Videoüberwachung im Unternehmen: DSGVO-konforme Umsetzung von Betriebs- und Objektschutz

Videoüberwachung im Unternehmen DSGVO-konform zu betreiben, verlangt mehr als die Installation moderner Kameratechnik. Betriebsgelände, Lagerhallen, Empfangsbereiche und Parkplätze werden aus Gründen des Diebstahlschutzes, der Zutrittskontrolle und der Aufklärung von Sachbeschädigungen zunehmend videoüberwacht. Gleichzeitig handelt es sich bei jeder Aufnahme, auf der Personen erkennbar sind, um die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung. Wer Kameras installiert, ohne die rechtlichen Anforderungen zu prüfen, riskiert Bußgelder, Abmahnungen durch Betroffene und im schlimmsten Fall die gerichtliche Anordnung zur Demontage der Anlage. Dieser Beitrag erläutert, welche Rechtsgrundlagen für betriebliche Videoüberwachung infrage kommen, wie eine saubere Interessenabwägung aussieht und welche organisatorischen Schritte Unternehmen einhalten sollten.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von Alan J. Hendry auf Unsplash.

Rechtsgrundlagen für Videoüberwachung nach der DSGVO

Die Datenschutz-Grundverordnung kennt keine eigene Spezialregelung für Videoüberwachung im privaten Unternehmenskontext, weshalb sich Betreiber auf die allgemeinen Erlaubnistatbestände in Art. 6 DSGVO stützen müssen. In der betrieblichen Praxis kommen vor allem zwei Rechtsgrundlagen infrage: die Wahrung berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO und, im Beschäftigungskontext ergänzend, § 26 Bundesdatenschutzgesetz. Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO scheidet für die laufende Überwachung öffentlich zugänglicher oder betrieblich genutzter Bereiche in der Regel aus, da sie jederzeit widerrufbar sein muss und bei Kunden oder Besuchern praktisch nicht wirksam eingeholt werden kann.

Berechtigte Interessen, die eine Videoüberwachung rechtfertigen können, sind insbesondere der Schutz des Eigentums vor Diebstahl und Vandalismus, die Aufklärung bereits erfolgter Straftaten sowie der Schutz von Leben und Gesundheit der Beschäftigten und Besucher. Ein pauschales Sicherheitsinteresse reicht dabei nicht aus. Erforderlich ist stets eine konkrete, nachvollziehbare Gefährdungslage, die im Zweifel dokumentiert werden sollte, etwa durch frühere Vorfälle, polizeiliche Anzeigen oder eine plausible Risikoeinschätzung für den jeweiligen Standort.

Für die Verarbeitung von Beschäftigtendaten im Rahmen der Videoüberwachung ist ergänzend § 26 Bundesdatenschutzgesetz zu beachten, der die Datenverarbeitung im Beschäftigungsverhältnis konkretisiert. Der vollständige Gesetzestext ist über die amtliche Gesetzessammlung im Internet unter gesetze-im-internet.de öffentlich zugänglich und bietet eine verlässliche Grundlage für die rechtliche Einordnung im Einzelfall.

Die Interessenabwägung als zentrales Prüfelement

Kern jeder rechtmäßigen Videoüberwachung ist die Abwägung zwischen dem Interesse des Unternehmens an der Überwachung und dem Interesse der betroffenen Personen am Schutz ihrer Privatsphäre. Diese Abwägung muss für jeden Kamerastandort einzeln erfolgen und lässt sich nicht pauschal für das gesamte Betriebsgelände treffen. Ein Eingangsbereich mit hohem Publikumsverkehr und dokumentierten Vorfällen rechtfertigt eine andere Bewertung als ein reiner Büroflur ohne besondere Gefährdungslage.

