Ende März 2025 legte die Sächsische Datenschutz- und Transparenzbeauftragte Dr. Juliane Hundert ihren Tätigkeitsbericht für das Jahr 2024 vor. Der Bericht bietet auf mehr als 200 Seiten einen umfassenden Überblick über die Arbeit der Aufsichtsbehörde und benennt zentrale Entwicklungen im Bereich des Datenschutzes. Im Folgenden werden die wichtigsten Befunde und exemplarische Fälle zusammengefasst.

Steigende Zahl von Beschwerden und Datenschutzverletzungen

Der Trend steigender Fallzahlen setzte sich auch im Berichtsjahr 2024 fort. Insgesamt 1.255 Beschwerden, Beratungsanfragen und Kontrollanregungen gingen bei der Aufsichtsbehörde im vergangenen Jahr ein. Das entspricht einem Anstieg von rund acht Prozent gegenüber dem Vorjahr. Die Zahl der gemeldeten Datenschutzverletzungen überschritt erstmals die Marke von tausend: 1.001 Vorfälle wurden durch sächsische Verantwortliche der Aufsichtsbehörde gemeldet.

Die häufigsten Ursachen waren klassische Fehlversendungen, etwa durch falsche Adressierungen bei Postversand oder fehlerhafte E-Mail-Verteiler, der Verlust technischer Geräte wie Laptops sowie Cybervorfälle, etwa durch Phishing- oder Ransomware-Angriffe. Ein praktisches Beispiel betrifft den Diebstahl von Kameras aus einer Kindertageseinrichtung, auf denen Bilddaten von Kindern gespeichert waren. Ein weiterer Fall betraf den Verlust unverschlüsselter Notebooks mit Gesundheitsdaten. Die Behörde betonte erneut die Bedeutung technischer und organisatorischer Maßnahmen, um Datenschutzverletzungen zu verhindern oder deren Auswirkungen zu begrenzen.

Maßnahmen der Aufsichtsbehörde

Nach den Angaben des Tätigkeitsberichtes griff die Aufsichtsbehörde zur Durchsetzung datenschutzrechtlicher Anforderungenauf verschiedene Instrumente zurück. Im Jahr 2024 wurden 11 Warnungen, 47 Verwarnungen sowie 40 Anweisungen und Anordnungen ausgesprochen. Daneben verhängte die Behörde 21 Bußgelder. Die Gesamthöhe belief sich auf 199.000 Euro im nichtöffentlichen Bereich und 14.580 Euro im öffentlichen Bereich.

Ein erheblicher Teil der Bußgeldverfahren betraf unzulässige Videoüberwachungen oder den Einsatz von Dashcams. Beispielhaft erwähnt wird die Nutzung von Dashcams durch Fahrzeugführerinnen und Fahrzeugführer, bei denen Aufnahmen ohne konkreten Anlass und über längere Zeiträume hinweg gespeichert wurden. In diesen und weiteren Fällen wurden Bußgelder zwischen 100 Euro und 1.000 Euro verhängt.

Prüfungen von Internetseiten

Ein wesentlicher Schwerpunkt der behördlichen Tätigkeit war im vergangenen Jahr die automatisierte Überprüfung von 32.981 Internetseiten sächsischer Behörden, Unternehmen und Vereine. Die Prüfungen konzentrierten sich darauf, ob bereits bei einem ersten Aufruf einer Internetseite ohne Einwilligung personenbezogene Daten an Drittanbieter übermittelt werden. Bei etwa 66 Prozent der geprüften Seiten wurde eine solche Übertragung festgestellt, häufig an Google-Dienste wie Google Analytics oder Google Fonts.

In der Folge leitete die Aufsichtsbehörde ein Massenverfahren ein und kontaktierte 2.304 Seitenbetreiber, die überwiegend Google Analytics ohne rechtmäßige Einwilligung eingesetzt hatten. Die Nachkontrolle ergab, dass rund 65 Prozent der Verantwortlichen die festgestellten Verstöße beseitigt hatten. Häufige Fehlerquellen waren etwa voreingestellte Tracking-Dienste trotz Anzeige eines Einwilligungsmanagements („Cookie-Banner“) oder unzureichende Informationen im Rahmen der Einholung der Einwilligung. Der Bericht zeigt, dass weiterhin erheblicher Nachbesserungsbedarf bei der praktischen Umsetzung von Einwilligungsanforderungen besteht.

Dauerbrenner Videoüberwachung

Auch im Bereich der Videoüberwachung blieb der Beratungs- und Prüfbedarf hoch. Mehr als zwei Drittel der im nichtöffentlichen Bereich eingeleiteten Ordnungswidrigkeitenverfahren standen im Zusammenhang mit Verstößen bei Videoüberwachungen. Häufig wurden fehlende Hinweisschilder bemängelt, die betroffenen Personen nicht klar und verständlich über die Überwachung informieren. Zudem fehlte in vielen Fällen eine klare Zweckbestimmung, und überwachte Bereiche umfassten auch öffentlich zugängliche Flächen, ohne dass hierfür ein ausreichender Rechtfertigungsgrund vorlag.

Zur Unterstützung bei der Umsetzung datenschutzkonformer Videoüberwachung veröffentlichte die sächsische Datenschutz-Aufsichtsbehörde 2024 eine überarbeitete zweite Auflage der Broschüre „Achtung Kamera!“, die praxisnahe Hinweise zur rechtssicheren Gestaltung von Videoüberwachungsmaßnahmen bietet.

