Videoüberwachung auf dem eigenen Betriebsgelände ist grundsätzlich zulässig, wenn ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO vorliegt, die Überwachung verhältnismäßig ist und betroffene Personen durch ein sichtbares Hinweisschild informiert werden. Öffentliche Flächen, Nachbargrundstücke und Gemeinschaftsbereiche dürfen ohne gesonderte Rechtsgrundlage nicht erfasst werden.
| Szenario | Rechtsgrundlage | Zentrale Bedingung |
| Eigenes Betriebsgelände | Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse, Verhältnismäßigkeit |
| Öffentlich zugänglicher Raum (Laden, Empfang) | Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse, Verhältnismäßigkeit, vollständige Art.-13-Informationen |
| Mietobjekt / Gemeinschaftsflächen | Art. 6 Abs. 1 lit. f DSGVO | Keine Überwachung Dritter ohne Rechtsgrundlage |
| Baustelle / temporäre Anlage | Art. 6 Abs. 1 lit. f DSGVO | Zeitliche Begrenzung, Hinweisschild auch mobil |
| Arbeitsplatz (Mitarbeiter) | Art. 6 Abs. 1 lit. f DSGVO + § 87 Abs. 1 Nr. 6 BetrVG | Mitbestimmung des Betriebsrats erforderlich |
Dieser Leitfaden klärt, welche Rechtsgrundlage gilt, welche Bereiche eine Kamera erfassen darf und warum die Speicherdauer das zentrale Kriterium für die Verhältnismäßigkeit ist, über das die Rechtmäßigkeit der gesamten Anlage entscheidet.
Welche Rechtsgrundlage gilt wann — DSGVO oder BDSG?
Für alle nicht-öffentlichen Stellen, also Unternehmen und Privatrechtsträger, ist Art. 6 Abs. 1 lit. f DSGVO die einzige anwendbare Erlaubnisgrundlage, auch für Ladengeschäfte, Empfangsbereiche und Bahnhöfe.
§ 4 BDSG sieht zwar eine Sonderregelung für öffentlich zugängliche Räume vor, ist für nicht-öffentliche Stellen jedoch nicht anwendbar: Das Bundesverwaltungsgericht hat mit Urteil vom 27.03.2019 (Az. 6 C 2.18) entschieden, dass die DSGVO die Videoüberwachung durch nicht-öffentliche Stellen abschließend regelt und der deutsche Gesetzgeber dazu keine ergänzende Regelung erlassen durfte. Hinweisschilder müssen daher die Informationspflichten nach Art. 13 DSGVO vollständig erfüllen.
Was „berechtigtes Interesse“ nach Art. 6 DSGVO für Unternehmen bedeutet
Art. 6 Abs. 1 lit. f DSGVO verpflichtet Unternehmen, ihr Überwachungsinteresse konkret zu benennen und gegen die Interessen betroffener Personen abzuwägen. Anerkannte berechtigte Interessen sind Einbruchschutz nach dokumentierten Vorfällen, Schutz vor Vandalismus sowie Diebstahlprävention in Lagerbereichen. Nicht ausreichend sind pauschale Mitarbeiterüberwachung ohne konkreten Anlass oder allgemeine Verhaltenskontrolle.
Checkliste für die Interessenabwägungsdokumentation:
- Konkreten Anlass dokumentieren (z. B. Vorfälle der letzten 12 Monate)
- Alternativmaßnahmen prüfen und deren Ausschluss begründen (z. B. Zugangskontrolle, Beleuchtung)
- Überwachungsbereich auf das notwendige Minimum begrenzen
- Zweck je Kamera schriftlich im Verarbeitungsverzeichnis festhalten
- Regelmäßige Überprüfung der Erforderlichkeit einplanen
Zweckbindung: Warum Aufnahmen nicht nachträglich umgewidmet werden dürfen
Aufnahmen dürfen ausschließlich für den dokumentierten Zweck genutzt werden. Ein Einbruchsvideo darf nicht nachträglich zur Leistungsbewertung von Mitarbeitenden herangezogen werden — selbst wenn die Aufnahme zufällig relevantes Material enthält. Die Zweckbindung ist kein formaler Zusatz, sondern ein eigenständiges Datenschutzprinzip nach Art. 5 Abs. 1 lit. b DSGVO.