Kriterien für eine rechtssichere Abwägung

• Erforderlichkeit: Gibt es mildere Mittel wie Zutrittskontrollen oder Alarmanlagen, die denselben Schutzzweck erreichen?
• Reichweite der Überwachung: Werden ausschließlich betriebsrelevante Flächen erfasst oder auch öffentlicher Raum, Nachbargrundstücke oder Sozialräume?
• Intensität des Eingriffs: Handelt es sich um eine reine Aufzeichnung oder um eine dauerhafte Live-Beobachtung durch Personal?
• Dauer der Speicherung: Wird das Material nur kurzfristig zur Auswertung im Verdachtsfall vorgehalten oder unnötig lange gespeichert?
• Transparenz: Werden betroffene Personen durch Hinweisschilder und Informationsblätter über die Überwachung informiert?

Bereiche mit besonders hohem Schutzbedarf, etwa Sanitäranlagen, Umkleiden, Pausenräume oder Bereiche, die überwiegend der privaten Erholung der Beschäftigten dienen, sind von einer Videoüberwachung grundsätzlich ausgeschlossen. Hier überwiegt das Persönlichkeitsrecht der betroffenen Personen regelmäßig und lässt keine Abwägung zugunsten der Überwachung zu.

Beschäftigtendatenschutz und Mitbestimmung des Betriebsrats

Sofern Videoüberwachung geeignet ist, das Verhalten oder die Leistung von Beschäftigten zu überwachen, greift zusätzlich das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz. Dies gilt unabhängig davon, ob die Überwachung tatsächlich zu diesem Zweck eingesetzt wird, es genügt die objektive Eignung der technischen Einrichtung. Unternehmen mit Betriebsrat sollten daher vor der Installation von Kameras eine Betriebsvereinbarung abschließen, die Zweck, Umfang, Speicherfristen und Zugriffsberechtigungen der Videoüberwachung eindeutig regelt.

Eine solche Betriebsvereinbarung bietet neben der rechtlichen Absicherung auch praktische Vorteile: Sie schafft für alle Beteiligten Klarheit über die Spielregeln und reduziert das Risiko individueller Beschwerden, weil die Regelungen kollektiv ausgehandelt und dokumentiert wurden. In Unternehmen ohne Betriebsrat ersetzt eine transparente interne Richtlinie diese Funktion, entfaltet jedoch nicht dieselbe rechtliche Bindungswirkung.

Speicherfristen und technische Umsetzung

Ein häufiger Mangel in der betrieblichen Praxis betrifft überlange Speicherfristen. Aufsichtsbehörden gehen bei reiner Präventions- und Aufklärungsüberwachung in der Regel von einer angemessenen Speicherdauer von 48 bis 72 Stunden aus, sofern kein konkreter Anlass zur längeren Sicherung besteht. Wird innerhalb dieses Zeitraums kein relevanter Vorfall festgestellt, sind die Aufnahmen automatisiert zu löschen. Längere Speicherfristen bedürfen einer besonderen Begründung, etwa branchenspezifischer Risikolagen, und sollten dokumentiert werden.

Checkliste für die technische und organisatorische Umsetzung

Maßnahme	Beschreibung
Zugriffsbeschränkung	Nur namentlich benannte Personen erhalten Zugriff auf Live-Bilder und gespeichertes Material
Protokollierung	Jeder Zugriff auf gespeichertes Bildmaterial wird nachvollziehbar dokumentiert
Automatische Löschung	Technische Konfiguration löscht Aufnahmen nach Ablauf der festgelegten Frist automatisch
Verschlüsselung	Übertragung und Speicherung der Aufnahmen erfolgen verschlüsselt
Hinweisschilder	Deutlich sichtbare Beschilderung an allen überwachten Zugängen mit Angaben zum Verantwortlichen

Dokumentationspflichten: Verarbeitungsverzeichnis und Datenschutz-Folgenabschätzung

Jede betriebliche Videoüberwachung ist in das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO aufzunehmen. Anzugeben sind unter anderem der Zweck der Überwachung, die Kategorien betroffener Personen, die Speicherdauer und die getroffenen technischen und organisatorischen Schutzmaßnahmen. Bei umfangreicher oder besonders eingriffsintensiver Überwachung, etwa der systematischen Überwachung öffentlich zugänglicher Bereiche in großem Umfang, kann zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein.

