GDPR CCTV-Konformität für EU-Einzelhandelsgeschäfte: Ein praktischer Leitfaden für Geschäftsführer in 2026

Wenn Sie ein Einzelhandelsgeschäft, ein Café, ein Restaurant oder ein Unternehmen mit einer physischen Niederlassung in der EU betreiben, verfügen Sie fast sicher über Videoüberwachung. Und wenn Sie Videoüberwachung haben, gilt die DSGVO für Sie — ob Sie darüber nachgedacht haben oder nicht.

Die Konsequenzen von Fehlern sind nicht theoretisch. Datenschutzbehörden in der gesamten EU haben gegen Einzelhandelsunternehmen Bußgelder wegen einer Reihe von Verstößen verhängt: Aufbewahrung von Material länger als notwendig, Versäumnis, Kunden über Kameras zu informieren, Erfassung von mehr öffentlichem Raum als gerechtfertigt und Verwendung von Material für Zwecke, die über das hinausgehen, was den Kunden mitgeteilt wurde.

Dieser Leitfaden richtet sich an Einzelhandelsunternehmer, die Compliance korrekt umsetzen möchten – nicht nur um Bußgelder zu vermeiden, sondern um ein System aufzubauen, das ihr Unternehmen, ihre Kunden und ihre Mitarbeiter wirklich schützt.

Gilt die DSGVO tatsächlich für mein Geschäft?

Ja. Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet — das bedeutet jedes Unternehmen, das Aufnahmen identifizierbarer Personen aufzeichnet. Eine Videoüberwachungskamera, die Kunden beim Betreten Ihres Geschäfts, Mitarbeiter bei der Arbeit im Verkaufsraum oder Personen in Ihren Räumlichkeiten erfasst, verarbeitet personenbezogene Daten im Sinne der DSGVO.

Dies gilt unabhängig von:

– Die Größe Ihres Unternehmens (die DSGVO gilt für Unternehmen jeder Größe)

– Ob Sie das Material aktiv ansehen oder ob es nur automatisch aufzeichnet

– Ob Sie jemals einen Vorfall hatten, der die Aufnahmen erforderte

– Ob Sie ein Ein-Personen-Geschäft oder eine Kette sind

In dem Moment, in dem Sie eine Kamera installieren, werden Sie zum Datenverantwortlichen gemäß DSGVO — verantwortlich dafür, wie diese Aufnahmen erfasst, gespeichert, verwendet und schließlich gelöscht werden.

Es gibt ein weit verbreitetes Missverständnis, das angesprochen werden muss: die Annahme, dass die DSGVO nicht gilt, wenn Kameras nur nach innen in einem Raum gerichtet sind, den Sie besitzen. Das ist falsch. Die DSGVO gilt für die Verarbeitung personenbezogener Daten im Rahmen einer Geschäftstätigkeit. Ein Geschäft ist eine Geschäftstätigkeit. Kunden und Mitarbeiter, die auf diesem Gelände gefilmt werden, sind identifizierbare Personen. Die DSGVO gilt.

Welche Rechtsgrundlage benötige ich?

Jedes CCTV-System benötigt eine dokumentierte rechtmäßige Grundlage für die Verarbeitung. Für die meisten Einzelhandelsunternehmen wird dies berechtigte Interessen (Artikel 6 Absatz 1 Buchstabe f DSGVO) — das Interesse am Schutz Ihres Eigentums, der Diebstahlprävention, der Gewährleistung der Sicherheit Ihrer Mitarbeiter und der Untersuchung von Vorfällen sein.

Die Frage ist nicht, ob Sie haben ein berechtigtes Interesse haben — die meisten Einzelhandelsunternehmen haben dies eindeutig. Die Frage ist, ob Ihre spezifische Nutzung von CCTV in einem angemessenen Verhältnis zu diesem Interesse steht. Hier bleiben viele Unternehmen hinter den Anforderungen zurück.

Betrachten Sie zwei Szenarien:

Szenario 1: Ein Geschäft installiert Kameras am Eingang, an den Kassen und im Lagerraum — alle eindeutig auf Diebstahlprävention und Eigentumsschutz ausgerichtet. Die Eingangskamera erfasst einen schmalen Bereich der Tür. Die Kassenkamera deckt den Thekenbereich ab. Die Lagerraumkamera deckt den Lagerbereich ab. Dies steht in einem angemessenen Verhältnis zum angegebenen Zweck.

