Überall Kameras, aber nicht immer rechtmäßig

In den letzten Jahren ist die Videoüberwachung zu einem festen Bestandteil unseres Alltags geworden. Überwachungskameras oder an intelligente Systeme angeschlossene Kameras sind mittlerweile in Wohnanlagen, Unternehmen, Geschäften und Privathaushalten zu finden.

Die Gründe dafür liegen auf der Hand: Erhöhung der Sicherheit, Verhinderung von Diebstählen, Abschreckung vor Vandalismus oder einfach das Gefühl, mehr Kontrolle über die eigene Umgebung zu haben.

Hinter diesem Wettlauf um „elektronischen Schutz” verbirgt sich jedoch ein Risiko, das nur wenige kennen: Die Installation einer Kamera bedeutet nicht automatisch, dass man die gesetzlichen Vorschriften einhält. Im Gegenteil, eine nicht konforme Anlage kann zu ernsthaften Problemen führen: hohe Geldstrafen, Unmöglichkeit, die Bilder als Beweismittel zu verwenden, Beschwerden von Nachbarn, Mietern oder Angestellten.

Um zu verstehen, warum das so ist, muss man zunächst den rechtlichen Rahmen betrachten.

Die GDPR und andere wichtige Vorschriften

Seit 2018 gilt in Europa die Verordnung (EU) 2016/679, besser bekannt in Deutschland unter DSGVO (Datenschutz-Grundverordnung) und in Italien ausgearbeitet als GDPR (General Data Protection Regulation). Dabei handelt es sich um die Verordnung, die die Verarbeitung personenbezogener Daten regelt, d. h. aller Informationen, die es ermöglichen, eine natürliche Person direkt oder indirekt zu identifizieren.

Zu diesen Daten gehören auch die von einer Kamera aufgenommenen Bilder, unabhängig davon, ob sie tatsächlich aufgezeichnet und anschließend gespeichert werden.

Das Grundprinzip der GDPR lautet, dass jede Verarbeitung rechtmäßig, verhältnismäßig und transparent sein muss und stets die Rechte und Freiheiten der betroffenen Personen zu achten hat.

Dies gilt auch, wenn das Ziel die Sicherheit ist: Der Schutz des Vermögens darf daher nicht zu einer wahllosen Überwachung führen.

Wer sich für die Installation eines Videoüberwachungssystems entscheidet und dessen Funktionsweise und Zweck festlegt, ist verpflichtet, die Konformität der mit den Geräten durchgeführten Datenverarbeitung zu gewährleisten und nachweisen zu können (Grundsatz der Rechenschaftspflicht).

Neben der GDPR gelten in Italien weitere Vorschriften:

• das Statuto dei Lavoratori (Arbeitnehmerstatut), Gesetz 300/1970, das den Einsatz von Kameras am Arbeitsplatz zum Schutz der Würde der Arbeitnehmer stark einschränkt;

• der Codice Civile (Bürgerliches Gesetzbuch), das die Beschlüsse der Eigentümerversammlung und die Beziehungen zwischen Miteigentümern regelt (Art. 1122-ter und 1136 BGB);

• die Maßnahmen der Datenschutzbehörde („Garante per la protezione dei dati personali„) und die europäischen Leitlinien (EDPB), die praktische Fälle klären und Auslegungskriterien liefern.

Vor diesem Hintergrund können wir uns mit den verschiedenen Szenarien befassen, in denen Videoüberwachung eingesetzt wird: privater Gebrauch, Wohnungseigentümergemeinschaften und Unternehmen.

Wann die GDPR nicht gilt: private und häusliche Nutzung

Viele glauben, dass die GDPR immer und überall gilt, aber das ist nicht der Fall.

Die Verordnung sieht bestimmte Ausnahmen vor: Eine der wichtigsten betrifft natürliche Personen, die Videoüberwachung ausschließlich für private oder häusliche Zwecke nutzen.

Nehmen wir ein konkretes Beispiel: Ein Bürger installiert eine Kamera über seiner Haustür, um zu kontrollieren, wer an der Tür klingelt, oder in seinem privaten Hof, um das Fahrrad seines Sohnes zu überwachen. In solchen Fällen gelten die Verpflichtungen der GDPR in der Regel nicht: kein Verarbeitungsregister, keine Folgenabschätzung, keine Informationen.

