Videoüberwachung nach DSGVO: Hinweisschild, Auskunftsanfrage und das 1,1-Millionen-Bußgeld gegen Volkswagen

TL;DR: Wer in Deutschland Kameras betreibt, braucht ein Hinweisschild vor dem überwachten Bereich und muss Auskunftsanfragen nach Art. 15 DSGVO innerhalb eines Monats beantworten, ohne andere Personen auf der Kopie preiszugeben. Volkswagen zahlte 1,1 Mio. Euro, unter anderem wegen fehlender Kamerahinweise. Dieser Leitfaden richtet sich an Datenschutzbeauftragte, Compliance und IT. Gallio PRO macht Gesichter und Kennzeichen in Aufnahmen automatisch unkenntlich. Ob Ihre Anlage den Anforderungen entspricht, prüfen Sie im CCTV-Compliance-Check : 9 Fragen, Ergebnis sofort, ohne E-Mail.

Drei Pflichten, an denen die meisten Unternehmen scheitern

Bei Videoüberwachung prüfen Aufsichtsbehörden selten die Kamera selbst. Sie prüfen, was davor und danach passiert.

Davor: Wird die betroffene Person informiert, bevor sie den überwachten Bereich betritt?

Danach: Was passiert, wenn jemand seine Aufnahme sehen will?

Dazwischen liegt die Frage, ob Sie Ihre Pflichten nachweisen können. Genau an diesen drei Punkten setzen die meisten Bußgelder an.

Welche Rechtsgrundlage gilt für Unternehmen?

Für Unternehmen und andere nicht öffentliche Stellen ist Art. 6 Abs. 1 lit. f DSGVO maßgeblich, also das berechtigte Interesse. Das Bundesverwaltungsgericht hat mit Urteil vom 27. März 2019 (Az. 6 C 2.18) entschieden, dass § 4 BDSG für die Videoüberwachung durch private Stellen nicht mehr anwendbar ist.

In der Praxis heißt das: Sie müssen Ihr Interesse dokumentiert gegen die Interessen der gefilmten Personen abwägen. Typische Zwecke sind Schutz vor Diebstahl, Vandalismus und Einbruch. Eine Kamera, die „sicherheitshalber“ alles filmt, besteht diese Abwägung selten.

Pflicht 1: Das Hinweisschild

Art. 13 DSGVO verlangt, dass Betroffene zum Zeitpunkt der Erhebung informiert werden. Bei Kameras bedeutet das: Das Schild muss sichtbar sein, bevor die Person in den Erfassungsbereich gelangt. Die Leitlinien 3/2019 des Europäischen Datenschutzausschusses (EDSA) empfehlen dafür ein Modell mit zwei Ebenen.

Erste Ebene, das Hinweisschild selbst:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten, falls benannt
• Zweck der Überwachung und Rechtsgrundlage
• Das berechtigte Interesse, wenn Sie sich auf Art. 6 Abs. 1 lit. f stützen
• Speicherdauer
• Hinweis auf die Rechte der Betroffenen und darauf, wo die vollständigen Informationen zu finden sind

Zweite Ebene: die vollständigen Informationen nach Art. 13 DSGVO, zum Beispiel als Aushang am Empfang, als Seite auf Ihrer Website oder über einen QR-Code auf dem Schild.

Die Datenschutzkonferenz (DSK) hat ein Muster für ein solches vorgelagertes Hinweisschild veröffentlicht. Ein Piktogramm allein reicht nicht.

Pflicht 2: Die Auskunftsanfrage nach Art. 15 DSGVO

Jede gefilmte Person kann Auskunft verlangen und eine Kopie der Daten erhalten, die sie betreffen (Art. 15 Abs. 1 und 3 DSGVO). Die Frist beträgt einen Monat ab Eingang der Anfrage. Bei komplexen Fällen kann sie um zwei weitere Monate verlängert werden, wenn Sie die Person innerhalb des ersten Monats darüber informieren (Art. 12 Abs. 3 DSGVO).

Hier entsteht das eigentliche Problem. Auf fast jeder Aufnahme sind auch andere Menschen zu sehen: Kunden, Mitarbeitende, Passanten, ihre Fahrzeuge.

Art. 15 Abs. 4 DSGVO stellt klar, dass das Recht auf eine Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf. Der EDSA nennt in den Leitlinien 3/2019 ausdrücklich Bildbearbeitung wie Maskieren oder Verpixeln als Weg, Dritte zu schützen.

Sie dürfen die Anfrage also nicht einfach ablehnen, weil Dritte im Bild sind. Sie müssen diese Personen unkenntlich machen und die Kopie dann herausgeben. Wie die Herausgabe im Detail abläuft, beschreibt unser Beitrag zu Art. 15 DSGVO und der Herausgabe von Videoaufzeichnungen .

