- Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.
- § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Monat: April 2018
Vorabkontrolle
Vorabkontrolle der Videoüberwachung zur Prüfung des Zweckes
2.2.1. Verfahrensverzeichnis, Vorabkontrolle, Sicherungspflichten
Vor Beginn der Videoüberwachung ist seitens der verantwortlichen Stelle der konkrete
Zweck der Überwachungsmaßnahme (vgl. Nr. 2.1.3.1.) schriftlich festzulegen. Zudem
sind technische und organisatorische Maßnahmen zu treffen (§ 9 BDSG), um die Sicherheit
der Daten zu gewährleisten. Vor der Inbetriebnahme einer Videoüberwachung ist eine Vorabkontrolle nach § 4d Absatz 5 BDSG erforderlich, wenn bei dem Einsatz der Videotechnik von besonderen Risiken für die Rechte und Freiheiten der Betroffenen auszugehen ist. Nach der Gesetzesbegründung bestehen besondere Risiken, wenn Überwachungskameras „in größerer Zahl und zentral kontrolliert eingesetzt werden“ (BT-Drs. 14/5793, S. 62). Der betriebliche Datenschutzbeauftragte hat gemäß § 4d Absatz 6 BDSG die Vorabkontrolle durchzuführen und das Ergebnis sowie die Begründung schriftlich
zu dokumentieren.
Unabhängig von der Durchführung einer Vorabkontrolle ergibt sich das Erfordernis der
vorherigen Zweckbestimmung aus § 6b Absatz 1 Nr. 3 BDSG, wenn die Videoüberwachung zur Wahrnehmung berechtigter Interessen erfolgt. Darüber hinaus ist für Verfahren,
die automatisiert Daten verarbeiten, eine Verfahrensübersicht zu erstellen (vgl. § 4g Absatz 2 und 2a BDSG). Eine Videoüberwachung ist jedenfalls dann, wenn sie mittels digitaler Technik erfolgt, als automatisierte Verarbeitung zu qualifizieren. Welche Angaben in diese Übersicht aufgenommen werden müssen, zählt § 4e Satz 1 BDSG verbindlich und abschließend auf. Der dort geforderten allgemeinen Beschreibung der technisch-organisatorischen Maßnahmen zum Schutz der Daten kommt bei der Videoüberwachung besondere Bedeutung zu. Die Videobilddaten unterliegen wegen der sich aus einer unsachgemäßen Handhabung möglicherweise für den Betroffenen ergebenen Beeinträchtigungen entsprechend hohen Schutzkontrollen sowohl hinsichtlich des Zutritts, Zugangs und Zugriffs.
| Maßnahme Bäckerei Kassen-Videoüberwachung | ja | nein |
| Ist eine Verfahrensdokumentation vorgelegt worden, die den Zweck des Verfahrens klar erläutert? | x | |
| Liegt ein Datenmodell oder eine Betriebsvereinbarung vor? | x | |
| Stehen die Art der Daten, die verarbeitet werden, die Zweckbestimmung, die erfassten Personengruppen und die Empfänger der Daten im Einklang mit dem BDSG? | x | |
| Welche Dialog-Transaktionen mit personenbezogenen Daten sollen ausgeführt werden? | Bildübertragung per CMS-
Software zu den berechtigten Personen |
|
| Welche Reportingfunktionen sind vorgesehen? | Suche nach Storno | |
| Wer sind die Anwender des Verfahrens? | Herr A und Frau B | |
| Sollen Auftragsdatenverarbeiter (§ 11 BDSG), also insbesondere Dienstleister, eingeschaltet werden? | x | |
| Liegen die erforderlichen Verträge vor? | x | |
| Ist nach der Verfahrensdokumentation sichergestellt, dass der Betroffene über das Verfahren informiert wird bzw. ihm auf Nachfrage die erforderlichen Auskünfte gegeben werden können und Berichtigungen, Sperrungen und Löschungen möglich sind? | x | |
| Sind die Spezialvorschriften für automatisierte Einzelentscheidungen (§ 6a BDSG), für den Videoeinsatz in öffentlich zugänglichen Räumen (§ 6b BDSG) und für Chipkarten (§ 6c BDSG) beachtet? | x | |
| Ist eine Datenübermittlung in Drittstaaten geplant? | x | |
| Wenn ja, ist diese zulässig? | ||
