Videoüberwachung in Luxemburg: was die CNPD konkret verlangt

Eine Privatperson, die ausschließlich das Innere ihres Hauses oder ihren geschlossenen Garten filmt, zu rein persönlichen Zwecken, bleibt in der „Haushaltsausnahme“ der DSGVO. Sobald die Kamera auch nur teilweise den öffentlichen Raum, einen Gehweg, den Eingang des Nachbarn oder einen Gemeinschaftsbereich erfasst, entfällt diese Ausnahme: Das hat der Gerichtshof der Europäischen Union 2014 entschieden (Urteil Ryneš, C-212/13), und die folgenden Regeln gelten vollständig.

Ein Unternehmen, ein Geschäft, ein Restaurant, eine Praxis oder ein Verein sind immer betroffen, unabhängig von ihrer Größe. Eine Eigentümergemeinschaft, die ihre Gemeinschaftsflächen ausstattet, ebenfalls: Sie wird zum Verantwortlichen, vertreten durch ihren Verwalter.

Die CNPD verlangt, den oder die verfolgten Zwecke vor der Installation genau festzulegen und das System später nicht ohne Information der Betroffenen für andere Zwecke zu nutzen. Die zulässigen Zwecke sind konkret: Zugänge zum Gebäude sichern, Sicherheit von Personal und Kunden gewährleisten, verdächtiges oder gefährliches Verhalten erkennen, Sachwerte schützen (Gebäude, Anlagen, Material, Waren, Bargeld), den Einsatz von Rettungskräften erleichtern.

Rechtsgrundlage ist fast immer das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO), unter drei kumulativen Bedingungen: ein tatsächliches Interesse (zum Beispiel den Warenbestand vor Diebstahl schützen), die Erforderlichkeit (keine weniger eingreifende, vernünftigerweise verfügbare Alternative) und Rechte der gefilmten Personen, die nicht überwiegen. Die Einwilligung ist keine geeignete Grundlage: Man kann sie nicht von allen Passanten einholen.

Eine Kamera, die einen Zugang überwacht, muss sich auf die unbedingt notwendige Fläche beschränken. Außenkameras dürfen weder den öffentlichen Raum noch Nachbargrundstücke erfassen; ist das unvermeidbar, müssen die überstehenden Bereiche maskiert oder verpixelt werden — die meisten IP-Kameras erlauben das in ihren Einstellungen, und wir richten es bei der Inbetriebnahme ein.

Bestimmte Orte sind grundsätzlich ausgeschlossen, weil man dort zu Recht erwartet, nicht gefilmt zu werden: Umkleiden, Toiletten, Duschen, Pausenräume und Teeküchen, ständige Arbeitsplätze (Büros, Werkstätten, Küchen), Gasträume von Restaurants und Cafés, Räume der Personaldelegation.

Ton ist ausgeschlossen: Videoüberwachung betrifft nur Bilder; zusätzlich Ton aufzuzeichnen gilt als unverhältnismäßig. Auch eine ständige, lückenlose Überwachung von Mitarbeitenden ist zu vermeiden.

Die CNPD empfiehlt eine Information auf zwei Ebenen. Erste Ebene: ein ausreichend großes Schild, dauerhaft an den Haupteingängen und -ausgängen des gefilmten Bereichs angebracht, in Kopfhöhe gut lesbar, mit Piktogramm. Es nennt Identität und Kontaktdaten des Verantwortlichen, den oder die Zwecke, das Bestehen der Betroffenenrechte und verweist auf die zweite Ebene (Link, QR-Code, Telefonnummer).

Zweite Ebene: eine vollständige Information mit allen Angaben nach Art. 13 DSGVO (Speicherdauer, Empfänger, Rechte, Beschwerde bei der CNPD …), an einem leicht zugänglichen Ort verfügbar — am Empfang, auf Papier und nicht nur online. Für Mitarbeitende kommt eine spezifische Information hinzu (siehe unten).

Die Videoüberwachung muss im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO stehen, mit allen geforderten Angaben: Zwecke, Kategorien von Personen und Daten, Empfänger, Speicherdauer, Sicherheitsmaßnahmen. Es ist das erste Dokument, das bei einer Kontrolle oder Beschwerde vorzulegen ist. Wir übergeben mit jeder Anlage eine vorausgefüllte Vorlage.

Die Bilder dürfen grundsätzlich bis zu 8 Tage aufbewahrt werden. Der Verantwortliche kann sie ausnahmsweise 30 Tage speichern, sofern die Gründe im Verzeichnis dokumentiert sind. Über 30 Tage hinaus gilt die Speicherung in der Regel als unverhältnismäßig.

