Datenschutzrechtliche Anforderungen an Videoüberwachung auf dem Firmengelände

1. Rechtsgrundlagen

Die Videoüberwachung durch Unternehmen ist eine Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 1 und Nr. 2 DSGVO, da Beschäftigte, Kunden und Servicepartner identifizierbar sind.

Die wesentlichen Rechtsgrundlagen sind:

• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse (z. B. Schutz des Eigentums, Zutrittskontrolle, Wahrung von Sicherheit). Für die Überwachung öffentlich zugänglicher Räume durch private Unternehmen ist nach der Rechtsprechung des Bundesverwaltungsgerichts Art. 6 Abs. 1 lit. f DSGVO maßgeblich, nicht § 4 BDSG (BVerwG, Urteil vom 27.3.2019 – 6 C 2.18).
• Soweit Beschäftigte betroffen sind: Seit dem Urteil des EuGH vom 30.3.2023 (C-34/21) ist umstritten, ob § 26 Abs. 1 Satz 1 BDSG noch als eigenständige Rechtsgrundlage herangezogen werden kann. Nach überwiegender Auffassung ist die Zulässigkeit unmittelbar an Art. 6 Abs. 1 DSGVO zu messen. Inhaltlich bleibt es bei einer strengen Erforderlichkeits- und Verhältnismäßigkeitsprüfung; eine gezielte Überwachung zur Aufdeckung von Straftaten setzt dokumentierte tatsächliche Anhaltspunkte voraus (vgl. § 26 Abs. 1 Satz 2 BDSG).
• Art. 5 Abs. 1 DSGVO: Grundsätze der Verarbeitung (Datenminimierung, Zweckbindung, Speicherbegrenzung, Transparenz).

Eine Interessenabwägung ist zwingend erforderlich: Die schutzwürdigen Interessen der Betroffenen (Mitarbeiter, Kunden, Monteure, Lieferanten) dürfen nicht überwiegen. Bereiche, die der Intimsphäre oder privaten Lebensgestaltung dienen (z. B. Sanitäranlagen, Umkleiden, Pausenräume), dürfen nicht überwacht werden.

2. Zulässigkeit der Installation von Kameras

• Keine flächendeckende Überwachung: Kameras dürfen nicht „überall“ angebracht werden. Eine Überwachung kommt nur an sicherheitsrelevanten Punkten in Betracht, an denen ein berechtigtes Interesse konkret dargelegt werden kann (z. B. Warenannahme, Warenausgabe, Lagerbereiche, Ein- und Ausgänge).
• Parkplätze und angrenzende Flächen: Werden Bildbereiche durch Schwärzung (Privatzonenmaskierung) ausgeblendet, sollte regelmäßig überprüft werden, dass die Maskierung noch greift und keine Rückschlüsse auf Kennzeichen oder Personen möglich sind.
• Mehrere Gesellschaften auf einem Gelände: Es ist genau zu prüfen, wer Verantwortlicher ist (Art. 4 Nr. 7 DSGVO).
• Bei geteiltem Gelände mit getrennter Kamerainstallation ist jede Gesellschaft für ihre Anlage allein verantwortlich.
• Bei gemeinsamer Festlegung von Zwecken und Mitteln, etwa gemeinsamer Nutzung der Bilder, liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor; die Vereinbarung ist schriftlich oder elektronisch zu dokumentieren.

3. Speicherung und Aufbewahrungsdauer

• Grundsatz: so kurz wie möglich.
• Orientierungswert der Aufsichtsbehörden: 72 Stunden, wenn keine Vorfälle eingetreten sind.
• Verlängerung nur, wenn ein besonderer Grund dokumentiert ist (z. B. Wochenenden, mehrtägige Feiertage oder Betriebsferien, in denen Schäden nicht sofort bemerkt werden können), und nur für die betroffenen Kameras und Zeiträume.
• Längere Speicherung nur bei Vorfällen (z. B. Diebstahl, Unfall) und nur so lange, wie zur Aufklärung oder Durchsetzung von Ansprüchen erforderlich.

Rechtsgrundlage: Art. 5 Abs. 1 lit. c und e DSGVO (Datenminimierung, Speicherbegrenzung), Art. 17 Abs. 1 lit. a DSGVO.

