Wer sind die Hauptanspruchsgruppen in Bezug auf die Videoüberwachung unter den Gesichtspunkten der DSGVO?

Rechte der betroffenen Personen

Paragraph 12 bis 23 DSGVO behandeln die Rechte der betroffenen Personen.

• Abschnitt 1: Transparenz und Modalitäten
  • Paragraph 12: Transparente Informationen, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
• Abschnitt 2: Informationen und Zugriff auf personenbezogene Daten
  • Paragraph 13: Informationen, die zur Verfügung gestellt werden müssen, wenn personenbezogene Daten der betroffenen Person erhoben werden
  • Paragraph 14: Informationen, die zur Verfügung gestellt werden müssen, wenn personenbezogene Daten der betroffenen Person erhoben wurden
  • Paragraph 15: Das Recht der betroffenen Person, Zugang zu ihren Daten zu erhalten (siehe Das Zugriffsrecht)
• Abschnitt 3: Berichtigung und Löschung
  • Paragraph 16: Berichtigungsrecht
  • Paragraph 17: Das Recht, vergessen zu werden (Recht auf Löschung) (siehe Das Recht, vergessen zu werden (Recht auf Löschung))
  • Paragraph 18: Das Recht, die Verarbeitung zu beschränken (siehe Das Recht auf die Beschränkung der Verarbeitung)
  • Paragraph 19: Benachrichtigungspflicht bei Berichtigung oder Löschung personenbezogener Daten oder bei Einschränkung der Verarbeitung
  • Paragraph 20: Recht auf Datenübertragbarkeit
• Abschnitt 4: Widerspruchsrecht und automatisierte individuelle Entscheidung
  • Paragraph 21: Widerspruchsrecht
  • Paragraph 22: Automatisierte individuelle Entscheidung, einschließlich Profilerstellung
• Abschnitt 5: Einschränkungen
  • Paragraph 23: Einschränkungen

Diejenigen davon, die im Hinblick auf die Videoüberwachung am wichtigsten sind, sind folgende:

Anfrage einer betroffenen Person

Ihr Unternehmen muss über ein Verfahren zur Behandlung von Anfragen zu den Rechten betroffener Personen verfügen, z. B. die Ausübung des Rechts auf Datenzugriff. Eine solche Anfrage muss innerhalb eines angemessenen Zeitrahmens bearbeitet werden. Nach Paragraph 12 (3) DSGVO muss dies "unverzüglich, in jedem Fall jedoch innerhalb eines Monats nach Eingang der Anfrage" erfolgen. Es wird empfohlen, eine Vorlage eine Anfrage einer betroffenen Person zu verwenden, um solche Anfragen zu dokumentieren, da dies in einem DSGVO-Fall vor nationalen Datenschutzbehörden entscheidend sein kann. Einen Musterantrag einer betroffenen Person finden Sie unter Milestone Musterantrag einer betroffenen Person.

Die Richtlinie zur Videoüberwachung beschreibt den Antrag betroffener Personen (siehe Anhang: Richtlinie für die Videoüberwachung).

Was sind personenbezogene Daten?

Um die DSGVO zu erfüllen, müssen Sie wissen, was personenbezogene Daten sind, und die Erfassung dieser Daten auf das notwendige Maß beschränken.

Nach der Verordnung sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.

Eine identifizierbare Person ist jemand, der direkt oder indirekt durch Bezugnahme auf eine Kennung identifiziert werden kann, wie z. B.:

• Einen Namen
• Eine Kennnummer
• Standortdaten
• Online-Kennungen wie IP-Adressen oder Cookies
• Benutzerdaten
• Videobilder
• Oder auf einen oder mehrere Faktoren, die eindeutig auf die physische, physiologische, genetische, mentale, wirtschaftliche, kulturelle oder soziale Identität dieser Person hindeuten

Personenbezogene Daten sind alle Informationen, die direkt oder indirekt zur Identifizierung einer natürlichen Person (die betroffene Person) verwendet werden können. Dies sind die Daten, die zur Identifizierung der betrachteten Objekte der Videoüberwachung verwendet werden können, unabhängig davon, ob diese Daten absichtlich oder zufällig gesammelt wurden.