Szenario 2: Dasselbe Geschäft installiert Weitwinkelkameras, die den gesamten Verkaufsraum, den öffentlichen Gehweg vor dem Eingang und die Fenster des Nachbargeschäfts erfassen. Zudem gibt es eine Kamera im Pausenraum. Dies ist mit ziemlicher Sicherheit unverhältnismäßig. Die Kameras erfassen Bereiche und Personen, die keinen Bezug zur Diebstahlprävention haben. Die Kamera im Pausenraum wirft zusätzliche Bedenken hinsichtlich der Privatsphäre der Mitarbeiter auf.

Der Test ist einfach: Würde ein vernünftiger Kunde akzeptieren, an diesem Ort zu diesem Zweck gefilmt zu werden? Wenn die Antwort ja lautet, ist die Kamera wahrscheinlich verhältnismäßig. Wenn die Antwort nein lautet, wahrscheinlich nicht.

Wo darf ich Kameras legal platzieren?

Die Leitlinien des EDPB zur Videoüberwachung legen den EU-weiten Rahmen fest. Innerhalb dieses Rahmens sollten Entscheidungen zur Kameraplatzierung dieser Logik folgen:

Im Einzelhandel grundsätzlich zulässig

– Eingangs- und Ausgangspunkte — wer eingetreten ist, wann und in welche Richtung

– Kassen- und Zahlungsbereiche — der Ort mit dem höchsten Risiko für Diebstahl und Streitigkeiten

– Lagerräume und Hinterhausbereiche — Schutz des Inventars

– Interne Korridore und Treppenhäuser — Sicherheit und Zugangskontrolle

– Außenbereich und Parkplätze — Eigentumsschutz

– Kundenbereich im Verkaufsraum — wenn durch Diebstahlrisiko oder Sicherheit gerechtfertigt

Generell verboten

– Toiletten und Umkleideräume — kategorisch verboten

– Personalpausenräume — Mitarbeiter haben eine berechtigte Erwartung an Privatsphäre während der Pausen

– Jeder Bereich, in dem Kunden eine spezifische Privatsphäreerwartung haben — Umkleidekabinen, Beratungsbereiche, Apothekentheken

Erfassung öffentlicher Gehwege

Dies ist einer der häufigsten Compliance-Verstöße im Einzelhandel. Eine Kamera, die am Eingang eines Geschäfts positioniert ist, wird unweigerlich Teile des öffentlichen Bürgersteigs außerhalb erfassen. In den meisten Fällen ist dies akzeptabel, wenn es beiläufig ist – die Kamera ist auf den Eingang, nicht auf die Straße gerichtet, und die Aufnahmen des Bürgersteigs sind ein Nebeneffekt und nicht der Zweck.

Kameras, die jedoch so positioniert sind, dass sie breite Ansichten öffentlicher Straßen, Fußgängerbereiche oder öffentlicher Räume jenseits des unmittelbaren Ladeneingangs erfassen, erfordern eine zusätzliche Rechtfertigung. Je mehr öffentlichen Raum Sie erfassen, desto schwieriger ist es zu argumentieren, dass die Überwachung verhältnismäßig ist.

Praktische Regel: Wenn Ihre Kamera mehr als etwa 2–3 Meter öffentlichen Bürgersteigs jenseits Ihres Eingangs erfasst, prüfen Sie, ob der Winkel angepasst werden kann, um dies zu reduzieren. Privacy Masking – Software, die bestimmte Bereiche der Kameransicht ausblendet – ist ein praktisches Werkzeug, um ungewollte Erfassung zu reduzieren.

Die Kennzeichnungspflicht: Mehr als nur ein Schild

Die UK GDPR verlangt, dass Personen darüber informiert werden, dass CCTV in Betrieb ist, bevor sie aufgezeichnet werden. Für ein Einzelhandelsgeschäft bedeutet dies Beschilderung.

