Videoüberwachung

LfDI BW: Fragebogen zur Videoüberwachung

Dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit in Baden-Württemberg (LfDI BW) wurde via „FragDenStaat“ eine Frage zu den von der Aufsichtsbehörde verwendeten Fragebögen gestellt.Die Anfrage lautete sinngemäß: „Bitte senden Sie mir die im Rahmen Ihrer behördlichen Tätigkeit aktuell bei Datenschutzverfahren verwendeten Fragenkataloge zur Prüfung von Umsetzung und Einhaltung des Datenschutzrechts.“

Gestern ist nun die Antwort des LfDI BW auf „FragDenStaat“ hier veröffentlicht worden. Der LfDI BW hat geantwortet, dass nur ein Fragebogen zur Videoüberwachung verwendet werden würde. Und dieser wurde dann ebenfalls hier (PDF) zur Verfügung gestellt.

Und der Inhalt des Fragebogens ist für die Unternehmen (nicht nur in Baden-Württemberg) interessant. Denn so kann man eine Art „Selbstcheck“ vornehmen, ob man im Bereich Videoüberwachung seine Hausaufgaben gemacht und eine Anfrage der Aufsichtsbehörde gut beantworten könnte. Folgende 15 Fragen sind im Fragebogen enthalten:

  1. Trifft es zu, dass Sie eine Videoüberwachungsanlage installiert haben und betreiben? Falls eine Anlage von einer anderen Person oder Organisation (Unternehmen, Betrieb, Verein o. Ä.) betrieben wird, teilen Sie uns deren Name und Anschrift mit.
  2. Wie viele Kameras sind in Betrieb?
  3. Wo sind die einzelnen Kameras installiert und welche räumlichen Bereiche werden mit ihnen jeweils beobachtet? Bitte legen Sie dazu eine Skizze und Fotos der Örtlichkeit (Bilder der Kameras in ihrem Umfeld) sowie für jede einzelne Kamera einen zuordenbares Bildschirmfoto (Screenshot, Bildschirmkopie, fotoähnliche Abbildung der aktuellen grafischen Wiedergabe des Kamera) des Erfassungsbereichs der Kamera vor, damit nachvollzogen werden kann, was die Kameras abbilden. Bitte geben Sie dabei auch an, ob Arbeitsplätze (Welche Art von Arbeitsplätzen? Kurzzeitig genutzte oder dauerhaft genutzte Arbeitsplätze?) von der Kamera erfasst werden.
  4. Nennen Sie bitte die genaue Bezeichnung der verwendeten Kameramodelle. Geben Sie auch Informationen zu ggf. eingesetzten Funktionen wie Zoom, Schwenkbarkeit und Audioübertragung. Legen Sie Ihrer Stellungnahme Darstellungen der Hersteller (technischer Aufbau, Datenblätter, Dokumentationen) der Kameras bei.
  5. Geben Sie für jede Kamera an, ob die Erfassung dauerhaft erfolgt oder nur während bestimmter Zeiträume (z. B. an allen Werktagen von 22 Uhr bis morgens 4 Uhr) oder durch bestimmte Ereignisse (z. B. bewegtes Objekt im Erfassungsbereich) ausgelöst wird. In letzterem Falle teilen Sie uns bitte mit, ob und wie groß die Vor- und Nachlaufzeiten für die Speicherung der Aufnahmen eingestellt sind.
  6. Werden die Aufnahmen der Kameras auf einen/mehrere Überwachungsmonitor/e übertragen? Wenn ja, wer beobachtet diese(n) Monitor(e)? Kann/können der/die Monitor(e) nur von Berechtigten eingesehen werden? Legen Sie uns bitte eine Skizze des Standorts des Überwachungsmonitors vor oder ein Bild des Standorts.
  7. Werden die Aufnahmen (oder ggf. welche Aufnahmen) gespeichert und in welcher Form (z. B. auf Magnetband oder in einem elektronischen Speicher, als Videosequenz oder Einzelbilder)? Wenn ja, wo werden die Aufzeichnungen gespeichert, wer hat unter welchen Voraussetzungen Zugriff?
  8. Falls eine Speicherung erfolgt: Wie lange werden die Aufnahmen gespeichert, wann und wie werden die Daten gelöscht?
  9. Werden Aufnahmen an Dritte übermittelt? Falls ja, an wen, für welchen Zweck und auf welcher Rechtgrundlage?
  10. Besteht eine Zugriffsmöglichkeit auf die Videobilder (live oder aufgezeichnet) von außen, z.B. über eine Smartphone-App per WLAN? Falls ja, warum und unter welchen Voraussetzungen wird von außen zugegriffen?
  11. Beschreiben Sie bitte den Zweck jeder einzelnen Kamera und nennen Sie die Rechtsgrundlage (Gesetz, Verordnung o. Ä.), auf der die Videoüberwachung jeweils erfolgt. Bitte erläutern Sie die Ereignisse, derentwegen Sie die Videoüberwachungsanlage installiert haben (Art des Ereignisses, Zeitpunkt, Tageszeit und Schadenshöhe, ggf. Aktenzeichen der Polizei oder Schadensmeldung bei der Versicherung). Sollte es keine konkreten Vorkommnisse gegeben haben, beschreiben Sie bitte, weshalb der videoüberwachte Bereich so gefährdet ist, dass er zwingend videoüberwacht werden muss.
  12. Wurden mildere Maßnahmen, die für das Recht auf Schutz der personenbezogenen Daten der Betroffenen weniger einschneidend sind (bspw. der Einsatz einer Alarmanlage, häufigere Kontrollen durch Personal, Zutrittssicherungen), in Betracht gezogen? Mit welcher Begründung wurden diese verworfen?
  13. Weisen Sie auf die Videoüberwachung hin, ggf. wo und wie (vgl. § 4 Absatz 2 BDSG i.V. mit Art. 12 ff. DS-GVO)? Bitte legen Sie uns ein Foto des Hinweises vor. Wurden Mitarbeiterinnen und Mitarbeiter, die von der Videoüberwachungsmaßnahme betroffen sein können, darüber unterrichtet? Wenn ja, auf welche Weise? Besteht eine Betriebsvereinbarung? Falls ja, legen Sie uns diese bitte vor.
  14. Bitte legen Sie uns das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DS-GVO inklusive einer allgemeinen Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1 DS-GVO vor. Bezüglich des Inhalts dieser Verfahrensbeschreibung können Sie sich am Wortlaut des Art. 30 Absatz 1 DS-GVO oder den Hinweisen der Datenschutzkonferenz orientieren.
  15. Beabsichtigen Sie, das bisherige Verfahren zu ändern, die Videoüberwachung einzustellen oder die Videokameras zu entfernen?

