Vorletzte Woche hat die intersoft consulting services AG gemeinsam mit der Security Assist GmbH das Webinar „Technischer Datenschutz – physikalische Gebäudesicherheit als wichtige TOM“ durchgeführt. An dieser Stelle nochmals vielen Dank für das große Interesse. Einige Fragen der Teilnehmer konnten unmittelbar im Anschluss des Webinars beantwortet werden. Im Folgenden werden wir auf die weiteren Fragen eingehen, die sich vorwiegend im Bereich der Videoüberwachung ergeben haben.
Der Inhalt im Überblick
- Ist eine Videoüberwachung zur Leistungskontrolle von Beschäftigten zulässig?
- Darf der Vorgesetzte mich per Smartphone überwachen?
- Ist bei der Videoüberwachung eine Datenschutz-Folgenabschätzung (DSFA) notwendig?
- Wie lange dürfen Videoaufnahmen gespeichert werden?
- Wie muss die Videoüberwachung gekennzeichnet werden?
- Dürfen Videokameras zur Zutrittskontrolle eingesetzt werden?
- Ich hätte da noch eine Frage…
Ist eine Videoüberwachung zur Leistungskontrolle von Beschäftigten zulässig?
Werden Beschäftigte im Rahmen ihres Beschäftigungsverhältnisses von Kameras erfasst, stellt sich zunächst die Frage nach der richtigen Rechtsgrundlage. Hier kommt es darauf an, ob es sich um private Verantwortliche oder öffentliche Stellen handelt, ob der videoüberwachte Raum öffentlich oder nicht öffentlich zugänglich ist und ob die Beschäftigten von der Kamera nur miterfasst werden oder die Überwachung gezielt erfolgt.
Ist die Frage der richtigen Rechtsgrundlage entschieden, muss regelmäßig eine Verhältnismäßigkeitsprüfung durchgeführt werden. Die Videoüberwachung muss einem berechtigten Ziel des Arbeitgebers dienen. Es darf kein milderes und gleich geeignetes Mittel zur Zielerreichung geben (sog. Erforderlichkeit) und die Überwachung muss angemessen sein (Interessenabwägung). Bei der Interessenabwägung ist insbesondere der räumliche und zeitliche Umfang der Videoüberwachung zu berücksichtigen. Wird der komplette Arbeitsbereich des Beschäftigten überwacht oder verbleiben ihm Rückzugsmöglichkeiten? Findet die Videoüberwachung permanent statt oder nur anlassbezogen? Erfolgt die Videoüberwachung offen oder heimlich?
Allgemein gilt, dass die Videoüberwachung erheblich in die Persönlichkeitsrechte von Beschäftigten eingreift. Wenn Beschäftigte während ihrer Arbeitszeit befürchten müssen, dass ihr Verhalten aufgezeichnet, später rekonstruiert und kontrolliert wird, erzeugt dies einen großen Überwachungsdruck. Daher ist eine Videoüberwachung zur Leistungskontrolle von Beschäftigten unzulässig.
Anders kann es aussehen, wenn es einen begründeten Verdacht einer konkreten Straftat gibt. Die Überwachung erfolgt dann nicht zur Leistungskontrolle, sondern zur Aufdeckung einer Straftat. In dem Fall können einzelne Beschäftigte für einen zeitlich begrenzten Zeitraum überwacht werden. Eine heimliche Videoüberwachung ist hingegen auch zur Aufdeckung von Straftaten nur in äußerst seltenen Ausnahmefällen möglich. Die heimliche Videoüberwachung muss die praktisch einzig verbleibende Möglichkeit darstellen, eine Straftat aufzuklären oder zu verhindern. In aller Regel existieren andere Kontroll- bzw. Überwachungsmaßnahmen, die weniger invasiv und in gleichem Maße erfolgversprechend sind.
Ist eine gezielte Videoüberwachung von Beschäftigten zulässig, müssen weitere technische und organisatorische Maßnahmen ergriffen werden. Dazu gehört ein Berechtigungs- und Zugriffskonzept, das regelt, wer die Aufnahmen sehen kann. Hier kommt das Need-to-know-Prinzip zum Tragen, wonach nur derjenige Zugriff zu den personenbezogenen Daten erhalten darf, der den Zugriff zur Erledigung seiner vom Arbeitgeber zugewiesenen Aufgaben benötigt. Werden Dienstleister für den Betrieb oder die Wartung der Videoüberwachungsanlage eingesetzt, muss außerdem an den Abschluss eines Auftragsverarbeitungsvertrags gedacht werden, sofern die Dienstleister Zugriff auf die Aufnahmen haben. Daneben muss der Verantwortliche grundsätzlich über die Kameraüberwachung informieren und eine Datenschutz-Folgenabschätzung (DSFA) durchführen.
