Videoüberwachung kann Standorte, Waren und sensible Bereiche wirksam schützen. Gleichzeitig berührt jede Kamera das Persönlichkeitsrecht der Betroffenen, z. B. von Mitarbeitenden, Besuchern und Lieferanten. Rechtssicherheit entsteht deshalb erst durch eine sorgfältige Interessenabwägung, klar abgegrenzte Zwecke, kurze Speicherfristen, transparente Information und saubere Prozesse von der Planung bis zur Auswertung.
Rechtsrahmen und Planungsbedarf
Datenschutzrechtliche Grundlage für Videoüberwachung in Unternehmen ist regelmäßig das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für Konstellationen mit Beschäftigten gilt außerdem § 26 BDSG und zusätzlich regelt § 4 BDSG darüber hinaus öffentlich zugängliche Räume.
In allen Fällen gilt: Der konkrete Zweck muss legitim sein, die Maßnahme geeignet und erforderlich, und sie darf nicht durch mildere Mittel gleich wirksam zu ersetzen sein. Die Maßnahme bleibt nur zulässig, wenn die schutzwürdigen Interessen der Betroffenen nicht überwiegen.
Vor jeder Installation sollten Unternehmen festlegen, welche Risiken adressiert werden, welche Flächen tatsächlich überwacht werden müssen und ob weniger eingriffsintensive Alternativen ausreichen (z. B. Zutrittskonzepte, Licht, Mechanik, Wachrundgänge).
Wo Kameras zulässig sind – und wo nicht
Rechtlich unproblematisch zu überwachen sind Zugänge, Zufahrten, Anlieferbereiche und besonders schutzbedürftige Zonen der Infrastruktur – aber nur in der unbedingt notwendigen Bildtiefe und -breite. Tabu bleiben Räume, die der privaten Lebensgestaltung dienen, etwa Sanitär-, Umkleide- und klassische Sozialbereiche. In öffentlich zugänglichen Bereichen sowie an Grundstücksgrenzen ist der öffentliche Raum auszusparen oder technisch auszublenden (z. B. Verpixelung oder Masken).
Bei Arbeitsplätzen ist die präventive Dauerüberwachung grundsätzlich unzulässig; verdeckte Überwachung bleibt engen Ausnahmefällen mit dokumentiertem Verdacht vorbehalten und setzt eine strenge Verhältnismäßigkeitsprüfung voraus. In mitbestimmten Betrieben ist der Betriebsrat zwingend zu beteiligen; eine Betriebsvereinbarung schafft Rechtssicherheit zu Zwecken, Zonen, Auswertung, Speicherdauer, Rollen/Rechten und Kontrollmechanismen.
Umsetzung: Dokumentation und Betroffeneninformation
Zur Umsetzung ist Transparenz das höchste gesetzgeberische Gebot. Bereits beim Betreten des überwachten Bereichs müssen Hinweisschilder auf die Überwachung aufmerksam machen und Pflichtangaben darstellen: Angaben zu Verantwortlichem, Zweck, Rechtsgrundlage, Speicherdauer, Betroffenenrechten, bestenfalls mit Verweis auf weiterführende Erläuterungen in einer ausführlichen Datenschutzinformation.
Betroffene haben Auskunfts-, Lösch- und Widerspruchsrechte. Ein praktikabler Prozess zur Identifizierung relevanter Sequenzen, zur Schwärzung Dritter und zur fristgerechten Antwort verhindert Rechts- und Reputationsrisiken. Wichtig ist die konsistente Linie: Wer eine kurze Speicherfrist und klare Ausnahmelogik lebt, kann Anfragen effizient und rechtssicher bedienen.
Internes Spiegelbild der Betroffeneninformation ist ein Verarbeitungsverzeichnis. Hierin sind alle vorgenannten Informationen über die Videoüberwachung zu dokumentieren.
In aller Regel ist außerdem eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Sie dokumentiert Risiko, Zweck, Erforderlichkeit, Schutzmaßnahmen und das Ergebnis der finalen Abwägung.
Technische und organisatorische Maßnahmen im Betrieb
Parallel zur Umsetzung von Transparenzvorgaben müssen technische und organisatorische Maßnahmen zur Gewährleistung der Datensicherheit ergriffen werden. Zu den Kernmaßnahmen gehören eine restriktive Rechtevergabe mit individuellen Accounts, Protokollierung jeder Einsichtnahme und jeder Datenübermittlung, Verschlüsselung in Übertragung und Speicherung, sichere Netze, regelmäßige Updates und ein wirksames Löschkonzept. Ebenso wichtig: die technische Begrenzung der Blickfelder, feste Masken/Privacy Zones für öffentliche Flächen, automatische Zeitpläne statt permanenter Überwachung und ein Verfahren für Ereignisfälle (Sichtung, Beweissicherung, Weitergabe an Behörden). Schulungen für das berechtigte Personal und regelmäßige Audits schließen den Kreis.
Aufzeichnungen dürfen nur so lange vorgehalten werden, wie es der verfolgte Zweck erfordert. In der Praxis haben sich kurze Aufbewahrungsfristen von 72 Stunden bewährt. Empfohlen sind dann eine automatische Löschung, eine dokumentierte Ausnahmelogik für Ereignisfälle und Protokolle über jede Auswertung.
Auftragsverarbeitung, Rollen und Verantwortlichkeiten
Greifen externe Dienstleister auf das System oder die Aufzeichnungen zu, typischerweise Sicherheitsdienst (Livesichtung) oder Wartungsdienstleister, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Er regelt u. A. Gegenstand, Zwecke und Ausmaß der Datenverarbeitung.
Fazit
Eine rechtskonforme Videoüberwachung gelingt, wenn Schutzbedarf und Eingriffsintensität ehrlich abgewogen, Kameras maßvoll platziert, Speicherfristen kurzgehalten und Transparenz, Mitbestimmung sowie TOMs konsequent umgesetzt werden. Unternehmen, die diese Leitplanken dokumentiert einhalten, gewinnen Sicherheit in der Praxis – und das Vertrauen der Menschen auf dem Gelände.