Beschäftigtendatenschutz

Ein weiterer Schwerpunkt lag im Bereich des Schutzes von Beschäftigtendaten. Die Aufsichtsbehörde stellte beispielsweise fest, dass in mehreren Fällen vertrauliche personenbezogene Daten von Beschäftigten, etwa Gesundheitsdaten oder Kündigungsgründe, in Betriebsversammlungen oder internen Bekanntmachungen unzulässig offengelegt wurden. Die Aufsichtsbehörde weist in diesem Kontext ausdrücklich darauf hin, dass Personalaktendaten stets streng vertraulich zu behandeln sind. Auch mündliche Offenbarungen sensibler Informationen gegenüber nicht berechtigten Dritten sind unzulässig.

„Das Gebot der Gewährleistung der Vertraulichkeit in Bezug auf Personalaktendaten ist eine Verpflichtung des Arbeitgebers, die sowohl innerhalb der Dienststelle bzw. des Betriebes und auch gegenüber außenstehenden Dritten besteht. Die Personalakte ist daher vertraulich zu behandeln, vor unbefugter Einsicht zu schützen und der Zugriff nur für solche Beschäftigten und auf solche Daten zuzulassen, wie dies im Rahmen der Personalverwaltung erforderlich ist.“, so Dr. Juliane Hundert im Rahmen des Tätigkeitsberichtes.

Cyberkriminalität als zunehmende Bedrohung

Der Tätigkeitsbericht weist ferner darauf hin, dass Meldungen von Datenschutzverletzungen infolge von Cyberangriffen weiterhin eine zentrale Rolle spielen. Derartige Vorfälle umfassen insbesondere Phishing-Angriffe, Ransomware-Attacken sowie das Ausnutzen von Sicherheitslücken.

Ein typisches Beispiel aus dem Berichtsjahr war die Kompromittierung von E-Mail-Konten, die in mehreren Fällen dazu führte, dass unbefugte Dritte Zugriff auf personenbezogene Daten erlangten. In einigen Fällen wurden dadurch vertrauliche Kommunikationsdaten abgegriffen oder betrügerische E-Mails im Namen betroffener Organisationen verschickt. Die Behörde empfiehlt, den Schutz technischer Systeme regelmäßig zu überprüfen und organisatorische Maßnahmen wie Sensibilisierungstrainings für Beschäftigte zu etablieren, um das Risiko von derartigen Datenschutzverletzungen und Sicherheitsvorfällen zu verringern.

Fazit

Der Tätigkeitsbericht zeigt, an welchen Stellen Verantwortliche in Sachsen gezielt ansetzen können, um datenschutzrechtliche Anforderungen im Alltag besser umzusetzen. Ob bei einem Betrieb von Internetseiten, bei der Gestaltung von Videoüberwachungsmaßnahmen oder im Umgang mit Beschäftigtendaten – häufig lassen sich Verbesserungen schon durch klarere Prozesse sowie wirksamere technische und organisatorische Maßnahmen erzielen. Die dargestellten Beispiele machen deutlich, dass Datenschutz in vielen Fällen mit überschaubarem Aufwand wirksam verbessert werden kann. Unternehmen, Behörden und Vereine erhalten mit dem Bericht konkrete Hinweise, um ihre bestehenden Strukturen weiterzuentwickeln und die gesetzlichen Anforderungen im eigenen Verantwortungsbereich zuverlässig zu erfüllen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Mit Pressemitteilung vom 30. Juli 2024 weist die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) Dr. Juliane Hundert auf die Veröffentlichung der zweiten Auflage der Informationsbroschüre „Achtung Kamera!“, einem Ratgeber für Verantwortliche und Betroffene hin. Zugleich macht sie auf die gegenüber zum Vorjahreszeitraum um 20 Prozent gestiegene Anzahl von Beschwerden betroffener Personen im Kontext mit Videoüberwachungen aufmerksam. In der ersten Jahreshälfte sah sich die sächsische Datenschutz-Aufsichtsbehörde mit insgesamt 115 Eingaben konfrontiert.

Anforderungen Kennen

Verantwortliche sollten sich bereits vor der Einführung eines Videoüberwachungssystems gründlich mit den datenschutzrechtlichen Anforderungen an ein solches System auseinandersetzen. Zu den Verantwortlichen können neben Behörden, Kommunen und Unternehmen auch Privatpersonen gehören. Schließlich finden die Normen der Datenschutz-Grundverordnung gemäß Art. 2 Abs. 2 lit. c) DS-GVO auch auf natürliche Personen Anwendung, sofern eine Verarbeitung personenbezogener Daten – hierzu gehören grundsätzlich auch Videoinhalte – nicht zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten erfolgt.

Im Rahmen der Pressemitteilung weist die SDTB darauf hin, dass der Anstieg im Vergleich zum Vorjahreszeitraum ausschließlich auf den Einsatz von Videoüberwachungssystemen von Privatpersonen und Unternehmen zurückzuführen sei. „Der Zuwachs an Beschwerden macht deutlich, dass sich immer mehr Menschen durch privatmotivierte Videoüberwachung in ihrer Freiheit eingeschränkt fühlen. Inwieweit die Beschwerden berechtigt sind, lässt sich jedoch erst nach Abschluss der Verfahren sagen. Es deutet derzeit aber vieles darauf hin, dass in der Mehrzahl Datenschutzverstöße vorliegen. Erfahrungsgemäß überwiegen die Persönlichkeitsrechte der Betroffenen fast immer das berechtigte Interesse der Kamerabetreibenden.“, so Dr. Juliane Hundert.

Die aktualisierte Auflage biete einen umfassenden Überblick zur Rechtslage über die häufigsten Verarbeitungssituationen wie zum Beispiel zur Videoüberwachung von Beschäftigten, in der Nachbarschaft, auf Baustellen, in der Gastronomie, in Freizeiteinrichtungen sowie in Fahrzeugen und durch Drohnen. Darüber hinaus werde auch die Rechtslage bei Videoüberwachungen durch Kommunen in Sachsen dargestellt.