„Die Videoüberwachung eines Betriebsgeländes ist datenschutzrechtlich kein Nebenschauplatz, sondern eine vollwertige Verarbeitungstätigkeit mit eigener Rechtsgrundlage, eigener Dokumentationspflicht und eigenem Risiko.“ (Redaktionelle Einordnung auf Basis der Aufsichtsbehördenpraxis)

Schritt-für-Schritt-Vorgehen zur rechtssicheren Einführung

1. Schutzbedarf und Gefährdungslage für jeden geplanten Kamerastandort einzeln dokumentieren.
2. Prüfen, ob mildere Mittel denselben Zweck erfüllen könnten, und dies dokumentieren.
3. Rechtsgrundlage festlegen und die Interessenabwägung schriftlich fixieren.
4. Betriebsrat frühzeitig einbinden und eine Betriebsvereinbarung aushandeln, sofern ein Betriebsrat besteht.
5. Speicherfristen technisch konfigurieren und automatische Löschroutinen einrichten.
6. Zugriffsberechtigungen definieren und Zugriffe protokollieren.
7. Verarbeitungstätigkeit im Verzeichnis nach Art. 30 DSGVO dokumentieren und bei Bedarf eine Datenschutz-Folgenabschätzung durchführen.
8. Hinweisschilder anbringen und ein Informationsblatt nach Art. 13 DSGVO für Betroffene bereithalten.

Typische Stolperfallen in der Praxis

In der aufsichtsbehördlichen Praxis wiederholen sich bestimmte Fehler bei der betrieblichen Videoüberwachung. Häufig werden Kameras nachträglich erweitert oder umpositioniert, ohne die ursprüngliche Interessenabwägung zu aktualisieren. Ebenso verbreitet ist die Erfassung angrenzender öffentlicher Flächen wie Gehwege oder Nachbargrundstücke, was regelmäßig als unverhältnismäßig eingestuft wird. Ein weiterer wiederkehrender Mangel betrifft fehlende oder unzureichend platzierte Hinweisschilder, die den Anforderungen an eine wirksame Information der Betroffenen nicht genügen.

• Nachträgliche Erweiterung der Kameraanzahl ohne erneute Interessenabwägung.
• Erfassung von öffentlichem Raum oder Nachbargrundstücken über die Grundstücksgrenze hinaus.
• Fehlende oder unauffällige Hinweisschilder ohne Angabe des Verantwortlichen.
• Zu lange Speicherfristen ohne dokumentierte Begründung.
• Fehlende Einbindung des Betriebsrats trotz Eignung zur Verhaltenskontrolle.

Videoüberwachung gegenüber Kunden und Besuchern

Neben Beschäftigten sind auch Kunden, Lieferanten und sonstige Besucher von betrieblicher Videoüberwachung betroffen, etwa beim Betreten eines Verkaufsraums, einer Lagerhalle oder eines Empfangsbereichs. Für diese Personengruppe gilt § 26 BDSG nicht, da kein Beschäftigungsverhältnis besteht, sodass sich die Rechtmäßigkeit ausschließlich nach der allgemeinen Interessenabwägung gemäß Art. 6 Abs. 1 lit. f DSGVO richtet. In der Praxis führt dies dazu, dass Verkaufsräume mit offenem Warenzugang und hohem Publikumsverkehr regelmäßig eher als überwachungsfähig eingestuft werden als etwa ein Wartebereich ohne besonderen Diebstahlbezug.

Ein Sonderfall betrifft Videoüberwachung an Kassenbereichen, die sowohl dem Schutz vor externem Diebstahl als auch faktisch der Kontrolle des Kassenpersonals dienen kann. Hier überschneiden sich Beschäftigtendatenschutz und allgemeine Interessenabwägung, weshalb eine besonders sorgfältige Dokumentation der Zwecksetzung erforderlich ist, um den Eindruck einer verdeckten Leistungskontrolle zu vermeiden.

