Videoüberwachung 2026: Was die DSGVO weiterhin verlangt

Weder IVA-Lizenzen noch Starlight-Technik noch ein sauber dimensionierter Switch machen einen unzulässigen Blickwinkel zulässig. Dass Kameras 2026 schärfere Bilder liefern, hat die Aufsichtsbehörden nicht nachsichtiger gemacht. Es gilt weiterhin: ein klar begrenzter Zweck, informierte Betroffene, private Bereiche außerhalb des Bildes, kurze Speicherfristen. Die rechtliche Seite ist Kern der Planung, kein Kleingedrucktes.

Sichtwerk ist keine Kanzlei und leistet keine Rechtsberatung. Eine Kamera, die „nebenbei ein bisschen zum Nachbarn schaut“, installieren wir trotzdem nicht. Im Angebot benennen wir den rechtlichen Rahmen; verantwortlich für die Anlage bleibt der Kunde.

Nicht öffentlich oder öffentlich zugänglich: zwei Fälle, ein Prinzip

Für Standorte in Deutschland gelten DSGVO und BDSG. In nicht öffentlich zugänglichen Bereichen – Lager, Backstube, privater Parkplatz, Gemeinschaftsflächen eines Wohnhauses – braucht es ein Verzeichnis der Verarbeitungstätigkeiten und häufig eine Datenschutz-Folgenabschätzung. Eine vorherige Meldung bei der Aufsichtsbehörde ist nicht vorgesehen.

In öffentlich zugänglichen Bereichen – Empfang, Verkaufsfläche, Kasse, Ladeneingang – gelten dieselben Pflichten. Hinzu kommen das Hausrecht als Grundlage, ein Hinweisschild und meist eine schriftlich festgehaltene Interessenabwägung. Die zuständige Landesdatenschutzbehörde kann die Anlage weiterhin prüfen.

In einem Laden liegt beides oft auf demselben Grundriss: vorne das Schaufenster, hinten das Lager. Diese Grenze halten wir vor Ort fest, bevor wir uns zwischen Bullet und Dome entscheiden. Unsere Arbeitsweise beginnt beim zulässigen Bildausschnitt, nicht beim Datenblatt.

Ein festgelegter Zweck statt „mal schauen“

Jede Kamera braucht ein ausdrücklich benanntes Ziel: Schutz von Sachen und Personen, Abschreckung, Aufklärung nach Diebstahl, Sachbeschädigung oder Übergriff, gelegentlich die Zutrittskontrolle zu einem sensiblen Bereich. „Wird sich im Betrieb schon zeigen“ ist kein Zweck.

Ebenso wenig zulässig sind Leistungskontrolle, das Stoppen von Pausen, die Dauerbeobachtung eines Arbeitsplatzes oder ein Blick auf das, was der Nachbar treibt. Wer Aufnahmen zweckentfremdet – sie herumzeigt, veröffentlicht oder für etwas anderes nutzt als angekündigt –, bewegt sich bereits außerhalb des Rahmens; auch das Strafrecht greift hier. Zufällig festgehaltene Szenen bleiben im Sicherheitsarchiv und werden nicht zur Unterhaltung.

Im Unternehmen wird das Sicherheitsumfeld erfasst, nicht die Arbeit der Menschen in Dauerschleife: die Kasse, nicht die Kassiererin; der Wertbereich, nicht die Schreibtischreihe. BDSG und Betriebsverfassungsgesetz verlangen dasselbe – verhältnismäßig, begründet, angekündigt.

Wohin eine Kamera blicken darf

Typische Einsatzorte sind Ein- und Ausgänge, Verkehrswege, Notausgänge, Lager, Parkplatz, Eingangshalle und Fahrradraum. Tabu sind Toiletten und Sanitärräume, Umkleiden, Pausen- und Ruheräume, Sanitätsräume sowie Räume des Betriebsrats samt Zugang, wenn dieser ausschließlich dorthin führt. Ein beschädigter Automat rechtfertigt nicht, den gesamten Raum aufzunehmen.

