Der Europäische Datenschutzausschuss (EDSA) hat am 10.07.2019 Leitlinien zum datenschutzkonformen Einsatz von Videoüberwachung beschlossen und zwischenzeitlich (zunächst in englischer Sprache) veröffentlicht.
Hier nun der Versuch einer Auswertung
Auswirkungen der Videoüberwachung
Der ESDA weist zunächst auf die Gefahr, dass der verstärkte Einsatz von Videoüberwachung in der Gesellschaft die Möglichkeiten der anonymen Bewegung und der anonymen Nutzung von Diensten einschränken könne, sowie auch generell die Möglichkeit, anonym zu bleiben. Die Auswirkungen auf den Datenschutz seien enorm.
Es kommen Anwendungen hinzu, die aufgenommenen, bereits vorhandenen Videodateien auszuwerten und auch traditionelle Kameras in intelligente Kameras zu verwandeln. Durch diese Tools werde das Risiko einer Zweitverwendung (unabhängig davon, ob sie mit dem ursprünglich festgelegten Zweck zusammenhängt oder nicht) und sogar das Risiko des Missbrauchs erhöht.
Daher sind die allgemeinen Grundsätze der DSGVO (Artikel 5) bei der Videoüberwachung stets sorgfältig zu prüfen.
Weiterer wichtiger Baustein ist der Grundsatz der Verhältnismäßigkeit hin. Für die Videoüberwachung besteht keine standardmäßige Notwendigkeit, wenn es andere Mittel gibt, um den zugrundeliegenden Zweck zu erreichen.
Das potenzielle Risiko eines Missbrauchs dieser Daten wachse in Abhängigkeit von der Dimension des überwachten Raumes sowie der Anzahl der Personen, die von der Videoüberwachung aufgrund der Frequentierung des Ortes erfasst werden. Dies spiegele sich auch in Art. 35 Abs. 3 lit. c) DSGVO wider, der die Durchführung einer Datenschutz-Folgenabschätzung im Falle systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche vorsehe.
Sachlicher Anwendungsbereich der DSGVO
Die DSGVO gelte jedoch nicht für die Verarbeitung von Daten, die keinen Personenbezug haben. Als Beispiele nennt der EDSA unter anderem die Verwendung von Kamera-Attrappen.
Daher kann in Deutschland eine Informationspflicht natürlich auch weiterhin z.B. wegen einer Verletzung des allgemeinen Persönlichkeitsrechts (aus Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG) aufgrund des Überwachungsdrucks bestehen.
Erfüllung der Dokumentationspflichten
Vor der Verwendung sind die Zwecke der Verarbeitung genau festzulegen (Art. 5 Abs. 1 lit. b)). Die Videoüberwachung kann vielen Zwecken dienen, z.B. dem Schutz von Eigentum und anderen Vermögenswerten, der Beweissicherung für Zivilansprüche. Diese Überwachungszwecke sollten schriftlich dokumentiert werden (Art. 5 Abs. 2) und sind für jede verwendete Überwachungskamera anzugeben. Kameras, die von einer einzigen Steuerung für den gleichen Zweck verwendet werden, können jedoch gemeinsam dokumentiert werden, sofern jede verwendete Kamera einen dokumentierten Zweck hat.
Rechtsgrundlagen für die Videoüberwachung
Nach dem EDSA kann jede rechtliche Grundlage des Art. 6 Abs. 1 DSGVO herangezogen werden. Danach geht der Ausschuss in den Guidelines auf die in der Praxis am häufigsten herangezogenen Rechtsgrundlagen ein: Art. 6 Abs. 1 lit. f) DSGVO und Art. 6 Abs. 1 lit. e) DSGVO; auch zur möglichen Ausgestaltung über die Einholung einer Einwilligung (Art. 6 Abs. 1 lit. a) DSGVO) wird Stellung genommen.
