DSGVO Videoüberwachung am Arbeitsplatz: § 4 BDSG + DSFA

Hauptartikel: VVT erstellen 2026 — wie Sie das Verarbeitungsverzeichnis nach Art. 30 DSGVO aufbauen; die Videoüberwachung braucht dort einen eigenen Eintrag (Abschnitt 9).

1. § 4 BDSG-Voraussetzungen

Geltungsbereich zuerst klären: § 4 BDSG trägt die amtliche Überschrift „Videoüberwachung öffentlich zugänglicher Räume“ und erfasst nach § 4 Abs. 1 BDSG ausschließlich die Beobachtung öffentlich zugänglicher Räume — also Empfang, Kundenbereich, Verkaufsfläche, Parkplatz. Dort ist die Videoüberwachung nur zulässig, soweit sie zur Aufgabenerfüllung öffentlicher Stellen, zur Wahrnehmung des Hausrechts oder zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der betroffenen Personen überwiegen.

Für nicht öffentlich zugängliche Arbeitsbereiche (Büro, Lager, Produktion, Werkstatt) ist § 4 BDSG dagegen nicht einschlägig. Rechtsgrundlage ist hier § 26 Abs. 1 BDSG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses) i. V. m. Art. 6 Abs. 1 DSGVO. In beiden Konstellationen gilt: Verhältnismäßigkeit dokumentieren (Raster am Ende dieses Abschnitts), DSFA bei voraussichtlich hohem Risiko (siehe Abschnitt 6).

Beide Konstellationen brauchen zusätzlich eine Bedingung aus Art. 6 Abs. 1 DSGVO: Die Verarbeitung ist nur rechtmäßig, wenn mindestens einer der sechs dort genannten Erlaubnistatbestände erfüllt ist — Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse oder berechtigtes Interesse (lit. f). Für Behörden scheidet lit. f bei der Erfüllung ihrer Aufgaben aus. Wer die Kameras auf eine Einwilligung stützt, muss nachweisen können, dass die betroffene Person eingewilligt hat; sie kann jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 1 und Abs. 3 DSGVO). In Österreich existiert kein Beschäftigtendatenschutz-Paragraf wie § 26 BDSG; welche Normen dort an seine Stelle treten, steht in Abschnitt 8.

Praxisempfehlung: Halten Sie die Verhältnismäßigkeit je Kamera in vier Schritten schriftlich fest — (1) welcher konkrete Zweck verfolgt wird (Hausrecht, Schutz des Eigentums, Arbeitssicherheit); (2) ob und wie die Kamera zu diesem Zweck beiträgt; (3) welche milderen Mittel geprüft wurden — Schließanlage, Beleuchtung, Zutrittskontrolle, Begrenzung der Aufzeichnung auf Nachtstunden, Ausblenden von Teilbereichen — und warum sie nicht ausreichen; (4) warum die schutzwürdigen Interessen der Beschäftigten nicht überwiegen, insbesondere mit Blick auf Überwachungsdruck und Erfassungsdichte. Schritt 4 ist genau die Frage, die § 4 Abs. 1 BDSG für öffentlich zugängliche Räume stellt; die folgenden Abschnitte verweisen auf dieses Vier-Schritt-Raster.

2. Hinweisschilder-Pflicht

Vor jedem Erfassungsbereich muss ein Hinweisschild angebracht sein, das den Verantwortlichen, den Zweck, die Speicherdauer und den Kontakt des Datenschutzbeauftragten nennt. Der rechtliche Anker ist die Informationspflicht bei der Erhebung: Sie folgt unmittelbar aus Art. 13 und Art. 14 DSGVO — in Österreich enthält das DSG dazu keine eigene Norm, die DSGVO-Artikel gelten dort unverändert.

Zwei Punkte werden regelmäßig übersehen. Erstens muss die Information auch das Beschwerderecht bei der Aufsichtsbehörde umfassen (Art. 13 Abs. 2 lit. d DSGVO); in Österreich ist als Beschwerdestelle die österreichische Datenschutzbehörde zu nennen. Zuständig ist in Deutschland bei nichtöffentlichen Stellen die nach Landesrecht zuständige Behörde (§ 40 Abs. 1 BDSG). Zweitens tritt in Österreich neben die Information nach Art. 13 DSGVO die eigenständige Kennzeichnungspflicht des § 13 Abs. 5 DSG; beide Pflichten sind nebeneinander zu erfüllen.

