Wann ist eine Videoüberwachung in den Eingangsbereichen von Gesundheitspraxen zulässig?

Die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) hat kürzlich ihren Tätigkeitsbericht für das Jahr 2023 veröffentlicht und darin den folgenden kuriosen Fall einer Videoüberwachung geschildert (vgl. 24. Tätigkeitsbericht, S. 53-58):

Der Inhaber einer Physiotherapiepraxis brachte im Eingangsbereich seiner Praxis eine Videokamera an. Bei der Inbetriebnahme der Videokamera ging er allerdings nachlässig vor und so wurde diese falsch konfiguriert. Ein Internetnutzer fand über eine sog. IoT-Suchmaschine (Internet of Things-Suchmaschine) die Livebilder der Kamera und auch die Gespräche aus dem Eingangsbereich konnten über das aktivierte Mikrofon mitgehört werden. Der Nutzer machte den Praxisinhaber auf das Problem aufmerksam, dieser nahm auch die Kamera kurzzeitig vom Netz, später war diese jedoch mit einem anderen Blickwinkel wieder im Internet auffindbar. Daraufhin wandte sich die Person an die zuständige Aufsichtsbehörde.

Es sollte nicht überraschend sein, dass dies einen gravierenden Verstoß gegen das Datenschutzrecht darstellt. Zudem stellte sich für die SDTB die Frage, ob die Videoüberwachung des Praxiseingangs – unabhängig von der rechtswidrigen Übertragung ins Internet – überhaupt zulässig sein kann.

Die Bewertung der sächsischen Aufsichtsbehörde

Die SDTB fragte den Praxisinhaber zuerst nach den Gründen und der Rechtsgrundlage für seine Videoüberwachung. Daraufhin erklärte dieser, dass die Kamera dazu diene, festzustellen, welche Personen die Praxis betreten. Demnach sei es ihm nicht möglich einen ständig besetzten Empfang vorzuhalten, weshalb eine Videokamera zum Einsatz kommt, die dazu dient auch aus den Behandlungsräumen beobachten zu können, wer die Praxisräume betritt und inwiefern erwartete Patienten schon eingetroffen sind. Der Praxisinhaber berief sich für diese Videoüberwachung auf sein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Demnach wäre die Videoüberwachung zulässig, wenn diese zur Wahrung des berechtigten Interesses des Verantwortlichen erforderlich ist und die Interessen der betroffenen Personen diesem Interesse nicht überwiegen.

Das von dem Praxisinhaber erklärte Interesse wurde von der Aufsichtsbehörde im Grundsatz auch anerkannt, allerdings sah diese in der derzeitigen Ausführung der Videoüberwachung noch mehrere Probleme:

• So wurde beanstandet, dass von der Kamera auch die Wartebereiche erfasst wurden. Die Überwachung der Wartebereiche habe demnach nichts mit dem Überwachungszweck zu tun, über ein- und ausgehende Personen informiert zu werden. Dabei verwies die SDTB auch auf das Urteil des Bundesverwaltungsgerichtes (BVerwG) vom 27. März 2019 (Az.: 6 C 2.18): In diesem Urteil wurde die Videoüberwachung des öffentlich zugänglichen Bereichs einer Zahnarztpraxis auch nach Maßgabe des Art. 6 Abs. 1 lit. f DSGVO als unzulässig eingestuft, da diese nicht als erforderlich angesehen worden ist, um berechtigte Interessen der Praxisinhaberin zu wahren.
• Darüber hinaus kritisierte die Aufsichtsbehörde die permanente Darstellung des Livebildes der Videokamera. Dieses sei für den Überwachungszweck ebenfalls nicht notwendig. Stattdessen sollte die Videokamera so betrieben werden, wie eine Klingelkamera. Dies bedeutet, dass die Livebilder erst übertragen werden, sobald die Türklingel betätigt wird (bzw. vorliegend die Praxisräume betreten werden) und die Videokamera sich dann nach kurzer Zeit wieder automatisch deaktiviert. So ist gewährleistet, dass ein- und ausgehende Personen zwar erfasst, aber nicht zu umfangreich überwacht werden.
• Des Weiteren wurde bemängelt, dass auch die sich im Behandlungszimmer befindlichen Patient*innen Einblick in die Liveaufnahmen erhalten konnten. Im Behandlungszimmer ist die Videoüberwachung auf einem dort aufgeklappten Notebook dauerhaft ersichtlich. Ein Einblick durch die Patient*innen ist allerdings nicht durch den Zweck gerechtfertigt.
• Zuletzt wurden die unvollständigen Hinweise auf die Videoüberwachung bemängelt, da diese nicht alle Pflichtinformationen enthielten, die nach Art. 13 DSGVO erforderlich gewesen wären. So war die Videoüberwachung als solche für Patient*innen erkennbar, allerdings konnten diese daraus weder auf den räumlichen Umfang der Videoüberwachung noch auf die Ausgestaltung des Kamerabetriebs (Livebeobachtung und/oder Videoaufzeichnung) schließen. Auch die Inanspruchnahme von Betroffenenrechten wurde aufgrund der fehlenden Informationen wesentlich erschwert. So dienen die Informationen nach Art. 13 DSGVO den Betroffenen neben der Information zu den Datenverarbeitungen auch gerade dazu, ihre Betroffenenrechte in Anspruch zu nehmen.

