Keine Rechtsberatung. Diese Seite beschreibt wiederkehrende Themen der Datenschutzregulierung, soweit sie Videosysteme betreffen, damit Sie bessere Fragen stellen können. Welche Pflichten konkret gelten, hängt von Rechtsordnung, Einsatz und Organisation ab. Klären kann das allein eine qualifizierte Prüfung Ihres eigenen Einsatzes.
Video identifizierbarer Personen ist ein personenbezogenes Datum
Das ist der Ausgangspunkt unter praktisch jedem modernen Datenschutzregime. Aufnahmen, auf denen eine Person erkennbar ist, sind personenbezogene Daten über sie — und damit ist jemand dafür verantwortlich, wie sie erhoben, gespeichert, weitergegeben und gelöscht werden, unabhängig davon, ob überhaupt KI im Spiel ist.
Eine nützliche frühe Unterscheidung: Ein System, das erkennt, dass eine Person anwesend ist, tut etwas grundlegend anderes als eines, das bestimmt, welche Person das ist. Gesichtserkennung und Wiedererkennung werden üblicherweise als besondere Kategorie mit strengeren Voraussetzungen behandelt. Anwesenheitsbasierte Erkennung vermeidet diese Kategorie vollständig — das senkt die Eingriffstiefe, hebt die zugrunde liegende Pflicht aber nicht auf, denn es wird weiterhin identifizierbares Video aufgezeichnet.
Indien — der DPDP Act 2023
Für Installationen in Indien ist der Digital Personal Data Protection Act 2023 das maßgebliche Gesetz. Wiederkehrende, für Video relevante Themen:
- Information — Menschen sollten in klaren Worten darüber informiert werden, dass eine Verarbeitung stattfindet. Auf einem Gelände heißt das in der Regel gut sichtbare Beschilderung statt eines Dokuments, das niemand sieht.
- Rechtsgrundlage — die Verarbeitung braucht einen vertretbaren Grund, sei es eine Einwilligung oder ein anerkannter zulässiger Zweck. Welcher gilt, ist eine Festlegung, die man bewusst trifft und dokumentiert, statt sie implizit zu lassen.
- Zweckbindung — Aufnahmen, die zur Objektsicherung erhoben wurden, sollten nicht klammheimlich zu einem Anwesenheits- oder Leistungskontrollsystem werden. Eine schleichende Zweckausweitung ist ein Compliance-Vorfall.
- Speicherdauer — personenbezogene Daten sollten nicht ohne Grund unbegrenzt aufbewahrt werden. Eine dokumentierte Aufbewahrungsfrist lässt sich leichter verteidigen als „bis die Platte voll ist“.
- Sicherheit — angemessene Schutzmaßnahmen gegen unbefugten Zugriff.
- Rechte der betroffenen Personen — Einzelne haben Rechte hinsichtlich ihrer Daten, was voraussetzt, dass Sie wissen, was Sie vorhalten, und es auch finden können.
Europa — die DSGVO
Die DSGVO gilt, wo eine Niederlassung in der EU besteht oder betroffene Personen in der EU berührt sind. Ihre videorelevanten Themen überschneiden sich weitgehend mit den obigen — Rechtsgrundlage, Transparenz, Datenminimierung, Speicherbegrenzung, Sicherheit sowie die Betroffenenrechte einschließlich Auskunft und Löschung. Zwei Punkte kommen bei Kamerasystemen zusätzlich immer wieder auf: Für die systematische Überwachung öffentlicher oder halböffentlicher Bereiche wird häufig eine Datenschutz-Folgenabschätzung erwartet, und die biometrische Identifizierung unterliegt deutlich strengeren Voraussetzungen als die bloße Anwesenheitserkennung.
Wo solche Systeme üblicherweise scheitern
In der Praxis sieht ein Verstoß selten nach dramatischem Datenmissbrauch aus. Er sieht so aus:
- Keine Beschilderung — oder eine, die weder nennt, wer verantwortlich ist, noch wie man diese Stelle erreicht.
- Kameras, die über die Grundstücksgrenze hinausschauen — in den Garten der Nachbarn, auf einen öffentlichen Gehweg oder in einen Umkleidebereich. Der Bildbereich ist eine Datenschutzentscheidung und nicht nur eine technische.
- Eine Aufbewahrung nach dem Prinzip „bis der Platz ausgeht“, ohne dokumentierte Frist und ohne Möglichkeit, einem Löschverlangen nachzukommen.
- Ein einziges geteiltes Benutzerkonto am Rekorder, sodass sich die Frage „wer hat diese Aufnahmen angesehen“ nicht beantworten lässt.
- Aufnahmen, die den Standort verlassen — zu einem Cloud-Dienst oder auf ein privates Telefon, oft ohne dass das jemand entschieden hätte.
- Zweckverschiebung — ein Sicherheitssystem, das nach und nach zur Beobachtung von Beschäftigten genutzt wird.