Zu guter Letzt hat auch der Betriebsrat bei der Einführung, Durchführung und Ausgestaltung von Videokameras ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG).
Darf der Vorgesetzte mich per Smartphone überwachen?
Ein unverhältnismäßiger Eingriff in die Persönlichkeitsrechte droht im Beschäftigtenverhältnis nicht nur durch Kameraüberwachung. Bei der per Smartphone erleichtert möglichen Überwachung der GPS-Position von Beschäftigten besteht ein erhöhtes Risiko von Profilbildung und Verhaltenskontrollen. Daher muss der Verantwortliche nach Auffassung der Datenschutzkonferenz in diesem Fall eine DSFA durchführen.
Darüber hinaus gilt auch hier, dass eine Dauerüberwachung der dem Beschäftigten zugeordneten GPS-Position von vornherein und eine heimliche Überwachung regelmäßig unzulässig sind. Die oben beschriebenen Grundsätze sind nicht nur bei der Videoüberwachung anwendbar, sondern generell bei der Verarbeitung personenbezogener Daten von Beschäftigten. Daher muss die Datenverarbeitung einem berechtigten Ziel des Arbeitgebers dienen und die Datenverarbeitung muss erforderlich sowie angemessen sein. Hiervon ausgehend ist es nach Ansicht der LDI NRW beispielsweise datenschutzrechtlich unproblematisch, wenn die Ortung zur reinen Standortbestimmung erfolgt, um weitere Aufträge zu einer standortnahen Zieladresse vergeben zu können (24. Datenschutz- und Informationsfreiheitsbericht LDI NRW, S. 65 f.).
Ganz anders lag der Fall bei Lieferando. Das von den Fahrern genutzte Smartphone übermittelte alle 15 bis 20 Sekunden die Standortdaten. In Kombination mit anderen Daten (Zeitpunkt der Abholung und Auslieferung durch den Fahrer, Einhaltung von Zeitvorgaben) war es möglich, umfassend die Arbeitsleistung zu messen, was einen unzulässigen Überwachungsdruck erzeugte.
Ist bei der Videoüberwachung eine Datenschutz-Folgenabschätzung (DSFA) notwendig?
Doch nun zurück zur Videoüberwachung. Bei der Videoüberwachung muss eine DSFA vorgenommen werden, wenn insbesondere aufgrund der eingesetzten Technologien, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht (Art. 35 Abs. 1 S. 1 DSGVO). Handelt es sich um öffentlich zugängliche Bereiche ist eine Datenschutz-Folgenabschätzung insbesondere dann erforderlich, wenn die Bereiche umfassend überwacht werden (Art. 35 Abs. 3 lit. a DSGVO).
Das Gesetz arbeitet mit einer ganzen Reihe von unbestimmten Begriffen, sodass es letztlich von den Umständen des Einzelfalls abhängt, ob eine DSFA notwendig ist. Bei der Bewertung dieser Frage müssen die Schwere des möglichen Schadens sowie dessen Eintrittswahrscheinlichkeit berücksichtigt werden. Nach Ansicht der Europäischen Datenschutzbehörde ist eine Datenschutz-Folgenabschätzung in der Regel erforderlich, wenn mindestens zwei der nachfolgenden Kriterien erfüllt ist (Leitlininen zur DSFA, S. 10 f.):
- Bewertung oder Einstufung natürlicher Personen
- Automatisierte Entscheidungsfindung
- Systematische Überwachung
- Verarbeitung Vertraulicher Daten
- Verarbeitung in großem Umfang
- Verarbeitung von Daten Schutzbedürftiger (Schutzbedürftige sind auch Beschäftigte)
- Nutzung neuer Technoligen
- Verarbeitung der Daten hat einen Einschüchterungseffekt
Gerade weil diese Kriterien nicht starr angewandt werden und auch bei nur einem erfüllten Kriterium ein hohes Risiko bestehen kann, sollte bereits vor Einführung der Videoüberwachung der Datenschutzbeauftragte einbezogen werden. Dieser kann das Risiko im konkreten Fall bewerten.
Wie lange dürfen Videoaufnahmen gespeichert werden?