Laut DSGVO geschützte personenbezogene Daten sind:

• Daten, die durch ein IT-Produkt oder den IT-basierten Dienst verarbeitet werden (z. B. Name und Adresse einer Person, Videobild, Zahlungsdaten, Gesundheitsdaten).
• Daten, die bei der Nutzung des Produkts oder Dienstes beiläufig anfallen (z. B. Nutzungsdaten, Protokolldatei, statistische Daten, Daten zur Autorisierung, Konfigurationsdaten). Bei diesen Daten kann es sich um personenbezogene Daten der Nutzer des Dienstes, personenbezogene Daten der Personen, die das Produkt oder den Dienst betreiben (dazu können sowohl Mitarbeiter des Dienstanbieters als auch Mitarbeiter der Nutzer des Produkts oder des Dienstes gehören), oder um datenschutzrelevante Konfigurationsdaten handeln (siehe Die für die Verarbeitung verantwortliche Person).

Personenbezogene Daten werden definiert als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person oder auf eine betroffene Person beziehen, z.B.:

Solche Daten stehen nicht unbedingt nur in einem direkten Zusammenhang mit dem Objekt. Personenbezogene Daten können auch Quasi-Identifikationen sein. Quasi-Identifikationen sind Informationen, die selbst keine eindeutigen Identifikationen sind, aber ausreichend gut mit etwas korrelieren, so dass sie mit anderen Quasi-Identifikationen kombiniert eine eindeutige Identifikation bilden. Quasi-Identifikationen sind besonders wichtig, wenn es um spezielle Kategorien personenbezogener Daten geht.

Spezielle Kategorien personenbezogener Daten sind u.a. Daten, die die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, Daten über Gesundheit oder Daten zum Sexualleben oder zur sexuellen Orientierung abbilden, z. B.:

Die folgenden personenbezogenen Daten können von einem Videoüberwachungssystem erfasst werden:

Was für personenbezogene Datenbeschreibungen, die von XProtect gespeichert werden, fallen unter die DSGVO?

Personenbezogene Daten sind alle Informationen, die direkt oder indirekt zur Identifizierung einer natürlichen Person (der betroffenen Person) verwendet werden können. Dies können Videoüberwachungsstreams, Einzelbilder oder eine Videosequenz in Kombination mit Standortinformationen von Kameras und/oder darüber gelegten Karten, eine Zutrittskontrollintegration, die eine persönliche Zugangskarte erkennt und mit einem bestimmten Standort kombiniert, oder Daten aus der Nummernschilderkennung (LPR) mit oder ohne Standortdaten sein.

Besondere Kategorien personenbezogener Daten liegen vor, wenn die Videoüberwachung in der Nähe von Krankenhäusern (Gesundheitsdaten), Gefängnissen (strafrechtliche Verurteilungen), politischen Aktivitäten (Gewerkschaftsmitgliedschaft), religiösen Aktivitäten oder Bildern erfolgt, die die sexuelle Orientierung offenbaren (z. B. Bars, die von Homosexuellen frequentiert werden).

Personenbezogene Daten sind auch Benutzerdaten (Bediener, Vorgesetzter und Administrator) sowie auf die Protokollierung von Aktivitäten und Audits. Dazu gehören XProtect Smart Client persönliche Benutzerprotokolle, einschließlich Zeitstempel für die An- und Abmeldung und Audit-Protokolle von Videoströmen, auf die zugegriffen wurde, Audio- oder Metadaten sowie die Wiedergabe und der Export von Aufzeichnungen.

Angaben dazu, wie Sie sich vergewissern, dass Sie niemandes Persönlichkeitsrechte verletzen, finden Sie unter Inhärente Risiken bei der Verwendung von VMS.