Die Nutzung ist rein privat, und das Gesetz erkennt dies an.

Diese Ausnahme, die in Art. 2 Abs. 2 Buchstabe c) GDPR vorgesehen ist, hat jedoch sehr genaue Grenzen.

Sobald die Kamera diese Grenzen überschreitet, ändert sich die Regelung grundlegend.

Die einzuhaltenden Grenzen

• Ausschließlich privater Bereich: Die Kamera darf nur zum Schutz des privaten Eigentums einer natürlichen Person dienen, ohne dass ein Zusammenhang mit einer beruflichen oder gewerblichen Tätigkeit besteht. Wenn die Kamera beispielsweise in einem Bed & Breakfast oder in einer Wohnung installiert ist, die auch gewerblich genutzt wird, gilt die GDPR in vollem Umfang.

• Alleineigentum: Die Aufnahmen dürfen nur Bereiche vom eigenen Eigentum betreffen. Eingangsbereiche, Gemeinschaftshöfe, Treppenabsätze oder öffentliche Straßen dürfen nicht gefilmt werden.

• Keine Weitergabe an Dritte: Die Bilder dürfen nicht weitergegeben oder veröffentlicht werden, z. B. in sozialen Netzwerken oder über Systeme, die Videos in Echtzeit mit anderen Personen teilen.

• Wegerecht: Wenn die Kamera eine Einfahrt oder einen Bereich filmt, auf dem andere Personen ein Wegerecht haben, muss einmalig die schriftliche Zustimmung der Inhaber dieses Rechts eingeholt werden.

Es ist klar, dass bei Nichterfüllung auch nur einer dieser Bedingungen der Ausschluss erlischt und die Privatperson die gleichen Verpflichtungen wie Wohnungseigentümergemeinschaften und Unternehmen einhalten muss.

Videoüberwachung in Wohnanlagen

Kameras einzelner Wohnungseigentümer: Grenzen und Verbote

Ein sehr häufiger Fall ist der eines einzelnen Wohnungseigentümers, der beschließt, eine Kamera vor seiner Haustür, über seiner Garage oder in der Nähe seines Parkplatzes zu installieren. Grundsätzlich ist dies unter bestimmten Bedingungen zulässig.

Die Grundregel lautet, dass die Kamera ausschließlich die Bereiche des Privatpersonen aufnehmen darf, der sie installiert hat: den Eingang seiner Wohnung, eine Garage oder einen Hof, die ausschließlich ihm zur Verfügung stehen. Es ist hingegen niemals zulässig, Gemeinschaftsbereiche (wie Treppenabsätze, Treppen, gemeinsame Höfe) oder fremdes Eigentum zu filmen.

Es gibt noch einen zivilrechtlichen Aspekt, der nicht vergessen werden darf: Wenn ein Miteigentümer eine Kamera an Gemeinschaftsflächen (Wände, Säulen, Außenmauern) anbringt, muss er gemäß Art. 1102 des italienischen Zivilgesetzbuches den Verwalter darüber informieren und die Beschränkungen für die Nutzung von Gemeinschaftsflächen einhalten. Andernfalls können die anderen Miteigentümer die Anlage beanstanden und deren Entfernung verlangen.

Was die GDPR betrifft, gelten die gleichen Regeln wie für Privatpersonen: Wenn die Kamera ausschließlich für persönliche und häusliche Zwecke verwendet wird, fällt ihre Nutzung nicht unter die Verordnung. Wenn sie jedoch für berufliche oder gewerbliche Zwecke installiert wird, gilt die GDPR in vollem Umfang.

Kameras in den Gemeinschaftsbereichen: die Entscheidung der Versammlung

Wenn die Anlage von der Eigentümergemeinschaft als Verwaltungsorgan installiert wird, ändert sich der Ablauf.

Hier kommt Art. 1122ff des italienischen Zivilgesetzbuches zum Tragen, der einen Beschluss der Versammlung erfordert, der mit dem in Art. 1136 des italienischen Zivilgesetzbuches vorgesehenen Quorum gefasst wird: die Mehrheit der Anwesenden, die mindestens ein Drittel des Wertes des Gebäudes repräsentiert.

