TL;DR: Im Vereinigten Königreich scheitern Betreiber selten am Schild, sondern an der Anfrage nach Aufnahmen. Nach dem UK GDPR gilt eine Frist von einem Monat, andere Personen im Bild sind zu schützen und die Aufnahme darf nicht verloren gehen. Die britische Datenschutzbehörde (ICO) rügte die Polizei von Greater Manchester, nachdem zwei Stunden angefragter Aufnahmen fehlten. Für Datenschutz, Compliance und IT. Gallio PRO macht Gesichter und Kennzeichen automatisch unkenntlich. Prüfen Sie Ihre Anlage im CCTV-Compliance-Check : neun Fragen, Ihr Ergebnis direkt auf der Seite, ohne E-Mail-Adresse.
Dieser Beitrag beschreibt die Lage im Vereinigten Königreich. Er richtet sich an Unternehmen aus Deutschland, Österreich und der Schweiz, die dort Filialen, Lager, Büros oder andere Standorte betreiben, und an deren Datenschutzteams.
Seit dem Brexit gilt im Vereinigten Königreich eine eigene Fassung der DSGVO (UK GDPR) zusammen mit dem Datenschutzgesetz von 2018 (Data Protection Act 2018, DPA 2018). Aufsichtsbehörde ist das Information Commissioner's Office (ICO). Die englischen Begriffe stehen in Klammern, damit Sie sie in lokalen Dokumenten und bei Beratern wiederfinden.
Die meisten Organisationen hängen ein Schild auf, legen eine Speicherdauer fest und betrachten das Thema als erledigt.
Die Schwachstelle zeigt sich später, wenn ein Kunde, ein Beschäftigter oder eine festgehaltene Person eine Kopie der Aufnahmen verlangt. Dann müssen drei Dinge gleichzeitig funktionieren:
Den allgemeinen Rechtsrahmen, einschließlich Rechtsgrundlage und Bußgeldhöhe, beschreibt unser Beitrag zu den Regeln und Vorschriften für Videoüberwachung in Großbritannien . Dieser Beitrag konzentriert sich auf das, was nach einer Anfrage passiert.
Die Transparenzregeln des UK GDPR (Art. 13) verlangen, dass Betroffene bei der Erhebung über die Verarbeitung informiert werden. Bei Kameras bedeutet das ein Schild, das sichtbar ist, bevor jemand den Erfassungsbereich betritt.
Ein brauchbares Schild sollte mindestens angeben:
Ein Piktogramm allein sagt, dass gefilmt wird, aber nicht, an wen man sich wendet. Diese Lücke führt später zu Verzögerungen und Beschwerden. Polizei und Kommunen müssen zudem den Verhaltenskodex für Überwachungskameras (Surveillance Camera Code of Practice) nach dem Protection of Freedoms Act 2012 berücksichtigen.
Jede Person auf einer Aufnahme kann nach Art. 15 UK GDPR eine Kopie verlangen. Die Leitlinien des ICO zur Videoüberwachung sind eindeutig: Die Antwort muss zügig und innerhalb eines Monats nach Eingang erfolgen, bei komplexen oder mehreren Anfragen verlängerbar um zwei Monate.
Das ICO weist auf ein praktisches Risiko hin. Die Speicherdauer kann dazu führen, dass Aufnahmen vor der Antwort gelöscht werden. Gute Praxis ist es, Aufnahmen, die von einer Anfrage erfasst sind, gegen Überschreiben zu sichern.
Fast jede Aufnahme zeigt andere Personen als die anfragende. Nach dem DPA 2018 (Anhang 2, Teil 3, Absatz 16) müssen Informationen über andere Personen nicht offengelegt werden, es sei denn, sie willigen ein oder die Offenlegung ohne Einwilligung ist angemessen.
In der Praxis ist die Einwilligung von Passanten selten realistisch. Die ICO-Leitlinien nennen die Alternative: Verpixeln, Maskieren oder vollständiges Abdecken von Bildbereichen. Das ICO empfiehlt außerdem, Metadaten aus den Dateien zu entfernen, wo nötig, und Beschäftigte in Schwärzungssoftware zu schulen, damit sie die gesetzlichen Fristen einhalten können.
Eine Anfrage der Polizei ist keine Auskunftsanfrage. Laut ICO ist die Weitergabe an Strafverfolgungsbehörden angemessen, wenn das System der Verhütung und Aufklärung von Straftaten dient. Sie ist grundsätzlich freiwillig, sofern kein Gerichtsbeschluss vorliegt. Dokumentieren Sie, was Sie wem und warum übergeben haben.
Interne Anfragen von Beschäftigten und Auftragnehmern behandelt unser Beitrag zum Umgang mit Anfragen nach CCTV-Aufnahmen von Mitarbeitern und Auftragnehmern .
Am 29. Mai 2025 erteilte das ICO der Greater Manchester Police (GMP) eine förmliche Rüge (reprimand) wegen ihres Umgangs mit Videoaufnahmen ( Quelle: ICO, auf Englisch).
Was laut ICO geschah:
Das ICO stellte fest, dass die GMP der anfragenden Person ihre Daten nicht unverzüglich und nicht innerhalb eines Monats bereitstellte und keine angemessenen Maßnahmen gegen den versehentlichen Verlust von Videodaten getroffen hatte. Beschäftigte wussten nicht, wer für die Qualitätsprüfung gespeicherter Aufnahmen zuständig war, und keine Richtlinie regelte, wann und von wem diese Prüfungen durchzuführen waren.