Die Leitlinien der ICO und des EDPB sind klar: Schilder müssen sein:

– Deutlich sichtbar — nicht hinter einem Regal oder in Kniehöhe versteckt

– Einfach zu verstehen — keine juristische Sprache oder Fachjargon

– An jedem Eingang vorhanden zum überwachten Bereich

Ein DSGVO-konformes CCTV-Schild sollte Kunden mitteilen:

1. Dass CCTV in Betrieb ist

2. Wer dafür verantwortlich ist (der Name des Unternehmens)

3. Der Zweck der Überwachung (Sicherheit, Diebstahlprävention, Sicherheit)

4. Wo sie weitere Informationen finden können (eine Datenschutzerklärung, eine Website, eine Kontaktnummer)

Beispiel für ein konformes Schild

“`

CCTV in Betrieb

Diese Räumlichkeiten werden zu Ihrer Sicherheit, zur Verhinderung von Straftaten und zum Schutz von Eigentum durch CCTV überwacht.

Verantwortlicher: [Unternehmensname]

Weitere Informationen darüber, wie wir CCTV nutzen, finden Sie in unserer Datenschutzerklärung unter [URL] oder fragen Sie einen Mitarbeiter.

“`

Dieses Schild erfüllt die gesetzlichen Anforderungen. Es ist klar, identifiziert den Verantwortlichen und weist die Menschen darauf hin, wo sie weitere Informationen finden können.

Aufbewahrung: Der Bereich, in dem die meisten Einzelhändler Defizite haben

Dies ist die häufigste GDPR-Verletzung im Einzelhandel-CCTV und die einfachste zu beheben.

Die Regel ist absolut: Aufnahmen dürfen nicht länger als nötig aufbewahrt werden. Für einen typischen Einzelhandelsladen bedeutet dies:

– 30 Tage sind der praktische Standard. Die meisten Unternehmen haben keinen Grund, Aufnahmen länger als einen Monat aufzubewahren. Nach 30 Tagen sinkt die Wahrscheinlichkeit, einen bestimmten Vorfall aus den Aufnahmen zu identifizieren, erheblich, und das Prinzip der Datenminimierung erfordert eine Löschung.

– Eine längere Aufbewahrung erfordert eine spezifische Begründung. Wenn eine laufende Untersuchung, ein Streit mit einem Kunden oder ein aktiver Versicherungsanspruch vorliegt, dürfen Sie bestimmte Aufnahmen länger aufbewahren. Diese Aufbewahrung muss dokumentiert werden, und die Aufnahmen müssen gelöscht werden, sobald die Angelegenheit geklärt ist.

– Gewohnheitsbedingte Aufbewahrung ist nicht rechtmäßig. “Wir haben Aufnahmen immer sechs Monate lang aufbewahrt” ist keine Rechtfertigung. Aufbewahrungsfristen müssen auf tatsächlichem Geschäftsbedarf basieren, nicht auf dem, was Sie immer getan haben.

Wie Sie die automatische Löschung implementieren

Die meisten modernen CCTV-Systeme unterstützen die geplante automatische Löschung. Konfigurieren Sie Ihr System so, dass es:

– Die ältesten Aufnahmen automatisch überschreiben, wenn der Speicher voll ist

– Alle Aufnahmen löschen, die älter als 30 Tage sind, es sei denn, bestimmte Aufnahmen wurden im Zusammenhang mit einer aktiven Untersuchung zur Aufbewahrung markiert

– Protokollieren Sie alle Fälle, in denen Aufnahmen über den Standardzeitraum hinaus aufbewahrt werden, und den Grund dafür

Wenn Ihr aktuelles System keine automatische Löschung unterstützt, ist dies eine Prioritätsaktualisierung. Manuelle Löschprozesse sind unzuverlässig – jemand muss daran denken, es zu tun, und in einem geschäftigen Einzelhandelsumfeld wird es irgendwann vergessen.

Kann ich Videoüberwachungsmaterial zur Mitarbeiterüberwachung verwenden?

Dies ist eine Frage, die sich viele Einzelhändler stellen, und die Antwort erfordert Sorgfalt.

Wenn Sie Videoüberwachung in erster Linie für die Ladensicherheit installiert haben — zum Schutz vor Kundendiebstahl, Vandalismus und Sachbeschädigung —, ist die Nutzung desselben Materials zur Überwachung des Mitarbeiterverhaltens, zur Anwesenheitskontrolle oder zur Beweissicherung für Disziplinarverfahren ein sekundärer Zweck.

Dies ist nicht automatisch verboten, aber auch nicht automatisch erlaubt. Die entscheidende Frage ist, ob Ihre Mitarbeiter darüber informiert wurden, dass das Material für diese Zwecke verwendet werden könnte.