Eine interessante Liste, mit der man sich selbst ganz gut auf potentielle Fragen einer Aufsichtsbehörde zur Videoüberwachung vorbereiten kann.

Praxisreihe Videoüberwachung (DSGVO): Das Hinweisschild

Update (21.05.2019): Ich habe das Hinweisschild noch einmal weiter vereinfacht.

Ich beginne hier mit einer kleinen Reihe von Praxis-Beiträgen zur Videoüberwachung. Die Beiträge richten sich – wie der Name schon sagt – an Praktiker. Also z.B. Unternehmen, die Videoüberwachung einsetzen oder einsetzen wollen. Ich blende dabei bewusst juristische Probleme, die wir im Bereich der Videoüberwachung zuhauf haben, weitgehend aus.

Wie hier auf der Seite üblichen verfolge ich den Ansatz der GM-Methode. Das bedeutet, dass die Umsetzung nach gesundem Menschenverstand (GM) erfolgt. Wir schauen uns also den Sinn und Zweck einer Norm an und versuchen die Anforderungen der DSGVO praktikabel umzusetzen.

In diesem ersten Teil geht es um die Erfüllung der Informationspflichten:

Während wir früher relativ einfache Hinweisschilder zur Videoüberwachung benötigten (mein Beitrag zur alten Rechtslage) und nur der Umstand der Beobachtung und die „verantwortliche Stelle“ (heute: „Verantwortlicher“) durch geeignete Maßnahmen erkennbar zu machen war, haben wir es heute mit der gesamten „Armada“ der Informationspflichten aus Art. 13 DSGVO zu tun.

Und das gilt unabhängig von der Streitfrage, ob nun § 4 BDSG als einschlägige Norm für die Videoüberwachung (durch nichtöffentliche Stellen wie z.B. Unternehmen) zum Tragen kommt oder die insoweit meines Erachtens vorrangige Norm des Art. 6 Abs. 1 lit. f) DSGVO anwendbar ist.