Die Leiterin der Ermittlungen beim ICO erklärte, die GMP habe „gravierende Mängel im Umgang mit Videoaufnahmen gezeigt“. Die GMP führte danach klarere Speicherregeln und einen streng kontrollierten Prozess ein, bei dem nur befugtes Personal auf den Videoserver zugreifen kann.
Was der Fall zeigt:
Gegenüber öffentlichen Stellen belässt es das ICO häufig bei einer Rüge statt eines Bußgelds. Private Betreiber unterliegen dem vollen Bußgeldrahmen: bis zu 17,5 Mio. Pfund oder 4 % des weltweiten Jahresumsatzes bei Verstößen gegen Grundsätze und Betroffenenrechte, bis zu 8,7 Mio. Pfund oder 2 % bei anderen Verstößen. Das ICO weist außerdem darauf hin, dass seine Leitlinien zur Videoüberwachung nach dem Data (Use and Access) Act 2025 überarbeitet werden.
Gallio PRO läuft als Anwendung auf Windows und macOS. Für Enterprise-Umgebungen gibt es eine On-Premise-Kommandozeilenversion für Linux. Die Aufnahmen müssen nicht an einen externen Cloud-Dienst übertragen werden.
Prüfpunkt | Rechtsgrundlage oder Quelle | Erledigt? |
Schild mit Betreiber, Zweck und Kontaktweg für Anfragen | UK GDPR Art. 13 | ☐ |
Vollständige Datenschutzinformationen online oder vor Ort | UK GDPR Art. 13 | ☐ |
Dokumentierte Speicherdauer, nach Zweck festgelegt | UK GDPR Art. 5 Abs. 1 lit. e | ☐ |
Prozess, um Aufnahmen bei Eingang einer Anfrage sofort zu sichern | ICO-Leitlinien zur Videoüberwachung | ☐ |
Benannte Rollen für Export und Qualitätsprüfung | UK GDPR Art. 5 Abs. 1 lit. f und Art. 32 | ☐ |
Zugriff auf den Videoserver nur für befugtes Personal | UK GDPR Art. 32 | ☐ |
Prozess für Auskunftsanfragen mit Monatsfrist | UK GDPR Art. 12 und 15 | ☐ |
Schwärzungswerkzeug und geschultes Personal für Dritte | DPA 2018 Anh. 2 Teil 3 Abs. 16 | ☐ |
Protokoll jeder Herausgabe, auch an die Polizei | UK GDPR Art. 5 Abs. 2 | ☐ |
Ja. Jede Person auf einer Aufnahme kann nach Art. 15 UK GDPR Auskunft verlangen. Der Betreiber muss innerhalb eines Monats antworten, bei komplexen Anfragen verlängerbar um zwei Monate.
Das Schild sollte vor dem Erfassungsbereich sichtbar sein und angeben, wer die Kameras betreibt, wozu und wie man ihn erreicht, mit Verweis auf vollständige Datenschutzinformationen. Ein Piktogramm allein erklärt nicht, wie man seine Rechte ausübt.
Daten anderer Personen müssen nicht offengelegt werden, es sei denn, sie willigen ein oder die Offenlegung ohne Einwilligung ist angemessen (DPA 2018, Anhang 2, Teil 3, Absatz 16). Das ICO nennt Verpixeln, Maskieren und vollständiges Abdecken.
Es gibt keine feste gesetzliche Frist. Aufnahmen dürfen nur so lange gespeichert werden, wie der Zweck es erfordert. Die Frist ist zu dokumentieren, und Aufnahmen zu einer laufenden Anfrage sind zu sichern.
Nein. Die Weitergabe an die Polizei folgt einem anderen Weg. Das ICO hält sie für angemessen, wenn das System der Verhütung und Aufklärung von Straftaten dient, und sie ist grundsätzlich freiwillig, sofern kein Gerichtsbeschluss vorliegt.
Das kann zugleich eine verpasste Frist und ein Sicherheitsmangel sein. Das ICO rügte 2025 die Polizei von Greater Manchester, nachdem zwei Stunden angefragter Aufnahmen verloren gegangen waren.
Bis zu 17,5 Mio. Pfund oder 4 % des weltweiten Jahresumsatzes bei Verstößen gegen Grundsätze und Betroffenenrechte, bis zu 8,7 Mio. Pfund oder 2 % bei anderen Verstößen. Öffentliche Stellen erhalten häufiger Rügen.
Das Schild eröffnet das Gespräch, doch die eigentliche Probe für Betreiber im UK ist die Anfrage nach Aufnahmen. Sichern Sie den Ausschnitt, schützen Sie Dritte und antworten Sie innerhalb eines Monats. Der Fall der Polizei von Greater Manchester zeigt, wie schnell unklare Zuständigkeiten zu einer förmlichen Feststellung des ICO führen.
Auch Standorte in Deutschland? Die nationalen Regeln unterscheiden sich von Land zu Land, auch dort, wo die DSGVO gilt.
Prüfen Sie Ihre Anlage im CCTV-Compliance-Check : neun Fragen, Ihr Ergebnis direkt auf der Seite, ohne E-Mail-Adresse.
