Ist Ihre Videoüberwachung (CCTV) rechtens?

 

Grundrechts- und Freiheitsbedenken sind in diesem Zusammenhang medial präsent. Für Sie als Wirtschaftstreibender, welcher unbedingt Kameraüberwachung benötigt, geht es zunächst um die Fragen:

• Unter welchen rechtlichen Voraussetzungen ist der Betrieb zweifelsohne zulässig?
• Und wie muss eine solche Kameraüberwachung technisch und organisatorisch abgesichert werden?

Es handelt sich um eine komplexe Aufgabenstellung, mit der Sie als IT-Leiter, Geschäftsführer oder Unternehmensjurist vermutlich bereits selbst zu tun hatten. Bestimmt kennen Sie das Sprichwort vom scheibchenweisen Verzehr eines Elefanten… Auch ich darf Ihnen an dieser Stelle nahelegen, umfassende Compliance-Problemstellungen in Teilbereiche zu zergliedern. Letztere lassen sich nach und nach bewältigen.
In diesem Sinne sollen im gegenständlichen Artikel lediglich Zweck und Rechtsgrundlage einer Personendatenverarbeitung „Überwachungs-Kameras“ im Vordergrund stehen. Die Verarbeitungstätigkeit wird am Beispiel eines Spediteurs anschaulich gemacht.

Exemplarischer Sachverhalt: LKW-Laderampe eines Spediteurs

Ein Spediteur setzt Videoüberwachung ein – an der LKW-Laderampe am Betriebsgelände. Dabei können LKW-Fahrer dritter Unternehmen sowie eigene Mitarbeiter (Staplerfahrer) gefilmt werden. Es sollen Personen- sowie Sachschäden, Verlieren von Waren und Diebstahl verhindert werden. Es geht um die Sicherheit des Betriebes und die Vermeidung und Beseitigung von Zwischenfällen.
‚Worst Case‘ wäre sicherlich das Herabstürzen oder Einklemmen einer Person. Diese Arbeit findet unter erschwerten Umgebungsbedingungen statt - Zeitdruck, Kälte, Sprachbarrieren, stets wechselnde Ansprechpartner und viele Papiere. Stresssituationen erhöhen naturgemäß die Wahrscheinlichkeit von Unfällen. Auch sollte bedacht werden, dass an der Laderampe die verwahrten beziehungsweise transportierten Güter den Inhaber wechseln.

Vorfrage: Besondere Kategorien von Personendaten?

Portraits von Personen sind zwar unzweifelhaft Personendaten - um in den Anwendungsbereich der DSGVO zu gelangen genügt Identifizierbarkeit. In aller Regel sind es aber keine „besonderen Kategorien“ von Personendaten.
Es ist ein weit verbreiteter Irrtum, dass Portraits in jedem Falle „Biometrische Daten“ herbeiführen würden. Damit die Gesichtsbilder „besondere Kategorien“ wären müssten spezielle technische Verfahren wie zB Gesichtserkennungssoftware vorliegen – welche auf die eindeutige Identifizierung gerichtet sind. Im Ergebnis handelt es sich bei den Videoaufnahmen von Personen beim Spediteur (ohne Gesichtserkennung) um „schlichte“ Personendaten, welche an den Rechtsgründen des Artikel 6 DSGVO zu messen sind.

Zweck und Rechtsgrundlage

Artikel 30 Absatz 1 litera b DSGVO besagt, „die Zwecke der Verarbeitung“ seien in das Verzeichnis von Verarbeitungstätigkeiten aufzunehmen. Artikel 6 der Norm führt zur „Rechtmäßigkeit der Verarbeitung“ sechs Rechtsgründe auf. Diese sind Ihnen aus unserem Infoletter bekannt und muss in der Folge nur auf die für unseren Sachverhalt einschlägigen Rechtsgründe eingegangen werden.

„Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist“

Gegenüber den beim Spediteur beschäftigten Staplerfahrern könnten nebenvertragliche Schutz- und Sorgfaltspflichten als Rechtsgrund dienen. Schließlich hat der Spediteur eine Fürsorgepflicht aus dem Arbeitsvertrag und handelt es sich bei der LKW-Laderampe um eine Gefahrenstelle. Sie als geübter Compliance-Officer werden sofort zur Vertragserfüllung denken:

1. Mit den betroffenen LKW-Fahrern, welche bei dritten Unternehmen beschäftigt sind, hat der verantwortliche Spediteur kein unmittelbares Vertragsverhältnis.
2. Eine solche Gefahrenabwehr würde eher die Echtzeitüberwachung rechtfertigen – als eine Speicherung und nachträgliche Auswertung.
3. In diesem Lichte ist auch die Erforderlichkeit zu sehen: Könnte durch ein Verladen zu zweit die Videoüberwachung unterbleiben?
    

„Lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person“

Der Schutz lebenswichtiger Interessen könnte die Kameraüberwachung rechtfertigen. Dieser Rechtsgrund hat mit jeglichen Betroffenen sowie „natürlichen Personen“ einen sehr breiten Adressatenkreis. Somit könnte er auch gegenüber Bediensteten dritter Unternehmen zum Einsatz kommen. Höchst fraglich ist aber, ob die Risikolage einer LKW-Laderampe das Kriterium der „Erforderlichkeit“ einer Videoüberwachung erfüllt. Der DSGVO-Erwägungsgrund (112) nennt als lebenswichtige Interessen körperliche Unversehrtheit sowie Leben.
Zwar ist diese Arbeit mit nicht unerheblichen körperlichen Gefährdungen verbunden - letztlich herrscht aber keine unmittelbare Lebensgefahr. Auch diesem Rechtsgrund ist entgegenzuhalten, dass eine Echtzeitüberwachung oder ein Verladen im Vier-Augen-Prinzip genügen könnte. Diese Norm sollte schließlich als Auffangtatbestand verstanden werden – für den Fall, dass andere Rechtsgründe ausscheiden. Der folgende Rechtmäßigkeitsgrund „Berechtigte Interessen“ wird meines Erachtens die beste Wahl sein.

Berechtigte Interessen

Berechtigte Interessen müssen vor dem Hintergrund gesehen werden, dass in der „knapp kalkulierten“ Speditions-/Logistikbranche von Haus aus Zeitdruck herrscht und auch zuweilen ein besonderes Liefer-Aufkommen entsteht. Denken Sie an einen Paketversand zu Weihnachten oder etwa die 2021 anstehende Verteilung von Corona-Impfstoffen.
Zwischenfälle müssen unbedingt vermieden werden – sowohl die Beschädigung von Paketen als auch von Personen wäre nicht akzeptabel. Lieferverzug und Schadenersatz könnten ernsthafte Folgen sein. In diesem Lichte ist die „Erforderlichkeit“ der Kameras in der sehr bedeutsamen Speditionswirtschaft zu sehen.

1. Die Norm deckt nicht nur die berechtigten Interessen des Verantwortlichen (Spediteurs) ab, sondern auch jene eines Dritten. An der reibungslosen Abwicklung hat neben dem Arbeitgeber des LKW-Fahrers auch jeder Paketempfänger ein Interesse. Durchaus darf es sich um wirtschaftliche Interessen – im Rahmen der Rechtsordnung – handeln.
2. Die Grundrechte der betroffenen LKW- und Stapler-Fahrer überwiegen das erstgenannte Interesse nicht. Schließlich handelt es sich um eine branchenübliche Vorgehensweise – und wird man in der Regel nur am Ort und zum Zeitpunkt der Gefahr gefilmt (Ein- und Ausladen).

Letztlich wird die Verarbeitungstätigkeit „Videoüberwachung“ mit berechtigten Interessen gerechtfertigt (Artikel 6 Absatz 1 litera f DSGVO). Auf die obige Grundrechtsabwägung sollte nicht vergessen werden und gehört jene dokumentiert.