Sicherheitsbeauftragter (der das VMS überwacht)

Der Sicherheitsbeauftragte ist dafür zuständig, dafür zu sorgen, dass das Umfeld der DSGVO entspricht. Sicherheitsbeauftragte müssen:

• Legen Sie Benutzerberechtigungen fest (siehe Verwaltung von Benutzerberechtigungen)
• Schulungen zur Bewusstmachung des Personals vorantreiben (siehe Schulungen zum Datenschutz)
• Sich an den Datenschutzbeauftragten (DSB) wenden, wenn der Verdacht besteht, dass ein Verstoß gegen die DSGVO vorliegt, z. B. wenn Videomaterialien gegen den Datenschutz verstößt (siehe Anhang: Einhaltung der DSGVO)
• Eine hohes Maß an allgemeiner Sicherheit anwenden und aufrechterhalten. Weitere Informationen dazu, wie Sie Ihre XProtect-VMS-Installationen vor Cyber-Angriffen schützen, finden Sie im Absicherungsleitfaden.

VMS-Systemadministrator

Systemadministratoren sind für die Einrichtung einer Systemumgebung verantwortlich, die der DSGVO entspricht. Systemadministratoren haben u.a. folgende Zuständigkeiten:

• Eine hohes Maß an allgemeiner Sicherheit anwenden und aufrechterhalten. Weitere Informationen dazu, wie Sie Ihre XProtect-VMS-Installationen vor Cyber-Angriffen schützen, finden Sie im Absicherungsleitfaden.
• Anwendung sicherer Passwortregeln
• Durchführung von Sicherheitsaudits
• Darauf zu achten, dass die Geräte dem festgelegten Zweck entsprechend aufzeichnen - z. B. bei einem Zwischenfall, bei Bewegungen, immer eingeschaltet, usw.
• Darauf zu achten, dass die Dauer der Aufzeichnungen und die Speicherdauer für die Audit-Protokolle den örtlich geltenden Gesetzen und dem definierten Zweck des VMS folgen
• Die Benutzerverwaltung (Benutzer hinzufügen und entfernen)
• Darauf zu achten, dass die Kameras die Gesetze zum Datenschutz einhalten und keine Bereiche aufzeichnen, die nicht aufgezeichnet werden dürfen, und dass Bereiche, die nicht aufgezeichnet werden dürfen, unkenntlich gemacht werden
• Sich an den Datenschutzbeauftragten (DSB) zu wenden, wenn der Verdacht besteht, dass ein Verstoß gegen die DSGVO vorliegt, z. B. wenn Videomaterial gegen den Datenschutz verstößt (siehe Anhang: Einhaltung der DSGVO)

VMS-Bediener

Die Bediener des VMS müssen Prozesse und Arbeitsanweisungen befolgen, wenn sie auf Daten im System zugreifen, z. B. beim Betrachten oder Exportieren von Videos usw.

Zur Einhaltung der DSGVO haben die Bediener folgende Verantwortung:

• Ein allgemeines Verständnis der DSGVO und der Regeln für den Datenexport
• Eine Schulung im Hinblick auf die DSGVO

  Die Bediener sollten in der Funktion des Videoüberwachungssystems ausreichend geschult sein, damit die Privatsphäre und sonstige Grundrechte der von den Kameras erfassten Personen nicht verletzt werden. Sie müssen darüber unterrichtet werden, was in den Richtlinien für die Videoüberwachung festgelegt ist (z. B. Verfahren für die Herausgabe von Videobeweisen), an wen sie sich im Zweifelsfall wenden können (Eskalationsstellen, z. B. der Vorgesetzte oder der Datenschutzbeauftragte) usw. (siehe Sicherheitsbeauftragter (der das VMS überwacht)).

  Weitere Informationen zur DSGVO für den Anwender einer VMS finden Sie in der Milestone DSGVO-Datenschutzrichtlinie für VMS-Anwender und im Milestone E-Learning zur DSGVO für VMS-Anwender.