Die Versammlung entscheidet nicht nur darüber, ob Kameras installiert werden, sondern auch warum und wie: welche Bereiche überwacht werden sollen (Eingangshalle, Innenhof, Parkplätze), zu welchem Zweck (Sicherheit, Schutz des Gemeinschaftseigentums, Verhinderung von Vandalismus) und wie lange die Bilder aufbewahrt werden sollen.

Ohne Beschluss wäre jede Aufzeichnung in den Gemeinschaftsbereichen rechtswidrig.

Rollen und Verantwortlichkeiten im Bereich Datenschutz

Aus Sicht des Datenschutzes ist der Eigentümer der Wohnanlage selbst als Verwaltungsorgan der Verantwortliche für die Datenverarbeitung.

Der Verwalter fungiert als Auftragsverarbeiter (Art. 28 GDPR) und muss formell mit einem Vertrag ernannt werden, in dem Aufgaben, Anweisungen und Sicherheitsmaßnahmen festgelegt sind.

Andere Personen, die möglicherweise die Bilder einsehen – beispielsweise der Hausmeister oder ein beauftragter Miteigentümer – müssen mit spezifischen schriftlichen Anweisungen autorisiert werden (Art. 29 GDPR).

Praktische Verpflichtungen für Wohnungseigentümergemeinschaften

Eine Anlage in einer Wohnungseigentümergemeinschaft kann sich nicht auf die technische Installation beschränken: Sie erfordert eine sorgfältige Verwaltung der Dokumentation.

• Aufbewahrungsfristen: nicht länger als 7 Tage, außer in begründeten Ausnahmefällen (z. B. kriminelle Handlungen), wie von der Datenschutzbehörde in Punkt 11 der FAQ zur Videoüberwachung klargestellt.

• Datenschutzerklärung: Gut sichtbare Schilder am Eingang der videoüberwachten Bereiche mit Verweis auf eine ausführliche Datenschutzerklärung (Art. 13 DSGVO, EDPB-Leitlinien 3/2019).

• Rechtsgrundlage: In der Regel das berechtigte Interesse der Wohnungseigentümergemeinschaft (Art. 6 Abs. 1 Buchstabe f) GDPR), das durch eine LIA – Legitimate Interest Assessment – begründet und dokumentiert werden muss.

• DPIA: Gemäß Art. 35 GDPR in bestimmten Fällen obligatorisch, z. B. bei systematischer Überwachung in großem Umfang oder Aufnahmen, die Arbeitnehmer betreffen (Verordnung 467/2018, Anhang 1, Punkt 5).

• Verarbeitungsregister: Die Wohnungseigentümergemeinschaft als Verantwortlicher und der Verwalter als Auftragsverarbeiter müssen dieses Register auf dem neuesten Stand halten (Art. 30 GDPR).

• Benennung externer Auftragsverarbeiter: Die Verarbeitungen durch Verwalter, Installateure, Wartungstechniker und Sicherheitsdienste müssen durch Verträge gemäß Art. 28 GDPR geregelt werden.

• Unterweisung der befugten Personen: Auch die zur Einsichtnahme in die Bilder befugten Personen – beispielsweise der Hausmeister, der Portier oder ein beauftragter Miteigentümer – müssen formell unterwiesen und schriftlich benannt werden. Es reicht nicht aus, zu sagen: „Sie dürfen die Kameras ansehen“: Es bedarf einer schriftlichen Erklärung, in der die Grenzen und Verantwortlichkeiten festgelegt sind, wie in Art. 29 GDPR und Art. 2-quaterdecies des Datenschutzgesetzes (Gesetzesdekret 196/2003, geändert durch Gesetzesdekret 101/2018) vorgeschrieben.

Die Fernüberwachung von Arbeitnehmern

Ein oft übersehener Aspekt betrifft Wohnanlagen mit Angestellten: Portiers, Hausmeister, Reinigungskräfte.

In diesen Fällen fällt die Installation von Kameras auch unter Art. 4 des Arbeitnehmerstatuts, der Fernüberwachungen ohne vorherige Genehmigung der Gewerkschaft (RSA/RSU) oder, falls diese nicht vorliegt, ohne vorherige Genehmigung der Arbeitsaufsichtsbehörde verbietet.

