Zwei Kameras am Eingang, eine über der Kasse, der Rekorder im Büro. Dazu ein Schild aus dem Baumarkt mit dem Kamerasymbol und dem Wort „Videoüberwacht". Damit gilt die Sache in vielen Betrieben als erledigt.
Sie ist es nicht. Das Schild ist der letzte Schritt, nicht der erste. Und es heilt nichts: Eine Kamera, die dort nicht hängen dürfte, wird durch ein Hinweisschild nicht zulässig — die Aufsichtsbehörden schreiben diesen Satz ausdrücklich in ihre Orientierungshilfe.
Der Punkt, an dem es in der Praxis scheitert, ist die Frage davor: Warum hängt die Kamera da? Wer darauf nur „zur Sicherheit" antworten kann, hat kein tragfähiges Argument. Und das gilt auch dann, wenn seit Jahren niemand etwas beanstandet hat.
Die Rechtsgrundlage steht nicht dort, wo du sie suchst
Im Bundesdatenschutzgesetz gibt es einen Paragrafen mit der Überschrift „Videoüberwachung öffentlich zugänglicher Räume" — § 4 BDSG. Er liest sich wie gemacht für einen Laden oder eine Werkstatt und wird in Ratgebern entsprechend oft zitiert.
Für private Betriebe gilt er trotzdem nicht. Das Bundesverwaltungsgericht hat 2019 entschieden, dass sich die Zulässigkeit von Videoüberwachungen zu privaten Zwecken „nunmehr nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO" richtet. Die Datenschutzkonferenz — die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder — zieht daraus in ihrer Orientierungshilfe die Konsequenz: Die Aufsichtsbehörden wenden § 4 BDSG bei Videoüberwachungen durch Privatpersonen oder Unternehmen nicht als Rechtsgrundlage an.
Praktisch heißt das: Es gibt keine Vorschrift, die dir sagt, was erlaubt ist. Es gibt eine Abwägung, die du selbst führen und begründen musst.
„Erforderlich" ist ein hoher Maßstab
Das Bundesverwaltungsgericht hat in demselben Urteil zwei Leitsätze formuliert, die den Kern treffen. Erstens: Der Verantwortliche muss plausibel Gründe darlegen, aus denen sich die Erforderlichkeit der Maßnahme ergibt. Zweitens: Zur Verhinderung von Straftaten ist eine Videoüberwachung erforderlich, wenn in Bezug auf die beobachteten Räume „eine erheblich über das allgemeine Lebensrisiko hinausgehende Gefährdungslage besteht".
Entschieden wurde über eine Zahnarztpraxis, deren Kamera den Tresen, den Flur und einen Teil des Wartezimmers erfasste. Sie musste weg beziehungsweise umgerichtet werden.
Dahinter steht immer die Frage nach dem milderen Mittel. Die Aufsichtsbehörden nennen dafür konkrete Alternativen: den Zutritt auf berechtigte Personen beschränken, eine Alarmanlage einsetzen, die Kasse in einen geschützten Bereich verlegen oder das Kassensystem technisch absichern. Geht eines davon, ist die Kamera nicht erforderlich.
Wo Kameras auch mit guter Begründung nicht hindürfen
Manche Bereiche sind der Abwägung entzogen. Die Orientierungshilfe ist dort sehr deutlich:
- Umkleidekabinen, Sanitär-, Pausen-, Sozial- und Aufenthaltsräume. Ein Kameraeinsatz ist dort unzulässig.
- Dauerhafte Arbeitsplätze und Bereiche, in denen sich Beschäftigte über längere Zeit aufhalten, dürfen grundsätzlich nicht gefilmt werden — auch nicht zur Vorbeugung von Diebstählen.
- Küchen in der Gastronomie. Dort dürfen Kameras nicht eingesetzt werden.
- Ess- und Aufenthaltsbereiche in Gaststätten, ebenso Café- und Gastronomieflächen in Bäckereien, Tankstellen oder Hotels. Sitzbereich, Außengastronomie, Theke und Bar zählen dazu.
Umgekehrt gibt es Bereiche, die eher zugänglich sind: Lager- und Tresorräume, wenn dort keine dauerhaften Arbeitsplätze eingerichtet sind und kein milderes Mittel zur Verfügung steht. Eingangsbereiche, Flure und Treppenhäuser außerhalb der Öffnungszeiten, wenn eine Alarmanlage nicht wirksam schützt. Die Kasse während der Öffnungszeiten nur dann, wenn dort tatsächlich Überfälle oder Diebstähle vorgekommen sind und sich diese anders nicht aufklären lassen.
Und nach draußen endet es an der Grundstücksgrenze. Straßen, Gehwege und fremde Parkplätze darf ein privater Betreiber nicht überwachen; das Hausrecht trägt dort nicht mehr. Wird dabei der höchstpersönliche Lebensbereich einer Person verletzt, kann das nach § 201a StGB sogar strafbar sein.
Beschäftigte: Dauerüberwachung ist regelmäßig unzulässig
Der heikelste Teil betrifft die eigenen Leute. Eine dauerhafte Videoüberwachung im Arbeitsverhältnis greift erheblich in die Persönlichkeitsrechte ein und ist nach Auffassung der Aufsichtsbehörden regelmäßig unzulässig. Zur Kontrolle von Arbeitsleistung, Sorgfalt und Effizienz sind Kameras nicht erlaubt.
Auf eine Einwilligung kann man sich hier kaum stützen. § 26 Absatz 2 BDSG verlangt, bei der Beurteilung der Freiwilligkeit die im Beschäftigungsverhältnis bestehende Abhängigkeit zu berücksichtigen — und die Behörden gehen davon aus, dass Beschäftigte in die eigene Überwachung regelmäßig nicht freiwillig einwilligen.