Welche Bereiche darf eine Kamera erfassen — und welche nicht?
Auf dem eigenen Grundstück oder Betriebsgelände ist Videoüberwachung mit berechtigtem Interesse grundsätzlich möglich. Sobald die Kamera öffentliche Flächen, fremde Grundstücke oder Gemeinschaftsbereiche erfasst, greift das Persönlichkeitsrecht Dritter. Filmt eine Kamera am Gebäudeeingang versehentlich den angrenzenden Gehweg, genügt es, den Kamerawinkel anzupassen, Bildbereiche per Software zu maskieren oder eine physische Blende einzusetzen.
| Bereich | Zulässig? | Bedingung / Hinweis |
| Eigenes Betriebsgelände | ✅ Ja | Berechtigtes Interesse + Hinweisschild |
| Einfahrt / Hauptzugang | ✅ Ja | Auf eigene Fläche begrenzen |
| Öffentlicher Gehweg | ❌ Nein | Maskierung oder Winkelanpassung erforderlich |
| Nachbargrundstück | ❌ Nein | Persönlichkeitsrechtsverletzung |
| Treppenhaus (Mietgebäude) | ⚠️ Eingeschränkt | Nur mit starkem berechtigtem Interesse |
| Arbeitsplatz (Mitarbeiter) | ⚠️ Eingeschränkt | Betriebsrat, keine verdeckte Überwachung |
| Sanitärbereiche / Umkleiden | ❌ Verboten | Absolutes Verbot |
Verdeckte Überwachung am Arbeitsplatz
Verdeckte Videoüberwachung von Beschäftigten ist grundsätzlich unzulässig. Eine Ausnahme besteht bei konkretem Straftatverdacht: Die Rechtsprechung erlaubt dann eine zeitlich begrenzte, verdeckte Überwachung, sofern mildere Mittel ausgeschöpft sind, die Maßnahme verhältnismäßig ist und der Betriebsrat eingebunden wird. Sobald der Verdacht ausgeräumt oder bestätigt ist, endet die Maßnahme; Aufnahmen sind unverzüglich zu löschen oder zu sichern.
Wie lange dürfen Videoaufnahmen gespeichert werden?
Richtwert: 72 Stunden. Die Datenschutzkonferenz (DSK) empfiehlt eine Speicherdauer von maximal 72 Stunden. Aufnahmen, die innerhalb dieses Zeitraums nicht für einen konkreten Anlass benötigt werden, sind unverzüglich zu löschen.
Die Speicherdauer ist selbst ein Verhältnismäßigkeitskriterium: Je länger die Speicherung, desto höher der Begründungsaufwand. 72 Stunden sind kein hartes Limit, sondern ein Richtwert der DSK-Praxis; längere Fristen sind möglich, wenn sie konkret begründet sind, etwa bei dokumentiertem Schadensfall, gestellter Strafanzeige, behördlicher Anforderung oder wenn der Geschäftsbetrieb ruht (mehrtägige Feiertage, Urlaub). Ohne solchen dokumentierten Anlass gefährdet eine deutlich längere Speicherung die Verhältnismäßigkeit der gesamten Maßnahme.
Für ein rechtssicheres Löschkonzept müssen folgende Punkte geregelt sein:
- Automatische Löschung nach Ablauf der festgelegten Frist
- Protokollierung manueller Ausnahmen mit Begründung
- Zugriffsrechte auf gespeichertes Material klar definieren und dokumentieren
- Vor Herausgabe an Behörden: Identität prüfen, Übergabe schriftlich dokumentieren
Das Verarbeitungsverzeichnis muss die Speicherdauer je Kamera ausweisen.
Betroffenenrechte nach Art. 15–21 DSGVO
Personen, die von einer Videoüberwachung erfasst werden, haben gegenüber dem Verantwortlichen konkrete Rechte: Auskunft über gespeicherte Daten (Art. 15 DSGVO), Löschung nach Zweckerfüllung (Art. 17 DSGVO) und Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).