Praxisempfehlung: Halten Sie Schildtext, Standort jedes Schilds und das Datum der Anbringung im VVT-Eintrag zur Videoüberwachung fest (Abschnitt 9) — die Kennzeichnung lässt sich dann ohne Ortsbegehung belegen.

3. Speicherdauer

Als Praxisstandard löschen oder überschreiben Betriebe Videoaufnahmen nach 48 bis 72 Stunden; nach einem Vorfall darf die gesicherte Sequenz bis zum Abschluss der Ermittlungen aufbewahrt werden, eine darüber hinausgehende Speicherung nur mit konkretem Anlass. Als äußere Praxisgrenze gelten 14 Tage; sie kommt als Praxisempfehlung nur in Betracht, wenn der Zweck eine spätere Entdeckung des Vorfalls nahelegt — etwa bei Bereichen, die nur in größeren Abständen begangen werden — und die Begründung je Kamera im VVT-Eintrag steht. Die 48 bis 72 Stunden, die Sequenzsicherung nach einem Vorfall und die 14 Tage sind Praxiswerte.

Österreich normiert die Marke: § 13 Abs. 3 DSG knüpft an dieselben 72 Stunden an, macht daraus aber eine Begründungs- und Protokollpflicht. Eine länger als 72 Stunden andauernde Aufbewahrung muss verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen. Wer in Österreich also zwei Wochen speichert, braucht für genau diese Dauer eine dokumentierte Verhältnismäßigkeitsbegründung und einen Protokolleintrag — nicht bloß eine Rekorder-Einstellung.

Die geplante Löschfrist gehört in beiden Ländern in den VVT-Eintrag: Art. 30 Abs. 1 DSGVO zählt die geplanten Fristen für die Löschung der Datenkategorien zu den Pflichtangaben. Praxisempfehlung: automatische Überschreibung im Rekorder einstellen und den Ausnahmefall — Sicherung einer Sequenz nach einem Vorfall — mit Datum, Anlass, Zweck und verantwortlicher Person in einem eigenen Protokoll festhalten.

4. Verbotene Bereiche

In Toiletten, Umkleiden, Pausenräumen und Krankenzimmern ist eine Videoüberwachung unzulässig; nach BAG 1 ABR 16/22 ist zudem die dauerhafte heimliche Aufzeichnung am Arbeitsplatz unzulässig — zur eng begrenzten verdachtsbezogenen Ausnahme siehe FAQ „Ist verdeckte Videoüberwachung am Arbeitsplatz erlaubt?“.

Österreich setzt nicht am Ort, sondern am Zweck an: § 12 Abs. 4 Z 2 DSG erklärt eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern ausdrücklich für unzulässig. Maßgeblich ist damit, wozu die Anlage betrieben wird, nicht allein, welcher Raum im Bild ist. § 12 DSG ist dabei die österreichische Sonderregelung für die Zulässigkeit von Bildaufnahmen; § 13 DSG ergänzt sie um besondere Datensicherheitsmaßnahmen und die Kennzeichnung.

Praxisempfehlung: Legen Sie einen Kameraplan an — je Kamera Standort, Blickfeld, Zweck und die Bereiche, die bewusst ausgespart oder unkenntlich gemacht sind. Er ist die Grundlage für die Verhältnismäßigkeitsprüfung nach dem Vier-Schritt-Raster aus Abschnitt 1, für die DSFA (Abschnitt 6) und in Österreich für die Zweckbestimmung, an der § 12 DSG die Zulässigkeit der Bildaufnahme misst.

5. Betriebsrats-Mitbestimmung

Die Videoüberwachung am Arbeitsplatz unterliegt in Deutschland der zwingenden Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG; ohne dessen Zustimmung ist die Auswertung der Aufnahmen unzulässig. Praxiseinordnung: Besteht kein Betriebsrat, entfällt das Mitbestimmungsrecht — Verhältnismäßigkeitsprüfung nach dem Vier-Schritt-Raster (Abschnitt 1), Information nach Art. 13 DSGVO (Abschnitt 2) und die Dokumentation im VVT (Abschnitt 9) bleiben unverändert Pflicht; die Festlegung, wer Aufnahmen sichten darf, gehört dann in eine interne Zugriffsregelung statt in eine Betriebsvereinbarung.

Österreich läuft nicht über das BetrVG, sondern über das ArbVG: Kontrollmaßnahmen, die die Menschenwürde berühren, sind dort nur mit Zustimmung des Betriebsrats bzw. auf Grundlage einer Betriebsvereinbarung zulässig (§ 96 Abs. 1 Z 3 ArbVG). Maßgeblich ist damit nicht der Ort der Kamera, sondern der Kontrollcharakter der Maßnahme.

