EuGH-Urteil zu Datenschutzhinweisen bei Bodycams

Mit dem Urteil vom 18.12.2025 (C-422/24) hat der Europäische Gerichtshof (EuGH) eine Entscheidung zu Datenschutzhinweisen bei einer am Körper getragenen Kamera (Bodycam) getroffen. Dabei musste der EuGH im Rahmen eines Vorabentscheidungsersuchens gemäß Art. 267 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) die Frage beantworten, ob Art. 13 oder Art. 14 DSGVO anwendbar ist, wenn personenbezogene Daten mittels einer Bodycam erhoben werden.

Die Entscheidung des EuGH lautet, dass Art. 13 DSGVO anwendbar ist. Damit folgt der EuGH dem Vorschlag der Generalanwältin, den sie in ihren Schlussanträgen zu diesem Fall am 01.08.2025 gemacht hat (wir berichteten).

Hintergrund des Verfahrens

Ein öffentliches Verkehrsunternehmen aus Stockholm (AB Storstockholms Lokaltrafik; SL) stattete seit Dezember 2018 seine Fahrscheinkontrolleur*innen in den öffentlichen Verkehrsmitteln mit einer Bodycam aus, um Bedrohungen gegen diese zu verhindern und zu dokumentieren sowie die Fahrgäste ohne Fahrschein zu identifizieren. Die schwedische Datenschutzaufsichtsbehörde hat im Juni 2021 ein Bußgeld in Höhe von umgerechnet ca. 355.000 Euro gegen SL verhängt, da die Fahrgäste keine Datenschutzhinweise nach Art. 13 DSGVO erhalten haben. In den folgenden rechtlichen Auseinandersetzungen vor verschiedenen Gerichten hielt die schwedische Datenschutzaufsichtsbehörde an ihrer Auffassung fest, während SL eine Information nach Art. 14 DSGVO vertreten hat, inklusive der Ausnahme nach Art. 14 Abs. 5 lit. b DSGVO, nicht informieren zu müssen. Das Oberste Verwaltungsgericht Schweden legte die Frage nach der Anwendbarkeit von Art. 13 oder 14 DSGVO letztlich dem EuGH vor.

Die Entscheidung des EuGH

Laut EuGH ist Art. 13 DSGVO anwendbar, sodass dem betroffenen Fahrgast bestimmte Informationen unmittelbar zur Verfügung gestellt werden müssen, wenn Fahrscheinkontrolleur*innen Bodycams zur Fahrscheinkontrolle nutzen.

Das entscheidende Abgrenzungskriterium von Art. 13 zu Art. 14 DSGVO ist die Quelle der Daten. Der EuGH führt hierzu Erwägungsgrund 61 S. 1 DSGVO an:

„Dass sie betreffende personenbezogene Daten verarbeitet werden, sollte der betroffenen Person zum Zeitpunkt der Erhebung mitgeteilt werden oder, falls die Daten nicht von ihr, sondern aus einer anderen Quelle erlangt werden, innerhalb einer angemessenen Frist, die sich nach dem konkreten Einzelfall richtet.“

Wenn die betroffene Person erfasst wird, stelle die betroffene Person die Quelle dar, sodass die Daten unmittelbar bei der betroffenen Person erhoben würden. Unerheblich sei zum einen, dass die betroffene Person Daten unwissentlich zur Verfügung stelle und zum anderen, dass die betroffene Person keine Handlung vornehme. Irrelevant sei demnach, in welchem Maße die betroffene Person jeweils aktiv werde. Es komme nur auf die Datenerhebung durch den Verantwortlichen an.

Art. 14 DSGVO sei nur dann anwendbar, wenn der Verantwortliche keinen direkten Kontakt zur betroffenen Person habe und die Daten aus einer anderen Quelle erhalte. Das folge aus Art. 14 Abs. 2 lit. f DSGVO. In dem Fall sei eine spätere Information der betroffenen Person gerechtfertigt.

Ferner führt der EuGH aus, dass Art. 13 und 14 DSGVO ein hohes Niveau des Schutzes der Grundfreiheiten und der Grundrechte natürlicher Personen gewährleisten sollen, die in Art. 7 und 8 der EU-Grundrechtecharta verankert sind (Achtung des Privat- und Familienlebens bzw. Schutz personenbezogener Daten). Wenn man die betroffenen Personen nicht informiere, bestünde die Gefahr, dass es zu einer von der betroffenen Person unbemerkten Datenerfassung und damit zu verdeckten Überwachungspraktiken kommen könnte. Das sei eine Verletzung von Art. 7 und 8 der EU-Grundrechtecharta.

