Videoüberwachung in Aufzügen und Gemeinschaftsbereichen eines Gebäudes: Pflichten des Immobilienverwalters

Die Videoüberwachung in Aufzügen, Eingangshallen und Tiefgaragen bedeutet die Verarbeitung von Bilddaten, also von Daten, die sehr häufig die Identifizierung einer konkreten Person ermöglichen. Aus Compliance-Sicht lautet die wichtigste Frage für den Verwalter nicht: „Darf man aufzeichnen?“, sondern: „Was muss getan werden, um Bildmaterial rechtmäßig zu verwalten und sicher weiterzugeben?“ In der Praxis geht es vor allem um die korrekte Bestimmung des Verantwortlichen, die Begrenzung des Zwecks der Videoüberwachung, die Kontrolle des Zugriffs auf Aufnahmen sowie die Anonymisierung visueller Daten, bevor Kopien an andere Personen oder Stellen weitergegeben werden.

In Mehrfamilienhäusern und Bürogebäuden ist das Problem besonders praxisrelevant. Eine Kamera im Aufzug erfasst Gesichter aus nächster Nähe. Eine Kamera in der Tiefgarage nimmt oft auch Kfz-Kennzeichen auf. Eine Kamera in der Lobby zeigt nicht nur Bewohner oder Beschäftigte, sondern auch Besucher, Kuriere und Servicetechniker. Jede Weitergabe solchen Materials erfordert daher eine gesonderte Bewertung von Risiko und Zweck.

Wer ist Verantwortlicher für die Videoüberwachung in Gemeinschaftsbereichen des Gebäudes?

Verantwortlicher ist die Stelle, die über Zwecke und Mittel der Verarbeitung von Bildmaterial entscheidet. In einem Wohngebäude ist dies meist die Wohnungseigentümergemeinschaft, die Genossenschaft oder der Gebäudeeigentümer, der über die Hausverwaltung handelt. In einem Bürogebäude kann der Verantwortliche der Eigentümer des Objekts, die Verwaltungsgesellschaft oder auch der Mieter sein, wenn dieser die Videoüberwachung im gemieteten Bereich eigenständig eingerichtet hat.

Der Immobilienverwalter selbst ist nicht immer Verantwortlicher. Handelt er ausschließlich auf Grundlage eines Vertrags und setzt die Weisungen des Eigentümers oder der Gemeinschaft um, tritt er häufiger als Auftragsverarbeiter auf. Entscheidet er jedoch selbstständig über die Platzierung der Kameras, die Speicherdauer, die Regeln der Offenlegung und die Zwecke des Systems, kann er als Verantwortlicher oder gemeinsam Verantwortlicher eingestuft werden. Diese Bewertung hängt vom konkreten Organisationsmodell ab.

Für die Compliance-Praxis ist es am sichersten, diese Rolle schriftlich festzulegen. Andernfalls ist es schwierig, korrekt auf einen Antrag eines Bewohners auf Zugang zu einer Aufnahme zu reagieren, die Informationspflicht zu erfüllen und die Rechtsgrundlage der Verarbeitung gemäß Art. 5, 6, 12 und 13 DSGVO zu beschreiben [1].

Was der Verantwortliche tun muss, damit die Videoüberwachung rechtmäßig erfolgt

Der in der Praxis am häufigsten verwendete Compliance-Ansatz umfasst fünf Schritte. Erstens muss der Zweck der Videoüberwachung klar beschrieben werden, etwa der Schutz von Personen und Eigentum, die Zugangskontrolle zu Gemeinschaftsbereichen oder die Aufklärung von Vorfällen. Zweitens sollte der Bildausschnitt auf das für diesen Zweck erforderliche Minimum beschränkt werden. Eine Kamera im Aufzug sollte keine Bereiche erfassen, die keinen Bezug zur Sicherheit haben. Drittens ist eine Speicherdauer für die Aufnahmen festzulegen; sie dürfen nicht länger gespeichert werden, als sachlich gerechtfertigt ist. Viertens ist der Kreis der Personen mit Zugang zum Material zu beschränken. Fünftens muss ein Verfahren für die Herausgabe von Kopien der Aufnahmen an Dritte eingeführt werden.

