Kamera und KVKK: Hinweisschild, Speicherung und Zugriff

Warum gelten Kameraaufzeichnungen als personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf einen bestimmten oder bestimmbaren Menschen beziehen. Eine Kamera, die auf die Kasse eines Geschäfts gerichtet ist, zeichnet das Gesicht eines Kunden, seine Kleidung und die Uhrzeit seines Besuchs auf. Wenn sich aus dieser Aufzeichnung eine Person erkennen lässt, verarbeiten Sie im Sinne des Gesetzes personenbezogene Daten.

Der Betrieb, der die Kamera installiert hat und die Aufzeichnung speichert, ist nach dem Wortlaut des Gesetzes der Verantwortliche. Die Firma, die die Installation vorgenommen hat, oder der Dienstleister, der die Aufzeichnung in der Cloud speichert, übernimmt diese Verantwortung nicht. Das Schild aufzuhängen, die Aufbewahrungsdauer festzulegen und zu entscheiden, wer die Aufzeichnung ansehen darf, ist Sache des Betriebs.

In Wohnanlagen und Mehrfamilienhäusern ist meist die Verwaltung die Verantwortliche. Hat ein Bewohner eine Kamera an seiner eigenen Tür angebracht und sieht sie den gemeinsamen Flur, ist dieser Bewohner für die Aufzeichnung verantwortlich, und Streit mit den Nachbarn ist wahrscheinlich. Eine Kamera im Gemeinschaftsbereich per Verwaltungsbeschluss zu installieren und den Beschluss im Protokoll festzuhalten, verringert spätere Auseinandersetzungen.

Was steht auf dem Hinweisschild?

Das Gesetz verlangt, dass der Verantwortliche Personen bei der Erhebung der Daten informiert. Bei Kameras ist der praktischste Weg ein Schild, das man sieht, bevor man den Kamerabereich betritt. Das Schild kann kurz sein; den ausführlichen Text legen Sie auf Ihrer Website, am Eingang oder an der Kasse aus und geben auf dem Schild an, wo man diesen Text findet.

Allein „Dieser Bereich wird per Kamera überwacht“ auf das Schild zu schreiben, gilt möglicherweise nicht als Information. Lesende müssen Antworten auf folgende Fragen finden können:

• Wer zeichnet auf: Firmenname und Kontaktdaten des Betriebs
• Zu welchem Zweck: ein klarer Zweck wie Sicherheit oder Diebstahlprävention
• Mit wem kann die Aufzeichnung geteilt werden: zum Beispiel auf Anfrage mit zuständigen öffentlichen Stellen
• Rechte der Person und Antragsweg: zum Beispiel Auskunft über ihre Aufzeichnung zu verlangen
• Wo der ausführliche Informationstext zu finden ist

Expertenhinweis: Hängen Sie das Schild auf Augenhöhe und vor der Kamera auf. Ein Schild hinter der Tür oder unter der Kamera wird gelesen, wenn die Person bereits aufgezeichnet wurde.

In welchen Bereichen werden keine Kameras angebracht?

Wenn der Zweck Sicherheit ist, sollte die Kamera auf Bereiche gerichtet sein, die der Sicherheit dienen: Eingang, Kasse, Lagertür, Parkplatz. Kameras an Orten mit höchster Privatsphäre wie Toilette, Umkleide oder Stillzimmer anzubringen, ist nicht zu rechtfertigen. Auch für Bereiche wie Ruheraum oder Teeküche gilt: Wenn Sie Ihren Zweck nicht klar begründen können, bringen Sie keine Kamera an.

Ein Blickwinkel, der das Innere des Nachbarladens, das Fenster des gegenüberliegenden Hauses oder die ganze Straße erfasst, verursacht ebenfalls Probleme. Verlangen Sie bei der Installation, dass die Kamera nur Ihren eigenen Bereich sieht. Bei den meisten Rekordern gibt es eine Maskierungsfunktion, die einen Teil des Bildes abdunkelt; damit können Sie Bereiche wie Fenster abdecken.

Tonaufzeichnung ist ein gesondertes Thema. Wenn das Bild genügt, lassen Sie das Mikrofon ausgeschaltet; wenn Sie Ton aufnehmen wollen, lassen Sie das vorab rechtlich prüfen.

Wie lange sollten Aufzeichnungen aufbewahrt werden?

Das Gesetz nennt für Kameras keine Tageszahl. Der allgemeine Grundsatz ist, Daten so lange aufzubewahren, wie es der Zweck der Verarbeitung erfordert. Ein Diebstahl oder ein Streit in einem Geschäft wird in der Regel innerhalb weniger Tage bemerkt; deshalb legen Betriebe eine angemessene Dauer fest und stellen den Rekorder so ein, dass er nach Ablauf dieser Dauer das Alte löscht.