Videoaufnahmen dürfen nur so lange gespeichert werden, wie sie zur Erreichung der Zwecke, für die sie angefertigt wurden, notwendig sind (Art. 5 Abs. 1 lit. e DSGVO).
Nach Auffassung der Aufsichtsbehörden sind Videoaufnahmen grundsätzlich nach spätestens 72 Stunden zu löschen. Hintergrund dieser Zeitangabe ist die arbeitsfreie Zeit am Wochenende: Sollte am Freitagabend etwas Wichtiges (beispielsweise eine Straftat) aufgezeichnet werden, muss am Montag die Möglichkeit bestehen, die Aufnahmen zu sichten. Die Zeitangabe von 72 Stunden ist allerdings nur ein Richtwert. Bei einer Überwachung von nur selten betretenen Räumen (z.B. Serverräume), ist eine längere Speicherdauer meist gut begründbar.
Wie muss die Videoüberwachung gekennzeichnet werden?
Auch bei der Videoüberwachung gelten die Hinweispflichten aus Art. 12 ff. DSGVO. Der Verantwortliche muss die Videoüberwachung zum frühestmöglichen Zeitpunkt erkennbar machen. Entscheidend ist, dass der Hinweis vor dem Betreten des videoüberwachten Bereich erfolgt. Nur so können betroffene Personen ihr Verhalten ausrichten.
Die Betroffenen können zunächst mit einem vorgelagerten Hinweisschild informiert werden. Das Hinweisschild sollte den Umstand der Beobachtung deutlich machen (Kamerasymbol, Piktogramm). Es soll dem Betroffenen einen schnell wahrnehmbaren Überblick über die wichtigsten Informationen verschaffen, also neben dem Umstand der Überwachung etwa auch den Namen und Kontaktdaten des Verantwortlichen und seine berechtigten Interessen. Es verwundert daher nicht, dass das vorgelagerte Hinweisschild auf Augenhöhe angebracht sein sollte. Die vollständigen Informationen können ausgelegt oder ausgehängt und zusätzlich auf einer Webseite vorgehalten werden. Hinsichtlich der Gestaltung des vorgelagerten Hinweisschilds sowie des vollständigen Informationsblatts stellen die Datenschutzbehörden Muster zur Verfügung (DSK, Orientierungshilfe Videoüberwachung, Anlagen).
Wer sich die im Alltag verwendeten Kamerasymbole oder Piktogramme schon einmal genauer angeschaut hat, erkennt, dass diese nur auf Bild- nicht aber auf Tonaufzeichnungen schließen lassen. Das ist kein Zufall, denn Tonaufnahmen sollten auf jeden Fall vermieden werden. Die Aufzeichnung oder das Abhören des nichtöffentlich gesprochenen Worts ist verboten. Wer hiergegen verstößt, dem droht eine Freiheitsstraße von bis zu drei Jahren § 201 StGB. Die Audiofunktion ist daher unumkehrbar zu deaktivieren.
Dürfen Videokameras zur Zutrittskontrolle eingesetzt werden?
Grundsätzlich dürfen Videokameras nur das eigene Grundstück filmen. Werden die Videokameras ähnlich wie ein Türspion oder eine Türkamera eingesetzt, erfassen sie im Regelfall öffentlichen Raum. Trotz der Erfassung öffentlichen Raums ist ein solcher Einsatz unbedenklich, wenn die Bildübertragung erst beim Anfordern des Zutritts beginnt, eine dauerhafte Speicherung der Aufnahmen ausgeschlossen ist, räumlich nur einen begrenzten Bereich des öffentlichen Raums abbildet und die Übertragung nach einigen Sekunden automatisch unterbricht. Eine dauerhafte und anlasslose Bildübertragung öffentlicher Räume muss technisch ausgeschlossen sei.
Der Einsatz von Videokameras zur Zutrittskontrolle in nicht-öffentlichen Betriebsbereichen ist grundsätzlich datenschutzrechtlich zulässig. In jedem Fall ist aber darauf zu achten, dass in dem von der Videokamera erfassten Bereich keine dauerhaften Arbeitsplätze eingerichtet sind. Der Erfassungsbereich der Kamera ist auf das Notwendigste zu beschränken.
Ich hätte da noch eine Frage…
Sprechen Sie uns gerne an, sollten noch Fragen zum Thema technisch und organisatorische Maßnahmen (TOM) offen sein. Für eine weiterführende individuelle Beratung in diesem Themenumfeld steht Ihnen unser Vertriebsteam unter sales@intersoft-consulting.de sehr gerne zur Verfügung.