Gerade bei der Weitergabe entsteht am häufigsten die Notwendigkeit, Bildmaterial zu anonymisieren. Soll eine Aufnahme an einen Bewohner, Mieter, Sicherheitsdienst, Versicherer oder eine mit dem Fall befasste Kanzlei gehen, sollte der Verantwortliche in der Regel prüfen, ob auf dem Material Gesichter anderer Personen oder Kennzeichen von Fahrzeugen zu sehen sind, die mit dem Anliegen nichts zu tun haben. Ist das der Fall, ist das Verpixeln von Gesichtern und Kennzeichen vor der Herausgabe einer Kopie die übliche Praxis.

Gesichter und Kfz-Kennzeichen - was vor der Weitergabe von Aufnahmen anonymisiert werden sollte

Das Abbild einer Person auf einer Videoaufnahme ist sehr häufig ein personenbezogenes Datum. Das ergibt sich aus dem weiten Verständnis der Identifizierbarkeit in der DSGVO sowie aus dem gefestigten Ansatz der Aufsichtsbehörden in Bezug auf Kamerabilder [1][2][3]. Daher gilt bei der Übermittlung einer Aufnahme an einen anderen Bewohner oder an eine externe Stelle in Organisationen häufig der Grundsatz, dass alle im Bild sichtbaren Gesichter unbeteiligter Personen anonymisiert werden müssen.

Die Pflicht zur Anonymisierung von Gesichtern bei der Weitergabe von Aufnahmen folgt vor allem aus den Grundsätzen der DSGVO, insbesondere aus der Datenminimierung sowie dem Schutz der Rechte und Freiheiten anderer Personen. Vorschriften des Bürgerlichen Gesetzbuchs und des Urheberrechts zum Schutz des Rechts am eigenen Bild betreffen einen anderen Kontext und bilden keine eigenständige Grundlage für die Regeln der Weitergabe von Videoüberwachungsaufnahmen. Ausnahmen aus dem Urheberrecht, etwa bei Personen des öffentlichen Lebens oder wenn das Bild nur ein Beiwerk des Gesamtgeschehens ist, entscheiden grundsätzlich nicht über die Pflichten des Verantwortlichen bei der Bearbeitung eines Auskunftsverlangens zu einer Aufnahme. Im Kontext der Gebäudeüberwachung werden sie ohnehin nur selten einschlägig sein.

Bei Kfz-Kennzeichen ist die Situation in Polen nicht völlig eindeutig. Einerseits sprechen Leitlinien der Datenschutzbehörden und eine vorsichtige Praxis dafür, Kennzeichen bei der Herausgabe von Aufnahmen an Dritte zu verpixeln. Andererseits gab es in der verwaltungsgerichtlichen Rechtsprechung auch die Auffassung, dass ein Kennzeichen nicht in jedem Fall ein personenbezogenes Datum darstellt. Für den Immobilienverwalter ist die praktische Schlussfolgerung einfach: Bei der Weitergabe einer Aufnahme aus der Garage oder Einfahrt ist es sicherer, das Verpixeln von Kfz-Kennzeichen als Standard anzunehmen.

Wann ein Bewohner eine Videoaufnahme erhalten kann

Ein Bewohner, dessen Bild auf einer Aufnahme festgehalten wurde, kann nach Maßgabe der DSGVO Zugang zu seinen Daten verlangen. Das bedeutet jedoch nicht automatisch die Herausgabe der unbearbeiteten Videodatei. Der Verantwortliche sollte zunächst prüfen, ob der Antragsteller tatsächlich als betroffene Person auftritt, ob sich das Verlangen auf ein konkretes Ereignis bezieht und ob die Erfüllung des Antrags nicht die Rechte und Freiheiten anderer Personen verletzt [1].

In der Praxis wird meist nach folgendem Modell vorgegangen. Zuerst wird der Teil der Aufnahme identifiziert, der das angegebene Ereignis betrifft. Danach wird geprüft, ob im Bild Dritte oder Fahrzeuge anderer Nutzer sichtbar sind. Ist das der Fall, wird eine Kopie vorbereitet, in der Gesichter und Kennzeichen anonymisiert wurden. Erst ein solches Material kann dem Antragsteller übergeben werden, sofern keine anderen rechtlichen oder tatsächlichen Hindernisse bestehen.

