Videoüberwachung von Beschäftigten – höchste Zeit für Compliance-Checks!

Neues Jahr – neues Millionenbußgeld wegen Verstoßes gegen Datenschutzrecht. Nachdem bereits gegen die Modekette H&M ein Rekordbußgeld von 35,3 Millionen Euro wegen der Videoüberwachung von Mitarbeitern verhängt wurde, muss nun auch der Elektronikhändler Notebooksbilliger.de ein hohes Bußgeld zahlen. Das Unternehmen hatte Mitarbeiter jahrelang per Video beobachtet, ohne die Überwachung auf bestimmte Beschäftigte oder Verdachtsfälle zu begrenzen. Wegen dieser Praxis verhängte die Datenschutzbeauftragte des Landes Niedersachsen nun ein Bußgeld in Höhe von 10,4 Mio. Euro. Die Höhe der Bußgelder zeigt: Es ist höchste Zeit für datenschutzrechtliche Compliance-Checks!

Rechtlicher Rahmen für Videoüberwachung

Da bei einer Videoüberwachung von Geschäftsräumen personenbezogene Daten von Mitarbeitern erhoben werden, ist die Zulässigkeit dieser Überwachungsmethode an den gesetzlichen Vorgaben, konkret der DSGVO und dem BDSG zu messen. Die Erhebung personenbezogener Daten der Beschäftigten ist nach § 26 Abs. 1 BDSG rechtmäßig, wenn dies für die Durchführung des Arbeitsverhältnisses oder der Aufdeckung von durch Beschäftigte begangenen Straftaten erforderlich ist. Dieser Erforderlichkeitsmaßstab, sei er noch so wenig greifbar, ist der Dreh- und Angelpunkt einer jeden Compliance-Prüfung hinsichtlich der Verarbeitung personenbezogener Daten im Rahmen des Arbeitsverhältnisses.

Werden öffentlich zugängliche Räume des Arbeitgebers offen (d.h. durch sichtbare Kameras oder mit Kenntnis der Mitarbeiter) durch Videokameras für konkret festgelegte Zwecke – wie z.B. den Schutz vor Diebstahl oder Sachbeschädigung – und für eine begrenzte Zeit videoüberwacht, ist dies grundsätzlich zulässig. Etwas anderes gilt nur, soweit Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen der betroffenen Beschäftigten überwiegen. In Ausnahmefällen kann sogar eine verdeckte Videoüberwachung öffentlich zugänglicher Räume rechtmäßig sein, wenn z.B. ein konkreter Verdacht wegen der Begehung einer Straftat oder anderen schwerwiegenden Pflichtverletzung besteht. Die Hürden sind jedoch hoch, da die Überwachung per Videoaufzeichnung einen besonders intensiven Eingriff in das Persönlichkeitsrecht der Mitarbeiter darstellt – theoretisch kann dadurch das gesamte Verhalten eines Menschen beobachtet und analysiert werden. Deshalb ist ein abstrakter Verdacht oder eine „Vermutung“ nicht ausreichend, um eine dauerhafte Überwachung zu rechtfertigen.

Besonders strenge Maßstäbe gelten wegen der besonders hohen Eingriffsintensität für die verdeckte Videoüberwachung in öffentlich nicht zugänglichen Räumen, wie Büroräumen oder Werkshallen. Eine nur präventive, zeitlich unbegrenzte Videoüberwachung ohne Anlass ist – wie sich auch der Presseerklärung der Datenschutzbeauftragten des Landes Niedersachsen entnehmen lässt – nicht erforderlich und daher rechtswidrig. Auch die Branchenüblichkeit solcher Überwachungsmaßnahmen, die notebooksbilliger.de für die Versand- und Logistikbranche als vermeintliche Rechtfertigung andeutet, ändert an dem Erforderlichkeitsmaßstab nichts. Denn nicht die Branchenüblichkeit, sondern die konkreten Umstände entscheiden über die Rechtmäßigkeit des Verarbeitungsvorgangs.

Risikominimierung durch Compliance-Checks

Die Presseberichte über zuletzt verhängte Bußgelder wegen Datenschutzrechtsverstößen verdeutlichen die Notwendigkeit regelmäßiger Compliance-Checks – andernfalls kann es teuer werden.

Vor Aufnahme von Datenverarbeitungsprozessen, wie z.B. einer Videoüberwachung, muss zwar eine Datenschutzfolgenabschätzung durchgeführt werden, die eine Beschreibung des Verarbeitungsvorgangs, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung und eine Risikobewertung umfasst. Hier ist kritisch am konkreten Einzelfall zu prüfen, insbesondere sollten keine scheinbar branchenüblichen Verarbeitungsprozesse ohne kritische Evaluation übernommen werden – denn der Teufel steckt nun einmal im Detail. Abgesehen davon dass ein „Das machen doch alle so!“ kein Garant für rechtmäßiges Verhalten ist, können andere räumliche Gegebenheiten, andere Technik oder eben ein im Raum stehender Verdacht einer Straftat bei einem selbst dazu führen, dass die konkrete Datenverarbeitung eben nicht mehr erforderlich ist.

Darüber hinaus sollten Datenverarbeitungsvorgänge regelmäßig einer Prüfung unterzogen werden. Denn nur so können Bußgelder dauerhaft vermeiden werden. Denn auch eine zwischenzeitliche Änderung der tatsächlichen Umstände kann zu einer anderen Bewertung hinsichtlich der Erforderlichkeit führen. So kann eine verdeckte Videoüberwachung der Mitarbeiter beispielsweise gerechtfertigt und verhältnismäßig sein, wenn es vermehrt zu Diebstählen am Eigentum des Arbeitgebers kommt. Ist der „Dieb“ hingegen gefunden, ist die Rechtmäßigkeit einer solchen Videoüberwachung sofort wieder anders zu beurteilen. Wird sie fortgesetzt, kann dies zu einer harten Sanktionierung durch die Datenschutzbehörden kommen.

Fazit

Durch regelmäßige Compliance-Checks ihrer Arbeitnehmerdatenverarbeitung können Arbeitgeber Haftungsrisiken vermeiden. Insbesondere Arbeitgeber, die potentiell risikoreiche Verarbeitungsprozesse – wie z.B. eine Videoüberwachung der Mitarbeiter – durchführen, sollten die jüngst verhängten Bußgelder zum Anlass nehmen, die eigenen Datenverarbeitungsprozesse kritisch zu durchleuchten. Sich an den Verarbeitungsprozessen anderer Arbeitgeber zu orientieren kann zwar helfen, entbindet aber nicht von einer kritischen Einzelfallprüfung und vermeidet keine Bußgelder.