Bei einem Vorfall oder einer Straftat dürfen die betreffenden Bilder länger aufbewahrt werden, im Rahmen ihrer Übermittlung an die zuständigen Justizbehörden. Der Verantwortliche muss dafür sorgen, dass die Bilder nach Ablauf der Frist gelöscht werden: Die CNPD empfiehlt eine automatische Löschung, die wir im Rekorder einstellen.

Der Zugriff auf die Bilder muss auf die Personen beschränkt sein, die ihn im Rahmen ihrer Aufgaben berechtigterweise benötigen: starke Passwörter, individuelle Zugangsdaten, Protokollierung der Zugriffe, um nachvollziehen zu können, wer was angesehen hat, technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

Greift ein Dienstleister auf das System zu — Installateur, Leitstelle —, ist ein Auftragsverarbeitungsvertrag nach Art. 28 erforderlich. Werden die Bilder außerhalb der Europäischen Union gespeichert, auch über einen Cloud-Dienst, gelten die Regeln für internationale Datenübermittlungen.

Jede gefilmte Person kann Zugang zu den Bildern verlangen, die sie betreffen (Art. 15 DSGVO); die Antwort ist innerhalb eines Monats fällig, unter Schutz der Dritten im Bild. Bilder werden nie in sozialen Netzwerken veröffentlicht, auch nicht nach einem Diebstahl: Sie gehen an Polizei oder Justiz.

Wenn Mitarbeitende im Bild erscheinen können, ist die Videoüberwachung eine Verarbeitung „zu Überwachungszwecken im Rahmen des Arbeitsverhältnisses“ nach Art. L.261-1 des luxemburgischen Arbeitsgesetzbuchs. Der Arbeitgeber muss vorab die Personaldelegation informieren, zusätzlich zu jedem einzelnen Mitarbeitenden: detaillierte Beschreibung des Zwecks, Modalitäten der Umsetzung, Speicherdauer oder -kriterien und die förmliche Zusage, die Bilder nicht für andere Zwecke zu nutzen.

Die Personaldelegation oder, falls es keine gibt, die betroffenen Mitarbeitenden können innerhalb von 15 Tagen nach dieser Information bei der CNPD eine vorherige Stellungnahme zur Konformität des Vorhabens beantragen; die CNPD antwortet innerhalb eines Monats, und der Antrag hat in dieser Zeit aufschiebende Wirkung. Mitarbeitende können außerdem Beschwerde bei der CNPD einlegen, und keine Beschwerde darf eine Kündigung rechtfertigen.

Drei Zwecke unterliegen zusätzlich der Mitbestimmung zwischen Arbeitgeber und Personaldelegation (Art. L.211-8, L.414-9 und L.423-1 des Code du travail): Sicherheit und Gesundheit der Mitarbeitenden, Kontrolle der Produktion oder der Leistung, wenn dies das einzige Mittel zur genauen Lohnbestimmung ist, und die Arbeitsorganisation nach gleitender Arbeitszeit.

Eine Datenschutz-Folgenabschätzung ist Pflicht, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, und Art. 35 Abs. 3 DSGVO nennt ausdrücklich die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Nach Ansicht der CNPD wird eine DSFA „in vielen Fällen der Videoüberwachung“ erforderlich sein; die europäischen Kriterien berücksichtigen unter anderem schutzbedürftige Personen (Mitarbeitende, Kinder, ältere Menschen), den Umfang, die Systematik und innovative Technologien.

In der Praxis: Bei einem Haus oder einem kleinen Geschäft mit zwei oder drei Kameras an den Zugängen ist das Risiko gering; bei einem öffentlich zugänglichen Laden mit vielen Kameras oder sobald Mitarbeitende gefilmt werden, muss die Abschätzung zumindest dokumentiert werden.

Die CNPD bearbeitet Beschwerden, führt Untersuchungen durch und kann Geldbußen verhängen (Art. 83 DSGVO), zusätzlich zur Anordnung der Nachbesserung oder des Abbaus von Kameras. Sie veröffentlicht ihre Entscheidungen, und mehrere betreffen genau Videoüberwachungsanlagen — etwa Kameras auf Arbeitsplätze oder Pausenbereiche, fehlende Hinweisschilder oder zu lange Speicherung. Ihre Leitlinien von 2024 berücksichtigen diese Fälle.