Verlangt ein Bewohner die Aufnahme „weil er sehen will, wer durch den Flur gegangen ist“, ist ein solcher Antrag nicht immer berechtigt. Der Verantwortliche sollte Bilder anderer Bewohner ohne klare Grundlage nicht offenlegen. Ähnlich ist es bei Anfragen externer Unternehmen, etwa eines Versicherers, einer Reinigungsfirma oder eines Aufzugswartungsunternehmens. Der Zweck muss konkret sein und der Umfang der Daten begrenzt bleiben.

Wie sich die Anonymisierung visueller Daten praktisch organisieren lässt

In Wohn- und Bürogebäuden werden meist zwei Arten der Anonymisierung benötigt: das Verpixeln von Gesichtern und von Kfz-Kennzeichen. Dieses Vorgehen entspricht dem Grundsatz der Datenminimierung. Der Verantwortliche sollte nicht mehr Bildmaterial weitergeben, als zur Erreichung eines berechtigten Zwecks erforderlich ist [1].

Bei einer größeren Zahl von Anfragen spielt auch die Organisation der Arbeitsabläufe eine Rolle. Eine Software wie Gallio PRO unterstützt die Aufbereitung von Material zur Weitergabe in einem On-Premise-Modell, was für manche Verwalter und Eigentümergemeinschaften bei der Bewertung der Betriebssicherheit relevant ist. Die funktionalen Grenzen müssen jedoch klar benannt werden. Gallio PRO verpixelt automatisch nur Gesichter und Kfz-Kennzeichen. Ganze Körper werden nicht anonymisiert, eine Echtzeit-Anonymisierung oder die Anonymisierung eines Videostreams findet nicht statt. Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Inhalte auf Monitorbildschirmen werden nicht automatisch erkannt. Solche Elemente können im integrierten Editor manuell unkenntlich gemacht werden.

Diese Unterscheidung ist rechtlich und organisatorisch wichtig. Zeigt eine Aufnahme aus der Lobby einen Kurier mit Ausweis, einen Bildschirm am Empfang oder ein in der Hand gehaltenes Dokument, reicht die automatische Erkennung von Gesichtern und Kennzeichen allein nicht aus. Vor der Weitergabe muss das Material angesehen und die Anonymisierung bei Bedarf manuell ergänzt werden.

Ein praktischer Workflow kann wie folgt aussehen:

• Auswahl des Ausschnitts der Aufnahme, der den Vorfall betrifft,
• automatisches Verpixeln von Gesichtern und Kennzeichen,
• Kontrolle des Materials Bild für Bild,
• manuelles Verbergen weiterer im Bild sichtbarer Elemente,
• Export der Kopie zur Herausgabe.

Ein solcher Prozess lässt sich kostenlos testen, indem zunächst mit Arbeitsmaterial geprüft wird, wie sich das Verfahren vor der Einführung im gesamten Immobilienbestand umsetzen lässt.

Weitergabe von Aufnahmen an Polizei, Versicherer und externe Unternehmen

Nicht jeder Empfänger erfordert dieselbe Vorgehensweise. Wird eine Aufnahme auf Grundlage der einschlägigen Vorschriften für Strafverfolgungsbehörden gesichert, kann der Umfang der Anonymisierung gesondert zu bewerten sein. Anders ist die Lage, wenn das Material an einen anderen Bewohner, einen gewerblichen Mieter oder ein privates Unternehmen gehen soll. In diesem Fall geht der typische Compliance-Ansatz davon aus, dass vor der Herausgabe einer Kopie die Daten unbeteiligter Personen aus dem Bild entfernt werden müssen, insbesondere Gesichter und Kfz-Kennzeichen.

In der Praxis ist eine einfache Entscheidungsmatrix sinnvoll.

In komplexeren Umgebungen, etwa bei einem Portfolio mit vielen Gebäuden, einer zentralen Compliance-Abteilung oder dem Bedarf an einer lokalen Implementierung, lohnt es sich, das Team zu kontaktieren, um das Arbeitsmodell, Benutzerrechte und die Regeln für den Betrieb einer On-Premise-Lösung festzulegen.

