Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (= DSK) hat eine neue Orientierungshilfe zur Videoüberwachung durch nicht-öffentliche Stellen (also private Unternehmen) veröffentlicht.

Hintergrundinfo: Installiert und betreibt die Polizei eine Videoüberwachung, gilt § 4 BDSG. Wenn aber der privatwirtschaftliche Veranstalter oder Betreiber einer Versammlungsstätte Kameras installiert, gelten die (etwas umständlicheren) Grundsätze der DSGVO. Und hierfür ist die Orientierungshilfe der DSK gedacht.

Videoüberwachung wird auf Veranstaltungen bspw. eingesetzt, um Personenströme zu beobachten, aber auch um kritische Zutrittsbereiche wie Einlass, Straßenkreuzungen, Straßenübergänge, Backstage usw. überblicken zu können.

Allerdings: Bereits eine einfache Überwachungsanlage verarbeitet in erheblichem Umfang personenbezogene Daten, ohne dass der Großteil der erfassten Informationen für Überwachende je eine Rolle spielt, stellt die DSK fest: Moderne Kameras zeigen Bilder in höchster Auflösung, die in Echtzeit weltweit eingesehen und gespeichert werden können. Betroffene haben kaum Einfluss auf eine solche Erfassung und erfahren selten, was mit den Aufnahmen genau geschieht.

Daher stellt die DSK in ihrer Orientierungshilfe zunächst fest:

„Personenbezogene Daten dürfen nicht ins Blaue oder unter Berufung auf nicht näher genannte Sicherheitsgründe verarbeitet werden. Bei derart unbestimmten Angaben werden die Daten der Betroffenen nicht nachvollziehbar und damit nicht datenschutzgerecht verarbeitet.“

Derjenige, der eine Videoüberwachung vornehmen (lassen) will, muss folgende Aspekte prüfen:

Festzustellen ist zunächst, welche Bedeutung der verfolgte Zweck hat. Bei Sicherheitsinteressen kann die Bedeutung durchaus erheblich sein, wenn die Überwachung höherrangige Rechtsgüter (Leben, Gesundheit oder Freiheit) schützen soll und der Verhinderung und Aufdeckung strafrechtsrelevanter Vorfälle dient.

Die Bedeutung dieses Sicherheitsinteresses bemisst sich auch danach, ob und in welchem Umfang eine Gefahr vorliegt.

Hinweis: Je abstrakter eine Gefahrenlage ist, desto weniger eingriffsintensiv darf eine Maßnahme sein. Zu berücksichtigen ist auch, ob dem Verantwortlichen zumutbare Alternativen zur Verfügung stehen oder ob er zwingend auf die Videoüberwachung angewiesen ist.

Überwacht werden dürfen grundsätzlich nicht solche Bereiche, in denen Menschen kommunizieren, essen und trinken, sich austauschen, erholen oder Sport treiben. Hier steht die Entfaltung der Persönlichkeit im Vordergrund. In Freizeiteinrichtungen und Gastronomieanlagen überwiegen die schutzwürdigen Interessen der Betroffenen regelmäßig die Interessen des Kamerabetreibers, stellt die DSK fest.

Zu berücksichtigten sind auch die Erwartungen der betroffenen Personen. Ist die Videoüberwachung für diesen Zweck typischerweise gesellschaftlich akzeptiert oder wird sie abgelehnt? Die Überwachung von Personenströmen, um Haufenbildungen und Ballungen frühzeitig zu erkennen und reagieren zu können, dürfte wohl allgemein akzeptiert sein.

Achtung! Sieht das Sicherheitskonzept aber bspw. diesen Zweck vor, ist die Erkennbarkeit der Gesichter nicht notwendig! Also darf die Videoüberwachung nicht dazu führen, dass auch einzelne Gäste erkennbar sind. Sollen einzelne Gesichter erkennbar sein, ist dafür ein anderer gewichtiger Grund notwendig als „Besucherströme überwachen“.

Sie sehen: Es ist wichtig, im Voraus den konkreten Zweck der beabsichtigten Videoüberwachung festzulegen. Datenschutz und Sicherheitskonzept müssen in diesem Punkt aufeinander abgestimmt sein.

