Rechtsfragen der Video-Überwachungstechnik in Unternehmen Teil 2

Zur Wahrnehmung des Hausrechts, zum Schutz von Rechtsgütern ­sowie zu Zwecken der Beweissicherung setzen Unternehmen Videoüberwachung ein. Dabei werden jedoch personenbezogene, bildhafte Aufenthalts- und Bewegungsdaten erzeugt, weil die abgebildeten ­Personen in der Regel bestimmbar sind. Dies wirft Fragen des Datenschutzes auf – auch hinsichtlich der Rechte von Mitarbeitern, die sich einer Videoüberwachung im Unternehmen nicht entziehen können. Der Berliner Rechtsanwalt Ulrich Dieckert stellt die wichtigsten Rechtsgrundlagen vor, die Unternehmen beim Einsatz von Videoüberwachungstechnik beachten müssen. Der erste Teil seines Beitrags erschien in GIT SICHERHEIT 9/18 – es folgt der abschließende zweite Teil. Darin geht es u.a. um die Datenschutz-Folgeabschätzung, mögliche Sanktionen sowie über die Rechtslage im Arbeitsumfeld.

Bevor eine Videoüberwachungsanlage installiert und betrieben wird, hat das Unternehmen i.d.R. im Rahmen einer „Datenschutz-Folgenabschätzung“ gemäß Artikel 35 DS-GVO zu prüfen, welche Risiken für die Rechte und Freiheiten natürlicher Personen damit verbunden sind und welche technischen organisatorischen Maßnahmen (sog. TOMs = technical and organisational measures) zu ergreifen sind, um den Schutz der erhobenen Bilddaten sicherzustellen. Dies ergibt sich aus Artikel 35 Abs. 3 c DS-GVO, wonach bei einer systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche immer eine Datenschutz-Folgenabschätzung durchzuführen ist. Welche Maßnahmen zum Zwecke der Datensicherheit erhoben werden sollten, ergibt aus Artikel 32 DS-GVO (Datensicherheit) und Artikel 25 DS-GVO (Datensparsamkeit).

Darüber hinaus sind sämtliche Verarbeitungstätigkeiten, insbesondere solche, die einer Datenschutz-Folgenabschätzung unterliegen, sowie die zum Schutz ergriffenen Maßnahmen in einem Verarbeitungsverzeichnis gemäß Artikel 30 DS-GVO aufzuführen, welches dem Unternehmen als Beleg dafür dient, dass die datenschutzrechtlichen Pflichten eingehalten werden. Ein solches Verzeichnis sollte vom betrieblichen Datenschutzbeauftragten erstellt werden, welcher gemäß § 38 Abs. 1 BDSG n.F. neu vom Unternehmen unabhängig von der Zahl seiner Mitarbeiter zu bestellen ist, wenn Verarbeitungen stattfinden, die einer Datenschutz-Folgenabschätzung unterliegen, was bei der systematischen und umfangreichen Durchführung von Videoüberwachungsmaßnahmen in öffentlich-zugänglichen Bereichen grundsätzlich der Fall ist. Das Unternehmen muss darüber hinaus gemäß Artikel 37 Abs. 7 DS-GVO die Kontaktdaten des Datenschutzbeauftragten veröffentlichen und diese Daten auch der Aufsichtsbehörde mitteilen.

Sanktionen
Die Verletzung dieser sowie weiterer datenschutzrechtlicher Pflichten kann von den zuständigen Aufsichtsbehörden (das sind die Landesdatenschutzbeauftragten) künftig mit hohen Bußgeldern belegt werden. So kann z.B. bei der Nichtdurchführung einer Datenschutz-Folgenabschätzung oder bei einem fehlenden Verarbeitungsverzeichnis eine Geldbuße von bis zu 10 Mio. Euro oder im Falle eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden.

Bei Verstößen gegen die Grundsätze der Datenverarbeitung oder die Zulässigkeitsvoraussetzungen aus Artikel 5 und Artikel 6 DS-GVO können sogar Geldbußen von bis zu 20 Mio. Euro und im Falle eines Unternehmens von bis zu 4% des gesamten weltweit erzielten Jahresumsatzes verhängt werden. Darüber hinaus können die Betroffenen künftig Schadensersatzansprüche gegen den Verantwortlichen geltend machen, wenn sie aufgrund eines Verstoßes gegen die DS-GVO einen materiellen oder immateriellen Schaden erlitten haben (vgl. Artikel 32 DS-GVO). Auch Verbandsklagen sind künftig möglich (vgl. Artikel 80 DS-GVO), sodass derartige Ansprüche auch gebündelt durch Interessenverbände geltend gemacht werden können.