Rechtmäßigkeit und Transparenz

Im Kontext von Videoüberwachungen werden wesentliche Anforderungen an die Rechtmäßigkeit sowie an die Transparenz der Datenverarbeitung gestellt. Insbesondere bei Videoüberwachungen durch Unternehmen oder Privatpersonen wird regelmäßig auf das sogenannte berechtigte Interesse abzustellen sein. Im Rahmen einer verpflichtend durchzuführenden Interessenabwägung sind die Interessen des Verantwortlichen mit den entgegenstehenden Interessen, Rechten und Freiheiten betroffener Personen gegenüberzustellen. Überwiegen letztere, kann eine Videoüberwachung nicht in der geplanten Form durchgeführt werden.

Zudem fordert die Datenschutz-Grundverordnung eine transparente Datenverarbeitung. Daraus folgt, dass auch bei einer Videoüberwachung die Informationspflichten nach Art. 13 DS-GVO einzuhalten sind. Hierbei sind mindestens Angaben zur Identität des Verantwortlichen, die Kontaktdaten der bzw. des Datenschutzbeauftragten, die Verarbeitungszwecke und Rechtsgrundlage, die Dauer der Speicherung sowie der Hinweis auf die Betroffenenrechte vorzunehmen. Diese Informationen müssen der betroffenen Person in gut lesbarer und verständlicher Weise bereitgestellt werden, möglichst noch bevor diese den kameraüberwachten Bereich betritt.

Verstößt ein Verantwortlicher gegen die datenschutzrechtlichen Anforderungen, können sich betroffene Personen bei der Aufsichtsbehörde beschweren. Diese kann aufgrund der Eingabe der betroffenen Person, aber auch eigeninitiativ tätig werden, Prüfungen durchführen und beispielsweise Bußgelder erlassen, eine Videoüberwachung mit Auflagen versehen oder gänzlich untersagen. Dass die sächsische Aufsichtsbehörde hinsichtlich des Themas Videoüberwachung auch eigeninitiativ tätig wird, zeigt der Tätigkeitsbericht 2023 und die dort dargestellte stichprobenartige Überprüfung von Videoüberwachungen in sächsischen Tanzschulen. Dort führte die Überprüfung teilweise auch zur Demontage von Kameras.

Anstieg von Bußgeldern

Der aktuellen Pressemitteilung ist ebenfalls zu entnehmen, dass seitens der Aufsichtsbehörde in diesem Jahr bereits mehrere Bußgeldbescheide im Kontext mit Videoüberwachungen erlassen wurden. Die Fälle umfassten Videokameras in Fahrzeugen, in Mehrfamilienhäusern und in einem Fall den Parkplatz eines Gewerbebetriebes. Die Höhe der Bußgelder belief sich jeweils auf eine Höhe von 100 Euro bis 900 Euro, im Falle des Gewerbebetriebes in Höhe von 30.000 Euro. Ausschlaggebend war im letztgenannten Fall insbesondere die unzulässige Aufzeichnung von Audioinhalten sowie die Erfassung des öffentlichen Verkehrsraums sowie mehrerer weiterer Privatgrundstücke und einer Baustelle. Das Bußgeld sei noch nicht rechtskräftig.

Insgesamt lässt sich seitens der betroffenen Personen eine deutlich gesteigerte Sensibilität hinsichtlich Videoüberwachungen wahrnehmen. Immer öfter werden dabei Beschwerden an die Aufsichtsbehörden herangetragen. Insofern sollten Verantwortliche den Einsatz von Videoüberwachungssystemen umfassend prüfen und datenschutzkonform ausgestalten. Weitere Informationen hierzu erhalten Sie beispielsweise in unserem Leitfaden zum Thema Videoüberwachung sowie im Kurzpapier Nr. 15 der unabhängigen Datenschutzbehörden des Bundes und der Länder, aber auch in der benannten Informationsbroschüre der SDTB „Achtung Kamera!“.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Die französische Datenschutz-Aufsichtsbehörde Commission Nationale de l’Informatique et des Libertés (CNIL) hat, wie nun bekannt wurde, bereits im Dezember 2023 gegen das Unternehmen Amazon France Logistique ein Bußgeld in Höhe von 32 Millionen Euro verhängt. Hintergrund sei die exzessive und teilweise sekundengenaue Überwachung beschäftigter Personen. Nach Angaben des französischen Amazon-Unternehmens sei diese Praxis „branchenüblich“ und „notwendig, um die Sicherheit, Qualität und Effizienz der Abläufe zu gewährleisten.“ (F.A.Z.) Vielen dürfte diese Diskussion bereits aus einem Urteil des Verwaltungsgerichtes Hannover von Februar 2023 bekannt vorkommen.

Hintergrund

Die Beschäftigten des französischen Amazon-Logistikunternehmens dokumentieren mithilfe von Handscannern in Echtzeit die Erfüllung der ihnen übertragenen Aufgaben. Dies umfasst beispielsweise die Einlagerung, die Entnahme sowie das Verpacken und Versenden von Artikeln. Hierbei erfasst das Unternehmen verschiedenste Kennzahlen, die Rückschlüsse auf die Arbeitsweise der einzelnen Beschäftigten ermöglichen. Neben den Faktoren Qualität und Produktivität, prüft das Amazon-Unternehmen ebenfalls die Inaktivitätszeiten. In diesem Zusammenhang geben die Handscanner beispielsweise Warnungen aus, wenn Artikel in zu großer Geschwindigkeit gescannt oder zu häufig und zu lange Unterbrechungen registriert werden. Aufgrund einiger Beschwerden von Beschäftigten sowie einschlägiger Presseartikel führte die CNIL Kontrollen durch.