Was trägt, ist eine Betriebsvereinbarung nach § 26 Absatz 4 BDSG in Verbindung mit Artikel 88 DSGVO. Darin sollten Gegenstand, Zweckbindung, Art und Umfang der Daten, Empfänger, Betroffenenrechte, Löschfristen und die technischen Maßnahmen festgelegt sein — und ausdrücklich, dass eine Leistungskontrolle ausgeschlossen ist.
Das Schild ist nur die erste von zwei Stufen
Die Aufsichtsbehörden beschreiben ein zweistufiges Verfahren. Zuerst ein vorgelagertes Hinweisschild auf Augenhöhe, angebracht vor dem Betreten des überwachten Bereichs. Darauf gehören: das Kamerasymbol, Name und Kontaktdaten des Verantwortlichen, die Kontaktdaten des Datenschutzbeauftragten, falls einer benannt ist, Zweck und Rechtsgrundlage in Schlagworten, die Angabe des berechtigten Interesses, gegebenenfalls die Speicherdauer und ein Hinweis darauf, wo die vollständigen Informationen zu finden sind.
Und zweitens eben diese vollständigen Informationen — als Informationsblatt, ausgelegt oder ausgehängt, zusätzlich gern auf der Webseite.
Ein Baumarktschild mit Kamerasymbol erfüllt davon einen einzigen Punkt.
72 Stunden ist die Grenze, ab der es Begründung braucht
Ob Aufnahmen gesichert werden müssen, lässt sich meist in ein bis zwei Arbeitstagen klären. Die Aufsichtsbehörden halten deshalb eine Speicherdauer von 72 Stunden in der Regel für zulässig. Je länger gespeichert wird, desto höher wird der Begründungsaufwand.
Eine verlängerte Frist ist möglich — an mehrtägigen Feiertagen, in Urlaubszeiten, wenn kein Geschäftsbetrieb stattfindet und Schäden nicht bemerkt werden können. Aber sie gilt dann nur für die betroffenen Kameras und nur für diese Zeiträume, nicht als neue Voreinstellung für die ganze Anlage. Mit internen Arbeitsabläufen lässt sich eine längere Frist in der Regel nicht begründen.
Wie sich solche Fristen sauber festhalten lassen, steht im Löschkonzept.
Der Papierkram, an den niemand denkt
Drei Dinge kommen zur Anlage dazu.
Das Verarbeitungsverzeichnis. Videoüberwachung ist in der Regel nach Artikel 30 DSGVO aufzunehmen, und zwar jede Kamera oder vergleichbare Kameragruppe einzeln. Was in so ein Verzeichnis gehört, steht an anderer Stelle.
Die Datenschutz-Folgenabschätzung. Sie ist vorab durchzuführen, wenn ein voraussichtlich hohes Risiko besteht. Bei einer systematischen und umfangreichen Überwachung öffentlich zugänglicher Bereiche oder beim Einsatz biometrischer Verfahren muss davon ausgegangen werden. Eine einzelne Kamera über der Ladentür fällt nicht darunter; eine Anlage, die eine große weiträumige Fläche erfasst, kann es sehr wohl.
Die regelmäßige Prüfung. Die Behörden erwarten, dass der Betreiber periodisch beurteilt, ob Geeignetheit und Erforderlichkeit noch bestehen — und das Ergebnis schriftlich dokumentiert. Fällt der Grund weg, muss die Kamera abgeschaltet werden.
Läuft der Rekorder über einen Cloud-Dienst oder wartet ein Errichter die Anlage per Fernzugriff, kommt außerdem ein Auftragsverarbeitungsvertrag dazu.
Wann eine Attrappe die bessere Wahl ist
Kamera-Attrappen verarbeiten keine personenbezogenen Daten. DSGVO und BDSG werden auf sie nicht angewendet — keine Hinweispflicht, kein Verzeichnis, keine Löschfristen.
Wer die Kamera vor allem zur Abschreckung will und ohnehin nie ins Material sehen würde, fährt damit einfacher. Der Schutz des Betriebs steht auf einem anderen Blatt: Gegen den häufigsten Schaden im Kleinbetrieb hilft keine Kamera, sondern eine funktionierende Sicherung und ein aufgeräumtes Netz.
Was jetzt zu tun ist
- Jede Kamera aufschreiben — was sie erfasst, seit wann, warum.
- Den Erfassungsbereich prüfen. Was über die Grundstücksgrenze, in Pausenräume oder auf dauerhafte Arbeitsplätze reicht, wird umgerichtet, abgedeckt oder ausgeblendet.
- Die Speicherdauer auf 72 Stunden setzen, sofern nicht ein dokumentierter Grund für mehr spricht.
- Die Beschilderung ergänzen und ein vollständiges Informationsblatt auslegen.
- Verzeichnis, gegebenenfalls Folgenabschätzung und — wo es einen Betriebsrat gibt — die Beteiligung nachholen.
Bei der technischen Seite — Erfassungsbereiche, Speicherzeiten, Zugriffe auf den Rekorder, Fernwartung — hilft die IT-Infrastruktur und Security.
Die verbindliche Einordnung gehört nicht hierher: Ob deine konkrete Gefährdungslage die Kamera trägt, wie eine Betriebsvereinbarung zu fassen ist und was im Streitfall vorzulegen wäre, beantwortet eine Anwältin oder ein Anwalt für Datenschutz- und Arbeitsrecht.