Videoüberwachung am Arbeitsplatz gemäß GDPR / RODO / DSGVO

Die sieben Pflichten zur Videoüberwachung am Arbeitsplatz gemäß GDPR

1. Rechtliche Grundlage. Artikel 6 Absatz 1 Buchstabe f) berechtigtes Interesse ist die einzig realistische Option – die Einwilligung scheitert, da die Arbeitnehmer nicht frei ablehnen können, und Artikel 6 Absatz 1 Buchstabe b) (Vertragserfüllung) ist zu eng gefasst. Die Abwägung der berechtigten Interessen muss dokumentiert und jährlich überprüft werden.
2. Datenschutz-Folgenabschätzung (Artikel 35). Die Videoüberwachung am Arbeitsplatz gilt als „systematische Überwachung in großem Umfang“ und löst in allen EU-Mitgliedstaaten eine obligatorische Datenschutz-Folgenabschätzung (DSFA) aus. Die DSFA dokumentiert den Zweck, die Verhältnismäßigkeitsprüfung, die geprüften Alternativen (und deren Ablehnung) sowie die Maßnahmen zur Minimierung der Auswirkungen.
3. Transparenz (Artikel 13–14). Jeder Mitarbeiter muss vor seinem Einsatz darüber informiert werden, was, wo, warum, von wem und wie lange aufgezeichnet wird und wie er seine Rechte ausüben kann. Ein Datenschutzhinweis im Mitarbeiterhandbuch sowie Hinweisschilder am Gebäuderand genügen dieser Anforderung.
4. Zurückbehaltung. Das erforderliche Minimum beträgt in der Regel 7–30 Tage. Die meisten Zahlungsvereinbarungen betrachten 30 Tage als vorläufige Zahlungsfrist; eine längere Frist bedarf einer gesonderten Begründung.
5. Sichtbare Beschilderung. Piktogramm + Name des Verantwortlichen + Kontaktperson + Rechtsgrundlage + Aufbewahrungsfrist + Kontaktperson des Datenschutzbeauftragten. An jedem Eingang und auf jeder Etage in mehrstöckigen Gebäuden anbringen.
6. Auskunftsrecht der betroffenen Person. Jeder Mitarbeiter kann eine Kopie des Videomaterials anfordern, in dem er zu sehen ist. Es gilt eine Frist von 30 Tagen für die Beantwortung der Anfrage.
7. Minimierung. FOV der Kamera muss so klein wie möglich sein, um den Sicherheitszweck zu erfüllen. Kameras, die auf Schreibtische, in ausgewiesene Ruhebereiche oder einen größeren öffentlichen Bereich als für das Sicherheitsziel erforderlich gerichtet sind, erfüllen diese Anforderung standardmäßig nicht.

Länderspezifische Zusatzoptionen

Deutschland (DSGVO + BDSG + BetrVG). Die Mitbestimmung des Betriebsrats gemäß § 87 Abs. 1 Nr. 6 BetrVG ist für jede Form der Mitarbeiterüberwachung, einschließlich Videoüberwachung, zwingend erforderlich. Der Arbeitgeber darf das System ohne Zustimmung des Betriebsrats weder installieren, erweitern noch verändern. Die Landesdatenschutzbehörden (16 Länder) verhängen regelmäßig Bußgelder bei fehlender Konsultation. § 26 BDSG sieht strengere Aufbewahrungsfristen als die allgemeine GDPR vor – die übliche Höchstdauer beträgt 72 Stunden.

Polen ( RODO + Kodeks pracy). Artikel 22² des Arbeitsgesetzbuches erlaubt den Einsatz von Videoüberwachung am Arbeitsplatz, jedoch nur zur Gewährleistung der Sicherheit, zum Schutz von Eigentum, zur Produktionsüberwachung oder zur Wahrung der Vertraulichkeit. Die Installation muss in der Betriebsordnung geregelt und den Beschäftigten mindestens 14 Tage vor der Inbetriebnahme angekündigt werden. Die UODO (Uganda Department of Operating Standards) ist zunehmend aktiv – Bußgelder für unzureichende Beschilderung und unberechtigte Videoaufzeichnungen sind an der Tagesordnung.