Nach Ansicht der Aufsichtsbehörde ist das System unverhältnismäßig und mithin rechtswidrig. Die Art und Weise der Beschäftigtenüberwachung setze die Personen einem ständigen Druck aus, insbesondere wenn die Beschäftigten in die Lage gerieten, jede Arbeitsunterbrechung rechtfertigen zu müssen.

Prüfung durch die Aufsichtsbehörde

Im Rahmen der Prüfung durch die französische Datenschutz-Aufsichtsbehörde wurden eine Reihe verschiedener Verstöße gegen die Datenschutz-Grundverordnung festgestellt:

• Verstoß gegen den Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c) DS-GVO: Für die Organisation und Koordinierung von Arbeitsaufgaben sowie für die Schulung der Beschäftigten sei eine derartig umfangreiche Verarbeitung der Qualitäts- und Produktivitätsindikatoren auf Basis des Arbeitsverhaltens des jeweils letzten Monats nicht erforderlich. Die Aufsichtsbehörde ist der Ansicht, eine Auswahl aggregierter Informationen auf wöchentlicher Basis seien hierfür ausreichend.

• Verstoß gegen die Rechtmäßigkeit der Datenverarbeitung, Art. 6 Abs. 1 DS-GVO: Von den verwendeten Qualitäts- und Produktivitätsindikatoren seien insbesondere drei Indikatoren unrechtmäßig verarbeitet worden. Dies betrifft die Indikatoren bezüglich zu schnelles Scannen (Zeitspanne von weniger als 1,25 Sekunden zwischen zwei Artikeln), die Leerlaufzeit (keine Nutzung des Scanners innerhalb von zehn Minuten) sowie die Erfassung sonstiger Unterbrechungen (Unterbrechungszeiten zwischen einer und zehn Minuten).
  
  Die Aufsichtsbehörde stellte hierbei fest, dass die Datenverarbeitungen nicht auf ein berechtigtes Interesse zu stützen seien, da die bemängelten Indikatoren zu einer übermäßigen Überwachung führten. Dies zeige bereits die zum Teil sekundengenaue Erfassung der Tätigkeiten. Weiterhin bestünden bereits zahlreiche weitere aggregierte Indikatoren, welche das Unternehmen zur Qualitätssicherung und zur Umsetzung von Sicherheitsaspekten nutze.
  
• Verstoß gegen die Verpflichtung zur Bereitstellung transparenter Datenschutzinformationen, Art. 13 DS-GVO: Hinsichtlich des ebenfalls eingesetzten Videoüberwachungssystems wurden weder Beschäftigte noch Externe über die Datenverarbeitungen informiert.

• Verstoß gegen die Gewährleistung der Sicherheit der Verarbeitung, Art. 32 DS-GVO: Ebenfalls im Zusammenhang mit der Videoüberwachungsanlage stellte die Datenschutz-Aufsichtsbehörde fest, dass bestehende Zugriffsmöglichkeiten unzureichend abgesichert wurden. So seien ungeeignete Passwörter genutzt sowie Nutzungskonten durch mehrere Personen verwendet worden. Hierdurch sei es nicht möglich gewesen, etwaige (unrechtmäßige) Zugriffe auf die Videoüberwachungsanlage nachzuvollziehen.

Auch wenn ein Bußgeld in Höhe von 32 Millionen Euro zunächst vergleichsweise beträchtlich wirkt, kommt dieses bei einem Amazon-Konzernumsatz von 514 Milliarden US-Dollar im Jahr 2022 nicht einmal ansatzweise an die möglichen vier Prozent des Jahresumsatzes, die Art. 83 Absatz 5 DS-GVO als Höchstgrenze vorsieht. Das Amazon-Unternehmen kündigte bereits an, gegen den Bescheid der Aufsichtsbehörde vorzugehen, schließlich seien die bemängelten Datenverarbeitungen branchenüblich und notwendig.

Beschäftigtenüberwachung und das Verwaltungsgericht Hannover

Bereits im Februar 2023 befasste sich das Verwaltungsgericht Hannover mit einer vergleichbaren Datenverarbeitung durch die Amazon Logistik Winsen GmbH. Anders als die französische Datenschutz-Aufsichtsbehörde befand das Gericht die Datenverarbeitungen – auch zum Unverständnis Vieler – für zulässig (Urt. v. 9.2.2023, Az. 10 A 6199/20). Dem Urteil vorangegangen war eine Besichtigung am betroffenen Logistikstandort.

Ursprünglich hatte die niedersächsische Datenschutz-Aufsichtsbehörde dem betreffenden Unternehmen untersagt, eine zum französischen Sachverhalt vergleichbare Datenverarbeitung durchzuführen. Hiergegen wehrte sich das deutsche Amazon-Unternehmen und reichte beim Verwaltungsgericht Hannover Klage ein. Dieses stellte nach einem Vor-Ort-Termin sowie nach Gesprächen mit dem damaligen und einem ehemaligen Betriebsratsvorsitzenden fest, dass die Datenverarbeitung für die Erreichung der dargestellten Zwecke erforderlich sei. Zudem würden die Interessen des Unternehmens etwaig entgegenstehenden Rechten und Freiheiten der Beschäftigten überwiegen, insbesondere da die Datenverarbeitung nicht heimlich geschehe. Ferner konnte durch das Gericht keine Verhaltenskontrolle festgestellt werden. Vielmehr würden die Datenverarbeitungen der Steuerung der Logistikabläufe dienen. Die Beschäftigten würden sogar die Möglichkeit eines objektiven Feedbacks schätzen.

