Die visuelle Datenanonymisierung in Bürogebäuden und Coworking-Spaces bedeutet, Fotos und Videoaufnahmen so aufzubereiten, dass Personen oder Fahrzeuge vor der Weitergabe oder Veröffentlichung nicht in einem Umfang identifizierbar sind, der für den Verwendungszweck des Materials nicht erforderlich ist. In der Praxis geht es vor allem um Face Blurring und License Plate Blurring, also um das Unkenntlichmachen von Gesichtern und Kfz-Kennzeichen. In diesem Bereich ist nicht nur die Frage entscheidend, ob Videoüberwachung zulässig ist, sondern auch, wer für eine konkrete Aufnahme verantwortlich ist und zu welchem Zeitpunkt eine Anonymisierung erfolgen muss.
In Bürogebäuden und Coworking-Spaces agieren häufig parallel mindestens zwei Parteien: der Eigentümer oder Gebäudemanager sowie der Mieter. Beide können eigenständige Verantwortliche sein, wenn sie die Zwecke und Mittel der Nutzung von Fotos oder Aufnahmen selbst festlegen. Genau diese Split Governance entscheidet in der Praxis oft darüber, wer das Material vor der Weitergabe an die andere Seite anonymisieren muss.
Wer ist Verantwortlicher für Aufnahmen im Bürogebäude und im Coworking-Space?
Das häufigste Modell sieht so aus: Der Eigentümer oder Gebäudemanager betreibt Kameras in Gemeinschaftsbereichen - an Eingängen, in der Lobby, in Aufzügen, Garagen oder an der Rezeption. Der Mieter kontrolliert seine eigenen Kameras im angemieteten Büro, im Eingangsbereich der Einheit oder in einem Veranstaltungsbereich, den er für seine Geschäftstätigkeit nutzt. Wenn jede dieser Parteien den Zweck der Videoüberwachung, die Speicherdauer und die Regeln für die Weitergabe eigenständig festlegt, handelt sie grundsätzlich als eigener Verantwortlicher.
Diese Unterscheidung hat praktische Folgen. Der Gebäudeeigentümer übernimmt nicht automatisch die Verantwortung für jede Aufnahme, die beim Mieter entsteht. Umgekehrt kann der Mieter auch nicht davon ausgehen, dass wegen einer gemeinsamen Sicherheitsrichtlinie im Gebäude Rohmaterial ohne vorherige Risikobewertung und ohne Prüfung des Anonymisierungsbedarfs weitergegeben werden darf.
Gemeinsame organisatorische Vereinbarungen sind notwendig, ersetzen aber nicht die Trennung der Rollen. Gute Compliance-Praxis bedeutet, im Mietvertrag, in der Videoüberwachungsrichtlinie oder in einer operativen Anlage mindestens vier Punkte festzuhalten:
- wer Verantwortlicher für das jeweilige Kamerasystem ist,
- in welchen Szenarien eine Weitergabe des Materials zulässig ist,
- wer die visuelle Datenanonymisierung durchführt,
- wer die Grundlage für dieses Vorgehen dokumentiert.
Warum visuelle Anonymisierung ein zentrales Element der Aufteilung von Verantwortlichkeiten ist
Fotos und Aufnahmen aus Bürogebäuden enthalten fast immer Abbildungen von Personen. Auf Parkflächen und Zufahrten können zudem Kfz-Kennzeichen erfasst werden. Soll das Material über die rein interne Sicherheitsansicht hinaus genutzt werden, stellt sich die Frage nach der Datenminimierung gemäß Art. 5 DSGVO sowie nach der Rechtmäßigkeit der weiteren Verwendung [1].
In der Praxis bedeutet das: Die Weitergabe einer vollständigen, nicht anonymisierten Aufnahme an einen anderen Verantwortlichen sollte die Ausnahme und nicht der Standard sein. Wenn sich der Zweck auch nach dem Unkenntlichmachen von Gesichtern und Kennzeichen erreichen lässt, wählen Organisationen häufig genau dieses Modell, weil es aus operativer Sicht sicherer ist.
An dieser Stelle sollten zwei Anwendungsfälle unterschieden werden. Der erste betrifft Beweismaterial, das an Behörden übermittelt oder im Zusammenhang mit einem Vorfall verwendet wird. Der zweite betrifft Material, das geschäftlich zwischen Eigentümer und Mieter weitergegeben wird, etwa zur Analyse eines Ereignisses, zur Vorbereitung einer Kommunikation oder zur Veröffentlichung. Im zweiten Fall besteht deutlich häufiger Bedarf an Anonymisierung.