Wenn wir alle Pflichtangaben aus den Art. 12, 13 DSGVO auf ein Schild pressen wollten, dann wäre das Schild gänzlich unbrauchbar und würde genau seinen Zweck verfehlen: Die transparente und übersichtliche Information des Betroffenen über die Videoüberwachung. Und das wäre gerade nicht gesunder Menschenverstand.

Auch die deutschen Aufsichtsbehörden haben sich Gedanken über Hinweisschilder zur Videoüberwachung gemacht und auch ein Muster mit Hinweisen dazu veröffentlicht. Das sieht so aus:

Ich habe dieses Muster einigen Mandanten gezeigt. Die Begeisterung hielt sich in Grenzen. Ich habe in den vergangenen Wochen auch diverse dieser Schilder in der Praxis live gesehen. So sehr ich das Bemühen der Aufsichtsbehörden schätze, meine ich, dass das Hinweisschild optimierungsfähig ist. Es hat so viele „Informations-Punkte“, dass es für Passanten oder Besucher „überbordend“ ist.

Ich habe seit Geltung der DSGVO häufiger Freunde und Bekannte angesprochen, wenn wir gemeinsam z.B. bei Veranstaltungen (Hafenfest etc.) vermeintlich „DSGVO-konformen“ Hinweisschildern begegnet sind. Werden diese Schilder wahrgenommen oder gelesen? Wahrgenommen ja, gelesen nicht – war die Regelantwort. Das sei juristisches Kleingedrucktes, das wie AGB nicht gelesen werden würde. Wenn ich ganz ehrlich bin, glaube ich, dass diese Schilder in der Regel nur von „Datenschützern“ gelesen werden, also Menschen, die beruflich mit Datenschutzthemen befasst sind und vielleicht schauen wollen, wie „die anderen“ das so umsetzen. Für alle anderen ist es wohl häufig Verschwendung von Lebenszeit, so der O-Ton eines Bekannten von mir.

Ich habe keine Menschen kennengelernt, die die Hinweise auf den Schildern gelesen haben oder gar lesen wollten. Ein Hinweis, dass eine Videoüberwachung stattfindet, wurde von den meisten Menschen, mit denen ich gesprochen habe, für gut befunden. Dass „Wie“ einer Videoüberwachung hingegen wurde wenig relevant bzw. interessant wahrgenommen.

Kommen wir jetzt zu den Fragen, die sich bei Hinweisen zur Videoüberwachung häufig stellen?

Muss denn nun alles, was in Art. 13 DSGVO als Pflichtinformationen für Betroffene anzugeben ist, auf einem Schild angegeben werden?

Nein, dass muss es nicht. Es dürfte mittlerweile als anerkannt – gerade die europäischen Aufsichtsbehörden waren hier sehr konstruktiv – gelten, dass ein sog. Medienbruch bei Erteilung von Informationen zum Datenschutz zulässig ist.
Was bedeutet Medienbruch? Das ist ganz einfach an z.B. dem Hinweisschild für eine Videoüberwachung zu erklären: Es werden auf dem Schild einige Angaben zur Videoüberwachung und zum Verantwortlichen gemacht. Und dann wird für weitere Informationen auf ein anderes Medium verwiesen. Das kann z.B. das Internet sein. Denn heute hat der Großteil der Bevölkerung Zugang zum Internet – und zwar auch von unterwegs.

Und so sind z.B. in meinem Muster eines Hinweises zur Videoüberwachung nur Grundangaben zur Videoüberwachung gemacht.

 

Welche Zwecke sind rechtlich zulässig?

Auch wenn umstritten ist, ob § 4 BDSG für Unternehmen im Bereich der Videoüberwachung von öffentlichen Räumen anwendbar ist, können wir aus den dort genannten Zweckangaben „Honig saugen“. Denn diese passen in der Praxis sehr häufig. Legitime Zwecke können daher z.B. sein:

  • Wahrnehmung des Hausrechts („Zutritt nur für Berechtigte“ bzw. Schutz/Ahndung von Zutritten Unberechtigter)
  • Wahrnehmung berechtigter Interessen

Die Wahrnehmung berechtigter Interessen kann insbesondere die Prävention von Straftaten sein („präventiv“). Viel häufiger werden die Interessen aber „repressiver“ Natur sein. Es geht also um die Fälle, in denen z.B. etwas gestohlen oder beschädigt wurde und die Videoaufzeichnungen für Zwecke der Beweissicherung und Ermöglichung der Strafverfolgung und damit auch der späteren Geltendmachung von zivilrechtlichen Ansprüchen wie z.B. Schadensersatz verwendet werden sollen.

