Videoüberwachung im Geschäft: Speicherdauer, Zugriff und Auskunft rechtssicher festlegen

Kameras im Eingangs- oder Kassenbereich können dem Schutz von Personen und Sachen dienen. Rechtmäßig ist eine Videoüberwachung aber nicht schon deshalb, weil ein Geschäft offensteht oder es in der Vergangenheit zu Vorfällen gekommen ist. Zweck, räumlicher Ausschnitt, Rechtsgrundlage, Kennzeichnung, Speicherdauer und Zugriff müssen zusammenpassen.

Dieser Beitrag behandelt die betriebliche Videoüberwachung im Geschäft. Im Mittelpunkt stehen Aufzeichnungen, die kurze Aufbewahrung, die Sicherung gegen unbefugten Zugriff und der Umgang mit Auskunftsbegehren. Die Kontrolle von Beschäftigten, eine Datenpanne und eine allgemeine Sicherheitsorganisation sind davon zu unterscheiden. Für die übergreifende Einordnung hilft die Schwerpunktseite zu Datenschutz-Governance.

Eine Kamera darf nicht einfach deshalb laufen, weil sie technisch verfügbar ist. Das Unternehmen muss den konkreten Zweck festlegen, etwa den Schutz des Eingangs, der Kassen oder bestimmter Waren. Daraus ergibt sich, welcher Bereich erfasst werden darf und welche Aufzeichnung für die Zielerreichung tatsächlich erforderlich ist.

Für eine private Videoüberwachung kommen insbesondere eine Einwilligung, eine gesetzliche Grundlage oder überwiegende berechtigte Interessen in Betracht. Bei einem Geschäft muss das Schutzinteresse gegen die Interessen und Grundrechte der erfassten Personen abgewogen werden. Art. 5 und Art. 6 DSGVO verlangen unter anderem Zweckbindung, Datenminimierung und eine tragfähige Rechtsgrundlage. Eine pauschale Berufung auf Sicherheit ersetzt diese Prüfung nicht.

§ 12 DSG enthält für Bildaufnahmen zusätzliche österreichische Vorgaben. Eine Bildaufnahme kann unter bestimmten Voraussetzungen zum vorbeugenden Schutz von Personen oder Sachen auf einer eigenen Liegenschaft oder an öffentlich zugänglichen Orten zulässig sein. Eine Kontrolle von Arbeitnehmern durch Bildaufnahme ist ausdrücklich unzulässig. Die Einordnung des berechtigten Interesses ist daher nur ein Ausgangspunkt und keine automatische Freigabe.

Der Bildausschnitt muss auf den Schutzbereich begrenzt sein. Ein Eingang kann eine andere Beurteilung erfordern als ein Aufenthaltsraum, ein Büro oder ein Gehsteig vor dem Geschäft. Prüfen Sie Kamerawinkel, Zoom, Auflösung und digitale Maskierungen. Eine unvermeidbare Einbeziehung eines kleinen öffentlichen Bereichs ist nicht mit einer weitflächigen Beobachtung des Straßenraums gleichzusetzen.

Die betroffenen Personen müssen die Verarbeitung erkennen können. § 13 DSG verpflichtet den Verantwortlichen grundsätzlich zu einer geeigneten Kennzeichnung, aus der der Verantwortliche eindeutig hervorgeht, sofern er nicht ohnehin bekannt ist. Zusätzlich müssen die Informationspflichten nach Art. 13 DSGVO in verständlicher Form erfüllt werden. Ein kleines Schild ohne klare Information über Verantwortlichen, Zweck und weitere Hinweise reicht nicht immer aus.

Bewahren Sie einen Plan der Kameras, eine Beschreibung der Blickwinkel und die verwendeten Hinweistexte auf. Wenn sich Kassenbereich, Eingangszone oder Geschäftsfläche ändern, muss die Dokumentation nachgeführt werden. Für die technische Planung ist Datenschutz durch Technikgestaltung ein hilfreicher Anknüpfungspunkt.

Die DSGVO verlangt Speicherbegrenzung. Aufzeichnungen dürfen daher nur so lange identifizierbare Personen zeigen, wie es für den festgelegten Zweck erforderlich ist. Eine unbegrenzte Vorratsspeicherung ist keine angemessene Standardlösung. Unternehmen sollten nicht nur eine Zahl in eine Richtlinie schreiben, sondern die Dauer mit dem konkreten Schutzinteresse und den Abläufen im Geschäft begründen.

§ 13 Abs. 3 DSG verlangt die Löschung, sobald die Aufnahmen für den Zweck nicht mehr benötigt werden und keine gesetzliche Aufbewahrungspflicht entgegensteht. Eine Aufbewahrung von mehr als 72 Stunden muss verhältnismäßig sein, gesondert protokolliert und begründet werden. Die 72 Stunden sind deshalb keine pauschale Freigabe für jede Aufzeichnung und auch kein allgemeiner Anspruch auf eine bestimmte Speicherdauer.