Videoüberwachung als berechtigtes Interesse – Art. 6 Abs. 1 lit. f) DSGVO
Bei Begründung des berechtigten Interesses sind die Kriterien des Erwägungsgrundes 47 heranzuziehen. Danach muss das berechtigte Interesse existent und aktuell, nicht fiktiv oder spekulativ sein. Im Hinblick auf den Grundsatz der Rechenschaftspflicht rät man den Verantwortlichen, relevante Vorfälle (Datum, Art und Weise, finanzieller Verlust) und damit verbundene Strafanzeigen zu dokumentieren. Denn diese dokumentierten Vorfälle könnten ein Beweis für das Bestehen eines berechtigten Interesses sein. Dabei können auch Vorfälle aus der Nachbarschaft herangezogen werden, soweit sich Vergleichbares auch für den Verantwortlichen realistischer Weise vermuten lässt.
Auch unter Berücksichtigung des Grundsatzes der Verhältnismäßigkeit (z.B. bei der Wahl der Mittel) und des Datenminimierungsgrundsatzes (Art. 5 Abs. 1 lit. c) DSGVO wird wohl davon ausgegangen, dass der Betrieb einer Videoüberwachungsanlage nachts und außerhalb der regulären Arbeitszeit, in der Regel den Bedürfnissen des Verantwortlichen entspricht, um Gefahren für sein Eigentum zu vermeiden.
Innerhalb der Interessenabwägung sind auf Seiten des Betroffenen vor allem die Intensität des Eingriffs und die berechtigten Erwartungen der Betroffenen zu berücksichtigen. Zeichen, die auf die Videoüberwachung hinweisen und die Betroffenen informieren, hätten jedoch keine Auswirkungen für die Feststellung (innerhalb der Abwägung), was eine betroffene Person objektiv erwarten kann.
Art. 6 Abs. 1 lit. e) DSGVO
Bei der Videoüberwachung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in der Ausübung öffentlicher Gewalt (Art. 6 Abs. 1 lit. e) DSGVO) verweist der EDSA auf die Möglichkeit der Mitgliedsstaaten spezifische nationale Rechtsvorschriften für die Videoüberwachung beizubehalten oder einzuführen.
Videoüberwachung aufgrund einer Einwilligung?
Was die systematische Überwachung betrifft, so könne die Einwilligung der betroffenen Person nur in Ausnahmefällen als Rechtsgrundlage dienen. Es liegt in der Natur der Überwachung, dass diese Technologie eine unbekannte Anzahl von Menschen auf einmal überwacht. Der Nachweis einer Einwilligung der betroffenen Personen wird dem Verantwortlichen kaum gelingen. Zudem wird für den Verantwortlichen schwierig sein, bei einem möglichen Widerruf der Einwilligung nachzuweisen, dass personenbezogene Daten des Betroffenen nicht mehr verarbeitet werden.
Das Betreten eines bestimmten Überwachungsbereiches stellt nach wie vor keine Einwilligung dar und bei Arbeitnehmern mangele es regelmäßig an einer Freiwilligkeit der abgegebenen Einwilligung.
Die Verarbeitung besonderer Kategorien von personenbezogenen Daten
Bei Einsatz von Videoüberwachungssystemen ist es möglich, dass sie auch dann sensible Daten über die aufgenommenen Personen erheben, wenn mit der Überwachung ursprünglich ein anderer Zweck verfolgt wird. Sobald die Aufzeichnungen Rückschlüsse auf besonders schützenswerte Daten zulassen, kann die Videoaufzeichnung in den Schutzbereich des Art. 9 DSGVO fallen. Unproblematisch gestaltet sich der Fall, bei dem es der Zweck der Videoüberwachung ist, besondere Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO zu erheben, bedarf es sowohl eines Ausnahmetatbestandes gem. Art. 9 Abs. 2 DSGVO als auch einer tauglichen Rechtsgrundlage gem. Art. 6 DSGVO.
