Der Grundsatz der Datenminimierung bei der Videoüberwachung: Wie viele Kameras, welche Bereiche, wie lange?

Der Grundsatz der Datenminimierung bei der Videoüberwachung bedeutet, ein Kamerasystem so zu konzipieren, dass es nur die Bilddaten erfasst, die für einen konkreten Zweck tatsächlich erforderlich sind - und zwar in einem räumlich, funktional und zeitlich möglichst engen Umfang. In der Praxis verlangt Art. 5 Abs. 1 Buchst. c DSGVO die Beantwortung von drei Fragen: Ist diese Kamera notwendig, erfasst sie den richtigen Bereich und führt die Systemarchitektur nicht zu einer übermäßigen Aufzeichnung von Bildmaterial [1]? Im Zusammenhang mit der Veröffentlichung von Fotos und Videos kommt noch eine weitere Anforderung hinzu: Bereits in der Planungsphase sollte visual data anonymization berücksichtigt werden, also die technische Vorbereitung des Materials für eine sichere Nutzung außerhalb des Überwachungssystems.

Für Compliance-, IT- und Management-Teams ist entscheidend, dass Datenminimierung nicht erst mit dem Löschen fertiger Aufnahmen beginnt. Sie setzt früher an: bei der Entscheidung, wie viele Kameras installiert werden, welche Bildausschnitte gewählt werden, welche Zonen von der Beobachtung ausgeschlossen bleiben und ob das Material später vor einer Veröffentlichung per face blurring oder license plate blurring bearbeitet werden muss. Dieser Ansatz entspricht der Logik von Privacy by Design nach Art. 25 DSGVO [1].

Datenminimierung bei der Videoüberwachung bedeutet nicht nur: weniger Kameras

Der häufigste Fehler besteht darin, Datenminimierung mit der einfachen Formel „je weniger Kameras, desto besser“ gleichzusetzen. Das greift zu kurz. Organisationen sollten in der Regel nicht nur die Anzahl der Geräte bewerten, sondern das Verhältnis zwischen Zweck und Bildumfang. Eine einzelne Weitwinkelkamera kann eingriffsintensiver sein als drei Kameras mit engem, präzise ausgerichtetem Sichtfeld. Der EDSA betont in seinen Leitlinien zur Verarbeitung personenbezogener Daten durch Videogeräte, dass Überwachung angemessen, relevant und auf das notwendige Maß beschränkt sein muss [2].

In der Praxis bedeutet das, dass die Begründung für den Umfang der Videoüberwachung wie eine Designentscheidung dokumentiert werden sollte. Eine pauschale Berufung auf Sicherheit reicht nicht aus. Erforderlich ist eine Beschreibung des Zwecks, des Risikos und der konkreten Zone. Wenn das Ziel etwa der Schutz des Eingangs zu einem Serverraum ist, lässt sich die Erfassung des gesamten Sozialflurs meist nur schwer rechtfertigen. Wenn der Zugang zu einem Parkplatz dokumentiert werden soll, ist zu prüfen, ob ein vollständiger Bildausschnitt mit Passanten und benachbarten Grundstücken nicht über das Erforderliche hinausgeht.

Ist jede Kamera notwendig? Der Erforderlichkeitstest in der Praxis

Eine sinnvolle Compliance-Praxis beginnt mit einem einfachen Test. Erstens sollte für jede Kamera einzeln ein Zweck benannt werden. Zweitens ist darzulegen, warum das Bildmaterial erforderlich und nicht nur praktisch ist. Drittens sollte beschrieben werden, ob derselbe Zweck mit einem engeren Bildausschnitt, einem anderen Montageort oder ohne die Erfassung bestimmter Personen erreicht werden kann. Viertens empfiehlt es sich zu prüfen, ob das Material ausschließlich Beweiszwecken dienen soll oder auch operativ genutzt wird, denn das beeinflusst die Architektur des gesamten Systems [1][2].