Die Vorschrift ist streng: Auch wenn die Kamera nicht direkt auf den Arbeitnehmer gerichtet ist, ihn aber dennoch bei der Ausübung seiner Tätigkeit aufnehmen kann, ist eine Genehmigung erforderlich.

Ein Verstoß führt zu strafrechtlichen Sanktionen (Art. 171 Gesetzesdekret 196/2003) zusätzlich zu den bereits in der GDPR vorgesehenen Verwaltungsstrafen (Art. 83, bis zu maximal 20 Millionen Euro oder für Unternehmen 4 % des gesamten Jahresumsatzes des Vorjahres) sowie zur möglichen Unverwendbarkeit der Bilder.

Videoüberwachung in Unternehmen

Sind die Regeln in Wohnanlagen schon komplex, so sind sie in der Unternehmenswelt noch komplexer. Hier betrifft die Videoüberwachung nämlich nicht nur den Schutz des Vermögens, sondern auch – und vor allem – die Arbeitsverhältnisse. Kameras können eine indirekte oder potenzielle Kontrolle der Tätigkeit der Mitarbeiter darstellen, weshalb das italienische Gesetz sehr strenge Auflagen festgelegt hat.

Die doppelte Spur: Arbeitnehmerstatut und GDPR

Für ein Unternehmen, das Kameras am Arbeitsplatz installieren möchte, gibt es immer zwei Aspekte: Einerseits muss das Arbeitnehmerstatut eingehalten werden, andererseits die GDPR.

Art. 4 des Gesetzes Nr. 300/1970 legt fest, dass ohne eine Genehmigung keine Anlagen installiert werden dürfen, die eine Fernüberwachung der Tätigkeit der Arbeitnehmer ermöglichen.

Diese Genehmigung kann sein:

• eine Gewerkschaftsvereinbarung mit den internen Vertretern (RSA oder RSU), sofern vorhanden;

• oder, falls nicht vorhanden, eine spezifische vorherige Genehmigung der territorialen Arbeitsaufsichtsbehörde.

Die Genehmigung kann außerdem nur erteilt werden, wenn die Anlage einen oder mehrere der drei in der Vorschrift festgelegten legitimen Zwecke verfolgt:

• Schutz des Unternehmensvermögens (z. B. Kameras im Lager oder in der Nähe der Kassen, um Diebstahl oder Beschädigungen zu verhindern);

• Arbeitssicherheit (z. B. Kameras in einer Produktionsabteilung zur Überwachung potenziell gefährlicher Situationen und zur Gewährleistung eines schnellen Eingreifens bei Unfällen);

• organisatorische und produktive Erfordernisse (z. B. Kameras in einem Bereich zum Be- und Entladen von Waren zur Optimierung der Abläufe und der Logistik).

Die Regel ist sehr weit gefasst: Es kommt nicht nur darauf an, ob die Kamera direkt auf den Arbeitnehmer gerichtet ist, sondern auch darauf, ob sie ihn „als Reflex” aufnehmen kann, während er seine Aufgaben ausführt. Ohne Genehmigung ist die Anlage illegal und strafbar.

Sobald die Zustimmung oder Genehmigung vorliegt, kommt der zweite Aspekt ins Spiel: die Einhaltung der GDPR. Das bedeutet, transparente Informationen (Schilder und ausführliche Informationen) zu gewährleisten, ein Verarbeitungsregister zu führen, eine DPIA zu erstellen (obligatorisch für die Videoüberwachung am Arbeitsplatz, wie von der Datenschutzbehörde in der bereits erwähnten Verfügung Nr. 467/2018 klargestellt), die Verhältnismäßigkeit durch eine LIA (Legitimate Interest Assessment) zu bewerten, die Benennung externer Verantwortlicher (z. B. Installateure, Wartungstechniker, Sicherheitsdienste) und die formelle Ernennung von Mitarbeitern, die zur Ansicht der Bilder berechtigt sind.

Mit anderen Worten: Es reicht nicht aus, um Erlaubnis zu bitten, sondern es muss auch – mit konkreten Unterlagen – nachgewiesen werden, dass die Anlage in Übereinstimmung mit den Grundsätzen der Rechtmäßigkeit, Minimierung und Sicherheit betrieben wird.