Auftragsverarbeitung
Solche Sanktionen können nicht nur den Betreiber einer Videoüberwachungsmaßnahme als originär Verantwortlichen treffen, sondern auch alle Dienstleister, die den Betreiber dabei unterstützen und in diesem Zusammenhang an der Verarbeitung der durch die Überwachung erhobenen Bilddaten mitwirken (sog. Auftragsverarbeiter i.S.v. Art. 28 DS-GVO). Das betrifft in erster Linie Leitstellen, auf die Überwachungsbilder aufgeschaltet werden. Aber auch die regelmäßige Wartung und Parametrierung einer Videoanlage ist nach Auffassung der Datenschutzbehörden Auftragsverarbeitung, wenn die Dienstleister dabei mit personenbezogenen Bilddaten in Berührung kommen. In solchen Fällen hat der Verantwortliche den Auftragsverarbeiter vertraglich zu verpflichten, bei der Verarbeitung der personenbezogenen Daten die gleiche datenschutzrechtliche Sorgfalt anzuwenden, die dem Verantwortlichen selbst obliegt. Einzelheiten hierzu sind in Art. 28 DS-GVO geregelt, der den Parteien eines solchen Vertragsverhältnisses umfangreiche Auflagen macht.

Videoüberwachung im Arbeitsumfeld
Da sich die Beschäftigten einer Videoüberwachung im Arbeitsumfeld kaum entziehen können, sind an die Zulässigkeit besonders hohe Anforderungen zu stellen. Soweit sich die Arbeitnehmer mit derartigen Maßnahmen nicht ausdrücklich einverstanden erklärt haben oder eine legitimierende Kollektivvereinbarung vorliegt, muss sich die Zulässigkeit derartiger Maßnahmen an den hierzu in der DS-GVO und dem BDSG n.F. aufgestellten Grundsätzen messen lassen.

Einwilligung
Erfolgt die Videoüberwachung von Beschäftigten auf der Grundlage einer Einwilligung, so sind gemäß § 26 Abs. 2 BDSG n.F. für die Beurteilung der Freiwilligkeit insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Personen sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen.

Freiwilligkeit kann danach vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen (z.B. bei konkreten Bedrohungslagen). Die Einwilligung bedarf in der Regel der Schriftform, wobei der Arbeitgeber die beschäftigte Person zuvor entsprechend den Vorgaben des Artikel 7 Abs. 3 DS-GVO über die Zwecke der Datenverarbeitung und über ihr Widerrufsrecht aufzuklären hat. Denn eine solche Einwilligung kann jederzeit widerrufen werden, allerdings nur mit Wirkung für die Zukunft (vgl. Art. 7 Abs. 3 DS-GVO).

Datenschutzrechtliche Erlaubnis­tatbestände
Fehlt es an einer Einwilligung, so ist die Datenerhebung im Beschäftigungsverhältnis gemäß § 26 Abs. 1 Satz 1 BDSG n.F. nur dann zulässig, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder für dessen Durchführung oder für dessen Beendigung erforderlich ist. Diese Regelung entspricht fast wortgleich dem bisherigen § 32 Abs. 1 BDSG und lässt viel Raum für die Anwendung im Einzelfall. Nach bisheriger Auslegung dürften Videoüberwachungs­lösungen zulässig sein, die der Zutrittskontrolle, der Sicherheit der Beschäftigten und den schützenswerten Interessen des Verantwortlichen dienen, wenn den Arbeitnehmern ausreichende Rückzugsmöglichkeiten eingeräumt werden und die Maßnahme auch sonst verhältnismäßig ist. Nach ständiger Rechtsprechung des Bundesarbeitsgerichtes darf die Überwachung beispielsweise nicht anlasslos und flächendeckend erfolgen, weil damit ein unzumutbarer Anpassungs- und Überwachungsdruck ausgeübt wird. Verstöße hiergegen können Schadensersatz- und Unterlassungsansprüche der Arbeitnehmer auslösen (s.o.).