Auch weitere Zwecke sind denkbar. Die Auflistung oben ist also nicht abschließend.

Was für berechtigte Interessen muss ich angeben?

In dem Muster für das Videoüberwachungsschild der Aufsichtsbehörden ist die Angabe von „Interessen“ vorgesehen. Hintergrund dafür ist, dass ich meine „Interessen“ angeben muss, wenn ich mich auf die für die Videoüberwachung meist einschlägige Rechtsgrundlage der Verarbeitung auf Basis einer „Interessenabwägung“ stütze. In der Praxis sind die Angaben zu Zwecken und Interessen häufig aber identisch. Es ist hier rechtlich nicht zwingend erforderlich, dies doppelt anzugeben. Entscheidend ist, dass der Betroffene nachvollziehen kann, was Zwecke und Interessen des Verantwortlichen bei der Videoüberwachung sind.

Wieso ist dein Schild denn in „gelb“ und nicht wie bei Videoüberwachung „üblich“ in „blau“?

Seit der DIN 33450 wird häufig ein Piktogramm zur Kenntlichmachung von Videoüberwachung genutzt, das eine weiße Kamera auf blauem Grund zeigt. Ein ähnliches Symbol befindet sich auch in dem o.g. Muster der Aufsichtsbehörden.

Ich mag das „Blau“ dieser Kennzeichen zwar. Aber: Da in meinem Muster die von den Aufsichtsbehörden aufgestellten Anforderungen, die rechtlich unverbindlich sind, unterschritten werden, war meine Überlegung, das Ganze nach gesundem Menschenverstand („GM“) so anzugehen, dass das Schild zwar weniger Informationen, dafür aber mehr Wirkung beim Betroffenen entfaltet.

Und da bietet sich die Verwendung von Warnfarben aus der Natur an. Warnfarben sind in der Regel gelb, orange und rot. Da mir rot zu „krass“ war, ich orange nicht passend fand, lag folgender Gedanke bei umhersummenden Wespen im Spätsommer nahe. Warum nicht also gelb und schwarz für das Hinweisschild verwenden? Yep…that’s it. Und wie passend, dass auch andere Schilder zur Warnung diesen Gedanken nutzen:

Mein Hinweisschild soll also nicht ein neutrales „Blau“, sondern vielmehr eine gelbe Warnung mit schwarzer Schrift darstellen. Das hat den Vorteil, dass Betroffene sehr viel deutlicher auf den Umstand der Videoüberwachung hingewiesen werden als bei der Verwendung der blauen Farbe. Und ich meine, dass es dann aber auch vertretbar ist, den Medienbruch zu nutzen, um nur die wesentlichen Informationen anzugeben.

Muss nicht die Speicherdauer direkt auf dem Schild angegeben werden?

Auch wenn die Aufsichtsbehörden dies verlangen, lässt sich der DSGVO nicht direkt entnehmen, dass ein Hinweis auf die Speicherdauer direkt auf dem Schild zwingend erforderlich ist. Ich meine, dass es das nicht ist.

Denn die Angabe der Speicherdauer kann den Zweck einer Videoüberwachung ggf. sogar gefährden. Wenn z.B. eine Person auf einem Hinweisschild zur Videoüberwachung mit der Nase darauf gestoßen wird, dass die Speicherung nur für 24 Stunden erfolgt (die Aufsichtsbehörden halten fälschlicherweise 24-48 Stunden für maximal zulässig – dazu demnächst mehr in einem weiteren Beitrag), dann könnte er z.B. strafbare Handlungen zeitlich so planen, dass die Beweissicherung für die Geltendmachung rechtlicher Ansprüche ins Leere laufen würde.

Natürlich könnte man jetzt argumentieren, dass auch potentielle Straftäter die Datenschutzhinweise im Internet dann nachlesen könnten. Und genau das ist richtig. Denn das hier vorgebrachte Argument ist ein schwaches Argument.