Für einen konkreten Vorfall kann ein relevanter Ausschnitt gesondert gesichert werden. Dann müssen Anlass, Umfang, Zugriff und weitere Aufbewahrung dokumentiert werden. Die übrige Routineaufzeichnung darf nicht deshalb insgesamt weiterlaufen, weil ein einzelner Ausschnitt benötigt wird. Die Speicherbegrenzung sollte mit dem Löschprozess und den Verantwortlichkeiten verknüpft werden.

Videoaufnahmen sind keine frei zugängliche interne Informationsquelle. Legen Sie fest, welche Personen Aufzeichnungen ansehen, exportieren oder löschen dürfen und für welchen Anlass ein Zugriff erlaubt ist. Der Zugang muss gegen unbefugte Nutzung geschützt sein. Gemeinsame Passwörter, offene Monitore und automatische Weiterleitungen in private Geräte passen nicht zu einem kontrollierten Zugriffskonzept.

Nach § 13 DSG müssen geeignete Datensicherheitsmaßnahmen verhindern, dass Unbefugte auf Bildaufnahmen zugreifen oder sie nachträglich verändern. Außer bei einer Echtzeitüberwachung ist jeder Verarbeitungsvorgang zu protokollieren. Ein Protokoll sollte erkennen lassen, wer wann aus welchem Anlass auf eine Aufnahme zugegriffen oder sie weiterverarbeitet hat.

Für die laufende Organisation können technische und organisatorische Maßnahmen aus der Übersicht zu technischen und organisatorischen Maßnahmen übernommen und an das Kamerasystem angepasst werden. Dienstleister, Wartung und Cloudspeicher brauchen eine gesonderte Rollen- und Vertragsprüfung. Die Maßnahme darf nicht bei der Anschaffung der Kamera enden.

Betroffene Personen können nach Art. 15 DSGVO Auskunft darüber verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Dazu kann die Kopie der sie betreffenden Daten gehören. Bei Videoaufnahmen muss das Unternehmen die Identität ausreichend klären, den relevanten Zeitraum und Bereich ermitteln und die Rechte anderer Personen berücksichtigen.

Eine Herausgabe der gesamten Datei ist nicht automatisch erforderlich. Vor dem Versand können Schwärzungen oder eine andere Darstellung nötig sein, wenn weitere Personen erkennbar sind. Die Antwort darf das Auskunftsrecht aber nicht durch eine pauschale Schwärzung oder durch das bloße Behaupten eines unverhältnismäßigen Aufwands leerlaufen lassen. Das Auskunftsrecht und die Aufbereitung der Kopie sind im Einzelfall zusammen zu prüfen.

Erfassen Sie Eingang, Identitätsprüfung, betroffenen Zeitraum, Suchergebnis, Schwärzungen, Übermittlungsweg und Frist. Art. 12 Abs. 3 DSGVO sieht grundsätzlich eine Antwort innerhalb eines Monats vor. Eine Verlängerung um bis zu zwei weitere Monate ist bei Komplexität oder zahlreichen Anträgen möglich, muss aber rechtzeitig mit Gründen mitgeteilt werden. Die Checkliste zum Auskunftsbegehren hilft, diesen Ablauf vollständig zu dokumentieren.

Die Kamera läuft ohne konkreten Zweck: Eine allgemeine Sicherheitsformel erklärt weder den Bildausschnitt noch die Erforderlichkeit der Aufzeichnung.

Die Aufbewahrung ist dauerhaft: Routineaufnahmen werden nicht automatisch rechtmäßig, nur weil das System genügend Speicherplatz hat.

Beschäftigte werden laufend kontrolliert: Eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern ist nach § 12 DSG unzulässig.

Nur das Schild wird geprüft: Kennzeichnung und vollständige Information nach DSGVO müssen mit Zweck, Rechtsgrundlage und praktischer Verarbeitung übereinstimmen.

Jeder Zugriff bleibt unsichtbar: Fehlende Berechtigungen und Protokolle erschweren die Kontrolle und können unbefugte Nutzung nicht verhindern.

Wir prüfen Zweck, Kameraplan, Rechtsgrundlage, Hinweistexte, Speicherdauer, Löschroutine, Berechtigungen, Protokollierung und den Ablauf für Auskunftsbegehren. Wenn Sie neue Kameras planen oder eine bestehende Überwachung überprüfen möchten, können Sie uns die aktuelle Dokumentation und die Beschreibung der Geschäftsflächen übermitteln. Rechtsnews abonnieren und neue rechtliche Hinweise der Kanzlei erhalten.