Die Rechtsauffassung des Gerichts steht damit scheinbar im Widerspruch zur bisherigen Rechtsprechung des Bundearbeitsgerichts, welches Maßnahmen, die Beschäftigte einem permanentem Überwachungsdruck aussetzen, als rechtswidrig einstuft (Urt. v. 27.7.2017, Az. 2 AZR 681/16). Spannend bleibt, wie ein mögliches Gerichtsverfahren im Fall der Amazon France Logistique ausgehen wird.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

In einem aktuellen Fall beschäftigte sich das Verwaltungsgericht (VG) Hannover (Urt. v. 10.10.2023, Az. 10 A 3472/20) mit einem besonderen Fall der Videoüberwachung – der Videoüberwachung in einem Wettbüro. Der folgende Beitrag soll den Sachverhalt sowie das Urteil umreißen und die wichtigen Aspekte für die Praxis darstellen.

Der Sachverhalt

Die Klägerin verfügt über ein Filialnetz für Wettannahmen der Pferdewett- und Sportvermittlung. In dem infrage stehenden Wettbüro halten sich Gäste in mehreren Abschnitten beziehungsweise Räumlichkeiten auf. Hierzu gehören das Wettbüro, der Gastronomiebereich und die sanitären Einrichtungen.  

Die Geschäftsführung ließ in der betroffenen Filiale insgesamt elf Videokameras aufstellen, welche die drei für Gäste zugänglichen Räume umfassend überwachten. Die Betreiberin des Wettbüros begründete die Überwachung mit dem berechtigten Interesse der Vorbeugung von Straftaten, welche in Vergangenheit häufiger und in verschiedenen Variationen stattfand. Hierzu gehörten insbesondere milieubedingte Kriminalität wie Handel und Konsum von Drogen, damit verbundene, teils aggressive Handlungen und Betrug. Weiterhin dienen die Kameras der Stärkung des Sicherheitsgefühls der Beschäftigten und dem Schutz des Eigentums vor Vandalismus und Diebstahl.

Grund der Klage seitens des Betreibers waren Streitigkeiten mit der der Niedersächsischen Datenschutzbehörde bezüglich der Aufstellung einiger Kameras in den Räumlichkeiten.  Die beklagte Datenschutzbehörde gab an, dass die Überwachung der Arbeits- und Sitzplätze in den Räumlichkeiten nicht erforderlich sei, um die vom Kläger verfolgten Zwecke der Videoüberwachung umzusetzen. Die Überwachung beeinträchtige zudem die Persönlichkeitsrechte der sich länger in den Sitzbereichen aufhaltenden Personen.

Zum Urteil

Das VG Hannover wies die Klage ab und gab der Datenschutzbehörde recht. Das Gericht befand die Anweisung als materiell rechtmäßig, da einige der Kameras mit ihrer derzeitigen Aufstellung nicht den datenschutzrechtlichen Anforderungen entsprachen. Weiterhin waren die in Frage stehenden Kameras nach Auffassung des Gerichts zur Wahrnehmung der Interessen der Klägerin nicht notwendig. Dem Gericht war kein Zusammenhang zwischen der in Vergangenheit begangenen Straftaten und dem Aufenthalt der Gäste in den Sitzbereichen erkennbar, da die jeweiligen Straftaten nicht in dem betroffenen Bereich stattgefunden haben.

Für das Gericht war außerdem nicht erkennbar, dass die Videoüberwachung im Sitzbereich dazu geeignet ist, die zuvor genannten Straftaten zu verhindern oder aufzuklären.

Das VG Hannover war der Auffassung, dass der Betreiber zu wesentlich milderen Mitteln hätte greifen können. So teilte das Gericht die Auffassung des Klägers nicht, dass die Präsenz von Wachpersonal von den Gästen als gravierenderer Eingriff wahrgenommen würde, weshalb der Einsatz von Kameras bereits das mildere Mittel gewesen sei. Der Einsatz von Wachpersonal würde entgegen der Argumentation der Klägerin nicht zu einer permanenten Beobachtung führen, sofern diese nur gelegentliche Rundgänge unternehmen. Gelegentliche Rundgänge würden zudem die gleiche abschreckende Wirkung entfalten wie eine permanente Beobachtung durch Kameras. Weiterhin könnte sich das Personal vor aggressiv auftretenden Gästen schützen, indem sie die Polizei rufen, anstatt sie selbst des Hauses zu verweisen.

Fazit

Aus dem Urteil wird schnell ersichtlich, dass die Videoüberwachung im Betrieb datenschutzrechtlich nach wie vor erhebliche Hürden in der Rechtfertigung erfahren kann. In der Praxis greifen Verantwortliche oftmals auf Videokameras zurück, welche die Videoüberwachung mit der Aufdeckung von Vandalismus oder ähnlichen Delikten rechtfertigen, obwohl teilweise bislang keine derartigen Fälle aufgetreten sind. Das Urteil zeigt, dass selbst bei in der Vergangenheit aufgetretenen Straftaten das Persönlichkeitsrecht der Betroffenen noch immer über den Interessen des Betreibers stehen kann. Die Videoüberwachung ist jedoch keinesfalls unmöglich. Letztendlich kommt es auch in Wettbüros mit hohem Aufkommen (potenzieller) krimineller und gewalttätiger Handlungen auf eine datenschutzkonforme Einrichtung der Videokameras an.

