Videoüberwachung ist im Gewerbe fast immer sinnvoll — an Zufahrten, Lagerhallen oder Verkaufsflächen. Sie ist aber auch einer der Bereiche, in denen Unternehmen am häufigsten gegen die DSGVO verstoßen, meist nicht aus Vorsatz, sondern weil Kennzeichnung, Speicherfrist oder die Rechte von Beschäftigten bei der Planung übersehen werden. Wer die folgenden Punkte von Anfang an berücksichtigt, spart sich im Zweifel eine teure Nachbesserung.
Rechtsgrundlage: Art. 6 DSGVO im Gewerbe
Wer auf dem eigenen Betriebsgelände Kameras installiert, verarbeitet personenbezogene Daten — auch dann, wenn nur Zufahrten oder ein Eingangsbereich gefilmt werden. Die zentrale Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO: Die Videoüberwachung ist zulässig, wenn sie zur Wahrung eines berechtigten Interesses erforderlich ist und die Interessen der gefilmten Personen nicht überwiegen.
In der Praxis heißt das: Ein Unternehmen muss vor der Installation dokumentieren, warum die Kamera nötig ist (Diebstahlprävention im Einzelhandel, Schutz von Warenlagern, Zufahrtskontrolle auf dem Werksgelände) und wieso ein milderes Mittel, etwa besseres Licht oder ein abschließbares Tor, nicht ausreicht. Diese Interessenabwägung ist keine Formalie: Bei einer Prüfung durch die Datenschutzaufsicht ist sie der erste Nachweis, den ein Unternehmen vorlegen muss.
Kennzeichnungspflicht: Hinweisschilder und Transparenz
Wer überwacht, muss das kenntlich machen. Art. 13 DSGVO verlangt, dass betroffene Personen bereits beim Betreten des überwachten Bereichs erfahren, dass gefilmt wird, wer verantwortlich ist und wozu die Aufnahmen dienen. In der Praxis reicht dafür ein gut sichtbares Hinweisschild an jedem Zugang zum überwachten Bereich, mit Piktogramm, Verantwortlichem und einem Hinweis auf weiterführende Informationen, etwa über einen QR-Code zur vollständigen Datenschutzerklärung.
Fehlt die Kennzeichnung, ist die Überwachung nicht automatisch illegal, aber angreifbar: Aufnahmen aus nicht gekennzeichneten Bereichen lassen sich im Streitfall schwerer als Beweismittel verwerten, und die Aufsichtsbehörde wertet eine fehlende Kennzeichnung als eigenständigen Verstoß gegen die Transparenzpflicht.
Speicherfristen: wie lange dürfen Aufnahmen bleiben
Eine feste gesetzliche Frist nennt die DSGVO nicht, wohl aber einen Maßstab: Art. 5 Abs. 1 lit. c und e DSGVO verlangt Datensparsamkeit und Speicherbegrenzung, Aufnahmen dürfen also nur so lange gespeichert werden, wie der Zweck es erfordert. Die Orientierungshilfe Videoüberwachung der Datenschutzkonferenz nennt für den Normalfall einen Richtwert von 48 bis maximal 72 Stunden — ausreichend, um einen Vorfall zu bemerken und die relevanten Sequenzen zu sichern, bevor die automatische Löschung greift.
Länger gespeichert werden darf nur bei einem konkreten Anlass: Liegt ein dokumentierter Vorfall vor, etwa ein Diebstahl oder eine Sachbeschädigung, darf die betroffene Sequenz bis zur Klärung aufbewahrt werden, der Rest der Aufnahmen wird trotzdem fristgerecht gelöscht. EAK Security konfiguriert Videoanlagen standardmäßig mit automatischer Löschfrist, damit diese Vorgabe nicht vom Zufall abhängt.
Mitarbeiterüberwachung: was § 26 BDSG erlaubt
Sobald eine Kamera Arbeitsplätze, Pausenräume oder Zugänge erfasst, die auch Beschäftigte nutzen, gilt zusätzlich § 26 BDSG. Nach Absatz 1 Satz 1 ist die Verarbeitung von Beschäftigtendaten zulässig, soweit sie für das Beschäftigungsverhältnis erforderlich ist — eine dauerhafte, anlasslose Verhaltens- oder Leistungskontrolle deckt das nicht ab. Für die Aufdeckung von Straftaten gilt die engere Regel aus Satz 2: Es braucht dokumentierte tatsächliche Anhaltspunkte für einen konkreten Verdacht, die Maßnahme muss erforderlich sein, und das schutzwürdige Interesse der Beschäftigten darf nicht überwiegen.