Unternehmen müssen intern klären, wer solche Anfragen bearbeitet, welche Frist gilt (in der Regel ein Monat) und was passiert, wenn Aufnahmen bereits automatisch gelöscht wurden. Fehlt dieser Prozess, ist eine Anfrage nicht fristgerecht beantwortbar — und das ist ein eigenständiger Datenschutzverstoß.
Welche Transparenzpflichten gelten — und wie erfüllt man sie?
Art. 13 DSGVO verpflichtet, betroffene Personen vor Betreten des überwachten Bereichs zu informieren. Ein gut sichtbares Hinweisschild ist Pflicht.
Mindestinhalt eines DSGVO-konformen Hinweisschildes:
- Name und Kontaktdaten des Verantwortlichen
- Zweck der Videoüberwachung
- Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO)
- Speicherdauer
- Kontakt des Datenschutzbeauftragten (falls vorhanden)
- Hinweis auf Betroffenenrechte und vollständige Datenschutzerklärung
Wo ein Betriebsrat besteht, schreibt § 87 Abs. 1 Nr. 6 BetrVG dessen Mitbestimmung bei technischen Einrichtungen vor, die geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Eine Betriebsvereinbarung regelt dann verbindlich: Kamerastandorte, Speicherdauer, Zugriffsrechte und Überwachungszweck.
Die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW) und die Datenschutzkonferenz (DSK) stellen Orientierungshilfen zur Videoüberwachung bereit, die als Referenz für die interne Dokumentation genutzt werden können.
Wird ein externer Dienstleister beauftragt, verpflichtet Art. 28 DSGVO zur Auftragsverarbeitungsvereinbarung (AVV). Diese legt fest, wie der Dienstleister personenbezogene Daten verarbeiten darf, welche technischen und organisatorischen Maßnahmen er einhält und wie Löschfristen umgesetzt werden. Ohne AVV ist die Beauftragung eines externen Sicherheitsdienstleisters datenschutzrechtlich unzulässig.
Was droht bei unzulässiger Videoüberwachung?
Verstöße gegen DSGVO-Vorgaben können nach Art. 83 DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden. Hinzu kommen zivilrechtliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO.
Datenschutzaufsichtsbehörden — darunter die LDI NRW — haben Bußgelder gegen Unternehmen verhängt, deren Kameras dauerhaft öffentliche Gehwege erfassten oder bei denen Hinweisschilder fehlten. Beide Verstöße wurden kumulativ gewertet.
Strafrechtlich relevant wird Videoüberwachung, wenn sie in absolut geschützte Bereiche eingreift (§ 201a StGB). Besonders zu beachten: Videoüberwachung mit Ton ist nicht nur datenschutzwidrig, sondern kann als Straftat nach § 201 StGB (unbefugtes Aufnehmen des nichtöffentlich gesprochenen Wortes) verfolgt werden.
Rechtswidrig erlangte Aufnahmen sind vor deutschen Gerichten oft nicht verwertbar. Wer eine unzulässige Kamera des Nachbarn entdeckt, sollte die Situation dokumentieren, die zuständige Datenschutzaufsichtsbehörde informieren und zivilrechtliche Schritte nach § 823 BGB prüfen.
Videoüberwachung auf Baustellen, Solarparks und KRITIS-Anlagen
Baustellen: DSGVO-Anforderungen für mobile und temporäre Kamerasysteme
Auf Baustellen ist Videoüberwachung über Art. 6 Abs. 1 lit. f DSGVO gut begründbar: Diebstahl von Baumaterial und Vandalismus sind dokumentierte Risiken.
Praxisbeispiel: Ein Bauunternehmen installiert nach drei Diebstählen im Vormonat zwei mobile Kameras. Der Datenschutzbeauftragte erstellt eine Interessenabwägung, die Vorfälle, geprüfte Alternativen (Zaunverstärkung, Beleuchtung) und den Ausschluss milderer Mittel dokumentiert. Beide Kameras werden ins Verarbeitungsverzeichnis aufgenommen. Hinweisschilder werden vor dem Erfassungsbereich angebracht. Die Speicherdauer wird auf 72 Stunden konfiguriert; bei einem erneuten Vorfall verlängert der Sicherheitsbeauftragte die Frist schriftlich begründet. Nach Abschluss der Baumaßnahme werden Kameras abgebaut und gespeicherte Daten vollständig gelöscht.