4. Zugriff auf die Aufzeichnungen

• Zugriff nur für einen eng begrenzten, autorisierten Personenkreis (z. B. Leitung Logistik, Informationssicherheitsbeauftragter, Geschäftsführung).
• Live-Zugriff: ebenfalls nur für autorisierte Personen, die einen sachlichen Grund haben (z. B. Steuerung der Warenabholung, Gefahrenabwehr).
• Dokumentation der Berechtigungen: schriftlich festlegen, wer Zugriff hat, und technische Maßnahmen umsetzen (z. B. Passwortschutz, Protokollierung von Zugriffen).
• Keine Weitergabe an Dritte ohne Rechtsgrundlage. Besteht eine gesetzliche Herausgabepflicht, etwa aufgrund einer strafprozessualen Anordnung, ist Art. 6 Abs. 1 lit. c DSGVO einschlägig. Eine freiwillige Übermittlung an Polizei oder Staatsanwaltschaft zur Verfolgung von Straftaten richtet sich nach Art. 6 Abs. 1 lit. f DSGVO bzw. § 24 Abs. 1 Nr. 1 BDSG und ist zu dokumentieren.

5. Transparenzpflichten

• Betroffene sind nach Art. 13 DSGVO zu informieren. Die Aufsichtsbehörden empfehlen ein zweistufiges Vorgehen: ein vorgelagertes Hinweisschild mit den wichtigsten Angaben und eine vollständige Information an anderer Stelle. Auf dem Schild sollten mindestens stehen:
• Verantwortlicher
• Kontaktdaten des Datenschutzbeauftragten (soweit benannt)
• Zwecke und Rechtsgrundlage der Überwachung
• Speicherdauer
• Hinweis auf die Rechte der Betroffenen und den Zugang zu den weiteren Informationen.
• Praktisch: Verweis auf die vollständige Information (z. B. QR-Code oder URL auf dem Schild, Aushang am Empfang).

6. Weitere organisatorische und technische Maßnahmen

• Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO prüfen: erforderlich, wenn voraussichtlich ein hohes Risiko für Rechte und Freiheiten besteht, insbesondere bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 3 lit. c DSGVO).
• Technische Sicherheit: verschlüsselte Speicherung, Zugriffsschutz, regelmäßige Prüfung der Systeme (Art. 32 DSGVO).
• Löschkonzept: automatisierte Löschung nach Ablauf der Speicherfrist.
• Betriebsrat: Besteht ein Betriebsrat, hat er bei der Einführung und Anwendung einer Videoüberwachung, die zur Überwachung von Beschäftigten geeignet ist, ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). In der Praxis wird dies regelmäßig in einer Betriebsvereinbarung geregelt.

7. Zusammenfassung der Kernpflichten

• Kameras nur dort installieren, wo ein konkretes, berechtigtes Interesse vorliegt.
• Speicherfrist in der Regel 72 Stunden, Verlängerung nur ausnahmsweise und begründet (siehe unten).
• Zugriff nur für einen eng begrenzten, dokumentierten Personenkreis.
• Transparenz sicherstellen (Hinweisschild, vollständige Information).
• Prüfung einer DSFA bei neuen Installationen.
• Klärung der Verantwortlichkeit zwischen den beteiligten Gesellschaften (Art. 26 DSGVO).
• Umsetzung technischer und organisatorischer Maßnahmen (Art. 32 DSGVO).

8. Besonderheit: Einsatz von Kamera-Attrappen

• Rechtliche Bewertung: Attrappen verarbeiten keine personenbezogenen Daten; DSGVO und BDSG sind daher nicht anwendbar. Sie erzeugen aber den Eindruck einer Überwachung. Müssen Dritte eine Überwachung objektiv ernsthaft befürchten, kann dieser Überwachungsdruck das allgemeine Persönlichkeitsrecht verletzen und zivilrechtliche Unterlassungs- oder Schadensersatzansprüche auslösen (vgl. BGH, Urteil vom 16.3.2010 – VI ZR 176/09; DSK, Orientierungshilfe Videoüberwachung, 2020).
• Für Beschäftigte: Nach unserer Einschätzung sind Attrappen im Arbeitsumfeld in der Regel nicht zu rechtfertigen, weil sie denselben Überwachungsdruck erzeugen wie eine echte Kamera.
• Für Kunden oder Besucher besteht ebenfalls das Risiko, dass Betroffene sich beobachtet fühlen und ihr Verhalten ändern.
• Transparenzproblem: Da Attrappen keine Daten verarbeiten, gibt es keine „Verarbeitung“, über die informiert werden könnte – das Risiko liegt hier in der Täuschung und im Eingriff in die Persönlichkeitsrechte.

