Das Verzeichnis von Verarbeitungstätigkeiten zur Videoüberwachung muss laut Art. 30 DSGVO den Zweck, die Rechtsgrundlage, Datenkategorien, betroffene Personen, Empfänger, Speicherdauer sowie technische und organisatorische Maßnahmen enthalten.
Es dient der Dokumentation und Nachweispflicht gegenüber Datenschutzaufsichtsbehörden und muss regelmäßig aktualisiert werden, um den gesetzlichen Anforderungen zu entsprechen.
Verzeichnis von Verarbeitungstätigkeiten bei Videoüberwachung gemäß DSGVO
Für den datenschutzkonformen Einsatz von Videoüberwachungssystemen ist das Führen eines Verzeichnisses von Verarbeitungstätigkeiten nach Artikel 30 der Datenschutz-Grundverordnung (DSGVO) verpflichtend. Dieses Verzeichnis dokumentiert alle relevanten Informationen zur Verarbeitung personenbezogener Daten und stellt eine zentrale Grundlage für den Nachweis der DSGVO-Konformität dar. Unternehmen, die Videoüberwachung einsetzen – sei es stationär oder mobil – müssen dieses Verzeichnis vollständig, strukturiert und aktuell halten.
Pflichtangaben im Verzeichnis nach Art. 30 DSGVO
Das Verzeichnis von Verarbeitungstätigkeiten muss eine Reihe konkreter Angaben enthalten:
-
Zweck der Verarbeitung: Zum Beispiel Objektschutz, Zugangskontrolle, Diebstahlsprävention.
-
Rechtsgrundlage: Die Verarbeitung basiert i. d. R. auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
-
Kategorien betroffener Personen: Besucher, Mitarbeiter, Passanten, Kunden.
-
Kategorien verarbeiteter Daten: Videoaufnahmen, ggf. mit Ton (wenn zulässig), Ort und Zeit der Aufnahme.
-
Empfänger oder Kategorien von Empfängern: Interne Sicherheitsverantwortliche, ggf. Polizei oder Behörden bei Vorfällen.
-
Speicherdauer: z. B. 72 Stunden oder länger, sofern gerechtfertigt und dokumentiert.
-
Technische und organisatorische Maßnahmen: Verschlüsselung, Zugriffsschutz, Protokollierung, regelmäßige Löschung.
Diese Angaben sind nicht optional, sondern rechtlich verbindlich und müssen vollständig dokumentiert werden.
Verantwortlichkeiten und Aktualisierungspflicht
Das Verzeichnis ist durch den Verantwortlichen zu führen – bei Unternehmen in der Regel die Geschäftsführung oder der Datenschutzbeauftragte. Auch wenn ein externer Dienstleister mit der Videoüberwachung beauftragt wird, liegt die Verantwortung für die DSGVO-konforme Verarbeitung beim Betreiber der Überwachung. Das Verzeichnis muss jederzeit auf Anfrage der Datenschutzaufsichtsbehörde vorgelegt werden können.
Eine regelmäßige Überprüfung und Aktualisierung ist essenziell – insbesondere wenn sich die eingesetzte Technik, der Zweck der Videoüberwachung oder der Standort ändern. Veraltete Angaben können als Verstoß gegen die DSGVO gewertet werden.
Videoüberwachung auf Baustellen und Veranstaltungen
Bei temporären Überwachungsmaßnahmen wie auf Baustellen, bei Events oder mobilen Einsätzen muss ebenfalls ein Verzeichnis geführt werden. Auch bei nur kurzzeitiger Überwachung gilt die Dokumentationspflicht uneingeschränkt. Gerade hier ist es wichtig, Speicherfristen und technische Maßnahmen sauber zu dokumentieren.
Fazit:
Das Verzeichnis von Verarbeitungstätigkeiten ist eine gesetzlich vorgeschriebene Dokumentation aller relevanten Aspekte der Videoüberwachung. Es muss unter anderem Angaben zu Zweck, Datenarten, Rechtsgrundlage, Empfängern und Schutzmaßnahmen enthalten. Nur mit einem vollständigen und aktuellen Verzeichnis lassen sich die Anforderungen der DSGVO rechtssicher erfüllen.