Workflow: Wann der Mieter vor der Weitergabe an den Eigentümer anonymisieren muss
Der Mieter sollte zunächst nach dem Zweck der Weitergabe fragen. Wenn der Gebäudeeigentümer um eine Aufnahme von der Rezeption des Mieters bittet, nur um den Ablauf eines technischen Vorfalls zu bestätigen, sind unverpixelte Gesichter unbeteiligter Personen in der Regel nicht erforderlich. In einem solchen Szenario ist es aus Compliance-Sicht häufig sinnvoll, eine Version nach Face Blurring weiterzugeben und, falls Fahrzeuge im Bild zu sehen sind, zusätzlich nach License Plate Blurring.
Wenn das Material an einen anderen Mieter übermittelt werden soll, ist der Bedarf an Anonymisierung noch größer. Die Weitergabe von Aufnahmen zwischen Mietern ohne Unkenntlichmachung von Gesichtern und Kennzeichen sollte als Lösung mit hohem Risiko behandelt werden. Zunächst ist zu prüfen, ob sich der Zweck mit anonymisiertem Material erreichen lässt. In den meisten operativen Streitfällen lautet die Antwort: ja.
Ein guter Workflow lässt sich in vier Schritten beschreiben:
- Erstens identifiziert der Mieter den Zweck und den Empfänger.
- Zweitens bewertet er, ob für die Zielerreichung Rohmaterial erforderlich ist.
- Drittens erstellt er eine Arbeitskopie nach visueller Anonymisierung.
- Viertens dokumentiert er den Umfang der Weitergabe.
Ein solches Modell begrenzt die übermäßige Offenlegung von Personenbildern und setzt den Grundsatz der Datenminimierung besser um [1].
Benötigt der Mieter ein Tool zur lokalen Verarbeitung von Aufnahmen, kann Gallio PRO als On-Premise-Software eine sinnvolle Lösung sein. Das ist besonders dort relevant, wo eine Organisation Aufnahmen nicht in externe Dienste verlagern möchte und Wert auf Kontrolle über den Dateifluss legt. Laut Produktunterlagen macht die Software automatisch ausschließlich Gesichter und Kennzeichen unkenntlich, nicht jedoch ganze Silhouetten; sie arbeitet nicht in Echtzeit und anonymisiert keinen Videostream. Firmenlogos, Tattoos, Namensschilder, Dokumente oder Inhalte auf Monitoren werden nicht automatisch erkannt, können aber im integrierten Editor manuell verdeckt werden. Zudem speichert die Software keine Logs, die personenbezogene Daten enthalten.
Workflow: Wann der Gebäudeeigentümer vor der Weitergabe an den Mieter anonymisieren muss
Der gleiche Mechanismus funktioniert auch in die andere Richtung. Wenn der Gebäudemanager einem Mieter eine Aufnahme aus der Lobby, dem Aufzug oder vom Parkplatz zur Verfügung stellt, sollte er nicht standardmäßig das vollständige Material mit den Gesichtern aller Besucher weitergeben. Der Mieter benötigt in der Regel nur den relevanten Ausschnitt des Ereignisses und nur diejenigen Informationen, die für seinen geschäftlichen oder sicherheitsbezogenen Zweck notwendig sind.
Ein einfaches Beispiel: Ein Mieter meldet eine Sachbeschädigung am Eingang zu seiner Einheit. Der Gebäudemanager verfügt über Kameras, die den Flur und angrenzende Flächen erfassen. Wenn das Ziel darin besteht, den Ablauf des Vorfalls zu bestätigen, ist eine Version mit unkenntlich gemachten unbeteiligten Personen in der Regel ausreichend. Das Rohvideo kann nur in besonderen Situationen erforderlich sein, abhängig vom Kontext und von der jeweiligen Rechtsgrundlage.
Aus Sicht des Gebäudemanagers ist außerdem die Trennung zwischen operativem Material und Kommunikationsmaterial wichtig. Dass eine Aufnahme rechtmäßig zu Sicherheitszwecken erhoben wurde, bedeutet nicht automatisch, dass sie dem Mieter für PR-, Marketing- oder Veröffentlichungszwecke überlassen werden darf. Die weitere Nutzung erfordert eine gesonderte Prüfung.