Gibt es im Betrieb einen Betriebsrat, kommt eine weitere Hürde hinzu: Nach § 87 Abs. 1 Nr. 6 BetrVG ist die Einführung technischer Überwachungseinrichtungen mitbestimmungspflichtig, sobald sie geeignet sind, Verhalten oder Leistung zu kontrollieren — unabhängig davon, ob das der eigentliche Zweck der Kamera ist. Ohne Zustimmung des Betriebsrats oder eine wirksame Betriebsvereinbarung ist die Anlage rechtlich angreifbar, selbst wenn die DSGVO-Seite sauber dokumentiert ist.
Privatzonen-Maskierung und technische Absicherung
Kameras an Grundstücksgrenzen filmen selten nur das eigene Gelände — ein Gehweg, das Nachbargrundstück oder ein öffentlicher Parkplatz geraten schnell mit ins Bild. Art. 32 DSGVO verlangt in solchen Fällen technische Maßnahmen, die über die reine Kameraausrichtung hinausgehen: Softwareseitige Privatzonen-Maskierung schwärzt die Bereiche außerhalb des eigenen Grundstücks dauerhaft, sodass sie in Live-Bild und Aufzeichnung gleichermaßen unsichtbar bleiben.
Bei geteilten Anlagen, etwa einer gemeinsam genutzten Zufahrt mehrerer Betriebe, klärt Art. 26 DSGVO, wer für welchen Teil der Verarbeitung verantwortlich ist. Diese Aufteilung sollte vor der Installation schriftlich festgehalten sein, nicht erst im Streitfall. EAK Security dokumentiert die Kameraausrichtung bei jeder Installation, damit im Zweifel nachvollziehbar ist, welcher Bereich erfasst wird und welcher maskiert bleibt.
Verzeichnis von Verarbeitungstätigkeiten und Folgenabschätzung
Wer Videoüberwachung dauerhaft betreibt, muss die Verarbeitung nach Art. 30 DSGVO in einem Verzeichnis von Verarbeitungstätigkeiten dokumentieren — Zweck, Rechtsgrundlage, Speicherdauer, Empfänger der Daten. Bei umfangreicher oder systematischer Überwachung, etwa mehreren Kameras mit Analysefunktion oder einer Anlage, die weite Teile eines öffentlich zugänglichen Bereichs erfasst, verlangt Art. 35 DSGVO zusätzlich eine Datenschutz-Folgenabschätzung, bevor die Anlage in Betrieb geht. Für eine einzelne Kamera am Firmeneingang ist das in der Regel nicht nötig, für ein mehrstufiges Kamerasystem auf einem Werksgelände dagegen schon.
Wer die Kameras zusätzlich mit einer Einbruchmeldeanlage koppelt, sollte beide Systeme im selben Verzeichnis dokumentieren statt getrennt — das erleichtert die Übersicht, wenn eine Aufsichtsbehörde tatsächlich nachfragt.
Bußgelder und was bei einer Prüfung zählt
Verstöße gegen die DSGVO können nach Art. 83 DSGVO mit Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher liegt. In der Praxis prüfen Aufsichtsbehörden bei Videoüberwachung meist zuerst die naheliegenden Punkte: Gibt es eine dokumentierte Interessenabwägung, sind Hinweisschilder vorhanden, ist die Speicherfrist eingehalten und begrenzt, und liegt, falls Beschäftigte betroffen sind, eine wirksame Betriebsvereinbarung vor.
Wer diese vier Punkte von Anfang an sauber plant, reduziert das Risiko einer Beanstandung erheblich, unabhängig von der Kameraanzahl. Wer Videoüberwachung für Gewerbeflächen plant und dabei rechtssicher aufgestellt sein will, kann das im Beratungsgespräch klären — EAK dokumentiert Kameraausrichtung, Speicherkonzept und Zugriffsrechte von Beginn an.