgrundlage für die Videoüberwachung bildete, da die Freiwilligkeit im Verhältnis zwischen Arbeitnehmer und Arbeitgeber fraglich war,
• Deutlich sichtbare Hinweise auf die Videoüberwachung ließen nicht den Schluss zu, dass die Patienten durch das Betreten der überwachten Räumlichkeiten rechtmäßig ihr Einverständnis mit der Beobachtung gegeben haben,
• Es gab keine anderen Beweise, die eine so umfassende Videoüberwachung der Klinik rechtfertigen würden.

Videoüberwachung mit Ton- und Bildaufnahmen von Menschen, die in einer Institution leben

Die polnische Datenschutzbehörde verhängte eine Geldstrafe gegen ein Zentrum, das alkoholkranke Menschen behandelte, weil es in seiner Einrichtung Videoüberwachungskameras installiert hatte. Insbesondere zeichnete das Zentrum sowohl Bilder als auch Töne seiner Bewohner auf. Das Zentrum nutzte das Videoüberwachungssystem zu Zwecken der Sicherheit und Gesundheit von alkoholkranken Menschen. Die Datenschutzbehörde kam jedoch zum Schluss, dass diese Zwecke in diesem speziellen Fall keine ausreichende Rechtsgrundlage für die Verarbeitung personenbezogener Daten darstellten. Somit verarbeitete das Zentrum unrechtmäßig personenbezogene Daten seiner Bewohner.

Unrechtmässige Nutzung der Videoüberwachung

Die österreichische Datenschutzbehörde verhängte gegen ein Restaurant eine Geldstrafe wegen unrechtmäßiger Nutzung der Videoüberwachung. Sie stellte insbesondere fest, dass:

• ausreichende Informationen über die Videoüberwachung in dem Restaurant fehlten,
• die Aufbewahrungsfrist von 14 Tagen in diesem Fall zu lang war und daher gegen den Grundsatz der Datenminimierung der DSGVO verstiess.

Verstoss gegen den Datenschutz bei der Durchführung von Prüfungen in Form von Videokonferenzen

Die polnische Datenschutzbehörde verhängte eine Geldstrafe gegen eine medizinische Universität, weil sie bei der Durchführung von Prüfungen in Form von Videokonferenzen, bei denen eine Identifizierung der Studenten stattfand, gegen die Datenschutzgrundverordnung verstoßen hatte. Insbesondere waren nach Abschluss der Prüfungen die Videoaufzeichnungen dieser Prüfungen nicht nur für die Prüflinge, sondern auch für andere Personen, die Zugang zum System hatten, verfügbar. Außerdem konnte jede außenstehende Person über eine direkte Verbindung auf die Videoaufzeichnungen der Prüfungen sowie auf die bei der Identifizierung vorgelegten Daten der geprüften Studenten zugreifen. Außerdem hat die Universität es versäumt, eine solche Verletzung des Schutzes personenbezogener Daten der Datenschutzbehörde zu melden und die betroffenen Personen über die Verletzung ihrer personenbezogenen Daten zu informieren. Gegen ein Unternehmen wurde auch eine Geldstrafe wegen Verletzung der Rechte der betroffenen Person nach der Datenschutz-Grundverordnung verhängt. Insbesondere reichte eine Person eine Beschwerde bei der Datenschutzbehörde ein, die sich darauf stützte, dass das Unternehmen eine Videoaufnahme produzierte, auf der diese Person zu sehen war. Der Beschwerdeführer forderte das Unternehmen auf, das Video zu löschen und von einer Veröffentlichung im Internet abzusehen. Das Unternehmen ignorierte diese Aufforderung jedoch und veröffentlichte das Video auf seiner Website sowie in mehreren sozialen Netzwerken.

Schlussfolgerungen und Empfehlungen

Obwohl bereits zahlreiche Geldstrafen gegen Unternehmen und Einzelpersonen verhängt wurden, weil sie bei der Anwendung von Videoüberwachung und anderen Arten von Videoaufzeichnungen gegen die Datenschutzvorschriften (einschließlich der DSGVO) verstoßen haben, bedeutet dies nicht, dass Videoaufzeichnungen überhaupt verboten sind.

Vielmehr stellt sich die Frage, welche spezifischen Instrumente zur Risikominderung angewandt werden sollen, um eine Videoaufzeichnung rechtmäßig durchführen zu können. Außerdem sollte jeder Einzelfall unter Berücksichtigung des Zwecks und aller Umstände der beabsichtigten Videoaufzeichnung sowie der Anforderungen der geltenden Datenschutzvorschriften (einschließlich der DSGVO), der entsprechenden Leitlinien und der bewährten Verfahren in diesem Bereich gesondert geprüft werden.