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Der Einsatz von Dashcams erfreut sich in Deutschland an zunehmender Beliebtheit. Dabei haben nicht nur Privatpersonen das mögliche „Beweismittel“ für sich entdeckt, auch immer mehr Flottenbetreiber deklarieren die Vorteile einer Verkehrsraumüberwachung für sich. Als Rechtfertigungsgründe werden hierzu häufig die Aufklärung von Unfällen bei der Arbeit, Beweissicherung für die Klärung der Schuldfrage in einem Gerichtsverfahren sowie der Schutz vor Vandalismus an den firmeneigenen Fahrzeugen (Eigentumsschutz) angebracht.

Dashcams sind kleine Kameras, die meist im Bereich der Windschutzscheibe angebracht sind und fortwährend das Geschehen im Straßenverkehr als Video aufzeichnen. Durch diese Aufzeichnung werden zwangsläufig Kfz-Kennzeichen anderer Verkehrsteilnehmer sowie unbeteiligte Dritte, die sich auf (Radfahrer) oder in der Nähe (Passanten) einer Straße aufhalten, erfasst. Es werden personenbezogene Daten verarbeitet. Das führt zu der Erforderlichkeit, den Einsatz dieser Minikameras in einem datenschutzrechtlichen Kontext zu betrachten.

Teilnehmer im öffentlichen Straßenverkehr haben ein berechtigtes Interesse daran, nicht ohne rechtlichen Grund aufgezeichnet zu werden. Das gilt schon allein deshalb, weil sie sich der Überwachung durch die Dashcams, von denen sie regelmäßig keine Kenntnis haben, nicht entziehen können. Der rechtmäßige Einsatz von Dashcams im Straßenverkehr bemisst sich nach Art. 6 Abs. 1 lit. f DS-GVO. Danach ist die Verarbeitung personenbezogener Daten nur zulässig, soweit dies zur Wahrung berechtigter Interessen von Verantwortlichen oder Dritten erforderlich ist und sofern nicht die Interessen, Grundrechte oder Grundfreiheiten der betroffenen Person überwiegen. Daraus ergibt sich eine Interessenabwägung zwischen den Interessen des Verantwortlichen, also demjenigen, der eine Dashcam einsetzt und den Interessen der davon Betroffenen, also der anderen Verkehrsteilnehmer, die aufgezeichnet werden. Eine entscheidende Rolle spielt dabei jeweils der Einsatzzweck.

So sind nach Auffassung der Datenschutzkonferenz, kurz: DSK, permanente und ohne besonderen Anlass vorgenommene Aufzeichnungen im Straßenverkehr unzulässig (vgl. Positionspapier der DSK vom 28.01.2019 zur Unzulässigkeit von Videoüberwachung aus Fahrzeugen). In diesem Fall überwiegen die Interessen der Betroffenen. Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. Dies umfasst das Recht des Einzelnen, sich in der Öffentlichkeit frei zu bewegen, ohne befürchten zu müssen, ungewollt und anlasslos zum Objekt einer Videoüberwachung gemacht zu werden. Als anlasslos gilt der Betrieb einer Dashcam insbesondere, wenn die Aufzeichnung bei Fahrtantritt aktiviert wird und der Speicher erst überschrieben wird, sobald er vollläuft. Solche rotierenden Aufzeichnungen stellen einen Verstoß gegen die Datenschutz-Grundverordnung dar.

Auch wenn der Bundesgerichtshof in seiner Entscheidung vom 15. Mai 2018 (AZ. VI ZR 233/17) die Beweisverwertbarkeit von Bildmaterial in einem Zivilrechtsstreit wegen eines Verkehrsunfalles zugelassen hat, betont er doch gleichzeitig, dass die Verwendung von Dashcams einen rechtswidrigen Eingriff nach der DS-GVO darstellen.

Der Einsatz einer Dashcam wird dann als datenschutzkonform bewertet, wenn sichergestellt ist, dass damit gefertigte Videoaufzeichnungen – ohne ein eine längere Speicherung rechtfertigendes Ereignis – nach kurzer Zeit; maximal drei bis fünf Minuten, wieder gelöscht werden. Es kommt bei der Aufzeichnung also maßgeblich auf ein auslösendes Ereignis an. Technisch sollte die eingesetzte Dashcam daher im sogenannten Loop-Modus filmen. Dabei nimmt die Kamera immer nur kurze Sequenzen maximal 1 Minute auf, die anschließend überschrieben werden, sofern sie nicht gesperrt wurden. Die Sperrung geht entweder manuell auf Knopfdruck, oder wird durch einen sogenannten G-Sensor ausgelöst. Dieser nimmt die bei einem Unfall wirkenden G-Kräfte wahr und löst eine Aufzeichnung aus. Wichtig ist aber auch hier zu wissen, dass solche Aufzeichnungen gelöscht werden müssen, sollte sich herausstellen, dass ein starkes Bremsen, Beschleunigen oder die Erschütterung nichts mit einem Schadensereignis zu tun hatte.

Zu alle dem muss der Verantwortlich bei einer Videoüberwachung mittels Dashcam sicherstellen, dass er die Informationspflichten gemäß Art. 12 ff. DS-GVO wahrt, auch wenn dies gerade bei fahrenden Fahrzeugen in praktischer Hinsicht Schwierigkeiten aufwirft. So empfiehlt es sich, am Fahrzeug und von außen gut erkennbar einen Hinweis auf eine im Fahrzeug befindliche Dashcam, z.B. in Form eines Piktogramms sowie den Firmennamen und eine Internetadresse anzubringen. Auf der Internetseite können dann sämtliche nach Art. 13 DS-GVO erforderlichen Informationen aufgelistet werden.

