Der Europäische Datenschutzausschuss (EDSA) hat am 29.01.2020 Leitlinien zur Videoüberwachung beschlossen (vgl. hier). Vor dem Beschluss gab es intensive Verhandlungen der europäischen Aufsichtsbehörden und eine Beteiligung der Öffentlichkeit. Hauptberichterstatterin war die Berliner Beauftragte für Datenschutz und Informationsfreiheit (vgl. hier).

Hintergrund

In der DSGVO gibt es keine spezifischen Regelungen zur Videoüberwachung. Die nun veröffentlichten Leitlinien geben Anhaltspunkte für die Anwendung der allgemeinen DSGVO-Normen bezüglich der Videoüberwachung. Die Veröffentlichung durch den EDSA ist in Art. 70 Abs. 1 S. 1 DSGVO begründet, wonach der EDSA die einheitliche Anwendung der DSGVO sicherstellt; u.a. nach Art. 70 Abs. 1 S. 2 lit. e DSGVO durch Leitlinien. Diese geben Hilfestellungen zum DSGVO-konformen Einsatz von Videokameras. Da es sich um Leitlinien handelt, bleiben Abweichungen durch die Mitgliedsstaaten jedoch möglich.

Was ist Inhalt der Leitlinien?

Es werden alle typischen mit der Videoüberwachung zusammenhängenden Themen behandelt, z.B. Rechtsgrundlage, Weitergabe von Videoaufnahmen, die Verarbeitung besonderer Kategorien personenbezogener Daten (vor allem biometrische Daten i.R.v. Gesichtserkennung), Betroffenenrechte, Informationen zur Datenverarbeitung durch Hinweisschilder, die Speicherdauer, technische und organisatorische Maßnahmen und Datenschutz-Folgenabschätzungen.

Bereits die Einleitung der Richtlinie verdeutlicht, warum die Videoüberwachung nur unter bestimmten Voraussetzungen zulässig ist. Sinngemäß heißt es dort, der umfangreiche Einsatz von Videokameras könne Einfluss auf das Verhalten der erfassten Personen haben. Denn bei einer Beobachtung entstehe der Druck, dass abweichendes Verhalten erkannt werde. Die Videobeobachtung verhindere, sich anonym zu bewegen. Damit betont der EDSA, warum stets im Einzelfall und verhältnismäßig geprüft werden muss, ob und wie Videokameras installiert werden können.

Bewährte Grundsätze

Die Leitlinien enthalten neben anschaulichen Beispielen die bewährten Grundsätze. So sollen möglichst weniger einschneidende Maßnahmen, wie z.B. Wachpersonal, einer Videoüberwachung vorgezogen werden. Wenn Kameras angebracht werden, ist dies auf die nötigste Kameraanzahl zu beschränken (Datenminimierung). Für jede Kamera ist ein Zweck zu prüfen (z.B. Zutrittskontrolle) und die Prüfung ist insgesamt zu dokumentieren.

Bei Attrappen ist die DSGVO nicht anwendbar, in Deutschland ist jedoch das allgemeine Persönlichkeitsrecht betroffen, da sich das Gefühl der Beobachtung auf die Empfindung oder das Verhalten auswirken kann.

Über die Videoüberwachung ist zu informieren, z.B. mit einem vorgelagerten Hinweisschild, auf dem nur die wichtigsten Angaben mitgeteilt werden müssen. Die übrigen Informationen müssen dann an anderer Stelle einsehbar sein.

Berechtigtes Interesse der Videoüberwachung

Auch wenn grundsätzlich alle Rechtsgrundlagen nach Art. 6 DSGVO in Betracht kommen, sei häufig Art. 6 Abs. 1 S. 1 lit. f DSGVO als Rechtsgrundlage einschlägig (berechtigte Interessen). Es müssen sich entweder bereits (möglichst dokumentierte) Vorfälle ereignet haben, die eine Videoüberwachung rechtfertigen, oder aufgrund der Umstände und örtlichen Gegebenheiten wahrscheinlich drohen (bei potentiell gefährdeten Objekten wie Banken und Tankstellen sind die Anforderungen entsprechend gesenkt). Die berechtigten Interessen müssen regelmäßig erneut geprüft werden (je nach Umständen), sodass eine einmal genehmigte Videoanlage nicht ohne Weiteres für immer betrieben werden darf.

Ob ein Live-Monitoring oder eine Aufzeichnung erfolgt, ist zweckabhängig (das Monitoring könne gelegentlich sogar der intensivere Eingriff sein). Bei Aufzeichnungen ist zu definieren, wann aufgezeichnet wird (z.B. außerhalb der Geschäftszeiten bei der Zutrittskontrolle). Die Aufzeichnungsdauer beträgt grds. 48 Stunden, während jede Verlängerung begründet werden muss. Erfassungsbereiche sind ebenfalls stets zu prüfen.

Bei Prüfung der schutzwürdigen Interessen der betroffenen Personen ist deren Erwartungshaltung zu berücksichtigen. Während z.B. bei Juwelieren eine Videoüberwachung zu erwarten ist, werden Videokameras in Sozialbereichen nicht vermutet.

Besondere Kategorien personenbezogener Daten

Wenn bei der Videoüberwachung besondere Kategorien personenbezogener Daten abgeleitet werden können, sei neben Art. 6 DSGVO auch Art. 9 DSGVO zu berücksichtigen. Der Verantwortliche müsse dabei auch ein höheres Niveau an technischen und organisatorischen Maßnahmen sicherstellen.

„Biometrischen Daten“ i.S.v. Art. 9 DSGVO lägen erst vor, wenn folgende Voraussetzungen erfüllt seien:

  • Die Daten beziehen sich auf physikalische, physiologische oder verhaltensbezogene Merkmale einer Person
  • Die Daten stammen aus einer spezifischen technischen Verarbeitung

und (das entscheidende Kriterium!)

  • Die Daten müssen benutzt werden, um eine einzelne Person (nicht die bloße Gruppenzugehörigkeit) zu identifizieren.

Um die Gefahr von Gesichtserkennungen mit Videokameras zu verdeutlichen, betont der EDSA, dass es bei einer Einwilligung zur Gesichtserkennung stets Alternativen geben müsse.

Auskunftsrecht

Bei einem Auskunftsersuchen der betroffenen Person nach Art. 15 DSGVO, welche Aufnahmen angefertigt wurden, könne der Verantwortliche zur Eingrenzung der Anfrage bei der betroffenen Person eine Rückfrage nach dem ungefähren Erfassungszeitraum erfragen. Um die Rechte Dritter nicht zu verletzen, müssen andere Personen außer der betroffenen Person unkenntlich gemacht werden.

Fazit

Die Leitlinien des EDSA spiegeln die datenschutzrechtlichen Vorgaben wider, die auch bislang in Deutschland beachtet werden mussten. Es ist jedoch zu begrüßen, dass der EDSA mit diesen Leitlinien Klarheit im Sinne einer einheitlichen Auslegung in allen Mitgliedsstaaten geschaffen hat.

| | | , , ,