Praxisempfehlung:

• Kamera-Attrappen sind nicht empfehlenswert und sollten im Unternehmenskontext vermieden werden.
• Wenn dennoch Attrappen genutzt werden, dann nur an Stellen, die nicht auf Beschäftigte oder ständig anwesende Personen wirken (z. B. Gebäudefassade zum Abschreckungseffekt).
• Wichtig: Bei Attrappen keine Hinweisschilder mit DSGVO-Bezug verwenden, da tatsächlich keine Datenverarbeitung stattfindet. Das wäre irreführend.

Verständliche Hinweise

Die DSGVO unterscheidet nicht danach, ob Betroffene mit den datenschutzrechtlichen Anforderungen vertraut sind. Videoüberwachung betrifft jedermann, egal ob Kunden, Lieferanten, Monteure, Beschäftigte oder Besucher – also auch Personen ohne rechtliche oder technische Vorkenntnisse.

Das bedeutet praktisch:

• Transparenzpflichten (Art. 12 Abs. 1 DSGVO): Informationen müssen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ bereitgestellt werden.
• Damit reicht kein juristisch-technischer Fachtext.
• Jeder muss die Hinweise verstehen können.
• Hinweisschilder sollten daher so gestaltet sein, dass sie sofort verständlich sind: klare Symbole, kurze Texte, Verweis auf Details (z. B. QR-Code oder URL).
• „Einfache Sprache“: Statt „Verarbeitung personenbezogener Daten zur Wahrung berechtigter Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO“ besser „Wir überwachen diesen Bereich mit Videokameras, um unser Gelände und unsere Mitarbeiter zu schützen.“

Juristischer Kern:

• Art. 12 Abs. 1 DSGVO verpflichtet dazu, die Informationspflichten so zu erfüllen, dass sie auch für Laien verständlich sind.
• Verstöße (zu komplizierte oder unvollständige Hinweise) können als Verletzung der Transparenzpflichten mit Bußgeld geahndet werden (Art. 83 Abs. 5 lit. b DSGVO).

Hinweis zur maximalen Speicherdauer

Eine gesetzlich festgelegte Höchstfrist für die Speicherung von Videoaufzeichnungen gibt es nicht. Maßstab sind die Grundsätze der Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e DSGVO). Orientierung geben die Aufsichtsbehörden und einzelne Gerichtsentscheidungen.

1. Orientierung durch die Aufsichtsbehörden

• Datenschutzkonferenz (DSK), Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen (Stand 17.7.2020): Ob eine Sicherung des Materials nötig ist, lässt sich nach Auffassung der Aufsichtsbehörden meist innerhalb von ein bis zwei Arbeitstagen klären; eine Speicherdauer von 72 Stunden ist daher in der Regel zulässig. Je länger gespeichert wird, desto höher ist der Begründungsaufwand. Eine verlängerte Frist kommt etwa an mehrtägigen Feiertagen, in Urlaubszeiten oder an Wochenenden in Betracht, wenn eine Kontrolle nicht möglich oder unzumutbar ist – dann aber nur für die betroffenen Kameras und Zeiträume, nicht als Standardfrist für alle Kameras.

2. Orientierung durch die Rechtsprechung

• Die Rechtsprechung ist nicht einheitlich auf 72 Stunden festgelegt. Das OVG Lüneburg hat für die Überwachung von Eingangsbereichen und Treppenhäusern eines Bürogebäudes im sogenannten Black-Box-Verfahren eine Speicherdauer von zehn Tagen gebilligt (Urteil vom 29.9.2014 – 11 LC 114/13, noch zum alten § 6b BDSG).
• Im Beschäftigtenkontext hat das Bundesarbeitsgericht entschieden, dass die Speicherung von Aufnahmen aus einer zulässigen offenen Videoüberwachung nicht allein durch Zeitablauf unverhältnismäßig wird, solange die Ahndung einer Pflichtverletzung arbeitsrechtlich noch möglich ist (BAG, Urteil vom 23.8.2018 – 2 AZR 133/18, noch zum BDSG a. F.).

3. Fazit für die Praxis

• 72 Stunden sind die von den Aufsichtsbehörden akzeptierte Regelfrist; wer länger speichert, muss das begründen und dokumentieren (Art. 5 Abs. 2 DSGVO – Rechenschaftspflicht).
• Ausnahmen: längere Fristen sind in Einzelfällen möglich (z. B. bei selten besetzten Betriebsstätten, Wochenend- oder Feiertagszeiten), aber nur mit dokumentierter Begründung.
• Längere Speicherung einzelner Sequenzen ist zulässig, wenn ein Vorfall eingetreten ist und die Aufnahmen zur Beweissicherung benötigt werden.