Pflicht 3: Nachweisen können

Nach Art. 5 Abs. 2 DSGVO müssen Sie die Einhaltung der Grundsätze nachweisen können. Für Videoüberwachung bedeutet das mindestens:

• Dokumentierte Interessenabwägung je Kamera oder Kamerabereich
• Eintrag im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
• Festgelegte Speicherdauer. Die DSK nennt in ihrer Orientierungshilfe 72 Stunden als Richtwert.
• Verträge zur Auftragsverarbeitung mit Dienstleistern, die Zugriff auf Aufnahmen haben (Art. 28 DSGVO)
• Protokoll jeder Herausgabe: wer, wann, welcher Ausschnitt, was unkenntlich gemacht wurde

Der Fall Volkswagen: 1,1 Mio. Euro für fehlende Hinweise

Die Landesbeauftragte für den Datenschutz Niedersachsen verhängte im Juli 2022 ein Bußgeld von 1,1 Mio. Euro gegen die Volkswagen AG. Volkswagen akzeptierte den Bescheid ( Quelle: LTO).

Auslöser war eine Polizeikontrolle in Österreich im Jahr 2019. Ein Testfahrzeug von VW zeichnete mit Kameras den umgebenden Verkehr auf, um Fehler eines Fahrassistenzsystems zu analysieren. Es fehlten die magnetischen Kamerahinweise am Fahrzeug und die Informationen für die gefilmten Verkehrsteilnehmer nach Art. 13 DSGVO. Außerdem gab es keinen Vertrag zur Auftragsverarbeitung mit dem Unternehmen, das die Fahrten durchführte.

Insgesamt stellte die Behörde vier Verstöße fest. Jeder einzelne wurde als gering eingestuft. Zusammen ergaben sie ein siebenstelliges Bußgeld.

Was der Fall zeigt:

• Die Hinweispflicht gilt nicht nur für fest installierte Kameras, sondern auch für mobile Aufnahmen aus Fahrzeugen. Wer Fahrzeugdaten für Assistenzsysteme sammelt, findet dazu mehr auf unserer Seite zur Anonymisierung von ADAS-Datensätzen .
• Jeder Dienstleister, der Aufnahmen verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung. Das betrifft auch Cloud-Dienste, an die Sie Videos zur Bearbeitung hochladen.
• Verstöße gegen Informationspflichten und Betroffenenrechte fallen unter Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

So beantworten Sie eine Auskunftsanfrage zu Videoaufnahmen in 5 Schritten

1. Anfrage erfassen und Frist notieren. Notieren Sie das Eingangsdatum. Die Monatsfrist läuft ab diesem Tag. Prüfen Sie die Identität der anfragenden Person und bitten Sie um Ort, Datum und ungefähre Uhrzeit, damit Sie die richtige Sequenz finden.
2. Sequenz sichern. Exportieren Sie den relevanten Ausschnitt aus dem Videomanagementsystem, bevor die reguläre Löschfrist greift. Halten Sie im Protokoll fest, warum die Aufnahme länger gespeichert wird.
3. Dritte unkenntlich machen. Laden Sie den Ausschnitt in Gallio PRO . Die Software detektiert Gesichter und Kfz-Kennzeichen automatisch und macht sie unkenntlich. Die Gesichtsdetektion identifiziert keine Personen, sie findet nur Bildbereiche mit Gesichtern. Achten Sie darauf, dass die anfragende Person selbst erkennbar bleibt: Unkenntlich gemacht werden nur Dritte.
4. Manuell nachbearbeiten. Namensschilder, Bildschirme, Dokumente oder Logos werden nicht automatisch erkannt. Diese Bereiche markieren Sie im integrierten Editor von Gallio PRO von Hand. Prüfen Sie auch Spiegelungen in Glasflächen und Schaufenstern.
5. Kontrollieren, herausgeben, dokumentieren. Sehen Sie das Ergebnis in voller Länge durch, nicht nur Stichproben. Geben Sie die Kopie heraus und tragen Sie die Herausgabe ins Protokoll ein.

Gallio PRO läuft als Anwendung auf Windows und macOS. Für Enterprise-Umgebungen gibt es eine On-Premise-Kommandozeilenversion für Linux. Die Aufnahmen müssen dafür nicht an einen externen Cloud-Dienst übertragen werden.