Wenn Ihre Datenschutzhinweise für Mitarbeiter, Arbeitsverträge oder Einarbeitungsunterlagen klar angeben, dass Videoüberwachungsmaterial für Leistungsmanagement und Disziplinarverfahren verwendet werden darf, dann ist die Verwendung des Materials für diese Zwecke im Allgemeinen akzeptabel — vorausgesetzt, sie ist verhältnismäßig im Hinblick auf den ursprünglichen Sicherheitszweck.

Wenn Mitarbeitern nur mitgeteilt wurde, dass CCTV der „Sicherheit“ dient, ist die Verwendung von Aufnahmen zur Überwachung ihres Verhaltens oder zur Durchführung einer neuen Untersuchung über etwas, das nicht mit der Sicherheit zusammenhängt, wahrscheinlich anfechtbar. Die ICO-Richtlinie hierzu ist eindeutig: Die Verwendung von Sicherheits-CCTV zur Mitarbeiterüberwachung ohne angemessene Offenlegung ist ein potenzieller Verstoß gegen sowohl Datenschutzrecht als auch Arbeitsrecht.

Bewährte Praxis: Fügen Sie eine klare Erklärung in Ihre Arbeitsverträge und die Datenschutzhinweise für Mitarbeiter ein, dass CCTV für Sicherheit, Gefahrenabwehr und — sofern verhältnismäßig und mit dem ursprünglichen Zweck vereinbar — für Leistungsmanagement und disziplinarische Zwecke verwendet werden kann.

Was ist mit Audioaufzeichnung?

Viele Einzelhandels-CCTV-Systeme umfassen Audio – sie zeichnen Kundengespräche ebenso wie Video auf. In den meisten EU-Rechtsordnungen unterliegt die Audioaufzeichnung strengeren Regeln als Video.

Nach der UK-DSGVO wirft die Audioaufzeichnung in einer Einzelhandelsumgebung zusätzliche Überlegungen auf:

– Das Information Commissioner’s Office betrachtet Audioaufnahmen als stärker in die Privatsphäre eingreifend als reine Videoaufnahmen, insbesondere wenn private Gespräche erfasst werden

– Die Aufzeichnung von Kundengesprächen ohne deren Wissen kann zusätzliche rechtliche Rahmenbedingungen über die DSGVO hinaus berühren, einschließlich Gesetzen zur Überwachung von Kommunikation

– Im Einzelhandelskontext wirft die Audioaufzeichnung von Kundeninteraktionen (an der Kasse, bei einer Rückerstattung, in einer Umkleidekabine) besondere Bedenken hinsichtlich der Erfassung sensibler personenbezogener Daten auf

Praktische Empfehlung für die meisten Einzelhändler: Deaktivieren Sie die Audioaufzeichnung, es sei denn, Sie haben einen spezifischen, dokumentierten Grund, sie eingeschaltet zu lassen, und haben rechtlichen Rat zu den Anforderungen Ihrer Gerichtsbarkeit eingeholt.

Umgang mit Anfragen nach Aufnahmen

Nach der DSGVO haben Personen das Recht, auf Videoaufnahmen zuzugreifen, in denen sie erscheinen. Dies wird als Antrag auf Auskunft einer betroffenen Person (Data Subject Access Request, DSAR) bezeichnet.

Im Einzelhandelskontext stammen Auskunftsersuchen nach DSGVO typischerweise von:

– Kunden, die glauben, unfair behandelt worden zu sein, und sehen möchten, was passiert ist

– Ehemalige Mitarbeiter, die an disziplinarischen Verfahren beteiligt waren

– Personen, die eine Beschwerde über einen Vorfall im Geschäft einreichen

Die Beantwortung eines DSAR mit Videoüberwachungsaufnahmen erfordert:

1. Auffinden der relevanten Aufnahmen innerhalb des einmonatigen Antwortzeitraums

2. Überprüfung der Aufnahmen to identify other individuals who may need to be redacted

3. Bearbeitung der Aufnahmen um die Gesichter und identifizierenden Merkmale unbeteiligter Dritter unkenntlich zu machen (oder eine klare Rechtsgrundlage für die Offenlegung ohne Schwärzung zu haben)

4. Bereitstellung der Aufnahmen in einem Format, auf das der Antragsteller zugreifen kann

5. Dokumentation der Antwort zu Rechenschaftszwecken

Auskunftsersuchen, die Videoüberwachungsaufnahmen anderer Kunden betreffen, erzeugen eine praktische Spannung: Sie sind verpflichtet, dem Antragsteller Aufnahmen von sich selbst bereitzustellen, aber Sie sind auch verpflichtet, die Privatsphäre anderer Personen zu schützen, die in denselben Aufnahmen erscheinen.