§§ 12 und 13 Datenschutzgesetz

Die DSGVO als sogenannte „hinkende Verordnung“ birgt zahlreiche sogenannte Öffnungsklauseln, welche eine nationale Konkretisierung der Mitgliedsstaaten im Einzelnen erlauben. Ob der österreichische Gesetzgeber mit §§ 12 und 13 DSG unionsrechtswidrige Normen geschaffen hat soll an dieser Stelle nicht weiter diskutiert werden.
Einerseits dürfen von Gewerbetreibenden keine akademischen Forschungen verlangt werden – dies ist Aufgabe von Universitäten und Gerichten. Andererseits werden Sie von uns ausschließlich Auskünfte zur Compliance bekommen, mit denen Sie auf der sicheren Seite sind! Meine Empfehlung lautet also unbedingt, in Österreich die §§ 12 und 13 Datenschutzgesetz zu berücksichtigen.

§ 12 Abs 4 DSG führt gewisse unzulässige Bildaufnahmen an, wozu unter anderem die Kontrolle von Arbeitnehmern zählt. § 12 Abs 2 DSG gibt weiter zu berechtigten Interessen und der geforderten Verhältnismäßigkeit an, dass insbesondere der präventive Schutz von Personen oder Sachen auf privaten Liegenschaften ein tauglicher Rechtsgrund sei. Dabei darf die Kameraüberwachung nicht über die Liegenschaft hinausreichen und handelt es sich bei der Norm wohlgemerkt um eine analogiefähige, beispielhafte Aufzählung.

Von der Verhältnismäßigkeit ist im Beispiel auszugehen, da die berechtigten Interessen des Betreibers den „Grundrechtseingriff“ gegenüber den Betroffenen ziemlich in den Hintergrund treten lassen. So sollen sich die Arbeiter ja bereits aus Sicherheitsgründen nur dann im Verladebereich aufhalten, wenn einschlägige Arbeitsschritte anfallen. Es versteht sich von selbst, dass zum Beispiel Mittagspausen nicht auf der Verladerampe stattfinden dürfen – was organisatorisch zu regeln ist.

Zusammenfassung und Ausblick

Wie Sie sehen gibt es keine „datenschutz-konformen Kameras“ an und für sich. Datenschutz ist immer im Kontext des Sachverhalts, der konkreten Nutzung und Betroffenen-Risiken zu betrachten. Die Kameras der LKW-Laderampe sind mit berechtigten – auch wirtschaftlichen – Interessen zu rechtfertigen. Mit unserer Unterstützung als externer Datenschutzbeauftragter – und zum Teil in kommenden Infoletter-Artikeln – erfahren Sie zu Überwachungskameras:

• Wann sind die Aufzeichnungen zu löschen (Speicherdauer)?
• Welche technischen und organisatorischen Maßnahmen braucht es in Anbetracht des Risikos? Ist Verschlüsselung in jedem Fall geboten? Berechtigungsmanagement und Protokollierung von Zugriffen?
• Spielt etwa die Art der Aufstellung und Einrichtung der Kameras eine Rolle? 
• Welche Dokumentation benötigt man? Wie bestimme ich das Risiko dieser Personendatenverarbeitung und braucht es etwa eine Datenschutz-Folgenabschätzung?
• Kennzeichnungs- und allgemeine Informationspflichten
• Welche Rechte hat ein von der Videoüberwachung Betroffener (Betroffenenrechte)?
• Falls Ihre Mitarbeiter gefilmt werden sollen: Wie verhält es sich arbeitsrechtlich (Arbeitsverfassungsgesetz)? Wie sollte eine Betriebsvereinbarung aussehen?
• Was ist mit dem Immaterialgüterrecht bei Veröffentlichung (Urheberrechtsgesetz)?

Anhand des gegenständlichen Newsletters können Sie bereits jetzt Kamerasysteme ins Verzeichnis der Verarbeitungstätigkeiten aufnehmen - mitsamt Zweck und Rechtsgrund. Als externer Datenschutzbeauftragter auditieren wir Ihre Videoüberwachung vollumfänglich und Sie erhalten eine Dokumentation mit Maßnahmen-Checkliste. Freilich lassen wir Sie auch bei der technischen Umsetzung der DSGVO nicht im Stich. Ein kostenloses Erstgespräch gibt Aufschluss über die Risikolage und die nötigen Schritte zur Compliance Ihrer betrieblichen Videoüberwachung.