Mobile Systeme müssen dasselbe Hinweisschild tragen wie stationäre Anlagen. Der Kamerawinkel ist auf die eigene Baufläche zu begrenzen.
Solarparks und Windenergieanlagen — Schutz kritischer Infrastruktur
Für Betreiber von Solarparks und Windenergieanlagen ist das berechtigte Interesse durch Sabotageschutz und Versicherungsanforderungen in der Regel gut begründbar. Autarke Systeme unterliegen datenschutzrechtlich denselben Vorgaben wie netzgebundene Anlagen.
Wer Anlagen der kritischen Infrastruktur (KRITIS) betreibt, muss prüfen, ob eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich ist. Auslöser sind: KI-gestützte Verhaltens- oder Bewegungsanalyse, Dauerbetrieb mit einer größeren Anzahl von Kameras oder systematische Überwachung öffentlich zugänglicher Flächen. Wenn Sie mehrere Kameras mit KI-Analyse betreiben, ist eine DSFA nach Art. 35 DSGVO in der Regel Pflicht — nicht bloße Empfehlung. Die genaue Schwelle hängt vom Einzelfall ab, insbesondere von Umfang, Dauerbetrieb und Art der KI-Verarbeitung.
Häfen, Flughäfen und Gewerbeparks: Videoüberwachung nach § 4 BDSG
Häfen, Flughäfen und Gewerbeparks: Überwachung öffentlich zugänglicher Bereiche … Auch wenn öffentlich zugängliche Bereiche überwacht werden, gilt als Rechtsgrundlage allein Art. 6 Abs. 1 lit. f DSGVO; § 4 BDSG ist nach der BVerwG-Rechtsprechung nicht anwendbar.
Für Bereiche ohne dauerhaften Personenaufenthalt, etwa Technik- oder Serverräume, lässt sich Videoüberwachung leichter rechtfertigen als für Bereiche mit regelmäßigem Beschäftigten- oder Besucheraufkommen.
Rechtssichere Inbetriebnahme: Rollen, Reihenfolge und Pflichtdokumente
- Risikoeinschätzung (Sicherheitsbeauftragter): Vorfälle dokumentieren, Schutzbedarf bewerten, Kamerastandorte vorschlagen. → Risikoprotokoll.
- Datenschutzrechtliche Prüfung (Datenschutzbeauftragter): Rechtsgrundlage festlegen, Interessenabwägung erstellen, DSFA-Pflicht prüfen. → Interessenabwägungsdokumentation, ggf. DSFA.
- Betriebsrat einbinden (sofern vorhanden): Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG wahrnehmen, Betriebsvereinbarung aushandeln. → unterzeichnete Betriebsvereinbarung.
- Verarbeitungsverzeichnis aktualisieren (Datenschutzbeauftragter): Jede Kamera mit Standort, Zweck, Speicherdauer und Zugriffsrechten eintragen. → aktualisiertes Verarbeitungsverzeichnis.
- Technische Konfiguration (IT / Systemanbieter): Speicherfristen einstellen, automatische Löschung aktivieren, Bildbereiche maskieren. → Konfigurationsprotokoll.
- Hinweisschilder anbringen (Facility Management): Schilder vor Erfassungsbereichen platzieren, DSGVO-Konformität prüfen. → Fotodokumentation.
- Inbetriebnahme und laufende Kontrolle: Regelmäßige Überprüfung der Erforderlichkeit, Zugriffsprotokollierung, Anpassung bei geändertem Schutzbedarf. → Prüfprotokoll (mindestens jährlich).
Checkliste: Fünf Voraussetzungen für rechtssichere Videoüberwachung
- Berechtigtes Interesse konkret dokumentieren — pauschale Sicherheitsziele reichen nicht aus.
- Erfassungsbereich auf eigene Flächen begrenzen; öffentliche Gehwege und Nachbargrundstücke sind unzulässig.
- Speicherdauer in der Regel auf 72 Stunden begrenzen, Abweichungen dokumentieren und automatische Löschung aktivieren.