Umgang mit exportierten Daten

Der Export erfolgt, wenn es einen Zwischenfall gab, der die Weitergabe von Beweisen an die Behörden erforderlich macht. Wenn Sie als Benutzer die Berechtigung haben, Beweise zu exportieren, tragen Sie die Verantwortung für den Umgang damit. Der Grund für die Sensibilität liegt zum einen im Inhalt, und zum anderen in der Tatsache, dass die Daten das Überwachungssystem verlassen. Mit hoher Wahrscheinlichkeit hat es einen Vorfall gegeben, bei dem kriminelle Handlungen eine Rolle spielen. Die Beweisen können auch sensible private Einzelheiten enthalten. Wenn Sie diese exportieren, werden sie üblicherweise auf irgendeinem Wechseldatenträger (USB-Laufwerk, optischer Datenträger usw.) gespeichert.

Sollten diese Daten in die falschen Hände geraten, wäre die Privatsphäre der betroffenen Personen, die in den Beweismitteln erscheinen, verloren.

Sie sollten ein klares Verfahren für den Export von Beweismitteln haben, zu dem u.a. gehört:

• Wer kann Beweismittel exportieren?
• Wo werden die Beweismittel gespeichert, bis sie den Behörden übergeben werden?
• Wer hat Zugang dazu?
• Welche Formate sind zu verwenden?
• Ob eine Verschlüsselung zur Anwendung kommen sollte (dies wird empfohlen)?
• Wann werden die Beweismittel zerstört?

Die für die Verarbeitung Verantwortlichen müssen technische und organisatorische Maßnahmen ergreifen, um Daten zu schützen, die das Milestone XProtect VMS verlassen. Dies können u.a. folgende Maßnahmen sein:

• Einschränkung der Berechtigung zum Exportieren von Videos und Prüfprotokollen auf bestimmtes Personal
• Erwägen Sie, die Daten vor oder nach dem Exportieren zu verschlüsseln
• Videodaten sind vor dem Exportieren ggf. unkenntlich zu machen
• Physischer Schutz von Wechselmedien mit persönlichen Daten darauf
• Es sind Richtlinien dafür aufzustellen, dass personenbezogene Daten am Ende der Aufbewahrungsfrist von den Medien gelöscht werden
• Es ist ein Register der Wechseldatenträger zu führen - wer hat welche Daten auf die Datenträger exportiert? An wen wurden sie weitergeleitet und zu welchem Zweck? Wird der Empfänger informiert, dass er die Medien nach Erreichen des Zwecks zu vernichten oder zurückzugeben hat? usw.
• Verwenden Sie die Gruppenrichtlinien von Windows, um USB-Anschlüsse oder den Medienzugriff auf den Client-PCs zu deaktivieren
• Überwachen Sie die Audit-Protokolle auf unbefugte Export-Ereignisse
• Mitarbeiter sind auf die Datenschutzpolitik zu verpflichten
• Bereinigen Sie die Medien ordnungsgemäß oder löschen Sie sie physisch, wenn eine Bereinigung nicht möglich ist (z. B. bei DVDs)

Sofern erforderlich, sollte der VMS-Anwender Teile einer Kameraansicht aus einer Videosequenz, die an Dritte weitergegeben werden soll, mit der Exportfunktion von Smart Client und nicht von XProtect Web Client ausblenden, da XProtect Web Client keine Privatsphärenausblendung unterstützt.

Weitere Informationen zum Umgang mit Datenexporten finden Sie im Milestone E-Learning zur DSGVO für VMS-Bediener.

Umgang mit exportierten Daten in Benachrichtigungen und E-Mails

Neben dem Export können die Daten auch in Form von Anhängen an Benachrichtigungen aus dem VMS extrahiert werden. Benachrichtigungen sind E-Mails, die an eine bestimmte E-Mail-Adresse gesendet werden. Beim Erstellen einer Benachrichtigung kann der Administrator wählen, ob er mehrere Schnappschüsse oder eine AVI einer Sequenz mit einschließen möchte. Da die angehängten Momentaufnahmen und AVI-Sequenzen in den Benachrichtigungen das VMS verlassen, befinden sie sich für die Zwecke des Benutzerzugriffs und der Aufbewahrung nicht mehr unter der Kontrolle des VMS. Es wird empfohlen, keine Bilder oder AVI-Sequenzen an E-Mail-Benachrichtigungen anzuhängen. Wenn die Anhänge erforderlich sind, müssen Sie zumindest sicherstellen, dass es organisatorische Verfahren und Kontrollen dafür gibt, wer die E-Mails erhält und wie damit umgegangen wird.