Dieser Ansatz ist auch dann relevant, wenn eine Organisation die spätere Nutzung von Aufnahmen oder Standbildern in der externen Kommunikation plant. Je breiter und weniger kontrolliert das Ausgangsmaterial ist, desto größer ist der Bedarf an Anonymisierung vor der Veröffentlichung. In solchen Szenarien kann Gallio PRO ein Baustein bei der Prozessgestaltung sein, weil sich Fotos und Videos damit durch automatische Erkennung und Unkenntlichmachung von Gesichtern und Kennzeichen für die Weitergabe aufbereiten lassen - nicht jedoch ganze Körperumrisse.

Wie lässt sich der Umfang der Videoüberwachung begründen? Die Dokumentation sollte den Bildausschnitt beschreiben, nicht nur den Zweck

In vielen Organisationen endet die Begründung für Videoüberwachung bei der Formel „Gewährleistung der Sicherheit von Personen und Eigentum“. Das ist zu wenig. Eine gute Projektdokumentation sollte beantworten: Warum befindet sich die Kamera an diesem Ort? Welchen Bereich erfasst sie? Welche Zonen wurden bewusst von der Beobachtung ausgenommen? Wer erscheint im Bild? Und besteht das Risiko einer späteren Zweckänderung, etwa für Veröffentlichungen oder Schulungen? Genau an diesem Punkt treffen Datenminimierung und die Anonymisierung visueller Daten aufeinander.

Wenn eine Organisation davon ausgeht, dass ein Teil des Materials im Marketing, in der PR, in der Krisenkommunikation oder bei der Beantwortung von Auskunftsersuchen nach Informationsfreiheitsrecht verwendet werden könnte, sollte die Architektur so gestaltet werden, dass das Ausgangsmaterial möglichst „sauber“ ist. Dazu trägt bei, unnötige Zonen zu begrenzen und anschließend ein Verfahren für face blurring und license plate blurring festzulegen. Ein solcher Workflow lässt sich praktisch bewerten, indem man die Demo herunterlädt und prüft, ob sich Material aus einem konkreten Standort ohne übermäßigen manuellen Aufwand für die Veröffentlichung vorbereiten lässt.

Problematische Bereiche: Umkleiden, Toiletten und Sozialräume

Gerade diese Räume zeigen oft, ob eine Organisation den Grundsatz der Datenminimierung tatsächlich anwendet. Die Leitlinien des EDSA weisen darauf hin, dass Überwachung an Orten, an denen Personen ein besonders hohes Maß an Privatsphäre erwarten, eine sehr starke Rechtfertigung erfordert und häufig schlicht unzulässig sein wird [2]. Das gilt insbesondere für Toiletten, Umkleideräume und vergleichbare Bereiche.

In Bezug auf Toiletten ist die praktische Antwort meist einfach: Eine Kamera im Inneren des Raums sollte grundsätzlich nicht installiert werden. Eine etwaige Beobachtung kann sich allenfalls auf den Eingangsbereich beziehen, wenn dies tatsächlich gerechtfertigt ist und der Bildausschnitt keinen Einblick in das Innere ermöglicht. Ähnlich verhält es sich bei Umkleiden. Die Aufzeichnung des Umziehens von Mitarbeitenden, Gästen oder Kunden ist kaum mit dem Grundsatz der Verhältnismäßigkeit und Datenminimierung vereinbar [2][3].

Sozialräume erfordern eine differenziertere Bewertung, gehören aber ebenfalls zu den Hochrisikobereichen. Es sind Orte der Erholung, privater Gespräche und Tätigkeiten, die nicht unmittelbar mit Zugangskontrolle oder Objektschutz zusammenhängen. Organisationen kommen daher häufig zu dem Schluss, dass die Überwachung eines solchen Raums zu weit geht - es sei denn, es geht um einen sehr engen Ausschnitt, etwa den Zugang zu einem abgetrennten Lagerbereich mit wertvoller Ausrüstung. In diesem Fall sollte die Kamera nicht den gesamten Sozialraum erfassen, sondern nur einen konkreten Zugangspunkt.