Aufteilung der Verantwortlichkeiten in der Praxis - Tabelle für Gebäudemanager und Mieter
Situation | Wer in der Regel Verantwortlicher ist | Wer vor der Weitergabe anonymisiert | Praktischer Standard |
|---|
Aufnahme aus Lobby, Aufzug oder Garage | Eigentümer oder Gebäudemanager | Eigentümer oder Gebäudemanager vor der Weitergabe an den Mieter | Face Blurring und, wenn erforderlich, License Plate Blurring |
Aufnahme aus dem Inneren der Mietfläche | Mieter | Mieter vor der Weitergabe an den Eigentümer | Weitergabe beschränkt auf Zweck und Umfang des Ereignisses |
Austausch von Material zwischen Mietern | Jeder Mieter getrennt für sein eigenes System | Die Partei, die das Material offenlegt | Anonymisierung sollte der Ausgangspunkt sein |
Material zur Veröffentlichung von einer Veranstaltung im Coworking-Space | Die veröffentlichende Partei | Die veröffentlichende Partei vor der Veröffentlichung | Prüfung von Ausnahmen beim Bildnisrecht und der Datenminimierung |
Veröffentlichung von Fotos und Aufnahmen aus dem Bürogebäude - wann Gesichter unkenntlich gemacht werden müssen
Die Pflicht zur Anonymisierung von Gesichtern ergibt sich nicht automatisch aus einer einzigen Vorschrift, sondern aus der Bewertung der Rechtsgrundlage für die Verarbeitung personenbezogener Daten, dem Schutz von Persönlichkeitsrechten und den Regeln für die Verbreitung von Bildnissen. Besonders relevant sind hier die DSGVO, das Bürgerliche Gesetzbuch sowie das Urheberrecht. Im Urheberrecht sind Ausnahmen vom Erfordernis einer Einwilligung zur Verbreitung eines Bildnisses vorgesehen, insbesondere wenn:
- es sich um eine Person des öffentlichen Lebens handelt und das Bildnis im Zusammenhang mit der Ausübung öffentlicher Funktionen, insbesondere politischer, gesellschaftlicher oder beruflicher Tätigkeiten, angefertigt wurde,
- die Person nur als Beiwerk neben einer Landschaft, einer Versammlung oder einer öffentlichen Veranstaltung erscheint,
- die Person eine vereinbarte Vergütung für das Posieren erhalten hat, sofern nicht ausdrücklich etwas anderes vorbehalten wurde.
In Bürogebäuden und Coworking-Spaces sind diese Ausnahmen mit Vorsicht anzuwenden. Ein Branchenevent in einem Coworking-Space ist nicht immer eine öffentliche Veranstaltung im Sinne der urheberrechtlichen Praxis. Ebenso legitimiert der Umstand, dass jemand ein bekannter Speaker ist, nicht automatisch die Veröffentlichung der Gesichter aller Teilnehmer im Hintergrund. Deshalb bleibt Face Blurring eine häufige Lösung für Werbematerialien, Eventberichte und Krisenkommunikation.
Kfz-Kennzeichen auf Parkplätzen und Zufahrten
Bei Material von Parkflächen und Lieferzonen tritt ein zusätzliches Problem auf. Es gibt keinen allgemeinen Grundsatz, wonach das Unkenntlichmachen von Kfz-Kennzeichen in ganz Westeuropa aufgrund einheitlicher EU-Empfehlungen immer verpflichtend wäre. Die Bewertung hängt vom Nutzungskontext des Materials und davon ab, ob das Kennzeichen unter den jeweiligen Umständen die Identifizierung einer Person ermöglicht. Auch in Polen sind die Auffassungen nicht vollständig einheitlich: In der Datenschutzpraxis werden Kfz-Kennzeichen teilweise als personenbezogene Daten oder als Daten angesehen, die eine mittelbare Identifizierung erlauben, während in der Rechtsprechung auch engere Ansätze zu finden sind.
Für Betreiber und Manager von Bürogebäuden bedeutet das vor allem eines: Wenn Material außerhalb eines eng begrenzten Kreises erforderlicher Empfänger weitergegeben oder veröffentlicht werden soll, ist License Plate Blurring eine vernünftige Praxis, um Interpretationskonflikte zu reduzieren. Dieser Ansatz ist besonders bei internationalen Objekten gerechtfertigt, bei denen gruppenweite Standards oft über das lokale Mindestmaß hinausgehen.
Wie sich ein Split-Governance-Verfahren ohne übermäßige Bürokratie umsetzen lässt
Am besten funktioniert ein einfaches operatives Modell. In Verträgen und Verfahren sollte festgelegt werden, dass jede Partei für die Anonymisierung des Materials aus ihrem eigenen Kamerasystem verantwortlich ist, bevor sie es an die andere Partei weitergibt - es sei denn, es besteht ein dokumentierter Bedarf an der Weitergabe von Rohmaterial. Eine solche Klausel vereinfacht die tägliche Praxis und reduziert Zuständigkeitskonflikte.