Ein Arbeitsplatz gehört nicht standardmäßig ins Bild. Nur besondere Umstände wie Bargeldhandling oder ein Lager mit hochwertiger Ware können das begründen – und selbst dann erfasst die Kamera den Gegenstand, nicht die Person. Ein Geschäftsführer, der das Livebild auf dem Smartphone öffnet, um die Handgriffe eines Mitarbeiters zu kommentieren, hat den Zweck bereits verlassen.

Das Nachbargrundstück ist kein Teil des Bildausschnitts. Fenster, Terrasse oder Garten nebenan werden maskiert, der Winkel wird angepasst, oder die Kamera bleibt weg. Auch der öffentliche Raum ist keine Zugabe: Eine Privatperson filmt den Gehweg auch nicht „nur ein kleines Stück“. Ein Geschäft, das seinen Kundenbereich aufzeichnet, braucht Hinweisschild und dokumentierten Zweck.

In einer Wohnungseigentümergemeinschaft dürfen Kameras nur Gemeinschaftsflächen erfassen – Parkplatz, Treppenhaus, Hof, Müllraum –, nicht aber Wohnungstüren, Fenster oder Terrassen. Darüber entscheidet die Eigentümerversammlung per Beschluss. Montiert ein einzelner Eigentümer eigenmächtig einen Dome im Treppenhaus, schafft er keine Sicherheit, sondern eine Störung. Solche Aufträge übernehmen wir nicht.

Erst informieren, dann aufzeichnen

Verdeckte Kameras haben an gewerblichen Standorten nichts zu suchen. Am Zugang zum überwachten Bereich hängt ein dauerhaftes, gut sichtbares Hinweisschild. Neben dem Kamerasymbol nennt es mindestens: Zweck, Speicherdauer, Name oder Funktion und Telefonnummer des Verantwortlichen (oder des Datenschutzbeauftragten), den Hinweis auf die Betroffenenrechte und das Beschwerderecht bei der Aufsichtsbehörde. Die übrigen Angaben nach Art. 13 DSGVO können in einem Informationsblatt, einer Hausordnung oder auf einer Webseite stehen – ergänzend, nicht anstelle des Schildes.

Beschäftigte werden doppelt informiert: über das Schild und zusätzlich individuell, etwa per Merkblatt, Vertragsnachtrag oder Intranet. Besteht ein Betriebsrat, ist er vor der Inbetriebnahme zu beteiligen. Wer am Montagmorgen neue Kameras an der Decke entdeckt, wurde nicht vorab informiert.

Speicherdauer: ein Monat, nicht die Festplattengröße

Die Aufsichtsbehörden betonen es immer wieder: Wie lange gespeichert wird, ergibt sich aus dem Zweck, nicht aus dem freien Speicherplatz. In der Regel ist nach spätestens einem Monat Schluss, oft genügen wenige Tage, um einen Vorfall zu bemerken und rechtliche Schritte einzuleiten. Kommt es zu einem Verfahren, sichert man die relevanten Aufnahmen, dokumentiert den Vorgang und bewahrt sie für die Dauer dieses Verfahrens auf – nicht den gesamten Videostrom „vorsichtshalber“.

Einen Rekorder so einzustellen, dass er aufzeichnet, bis die Platte voll ist, bedeutet bereits eine übermäßige Speicherung. Das automatische Überschreiben wird auf die festgelegte Frist eingestellt. Ein NVR mit 16 TB ist kein rechtliches Argument.

Wer Aufnahmen sehen darf – und von wo

Zugriff hat nicht jeder, sondern nur befugte, geschulte Personen im Rahmen ihrer Aufgabe – meist der Sicherheitsverantwortliche, manchmal die Geschäftsführung. Dazu gehören personengebundene Konten, echte Passwörter und ein Zugriffsprotokoll. An öffentlich zugänglichen Standorten wird dieses Protokoll bis zu drei Jahre aufbewahrt.

Das Livebild auf dem Smartphone ist nicht verboten. Es berechtigt aber nicht dazu, die Arbeitsqualität aus der Ferne zu steuern. Verschlüsselung, getrennte Konten, kein UPnP ins Internet: Diese Punkte behandeln wir ausführlich im Beitrag zur Absicherung des Videostroms. Eine microSD-Karte im Dome ist kein Tresor.