VMS-Anwender, die ein mobiles Gerät verwenden, müssen sich darüber im Klaren sein, dass Mediengalerien auf ihrem Gerät automatisch auf Google oder Apple-Servern gesichert werden können, wenn dies auf dem Gerät so konfiguriert ist. In diesem Fall könnte es zu einer unrechtmäßigen Datenübermittlung in ein Drittland kommen, wenn es sich um Bilder von identifizierbaren natürlichen Personen handelt.

Um dies in den Griff zu bekommen, sollten Sie Datenschutz- und Sicherheitsrichtlinien mit Software für die Mobilgeräteverwaltung (Mobile Device Management, MDM) durchsetzen und Sicherheitsvorkehrungen wie die in Richtlinien zum Schutz der Nutzung von Mobilgeräten aufgeführten treffen.

Außerdem sollten Sie ein klares Verfahren haben u.a. für:

• Wo die Daten gespeichert werden

  Achten Sie darauf, dass die E-Mail-Server für den Versand und Empfang unter der Kontrolle der Organisation stehen, die für die Verarbeitung der Daten aus der Videoüberwachung verantwortlich ist / die Daten verarbeitet. Insbesondere sollte es sich bei den Empfängern nicht um Freemail-Konten wie Gmail oder Hotmail usw. handeln.

• Wer hat Zugang dazu?

• Welche Formate sind zu verwenden?

• Ob eine SMTP-Verschlüsselung zur Anwendung kommen sollte

  Verwenden Sie einen SMTP/SMTPS-Mailserver. Sie müssen die Verbindung zwischen dem VMS und den Postausgangsservern sowie zwischen dem sendenden und dem empfangenden SMTP-Server verschlüsseln.

• Wann werden die Daten vernichtet?

  Milestone empfiehlt, die Aufbewahrungszeit von Videodaten in den Ausgangs- und Eingangspostfächern an die Speicherdauer der Mediendatenbank oder an die Speicherdauer für Alarme anzupassen, die durch dieselben Ereignisse ausgelöst worden sein können, die auch die Benachrichtigung verursacht haben.

  Die Speicherdauer in den Mailboxen muss so begrenzt werden, wie es für den Zweck des Benachrichtigungsprozesses angemessen ist.

  Milestone empfiehlt, nur Postfächer des für die Verarbeitung Verantwortlichen / des Datenverarbeiters zu verwenden und die automatische Löschung der E-Mails nach Erreichen der festgelegten Speicherdauer zu konfigurieren.

  Die die Verarbeitung Verantwortlichen / Datenverarbeiter sollten darauf achten, dass diese Postfächer vom E-Mail-System nicht automatisch archiviert werden.

Überlegungen zur Beweissicherung

Mit der Funktionalität Beweissicherung können Client-Anwender Videosequenzen, einschließlich Audio und andere Daten vor dem Löschen schützen, falls erforderlich, z. B. bei einer laufenden Untersuchung oder einem laufenden Gerichtsverfahren.

Sofern geschützt, können Daten nicht gelöscht werden, weder automatisch vom System nach der standardmäßigen Speicherzeit oder in anderen Situationen, noch manuell vom Client-Benutzer. Das System oder ein Benutzer kann die Daten erst löschen, wenn ein Benutzer mit ausreichenden Benutzerrechten die Beweismittel freigibt.

Sie müssen die Aufzeichnungen nur so lange unter Verschluss halten, wie es einen triftigen Grund dafür gibt, z. B. eine laufende Untersuchung. Die Aufbewahrung von Aufzeichnungen auf unbestimmte Zeit ist nicht mit der DSGVO vereinbar.