Die ICO-Richtlinie besagt, dass der Datenverantwortliche, wenn das Material Dritte enthält, die praktisch nicht entfernt werden können, das Material mit unkenntlich gemachten Dritten bereitstellen kann — oder die Bereitstellung des Materials ganz ablehnen kann, wenn eine Unkenntlichmachung nicht machbar ist. Dokumentieren Sie die Entscheidung in jedem Fall.

Was zu tun ist, wenn Aufnahmen einen Vorfall zeigen

Wenn Videoüberwachungsaufnahmen etwas festhalten, das wie eine Straftat aussieht — ein Diebstahl, eine Körperverletzung, Vandalismus — ist der Instinkt, sie unbegrenzt aufzubewahren. Das ist verständlich, steht aber im Widerspruch zu Ihren Aufbewahrungspflichten.

Das richtige Vorgehen:

1. Sichern Sie die relevanten Aufnahmen sofort by downloading it to a separate, protected location

2. Den Download dokumentieren — Uhrzeit, Datum, wer die Kopie erstellt hat und der Grund

3. Die Aufnahmen für eine verlängerte Aufbewahrung markieren — notieren Sie den konkreten Vorfall, das Datum und den Grund, warum die Aufnahme über den Standardzeitraum hinaus aufbewahrt wird

4. Polizei kontaktieren wenn eine Straftat begangen wurde und das Material ihre Ermittlungen unterstützen kann

5. Teilen Sie die Aufnahmen nicht öffentlich — das Teilen identifizierbarer Aufnahmen von Personen in sozialen Medien oder mit Medienorganisationen stellt in den meisten Fällen einen Datenschutzverstoß dar

6. Löschen Sie das Material sobald die Angelegenheit geklärt ist (Strafverfahren abgeschlossen, Disziplinarverfahren beigelegt, Versicherungsanspruch reguliert oder bestätigt wurde, dass keine weiteren Maßnahmen erforderlich sind)

Muss ich mich bei der ICO registrieren?

Britische Unternehmen mit Videoüberwachung, die personenbezogene Daten verarbeitet, sind verpflichtet, die Datenschutzgebühr an das Information Commissioner’s Office zu zahlen — derzeit 40 £ pro Jahr für kleine Organisationen mit bis zu 10 Überwachungskameras oder 60 £ für Organisationen mit komplexerer Verarbeitung.

Dies ist ein häufiges Versehen. Viele kleine Einzelhändler wissen nicht, dass sie sich registrieren müssen. Die Nichtregistrierung ist eine Straftat — und eine, die die ICO aktiv durchsetzt, insbesondere nach Beschwerden.

Die Registrierung ist unkompliziert und kann online auf der ICO-Website abgeschlossen werden. Der Vorgang dauert 15–20 Minuten und erfordert, dass Sie beschreiben, welche Videoüberwachungsdaten Sie verarbeiten, warum und wie lange Sie sie aufbewahren.

Für EU-Unternehmen besteht die entsprechende Verpflichtung in der Meldung an die nationale Datenschutzbehörde — obwohl dies in den meisten EU-Ländern in den DSGVO-Compliance-Rahmen integriert ist und keine separate Registrierungsgebühr darstellt.

Ihre CCTV-Compliance-Checkliste erstellen

Arbeiten Sie diese Liste durch, bevor Sie sich auf Ihr Videoüberwachungssystem verlassen:

Rechtsgrundlage und Zweck:

– [ ] Ich habe die spezifische rechtmäßige Grundlage für meine Videoüberwachung dokumentiert (berechtigte Interessen)

– [ ] Ich habe die konkreten Zwecke dokumentiert, für die das Material verwendet wird (Sicherheit, Diebstahlprävention, Gefahrenabwehr)

– [ ] Ich habe eine Abwägung durchgeführt, die bestätigt, dass meine Überwachung in einem angemessenen Verhältnis zu diesen Zwecken steht

Kameraplatzierung:

