Videoüberwachung und Datenschutz – Teil 3
Im dritten und letzten Teil unserer Beitragsreihe zur Videoüberwachung geht es um Ihre datenschutzrechtlichen Pflichten, die bei Beginn der Aufzeichnungen bzw. Installationen erfüllt sein müssen. Hierbei spielt Art. 24 DSGVO eine relevante Rolle.
1. Dokumentation und Nachweispflicht
Das Herzstück der DSGVO ist Ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Diese Vorschrift verlangt von Ihnen als Datenverarbeiter bzw. Datenverantwortlicher, dass Sie die Einhaltung der Vorgaben aus der DSGVO jederzeit nachweisen können müssen. Wie bereits in den ersten beiden Teilen dieser Beitragsreihe dargestellt, müssen Sie bereits im Vorfeld Ihrer Videoüberwachung Dokumentationen anfertigen. Diese sind erforderlich, damit Sie Ihre Nachweispflichten gegenüber den Datenschutzbehörden erbringen können.
Denken Sie unbedingt daran, dass Sie die Dokumentation auch geeignet ablegen und nachhaltig pflegen. Wir setzen zur Dokumentation auf die PRIMA Cloud als Datenschutzmanagementsystem.
Insbesondere sind hierbei die von Ihnen konkretisierten Zwecke der Videoüberwachung schriftlich oder in elektronischem Format festzuhalten und aufzubewahren. Schalten Sie im Zusammenhang mit der Videoüberwachung externe Dienstleister ein, so müssen Sie darüber hinaus mit diesen Dienstleistern einen sogenannten „Auftragsverarbeitungsvertrag“ („AVV“) gemäß Art. 28 DSGVO abschließen, soweit diese Dienstleister mit den durch die Überwachung gewonnenen Daten in Berührung kommen können. Dieser AVV muss einen bestimmten gesetzlichen Mindestinhalt aufweisen. Ein Verstoß gegen diese Pflichten kann mit Bußgeldern sanktioniert werden.
Daher: Beim Videoüberwachungs-Check nicht vergessen!
2. Das Verzeichnis von Verarbeitungstätigkeiten
Nach Art. 30 DSGVO muss der Aufnehmende in der Regel die mit der Videoüberwachung vorgenommene Datenverarbeitung in das Verzeichnis der Verarbeitungstätigkeiten aufnehmen. Mithilfe dieser Dokumentation hat der Aufnehmende zu belegen, wie er personenbezogene Daten mit welchen Mitteln verarbeitet und welche Maßnahmen er zum Datenschutz getroffen hat. Vor allem muss das Verarbeitungsverzeichnis bestimmte Informationen (z.B. die Kontaktdaten des Verantwortlichen, Zwecke der Datenverarbeitung usw.) enthalten. Im Zusammenhang mit der Videoüberwachung sollten Sie jede einzelne Kamera im Verzeichnis dokumentieren.
Wer auf die PRIMA Cloud als Datenschutzmanagementsystem setzt, kann darin nicht nur seine Dokumentationen ablegen. Ein Assistent führt Sie Schritt für Schritt durch das Verfahren. Am Ende können Sie die Verzeichnisse von Verarbeitungstätigkeiten nicht nur in der PRIMA Cloud pflegen, auch eine Exportmöglichkeit steht zur Verfügung.
Beachten Sie: Das Verarbeitungsverzeichnis müssen Sie ggf. der Datenschutzbehörde zur Verfügung stellen und dabei möchten Sie vorbereitet sein!
Daher: Beim Videoüberwachungs-Check nicht vergessen!
3) Hinweispflichten bei Videoüberwachung
Die DSGVO stellt in Art. 12 ff. DSGVO für die Verantwortlichen einige Pflichten zur Informierung der von der Datenverarbeitung betroffenen Personen auf. Insoweit ist in leicht verständlicher Form auf die Datenverarbeitung durch die Videoüberwachung hinzuweisen. Sie sollten darauf, dass eine Beobachtung stattfindet, schon vor Betreten der überwachten Stellen hinweisen, damit sich die Betroffenen darauf einstellen können. Diesen Hinweis sollten Sie in zwei Schritten vornehmen, und zwar durch ein vorgelagertes Hinweisschild und mit einem vollständigen Informationsblatt.
Daher: Beim Videoüberwachungs-Check nicht vergessen!
a) Vorgelagertes Hinweisschild
Das vorgelagerte Hinweisschild bzw. Piktogramm sollte gut sichtbar und auf Augenhöhe angebracht sein. Es sollte so inhaltlich beschaffen sein, dass der Betroffene durch einen kurzen Überblick die wesentlichsten Informationen erfassen kann. Das Schild sollte folgende Angaben enthalten und kann mit allgemein anerkannten Bildsymbolen versehen werden:
- Umstand der Beobachtung – Piktogramm, Kamerasymbol,
- Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters,
- Kontaktdaten des betrieblichen Datenschutzbeauftragten – wenn bestellt,
- Verarbeitungszwecke und Rechtsgrundlage in Stichpunkten
- Angabe des berechtigten Interesses, falls Art. 6 Abs. 1 Uabs. 1 S. 1 f) DSGVO
- Ggf. Dauer der Speicherung
- Hinweis auf die weiteren Pflichtinformationen (insbes. Betroffenenrechte – Auskunftsrecht, Beschwerderecht, ggf. Empfänger der Daten) und
- Hinweis auf den Zugang zu diesen Informationen.