Aus all diesen Gründen stufte die Aufsichtsbehörde die Videoüberwachung in ihrer damaligen Ausführung als unzulässig ein. Da sich der Praxisinhaber gegenüber der Aufsichtsbehörde allerdings kooperativ zeigte, beließ diese es bei einer mündlichen Verwarnung, Art. 58 Abs. 2 lit. b DSGVO. Der Praxisinhaber hat entsprechend den Empfehlungen der SDTB Anpassungen vorgenommen, sodass die Videokamera an seinem Eingangsbereich mittlerweile datenschutzkonform eingesetzt wird.

Die Empfehlung der SDTB

Damit eine Videoüberwachung im Eingangsbereich einer Gesundheitspraxis als zulässig eingestuft werden kann, empfiehlt die SDTB folgendes:

Die Videokamera sollte nur bei Betreten der Praxis kurzzeitig aktiviert werden, damit festgestellt werden kann, wer die Praxisräume betritt. Die Wartebereiche, die sich dabei gegebenenfalls ebenfalls im Bild befinden könnten, sind auszublenden, damit sich die Bilddarstellung auf den Eingangsbereich beschränkt. Unzulässig sind Dauerüberwachungen oder Aufzeichnungen der Aufnahmen. Ebenso sind die datenschutzrechtlichen Informationspflichten nach Art. 13 DSGVO zu beachten und es sollten geeignete Hinweisschilder am Praxiszugang angebracht werden.

Fazit

Der Fall zeigt, dass der Einsatz einer Videokamera am Eingangsbereich von Gesundheitspraxen zulässig sein kann. Dieser Zulässigkeit sind allerdings enge Grenzen gesetzt worden. Auch wenn die Aufsichtsbehörde den Zweck der Erfassung von Personen, die die Praxis betreten, als berechtigtes Interesse anerkannt hat, wenn ein dauerhaft besetzter Empfang nicht gewährleistet werden kann, sieht diese eine damit verbundene Videoüberwachung nur insoweit als zulässig an, wie dies für die Erfüllung dieses Zwecks erforderlich ist. Dies schließt insbesondere eine Erfassung der Wartebereiche und Aufzeichnungen der Aufnahmen der Videokamera aus. Wie bei jeder Videoüberwachung sollte grundsätzlich beachtet werden, dass die Videokamera korrekt konfiguriert wird, damit Pannen – wie ungewollte Veröffentlichungen im Internet – ausgeschlossen sind.

Insgesamt ist es dennoch überraschend, dass der Praxisinhaber von der Aufsichtsbehörde nur verwarnt worden ist und diese kein Bußgeld verhängt hat. Ebenfalls überrascht, dass sich die Aufsichtsbehörde weder zu der Meldepflicht in Bezug auf die Panne der ungewollten Veröffentlichung im Internet noch zu der Erforderlichkeit einer Datenschutz-Folgenabschätzung für die Videoüberwachung äußerte. Hätte der Praxisinhaber für seine Videoüberwachung vorab eine Datenschutz-Folgenabschätzung durchgeführt, hätte er die damit verbundenen Problematiken feststellen können und müssen. Selbst wenn es dennoch zu einer ungewollten Veröffentlichung im Internet gekommen wäre, hätte nach der Meldung des Nutzers zumindest eine angemessene Reaktion erfolgen sollen, welche neben der sofortigen Einstellung dieses Kamerabetriebs auch eine Meldung der Datenpanne an die Aufsichtsbehörde beinhaltet hätte.