In Großbritannien gibt es ein Videokamerasystem (NurseryCam), mit dem Eltern aus der Ferne ihre Kinder beobachten können, während diese im Kindergarten sind. Bei diesem Videokamerasystem ereignete sich neulich eine Datenpanne (vgl. hier und hier).

Datenpanne

Ein Hacker habe eine Hintertür des Systems gefunden, über die man Account-Daten der Eltern abgreifen könne, darunter Benutzernamen, Passwörter, Namen und E-Mail-Adressen. Er habe die Daten nicht in schädigender Absicht genutzt. Sein Ziel sei vielmehr, dass die Sicherheitslücke der NurseryCam geschlossen werde. Er habe einem Sicherheitsberater eine überarbeitete Kopie der Daten übermittelt. Dieser Sicherheitsberater habe bereits zuvor Schwachstellen im System festgestellt und öffentlich gemacht. Demnach sei es wohl jedermann möglich gewesen, auf die Videobilder zugreifen zu können.

Zumindest ein wenig beruhigend ist, dass die NurseryCam nicht flächendeckend, sondern nur in 40 Kindergärten in Großbritannien eingesetzt wurde, als sich die Datenpanne ereignete. Der Betreiber von NurseryCam habe die Eltern der betroffenen Kindergärten über den Vorfall informiert und sich entschuldigt. Es seien aber wohl weder Kinder noch Kindergartenpersonal ohne ihre Einwilligung beobachtet worden. Ferner habe der Betreiber von NurseryCam die Datenschutzaufsichtsbehörde Großbritanniens (ICO) informiert. Bis zur Behebung des Problems sei das System offline.

Rechtmäßigkeit eines solchen Videokamerasystems nach der DSGVO

Ob das System DSGVO-konform betrieben werden kann (ohne Prüfung etwaiger spezieller Datenschutzvorschriften aus Großbritannien), richtet sich maßgeblich danach, ob eine Rechtsgrundlage zur Verarbeitung vorliegt und deren Voraussetzungen einschlägig sind.

In Betracht kommt hier Art. 6 Abs. 1 S. 1 lit. f DSGVO. Danach ist die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Wozu wird das System benötigt? Die Antwort liegt einerseits natürlich auf der Hand: Eltern möchten sich schnellstmöglich einen Überblick darüber verschaffen, ob es ihren Kindern gut geht. Andererseits gibt es aber in jedem Kindergarten Erzieherinnen und Erzieher, welche u.a. die Betreuung übernehmen, , die Kinder unterhalten, sie versorgen und dem Bildungsauftrag nachkommen. Alleine die Frage, ob man ein solches System installieren sollte, haben sich die allermeisten daher vermutlich noch niemals gestellt. Daher ist bereits die Erforderlichkeit eines solchen Systems äußerst fraglich. Zudem sind Kinder besonders schützenswert, sodass deren Interessen in der Regel überwiegen. Zumindest müssten triftige Argumente vorliegen, warum die Interessen der Kinder gerade zurückstehen müssen.

Die dauerhafte Überwachung des Kindergartenpersonals wäre in Deutschland ohne Weiteres unzulässig (vgl. 5.1. der Orientierungshilfe der Datenschutzkonferenz zur Videoüberwachung durch nicht-öffentliche Stellen). Selbst wenn die Kindergartenbetreiber, welche die Installation des Systems immerhin zu verantworten haben, keinen Zugriff auf die Videobilder hätten, entfaltet sich der Überwachungsdruck für das Kindergartenpersonal auch durch die Beobachtung der Eltern.

Als weitere Rechtsgrundlage könnte eine Einwilligung gem. Art. 6 Abs. 1 S. 1 lit. a DSGVO in Frage kommen. Diese würde allerdings voraussetzen, dass alle Kinder bzw. deren Eltern und das gesamte Personal freiwillig dem Einsatz der NurseryCam zugestimmt haben. Da bereits bezüglich des Personals an einer Freiwilligkeit einer solchen Einwilligung im Beschäftigungsverhältnis gem. § 26 Abs. 1 S. 1 BDSG gezweifelt werden kann, dürften die Voraussetzung der Einwilligung nicht vorliegen.

Darüber hinaus waren vorliegend die technischen und organisatorischen Maßnahmen gem. Art. 32 DSGVO unzureichend. Insbesondere müssen Passwörter immer mit hinreichender Verschlüsselung gemäß dem Stand der Technik gespeichert werden.

Der Betrieb eines solchen Systems dieser Ausgestaltung wäre daher in Deutschland generell unzulässig. Dass eine Überwachung von Kindern kein Einzelfall ist, verdeutlicht auch dieser Fall aus Indien.