Daher: Beim Videoüberwachungs-Check nicht vergessen!
b) Vollständiges Informationsblatt
Die vollständigen und ausführlichen Informationen sollten Sie an geeigneter zur Verfügung stellen, indem Sie sie dort auslegen, aushändigen und zusätzlich auf Ihrer Webseite anzeigen.
Wichtig ist, dass die Betroffenen erkennen können, welche Bereiche von der Videoüberwachung erfasst werden. Darüber hinaus ist deutlich darauf hinzuweisen, ob die gewonnenen Daten an Dritte übermittelt werden, zu Werbezwecken oder zu sonstigen nicht erwarteten Zwecken verwendet werden.
Daher: Beim Videoüberwachungs-Check nicht vergessen!
4) Datenschutz-Folgeabschätzung
Erfolgt eine systematische und umfangreiche Überwachung öffentlich zugänglicher Stellen oder werden sogar biometrische Verfahren eingesetzt, besteht ein hohes Risiko für die Rechte der Betroffenen. Dann hat der Verantwortliche im Vorfeld der Videoüberwachung eine Datenschutz-Folgeabschätzung nach Art. 35 Abs. 1 DSGVO durchzuführen. Dadurch soll der Aufnehmende schon bei Beginn der Überwachung vor allem Maßnahmen ergreifen, die den Schutz der Daten sicherstellen.
Daher: Beim Videoüberwachungs-Check nicht vergessen!
Eine Datenschutzfolgenabschätzung kann mühselig sein. Wir helfen Ihnen gerne weiter!
5) Technisch-organisatorische Maßnahmen
Der Aufnehmende hat durch die geeignete Wahl des überwachten Bereiches und der technischen Möglichkeiten seine technisch-organisatorischen Maßnahmen nachweisbar sicherzustellen. Die Maßnahmen sind so zu wählen, dass sie den Zweck der Videoüberwachung und nur dafür erreichen. Dies kann etwa durch unwiederbringliches Ausblenden von irrelevanten Bereichen oder durch irreversible Verpixelung erreicht werden. Die heute bestehenden technischen Möglichkeiten, wie z.B. Zoomen, Schwenken, biometrische Erfassung, Audioaufnahmen sind häufig unzulässig.
Zudem sind die Daten unverzüglich zu löschen, wenn sie den Zweck nicht mehr erfüllen können. Der Aufnehmende hat darüber hinaus seine Videoüberwachungsanlage regelmäßig auf die Rechtmäßigkeit der gemachten Aufnahmen zu prüfen.
Bei der Dokumentation dieser Überprüfungen können Sie bequem auf die
Vorteile der Datenschutzmanagementsoftware PRIMA Cloud zurückgreifen.
Daher: Beim Videoüberwachungs-Check nicht vergessen!
6) Videoüberwachung von Mitarbeitern
Wenn Beschäftigte während der Arbeit mit einer (dauerhaften) Videoüberwachung rechnen müssen, löst dies einen ständigen Überwachungsdruck aus. Eine dauerhafte Überwachung im Arbeitsverhältnis ist regelmäßig unzulässig. Dieses gilt insbesondere auch für eine Videoüberwachung zur gezielten Kontrolle der Arbeitsleistung und Effizienz von Mitarbeitern. Allerdings darf zur Aufklärung von Straftaten nach § 26 Abs. 1 Satz 2 BDSG überwacht werden, wenn tatsächliche und konkrete Anhaltspunkt den Verdacht begründen, dass ein betroffener Mitarbeiter eine Straftat begangen hat. Aber auch hierbei muss die Überwachung erforderlich und das letzte Mittel der Wahl sein und es dürfen keine schutzwürdigen Interessen des Betroffenen entgegenstehen. Eine nur zeitweise vorübergehende Überwachung kann insoweit zulässig sein.
Daher: Beim Videoüberwachungs-Check nicht vergessen!
7) Fazit
Die technischen Möglichkeiten zur Aufzeichnung von Menschen sind enorm. Genauso vielseitig können die Folgen zweckwidriger Aufnahmen für die Betroffenen sein. In der Hoffnung, Ihnen einen ersten Überblick über die datenschutzrechtlichen Facetten und Tücken der Videoüberwachung gegeben zu haben, beenden wir nun diese Beitragsreihe. Bei Fragen im Zusammenhang mit der datenschutzkonformen Videoüberwachung stehen wir Ihnen jetzt mit unseren kompakten Datenschutz-Lösungen zur Verfügung.
Bei Ihren Entscheidungen und datenschutzrechtlich notwendigen Dokumentationen stehen Ihnen Bernhard Brands und das Team der Brands Consulting gerne zur Seite. Als externer Datenschutzbeauftragter und Datenschutzberater unterstützen wir Sie bei der Digitalisierung Ihrer Unternehmensprozesse, so auch rund um die Videoüberwachung. Flankierend dazu leistet die Byte Solution, als IT-Dienstleister und Schwestergesellschaft der Brands Consulting, den technischen Support für die Realisierung ihrer IT-Projekte. Auch das richtige Datenschutzmanagementsystem, die PRIMA Cloud, und das Hinweisgebersystem, der PRIMA Hinweisgeber, gehören zu den Eigenentwicklungen des Teams.
Wer noch mehr Beratungsbedarf im Compliance-Bereich hat, z. B. eine Ombudsperson mit Hinweisgebersystem sucht, dem hilft unsere Schwestergesellschaft PRIMA Compliance gerne weiter.
Haben Sie noch Fragen? Hier geht es zum Kontakt oder direkt zum Datenschutz-Angebot, denn wir sind gerne für Sie da!
