Gemäß § 4 Abs. 2 BDSG n. F. sind der Umstand der Beobachtung sowie der Name und die Kontaktdaten der Verantwortlichen durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen. Dies hat in der Regel durch Schilder oder Aufkleber zu erfolgen, deren Botschaft von den Betroffenen wahrgenommen werden kann, bevor sie in den Erfassungsbereich einer Kamera geraten. Des Weiteren sind den Betroffenen gemäß Artikel 13 DS-GVO „zum Zeitpunkt der Datenerhebung“ umfangreiche Informationen über die Verarbeitung der erhobenen Daten zur Verfügung zu stellen.
Werden die neuen Informationspflichten nicht eingehalten, kann die Datenschutz-Aufsichtsbehörde vom Betreiber die Beseitigung der Mängel verlangen (Art. 58 Abs. 2 DS-GVO) und die fehlende Transparenz mit einem Bußgeld belegen (Art. 83 Abs. 5 DS-GVO).
Form der Informationserteilung
Zur Erfüllung der Informationspflichten wird von den Datenschutzbehörden eine gestufte Informationserteilung empfohlen (siehe hierzu das Kurzpapier Nr. 15 der Datenschutzkonferenz). Dies bedeutet, dass vor dem Betreten des zu überwachenden Bereiches
– ein Hinweisschild mit den wesentlichen Informationen (sog. „vorgelagertes Hinweisschild“) und
darüber hinaus
– ein ausführliches Informationsblatt an anderer, gut zugänglicher Stelle anzubringen bzw. vorzuhalten
ist.
Gemäß Art. 12 Abs. 7 DS-GVO müssen die Informationen in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung vermitteln.
Der Hinweis ist somit deutlich sichtbar anzubringen. Was deutlich sichtbar ist, hängt von der Größe und Gestaltung des Hinweises, aber auch vom Umfeld und dem Hintergrund ab. Er ist so (etwa in Augenhöhe) anzubringen, dass Betroffene vor dem Betreten des überwachten Bereichs den Umstand der Beobachtung aus einem normalen Blickwinkel erkennen können. Betroffene müssen einschätzen können, welcher Bereich von einer Kamera erfasst wird, damit sie in die Lage versetzt werden, gegebenenfalls der Überwachung auszuweichen oder ihr Verhalten anzupassen.
Vorgelagertes Hinweisschild
Das vorgelagerte Hinweisschild dient dem frühzeitigen Vermitteln der wesentlichen Informationen vor Eintritt in den überwachten Bereich. Es muss zwingend die nachfolgenden Informationen enthalten:
– Umstand der Beobachtung z. B. durch ein Piktogramm des Kamerasymbols
– Identität des für die Videoüberwachung Verantwortlichen d.h. Name und Kontaktdaten des
Verantwortlichen und ggf. seines Vertreters, dabei genügt die Angabe der Funktion, der Name ist
nicht zwingend anzugeben
– Kontaktdaten des betrieblichen Datenschutzbeauftragten (sofern vorhanden)
– Zwecke und Rechtsgrundlage der Datenverarbeitung
– Angabe des berechtigten Interesses (sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f der
Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten beruht)
– Dauer der Speicherung für die personenbezogenen Daten oder, falls dies nicht möglich ist, die
Kriterien für die Festlegung dieser Dauer, Art. 13 Abs. 2 lit. A
– Hinweis auf Zugang zu den weiteren Pflichtinformationen (bspw. Auskunftsrecht,
Beschwerderecht, ggf. Empfänger der Daten) d.h. Hinweis auf Informationsblatt als Aushang oder Auslage, ergänzt z.B. durch QR-Code, Internetadresse
Erläuterungen zu Rechtsgrundlage, Zweck, und berechtigten Interessen
Die zu benennende Rechtsgrundlage bei einer Videoüberwachung ist Art. 6 Abs. 1 lit f DS-GVO.
Darüber hinaus kann § 4 BDSG n.F. benannt werden, der sich mit der Zulässigkeit der Videoüberwachung in öffentlich-zugänglichen Bereichen befasst.
Die Angaben zu Zweck und berechtigten Interessen können stichwortartig erfolgen, dürfen jedoch
nicht zu allgemeingültig formuliert sein. Folgende Beispiele:
Verwendungszweck:
– Zutrittskontrolle
– Wahrnehmung des Hausrechtes
– Verhinderung und Aufklärung von Straftaten (insbesondere Diebstahl, Überfälle, Betrug,
Beschädigungen, Vandalismus)
Berechtigtes Interesse:
– Schutz von Eigentum und Vermögen
– Schutz des befriedeten Besitztums
– Schutz des eingerichteten Gewerbebetriebes
– Schutz von Mitarbeitern, Kunden und Besuchern
– Durchsetzung rechtlicher Ansprüche
Erläuterungen zur Dauer der Speicherung
Die Daten der Videoüberwachung sind unverzüglich zu löschen, wenn sie zur Erreichung der Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 lit. a DS-GVO) oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen (so auch § 4 Abs. 5 BDSG n.F.) Nach Auffassung der Datenschutzkonferenz (DSK) dürfte grundsätzlich innerhalb von ein bis zwei Tagen geklärt werden können, ob eine Sicherung des Materials notwendig ist. Unter Berücksichtigung von Art. 5 Abs. 1 lit. c und e DS-GVO – „Datenminimierung“ und „Speicherbegrenzung“ sollte demnach grundsätzlich nach 48 Stunden eine Löschung erfolgen. Wenn besondere betriebliche Gründe oder zeitliche Umstände (z.B. Feiertage) eine längere Speicherung erfordern, so sind die entsprechenden Argumente schriftlich festzuhalten, um dies gegenüber Aufsichtsbehörden, Betriebsräten oder Dritten überzeugend begründen zu können.
Ausführliches Informationsblatt
Im ausführlicheren Informationsblatt sind zusätzlich zu den Informationen des vorgelagerten Hinweisschildes die Rechte des Betroffenen auf Auskunft, Widerspruch, Löschung und Beschwerde bei der Aufsichtsbehörde zu erläutern.
Weitere formelle datenschutzrechtliche Anforderungen an den Betreiber
Bei einer systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche hat der Betreiber grundsätzlich eine Datenschutz-Folgeabschätzung durchzuführen, da durch solche Überwachungsmaßnahmen regelmäßig in besonderer Form in die Rechte und Freiheiten natürlicher Personen eingegriffen wird (Art. 35 DS-GVO). Er muss somit auch prüfen, welche technischen und
organisatorischen Maßnahmen zu ergreifen sind, um den Schutz der erhobenen Bilddaten
sicherzustellen.
Die Pflicht zur Durchführung einer solchen Folgeabschätzung hat gemäß § 38 Abs. 1 BDSG n.F. zur Folge, dass der Betreiber unabhängig von der Zahl seiner Mitarbeiter einen Datenschutzbeauftragten zu bestellen, dessen Kontaktdaten zu veröffentlichen und an die zuständige Aufsichtsbehörde zu melden hat.
Darüber hinaus sind sämtliche Verarbeitungstätigkeiten – insbesondere solche, die einer Datenschutz-
Folgeabschätzung unterliegen – sowie die zum Schutz der Daten ergriffenen Maßnahmen in einem
Verarbeitungsverzeichnis gemäß Art. 30 DS-GVO aufzuführen, das dem Unternehmen als Beleg
dafür dient, dass die datenschutzrechtlichen Pflichten eingehalten werden.