Checkliste für Ihre Kameraanlage

Prüfpunkt	Rechtsgrundlage	Erledigt?
Hinweisschild vor dem Erfassungsbereich, mit Verantwortlichem, Zweck und Speicherdauer	Art. 13 DSGVO	☐
Vollständige Informationen als zweite Ebene verfügbar	Art. 13 DSGVO	☐
Interessenabwägung je Kamerabereich dokumentiert	Art. 6 Abs. 1 lit. f DSGVO	☐
Speicherdauer festgelegt und technisch umgesetzt	Art. 5 Abs. 1 lit. e DSGVO	☐
Prozess für Auskunftsanfragen mit Monatsfrist	Art. 12, 15 DSGVO	☐
Werkzeug, um Dritte vor der Herausgabe unkenntlich zu machen	Art. 15 Abs. 4 DSGVO	☐
Verträge zur Auftragsverarbeitung mit allen Dienstleistern	Art. 28 DSGVO	☐
Eintrag im Verzeichnis von Verarbeitungstätigkeiten	Art. 30 DSGVO	☐

Frequently asked questions

Is a CCTV sign mandatory in Germany?

Yes. Art. 13 GDPR requires that people are informed when their data is collected. For cameras, this is done with a sign that is visible before the monitored area. A pictogram without further details is not enough.

What must a CCTV sign in Germany contain?

At minimum: the controller and contact details, the data protection officer if appointed, purpose and legal basis, the legitimate interest, the retention period and a reference to where the full information can be found.

Does Section 4 BDSG apply to video surveillance by companies?

No. Following the Federal Administrative Court ruling of 27 March 2019 (6 C 2.18), video surveillance by private bodies in Germany is governed by Art. 6(1)(f) GDPR.

Do I have to hand over a copy of CCTV footage?

Yes, if the requester appears in the footage and the footage still exists. The deadline is one month and can be extended by two months in justified cases.

Can the copy show other people?

No. Under Art. 15(4) GDPR, the copy must not adversely affect the rights of others. Faces and license plates of third parties must be blurred before disclosure.

How long can CCTV footage be kept in Germany?

Only as long as necessary for the purpose. The DSK names 72 hours as a reference value. Longer periods need a justification, for example an ongoing incident investigation.

How high can a CCTV fine be under the GDPR?

For breaches of information duties and data subject rights, up to €20 million or 4% of worldwide annual turnover (Art. 83(5) GDPR). Volkswagen paid €1.1 million in 2022 for four violations rated as minor.

Conclusion

A warning sign costs a few euros. An access request that goes unanswered, or is answered with other people visible, can trigger proceedings before a German supervisory authority. The Volkswagen case shows that formal gaps become expensive once they add up.

Check your setup with the CCTV compliance check : nine questions, your result on the page, no email needed.Häufige Fragen

Ist ein Hinweisschild bei Videoüberwachung nach DSGVO Pflicht?

Ja. Art. 13 DSGVO verlangt, dass Betroffene bei der Erhebung informiert werden. Bei Kameras geschieht das über ein Hinweisschild, das vor dem überwachten Bereich sichtbar ist. Ein Piktogramm ohne weitere Angaben genügt nicht.

Was muss auf einem Hinweisschild zur Videoüberwachung stehen?

Mindestens der Verantwortliche mit Kontaktdaten, gegebenenfalls der Datenschutzbeauftragte, Zweck und Rechtsgrundlage, das berechtigte Interesse, die Speicherdauer und ein Hinweis, wo die vollständigen Informationen zu finden sind.

Gilt § 4 BDSG für die Videoüberwachung durch Unternehmen?

Nein. Nach dem Urteil des Bundesverwaltungsgerichts vom 27. März 2019 (6 C 2.18) richtet sich die Videoüberwachung durch private Stellen nach Art. 6 Abs. 1 lit. f DSGVO.

Muss ich eine Kopie der Videoaufnahme herausgeben?

Ja, wenn die anfragende Person auf der Aufnahme zu sehen ist und die Aufnahme noch existiert. Die Frist beträgt einen Monat und kann in begründeten Fällen um zwei Monate verlängert werden.

Darf die Kopie andere Personen zeigen?

Nein. Nach Art. 15 Abs. 4 DSGVO darf die Kopie die Rechte anderer nicht beeinträchtigen. Gesichter und Kennzeichen Dritter müssen vor der Herausgabe unkenntlich gemacht werden.

Wie lange dürfen Videoaufnahmen gespeichert werden?

So lange, wie es für den Zweck erforderlich ist. Die DSK nennt 72 Stunden als Richtwert. Längere Fristen müssen Sie begründen, etwa wenn ein Vorfall untersucht wird.

Wie hoch kann ein Bußgeld bei Videoüberwachung sein?

Bei Verstößen gegen Informationspflichten und Betroffenenrechte bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Volkswagen zahlte 2022 1,1 Mio. Euro für vier als gering eingestufte Verstöße.

Fazit

Ein Hinweisschild kostet wenige Euro. Eine unbeantwortete oder falsch beantwortete Auskunftsanfrage kann ein Verfahren bei der Aufsichtsbehörde auslösen. Der Fall Volkswagen zeigt, dass schon formale Lücken in der Summe teuer werden.

Prüfen Sie Ihre Anlage im CCTV-Compliance-Check : 9 Fragen, Ergebnis sofort, ohne E-Mail.