Videoüberwachung

Videoüberwachung berührt zunächst das allgemeine Persönlichkeitsrecht aus Art. 1 Abs. 1 i. V. m. Art. 2 Abs. 1 GG und das daraus abgeleitete Recht auf informationelle Selbstbestimmung (BVerfG, Volkszählungsurteil v. 15. Dezember 1983 – 1 BvR 209/83 u. a.). Hinzu treten Art. 7 GRCh (Achtung des Privat- und Familienlebens) und Art. 8 GRCh (Schutz personenbezogener Daten).

Auf einfachgesetzlicher Ebene berührt Videoüberwachung neben der DSGVO weiterhin das Kunsturhebergesetz (§§ 22, 23 KUG) – allerdings im Bereich der Veröffentlichung personenbezogener Bildnisse, nicht der bloßen Verarbeitung. Der Anwendungsvorrang der DSGVO im Verarbeitungsbereich ist durch BVerwG (U. v. 27. März 2019 – 6 C 2.18) für private Verantwortliche bestätigt. Art. 1, 2 GG; Art. 7, 8 GRCh; BVerfG 1 BvR 209/83 (Volkszählung); BVerwG 6 C 2.18; §§ 22, 23 KUG

Für Hochschulen und sonstige öffentliche Stellen des Landes Sachsen-Anhalt ist der Stufenbau der Rechtsgrundlagen wie folgt zu prüfen:

§ 4 BDSG („Videoüberwachung öffentlich zugänglicher Räume") ist nach dem Urteil BVerwG 6 C 2.18 vom 27. März 2019 für private Verantwortliche unanwendbar. Für öffentliche Stellen des Bundes wird § 4 BDSG weiter angewendet; für Landesbehörden Sachsen-Anhalts ist die spezialgesetzliche Landesnorm § 8 DSAG LSA vorrangig. Art. 6 Abs. 1 lit. e + UAbs. 2, Art. 88 DSGVO; § 8 DSAG LSA; § 3 HSG LSA; PersVG LSA; BVerwG, Urteil v. 27.03.2019 – 6 C 2.18, BVerwGE 165, 144

Eine Videoüberwachungsanlage ist eine Datenverarbeitung mit erheblicher Eingriffstiefe. Die folgende Prüfungsreihenfolge stellt sicher, dass alle datenschutzrechtlichen Voraussetzungen adressiert werden:

1. Zweckfestlegung Schriftlich festhalten, was die Anlage konkret schützen soll: Hausrechtsschutz, Schutz von Personen vor Gewalt, Schutz von Eigentum, Aufklärung wiederkehrender Sachbeschädigung, Zugangskontrolle. Ein Sammelzweck („Sicherheit") genügt nicht.
2. Geeignetheit Trägt die Maßnahme zur Zweckerreichung bei? Bei vandalismusgefährdeten Außenflächen ist Videoaufzeichnung regelmäßig geeignet, bei innenliegenden Studienarbeitsplätzen fehlt häufig der konkrete Anlass.
3. Erforderlichkeit / mildere Mittel Zugangsschranken, mechanischer Schutz, Wachpersonal, Beleuchtung, organisatorische Maßnahmen sind regelmäßig vorrangig zu prüfen. Videoüberwachung ist nur erforderlich, wenn mildere Mittel den Zweck nicht oder nicht annähernd erreichen.
4. Angemessenheit Gewichtung der Eingriffstiefe gegen den verfolgten Zweck. Kerngrundrechtsbereiche bleiben tabu (Toiletten, Umkleiden, Stillräume, Sanitätsräume). Daueroüberwachung von Beschäftigtenarbeitsplätzen ist nahezu nie angemessen.
5. Datenschutz-Folgenabschätzung Umfangreiche Videoüberwachung in öffentlich zugänglichen Bereichen ist regelmäßig auf der DSK-Liste der DSFA-pflichtigen Verarbeitungen aufgeführt – dann ist eine DSFA nach Art. 35 DSGVO zwingend.
6. Verfahrensverzeichnis Eintrag im VVT nach Art. 30 DSGVO mit Zweck, Rechtsgrundlage, Datenkategorien, Empfängern, Speicherdauer, TOMs.
7. Personalratsbeteiligung Soweit Beschäftigte regelmäßig miterfasst werden, ist der Personalrat nach PersVG LSA zu beteiligen.