Dummy-Kameras und Kameraattrappen

Auch nicht funktionsfähige Kameraattrappen sind datenschutzrechtlich nicht gänzlich irrelevant, auch wenn sie keine personenbezogenen Daten verarbeiten. Da Betroffene den fehlenden Aufnahmebetrieb von außen nicht erkennen können, entfalten Attrappen dieselbe verhaltenssteuernde und potenziell einschüchternde Wirkung wie echte Kameras. Arbeitsgerichte haben in der Vergangenheit entschieden, dass auch der Einsatz von Kameraattrappen der Mitbestimmung des Betriebsrats unterliegen kann, wenn objektiv der Eindruck einer Überwachung entsteht. Unternehmen sollten Attrappen daher nicht als datenschutzrechtlich unbedenkliche Alternative zu echten Kameras betrachten, sondern denselben Abstimmungsprozess durchlaufen.

In der Beratungspraxis zeigt sich zudem, dass Kameraattrappen langfristig selten die gewünschte präventive Wirkung entfalten, da Mitarbeiter und wiederkehrende Besucher den fehlenden Aufnahmebetrieb häufig erkennen oder erahnen, sobald keine Konsequenzen aus vermeintlich dokumentierten Vorfällen erfolgen. Wer auf eine glaubwürdige Sicherheitsarchitektur setzt, sollte daher grundsätzlich funktionsfähige Systeme mit klar dokumentierter Rechtsgrundlage bevorzugen und Attrappen allenfalls als ergänzende, nicht als alleinige Maßnahme einsetzen.

Praxisbeispiel: Einführung einer Zutrittsüberwachung im Lagerbereich

Ein mittelständischer Logistikdienstleister plante nach mehreren dokumentierten Diebstahlsfällen die Installation von Kameras an den Warenein- und Ausgängen seines Lagers. Vor der Umsetzung erstellte das Unternehmen eine schriftliche Interessenabwägung, die die vorangegangenen Vorfälle, die geprüften milderen Mittel wie verstärkte Zugangskontrollen und die geplante Speicherfrist von 72 Stunden dokumentierte. Der Betriebsrat wurde frühzeitig eingebunden und eine Betriebsvereinbarung ausgehandelt, die den Zugriff auf das Bildmaterial auf zwei namentlich benannte Sicherheitsverantwortliche beschränkte.

Durch dieses strukturierte Vorgehen konnte das Unternehmen die Überwachung ohne Widerspruch der Belegschaft einführen und im Falle eines späteren Prüfverfahrens durch die Aufsichtsbehörde die vollständige Dokumentation vorlegen. Der Fall zeigt exemplarisch, dass die eigentliche Herausforderung selten in der Technik, sondern in der sauberen rechtlichen und organisatorischen Vorbereitung liegt.

Umgang mit Auskunftsersuchen und Betroffenenrechten

Betroffene Personen haben nach Art. 15 DSGVO grundsätzlich das Recht, Auskunft darüber zu verlangen, ob sie auf Videoaufnahmen erfasst wurden, und gegebenenfalls eine Kopie der sie betreffenden Aufnahmen zu erhalten. In der Praxis stellt dies Unternehmen vor technische Herausforderungen, weil andere auf den Aufnahmen erkennbare Personen unkenntlich gemacht werden müssen, bevor das Material herausgegeben wird. Wer bereits bei der Anschaffung der Kamerasoftware auf Funktionen zur Verpixelung oder Schwärzung achtet, spart sich im Auskunftsfall erheblichen manuellen Aufwand. Ein klar definierter interner Prozess mit festen Fristen und einer benannten Zuständigkeit stellt sicher, dass Auskunftsersuchen fristgerecht und vollständig bearbeitet werden.