- Hinweisschild mit allen Pflichtangaben vor dem Erfassungsbereich anbringen.
- Betriebsrat frühzeitig einbinden, sofern Mitarbeitende betroffen sind.
Bei Beauftragung eines Dienstleisters ist zusätzlich eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO abzuschließen.
FAQ — Häufige Fragen zur Videoüberwachung
Welche Voraussetzungen müssen für zulässige Videoüberwachung erfüllt sein?
Videoüberwachung ist zulässig, wenn ein konkretes berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO vorliegt, die Maßnahme verhältnismäßig ist, mildere Mittel ausgeschlossen wurden und betroffene Personen durch ein Hinweisschild informiert werden. Für Mitarbeiterüberwachung ist die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG erforderlich.
Wann muss ich ein Schild für Videoüberwachung anbringen?
Ein Hinweisschild ist immer und vor Betreten des erfassten Bereichs anzubringen. Aufsichtsbehörden bewerten das Fehlen als eigenständigen Verstoß gegen Art. 13 DSGVO — unabhängig davon, ob die Überwachung selbst zulässig wäre.
Darf eine Kamera den öffentlichen Gehweg erfassen?
Nein, dauerhaft nicht. Versehentlich mitgefilmte Randbereiche lassen sich reparieren: Kamerawinkel anpassen, Bildbereiche per Software maskieren oder eine physische Blende einsetzen. Bleibt die Erfassung bestehen, liegt eine Persönlichkeitsrechtsverletzung vor, auch ohne Speicherabsicht.
Sind Kamera-Attrappen datenschutzrechtlich zulässig?
Kamera-Attrappen verarbeiten keine personenbezogenen Daten im Sinne der DSGVO, können jedoch das allgemeine Persönlichkeitsrecht verletzen, wenn sie einen dauerhaften Überwachungsdruck erzeugen. Wer Attrappen einsetzt, sollte dies im Hinweisschild kenntlich machen, wenn echte Kameras kombiniert werden.
Brauche ich für Baustellen-Kameras eine Datenschutz-Folgenabschätzung?
Eine DSFA nach Art. 35 DSGVO ist erforderlich bei großflächiger, dauerhafter Überwachung mit vielen Kameras oder KI-gestützter Verhaltensanalyse; für eine einzelne Baustellen-Kamera mit kurzer Laufzeit in der Regel nicht. Details im Abschnitt zu Baustellen und KRITIS.
Sind Videoaufnahmen aus privaten Kameras vor Gericht verwertbar?
Rechtswidrig erlangte Aufnahmen sind vor deutschen Gerichten häufig nicht als Beweismittel verwertbar. Aufnahmen, die unter Verletzung des Persönlichkeitsrechts entstanden sind, haben schlechte Chancen auf Verwertung und können zusätzlich Schadensersatzansprüche auslösen.
Praxishinweis: Wie LivEye Speicherdauer, Datenlokalisierung und Verhältnismäßigkeit technisch umsetzt
LivEye speichert Aufnahmen in einem hochgesicherten Rechenzentrum. Die LivEye-Leitstelle arbeitet rund um die Uhr und kombiniert automatisierte Detektion mit menschlicher Verifikation, um Fehlalarme zu reduzieren. Nur verifizierte Ereignisse werden gespeichert; nicht bestätigte Alarme werden verworfen, bevor personenbezogene Daten dauerhaft abgelegt werden. Das reduziert die tatsächlich gespeicherte Datenmenge erheblich und stärkt die Verhältnismäßigkeit nach DSGVO auf technischer Ebene.
Mobile LivEye-Systeme lassen sich flexibel auf Baustellen und temporären Anlagen installieren; Kamerawinkel sind anpassbar und Bildbereiche können maskiert werden. Für Betreiber von Solarparks oder KRITIS-Anlagen bietet LivEye spezialisierte autarke Lösungen, die auch ohne Netzanschluss DSGVO-konform betrieben werden können. Die Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO regelt Verarbeitungszwecke, Löschfristen und technische Schutzmaßnahmen verbindlich. Wer mehr zu den konkreten Systemkonfigurationen erfahren möchte, findet auf den Produktseiten weiterführende Informationen — oder nimmt direkt Kontakt auf.