– [ ] Es sind keine Kameras in Toiletten, Umkleideräumen oder Pausenräumen für Mitarbeiter angebracht

– [ ] Kameras erfassen nicht mehr öffentlichen Raum als notwendig

– [ ] Ich habe die Verwendung von Privatsphärenmaskierung in Betracht gezogen, um unbeabsichtigte Bereiche von der Aufzeichnung auszuschließen

Transparenz:

– [ ] CCTV-Schilder sind an jedem Eingang zum überwachten Bereich angebracht

– [ ] Schilder weisen das Unternehmen als Verantwortlichen für die Datenverarbeitung aus

– [ ] Schilder weisen Personen darauf hin, wo sie weitere Informationen finden können

– [ ] Mitarbeiter wurden schriftlich über CCTV informiert (Arbeitsvertrag oder Datenschutzerklärung)

Beibehaltung:

– [ ] Ich habe eine dokumentierte Aufbewahrungsfrist (30 Tage sind der Standard für die meisten Einzelhändler)

– [ ] Die automatische Löschung ist konfiguriert und getestet

– [ ] Ich habe einen Prozess zum Markieren und Aufbewahren von Aufnahmen im Zusammenhang mit aktiven Vorfällen

Zugriff und Sicherheit:

– [ ] Nur autorisierte Mitarbeiter können auf CCTV-Aufnahmen zugreifen

– [ ] Videoüberwachungssysteme sind mit starken Passwörtern geschützt (von Standardeinstellungen geändert)

– [ ] Die Firmware der Videoüberwachungs-Hardware wird aktuell gehalten

– [ ] Ich verfüge über einen Prozess zur Beantwortung von DSARs innerhalb eines Monats

Registrierung und Dokumentation:

– [ ] Ich bin bei der ICO (UK) oder der zuständigen nationalen Datenschutzbehörde (EU) registriert

– [ ] Ich verfüge über eine dokumentierte Videoüberwachungsrichtlinie, die jährlich überprüft wird

– [ ] Ich habe einen Nachweis darüber, wer Zugriff auf das CCTV-System hat und warum

Der geschäftliche Nutzen, dies richtig zu machen

Über die Vermeidung von Bußgeldern hinaus bietet eine DSGVO-konforme Videoüberwachung echten geschäftlichen Nutzen. Aufnahmen, die ordnungsgemäß verwaltet, für den richtigen Zeitraum aufbewahrt und bei Bedarf zugänglich sind, sind ein wirksames Instrument für:

– Abschreckung von Gelegenheitsdiebstahl — sowohl Kunden als auch Mitarbeiter

– Beilegung von Kundenstreitigkeiten — eine Rückerstattungsforderung, die durch Videoaufnahmen widerlegt wird, oder eine Konfrontation ohne Zeugen

– Unterstützung von Versicherungsansprüchen — documented evidence of incidents, break-ins, or property damage

– Sicherheit der Mitarbeiter — Kameras in Kassenbereichen und im Backoffice schützen Mitarbeiter

– Schulung — anonymisiertes Material, das zur Veranschaulichung guter und schlechter Praxis verwendet wird

Ein schlecht verwaltetes System – das zu viele Aufnahmen speichert, für zu viele Personen zugänglich ist und nicht ordnungsgemäß dokumentiert wird – versagt in allen diesen Punkten. Es setzt das Unternehmen regulatorischen Maßnahmen aus, liefert Beweise von schlechter Qualität, wenn Sie sie tatsächlich benötigen, und schafft unnötige Risiken für Mitarbeiter und Kunden.

DSGVO-Compliance ist keine Bürde. Sie ist der Unterschied zwischen einem CCTV-System, das Sie schützt, und einem, das Haftung schafft.

Benötigen Sie ein Videoüberwachungssystem, das für die Einhaltung von Vorschriften konzipiert ist? Wie man die beste versteckte Kamera in 2026 auswählt um unser Sortiment an CE- und RoHS-zertifizierten Einzelhandels-Sicherheitskameras zu entdecken — entwickelt für Unternehmen, die sowohl Sicherheit als auch Datenschutz ernst nehmen.

---

Häufig gestellte Fragen

Gilt die DSGVO für meine Laden-Videoüberwachung, auch wenn ich ein Kleinunternehmen bin?