Nur ausnahmsweise ist auch die verdeckte Überwachung eines Mitarbeiters erlaubt, wenn die strengen Voraussetzungen des § 26 Abs. 1 Satz BDSG n.F. eingehalten werden. Danach müssen zu dokumentierende tatsächliche Anhaltspunkte den konkreten Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat. Des Weiteren dürfen Art und Ausmaß der Überwachungsmaßnahme im Hinblick auf den Anlass nicht unverhältnismäßig sein und es dürfen die schutzwürdigen Interessen der betroffenen Person nicht überwiegen. Diese Regelung entspricht der ständigen Rechtsprechung des Bundesarbeitsgerichts, welches dem Arbeitgeber im Falle einer „Notwehrlage“ auch die verdeckte Datenerhebung gestattet. Nach einer jüngsten Entscheidung des BAG soll dabei für die Ergreifung der Maßnahmen ein einfacher Verdacht im Sinne eines Anfangsverdachtes ausreichen, der über vage Anhaltspunkte und bloßen Mutmaßungen hinaus­geht.

Auch soll die Verwertung eines „Zufallsfunds“ aus einer gerechtfertigten verdeckten Videoüberwachung möglich sein, wenn statt der verdächtigten Person ein anderer Mitarbeiter auf frischer Tat ertappt wird.

Kollektivvereinbarungen
Gemäß § 26 Abs. 6 BDSG n.F. bleiben die Beteiligungsrechte der
Interessenvertretung der Beschäftigten durch die datenschutzrechtlichen Regelungen unberührt. Damit ist gemeint, dass neben dem Datenschutz auch das kollektive Arbeitsrecht zu beachten ist, wonach die Erfassung personenbezogener Daten von Mitarbeitern der Mitbestimmung unterliegt. Dies erstreckt sich gemäß § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz auf die Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen.

Diese Mitbestimmungsrechte sollen aber nicht der Verhinderung von Videoüberwachungsmaßnahmen dienen, sondern nur der angemessenen, die Interessen beider Seiten berücksichtigenden Ausgestaltung der Maßnahmen. Dies erfolgt in der Regel im Wege von Betriebsvereinbarungen, die von der Unternehmensleitung mit den Vertretern der Beschäftigten (Betriebsrat) ausgehandelt und sodann schriftlich niedergelegt werden. Dabei sollte mit dem Betriebsrat über folgende Punkte eine Einigung getroffen werden:

• Zweckbestimmung der Kon­trollmaßnahme
• Art und Weise des Systems, technische Parameter
• Zugangs- und Zugriffsberechtigungen
• Auswertung der Daten
• (z. B. Vieraugenprinzip)
• Speicherung, Löschung
• Nutzung und Weitergabe von Daten
• Regelmäßige Überprüfung der Erforderlichkeit der Maßnahmen

Haben die Parteien eine solche Betriebsvereinbarung getroffen, so sind die danach ausgeführten Videoüberwachungsmaßnahmen auch in datenschutzrechtlicher Hinsicht zulässig. Dies ergibt sich aus § 26 Abs. 4 BDSG n.F., wonach die Verarbeitung personenbezogener Daten von Beschäftigten (einschließlich besonderer Kategorien personenbezogener Daten) für Zwecke des Beschäftigungsverhältnisses auf der Grundlage von Kollektivvereinbarungen zulässig ist. Verfügt das Unternehmen jedoch über keinen Betriebsrat (z.B. weil es nicht die dafür erforderliche Betriebsgröße aufweist), so sollte der Arbeitgeber frühzeitig – d. h. zu Planungsbeginn – die betroffenen Mitarbeiter über die Einführung und Anwendung der Videoüberwachungsanlage aufklären und deutlich machen, dass die Überwachung nicht der Verhaltens- und/oder Leistungskontrolle dient. Einwilligungserklärungen der Mitarbeiter sind nur in Ausnahmefällen einzuholen, weil der Arbeitgeber beim Widerruf einer Einwilligung in Rechtfertigungsnot kommen könnte. Vielmehr sollte der Arbeitgeber die Gründe für die vorgenommene Überwachung, die vorgenommene Interessenabwägung und die Maßnahmen zum Schutze der erhobenen Daten unter Berufung auf die einschlägigen Erlaubnistatbestände in seinem Verfahrensverzeichnis beweiskräftig dokumentieren und sich auf diese Weise gegen arbeitsrechtliche Einsprüche und aufsichtsbehördliche Verfahren wappnen.