Datenschutzverstöße bei einer Videoüberwachung – Wer haftet?
In erster Linie ist natürlich grundsätzlich der für die Verarbeitung Verantwortliche der Ansprechpartner für Betroffene und für die Einhaltung der Datenschutzgesetze zuständig.
Bei der Installation einer Videoüberwachung gibt es jedoch theoretisch zwei Verantwortliche, die gemeinsam den Umfang der Videoüberwachungsanlage festlegen. Der Endkunde kann dies schon mangels Fachkenntnis im technischen Bereich nicht allein projektieren und planen. Somit legen zwei oder mehrere Verantwortliche Art und Umfang einer Videoüberwachung gleichberechtigt und gemeinsam fest (Art. 26 EU-DSGVO). In diesem Fall kann der Betroffene seine Rechte gegenüber jedem für die Verarbeitung Verantwortlichen geltend machen.
Wer haftet bei Datenschutzverstößen?
Die Haftung für Datenschutzverstöße nach Art. 82 DSGVO ändert sich im Vergleich zu unserem bekannten Schadensersatzrecht schon gewaltig. Im Gegensatz zum BDSG, das die Haftung des Einzelhändlers/Auftraggebers vorsieht, finden sich in Artikel 82 DSGVO wesentlich gravierende Haftungsregeln:
„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder moralischer Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den für die Verarbeitung Verantwortlichen oder gegen den Auftragsverarbeiter.“
Deshalb haftet auch der Errichter/Installateur direkt gegenüber dem Geschädigten.
Um dem Geschädigten die Durchsetzung seiner Forderung zu erleichtern, führt die DSGVO darüber hinaus auch noch die gesamtschuldnerische Haftung des Auftraggebers und des Auftragnehmers ein. Der für die Installation der Videoüberwachung Verantwortliche (Auftraggeber/Einzelhändler/Gewerbetreibende) und der Auftragsverarbeiter (Errichter/Installateur) haften gegenüber dem betroffenen Verbraucher gemeinsam.
Das bedeutet, sowohl der Errichter, wie auch der Endkunde haften im Außenverhältnis auf den gesamten Schaden. Allerdings beschränkt sich die Haftung des Errichters auf Verstöße gegen speziell den Auftragsverarbeitern auferlegten Pflichten. Kann er aber nicht nachweisen, dass er seine Pflichten (Verarbeitungsdokumentation, Unterrichtung und Information des Endkunden, etc.) nicht erfüllt hat, dann haftet der Errichter ebenso wie der Endkunde.
Möglichkeiten zur Schuldbefreiung
Beiden, Endkunden und Errichter steht die Möglichkeit der „Schuldbefreiung“ zur Verfügung. Dazu müssen sie allerdings nachweisen, dass sie nicht für den Umstand, durch den ein Schaden aufgetreten ist, verantwortlich sind. Das bedeutet für den Errichter, er muss lückenlos über seine Tätigkeiten Buch führen. Dazu ist natürlich erforderlich, dass er erst mal weiß was er zu tun hat.
Was er zu tun hat steht im „DSGVO-Errichter-Video-Praxisleitfaden“, den er über die Deutsche Datenschutzhilfe beziehen kann, sofern er dort Fördermitglied ist.
Welche besonderen Pflichten hat der Errichter/Installateur?
Der Errichter unterliegt nach der DSGVO mehreren Dokumentationspflichten, um nachzuweisen, dass die von ihm vorgenommene Installation der Videoüberwachung den Vorschriften der Datenschutzgrundverordnung entspricht. Laut Artikel 30 Abs. 2 DSGVO müssen Auftragsverarbeiter ein Verzeichnis (Abs. 2 die Zwecke der Verarbeitung) über ihre Verarbeitungstätigkeiten führen.
Das Verzeichnis, bzw. die aus dem BDSG bekannten Datenschutzdokumentation, war bisher nur für Endkunden/Betreiber einer Videoüberwachung verpflichtend.
Welche Sanktionen und Bußgelder drohen Unternehmen mit Videoüberwachung?
Mit der DSGVO erhöhen sich die Bußgelder eklatant. Der Hamburger Landesbeauftragte für Datenschutz Johanes Caspar spricht von einem Faktor 67. Der Gastwirt, der vor kurzem noch 1.000€ Bußgeld wegen einer falsch platzierten Kamera bezahlt hat, wird in Zukunft 67.000 € Bußgeld bezahlen. Bei Verstößen gegen die Verpflichtungen der Art. 28 ff. DSGVO drohen den für die Verarbeitung Verantwortlichen, also dem Anwender/Endkunden und den Auftragsverarbeitern, den Errichtern/Installateuren nach Art. 83 EU-DSGVO Geldbußen von bis zu 10 Millionen Euro oder 2 % des gesamten weltweit erzielten Jahresumsatzes, je nachdem welcher Betrag höher ist. Insbesondere Errichter sollten deshalb ein besonderes Augenmerk auf eine rechtskonforme Videoüberwachung legen.
Was sollten Errichter beachten?
In der Übergangsphase sollten bestehende Installationen und Verträge zur Videoüber-wachung überprüft werden. Neu abzuschließende Verträge sind so abzufassen, dass sie die Rechtslage nach der DSGVO berücksichtigen. Deshalb sind Grundkenntnisse über Datenschutz für jeden Errichter eklatant wichtig. Im Klartext heißt das, der Installateur oder Errichter sollte den „DSGVO-Video-Praxisleitfaden“ vom EFDAT-Institut erwerben, denn er darf nicht mehr nach Belieben irgendwo eine Kamera installieren, wo der Kunde dies gerne haben will.
Der DSGVO-Video-Praxisleitfaden beinhaltet unter anderem eine Checkliste für den Installateur/Errichter, damit dieser weiß, was er beim Endkunden abfragen muss, bevor er mit der Installation der Video – Geräte beginnen darf.
Bestandteil des DSGVO-Video-Leitfaden sind auch Musterformulare für das komplette Datenschutzmanagement inklusive der eigenen Verabeitungstätigkeit, damit der Errichter auch den Nachweis hat, dass er sich Datenschutzkonform bei der Installation verhalten hat und seiner Informationspflicht hinsichtlich BDSG und DSGVO ausführlich nachgekommen ist.
Die Deutsche Datenschutzhilfe e.V. (D-DSH) berät Errichter und Planer zum Thema „Installation einer Videoüberwachung“ und veranstaltet auch Schulungen.
Alle Gewerbetreibende, die in Ihren Betriebsräumen bereits eine Videoüberwachung installiert haben, können sich auch an das EFDAT-Institut wenden und erhalten den dezidierten „DSGVO-Video-Praxisleitfaden „.
Als Ansprechpartner für Fragen rund um die Videoüberwachung steht Ihnen der externe Datenschutzbeauftragte Walter C. Dieterich zur Verfügung.
