COMPLIANCE,
Anhand des Beispiels einer Überwachungskamera an der Laderampe eines Spediteurs wurden "berechtigte Interessen" als typischer Rechtsgrund der Privatwirtschaft ausgemacht.
Das Vorliegen dieses Tatbestandes zur „Rechtmäßigkeit der Verarbeitung“ darf aber nicht als Erlaubnis zum grenzenlosen Einsatz von Überwachungskameras verstanden werden. Freilich sind auf der einen Seite technische und organisatorische Maßnahmen zum Schutz der Betroffenen zu setzen. Andererseits sieht die DSGVO gewisse Grundprinzipien vor, welche man als Verantwortlicher stets einhalten muss. Bestimmt kennen Sie etwa folgende;
Grundsätze des Datenschutzes:
- Datenschutz durch Technikgestaltung,
- Datenschutzfreundliche Voreinstellungen,
- Datenminimierung,
- Speicherbegrenzung.
Solche Prinzipien finden sich zum Beispiel in Artikel 5 und 25 DSGVO. Zur Speicherbegrenzung bei Bildaufnahmen finden Sie in diesem Artikel eine ‚Best Practice‘ für Österreich. Meines Erachtens sollte man als Datenschutzkoordinator bzw. Datenschutzbeauftragter im Sinne eines ‚information lifecycle managements‘ zunächst dem Ursprung der Datenerhebung Aufmerksamkeit schenken…
Datenminimierung anhand ‚Privacy-by-design‘ und ‚Privacy-by-default‘
Hatte ich Ihnen in diesem Artikel nicht versprochen, die erlaubte Speicherdauer einer Bildverarbeitung zu erörtern? Führen Sie sich zunächst bitte noch einmal die Zwecke und Rechtsgrundlage Ihrer Personendatenverarbeitung vor Augen.
Geht es Ihnen um die Verhinderung oder nachträgliche Aufklärung von Straftaten wie Raub, Einbruch und Diebstahl? Oder sollen Ihre Kameras bloß betriebliche Zwischenfälle (Unfälle, Kollisionen) dokumentieren? Welche räumliche Entfernung wird mit den Videoaufnahmen überbrückt?
Sie erahnen, dass bereits die Auswahl einer passenden Videokamera zu Ihrer DSGVO-Compliance beiträgt. So sollten Sie im Zuge der Beschaffung den technischen Leistungs- und Funktionsumfang so (gering) wählen, wie es der Personendaten-Verarbeitungszweck erfordert:
- Höhe der Auflösung,
- Zoom-Funktion,
- Schwenkbarkeit,
- Nachtsichtfähigkeit…
Kurz gesagt braucht es für den Nahbereich beleuchteter Innenräume mitunter keine besonders leistungsfähige Überwachungskamera – sofern es Ihnen um die Dokumentation betrieblicher Abläufe geht. Zum Beispiel wird bei der Kollision eines Gabelstaplers mit einem Mitarbeiter weder der Fahrer noch das Opfer unbekannt und auszuforschen sein.
Ist hingegen ein weitläufiger Hafen vor Einbrechern zu schützen werden Sie andere Anforderungen an Ihr Videoüberwachungs-System stellen, da es gerade eben um die Identifizierung weit entfernter Personen zur strafrechtlichen Verfolgung geht.
Es liegt auf der Hand, dass schemenhaftes Erkennen einer Person auf der einen und hochauflösende Gesichtsbilder auf der anderen Seite unterschiedliche Datenschutzrisiken für Betroffene bedeuten. Letztlich ist aus datenschutzrechtlicher Sicht Zurückhaltung geboten, was den Leistungs- und Funktionsumfang Ihrer Überwachungskameras angeht.
Speicherbegrenzung
Als aufmerksamer Leser dieses Infoletters wissen Sie, dass Personendaten - grundsätzlich - nicht unbegrenzt aufbewahrt werden sollten. Die Löschpflicht bei einer Videoüberwachung orientiert sich am Zweck der Bildaufnahme.