Nehmen Sie die gewählte Dauer in eine schriftliche Aufbewahrungs- und Löschrichtlinie auf und halten Sie sie im Einklang mit der Geräteeinstellung. Eine längere Dauer sollte nicht allein mit Festplattenkapazität begründet werden. Wenn es einen Vorfall gab, ist es der bessere Weg, das betreffende Bildmaterial gesondert zu exportieren und zusammen mit der Vorfallsakte aufzubewahren, statt das ganze Gerät monatelang gefüllt zu halten.

Fragen Sie sich bei der Wahl der Aufbewahrungsdauer: Wann bemerke ich einen Vorfall spätestens? Ein Laden, der am Wochenende geschlossen ist, muss am Montagmorgen die Aufzeichnung der Samstagnacht sehen können. Ein Lager, das einmal pro Woche Inventur macht, muss bei einer Inventurdifferenz die Aufzeichnung dieser Woche erreichen können. Wenn Sie die Dauer nach diesem Arbeitsablauf festlegen, haben Sie weder mehr Daten als nötig behalten noch stehen Sie im Bedarfsfall ohne Aufzeichnung da.

Wer kann auf die Aufzeichnung zugreifen?

Zugriffsbeschränkung gehört zu den technischen Maßnahmen, die das Gesetz erwartet, und ist zugleich in der Praxis das am häufigsten vernachlässigte Thema. Es gibt nicht wenige Betriebe, in denen alle das Konto „admin“ am Rekorder nutzen und das Passwort auf das Gerät geklebt ist.

Legen Sie für jeden Benutzer ein eigenes Konto an. Muss die Kassiererin oder der Kassierer das Live-Bild ansehen, geben Sie nur die Berechtigung zum Ansehen; die Berechtigung zum Löschen und Exportieren von Aufzeichnungen verbleibt bei der Betriebsinhaberin, beim Betriebsinhaber oder bei einer Führungskraft. Ist das Ansehen per Telefon aktiviert, ändern Sie das App-Passwort, wenn eine Mitarbeitende oder ein Mitarbeitender den Betrieb verlässt.

Verlangen Polizei oder Staatsanwaltschaft für einen Vorfall Bildmaterial, nehmen Sie die Anfrage schriftlich entgegen, übergeben Sie nur den betreffenden Zeitraum und halten Sie das fest.

Auch dass der Rekorder über das Netzwerk von außen erreichbar ist, ist ein Zugriffsthema. Eine Fernansicht einzurichten, indem man am Modem wahllos Ports öffnet, kann das Gerät Scans im Internet aussetzen. Ist eine Fernansicht nötig, bevorzugen Sie die sichere Cloud-Verbindung des Herstellers oder eine Methode wie VPN und halten Sie die Gerätesoftware aktuell.

Ist eine VERBİS-Registrierung erforderlich?

VERBİS ist das Register der Verantwortlichen der türkischen Datenschutzbehörde (Kişisel Verileri Koruma Kurumu). Die Registrierungspflicht hängt von Größe und Tätigkeitsfeld des Betriebs ab, und der Datenschutzrat (Kurul) kann diese Kriterien im Lauf der Zeit aktualisieren. Ein kleiner Gewerbetreibender hat womöglich keine Registrierungspflicht; ein Krankenhaus oder ein großes Unternehmen sehr wahrscheinlich schon.

Auch wenn Sie keine Registrierungspflicht haben, bestehen die Informations-, Aufbewahrungs- und Sicherheitspflichten weiter. Verwechseln Sie diese beiden Themen nicht.

Expertenhinweis: Dieser Beitrag gibt allgemeine Informationen und ist keine Rechtsauskunft. Klären Sie die Situation Ihres Betriebs, die VERBİS-Pflicht und Ihren Informationstext mit der Rechtsabteilung Ihrer Einrichtung oder einer auf das KVKK spezialisierten Fachperson.

Was sollten Sie bei der Installation verlangen?

Ein Teil der KVKK-Konformität wird bei der Installation gelöst. Zeigen Sie der Firma auf dem Plan, welche Bereiche die Kameras sehen werden, verlangen Sie Maskierung für angrenzende Bereiche, lassen Sie die Aufbewahrungsdauer des Rekorders auf den von Ihnen festgelegten Wert einstellen und die Benutzerkonten nach Berechtigungen anlegen. Prüfen Sie bei der Übergabe, dass das Standardpasswort geändert wurde.

Bei Installationen von Desa Bilişim gehören Schildposition, Maskierung und Benutzerberechtigungen zur Übergabeliste. Den Inhalt des Rechtstextes sollte der Betrieb dagegen mit der eigenen Beratung erstellen.

Häufige Fragen