Warum das Fehlen überflüssiger Logs wichtig ist

Bei Tools zur Anonymisierung zählt nicht nur das Endergebnis, sondern auch die operative Datenspur. Unter dem Gesichtspunkt der Datenminimierung ist es vorteilhaft, wenn das System keine zusätzlichen Datensammlungen erzeugt, die Informationen über die Erkennung von Gesichtern und Kennzeichen enthalten. Nach den Produktinformationen von Gallio PRO speichert die Software keine Logs mit Erkennungsdaten, personenbezogenen Daten oder Daten besonderer Kategorien. Für den Immobilienverwalter ist dies ein wichtiger Bestandteil der Risikobewertung, weil dadurch die Zahl der Stellen begrenzt wird, an denen sekundäre Daten über Bewohner oder Gebäudenutzer entstehen könnten.

Der häufigste Fehler von Verwaltern: die Herausgabe unbearbeiteter Aufnahmen

Das riskanteste Modell ist die Weitergabe einer vollständigen Aufnahme ohne Auswahl und ohne Anonymisierung. Im Aufzug bedeutet das die Offenlegung der Gesichter vieler Personen. In der Garage kann dies zusätzlich die Offenlegung von Kfz-Kennzeichen, Ein- und Ausfahrtszeiten sowie Bewegungsmustern im Objekt bedeuten. Ein solches Material kann über den Zweck des Antrags hinausgehen und die Rechte anderer Personen verletzen.

Deutlich sicherer ist ein Ansatz, der auf drei Fragen beruht. Erstens: Wer verlangt das Material und zu welchem Zweck? Zweitens: Welcher Teil der Aufnahme ist tatsächlich erforderlich? Drittens: Was muss im Bild verborgen werden, bevor eine Kopie herausgegeben wird? Für den Immobilienverwalter ist dies meist der kürzeste Weg zur Antwort auf die Frage: Was muss ich tun, um rechtmäßig zu handeln?

FAQ - Videoüberwachung in Aufzügen und Gemeinschaftsbereichen eines Gebäudes

Darf eine Wohnungseigentümergemeinschaft Kameras im Aufzug installieren?

Grundsätzlich ja, wenn sie einen berechtigten Zweck nachweisen kann, den Umfang der Videoüberwachung auf das notwendige Minimum beschränkt und Regeln für den Zugang zu den Aufnahmen gemäß DSGVO eingeführt hat [1]. Die Bewertung hängt jedoch immer von den Umständen des konkreten Gebäudes ab.

Hat ein Bewohner das Recht, eine Kopie einer Videoaufnahme zu erhalten?

Ein solches Recht kann als Recht der betroffenen Person bestehen, bedeutet aber nicht automatisch einen Anspruch auf die unbearbeitete Datei. Der Verantwortliche sollte in der Regel zunächst die Rechte anderer Personen prüfen und eine Version vorbereiten, in der Gesichter und gegebenenfalls Kfz-Kennzeichen anonymisiert wurden.

Müssen vor der Weitergabe einer Aufnahme die Gesichter anderer Bewohner verpixelt werden?

In der Praxis meist ja. Das Verpixeln der Gesichter unbeteiligter Personen ist eine Standardmaßnahme, um das Risiko einer Verletzung der Rechte und Freiheiten anderer Personen bei der Bearbeitung eines Auskunftsantrags zu begrenzen.

Müssen Kfz-Kennzeichen in der Tiefgarage immer verpixelt werden?

In Polen ist die Frage nicht vollständig eindeutig, doch aus Vorsichtsgründen spricht viel dafür, Kfz-Kennzeichen vor der Weitergabe einer Kopie an Privatpersonen oder externe Unternehmen zu verpixeln.

Anonymisiert Gallio PRO ganze Personen?

Nein. Gallio PRO verpixelt automatisch ausschließlich Gesichter und Kfz-Kennzeichen. Ganze Körper werden nicht anonymisiert, und eine Echtzeit-Anonymisierung erfolgt nicht.

Erkennt Gallio PRO automatisch Ausweise, Tätowierungen und Dokumente im Bild?

Nein. Die Software erkennt Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Inhalte auf Monitorbildschirmen nicht automatisch. Solche Elemente können manuell im Editor verborgen werden.

Ist für die Anonymisierung von Videoüberwachungsaufnahmen eine On-Premise-Software die bessere Wahl?

Für manche Verantwortliche ja, insbesondere wenn das Material Vorfälle aus Wohn- oder Bürogebäuden betrifft und die Organisation den Empfängerkreis begrenzen möchte. Es handelt sich jedoch um eine Entscheidung, die von der Systemarchitektur, den Verfahren und der Risikobewertung abhängt.