In Österreich ist § 13 DSG einschlägig. Mit dessen fragwürdiger „Unionsrechtskonformität“ hat sich u.a. bereits das Bundesverwaltungsgericht befasst. Es geht darum, dass es an einer „Öffnungsklausel“ fehlt, um die EU-DSGVO in Bezug auf Videoüberwachung national zu konkretisieren.
Aufgrund des „Anwendungsvorranges“ des unmittelbar geltenden EU-Rechts wäre unser Beispiel der Laderampe einer Spedition (ausschließlich) an Artikel 6 Absatz 1 litera f DSGVO – berechtigte Interessen – zu beurteilen.
Es darf aber nicht vergessen werden, dass auch die letztgenannte Norm erstens Erforderlichkeit der Personendatenverarbeitung und zweitens eine Abwägung der Grundrechte des Betroffenen voraussetzt. An beiden Kriterien wäre wohl die Speicherdauer bzw. Löschfrist zu messen!
Diesem Thema hat sich bereits der Rechtsanwalt für IT-Recht Dr. Thomas Schweiger in „Videoüberwachung und DSG“ vom 17. Januar 2021 angenommen. Meine Sichtweise ist pragmatisch:
Zum einen darf von Gewerbetreibenden keine akademische Forschung erwartet werden. Dies ist Aufgabe von Universitäten und Gerichten und - im Falle einer legistischen Korrektur - des Gesetzgebers.
Zum anderen machen Sie als Verantwortlicher mit der Einhaltung des (im Vergleich zur DSGVO strengeren und dem Betroffenen zu Gute kommenden) § 13 Absatz 3 DSG gegenüber der Datenschutzbehörde bestimmt nichts falsch.
Eine länger als 72 Stunden währende Speicherung müsste demnach
- eigens protokolliert
- und begründet werden
- und müsste verhältnismäßig sein.
Wenn der Zweck erreicht ist bzw die Videos nicht mehr benötigt werden sind diese auch früher zu löschen – so „keine andere gesetzlich vorgesehene Aufbewahrungspflicht besteht“! Die „72 Stunden“ werden Sie freilich in Ihr Verarbeitungsverzeichnis eintragen. Diese Frist sollte eine Auswertung des Bildmaterials über ein Wochenende ermöglichen.
Im Sinne der oben aufgeführten Prinzipien ‚privacy by design‘ sowie ‚privacy by default‘ wäre es aus datenschutzrechtlicher Sicht vorteilhaft, wenn das Löschen automatisch geschieht – und ein Unterbinden der Löschung manuell erfolgen müsste. Letzteres könnte zum Beispiel bei einer Auswertung zur Strafverfolgung geboten sein. Solche Eingriffe sind natürlich berechtigten Personen vorbehalten (Berechtigungsmanagement).
Zusammenfassung und Ausblick
Sie können bereits bei der Auswahl des Modells Ihrer Überwachungskamera in die Wege leiten, dass später keine unnötigen Personendaten erhoben werden. Einstellungen der Kamera-Software sollten wenn möglich zu Gunsten des Betroffenen ausfallen - zumal der Gefilmte selbst keine Auswahl- und Einstellmöglichkeiten haben wird. Die Grundsätze ‚Privacy by design‘ & ‚Privacy by default‘ dienen in den geschilderten Beispielen vor allem der Datenminimierung.
Auch die Speicherbegrenzung ist ein DSGVO-Prinzip. Die Vorschriften des österreichischen Datenschutzgesetzes zur „Bildaufnahme“ mögen unionsrechtswidrig sein – mit der Einhaltung des § 13 Absatz 3 DSG machen Sie als Verantwortlicher aber bestimmt nichts falsch. Im Ergebnis wird eine bis zu 72-stündige Speicherung keinen besonderen Begründungsaufwand erfordern. Diese ermöglicht schließlich die Auswertung einer Videoüberwachung über ein Wochenende hinweg.
Sie benötigen das Bildmaterial jedoch länger als 72 Stunden? Für die Abklärung Ihres speziellen Falles schreiben Sie mir gerne und wir vereinbaren Ihr kostenloses Erstgespräch. Wie Sie wissen beginnt die DSGVO-Compliance Ihrer Videoüberwachung mit der Auswahl des geeigneten Überwachungssystems und endet mit der rechtssicheren Löschung von Bildaufnahmen.