Videoüberwachung im Betrieb: DSGVO-konform handeln nach österreichischem Datenschutzgesetz

In der Praxis erleben wir häufig, dass Betriebe – vor allem kleinere – einfach schnell ein Kamerasystem aus dem Internet bestellen und montieren, ohne zu wissen, welche rechtlichen Pflichten damit verbunden sind.
Oft fehlt schlicht das Bewusstsein, manchmal auch das Wissen – sowohl beim Errichter als auch beim Betreiber.

Wir bekommen bei Projekten rund um die Videoüberwachung regelmäßig Fragen wie:
Wie lange darf ich speichern? Was darf ich überhaupt aufnehmen? Brauche ich ein Hinweisschild?

Daher haben wir diesen Beitrag verfasst – um etwas Licht ins Dunkel zu bringen und praxisnah zu zeigen, wann Videoüberwachung laut DSGVO und österreichischem Datenschutzrecht zulässig sein kann und welche Punkte Betriebe unbedingt beachten sollten.

Hinweis: Dieser Blogbeitrag stellt unsere eigene Sicht und unser Verständnis des Themas dar.
Wir haben sorgfältig recherchiert und die Inhalte möglichst verständlich zusammengefasst.
Er ersetzt keine Rechtsberatung, und wir übernehmen keine Haftung.
Wir empfehlen grundsätzlich, vor der Installation einer Anlage Rücksprache mit einem Datenschutzbeauftragten oder einem spezialisierten Rechtsanwalt zu halten.

Vor dem Inkrafttreten der DSGVO mussten Videoüberwachungsanlagen bei der zuständigen Datenschutzbehörde gemeldet und begründet werden (Datenverarbeitungsregister).
Die Behörde konnte im Rahmen dieser Meldung Hinweise oder Auflagen erteilen.

Seit Mai 2018 hat sich die Situation grundlegend geändert:
Jetzt liegt die Verantwortung vollständig beim Betreiber.
Dieser ist verpflichtet, die Anlage rechtlich, technisch und organisatorisch korrekt zu dokumentieren und zu betreiben – im Sinne der Grundsätze des Art. 5 DSGVO:

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

2. Zweckbindung

3. Datenminimierung

4. Richtigkeit

5. Speicherbegrenzung

6. Integrität und Vertraulichkeit

7. Rechenschaftspflicht

Die Pflicht und Verantwortung liegt somit komplett beim Anlagenbetreiber, sobald personenbezogene Daten verarbeitet werden.

Sobald Personen auf Videoaufnahmen (das Datenschutzgesetz spricht von „Bildaufnahmen“) erkennbar sind, handelt es sich um personenbezogene Daten.
Damit gilt automatisch die Datenschutz-Grundverordnung in Verbindung mit § 12 DSG.

Die DSGVO beschreibt in Art. 6 die Rechtmäßigkeit der Datenverarbeitung.
Im betrieblichen Umfeld kommen im Wesentlichen zwei Varianten infrage:

1) Berechtigtes Interesse

Nach Art. 6 Abs. 1 lit. f DSGVO ist eine Videoüberwachung zulässig,
wenn sie zum Schutz von Personen oder Eigentum erforderlich ist
und kein milderes Mittel denselben Zweck erfüllen würde.

Beispiele:

• Juweliere, Trafiken, Tankstellen mit erhöhtem Risiko für Diebstahl oder Einbruch

• Logistik- und Lagerbereiche

• Banken oder stark frequentierte Eingänge

Dennoch gilt: Verhältnismäßigkeit ist entscheidend.
Wenn eine Alarmanlage oder ein Sicherheitsdienst den Zweck ebenso gut erfüllt,
ist die Kamera nicht gerechtfertigt.

2) Einwilligung der Betroffenen

Eine schriftliche Einwilligung kann ebenfalls eine Grundlage darstellen,
ist aber in der Praxis schwer umzusetzen – etwa bei wechselnden Lieferanten oder Kundschaft.
Daher wird diese Option meist nicht als Standardlösung angewendet.

Es gibt Bereiche, die nicht gefilmt werden dürfen – auch nicht mit Zustimmung:

• Umkleiden, Toiletten, Duschen

• Arbeitsplätze zur Leistungs- oder Verhaltenskontrolle

• Öffentliche Straßen, Gehwege oder Nachbargrundstücke

In der Praxis ist es oft so, dass eine Kamera unabsichtlich Teile des Nachbargrundstücks erfasst.
Viele Hersteller bieten dafür Privacy-Masking-Funktionen, mit denen sich diese Bereiche technisch ausblenden lassen. Bei der Installation der Videoüberwachung ist das Privacy Masking eine kleine, aber sehr wichtige Einstellung.

Quelle: WKO Videoüberwachung

Sobald Mitarbeiter auf Aufnahmen erscheinen, greift das Arbeitsverfassungsgesetz (ArbVG).

• Gibt es einen Betriebsrat, ist eine Betriebsvereinbarung erforderlich (§ 96 Abs. 1 Z 3 ArbVG).

• Gibt es keinen Betriebsrat, ist nach arbeitsrechtlicher Praxis die Zustimmung der betroffenen Mitarbeiter:innen empfehlenswert (nicht ausdrücklich gesetzlich geregelt, aber von AK OÖ und ÖGB so vertreten).
  Quelle: AK OÖ – Überwachung am Arbeitsplatz

Praxistipp:
Beziehen Sie den Betriebsrat frühzeitig in die Planung ein.
Wir haben erlebt, dass Projekte scheiterten, weil der Betriebsrat erst nachträglich informiert wurde.

Ja.
Die DSGVO (Art. 12 und 13) verlangt klare, transparente und leicht zugängliche Informationen.
Die Datenschutzbehörde leitet daraus eine zweistufige Informationspflicht ab (DSB FAQ):

Ebene 1 – Hinweisschild:

• Zweck der Videoüberwachung

• Name/Firma des Verantwortlichen

• Hinweis auf Betroffenenrechte

• Verweis auf die Datenschutzerklärung (z. B. QR-Code oder Website)

Ebene 2 – Detailinformation:

• Kontaktdaten des Verantwortlichen

• Rechtsgrundlage

• Speicherdauer

• Rechte der Betroffenen (Löschung, Auskunft, Widerspruch)

• Empfänger der Daten

  

Bevor Sie eine Videoanlage installieren lassen, sollten Sie folgende Punkte prüfen:

• Welche Bereiche sollen überwacht werden?

• Welcher Zweck liegt vor?

• Wird öffentlicher Raum erfasst?

• Wo müssen Hinweisschilder angebracht werden?

• Ist eine aktuelle Datenschutzerklärung vorhanden (Aushang / Website)?

• Ist die Speicherdauer technisch auf 72 Stunden begrenzt?

• Wer darf auf das Videomaterial zugreifen?

• Wurden Mitarbeiter / Betriebsrat informiert und einbezogen?

• Wer ist intern verantwortlich für die Anlage?

• Ist die Maßnahme verhältnismäßig?