Dagegen vertritt der EDSA die Auffassung, dass Videoaufnahmen, die Menschen mit Brille oder etwa im Rollstuhl zeigen, nicht zwangsläufig „Gesundheitsdaten“ erfassen. Anders verhält es sich jedoch, wenn ein Betroffener eindeutig identifizierbar als Teilnehmer einer Demonstration oder eines Streiks aufgezeichnet wird. Diese Informationen können durchaus den Schutzbereich des Art. 9 DSGVO eröffnen. Zudem weist der EDSA in diesem Abschnitt verdeutlichend darauf hin, dass nicht jeder Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO gleich geeignet ist, eine Videoüberwachung besonders sensibler personenbezogener Daten zu rechtfertigen. Selbstverständlich kann sich ein Verantwortlicher nicht auf Art. 9 Abs. 2 lit. e) DSGVO berufen, sobald sich eine Person schlicht in den Aufnahmebereich einer Kamera begibt.
Sonderfall: Biometrische Daten
Grundsätzlich ist laut EDSA bei der Verarbeitung von sensiblen personenbezogenen Daten, stets ein hohes Maß an Sicherheit zu verlangen sowie immer eine sorgfältige Prüfung der Recht- und Verhältnismäßigkeit vorzunehmen. Dies gilt insbesondere für biometrische Daten unter dem Einsatz von Gesichtserkennungssoftware.
Nicht jedes Videomaterial einer Person gilt als biometrisch. Nach der Definition des Art. 4 Nr. 14 DSGVO müssen hierzu drei Kriterien erfüllt sein:
Die Daten geben Auskunft über physische, physiologische und verhaltensbedingte Merkmale natürlicher Personen
Die Daten ergeben sich aus einer spezifisch-technischen Verarbeitung.
Der Zweck der Verarbeitung ist die Identifizierung einer natürlichen Person.
Sofern nur physische Merkmale ausgelesen werden und somit nur „Personenklassen“ (z.B. Alter, Geschlecht, Größe) erkannt werden, fällt die Verarbeitung nicht unter Art. 9 Abs. 1 DSGVO.
Sobald jedoch die Kamerasysteme Vorlagen speichern, um eine Person eindeutig zu identifizieren (Widererkennung, wenn der Betroffene einen Bereich erneut betritt) liegt eine Videoüberwachung mittels biometrischer Daten vor, sodass in der Regel eine informierte und explizite Einwilligung aller betroffenen Personen einzuholen sein wird.
Der Verwender eines Videoüberwachungssystems mit Gesichtserkennungssoftware zu Authentifizierungszwecken (etwa an Eingängen von Stadion/Konzertsaal) muss zudem regelmäßig eine datenschonendere Alternativlösung anbieten und darf den Zugang zu seinen Dienstleistungen weder von der Einwilligung des Betroffenen abhängig machen noch darf der Zugang mit Mehrkosten oder sonstigen Einschränkungen verbunden sein.
Auskunftsrecht
Das Auskunftsrecht des Art. 15 DSGVO kann im Fall von Videoaufnahmen gem. Absatz 4 beschränkt sein, sobald auf den Aufnahmen neben den Betroffenen noch weitere Personen zu sehen sind. Deren Rechte dürfen durch das Auskunftsersuchen nicht beeinträchtigt werden. Der Verantwortliche muss daher verhindern, dass er Sequenzen herausgibt, auf denen andere Personen eindeutig zu identifizieren sind. Er darf sich jedoch mit dem Verweis auf die Rechte Dritter nicht seiner Verantwortung entziehen, sondern hat, wenn möglich, mittels Bildbearbeitung die übrigen Personen unkenntlich zu machen.
Recht auf Löschung
Bei der Videoüberwachung gilt laut EDSA, dass die Unkenntlichmachung ohne die Möglichkeit der Widerherstellung einer Löschung nach DSGVO gleichkommt. Ansonsten richteten sich die Löschpflichten nach Art. 17 DSGVO nach den jeweiligen Rechtsgrundlagen.
Widerspruchsrecht
Interessant werden die Ausführungen bezüglich des Widerspruchsrechts aus Art. 21 Abs. 1 DSGVO gegen eine Verarbeitung auf Grundlage des berechtigten Interesses. Laut EDSA ist eine Videoüberwachung aufgrund Art. 6 Abs. 1 lit. f), abgesehen von zwingend schutzwürdigen Gründen, nur dann zulässig, wenn
der Verantwortliche in der Lage ist, die Aufnahme jederzeit zu unterbrechen oder
der aufgezeichnete Bereich begrenzt ist, Betroffene vor dem Betreten Kenntnis von der Überwachung erhalten können und es sich bei dem Bereich nicht um einen öffentlichen Bereich handelt, der von den Betroffenen als Bürger betreten werden dürfen.