| Welche Folgen hat eine missbräuchliche Verwendung der sensiblen Daten? | Nicht möglich, Daten zugangsgesichert | |
| Liegt ein Datensicherheitskonzept vor, das entsprechend der Sensibilität der Daten Risiken für die Vertraulichkeit, Integrität, Verfügbarkeit und Revisionsfestigkeit hinreichend sicher verhindert? | x | |
| Sind insbesondere die erforderlichen Maßnahmen für die Sicherung des Zugangs, die Sicherung und Protokollierung des Zugriffs und für die Verschlüsselung getroffen? | x | |
| Liegt ein Berechtigungskonzept vor? | x | |
| Gibt es Schnittstellen zu anderen Systemen (Uploads/Downloads)? |
x | |
| Welche Software wird eingesetzt? | Cash-Plus | |
| Standard-/Individualsoftware? | x | |
| Ist die Funktionalität des Verfahrens erprobt worden? | x | |
| Werden alle Anwender, die mit dem System arbeiten, datenschutzrechtlich geschult? | x | |
| Ist die geplante Datenverarbeitung also insgesamt nach §§ 4, 28 BDSG zulässig und sind die ergriffenen Sicherheitsmaßnahmen im Hinblick auf die vorhandenen Risiken geeignet, erforderlich und angemessen? | x | |
Wie sind Kameraattrappen zu beurteilen?
Information des
LDI NRW Achtung Kamera! Videoüberwachung durch private Stellen
Da mit einer Attrappe keine Beobachtung mit optisch elektronischen
Einrichtungen durchgeführt werden kann, ist § 6b BDSG nicht unmittelbar anwendbar. Dennoch können sich Passanten durch die vermeintliche Beobachtung zu Verhaltensänderungen veranlasst sehen und in ihrem Persönlichkeitsrecht beeinträchtigt
sein. Unter diesem Gesichtspunkt sind Attrappen durchaus kritisch zu beurteilen. In diesem
Fall sind unter Umständen zivilrechtliche Schritte nach §§ 823, 1004 BGB möglich.
Videoüberwachung-Wie lange darf abgespeichert werden?
Die Frage, die häufig gestellt wird: „Ist die Festplatte des Rekorders groß genug?“
Diese Frage zeigt ganz deutlich, dass der Anwender noch nicht Bescheid weiß, was das BDSG zum Thema #Bildspeicherung sagt.
Die erforderliche Größe einer Festplatte eines DVR ergibt sich aus dem Zweck der Videoüberwachung und der Begründung für jede einzelne Kamera.
Bevor Sie anfangen zu projektieren, fragen Sie, was die Aufgabenstellung ist oder das Problem, das gelöst werden soll und wie viel Kosten dieses Problem derzeit verursacht. Dann wissen Sie auch recht schnell wie viel Geld für eine Problembeseitigung investiert werden kann. Wenn keine konkrete Aufgabenstellung oder kein Problem (Zweck*) vorliegt, so besteht in aller Regel auch keinen Bedarf an einer Videoanlage und laut Datenschutz, darf dann auch gem. § 6b BDSG und §4 BDSGneu keine Videoüberwachung installiert werden. (* Der Zweck der Videoanlage und jeder einzelnen Kamera muss laut BDSG in einer Datenschutzdokumentation schriftlich festgehalten werden.) Vor der Installation muss der Betreiber zudem eine Vorabkontrolle durchgeführt haben. (AB 25.5.2018 zusätzlich eine Datenschutzfolgenabschätzung) Ein „Zertifizierte Installateur“ stellt dem Betreiber alle für BDSG und DSGVO erforderliche Unterlagen bereits mit der Auftragsbestätigung zur Verfügung. Es ist zwingend vorgeschrieben, dass die Mitarbeiter über Art und Umfang der Videoüberwachung informiert worden sind und deren Erklärung und Einverständnis auch schriftlich vorliegt. Achtung: Hinweis an den Installateur: Eine Videoüberwachungsanlage darf nicht an den Betreiber übergeben werden, wenn kein Datenschutzbeauftragter bestellt wurde. Für Kameras deren Platzierung nicht datenschutzkonform ist haftet der Planer oder der Installateur ebenso wie der Betreiber der Videoanlage.
