Überwachung des Firmengeländes

Die Überwachung von Beschäftigten ist datenschutzrechtlich gesehen ein sehr kompliziertes und komplexes Thema. Im Beitrag „Ist Mitarbeiterüberwachung erlaubt?“ hatten wir uns auch schon mit dem Thema beschäftigt. Wie verhält es sich nun aber mit der Überwachung des Firmengeländes? Ist dies aus Sicht des Datenschutzes unbedenklich?

Gründe für die Überwachung

Eine Einrichtung kann sich aus verschiedenen Gründen dafür entscheiden, ihr Firmengelände zu überwachen. Der hauptsächliche Grund für solch ein Vorhaben ist wahrscheinlich meist der Eigentumsschutz. Möglicherweise befindet sich auf dem Gelände ein Rechenzentrum. Wird dies zerstört oder werden Teile davon gestohlen, kann dies schwerwiegende Folgen für die Einrichtung haben. Möglicherweise kann sie dann ihre Dienste gegenüber Kunden nicht erbringen, es folgen eventuell Vertragsstrafen usw. Allerdings ist ein Rechenzentrum mit all der für den Betrieb benötigten Technik selbst schon schützenswert.

Möglichkeiten der Umsetzung

Nun können Verantwortliche auf anderen Webseiten sicherlich mehr Inspiration dazu finden, wie sie das Firmengelände effektiv überwachen können. Schauen wir aber mal auf ein paar der Wege, die aus Sicht des Datenschutzes beachtenswert sind:

Wärmebildkameras

Der Einsatz von Wärmebildkameras (auch: Thermografie-, Thermal- oder Infrarotkamera) ist ein Mittel, das Firmengelände zu überwachen. Der Vorteil dabei ist, dass die Wärmebildkamera Personen trotz eventuell schlechter Sichtverhältnisse sichtbar macht. Verantwortliche können den Umriss einer Person sehen – demnach auch die Anzahl der Individuen – und die Art und Weise, wie sie sich bewegt. Genau da kann es zur Verarbeitung von personenbezogenen Daten kommen. Angenommen ein Beschäftigter des Unternehmens betritt unbefugt das Gelände. So ist diese Person eventuell aufgrund der Körperform, Haltung, Gestik oder der Art zu laufen erkennbar.

Lasersysteme

Aus Sicht des Datenschutzes ist der Einsatz von Lasern wahrscheinlich die datenschutzfreundlichste Variante. Hier wird lediglich die Umgebung auf Bewegung abgetastet. Plant ein Verantwortlicher allerdings diese Variante einzusetzen, ist u. a. die Verordnung zum Schutz der Beschäftigten vor Gefährdungen durch künstliche optische Strahlung (OstrV) einzuhalten. Des Weiteren sind auch die DIN-Vorgaben zu beachten.

Videoüberwachung

Die Videoüberwachung zum Schutz des Eigentums auf dem Firmengelände ist die wahrscheinlich am häufigsten genutzte Variante. Hierbei ist – je nach Qualität der Kameras – die erfasste Person identifizierbar. Es werden auch hier personenbezogene Daten verarbeitet.

Wachpersonal

Natürlich kann man auch Personen zur Überwachung des Geländes einsetzen. Diese Überwachungsmöglichkeit können Verantwortliche gegebenenfalls ebenfalls als eine datenschutzfreundliche Variante, das Grundstück zu sichern, ansehen, solange keine Aufzeichnungen – beispielsweise schriftlich – angefertigt werden. Dies ist mit Art. 2 Abs. 1 DSGVO zu begründen. Demnach greift die DSGVO bei sowohl –  wenn auch nicht komplett – automatisierten Verarbeitungen als auch bei nichtautomatisierten Verarbeitungen, bei denen die Daten in einem Dateisystem gespeichert sind oder sie für eine Speicherung in einem Dateisystem vorgesehen sind. Wenn also keine Aufzeichnung durch das Wachpersonal stattfindet, verarbeiten sie gemäß der DSGVO keine personenbezogenen Daten (kognitive Wahrnehmung).

Datenschutz im Zusammenhang mit der Überwachung des Firmengeländes

Die Überwachung des Firmengeländes sollte sich auf das nur nötigste Maß beschränken.

