Bodycams: Wie müssen Datenschutz-Hinweise erteilt werden?

Die Informationspflichten für Unternehmen nach Art. 13 DSGVO und Art. 14 DSGVO sind ein zentrales Thema im Datenschutz. Mit diesen Verpflichtungen will die Datenschutzgrundverordnung dafür sorgen, dass Betroffene möglichst präzise über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Auf diese Weise soll einer der elementaren Grundsätze im Datenschutzrecht erfüllt werden – nämlich die Transparenz als Grundlage der rechtmäßigen Datenverarbeitung.

Verantwortliche müssen informieren

Art. 5 Abs. 1 lit. a DSGVO sieht u. a. vor, dass personenbezogene Daten so verarbeitet werden, dass betroffene Personen dies nachvollziehen können. Dies wird in Art. 13 DSGVO und Art. 14 DSGVO weiter konkretisiert. Die Vorschriften sind auf den ersten Blick inhaltlich sehr ähnlich und haben teilweise auch den gleichen Wortlaut, unterscheiden sich aber in einem Punkt wesentlich: In Art. 13 DSGVO geht es um die Daten, die beim Betroffenen direkt erhoben werden. Dies ist in der Praxis meist auch der Regelfall. Schließlich geben wir alle tagtäglich unsere Daten an eine Vielzahl von unterschiedlichen Verantwortlichen weiter, ob wir wollen oder nicht: an unsere Arbeitgeber, an unsere Vermieter oder an Verkäufer im Einzelhandel oder in Online-Shops. Ganz zu schweigen von Social-Media-Plattformen oder aller Arten von Website-Betreibern in der großen weiten Welt des Internets.

Art. 14 DSGVO beschreibt hingegen die Pflichten für Unternehmen, wenn sie die Daten nicht bei der betroffenen Person selbst erheben, sondern die Daten von anderen Unternehmen oder generell von Dritten erhalten. Diese Datenempfänger können natürlich auch Behörden oder andere öffentliche Körperschaften sein. So erhalten z. B. Finanzämter eine Vielzahl von Informationen über uns, meist direkt durch die jeweiligen Arbeitgeber, ohne dass wir diesen Prozess „aktiv“ mitgestalten.

Bodycams im öffentlichen Nahverkehr

Mit diesem Thema musste sich der EuGH kürzlich beschäftigen. In dem Urteil vom 18.12.2025 (Rechtssache C‑422/24) war die Frage zu klären, ob bei dem Einsatz von Bodycams Art. 13 DSGVO oder Art. 14 DSGVO Anwendung findet. Ausgangspunkt des Verfahrens war ein Rechtsstreit zwischen der schwedischen Datenschutzbehörde und dem Unternehmen AB Storstockholms Lokaltrafik (SL), das im öffentlichen Personenverkehr tätig ist. SL hatte seine Fahrkartenkontrolleure mit Bodycams ausgestattet, um Fahrgäste zu filmen, die keinen gültigen Fahrschein vorweisen konnten.

Ziel war die Verhinderung und Dokumentation von Bedrohungen und Gewalt gegen Kontrolleure sowie die Feststellung der Identität von Fahrgästen, die eine Strafgebühr zahlen müssen. Die Kameras waren während der gesamten Schicht aktiv und zeichneten Bild und Ton auf. Die Aufnahmen wurden zunächst für zwei Minuten gespeichert, später auf eine Minute verkürzt. Kontrolleure konnten die automatische Löschung per Knopfdruck unterbrechen, etwa bei Bedrohungssituationen oder der Erhebung einer Strafgebühr.

Bußgeld wurde verhängt

Die Datenschutzbehörde stellte fest, dass SL die betroffenen Personen nicht ausreichend über die Verarbeitung ihrer Daten informiert hatte, und verhängte ein Bußgeld in Höhe von ca. 1,5 Mio. EUR. Ein Viertel des Bußgelds entfiel dabei auf die mangelnde Unterrichtung der Betroffenen. SL klagte gegen die Entscheidung, doch das Verwaltungsgericht Stockholm bestätigte die behördliche Entscheidung. Erst das Oberverwaltungsgericht Stockholm hob die Geldbuße auf und argumentierte, dass Art. 13 DSGVO im konkreten Fall nicht anwendbar sei. Das Bußgeld sei daher zu Unrecht verhängt worden. Die Datenschutzbehörde legte daraufhin Rechtsmittel beim Obersten Verwaltungsgericht ein, das die Frage dem EuGH zur Vorabentscheidung vorlegte. Diese Verfahrensart können nationale Gerichte nutzen, um Fragen zur Auslegung von europarechtlichen Vorschriften durch den EuGH klären zu lassen.