Tabelle zur Bewertung der Erforderlichkeit einer Kamera nach Bereich

Wie lange? Eine architektonische, nicht nur eine Frage der Speicherfrist

Das im Titel genannte „wie lange“ muss nicht nur die Löschpolitik für Aufnahmen betreffen. Bereits bei der Systemplanung stellt sich vor allem die Frage, ob die Architektur eine dauerhafte, vollständige Bildaufzeichnung erzwingt oder ob sie eine Begrenzung von Dauer und Umfang der Erfassung erlaubt. Datenminimierung kann bedeuten, ereignisgesteuerte Kameras zu wählen, Bewegungszonen abzugrenzen, Betriebszeiten einzuschränken oder auf unnötige Daueraufzeichnung zu verzichten. Das sind technische Entscheidungen, die sich auf die Compliance auswirken, noch bevor das erste Archiv entsteht [1][2].

Aus Sicht der Veröffentlichung visuellen Materials hat das messbare Folgen. Je weniger unnötiges Bildmaterial das System sammelt, desto geringer ist der spätere Prüf- und Anonymisierungsaufwand. Das reduziert Risiken, auch wenn das konkrete Einsparpotenzial bei Zeit und Kosten immer vom jeweiligen Umfeld, von der Materialqualität und vom gewählten Prozess abhängt.

Visual data anonymization als Teil der Planung von Videoüberwachung

Visual data anonymization ersetzt die Datenminimierung nicht. Sie ergänzt sie. Wenn eine Organisation von vornherein weiß, dass Bildausschnitte aus der Videoüberwachung auch außerhalb des ursprünglichen Zwecks genutzt werden könnten - etwa in der Medienkommunikation, in Schulungsmaterialien oder in Online-Veröffentlichungen -, sollte sie von Anfang an vorsehen, wie die Identifizierbarkeit von Personen und Fahrzeugen reduziert wird. In der Praxis bedeutet das meist face blurring und license plate blurring.

Dabei ist technische Präzision wichtig. Gallio PRO macht automatisch nur Gesichter und Kennzeichen unkenntlich. Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Inhalte auf Monitoren werden nicht automatisch erkannt. Solche Elemente können manuell im integrierten Editor verdeckt werden. Die Software führt keine Echtzeit-Anonymisierung und keine Anonymisierung von Videostreams durch; ihre Rolle besteht daher in der Nachbearbeitung bereits aufgezeichneter Inhalte und nicht in der Filterung des Live-Bildes.

Bei Projekten mit erhöhtem Infrastrukturbedarf, einschließlich lokaler Implementierungen und Umgebungen mit gesteigerten Sicherheitsanforderungen, empfiehlt es sich, das Team zu kontaktieren und das On-Premise-Softwaremodell sowie die Einbindung der Anonymisierung in die bestehende Videoüberwachungsarchitektur zu besprechen.

Gesichter und Kennzeichen: Was sollte in der Projektphase wirklich berücksichtigt werden?

Bei der Veröffentlichung visuellen Materials stellt ein Gesicht in der Praxis häufig ein personenbezogenes Datum dar, und seine Offenlegung erfordert eine Rechtsgrundlage oder den Einsatz von Anonymisierung. Die Pflicht zur Unkenntlichmachung vor der Veröffentlichung ergibt sich nicht automatisch allein aus der DSGVO, sondern hängt von der Rechtsgrundlage der Verarbeitung, dem Veröffentlichungszweck und von gesonderten Vorschriften zur Verbreitung von Bildnissen ab. Grundsätzlich ist eine Einwilligung etwa dann nicht erforderlich, wenn die Person für das Posieren eine vereinbarte Vergütung erhalten hat und nichts anderes vorbehalten wurde, oder wenn es sich um eine Person des öffentlichen Lebens handelt, die im Zusammenhang mit der Wahrnehmung öffentlicher, gesellschaftlicher oder beruflicher Funktionen abgebildet wurde, oder wenn das Bildnis nur ein Beiwerk eines größeren Ganzen wie einer Versammlung, einer Landschaft oder einer öffentlichen Veranstaltung ist.

Kennzeichen sind rechtlich komplexer. Nach der DSGVO gibt es keine Regel, wonach ihre Unkenntlichmachung in ganz Westeuropa stets erforderlich wäre oder sich als einheitlicher Rechtsstandard aus „EU-Empfehlungen“ ergäbe. Die Bewertung hängt vom Kontext und davon ab, ob ein Kennzeichen unter den konkreten Umständen die Identifizierung einer natürlichen Person ermöglicht. Auch in Polen ist die Rechtslage insoweit nicht vollständig eindeutig. Eine vorsichtige organisatorische Praxis spricht daher häufig für license plate blurring vor der Veröffentlichung öffentlich zugänglicher Inhalte.