Frankreich (CNIL-Leitlinien + Code du travail). Eine Betriebsratssitzung gemäß Artikel L2312-38 ist erforderlich. Die CNIL hat verbindliche Richtlinien veröffentlicht, die die Aufbewahrungsdauer von Aufnahmen auf 30 Tage beschränken, sofern keine spezifischen Vorfälle vorliegen. Kameras dürfen Arbeitsplätze von Mitarbeitern nicht durchgehend filmen und müssen Pausenräume vollständig aussparen. Die Bußgelder der CNIL für Verstöße gegen die Vorschriften zur Videoüberwachung am Arbeitsplatz reichen von 1.000 € bis über 600.000 €.

Italien (Garante + Statuto dei Lavoratori Artikel 4). Eine der strengsten Regelungen. Artikel 4 des Arbeitnehmerstatuts verbietet die Installation von Überwachungsanlagen zur direkten Überwachung von Arbeitnehmern und verlangt eine kollektive Vereinbarung (mit dem Betriebsrat oder, falls keine solche vorliegt, die Genehmigung der regionalen Arbeitsaufsichtsbehörde), bevor ein System eingesetzt werden darf, das beiläufig die Aktivitäten von Arbeitnehmern erfasst.

Vereinigtes Königreich (britische GDPR + Datenschutzgesetz 2018 + Verhaltenskodex des ICO für Beschäftigungspraktiken). Die Konsultation des Betriebsrats wird empfohlen, ist aber nicht verpflichtend. Der Verhaltenskodex für Beschäftigungspraktiken des ICO gilt als maßgebliche Richtlinie und wird von der Datenschutzbehörde häufig zitiert. Die Aufbewahrungsfrist beträgt standardmäßig 30 Tage; eine längere Aufbewahrungsfrist erfordert einen dokumentierten Vorfall.

Häufige Verstöße gegen die Compliance-Richtlinien (und ihre Kosten)

• Kameras in Toiletten, Umkleideräumen oder Ruhezonen – automatische sechsstellige Geldstrafen in der gesamten EU.
• Unbefristete oder länger als 90 Tage andauernde Aufbewahrung ohne dokumentierte Begründung – häufig Geldstrafen im niedrigen fünfstelligen Bereich.
• Keine Beschilderung oder Beschilderung nur in einer Sprache an mehrsprachigen Arbeitsplätzen — typischerweise 5.000 € – 25.000 €.
• Liegt keine Datenschutz-Folgenabschätzung vor – wird zunehmend als erschwerender Umstand angesehen, der die zugrunde liegende Strafe vervielfacht.
• Keine Betriebsratsbefragung in DE / FR / IT – die gesamte Umsetzung kann rückwirkend für ungültig erklärt werden.
• Der Livestream, auf den Manager ohne Zugriffsprotokollierung zugreifen können, verstößt sowohl gegen das Prinzip der Datenminimierung als auch gegen das Prinzip der Rechenschaftspflicht.
• Audioaufzeichnung ohne gesonderte Begründung – Audioaufnahmen von Gesprächen am Arbeitsplatz werden strenger behandelt als Videoaufnahmen.

Eine Checkliste vor dem Einsatz, die standhält

Vor der ersten Kabelverlegung: (1) Erstellung einer Datenschutz-Folgenabschätzung (DSFA) zu Zweck, Verhältnismäßigkeit, Alternativen, Minimierung FOV und Aufbewahrung; (2) Aktualisierung der Datenschutzerklärung und des Mitarbeiterhandbuchs mit den neuen Verarbeitungsrichtlinien; (3) Konsultation des Betriebsrats/der Gewerkschaft, falls zutreffend, und Einholung einer schriftlichen Zustimmung; (4) Erstellung einer FOV mit exakter Abdeckung und Angabe des Verhältnismäßigkeitstests pro Kamera; (5) Anfertigung von Hinweisschildern in allen relevanten Sprachen; (6) Definition von Aufbewahrungsregeln und deren technischer Durchsetzung; (7) Benennung eines Verantwortlichen für die Zugriffsprotokolle; (8) Schulung des Sicherheitsteams zum Workflow für den Personenzugriff.

CCTVplanner erstellt (4) direkt – die Kamerapositionen werden im Grundriss platziert, die FOV fixiert, eine beschriftete PDF mit dem Proportionalitätstest-Hinweis pro Kamera exportiert und dem DPIA-Anhang beigefügt. Der DPA-Prüfer liest dasselbe Dokument, das Sie geprüft haben.