Praxisempfehlung: Regeln Sie in der Vereinbarung, wer Aufnahmen sichten darf, nach welchem Vier-Augen-Prinzip und aus welchem Anlass, und verweisen Sie auf denselben Löschzyklus, den der VVT-Eintrag nennt. Eine Vereinbarung, die von der tatsächlichen Speicherdauer abweicht, erzeugt einen Widerspruch zwischen Betriebsvereinbarung und VVT-Eintrag — beides liegt bei einer Aufsichtsanfrage nebeneinander auf dem Tisch.

6. DSFA-Pflicht

Die DSFA-Pflicht knüpft an das voraussichtlich hohe Risiko an (Art. 35 Abs. 1 DSGVO), nicht an eine Beschäftigtenzahl — bei systematischer Videoüberwachung von Beschäftigten liegt ein solches Risiko nach Praxiseinschätzung nahe; eine gesetzliche Regelvermutung gibt es nicht. Art. 35 Abs. 3 lit. c DSGVO nennt als Regelbeispiel die „systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche“ — eine Schwelle nach Beschäftigtenzahl kennt die Norm nicht. Ob bei Videoüberwachung von Beschäftigten eine DSFA-Pflicht besteht, ergibt sich daher aus Art. 35 Abs. 1 DSGVO (voraussichtlich hohes Risiko aufgrund Art, Umfang, Umständen und Zwecken) sowie aus den von den Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO veröffentlichten Muss-Listen; in Österreich nennt die Muss-Liste der Datenschutzbehörde die Beobachtung, Überwachung oder Kontrolle mittels Bildverarbeitung ausdrücklich als Kriterium (DSFA-V, BGBl. II Nr. 278/2018). Maßgeblich ist dabei die Liste der für Sie zuständigen Aufsichtsbehörde: in Deutschland die nach Landesrecht zuständige Behörde für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG). Praxisempfehlung: Prüfen Sie diese Liste vor Inbetriebnahme und halten Sie das Ergebnis — Treffer oder kein Treffer — in der DSFA-Vorprüfung fest.

Die häufig kolportierte Grenze von 20 Personen stammt aus § 38 Abs. 1 BDSG und betrifft die Benennung eines Datenschutzbeauftragten — sie ist keine DSFA-Schwelle. Umgekehrt gilt: Unterliegt eine Verarbeitung einer DSFA nach Art. 35 DSGVO, ist nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Beschäftigtenzahl ein Datenschutzbeauftragter zu benennen.

Art. 35 Abs. 3 DSGVO nennt zwei weitere Regelbeispiele, die bei Kamerasystemen greifen können: die systematische umfassende Bewertung persönlicher Aspekte mit Rechtswirkung (Profiling) und die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO — Letzteres etwa bei umfangreicher Gesichtserkennung (Abschnitt 7). Praxiseinordnung: Für eine Videoanlage kann das relevant werden, sobald aus den Bildern automatisiert Aussagen über einzelne Beschäftigte abgeleitet werden — etwa Anwesenheits-, Bewegungs- oder Leistungsmuster — und daran Entscheidungen anknüpfen. „Vorab“ heißt dabei: vor Inbetriebnahme der Anlage, nicht in der Nachdokumentation.

Zuständigkeit und Verwertung der DSFA ordnet die DSGVO zwei Stellen zu. Ist ein Datenschutzbeauftragter benannt, gehört die Beratung bei der Datenschutz-Folgenabschätzung zu seinen gesetzlichen Aufgaben (Art. 39 Abs. 1 lit. c DSGVO). Gegenüber der Aufsicht ist die DSFA nach Praxiserfahrung einer der vier regelmäßig angeforderten Nachweise (Abschnitt 9). Praxisempfehlung: Bauen Sie die Abschätzung auf zwei Bausteinen auf, die ohnehin vorliegen sollten — dem Kameraplan aus Abschnitt 4 (Standort, Blickfeld und Zweck je Kamera) und dem Vier-Schritt-Raster aus Abschnitt 1 (Zweck, Geeignetheit, mildere Mittel, Abwägung) — und halten Sie zusätzlich fest, welche Schutzmaßnahmen das verbleibende Risiko senken: begrenzte Aufzeichnungszeiten, ausgeblendete Bildbereiche, Zugriffsbeschränkung und Löschautomatik.