Die Prüfung ist bei jeder wesentlichen Änderung (Erweiterungen, Sichtfeldänderungen, neue Kameratypen) zu wiederholen. Art. 5, 6 Abs. 1 lit. e, 25, 30, 32, 35 DSGVO; § 8 DSAG LSA; DSK-Liste der DSFA-pflichtigen Verarbeitungen

Art. 13 DSGVO verlangt die Information der betroffenen Person zum Zeitpunkt der Erhebung. Bei Videoüberwachung bedeutet das in der Praxis Information vor Betreten des überwachten Bereichs. Die Aufsichtsbehörden – insbesondere der LfD Niedersachsen mit dem viel zitierten Hinweispapier zur Videoüberwachung – haben hierfür ein zweistufiges Modell etabliert:

Wichtig ist die Erreichbarkeit der zweiten Stufe: Ein QR-Code auf dem Schild oder eine klar adressierte URL („dennisawinkler.de/videoueberwachung-info") zählt zur guten Praxis. Eine Information allein durch Piktogramm reicht nicht aus. Art. 13 DSGVO; ErwGr 58, 60 DSGVO; LfD Niedersachsen, Hinweispapier zur Videoüberwachung

Die DSGVO gibt keine fest definierte Speicherdauer für Videoaufzeichnungen vor – sie folgt aus dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) und dem Erforderlichkeitsmaßstab. Die Aufsichtspraxis der DSK orientiert sich dabei an Erfahrungswerten:

• Regelfall 48 bis 72 Stunden – binnen dieser Frist wird im Regelfall ein etwaiger Vorfall durch die betroffene Person oder das Wachpersonal bemerkt.
• Ausnahmen bei besonderen Bedrohungslagen oder konkreten Anlässen (laufendes Strafverfahren, dokumentierte Vandalismusserie). Diese sind im Einzelfall dokumentiert zu begründen.
• Geringere Frist, wo der Zweck es zulässt – Live-Monitoring ohne Aufzeichnung (Pförtnermonitor) ist regelmäßig vorzuziehen.

Art. 5 Abs. 1 lit. e, Art. 17, 32 DSGVO; § 8 DSAG LSA; DSK-Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen (Stand 17.07.2020 / 03.09.2020) – als Auslegungshilfe auch für öffentliche Stellen heranziehbar

Arbeitshilfe: Die Datenschutzkonferenz hat am 03.09.2020 eine Orientierungshilfe zur Videoüberwachung durch nicht-öffentliche Stellen veröffentlicht. Eine entsprechende bundesweite Orientierungshilfe für öffentliche Stellen besteht nach hier vertretener Auffassung nicht; für öffentliche Stellen Sachsen- Anhalts orientiert sich die Praxis an § 8 DSAG LSA und an Hinweisen der LfD LSA. Die DSK-Orientierungshilfe für nicht-öffentliche Stellen kann inhaltlich als Auslegungshilfe herangezogen werden, soweit die Gemeinsamkeiten (Verhältnismäßigkeit, Hinweispflichten, Speicherdauer, TOMs) tragen.