Tonaufnahmen sind keine nette Zusatzfunktion. Die Aufsicht lässt sie nur in eng begrenzten Fällen zu, ausgelöst durch die betroffene Person selbst – etwa bei einem Übergriff, nicht als Daueraufzeichnung hinter der Theke. Wir schalten Audio nicht „zum Ausprobieren“ ein.

Verzeichnis, DSFA und gegebenenfalls Betriebsrat

Die Anlage gehört ins Verzeichnis der Verarbeitungstätigkeiten: Zwecke, Speicherfristen, Zugriffsberechtigte, Auftragsverarbeiter, Sicherheitsmaßnahmen. Ein vorhandener Datenschutzbeauftragter wird eingebunden. Wer öffentlich zugängliche Bereiche systematisch und in großem Umfang überwacht, muss eine Datenschutz-Folgenabschätzung durchführen. Sie wird intern aufbewahrt und nur dann der Aufsichtsbehörde vorgelegt, wenn trotz der getroffenen Maßnahmen ein hohes Risiko bestehen bleibt.

An öffentlich zugänglichen Orten kommt häufig zusätzlich eine Betriebsvereinbarung hinzu, an nicht öffentlichen Orten ist das Verzeichnis in jedem Fall Pflicht. Gesichtserkennung, Biometrie oder die namentliche Identifizierung durch Videoanalyse sind keine IVA-Einstellung, sondern unterliegen einem eigenen Rechtsregime – und liegen fast immer außerhalb dessen, was wir anbieten. Wir schreiben so etwas nicht ins Datenblatt, nur um modern zu klingen.

Was Privatzonenmasken leisten – und wo ihre Grenzen liegen

Genau dafür ist IVA Pro Privacy gedacht: ein Fenster, einen Nachbargarten oder einen hineinragenden Straßenabschnitt auszublenden. Wir richten die Masken gemeinsam mit dem Kunden am Livebild ein, bevor wir die Baustelle verlassen. Ein zu weit gefasster Bildausschnitt nach dem Motto „das pixeln wir später“ rächt sich bei der ersten Kontrolle – oder spätestens, wenn der erste Nachbar das Objektiv fotografiert.

Auch Videoanalyse (Linienüberschreitung, Parkerkennung, Anwesenheit) ist eine Verarbeitung personenbezogener Daten. Sie macht weder die vorherige Information noch die Zweckbindung überflüssig. Ohne Alarmregeln liefert sie nur einen gesprächigeren Videostrom; mit zu vielen Regeln wird sie wieder zur Personenüberwachung. Wir konfigurieren das sinnvolle Minimum. Mehr dazu im Beitrag IVA Pro: Wofür die Videoanalyse wirklich taugt.

Was im Angebot von Sichtwerk steht

Unser Angebot listet die Kamerawinkel, die bewusst ausgesparten Bereiche, die geplanten Masken und einen Hinweis auf den rechtlichen Rahmen. Es ersetzt weder den Anwalt des Kunden noch den WEG-Beschluss noch die Betriebsvereinbarung. Wir installieren Bosch-Kameras – aber keinen Blickwinkel, den eine Aufsichtsbehörde 2026 ebenso wenig akzeptieren würde wie zuvor.

• Zweck – Sicherheit, schriftlich festgehalten, und nur diese.
• Bildausschnitt – Eingänge, Lager, Hallen; keine Sanitärräume, kein Nachbar, kein Arbeitsplatz.
• Information – Piktogramm und Merkblatt vor der ersten Aufzeichnung.
• Speicherdauer – höchstens ein Monat, oft weniger, mit automatischem Überschreiben.
• Zugriff – nur Befugte, mit Protokoll und abgesichertem Videostrom.
• Formalitäten – Verzeichnis der Verarbeitungstätigkeiten; Betriebsrat im Unternehmen; DSFA bei umfangreicher Überwachung; WEG-Beschluss in der Eigentümergemeinschaft.

Verantwortlicher im Sinne der DSGVO bleibt der Kunde. Wir helfen ihm, nicht gegen die Regeln zu installieren – die Verantwortung nehmen wir ihm damit nicht ab.