Österreich: Art. 35 DSGVO gilt unverändert. Anders ist die Folge für den Datenschutzbeauftragten — Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Benennungsschwelle vor, die Pflicht folgt dort unmittelbar aus Art. 37 DSGVO, etwa wenn die Kerntätigkeit in Verarbeitungsvorgängen besteht, die eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen (Art. 37 Abs. 1 lit. b DSGVO). Die deutsche Kopplung aus § 38 Abs. 1 Satz 2 BDSG gilt in Österreich nicht.

7. KI-gestützte Videoauswertung: die Verbote der KI-Verordnung

Sobald ein KI-System im Sinne des Art. 3 Nr. 1 KI-VO die Bilder auswertet, gilt neben der DSGVO die KI-Verordnung (Verordnung (EU) 2024/1689) — und drei ihrer Verbote können die Auswertung von Arbeitsplatz-Kameras betreffen. Art. 3 Nr. 1 KI-VO meint damit ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und aus erhaltenen Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Nach Art. 5 Abs. 1 KI-VO sind unter anderem verboten: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (lit. f), das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungsaufnahmen (lit. e) sowie die biometrische Kategorisierung zur Ableitung sensibler Merkmale (lit. g). Diese Verbote gelten seit dem 2. Februar 2025; die Verordnung gilt grundsätzlich seit dem 2. August 2026. Die Hochrisiko-Pflichten aus Kapitel III Abschnitte 1 bis 3 gelten für Systeme nach Art. 6 Abs. 2 und Anhang III ab dem 2. Dezember 2027, für Systeme nach Art. 6 Abs. 1 und Anhang I ab dem 2. August 2028 (Art. 113 Abs. 3 KI-VO in der seit 27. Juli 2026 geltenden Fassung der Verordnung (EU) 2026/1744).

Außerhalb der Verbotszone bleibt die Einstufung zu prüfen: „Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit“ ist einer der acht Anwendungsbereiche des Anhangs III, in denen die dort aufgeführten KI-Systeme nach Art. 6 Abs. 2 KI-VO als hochriskant gelten; „Biometrie“ ist ein weiterer. Die Zuordnung zu einem dieser Bereiche entscheidet die Einstufung allerdings nicht allein: Ein in Anhang III genanntes System gilt ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt — es sei denn, es führt ein Profiling natürlicher Personen durch (Art. 6 Abs. 3 KI-VO). Die Einstufung ist damit eine Prüfung am konkreten System, nicht an der Produktkategorie. Wo ein solches System außerhalb der Verbote des Art. 5 KI-VO zulässig ist, müssen Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen die betroffenen Personen informieren (Art. 50 Abs. 3 KI-VO). Verstöße gegen die Verbote des Art. 5 werden mit Geldbußen bis zu 35.000.000 EUR oder — bei Unternehmen — bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3 KI-VO).

Datenschutzrechtlich kommt Art. 9 DSGVO hinzu: Die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung einer natürlichen Person ist untersagt, Ausnahmen regelt Art. 9 Abs. 2 DSGVO — etwa die ausdrückliche Einwilligung. Gesichtserkennung auf Kamerabildern ist damit keine bloße Funktionserweiterung der Anlage, sondern braucht einen eigenen Ausnahmetatbestand.

8. Österreich: was neben §§ 12, 13 DSG gilt

Die Bildaufnahme-Normen §§ 12 und 13 DSG sind die Sonderregelung, nicht der ganze Pflichtenkreis. Einen eigenen Beschäftigtendatenschutz-Paragrafen wie § 26 BDSG enthält das österreichische DSG nicht; maßgeblich sind Art. 6 und Art. 88 DSGVO. Konkretisiert wird der Beschäftigtenkontext dort über § 12 Abs. 4 Z 2 DSG (Abschnitt 4) und die Betriebsvereinbarung nach § 96 Abs. 1 Z 3 ArbVG (Abschnitt 5). Deutsche Ergänzungsnormen — § 26 BDSG ebenso wie § 38 Abs. 1 BDSG — gelten in Österreich nicht.

Drei weitere Normen gehören in ein AT-Videokonzept. § 6 DSG (Datengeheimnis) verpflichtet Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter zur Geheimhaltung — das betrifft jede Person mit Zugriff auf Monitor, Rekorder oder Export. § 11 DSG sieht die verhältnismäßige Anwendung des Art. 83 DSGVO durch die Datenschutzbehörde vor, insbesondere eine Verwarnung statt einer Geldbuße bei erstmaligen Verstößen. § 62 Abs. 1 DSG stellt daneben eigene Verwaltungsübertretungen unter Strafe — bis zu 50.000 EUR, soweit die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen strenger bedroht ist; erfasst ist etwa, sich vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung zu verschaffen oder Daten vorsätzlich in Verletzung des Datengeheimnisses (§ 6 DSG) zu übermitteln. Zuständig für die Entscheidung ist die Datenschutzbehörde.