Die Wirksamkeit des Datenschutzes bei Videoüberwachung hängt wesentlich an der TOM-Schicht. Bewährt sind:

• Sichtfeldbegrenzung: Auflösung, Schwenk- und Zoombereich technisch so konfigurieren, dass keine vermeidbaren Bereiche erfasst werden.
• Maskierung: Privatsphärenmasken auf Bereichen, die nicht erfasst werden dürfen (Nachbargrundstücke, Wohnungsfenster, Pausenräume).
• Privacy by Default (datenschutzfreundliche Voreinstellungen): Aufzeichnung nur bei Auslöser (Bewegungserkennung), Live-Monitoring nur bei besetzter Pförtnerloge.
• Verschlüsselung: Übertragung und Speicherung verschlüsselt; Funkkameras nur mit aktueller Verschlüsselung.
• Berechtigungssystem: Zugriff auf Aufzeichnungen ausschließlich für definierten Personenkreis; Vier-Augen-Prinzip beim Export.
• Audit-Logging: Jeder Zugriff, Export und jede Änderung an der Konfiguration ist nachvollziehbar zu protokollieren.
• Wartungsverträge: Wartungsdienstleister sind regelmäßig Auftragsverarbeiter (Art. 28 DSGVO); AVV ist abzuschließen.
• Notfallkonzept: Verhalten bei Ausfall, Manipulation, behördlicher Datenanforderung.

Art. 25, 32 DSGVO; SDM v3.1a der DSK

Werden bei der Videoüberwachung Beschäftigte regelmäßig miterfasst – etwa im Eingangsbereich von Verwaltungsgebäuden – treten besondere Anforderungen hinzu:

• Art. 88 DSGVO + Art. 6 Abs. 1 DSGVO: Anders als das BDSG mit § 26 verfügt das DSAG LSA nicht über eine allgemeine Beschäftigtendatenschutz-Generalklausel; § 26 DSAG LSA betrifft nur die Personalaktenführung und Eignungsuntersuchungen. Die Rechtsgrundlage für die Beschäftigtenseite einer Videoüberwachung ergibt sich daher in Sachsen-Anhalt regelmäßig aus Art. 88 DSGVO i. V. m. Art. 6 Abs. 1 lit. e DSGVO und der Aufgabennorm. Materiell gilt: Eine Verarbeitung ist nur zulässig, soweit sie für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Eine Daueroüberwachung des Arbeitsplatzes scheitert regelmäßig an dieser Erforderlichkeit.
• EuGH C-34/21 (Hauptpersonalrat Lehrkräfte Hessen, Urteil vom 30. März 2023): Die nationale Öffnungsklausel für Beschäftigtendatenschutz nach Art. 88 DSGVO ist nur tragfähig, wenn die nationale Norm spezifische Schutzvorkehrungen enthält. Soweit § 26 BDSG diese Anforderungen nicht erfüllt, ist auf Art. 6 Abs. 1 DSGVO zurückzugreifen.
• BAG, Urteil v. 29.06.2023 – 2 AZR 296/22: Das BAG hat klargestellt, dass die Verwertung von Aufzeichnungen aus offener Videoüberwachung in einem Kündigungsschutzprozess auch dann nicht generell ausgeschlossen ist, wenn die Überwachung nicht in jeder Hinsicht den datenschutzrechtlichen Vorgaben genügt. Bei vorsätzlichen Pflichtverstößen tritt das allgemeine Persönlichkeitsrecht der Beschäftigten regelmäßig hinter das Aufklärungsinteresse des Arbeitgebers zurück. „Datenschutz ist nicht Tatenschutz" – diese Linie ist gefestigt; die Pflicht, datenschutzrechtliche Vorgaben einzuhalten, bleibt davon unberührt.
• Personalratsbeteiligung: Nach PersVG LSA ist die Einführung und wesentliche Änderung der Videoüberwachung mitbestimmungspflichtig (Verhaltens- und Leistungskontrolle). Die Beteiligung sollte vor Inbetriebnahme erfolgen und in einer Dienstvereinbarung dokumentiert sein.
• Heimliche Überwachung: Außerhalb sehr enger Ausnahmen (konkreter Tatverdacht, mildere Mittel ausgeschöpft) regelmäßig unzulässig.