Überlegungen zu Video-Push

Mit Video-Push kann der Betreiber Live-Videos von einem Smartphone auf das VMS streamen.

Video-Push ist aufgrund seiner Mobilität wahrscheinlich aufdringlicher als die herkömmlicheren, stationären Überwachungssysteme.

Bevor Sie sich für ein System mit diesen Funktionen entscheiden, müssen Sie dessen Einsatz rechtfertigen und überlegen, ob er verhältnismäßig und notwendig ist und ein dringendes soziales Bedürfnis befriedigt. Wie empfehlen Ihnen, eine Datenschutz-Folgenabschätzung vorzunehmen, um nachzuweisen, dass dies der Fall ist. Siehe Anhang: Datenschutz-Folgenabschätzung.

Bei der Verwendung von Geräten mit Video-Push-Fähigkeit ist es wichtig zu wissen, wann sie aufzeichnen sollten und wann nicht. Wichtig ist auch, dass Sie diese Geräte nur innerhalb der für Ihre Videoüberwachungsanlage definierten Räumlichkeiten einsetzen, d. h. in dem Bereich, in dem Sie Schilder angebracht haben. Daher ist es wichtig, dass eine deutliche Kennzeichnung, z. B. auf Uniformen, darauf hinweist, dass Videoaufzeichnungen gemacht werden.

Die Bediener dieser Geräte sind darin zu schulen, wo diese Funktion eingesetzt werden darf und wie die Privatsphäre der mit Video-Push aufgezeichneten Personen zu respektieren ist, z. B. indem keine Aufnahmen von Personen in privaten oder heiklen Situationen gemacht werden. Siehe Schulungen zum Datenschutz.

Verletzung des Datenschutzes bei personenbezogenen Daten

Die DSGVO definiert eine "Verletzung des Schutzes personenbezogener Daten" als "eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Weitergabe von - oder zum Zugriff auf - personenbezogene Daten führt, die übermittelt, gespeichert oder anderweitig verarbeitet werden."

Im Fall einer Verletzung der Sicherheit muss der DSB entscheiden, ob er die Datenschutzbehörde und die betroffenen Personen gemäß Paragraph 33 und 34 DSGVO benachrichtigt.

Nach Paragraph 33 (1) DSGVO:

Im Fall einer Verletzung des Schutzes personenbezogener Daten meldet der für die Verarbeitung Verantwortliche die Verletzung des Schutzes personenbezogener Daten unverzüglich, und möglichst innerhalb von 72 Stunden, nachdem er davon Kenntnis erlangt hat, der gemäß Paragraph 55 zuständigen Aufsichtsbehörde, es sei denn, es ist unwahrscheinlich, dass die Verletzung des Schutzes personenbezogener Daten zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht innerhalb von 72 Stunden, so sind Gründe für die Verzögerung beizufügen.

Wenn es als notwendig erachtet wird, muss der für die Datenverarbeitung Verantwortliche die Benachrichtigung über die Datenverletzung innerhalb von 72 Stunden nach Bekanntwerden der Verletzung veröffentlichen (siehe Verletzung des Datenschutzes bei personenbezogenen Daten). Eine Mustervorlage für eine Benachrichtigung über eine Datenschutzverletzung finden Sie unter Milestone Vorlage für eine Benachrichtigung über eine Datenschutzverletzung. Auch die betroffenen Personen sind zu benachrichtigen, wenn die Verletzung personenbezogener Daten "wahrscheinlich zu einem hohen Risiko für die Rechte und Freiheiten von Personen führt."

Datenverarbeiter, die von einer Verletzung des Schutzes personenbezogener Daten betroffen sind, müssen den für die Verarbeitung Verantwortlichen benachrichtigen, haben jedoch nach der DSGVO ansonsten keine weiteren Benachrichtigungs- oder Meldepflichten.

Weitere Informationen zu den Aufgaben des DSB finden Sie unter Die für die Verarbeitung verantwortliche Person.