Genauso schwach ist aber auch das Argument, dass die Videohinweise zwingend auf ein Schild müssten, wenn der Zugang zu den Informationen über das Internet doch (für potentielle Straftäter) so einfach wäre. Was ein potentieller Straftäter kann, wird auch jeder andere Bürger hinbekommen können.

Für eine konkrete Angabe der Speicherdauer gibt es im Hinblick auf den Schutz der Betroffenen m.E. kein zwingendes Erfordernis. Es kann angegeben werden, es reicht aber meiner Meinung nach auch aus, dieses in weiteren Datenschutzhinweisen im Internet anzugeben.

Und hier ist nun das Hinweisschild zur Videoüberwachung

Ich stelle das Hinweisschild im Powerpoint-Format zur Verfügung. So kann es von wohl den meisten verwendet und vor allem nach eigenen Bedürfnissen geändert werden. Die Datei findet ihr hier zum Download:

Nutzungsrechte:
Die Datei kann frei für private und gewerbliche Zwecke verwendet werden. Änderungen sind nicht nur zulässig, sondern erwünscht, um die Hinweise an die „eigene“ Videoüberwachung anzupassen. Die Grafiken in der Datei können ebenfalls weiterverwendet werden. Die Schriftart kann (Source Sans Pro) natürlich auch verändert werden.
Viel Spaß damit!

Okay…und was schreibe ich nun in die Datenschutzhinweise zur Videoüberwachung auf die Website?

Für Datenschutz-Coaching-Mitglieder habe ich da ein Muster entwickelt, das als Vorlage dienen kann:


Hinweis: Du siehst hier keine (weiteren) Inhalte, weil du kein Datenschutz-Coaching-Mitglied bist. Vielleicht möchtest du aber auch die Vorteile des Datenschutz-Coachings nutzen? Dann kannst du hier mehr erfahren, buchen und dann sofort auf die Inhalte zugreifen.

Wie lange darf ich Videoüberwachungsdaten speichern?

Es ist rechtlich alles andere als klar, wie lange ich Daten aus einer Videoüberwachung speichern darf. Die Aufsichtsbehörden haben hier eine recht klare Maßgabe. So heißt es im Kurzpapier Nr. 15 der DSK zur Videoüberwachung nach der Datenschutz-Grundverordnung (PDF):

Die Daten der Videoüberwachung sind unverzüglich zu löschen, wenn sie zur Erreichung der Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 lit. a DS-GVO) oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen. Ob eine Sicherung des Materials notwendig ist, dürfte grundsätzlich innerhalb von ein bis zwei Tagen geklärt werden können. Unter Berücksichtigung von Art. 5 Abs. 1 lit. c und e DS-GVO – „Datenminimierung“ und „Speicherbegrenzung“ – sollte demnach grundsätzlich, wie bisher auch, nach 48 Stunden eine Löschung erfolgen.

Auch ansonsten lassen Aufsichtsbehörden verlauten, dass eine Speicherdauer von 48 – 72h nicht überschritten werden sollte. Das ist aber nur eine Auffassung der Aufsichtsbehörden. Die ist „gewichtig“, aber eben nicht allein ausschlaggebend.

Letztlich kommt es bei einer Verarbeitung von Daten zu einer Videoüberwachung immer darauf an, dass ich eine Rechtsgrundlage für die Verarbeitung der Daten habe. Für eine Videoüberwachung wird das (nicht § 4 BDSG – wie ich im Video erläutere) regelmäßig Art. 6 Abs. 1 lit. f) DSGVO sein. Und wie bei der Löschung von Daten nach Art. 17 DSGVO kommt es immer auf eine Interessenabwägung an.

Nur wie führe ich so eine Interessenabwägung durch? Und ist das Standard-Datenschutzmodell (SDM) dafür hilfreich?

Wann darf ich unter welchen Umständen Videoaufzeichungen länger als 48 Stunden speichern? Darf ich als Tankstellenbetreiber eventuell sogar Videoaufzeichnungen für 40 Tage speichern?

Mit all diesen Fragen beschäftige ich mich mit diesem flink und ohne Rücksicht auf die Qualität produzierten Video:

Eine reine Audio-Version des Beitrags werde ich in den kommenden Tagen noch über den Podcast verteilen.