Datenminimierung und Protokolle bzw. Systemspuren

Obwohl sich der Artikel auf Bildmaterial konzentriert, betreffen architektonische Entscheidungen auch die Frage, welche technischen Informationen das Anonymisierungstool selbst hinterlässt. Aus Sicht des Datenschutzes ist es sinnvoll, auch solche Spuren zu begrenzen, die visuelle Daten indirekt offenlegen könnten. In diesem Zusammenhang ist relevant, dass Gallio PRO keine Protokolle speichert, die Erkennungsdaten oder personenbezogene Daten enthalten.

Die wichtigste Schlussfolgerung für Geschäftsführung, DSB und IT-Leitung

Ein Videoüberwachungssystem, das dem Grundsatz der Datenminimierung entspricht, ist nicht „groß, weil sicher“, sondern präzise. Jede Kamera sollte gesondert begründet werden. Jeder Bildausschnitt sollte bewusst begrenzt sein. Jeder Bereich mit erhöhter Privatsphäreerwartung sollte als Ausnahme und nicht als Standard behandelt werden. Wenn Material später außerhalb der Videoüberwachung weiterverwendet werden soll, muss visual data anonymization bereits in der Lösungsarchitektur berücksichtigt werden - nicht erst nach einem Vorfall oder unmittelbar vor der Veröffentlichung.

FAQ - Datenminimierung bei der Videoüberwachung

Bedeutet Datenminimierung einfach, weniger Kameras zu installieren?

Nein. Entscheidend ist vor allem die Angemessenheit des Bildausschnitts im Verhältnis zum Zweck. Eine falsch ausgerichtete Kamera kann die Privatsphäre stärker beeinträchtigen als mehrere präzise geplante Geräte [1][2].

Darf eine Kamera in einer Umkleide installiert werden?

In der Regel nein. Umkleiden gehören zu Bereichen mit sehr hoher berechtigter Privatsphäreerwartung. Ein an der Datenminimierung orientierter Ansatz führt meist dazu, den Innenbereich solcher Zonen von der Überwachung auszunehmen [2][3].

Darf eine Toilette videoüberwacht werden?

Grundsätzlich nein. In der Praxis kann allenfalls die Beobachtung des Eingangsbereichs erwogen werden, sofern der Bildausschnitt keinen Einblick ins Innere bietet und eine konkrete Sicherheitsbegründung vorliegt [2].

Schließt ein Sozialraum Videoüberwachung immer aus?

Nicht immer, aber es handelt sich um einen Bereich mit hohem Risiko für die Privatsphäre. Die Überwachung des gesamten Sozialraums lässt sich in der Regel nur schwer rechtfertigen. Mitunter wird lediglich ein sehr enger Zugangspunkt zu einer abgetrennten technischen Zone geprüft.

Anonymisiert Gallio PRO das gesamte Bild oder ganze Personen?

Nein. Gallio PRO macht automatisch ausschließlich Gesichter und Kennzeichen unkenntlich. Andere Elemente wie Dokumente, Ausweise, Logos, Tätowierungen oder Inhalte auf Bildschirmen erfordern manuelle Bearbeitung im Editor.

Arbeitet Gallio PRO in Echtzeit auf dem Kamerastream?

Nein. Die Software führt weder Echtzeit-Anonymisierung noch Stream-Anonymisierung durch. Sie dient der Aufbereitung bereits aufgezeichneter Inhalte für die weitere Verwendung.

Müssen Kennzeichen vor einer Veröffentlichung immer unkenntlich gemacht werden?

Nicht immer. Die Bewertung hängt vom Kontext, vom Veröffentlichungszweck und davon ab, ob das Kennzeichen unter den konkreten Umständen zur Identifizierung einer natürlichen Person führen kann. In der Vorsorgepraxis entscheiden sich dennoch viele Organisationen dafür, Kennzeichen vor der Veröffentlichung öffentlich zugänglicher Inhalte zu verdecken.