Klare Sache aus Sicht des EuGH

Der EuGH stellte klar, dass bei Bodycams die Daten unmittelbar bei der betroffenen Person erhoben werden, da die Kamera die Person direkt aufzeichnet. Damit sei ausschließlich Art. 13 DSGVO relevant. Nach Art. 13 DSGVO müssten Verantwortliche die betroffenen Personen zum Zeitpunkt der Datenerhebung umfassend informieren. Dazu gehörten Angaben zur Identität des Verantwortlichen, die Kontaktdaten des Datenschutzbeauftragten, die Zwecke und Rechtsgrundlagen der Verarbeitung, die Speicherdauer, die Rechte der Betroffenen sowie gegebenenfalls Empfänger der Daten und Informationen zu einer möglichen Datenübermittlung ins Ausland. Der EuGH stellte in diesem Zusammenhang klar, dass Informationspflichten der Transparenz dienen und den Betroffenen ermöglichen sollen, ihre Rechte effektiv wahrzunehmen.

Der EuGH betonte, dass der sachliche Anwendungsbereich von Art. 14 DSGVO im Verhältnis zu Art. 13 DSGVO negativ definiert wird: Art. 14 DSGVO gelte nur, wenn die Daten nicht bei der betroffenen Person erhoben werden. Die Quelle der Daten ist das entscheidende Kriterium für die Abgrenzung der Anwendungsbereiche. Bei Bodycams ist die betroffene Person selbst die Quelle der Daten, da sie direkt gefilmt wird. Der EuGH zog auch den Umkehrschluss, dass die betroffenen Personen nicht zum Zeitpunkt der Datenerhebung informiert werden würden, wenn man die Anwendung von Art. 14 DSGVO bejahen würde. Verantwortliche hätten dann die Möglichkeit, von der sofortigen Unterrichtung abzusehen, ob die Betroffenen selbst die Datenquelle sind. Der EuGH sieht hier offenbar die Gefahr, dass es zu einer von der betroffenen Person unbemerkten Datenerfassung und damit zu verdeckten Überwachungspraktiken kommen könnte:

„Eine solche Folge wäre unvereinbar mit dem Zweck […], ein hohes Niveau des Schutzes der Grundfreiheiten und der Grundrechte natürlicher Personen zu gewährleisten.“

Bei Informationen auch gestuftes Verfahren möglich

Das Urteil des EuGH ist nicht überraschend und entspricht der gängigen Praxis bei der Videoüberwachung. Unternehmen und Behörden, die Bodycams verwenden, müssen sicherstellen, dass die Informationspflichten nach Art. 13 DSGVO eingehalten werden. Dies bedeutet, dass Unternehmen die Betroffenen rechtzeitig und umfassend über die Verarbeitung ihrer personenbezogenen Daten informieren müssen. Die Entscheidung stärkt die Transparenz und den Datenschutz und setzt klare Maßstäbe für die Praxis.

Für die Verantwortlichen – insbesondere im Bereich der Personenbeförderung – bedeutet das Urteil, dass sie ihre Informationsprozesse überprüfen und gegebenenfalls anpassen müssen. Die Einhaltung der Informationspflichten ist nicht nur eine rechtliche Vorgabe, sondern auch ein wichtiger Beitrag zum Schutz der Persönlichkeitsrechte und zur Akzeptanz von Bodycams im öffentlichen Raum. Dabei wies der EuGH auch darauf hin, dass man die Informationspflicht durch gestufte Verfahren erfüllen kann. Auf einer ersten Ebene könnten so die wichtigsten Informationen auf einem Hinweisschild angezeigt werden, während auf einer zweiten Ebene die weiteren obligatorischen Informationen in geeigneter und vollständiger Weise an einem leicht zugänglichen Ort zur Verfügung zu stellen sind.