Art. 88, Art. 6 Abs. 1 lit. e DSGVO; § 26 BDSG (auf Bundesebene; in Sachsen-Anhalt keine entsprechende Generalklausel; § 26 DSAG LSA betrifft nur Personalakten und Eignungsuntersuchungen); PersVG LSA; EuGH, Urteil v. 30.03.2023 – C-34/21; BAG, Urteil v. 29.06.2023 – 2 AZR 296/22

Auch bei Videoüberwachung gelten die Betroffenenrechte aus Kapitel III DSGVO:

• Auskunft (Art. 15): Aufzeichnungen sind grundsätzlich auf Antrag herauszugeben, soweit die betroffene Person erkennbar identifizierbar ist und Rechte Dritter nicht entgegenstehen. In der Praxis wird häufig anonymisiert geliefert (Maskierung Dritter).
• Berichtigung/Löschung (Art. 16/17): Bei Videoaufzeichnungen praktisch durch Lösch-/Sperrkonzept umgesetzt.
• Widerspruch (Art. 21): Betroffene können der Verarbeitung aus Gründen ihrer besonderen Situation widersprechen; die Hochschule muss überwiegende schutzwürdige Gründe darlegen können.
• Beschwerde (Art. 77): Bei der Landesbeauftragten für den Datenschutz Sachsen-Anhalt.
• Schadensersatz (Art. 82): Auch immaterielle Schäden möglich (vgl. EuGH, Urteil v. 04.05.2023 – C-300/21 „Österreichische Post").

Datenanfragen von Strafverfolgungsbehörden sind besonders zu behandeln: Eine Herausgabe ist nur auf Grundlage einer entsprechenden Anordnung (Beschluss, Beschlagnahme, Auskunftsersuchen mit Rechtsgrundlage) zulässig. Standard-Vorgehen: Kontakt zwischen Justiziariat und Datenschutzmanagement, Dokumentation der Anfrage und der Herausgabe. Art. 15, 17, 21, 77, 82 DSGVO; EuGH, Urteil v. 04.05.2023 – C-300/21 „Österreichische Post"; § 161 StPO

1. Stützung auf Art. 6 Abs. 1 lit. f DSGVO: Für öffentliche Stellen in Aufgabenerfüllung ausgeschlossen. Der Rückgriff auf das berechtigte Interesse statt § 8 DSAG LSA ist eine klassische Fehlerquelle.
2. Pauschale 14- oder 30-Tage-Speicherung: Regelmäßig unverhältnismäßig; Aufsichtspraxis 48–72 h ist die Norm.
3. Information allein durch Piktogramm: Genügt nicht – die zweistufige Information ist Pflicht.
4. Übersehene Personalratsbeteiligung: Mitbestimmungsfreie Einführung wird in der Regel angreifbar; Dienstvereinbarung empfehlenswert.
5. Kerngrundrechtsbereiche überwacht: Toiletten, Umkleiden, Pausenräume, Stillräume sind tabu.
6. Drittland-Cloud-Speicherung: Hosting der Aufzeichnungen bei US-Anbietern ohne TIA und ergänzende Maßnahmen ist regelmäßig unzulässig (siehe Themenseite Drittlandstransfer).
7. KI-Videoanalyse ohne Risikoprüfung: Die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen ist nach Art. 5 Abs. 1 lit. h KI-VO für Strafverfolgungsbehörden grundsätzlich verboten (mit engen Ausnahmen). Hochschulen und sonstige öffentliche Stellen sind regelmäßig nicht Adressat dieses Verbots, sollten aber prüfen, ob ihre Videoanalyse-Systeme nicht ohnehin als Hochrisiko-KI-Systeme einzustufen sind (vgl. Anhang III KI-VO; siehe Themenseite KI-Governance).
8. Wartungsdienstleister ohne AVV: Externe Anbieter, die Zugriff auf Aufzeichnungen haben, sind Auftragsverarbeiter. AVV nach Art. 28 DSGVO ist zwingend.