Setzt also ein Unternehmen Dashcams ein, die ohne Anlass Aufzeichnungen im Straßenverkehr vornehmen, oder kommt er bei dem Einsatz einer Kamera, die nur unter bestimmten Vorbedingungen aufzeichnet, seinen Informationspflichten nicht nach, muss das Unternehmen mit einem erheblichen Bußgeld rechnen. Für Unternehmen hat die Datenschutzkonferenz Ende 2019 ein Konzept zur Bußgeldzumessung veröffentlicht. Da für die Zumessung verschiedene Faktoren relevant sind, können keine pauschalen Beträge genannt werden. Es ist jedoch darauf hinzuweisen, dass die Überwachung unbeteiligter Verkehrsteilnehmer keinen nur geringfügigen Verstoß darstellt. Mit einer Geldbuße im Rahmen für „leichte“ Verstöße können Verantwortliche daher in der Regel nicht rechnen.

Nichtsdestotrotz ist der datenschutzkonforme Einsatz von Dashcams in firmeneigenen Fahrzeugflotten unter den oben aufgezeigten Kriterien nicht grundsätzlich ausgeschlossen. Planen Sie eine umfangreiche Aufrüstung ihre Firmenfahrzeuge mit Dashcams, binden Sie frühzeitig Ihren Datenschutzbeauftragten mit ein.

Über die Autorin: Carolin Rubel ist Rechtsanwältin und als externe Datenschutzbeauftragte beim Dresdner Institut für Datenschutz tätig. Im Fokus ihrer Beratungstätigkeiten liegen neben der Betreuung von Auftraggebern aus den allgemeinen Bereichen Industrie/Handel/Dienstleistung, spezialisiert Wohnungsunternehmen sowie kirchliche Stellen und Auftraggeber aus dem Gesundheitsbereich. Für Anregungen und Reaktionen zu diesem Beitrag können Sie die Autorin gern per E-Mail kontaktieren .

Unter dem Begriff der „Videoüberwachung“ ist in datenschutzrechtlicher Hinsicht jegliche Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen zu verstehen. Ein „Raum“ ist bereits dann als öffentlich zugänglich zu definieren, wenn nicht hinreichend ausgeschlossen werden kann, dass unbeteiligte Dritte diesen passieren. Dementsprechend kann auch ein abgesicherter Baustellenbereich im Rahmen einer Videoüberwachung bereits als öffentlich zugänglicher Raum angesehen werden.

RECHTSGRUNDLAGEN

In der Datenschutz-Grundverordnung (DS-GVO) finden sich zum Thema Videoüberwachung keine expliziten Rechtsgrundlagen. Lediglich im Bundesdatenschutzgesetz (BDSG), genauer im § 4 BDSG, ist die Zulässigkeit einer Videoüberwachung öffentlich zugänglicher Räume normiert. Nach dem Urteil des Bundesverwaltungsgerichts vom 27. März 2019 ist diese Norm jedoch teilweise europarechtswidrig und somit für nicht-öffentliche verantwortliche Stellen nicht anwendbar. Aus diesem Grund ist bei einer Videoüberwachung in der Regel allein auf die allgemeine Norm des Art. 6 Abs. 1 Satz 1 lit. f DS-GVO (Interessenabwägung) abzustellen.

Darüber hinaus ergeben sich für öffentliche Stellen der Länder oftmals aus dem jeweiligen Landesrecht spezifische Rechtsgrundlagen, zum Beispiel in Sachsen aus § 13 Sächsisches Datenschutzdurchführungsgesetz (SächsDSDG) oder in Brandenburg aus § 28 Brandenburgisches Datenschutzgesetz (BbgDSG).

Sollten im Rahmen einer Videoüberwachung, beispielsweise mithilfe einer Gesichtserkennungssoftware, biometrische Daten verarbeitet werden, ist ebenfalls der Anwendungsbereich des Art. 9 DS-GVO (Verarbeitung besonderer Kategorien personenbezogener Daten) eröffnet. Findet eine Videoüberwachung hingegen ausschließlich zur Ausübung persönlicher oder familiären Tätigkeiten statt, das heißt eine Videoüberwachung un-beteiligter Dritter ist ausgeschlossen, finden die Regelungen der DS-GVO keine Anwendung. Hierbei ist dennoch stets das allgemeine Persönlichkeitsrecht zu achten. Die Anzahl der Anwendungsfälle für die Ausnahmeregelung hinsichtlich des persönlich-familiären Bereichs gemäß Art. 2 Abs. 2 lit. c DS-GVO dürfte im Zusammenhang mit einer Videoüberwachung jedoch entsprechend gering sein.

INTERESSENABWÄGUNG

Entsprechend des Art. 6 Abs. 1 Satz 1 lit. f DS-GVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn diese zur Wahrung eines berechtigten Interesses des Verantwortlichen oder eines Dritten erforderlich ist. Zusätzlich ist jedoch zu prüfen, ob möglicherweise die Interessen oder Grundrechte und Grundfreiheiten betroffener Personen überwiegen. Zusammenfassend bedarf es somit drei wesentlicher Elemente: Die Wahrung berechtigter Interessen, die Erforderlichkeit einer Videoüberwachung sowie einer Interessenabwägung zwischen den Interessen des Verantwortlichen und denen des Betroffenen.

Hinsichtlich eines berechtigten Interesses bei einer Videoüberwachung kann sowohl auf das des Verantwortlichen als auch auf das eines Dritten, beispielsweise eines Ladenmieters in einem Einkaufszentrum verwiesen werden. In diesem Zusammenhang können unter anderem die Beweissicherung durch Aufzeichnung und die hieraus ermöglichte Geltendmachung zivilrechtlicher Schadensersatzansprüche ein berechtigtes Interesse darstellen.