Die Folgen der Nichteinhaltung

Viele Unternehmen unterschätzen diese Auflagen und glauben, dass es ausreicht, ein Schild am Eingang anzubringen. Das ist jedoch nicht der Fall.

Die Folgen der Nichteinhaltung können schwerwiegend sein:

• Geldstrafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 GDPR);

• strafrechtliche Sanktionen gemäß Art. 171 des Datenschutzgesetzes, das Verstöße gegen die Bestimmungen des Arbeitnehmerstatuts ahndet;

• Unverwendbarkeit der Bilder: Aufnahmen, die unter Verstoß gegen die Vorschriften gemacht wurden, könnten als unbrauchbar angesehen werden, weder als Beweismittel vor Gericht noch zur Rechtfertigung von Disziplinarmaßnahmen;

• Gewerkschaftliche Beschwerden und Beschwerden bei der Datenschutzbehörde oder der Aufsichtsbehörde mit dem Risiko von Inspektionen, Stilllegung der Anlage und weiteren Maßnahmen.

Es kommt nicht selten vor, dass ein Unternehmen, das überzeugt ist, „Beweise” für ein Fehlverhalten eines Mitarbeiters zu haben, am Ende mit leeren Händen dasteht: unbrauchbare Bilder und ein Disziplinarverfahren, das sich gegen das Unternehmen wenden könnte.

Fazit – Von der Kamera zur Verantwortung

Die Videoüberwachung ist ein wertvolles Instrument: Sie gibt Sicherheit, schützt Eigentum und beugt rechtswidrigem Verhalten vor.

Sie ist aber auch und vor allem eine Verarbeitung personenbezogener Daten. Jedes aufgezeichnete Bild erzählt einen Ausschnitt aus dem Leben eines Menschen, weshalb das Gesetz verlangt, dass damit respektvoll und verantwortungsbewusst umgegangen wird.

Im privaten Bereich ist die Grenze klar: Solange die Nutzung häuslich und persönlich ist, gilt die GDPR nicht. Sobald diese Grenze jedoch überschritten wird – bei einer gewerblichen Tätigkeit oder der Aufzeichnung von Gemeinschafts- oder öffentlichen Bereichen –, gelten die europäischen Vorschriften in vollem Umfang.

In Mehrfamilienhäusern wird die Angelegenheit komplizierter: Es sind gültige Beschlüsse, klare Informationen, begrenzte Aufbewahrungsfristen und eine strenge Verwaltung der Datenschutzrollen erforderlich. Und wenn es Angestellte gibt, kann man die Verfahren des Arbeitnehmerstatuts nicht außer Acht lassen.

In Unternehmen schließlich gibt es zwei Aspekte zu beachten: Ohne Gewerkschaftsvereinbarung oder Inspektionsgenehmigung ist die Anlage illegal, und ohne Einhaltung der GDPR ist die Verwaltung mangelhaft. Die Strafen können schwerwiegend sein, aber noch schwerwiegender ist der mögliche Verlust der Wirksamkeit der Bilder, die gerade dann unbrauchbar werden, wenn sie am dringendsten benötigt werden.

Die Wahrheit ist, dass die Installation von Kameras niemals auf die leichte Schulter genommen werden sollte, da dies bedeutet, die Verantwortung für die Verarbeitung personenbezogener Daten zu übernehmen und dabei die Grundrechte der Menschen zu achten.

Eine konforme Anlage ist nicht nur Technologie: Sie ist ein Gleichgewicht zwischen Sicherheit, Rechtmäßigkeit und Vertrauen.

Und genau dieses Gleichgewicht macht den Unterschied zwischen einem System, das wirklich schützt, und einem, das im Gegenteil noch größere Risiken mit sich bringt.

Stefano Aroldi, Datenschutzberater und Inhaber von Leonidas Consulenze, arbeitet seit über 15 Jahren als Spezialist im Bereich Sicherheit & Videoüberwachung.

Hier geht es zur Originalversion seines Artikels auf Italienisch: Videosorveglianza: regole, obblighi e rischi per privati, condomini e aziende – italien inside