Eventuelle zeitliche Einschränkung

Das bedeutet, dass eventuell zu betrachten ist, ob ein Verantwortlicher die Zeiten der Überwachung einschränken (beispielsweise Unterscheidung zwischen Nacht- und Tageszeit) kann. Das insofern, dass sie ausschließlich stattfindet, wenn tatsächlich niemand anwesend ist, der einen möglichen unbefugten Zutritt erkennen und entsprechend handeln kann.

Betrachtung der erfassten Fläche

Ein Verantwortlicher, der eine technische Überwachung des Firmengeländes durchführt, sollte unbedingt darauf achten, dass nur das Firmengelände erfasst wird. Für die Verarbeitung von Aufnahmen der Flächen außerhalb der Unternehmensfläche fehlt die Rechtsgrundlage, wenn er nicht gerade mit dem Nachbarn einen entsprechenden Vertrag dazu abschließt. (Dadurch kann es übrigens sein, dass der Verantwortliche hier auch zu einem Auftragsverarbeiter wird.)

Durchführung einer Datenschutz-Folgenabschätzung

Zur Einschätzung des Risikos empfiehlt sich auch die Durchführung einer Datenschutz-Folgenabschätzung (DSFA). Dies hilft dem Verantwortlichen, die möglichen Gefahren einzuschätzen. So weiß er, ob er bei Bedarf weitere Maßnahmen ergreifen muss, um die Datensicherheit und den -schutz zu gewährleisten.

Rechtsgrundlage

Da es hierbei gegebenenfalls zu einer Verarbeitung personenbezogener Daten kommen kann, muss dieser Verarbeitung eine Rechtsgrundlage zugrunde liegen. Bei Bestimmung der Rechtsgrundlage darf ein Verantwortlicher nicht die möglichen Folgen außer Acht lassen.

Technische und organisatorische Maßnahmen

Je nach Art der Umsetzung von beispielsweise der Videoüberwachung können auch die technischen und organisatorischen Maßnahmen über ihre Effektivität bestimmen. Dem Verantwortlichen nützt es schließlich nicht, wenn die Eindringlinge – aufgrund fehlender oder nicht angemessener Sicherheitsmaßnahmen – die Aufnahmen manipulieren können. Die ergriffenen Maßnahmen muss ein Verantwortlicher dokumentieren.

Einbeziehen externer Dienstleister

Es kann verschiedene Gründe geben, dass ein Verantwortlicher für die Überwachung des Firmengeländes externe Dienstleister heranziehen möchte. Hierbei ist die Verarbeitung personenbezogener Daten durch den Dienstleister zu beachten. Möglicherweise kommt hier die Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO ins Spiel. Eventuell liegt auch eine gemeinsame Verantwortung nach Art. 26 DSGVO vor.

Datenschutzdokumentation

Werden personenbezogene Daten bei dieser Verarbeitungstätigkeit erfasst, sind nicht nur die Beschäftigten, sondern auch externe Personen darüber zu informieren. Das bedeutet, es ist ein Hinweisschild und ein Datenschutzhinweis zur Verfügung zu stellen, bevor die Personen von der Überwachungstechnik erfasst werden. Zusätzlich ist die Verarbeitung personenbezogener Daten im Zuge der Überwachung des Firmengeländes im Verzeichnis von Verarbeitungstätigkeiten festzuhalten. Gegebenenfalls sind auch Verpflichtungserklärungen abzuschließen – je nach Art der Dienstleistung und des Vertragsverhältnisses. Nicht zu vergessen ist auch die Erstellung eines Lösch– und Berechtigungskonzeptes.

Fazit

Ein Verantwortlicher mag einfach nur den verständlichen Wunsch haben, sein Eigentum und eventuelle Unternehmensgeheimnisse durch eine Überwachung des Firmengeländes zu schützen. Dabei darf er eine mögliche Verarbeitung personenbezogener Daten nicht vergessen.

Wenn Sie also bei der Erstellung der im Zuge dieser Verarbeitungstätigkeit notwendigen Datenschutzdokumente Unterstützung wünschen, kontaktieren Sie uns. Wir erstellen gern ein unverbindliches Angebot.