Wie lange darf ich Kamerabilder aus meinem Unternehmen speichern?
Die DSGVO selbst nennt keine festgelegte Frist für Kamerabilder. Die Verordnung schreibt vor, dass personenbezogene Daten nicht länger gespeichert werden dürfen als nötig für den Zweck, zu dem sie erhoben wurden, und überlässt es der Organisation selbst, diese Frist zu bestimmen und erklären zu können.
Für die Kameraüberwachung am Arbeitsplatz, in einem Geschäft oder einer Betriebshalle geht die Autoriteit Persoonsgegevens in ihren Richtlinien von einer Aufbewahrungsfrist von etwa vier Wochen aus, sofern es keinen konkreten Grund gibt, die Bilder länger zu speichern. Dieser Grundsatz steht nicht wörtlich im Gesetz, sondern ist die Art und Weise, wie die Aufsichtsbehörde das Prinzip der Datensparsamkeit in dieser spezifischen Situation umsetzt. Wer standardmäßig drei Monate oder länger ohne einen Grund speichert, weicht von diesem Grundsatz ab.
Warum vier Wochen und nicht länger
Der Zweck der Kameraüberwachung ist normalerweise Sicherheit: Diebstahl verhindern, Einbrüche aufklären, Zwischenfälle mit Personal oder Besuchern rekonstruieren können. Sobald dieser Zweck nicht mehr relevant ist, fällt auch die Grundlage für die Speicherung der Bilder weg. Vier Wochen gelten als der Zeitraum, in dem ein Vorfall normalerweise bemerkt und gemeldet wird: ein Kassendifferenz, eine Beschwerde, ein Schadensfall. Speichern Sie standardmäßig länger, müssen Sie erklären können, warum das für Ihre Situation erforderlich ist, beispielsweise weil Kontrollen erst nach einem längeren Zyklus durchgeführt werden.
Wann sich eine längere Frist rechtfertigen lässt
Es gibt Situationen, in denen eine längere Aufbewahrungsfrist zu begründen ist. Denken Sie an Bilder, die Teil einer laufenden Untersuchung eines Diebstahls sind, an einen Streit mit einem Lieferanten, bei dem Kamerabilder als Beweis dienen, oder an eine Anfrage der Polizei im Zusammenhang mit einer Straftat. In diesen Fällen speichern Sie nicht die gesamte Bildserie länger, sondern isolieren Sie das relevante Fragment und löschen Sie den Rest nach der gewöhnlichen Frist. Diese Auswahl und den Grund dafür dokumentieren Sie am besten unmittelbar, nicht im Nachhinein.
Kameras gehören auch ins Verarbeitungsverzeichnis
Kameraüberwachung ist eine Verarbeitung von personenbezogenen Daten wie jede andere und sollte daher als separates Element im Verarbeitungsverzeichnis aufgeführt werden: mit dem Zweck, der Aufbewahrungsfrist, wer Zugang zu den Bildern hat und ob nach außen überwacht wird (mit der Möglichkeit, Bilder des öffentlichen Raums zu erfassen, was zusätzliche Aufmerksamkeit erfordert). Viele Unternehmer übersehen diesen Punkt, weil es sich nicht um ein SaaS-Tool oder einen Lieferanten, sondern um ein eigenes System handelt. In der Wissensdatenbank, in der Aufbewahrungsfristen je nach Situation recherchiert wurden ist Kameraüberwachung als separates Thema neben anderen häufig gestellten Aufbewahrungsfristen aufgeführt.
Was, wenn ein Mitarbeiter oder Kunde die Bilder anfordert
Eine betroffene Person, die auf den Bildern erscheint, kann Einsicht verlangen. Das ist keine ungewöhnliche Anfrage: Sie fällt unter die normalen Rechte der betroffenen Personen. In der Praxis bedeutet dies, dass Sie die Bilder, auf denen der Anfragende zu sehen ist, zeigen oder übereignen müssen, wobei die anderen Personen auf den Bildern unkenntlich gemacht werden. Je kürzer Ihre Aufbewahrungsfrist, desto geringer die Wahrscheinlichkeit, dass Sie dies nachträglich noch für eine große Menge an Material organisieren müssen.
Kamerabilder und eine Datenschutzverletzung
Ein separater Punkt, aber dennoch relevant: Wenn eine Festplatte mit Kamerabildern gestohlen wird, ein System gehackt wird oder Bilder versehentlich weit zugänglich sind, handelt es sich im Grundsatz um eine Datenschutzverletzung wie jede andere. Die Frage, ob diese der Autoriteit Persoonsgegevens gemeldet werden muss, hängt vom Risiko für die Personen auf den Bildern ab. Falls Sie sich unsicher sind, in fünf Fragen sehen, wo Sie stehen können Sie das überprüfen.
Sicherheit der Bilder selbst
Neben der Aufbewahrungsdauer ist auch relevant, wer auf die Aufnahmen zugreifen kann. Ein System, das jeder auf der Arbeitsfläche mit einem Passwort nutzen kann, passt nicht gut zu dem Grundsatz, dass der Zugriff auf diejenigen beschränkt sein muss, die ihn wirklich benötigen. Mehr über das, was dabei üblich ist, lesen Sie unter wie Daten wie Kamerabilder geschützt werden müssen.
Ob Ihre aktuelle Aufbewahrungsdauer und Zugangsregelung zu Ihrer spezifischen Situation passen, ist etwas, das Sie am besten mit einem Jurist oder bei Fragen zur Meldepflicht mit der Autoriteit Persoonsgegevens selbst besprechen. Möchten Sie zunächst selbst einen Überblick bekommen, wo Kameraüberwachung in Ihrem Verzeichnis der Verarbeitungstätigkeiten und in Ihrer Dokumentation hingehört, dann können Sie den kostenlosen Quick-Scan durchführen oder die Themen rund um Personalangaben und Kameras lesen.