Zusätzlich zum individuellen Auskunftsrecht sollten Unternehmen auch die Rechte auf Löschung und Widerspruch im Blick behalten. Ein Widerspruch gegen die Verarbeitung nach Art. 21 DSGVO ist bei einer auf berechtigte Interessen gestützten Videoüberwachung grundsätzlich möglich, wird jedoch regelmäßig dann abgelehnt werden können, wenn zwingende schutzwürdige Gründe des Unternehmens, etwa ein konkretes Diebstahlrisiko, nachweislich überwiegen. Die Ablehnung eines Widerspruchs sollte ebenso dokumentiert werden wie dessen Eingang, um im Streitfall die getroffene Interessenabwägung nachvollziehbar belegen zu können.

Verantwortlichkeiten und interne Zuständigkeiten

Die rechtssichere Umsetzung einer Videoüberwachung ist keine reine IT-Aufgabe, sondern erfordert das Zusammenspiel mehrerer Funktionen im Unternehmen. Die Geschäftsführung trägt die Gesamtverantwortung für die Rechtmäßigkeit der Verarbeitung, der oder die Datenschutzbeauftragte prüft die Interessenabwägung und berät zur Dokumentation, die IT-Abteilung oder ein externer Dienstleister setzt die technischen Schutzmaßnahmen um, und die Personalabteilung koordiniert die Einbindung des Betriebsrats. Fehlt eine dieser Funktionen im eigenen Haus, sollte die Aufgabe an einen externen Datenschutzbeauftragten oder eine spezialisierte Fachkraft delegiert werden, anstatt die Prüfung informell und ohne Dokumentation vorzunehmen.

Ein regelmäßiger interner Review der bestehenden Kameraanlagen, etwa im jährlichen Turnus, stellt sicher, dass sich veränderte Rahmenbedingungen wie neue Standorte, geänderte Speichersysteme oder neue Erkenntnisse aus der Aufsichtsbehördenpraxis zeitnah in der Dokumentation niederschlagen. Unternehmen, die eine solche Überprüfung institutionalisieren, vermeiden, dass eine einmal getroffene Interessenabwägung über Jahre unverändert fortgeschrieben wird, obwohl sich die tatsächlichen Verhältnisse längst geändert haben.

FAQ

Braucht jede Kamera im Unternehmen eine eigene Rechtsgrundlage?
Ja, die Interessenabwägung ist grundsätzlich für jeden Kamerastandort einzeln vorzunehmen, da sich Schutzbedarf und Eingriffsintensität je nach Bereich erheblich unterscheiden können.

Dürfen Pausenräume oder Umkleiden videoüberwacht werden?
Nein, in Bereichen mit besonders hohem Schutzbedarf wie Sanitäranlagen, Umkleiden oder Pausenräumen überwiegt regelmäßig das Persönlichkeitsrecht der Beschäftigten, sodass eine Videoüberwachung ausscheidet.

Wie lange dürfen Videoaufnahmen gespeichert werden?
Ohne besonderen Anlass gilt eine Speicherdauer von 48 bis 72 Stunden als angemessen; längere Fristen bedürfen einer dokumentierten Begründung.

Muss der Betriebsrat der Videoüberwachung zustimmen?
Sofern die Anlage geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen, besteht ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz, das üblicherweise über eine Betriebsvereinbarung ausgeübt wird.

Was passiert, wenn ein Betroffener Auskunft über Videoaufnahmen verlangt?
Das Unternehmen muss innerhalb der gesetzlichen Frist Auskunft erteilen und gegebenenfalls eine Kopie bereitstellen, wobei andere erkennbare Personen zuvor unkenntlich gemacht werden müssen.

Ist eine Datenschutz-Folgenabschätzung immer erforderlich?
Nicht immer, aber bei umfangreicher oder besonders eingriffsintensiver Überwachung öffentlich zugänglicher Bereiche kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO verpflichtend werden.