Orientierungshilfe Düsseldorfer Kreis
2.3. Durchführung einer zulässigen Videoüberwachung
2.3.1. Speicherdauer
Gemäß § 6b Absatz 5 BDSG sind die Daten der Videoüberwachung unverzüglich zu
löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder
schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen.
Das ist der Fall, wenn eine Gefahr nicht weiter abgewendet werden muss oder
eine Beweissicherung nicht notwendig ist. Ist es beispielsweise an einer Tankstelle zu
keinem Überfall oder Diebstahl gekommen, werden Videoaufzeichnungen für Beweiszwecke
nicht mehr benötigt und sind daher zu löschen.
Ob eine Sicherung des Materials notwendig ist, dürfte grundsätzlich innerhalb von ein bis zwei Tagen geklärt werden können.
Das bedeutet, dass Videoaufzeichnungen grundsätzlich nach 48 Stunden zu löschen sind. In begründeten Einzelfällen kann eine längere Speicherfrist angenommen werden, etwa wenn an Wochenenden und Feiertagen kein Geschäftsbetrieb erfolgt.
Da sich die gesetzliche Speicherdauer am Aufzeichnungszweck orientiert, kann der
Zeitpunkt der Löschpflicht je nach Einzelfall variieren. Dem Löschungsgebot wird am wirksamsten durch eine automatisierte periodische Löschung, z.B. durch Selbstüberschreiben zurückliegender Aufnahmen, entsprochen.
Noch ein Hinweis der Behörden
LDI NRW Achtung Kamera! Videoüberwachung durch private Stellen Stand: 07/09
Unter welchen Voraussetzungen und wie lange dürfen die Videobilder aufgezeichnet werden?
Da die Videoaufzeichnung gegenüber der bloßen Beobachtung den schwerwiegenderen Eingriff darstellt, ist eine Aufzeichnung nur rechtmäßig, wenn der mit der Videoüberwachung verfolgte Zweck eine Aufzeichnung erfordert.
Wenn aufgezeichnet wird, ist das Videomaterial nach der Verwirklichung des Aufzeichnungszwecks ohne schuldhaftes Verzögern (unverzüglich) zu löschen.
Am sinnvollsten erscheint es, das Videomaterial automatisiert, etwa durch
Selbstüberschreiben zurückliegender Aufnahmen, unkenntlich zu machen.
Da sich die vom Gesetz gestattete Speicherdauer am Aufzeichnungszweck
orientiert, ist die mögliche Speicherdauer von Videoaufzeichnungen in verschiedenen Anwendungsbereichen sehr unterschiedlich. So muss etwa eine Videoaufzeichnung am
Geldautomaten erst nach mehreren Wochen gelöscht werden, wenn feststeht, dass gegen die Kontobelastung durch die Geldabhebung kein Widerspruch mehr eingelegt werden kann. Videoaufzeichnungen zum Beweis von Ladendiebstählen werden nicht mehr benötigt, wenn kein Ladendiebstahl festgestellt wurde.
Die zur allgemeinen Kriminalitätsbekämpfung gefertigten Aufzeichnungen eines Geschäftstages sollten möglichst am nächsten Tag überprüft und überspielt
werden, spätestens aber nach Ablauf von zwei Arbeitstagen.
Verzögert sich das Erreichen des Aufnahmezwecks durch Verschulden der verantwortlichen Stelle, etwa weil eine Aufnahme ohne Grund nicht ausgewertet wurde, kann wegen schutzwürdiger Interessen der Betroffenen ebenfalls eine Verpflichtung bestehen,
das Videomaterial zu löschen.