Praxisempfehlung: Fassen Sie die Punkte in einem Videoüberwachungs-Konzept nach §§ 12, 13 DSG zusammen — Zweck und Zulässigkeit nach § 12 DSG, Kameraplan, Kennzeichnung nach § 13 Abs. 5 DSG, Aufbewahrung samt Begründung und Protokoll nach § 13 Abs. 3 DSG, Zugriffsberechtigte und deren Verpflichtung auf das Datengeheimnis nach § 6 DSG.

9. Dokumentation: VVT, AVV und der Nachweis gegenüber der Aufsicht

Videoüberwachung ist eine eigene Verarbeitungstätigkeit und braucht einen eigenen Eintrag im Verarbeitungsverzeichnis — „Videoüberwachung Werkshalle / Außenbereich“ zählt zu den typischen KMU-Einträgen nach Art. 30 DSGVO. Die Ausnahme des Art. 30 Abs. 5 DSGVO hilft dabei selten: Sie greift nur kumulativ — weniger als 250 Beschäftigte UND kein Risiko für die Rechte und Freiheiten der betroffenen Personen UND keine regelmäßige Verarbeitung UND keine besonderen Kategorien nach Art. 9 bzw. strafrechtlichen Daten.

Betreibt ein Dienstleister die Anlage oder liegen die Aufzeichnungen in dessen Cloud, ist das regelmäßig Auftragsverarbeitung; die Abgrenzung zur gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) ist zu prüfen und zu dokumentieren — die Verwechslung beider Rollen ist nach Praxiserfahrung eine häufige Fehlerquelle im VVT. Praxisempfehlung zur Abgrenzung — Kriterium ist, wer über Zwecke und Mittel entscheidet: Gibt Ihr Betrieb Blickfeld, Zweck, Speicherdauer und Zugriffsrechte vor und der Dienstleister betreibt die Anlage nur weisungsgebunden, bleibt es bei der Auftragsverarbeitung nach Art. 28 DSGVO; entscheidet der Dienstleister über Zwecke mit oder wertet er Aufnahmen zu eigenen Zwecken aus, liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO nahe — das Ergebnis gehört mit Begründung in den VVT-Eintrag. Für die Auftragsverarbeitung gilt: Der Verantwortliche darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und braucht einen Vertrag mit den Angaben des Art. 28 Abs. 3 DSGVO — Gegenstand und Dauer, Art und Zweck, Art der Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Fließen Aufnahmen ab, gilt Art. 33 Abs. 1 DSGVO: Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Kenntnis, es sei denn, ein Risiko für die Rechte und Freiheiten ist voraussichtlich nicht gegeben; bei voraussichtlich hohem Risiko kommt die Benachrichtigung der Betroffenen nach Art. 34 Abs. 1 DSGVO hinzu.

Praxisbild aus Aufsichtsverfahren: Das Verarbeitungsverzeichnis ist regelmäßig der erste angeforderte Nachweis; danach folgen der Auftragsverarbeitungsvertrag, die technischen und organisatorischen Maßnahmen und die DSFA. Wer die Videoüberwachung dort sauber abgebildet hat, liefert alle vier Nachweise in einem Zug. Für die Videoanlage heißt der dritte Punkt konkret — als Praxisempfehlung: personalisierte Zugänge zu Rekorder und Live-Monitor statt eines geteilten Passworts, ein Protokoll jedes Zugriffs und jedes Exports, verschlüsselte Ablage exportierter Sequenzen, ein verschlossener Aufstellort für den Rekorder und eine schriftliche Festlegung, wer sichten darf (Abschnitt 5). Im Verarbeitungsverzeichnis genügt dafür der Verweis auf das zentrale TOM-Konzept nach Art. 32 DSGVO — die Maßnahmen werden nicht je Verarbeitungstätigkeit wiederholt.

Die folgende Übersicht listet die Pflichten, die bei einer Videoanlage regelmäßig zusammentreffen, mit Auslöser und Fundstelle. Die mit (DE) bzw. (AT) gekennzeichneten Zeilen gelten nur im jeweiligen Rechtsraum; die Zeilen zu Datenschutzverletzung, Betroffenenanträgen und zur Begründung und Protokollierung einer Aufbewahrung über 72 Stunden (AT) betreffen den laufenden Betrieb, die übrigen sind vor Inbetriebnahme abzuarbeiten.