Das zweite Element ist das passende Tool. In Objekten mit vielen Kameras und häufigem Export von Aufnahmen kommt es auf die Möglichkeit an, mehrere Dateien zu verarbeiten und eine lokale Implementierung umzusetzen. Wenn eine Organisation diesen Workflow praktisch erproben möchte, kann sie die Demo herunterladen. Laut den Unterlagen zu Gallio PRO umfasst die automatische Erkennung ausschließlich Gesichter und Kfz-Kennzeichen; alle anderen visuellen Elemente erfordern manuelle Bearbeitung.
Das dritte Element ist ein Ausnahmeprozess. Wenn ein Gebäude eine komplexe Mietstruktur, ein zentrales SOC, mehrere Parkflächen oder Enterprise-Anforderungen an On-Premise-Software hat, kann es sinnvoll sein, das Team zu kontaktieren und den Prozess an das tatsächliche Verantwortungsmodell anzupassen. Das gilt insbesondere in Situationen, in denen Material zwischen Gebäudemanagement, Mietern und externen Dienstleistern zirkuliert.
Der häufigste Fehler: technischer Zugriff wird mit der Rolle des Verantwortlichen gleichgesetzt
Dass der Gebäudeeigentümer technisch in der Lage ist, eine Aufnahme herunterzuladen, bedeutet noch nicht, dass er Verantwortlicher für sämtliche Materialien des Mieters wird. Umgekehrt macht allein der Umstand, dass ein Mieter eine Kopie aus Kameras in Gemeinschaftsbereichen erhalten kann, ihn nicht zum gemeinsam Verantwortlichen für das System des Gebäudemanagers. Maßgeblich ist vor allem, wer Zweck und Mittel der Verarbeitung festlegt [1].
Gerade deshalb erfordert Split Governance nicht nur vertragliche Regelungen, sondern auch operative Disziplin. Jede Partei sollte das Material an der Quelle anonymisieren, bevor es an die andere Seite weitergegeben wird - es sei denn, es gibt einen konkreten und dokumentierten Grund, davon abzuweichen.
FAQ - Videoüberwachung in Bürogebäuden und Coworking-Spaces
Sind Gebäudemanager und Mieter immer gemeinsam Verantwortliche?
Nein. In Bürogebäuden ist häufiger das Modell getrennter Verantwortlicher anzutreffen, wenn jede Partei die Zwecke und Mittel ihrer eigenen Videoüberwachung selbst festlegt. Eine gemeinsame Verantwortlichkeit kann vorkommen, setzt aber eine gemeinsame Entscheidung über Zwecke und Mittel der Verarbeitung voraus [1].
Darf ein Mieter dem Eigentümer ein Rohvideo aus dem eigenen Büro überlassen?
Das hängt vom Zweck und von der Rechtsgrundlage der Weitergabe ab. Eine häufige Compliance-Praxis ist die vorherige visuelle Anonymisierung, wenn der Eigentümer für einen konkreten Zweck keine identifizierbaren Gesichter oder Kennzeichen benötigt.
Können Aufnahmen zwischen Mietern ohne Unkenntlichmachung von Gesichtern weitergegeben werden?
Grundsätzlich sollte das nicht der Standard sein. Bei der Weitergabe zwischen Mietern ist Anonymisierung in der Regel der erste Schritt, weil jeder zusätzliche Empfänger den Umfang der Offenlegung visueller Daten erhöht.
Anonymisiert Gallio PRO das gesamte Bild und alle auf der Aufnahme sichtbaren personenbezogenen Daten?
Nein. Gallio PRO macht automatisch nur Gesichter und Kfz-Kennzeichen unkenntlich. Firmenlogos, Tattoos, Namensschilder, Dokumente oder Monitorinhalte werden nicht automatisch erkannt. Solche Elemente können im Editor manuell verdeckt werden.
Arbeitet Gallio PRO in Echtzeit auf dem Kamerastream?
Nein. Laut Produktunterlagen führt die Software weder eine Echtzeit-Anonymisierung noch eine Anonymisierung von Videostreams durch.
Müssen Kfz-Kennzeichen immer unkenntlich gemacht werden?
Nicht immer. Die Bewertung hängt vom Verwendungszweck des Materials und vom Identifizierungskontext ab. Bei der Weitergabe oder Veröffentlichung von Material ist License Plate Blurring jedoch eine häufige und vorsichtige Compliance-Praxis.
Speichert das Tool Logs mit Informationen über erkannte Gesichter und Kennzeichen?
Laut den Unterlagen zu Gallio PRO speichert die Software keine Logs, die personenbezogene Daten enthalten.