Wie kann die Informationspflicht in der Praxis erfüllt werden?

Es stellt sich die Frage, wie die Informationspflicht in der Praxis erfüllt werden kann. Der EuGH verweist auf die Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte des Europäischen Datenschutzausschusses (EDSA) vom 29. Januar 2020 (ab Seite 28), wonach in einem gestuften Verfahren informiert werden könne. Auf einer ersten Ebene könnten die für die betroffene Person wichtigsten Informationen auf einem Hinweisschild angezeigt werden, während auf einer zweiten Ebene die weiteren obligatorischen Informationen in geeigneter und vollständiger Weise an einem leicht zugänglichen Ort zur Verfügung gestellt werden könnten.

Konkretisierende Ausführungen gibt es in der Pressemitteilung des Urteils. Zu den wichtigsten Informationen auf erster Ebene gehören laut EuGH u. a. der Name und die Kontaktdaten der Verantwortlichen, der Zweck der Verarbeitung, ihre Rechtsgrundlage, die Empfänger, die Dauer der Speicherung sowie die Information über das Recht auf Auskunft über die Daten und auf deren Löschung.

Das sind bereits weitreichende Informationen. Spätestens auf der zweiten Ebene sind folgende fehlende Angaben bereitzustellen: Die Kontaktdaten des Datenschutzbeauftragten, eine etwaige Drittlandübermittlung, die weiteren Betroffenenrechte (Berichtigung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit), das Beschwerderecht bei einer Aufsichtsbehörde, ggf. Informationen zur Bereitstellung der personenbezogenen Daten, ggf. Angaben zum Bestehen einer automatisierten Entscheidungsfindung sowie – sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht – die berechtigten Interessen des Verantwortlichen oder eines Dritten. Es wird empfohlen, die berechtigten Interessen des Verantwortlichen bereits auf erster Ebene mitzuteilen, da es sich um wesentliche Informationen für die betroffenen Personen handelt. So wird dies auch auf den vorgelagerten Hinweisschildern der Datenschutzaufsichtsbehörden gehandhabt, z. B. hier. Da das vorgelagerte Hinweisschild der Datenschutzaufsichtsbehörden nicht die vom EuGH nun erwähnte Information über das Recht auf Auskunft über die Daten und auf deren Löschung enthält, wird das vollständige Informationsblatt empfohlen. Sollte sich die Bereitstellung der Daten nicht aus Art. 6 Abs. 1 lit. f DSGVO ergeben, wäre hierüber zu informieren. Ferner wäre eine Information bei einer automatisierten Entscheidungsfindung zu ergänzen, falls eine solche stattfindet.

Der EuGH führt Erwägungsgrund 60 S. 5 DSGVO an, wonach die Informationen in Kombination mit standardisierten Bildsymbolen bereitgestellt werden können. Das folgt auch aus Art. 12 Abs. 7 DSGVO. Wenn neben dem bekannten Kamerasymbol für eine Videoüberwachung keine weiteren Piktogramme verwendet werden, wird eine Angabe der Informationen in Textform empfohlen. Die SL hätte einen Aushang gem. Art. 13 DSGVO in den Bahnen anbringen können, in denen Bodycams getragen werden. Zusätzlich könnten die Fahrscheinkontrolleur*innen eine Signalleuchte oder einen Aufnäher mit dem bekannten Piktogramm zur Videoüberwachung tragen.

Fazit

Der EuGH hat im vorliegenden Urteil entschieden, dass die betroffenen Personen gemäß Art. 13 DSGVO im öffentlichen Personenverkehr über die Datenverarbeitung zu informieren sind, wenn Fahrscheinkontrolleur*innen eine Bodycam tragen. Es empfiehlt sich ein Aushang in Türnähe, wie es sie bereits für fest angebrachte Kameras gibt. Zur Verdeutlichung, dass die Fahrscheinkontrolleur*innen mit einer Bodycam filmen, sollte ersichtlich werden, dass eine solche Videoüberwachung erfolgt, z. B. mit einer Signalleuchte oder einem Aufnäher mit dem bekannten Piktogramm zur Videoüberwachung.

Das Urteil kann auch auf andere Bereiche übertragen werden, in denen Bodycams getragen werden. Ausnahmen könnten sich jedoch aus bundes- oder landesrechtlichen Vorschriften ergeben, z. B. bei einzelnen Berufsgruppen wie etwa Polizisten. Das unterliegt einer Einzelfallprüfung.