Weiterhin muss eine Videoüberwachung auch erforderlich sein. Das bedeutet, es ist zu hinterfragen, ob das festgelegte Ziel durch eine Videoüberwachung erreicht werden kann und ob unter Umständen nicht sogar ein anderes, weniger in die Rechte der betroffenen Personen eingreifendes Mittel, die gleiche Wirkung erzielen könnte. In Betracht kommen hier beispielsweise der Einsatz von Sicherheitspersonal oder ein Echtzeit-Monitoring anstatt einer Videoaufzeichnung.

Bei der anschließenden Interessenabwägung sind die gegebenenfalls entgegenstehenden Interessen beziehungsweise Grundrechte und Grundfreiheiten der betroffenen Personen zu berücksichtigen. Sofern diese die Interessen der verantwortlichen Stelle überwiegen, kann eine Videoüberwachung in der geplanten Form nicht durchgeführt werden.

Im Rahmen der Interessenabwägung sind insbesondere die vernünftigen Erwartungen betroffener Personen im konkreten Einzelfall zu berücksichtigen. Entscheidend ist auch, inwiefern eine Videoüberwachung typischerweise akzeptiert oder abgelehnt wird. Ein strengerer Maßstab gilt bei einer Videoüberwachung von Beschäftigten. Gänzlich abgelehnt wird eine Videoüberwachung hingegen im Nachbarschaftskontext, in Behandlungs- und Wartezimmern, in Ruhe- und Pausenräumen sowie in Toiletten- und Umkleidebereichen. Eine Videoüberwachung in diesen Umgebungen wird stets als unzulässig einzustufen sein. Aber auch die Videoüberwachung öffentlicher Verkehrsräume darf in der Regel nicht vorgenommen werden.

WEITERE ANFORDERUNGEN

Insbesondere nach Art. 25 und Art. 32 DS-GVO ist auch bei der Einführung einer Videoüberwachung auf eine sichere und datenschutzfreundliche Gestaltung zu achten. Dies beinhaltet neben einer möglichen zeitlichen Einschränkung auch die räumliche Einschränkung der Videoüberwachung. Wird mit der Videoüberwachung die Beobachtung eines Betriebsgeländes beabsichtigt, müssen Bereiche, die nicht zu dem Betriebsgelände gehören ausgeblendet oder verpixelt werden. Nicht benötigte Funktionalitäten, wie zum Beispiel die Schwenkbarkeit, Zoomfähigkeit sowie Audioaufnahme sollte durch die Überwachungstechnik nicht unterstützt oder zumindest vor Inbetriebnahme deaktiviert werden.

Zusätzlich ist vor der Inbetriebnahme der Videoüberwachung die/der Datenschutzbeauftragte zu kontaktieren. Diese/r berät nicht nur hinsichtlich der technischen Ausgestaltung, sondern überprüft auch, inwiefern im Einzelfall eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO notwendig ist. Weiterhin wird die/der Datenschutzbeauftragte auch bei der Erstellung und Anpassung der entsprechenden Einträge in das Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DS-GVO unterstützend tätig.

LÖSCHFRISTEN

Wie bei allen personenbezogenen Daten, sind auch die Daten der Videoüberwachung gemäß Art. 17 Abs. 1 lit. a DS-GVO umgehend zu löschen, wenn diese zur Erreichung der Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind. Durch die Aufsichtsbehörden wird die Meinung vertreten, dass regelmäßig innerhalb von zwei Tagen entschieden werden kann, ob eine Sicherung des Videomaterials zur weiteren Verfolgung der Zwecke notwendig ist. Dementsprechend gilt vor allem unter der Berücksichtigung des Grundsatzes der Datenminimierung und der Speicherbegrenzung eine Löschfrist von höchstens 48 Stunden, sofern besondere Umstände nicht eine längere Speicherdauer begründen können.

HINWEISBESCHILDERUNG

Zudem fordert die DS-GVO eine transparente Datenverarbeitung. Daraus folgt, dass auch bei einer Videoüberwachung die Informationspflichten nach Art. 13 DS-GVO einzuhalten sind. Hierbei sind mindestens Angaben zur Identität des Verantwortlichen, die Kontaktdaten der/des Datenschutzbeauftragten, die Verarbeitungszwecke und Rechtsgrundlage, die Dauer der Speicherung sowie der Hinweis auf die Betroffenenrechte vorzunehmen. Diese Informationen müssen der betroffenen Person in gut lesbarer und verständlicher Weise bereitgestellt werden, möglichst noch bevor diese den videoüberwachten Bereich betritt.

SANKTIONEN

Grundsätzlich können Sich betroffene Personen nach Art. 77 DS-GVO bei einer Aufsichtsbehörde beschweren, wenn diese der Ansicht sind, dass eine Verarbeitung personenbezogener Daten rechtswidrig erfolgt. Die Aufsichtsbehörde kann im Rahmen einer Sanktionierung insbesondere Bußgelder erlassen oder eine weitere V-deoüberwachung versagen beziehungsweise mit Auflagen belegen.

WEITERFÜHRENDE INFORMATIONEN

Weiterführende Informationen zum Thema Videoüberwachung erhalten Sie auf den Internetseiten der jeweiligen Aufsichtsbehörden sowie im Kurzpapier Nr. 15 der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK). Darüber hinaus erhalten Sie die Informationen dieses Beitrages auch in unserem Leitfaden „Videoüberwachung – Datenschutzrechtliche Grundlagen und Hinweise für verantwortliche Stellen, die eine Videoüberwachung bereits durchführen oder die Einführung einer Videoüberwachung beabsichtigen“. Darin enthalten sind ebenfalls zwei Beispiele einer möglichen Hinweisbeschilderung.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.