An dieser Stelle sind die Leitlinien ungenau. Mit „assure the approval“ kann wohl nur „Kenntnisnahme“ gemeint sein, ein Einverständnis oder gar eine Einwilligung des Betroffenen fordert Art. 6 Abs. 1 lit f) DSGVO ja gerade nicht. Rechtsunsicherheiten bleiben auch weiterhin bestehen. Dort, wo typischerweise Sicherheitsgefahren bestehen oder es zu Eigentumsverletzungen kommen kann (z.B. Veranstaltungshallen, Diskotheken, Supermärke) wird die Widerspruchsmöglichkeit de facto selten erfolgreich sein.
Die Informationspflichten bei Videoüberwachung
Um seinen Informationspflichten nachzukommen, empfiehlt der EDSA den verantwortlichen Betreibern von Videoüberwachungsanlagen einen „mehrstufigen Ansatz“ (layered approach).
Das Warnschild (first layer)
Die wichtigsten Informationen sollten den Betroffenen auf einem Warnschild angezeigt werden:
Der Zweck der Verarbeitung
Den Verantwortlichen
Das Bestehen von Betroffenenrechten
Die Angaben zum berechtigten Interesse oder zum Datenschutzbeauftragten
Sowie Informationen zu weiteren Angaben (second layer) und wo diese eingesehen, abgerufen oder angefordert werden können. Hinweis auf eine überraschende Verarbeitung (z.B. Weitergabe an Dritte)
Das Warnschild kann in Kombination mit Symbolen gestaltet sein und muss verständlich und gut sichtbar einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung bieten. Die Betroffenen müssen vor dem überwachten Bereich in die Lage versetzt werden, erkennen zu können, welcher Bereich von der Überwachung erfasst ist, um ihr Verhalten dementsprechend ausrichten zu können oder letztlich die Überwachung zu meiden.
Weitere Informationen (second layer)
Laut EDSA müssen die weiteren Informationen des Art. 13 DSGVO den Betroffenen ebenfalls so einfach wie möglich zugänglich gemacht werden. Der EDSA schlägt hier bespielhaft vor, man könnte eine Informationsbroschüre am Rezeptions-/Kassenbereich zur Einsicht bereitlegen oder einen leicht wahrnehmbaren Aushang gestalten. Ein anderer Vorschlag sieht den Verweis mittels QR-Code auf der ersten Information vor. Gleichwohl reicht laut EDSA der Verweis auf rein digital hinterlegte Informationen nicht aus, sodass die QR-Code-Variante wohl nur zusätzlich angeboten werden sollte.
Wie auch immer man sich entscheidet, der EDSA verlangt, dass die Betroffenen in jedem Fall vor dem Betreten des überwachten Bereiches die Informationen zur Kenntnis nehmen können. Bemerkenswert ist der Hinweis der EDSA, dass die Informationen auch durch die Angabe einer Infotelefonnummer erteilt werden können.
Mangels Praxistauglichkeit letztendlich nicht wirklich hilfreich
Insgesamt gibt die Leitlinie keine vollständige Klarheit zur Videoüberwachung. Insbesondere die umfangreichen Informationspflichten stellen an die verantwortlichen Betreiber kaum erfüllbare Anforderungen. Die diesbezüglichen Ausführungen erscheinen nur sehr begrenzt praxistauglich. Ein Ladenbesitzer wird seinen Kassenbereich und den Weg dorthin nicht deswegen unbeobachtet lassen, damit Kunden sich, ohne überwacht zu werden, dort die Infobroschüre zu Art. 13 DSGVO abholen können. Aber es bleibt Ihnen ja immer noch die Möglichkeit die Infotelefonnummer mit Bandansage anzurufen!