Entwurfsentscheidungen, die Compliance erleichtern
Architektur kann Pflichten verringern, statt sie bloß zu dokumentieren:
- Verarbeitung und Speicherung lokal halten. Ein Archiv, das das Gelände nie verlässt, räumt eine ganze Klasse von Fragen zu Übermittlungen, Auftragsverarbeitern und Drittlandtransfers ab. Seien Sie bei der Ausnahme genau: Fast jedes System muss irgendetwas hinausschicken, um einen Menschen zu erreichen — eine Benachrichtigung, ein Standbild, einen kurzen Clip. Dieser Ausgangsweg ist klein, aber er ist real, und er gehört in Ihr Verarbeitungsverzeichnis statt in die Behauptung, es verlasse nie etwas das Haus.
- Anwesenheit erkennen, nicht Identität. Wenn der Anwendungsfall nur „jemand ist hier, und zwar schon eine Weile“ braucht, vermeidet der entsprechende Bau die biometrische Kategorie von vornherein.
- Aufbewahrung zur Richtlinie machen, nicht zum Zufall. Eine konfigurierbare, dokumentierte Frist, die tatsächlich löscht, ist weit besser vertretbar als eine Platte, die bei Vollstand überschreibt.
- Zugriff authentifizieren und protokollieren. Persönliche Zugangsdaten und ein Zugriffsprotokoll machen aus einer unbeantwortbaren Frage einen Bericht.
- So wenig wie möglich versenden. Ein Alarm, der einen kurzen, einschlägigen Clip mitbringt, offenbart weniger als einer, der eine Stunde Material exportiert.
Eine Checkliste für den Anfang
- Gibt es eine Beschilderung, und nennt sie, wer verantwortlich ist und wie man diese Stelle erreicht?
- Haben Sie Rechtsgrundlage und Zweck schriftlich festgehalten?
- Sieht irgendeine Kamera über Ihre Grundstücksgrenze hinaus?
- Gibt es eine festgelegte Aufbewahrungsfrist, und findet die Löschung tatsächlich statt?
- Verlassen Aufnahmen den Standort, und hat das jemand bewusst entschieden?
- Können Sie sagen, wer auf Aufnahmen zugegriffen hat?
- Könnten Sie antworten, wenn jemand fragt, was Sie über ihn oder sie vorhalten?
- Sind Kinder oder Patientinnen und Patienten betroffen? Rechnen Sie mit einem höheren Maßstab.
Wo ManasaView hier steht
ManasaView ist so gebaut, dass mehrere dieser Fragen eine strukturelle Antwort haben: Verarbeitung und Aufnahmen bleiben auf dem Gerät, die Erkennung ist anwesenheits- und nicht identitätsbasiert, die Aufbewahrung ist eine konfigurierbare Richtlinie, die wirklich löscht, und der Zugriff verlangt eine Anmeldung. Siehe auch privacy by design in video AI (englisch). Nichts davon stellt die Compliance an Ihrer Stelle her — die Einsatzentscheidungen und die Prüfung bleiben Ihre.
Häufige Fragen
Sind Videoaufnahmen personenbezogene Daten?
Wo Personen identifizierbar sind, ja — unter der DSGVO, dem indischen DPDP Act und den meisten vergleichbaren Regimen. Damit ist jemand dafür verantwortlich, wie sie erhoben, gespeichert, weitergegeben und gelöscht werden, ganz gleich ob eine Auswertung stattfindet oder nicht.
Erschwert der Einsatz von KI auf Video die Compliance?
Das hängt davon ab, was die KI tut. Systeme, die bestimmte Personen identifizieren, etwa Gesichtserkennung, werden üblicherweise als besondere Kategorie mit strengeren Voraussetzungen behandelt. Systeme, die nur erkennen, dass eine Person anwesend ist, ohne zu bestimmen wer, vermeiden diese Kategorie — die Aufnahmen selbst bleiben allerdings personenbezogene Daten.
Brauche ich eine Beschilderung für Sicherheitskameras?
Transparenzpflichten bedeuten in der Regel, dass Menschen wissen sollten, dass aufgezeichnet wird, und sichtbare Beschilderung ist auf einem Gelände der übliche Weg dorthin. Eine wirksame Beschilderung nennt typischerweise auch, wer verantwortlich ist und wie man diese Stelle erreicht.
Wie lange darf ich Videoaufnahmen aufbewahren?
Eine einzelne feste Zahl gibt es selten. Der Grundsatz lautet, dass personenbezogene Daten nicht länger aufbewahrt werden sollten, als es für den angegebenen Zweck nötig ist — es kommt also auf eine dokumentierte, begründete und tatsächlich durchgesetzte Aufbewahrungsfrist an. Branchenspezifische Regeln können eigene Mindest- oder Höchstfristen vorgeben.
Hilft es, Video vor Ort statt in der Cloud zu halten?
Es räumt eine erhebliche Klasse von Fragen zu Übermittlungen, Auftragsverarbeitern und Drittlandtransfers ab und verringert die Zahl der Stellen, die auf Aufnahmen zugreifen können. Die zugrunde liegenden Pflichten zu Information, Zweck, Aufbewahrung und Zugriffskontrolle hebt es nicht auf.
← Zurück zum Wissen