DSGVO-konforme Videoüberwachung im Unternehmen: Was in Österreich gilt

Wann ist Videoüberwachung im Unternehmen erlaubt?

Unternehmen dürfen ihre Räume und Grundstücke mit Kameras überwachen, wenn dafür ein berechtigtes Interesse besteht, etwa der Schutz vor Einbruch, Diebstahl oder Vandalismus. Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. f DSGVO. Das österreichische Datenschutzgesetz (DSG) enthält zusätzlich eigene Regeln für Bildaufnahmen. Wie weit diese neben der DSGVO noch anwendbar sind, ist rechtlich umstritten, in der Praxis dienen sie aber weiterhin als Orientierung.

Entscheidend ist die Verhältnismäßigkeit. Die Überwachung muss geeignet und erforderlich sein, und die Interessen der gefilmten Personen dürfen nicht überwiegen. Prüfen Sie daher zuerst, ob mildere Mittel genügen, zum Beispiel bessere Beleuchtung, stabilere Schlösser, eine Alarmanlage oder eine Aufzeichnung nur außerhalb der Öffnungszeiten.

Eine Genehmigung oder Meldung bei der Datenschutzbehörde ist nicht vorgesehen. Stattdessen muss das Unternehmen selbst nachweisen können, dass die Anlage rechtmäßig betrieben wird.

Zweck und Erfassungsbereich klar festlegen

Halten Sie schriftlich fest, wozu jede Kamera dient. Ein konkreter Zweck, etwa die Beweissicherung bei Einbrüchen in das Lager, lässt sich begründen, ein allgemeiner Wunsch nach mehr Sicherheit meist nicht. Dokumentierte frühere Vorfälle stärken die Begründung. Aus dem Zweck ergeben sich Kamerastandorte, Blickwinkel, Aufzeichnungszeiten und Speicherdauer. Dieselben Grundsätze gelten für Kameras an Zufahrten mit Kennzeichenerkennung.

• Meist vertretbar: Eingänge und Zufahrten, Lager, Kassenbereiche, Serverräume und das Firmengelände außerhalb der Öffnungszeiten.
• Nur mit besonderer Begründung: Arbeitsplätze, an denen sich Beschäftigte den ganzen Arbeitstag aufhalten.
• Tabu: Toiletten, Umkleiden, Pausen- und Ruheräume. Auch versteckte Kameras und Tonaufnahmen sind praktisch nie zu rechtfertigen.

Öffentlicher Raum und Nachbarn

Gehsteige, Straßen und Nachbargrundstücke dürfen grundsätzlich nicht gefilmt werden. Lässt sich ein schmaler Streifen direkt vor dem Eingang technisch nicht vermeiden, muss er so klein wie möglich bleiben. Alle anderen Bereiche, die ins Bild ragen, werden mit einer Privatzonen-Maskierung geschwärzt.

Schon bei der Planung der Videoüberwachung lassen sich Standorte und Brennweiten so wählen, dass möglichst wenig maskiert werden muss.

Hinweisschilder und Information der Betroffenen

Wer einen überwachten Bereich betritt, muss das vorher erkennen können. Bringen Sie gut sichtbare Hinweisschilder deshalb vor dem Erfassungsbereich der Kamera an, nicht erst unter der Kamera. Der Europäische Datenschutzausschuss (EDSA) empfiehlt dafür ein zweistufiges Vorgehen:

• Auf dem Schild: Piktogramm, Name und Kontaktdaten des Verantwortlichen, Zweck der Überwachung, ein Hinweis auf die Rechte der Betroffenen und darauf, wo die vollständigen Informationen zu finden sind.
• In der ausführlichen Information: Rechtsgrundlage, berechtigtes Interesse, Speicherdauer, Empfänger und die Betroffenenrechte im Einzelnen, etwa als Aushang an der Rezeption oder über einen QR-Code, der auf Ihre Website führt.

Speicherdauer und automatische Löschung

Aufnahmen dürfen nur so lange gespeichert werden, wie es der Zweck erfordert; eine pauschale Frist für alle Fälle gibt es nicht. Der EDSA empfiehlt in seinen Leitlinien zu Videogeräten, Aufnahmen in den meisten Fällen nach wenigen Tagen zu löschen, idealerweise automatisch; je länger die Speicherdauer, vor allem über 72 Stunden hinaus, desto besser muss sie begründet sein. Auch nach den Bildaufnahme-Regeln des DSG ist eine Speicherung über 72 Stunden gesondert zu begründen und zu protokollieren.