Zum Verständnis: Geht es um Besucherstromkontrollen, dann darf die Überwachung nicht zur Erkennbarkeit einzelner Personen führen. Wenn das ausgeschlossen ist, dann gibt es aber auch kein datenschutzrechtliches Thema mehr: Denn der Datenschutz kommt nur bei Verarbeitung personenbezogener Daten ins Spiel. Der Datenschutz eliminiert also entweder von vornherein die Datenverarbeitung, oder – wenn unbedingt Gesichter erkennbar sein müssen – setzt die Grenzen dazu.

Und schließlich muss vorher geprüft werden, ob es bessere Alternativen zur Videoüberwachung gibt – bzw. solche, die weniger intensiv in die Rechte der Betroffenen eingreifen: Security-Streifen, Mitarbeiter vor Ort, Absperrmaßnahmen, Zählmethoden ohne Datenerfassung usw.

Achtung! Dokumentieren Sie all diese Überlegungen und Prüfungen!

Rechtsgrundlage

Wenn man sich für eine Videoüberwachung entscheidet, bei der personenbezogene Daten erhoben/verarbeitet werden, braucht man eine Rechtsgrundlage, die das erlaubt. § 4 BDSG greift bei Privatunternehmen nicht (s.o.).

Also muss man auf die gewöhnlichen Rechtsgrundlagen der DSGVO zurückgreifen:

Die Einwilligung wird schwerlich funktionieren, wenn es um eine Vielzahl von Menschen geht. Eine Einwilligung kann aber bspw. bei der Überwachung von Lagerräumen o.Ä. notwendig sein, zu denen nur Mitarbeiter Zugriff haben.

Eine gebräuchliche Rechtsgrundlage ist das „berechtigte Interesse“ (Art. 6 Absatz 1 Buchstabe f DSGVO). Dazu schreibt die Datenschutzkonferenz in ihrer Orientierungshilfe:

„Ein berechtigtes Interesse muss ein tatsächliches und gegenwärtig vorliegendes Interesse darstellen (d.h. nicht spekulativ sein). Zu fordern sind konkrete Tatsachen, aus denen sich beispielsweise eine Gefahrenlage ergibt, die über das allgemeine Lebensrisiko hinausgeht. Eine Gefährdung kann sich nur aus tatsächlichen Erkenntnissen ergeben, subjektive Befürchtungen oder ein Gefühl der Unsicherheit reichen nicht aus.“ …

„Nur im Ausnahmefall ist der Nachweis einer abstrakten Gefahrenlage ausreichend, beispielsweise, wenn eine Situation vorliegt, die nach allgemeiner Lebenserfahrung typischerweise gefährlich ist.“

Geht von einer großen Veranstaltung eine konkrete Gefahr aus? Naja… wenn das der Fall wäre, dürfte sie ja schon gar nicht stattfinden.

Denkbar ist allenfalls, dass man argumentieren kann, dass von einer Veranstaltung eine abstrakte Gefahr ausgeht – jedenfalls dann, wenn eine hohe Anzahl von Personen erwartet wird. Aber: Wie weiter oben bereits dargestellt, muss dann geprüft werden, ob eine Erhebung personenbezogener Daten (Gesichter!) überhaupt notwendig bzw. gewollt ist; denn wenn man nur die Massenbewegungen erkennen können will, braucht man die Gesichter ja nicht.

Wer sich auf eine abstrakte Gefahr in Gestalt der Anzahl der Menschen beruft, wird im Regelfall keine Gesichter erkennen können müssen. Also muss die Videoüberwachung so eingerichtet werden, dass tatsächlich nur Massen zu sehen sind, aber bspw. nicht auf Gesichter gezoomt werden kann.

D.h. wer seine Kameras so einrichtet, dass Gesichter zu sehen sind, braucht ein weiteres bzw. anderes Argument. Die Verhinderung von Taschendiebstahl oder anderen Bagatelldelikten reichen dafür übrigens nicht aus.