Das Bundesverwaltungsgericht (BVerwG) hat in einem Urteil vom 27. März 2019 festgestellt, dass die Regelung in § 4 Abs. 1 S. 1 des neuen Bundesdatenschutzgesetzes (BDSG) unionsrechtswidrig und somit für Private künftig nicht anwendbar ist. Damit können private Verantwortliche künftig die Verarbeitung personenbezogener Daten mittels einer Videoüberwachung öffentlich zugänglicher Räume nicht mehr auf diesen Tatbestand stützen. Die Rechtmäßigkeit solcher privater Videoüberwachungen richtet sich laut dem BVerwG künftig nach Art. 6 Abs. 1 lit. f) DSGVO.

Der Fall

In dem vom BVerwG zu entscheidenden Fall hatte eine Zahnärztin sich gegen eine Anordnung der zuständigen datenschutzrechtlichen Aufsichtsbehörde zu der Videoüberwachung in ihrer Praxis gewandt. Die zuständige Landesdatenschutzbeauftragte hatte der Zahnärztin auferlegt, dass diese die Kameras während der Öffnungszeiten der Praxis so auszurichten habe, dass sie keine Patienten erfassen. Die Anfechtungsklage gegen diese Anordnung war bereits in den Vorinstanzen erfolglos geblieben, was nun das BVerwG bestätigte.

Nach Ansicht der Gerichte war die von der Klägerin durchgeführte Videoüberwachung bereits nach dem für den Fall in seiner alten Fassung noch anwendbaren § 6b Abs. 1 BDSG rechtswidrig. Die Klägerin hatte nicht ausreichend dargelegt, warum die Verarbeitung zur Wahrung ihres Hausrechts oder berechtigter Interessen für konkret festgelegte Zwecke notwendig war. Insbesondere habe sie nicht begründet, dass in Bezug auf ihre Praxis eine über das allgemeine Lebensrisiko hinausgehende Gefährdungslage bestünde. Nur in diesem Fall hätte die Videoüberwachung nach Ansicht des BVerwG gerechtfertigt sein können.

Unionsrechtswidrigkeit des § 4 Abs. 1 S. 1 BDSG

Eine Bewertung der Rechtslage unter Geltung der EU Datenschutz-Grundverordnung (DSGVO) und des neuen BDSG war zwar für die Entscheidung des BVerwG im konkreten Fall nicht relevant. Dennoch hat das BVerwG klargestellt, dass auch nach der neuen Rechtslage die konkrete Videoüberwachung nicht rechtmäßig war. Insbesondere könne die Verarbeitung personenbezogener Daten durch eine private Videoüberwachung nicht auf § 4 Abs. 1. S. 1 BDSG gestützt werden.

Nach Ansicht des BVerwG enthalten Art. 6 Abs. 2 und 3 DSGVO keine Öffnungsklausel für einen eigenen Rechtfertigungstatbestand im nationalen Datenschutzrecht (hier: § 4 Abs. 1 S. 1 BDSG) zur Videoüberwachung durch Privatpersonen. Somit könne die private Videoüberwachung nicht wirksam auf die Regelung in § 4 Abs. 1 S. 1 BDSG gestützt werden.

Rechtmäßigkeit privater Videoüberwachung

Nach Ansicht des BVerwG kann eine Videoüberwachung öffentlicher Räume durch Private lediglich zur Wahrung berechtigter Interessen des Verantwortlichen gemäß Art. 6 Abs. 1 lit. f) DSGVO gerechtfertigt werden, sofern nicht die Interessen der betroffenen Person überwiegen. Somit muss in jedem Einzelfall geprüft werden, ob der Verantwortliche berechtigte Interessen an der Videoüberwachung hat und inwiefern die berechtigten Interessen der betroffenen Person gegen diese Überwachung überwiegen. Hierfür sei insbesondere entscheidend, ob eine solche Videoüberwachung zur Verhinderung von Straftaten unbedingt erforderlich und branchenüblich (und somit für die betroffen Person vorhersehbar) ist.

Fazit: Was Unternehmen bei Videoüberwachung künftig beachten müssen

Beim Einsatz von Videoüberwachung bestehen für Unternehmen weiterhin Risiken. Aus datenschutzrechtlicher Sicht sollten Unternehmen insbesondere die folgenden Punkte berücksichtigen, wenn sie eine Videoüberwachung planen:

• Zwecke der Videoüberwachung: Bei der Bestimmung der Zwecke der Videoüberwachung sollten Unternehmen beachten, dass diese ihre berechtigten Interessen rechtfertigen müssen. Nicht ausreichend ist ein allgemeiner Verweis auf die Verhinderung möglicher Straftaten.
   
• Rechtsgrundlage: Nach dem Urteil des BVerwG kommt als Rechtsgrundlage regelmäßig nur Art. 6 Abs. 1 lit. f) DSGVO in Betracht. Unternehmen sollten sich nicht mehr auf § 4 Abs. 1 S. 1 BDSG als Rechtsgrundlage zu berufen.
   
• Standorte der Kameras und Aufzeichnungszeitpunkte: Die Standorte und die Zeitpunkte der Aufnahme müssen zu den festgelegten Zwecken passen und die berechtigten Interessen der betroffenen Personen ausreichend berücksichtigen (so ist es bspw. zur Wahrung des Hausrechts nicht notwendig, öffentliche Wege oder einen durch einen Pförtner überwachten Bereich zu filmen).
   
• Datensicherheit: Dritte dürfen keine Möglichkeit haben, die Videoaufnahmen abzugreifen, bspw. indem sie eine Funkübertragung abgreifen.
   
• Erfüllen der Transparenzpflichten: Das Unternehmen muss sicherstellen, dass alle betroffenen Personen über die Videoüberwachung hinreichend informiert sind, bspw. durch Hinweisschilder und Piktogramme.
   
• Auftragsverarbeitungsvertrag mit Dienstleister: Soweit die Videoüberwachung durch einen Auftragsverarbeiter durchgeführt wird, muss dies durch einen Vertrag nach Art. 28 Abs. 3 DSGVO abgesichert sein.
   
• Zugriffsberechtigungskonzept: Unternehmen sollten für die Videoaufzeichnungen ein umfassendes Zugriffsberechtigungskonzept erstellen.
   
• Löschfristen festlegen: Zudem müssen Unternehmen Löschfristen festlegen, die mit den festgelegten Zwecken vereinbar sind und die berechtigten Interessen der betroffenen Personen berücksichtigen.
   
• Gegebenenfalls Mitbestimmung des Betriebsrats: Soweit ein Betriebsrat vorhanden ist, ist dieser gemäß § 87 Abs. 1 Nr. 6 BetrVG regelmäßig mitbestimmungsberechtigt.
   
• Datenschutz-Folgenabschätzung: In vielen Fällen müssen Unternehmen vor dem Einsatz einer Videoüberwachung eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO durchführen.