Stellen Sie im Rekorder oder in der Videomanagement-Software ausdrücklich eine maximale Speicherdauer ein. Viele Rekorder überschreiben ab Werk erst, wenn die Festplatte voll ist, und das kann je nach Speichergröße Wochen dauern. Längere Fristen, etwa über lange Wochenenden oder Betriebsferien, brauchen eine dokumentierte Begründung.

Kommt es zu einem Vorfall, sichern Sie nur die betroffene Sequenz, dokumentieren den Export und übergeben die Kopie bei Bedarf der Polizei. Ist der Fall abgeschlossen, wird auch diese Kopie gelöscht.

Aufnahmen schützen: Zugriff, Protokollierung und Technik

Videoaufnahmen sind personenbezogene Daten und brauchen entsprechenden Schutz. Nur wenige, namentlich festgelegte Personen sollten sie ansehen oder exportieren dürfen, idealerweise nach dem Vier-Augen-Prinzip. Das System sollte jede Sichtung und jeden Export mit Zeitpunkt und Benutzer protokollieren.

Technisch gehören dazu persönliche Benutzerkonten, ein abgesicherter Rekorder in einem versperrten Raum und ein Fernzugriff ausschließlich über VPN. Wie Sie Kameras und Rekorder vor Angriffen schützen, beschreiben wir im Beitrag IP-Kameras absichern.

Hat ein Dienstleister Zugriff auf die Anlage, etwa für Fernwartung oder Cloud-Speicherung, brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Dokumentation: Verarbeitungsverzeichnis und Folgenabschätzung

Die Videoüberwachung gehört in Ihr Verzeichnis von Verarbeitungstätigkeiten. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift hier meist nicht, weil die Überwachung nicht nur gelegentlich erfolgt. Der Eintrag beschreibt unter anderem Zweck, betroffene Personen, Empfänger, Löschfristen und Schutzmaßnahmen, sinnvollerweise auch Kamerastandorte und Zugriffsberechtigte.

Eine Datenschutz-Folgenabschätzung (DSFA) ist nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt. Die DSGVO nennt ausdrücklich die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, wozu auch Geschäftslokale zählen können. Die österreichische Datenschutzbehörde hat außerdem Listen veröffentlicht, welche Verarbeitungen jedenfalls eine DSFA erfordern und welche davon ausgenommen sind: Anlagen, die nur das eigene Grundstück erfassen, gekennzeichnet sind und Aufnahmen binnen 72 Stunden löschen, können unter eine Ausnahme fallen.

Gesichtserkennung und andere biometrische Funktionen verarbeiten biometrische Daten und sind für Unternehmen rechtlich besonders heikel. Aktivieren Sie solche Funktionen nicht ohne vorherige rechtliche Prüfung.

Beschäftigte: Betriebsrat frühzeitig einbinden

Erfassen Kameras auch Beschäftigte, kommt das österreichische Arbeitsrecht hinzu. Kontrollmaßnahmen, die die Menschenwürde berühren, sind nur auf Grundlage einer Betriebsvereinbarung zulässig. Gibt es keinen Betriebsrat, ist die Zustimmung jedes einzelnen Beschäftigten erforderlich.

Das kann auch eine Kamera am Personaleingang oder im Lager betreffen, nicht nur Kameras, die auf Arbeitsplätze gerichtet sind. Binden Sie den Betriebsrat deshalb schon in der Planungsphase ein und regeln Sie in der Vereinbarung Zweck, Standorte, Speicherdauer, Zugriff und den Ausschluss einer Leistungs- und Verhaltenskontrolle. Maßnahmen, die die Menschenwürde verletzen, etwa eine lückenlose Dauerüberwachung von Arbeitsplätzen, sind auch mit Zustimmung unzulässig.

Checkliste für Ihre Videoüberwachung

Jede Anlage ist anders, und dieser Beitrag ersetzt keine Rechtsberatung. Lassen Sie Ihr Konzept im Zweifel von einer auf Datenschutzrecht spezialisierten Kanzlei prüfen. Q-entra unterstützt Sie bei der technischen Umsetzung: von der Planung und Projektierung mit Kamerastandorten und Maskierung bis zur Installation der Videoüberwachung mit Rollenkonzept und automatischer Löschung.