Ja. Die DSGVO gilt für alle Unternehmen jeder Größe, die personenbezogene Daten verarbeiten, und Videoüberwachungsmaterial identifizierbarer Personen ist personenbezogene Daten. Die Größe Ihres Unternehmens, die Anzahl Ihrer Kameras und ob Sie das Material aktiv überprüfen, sind alle unerheblich dafür, ob die DSGVO gilt. Die Pflichten sind für einen Tante-Emma-Laden dieselben wie für eine große Einzelhandelskette.

Wie lange darf ich Videoüberwachungsaufnahmen rechtmäßig aufbewahren?

Die DSGVO verlangt, dass Aufnahmen nicht länger als notwendig aufbewahrt werden. Für die meisten Einzelhandelsunternehmen sind 30 Tage der praktische und vertretbare Standard. Die Aufbewahrung von Aufnahmen über 6–12 Monate ohne einen spezifischen dokumentierten Grund ist nicht rechtmäßig. Sie dürfen bestimmte Aufnahmen länger aufbewahren, wenn sie mit einer laufenden Untersuchung, einem Versicherungsanspruch oder einem Gerichtsverfahren zusammenhängen — aber dies muss dokumentiert und die Aufnahmen gelöscht werden, sobald die Angelegenheit geklärt ist.

Wo muss ich Videoüberwachungsschilder anbringen?

Sie müssen an jedem Eingang zum CCTV-überwachten Bereich Schilder anbringen – das bedeutet jede Tür oder jeder Zugangspunkt, durch den Kunden oder Mitarbeiter einen überwachten Raum betreten. Die Schilder sollten deutlich sichtbar und leicht verständlich sein und den Namen des Unternehmens als Datenverantwortlichen sowie Informationen darüber enthalten, wo Kunden die vollständige Datenschutzerklärung lesen können.

Kann ich mein Videoüberwachungsmaterial in arbeitsrechtlichen Disziplinarverfahren gegen Mitarbeiter verwenden?

Ja, in den meisten Fällen — aber nur, wenn Ihre Mitarbeiter im Voraus darüber informiert wurden, dass Aufnahmen für diesen Zweck verwendet werden können. Diese Offenlegung sollte in ihren Arbeitsverträgen und der Datenschutzerklärung für Mitarbeiter enthalten sein. Wenn den Mitarbeitern nur mitgeteilt wurde, dass CCTV der „Sicherheit“ dient, kann die Verwendung von Aufnahmen für Leistungsmanagement oder nicht damit zusammenhängende disziplinarische Untersuchungen angefochten werden. Seien Sie in Ihrer Offenlegung konkret, für welche Zwecke Aufnahmen verwendet werden dürfen.

Muss ich andere Kunden unkenntlich machen, bevor ich Videoüberwachungsmaterial weitergebe?

Wenn ein Kunde einen DSAR für Aufnahmen einreicht, in denen er erscheint, sind Sie verpflichtet, diese Aufnahmen bereitzustellen. Wenn die Aufnahmen auch andere identifizierbare Personen zeigen, die der Offenlegung nicht zugestimmt haben, sollten Sie versuchen, deren Identität zu verschleiern – beispielsweise durch Unkenntlichmachung der Gesichter –, bevor Sie die Aufnahmen bereitstellen. Wenn eine Verschleierung nicht machbar ist, dokumentieren Sie die Entscheidung und prüfen Sie, ob Sie eine rechtliche Grundlage für eine Offenlegung ohne Unkenntlichmachung haben. Teilen Sie niemals identifizierbare Aufnahmen unbeteiligter Personen ohne deren Zustimmung, es sei denn, Sie haben eine spezifische rechtliche Verpflichtung dazu.

Kann ich mit meinem Einzelhandels-CCTV-System Audio aufzeichnen?

In den meisten EU-Rechtsordnungen unterliegt die Audioaufzeichnung strengeren Regeln als Video. Sie ist datenschutzintensiver und kann zusätzliche rechtliche Rahmenbedingungen betreffen. Für die meisten Einzelhandelsunternehmen ist der sicherste Ansatz, die Audioaufzeichnung zu deaktivieren, es sei denn, Sie haben einen spezifischen dokumentierten Grund und haben rechtlichen Rat zu den Anforderungen Ihrer Rechtsordnung eingeholt. Wenn Sie Audio aufzeichnen, muss dies in Ihren Hinweisschildern, Ihrer Datenschutzerklärung und Ihrer Aufbewahrungsrichtlinie enthalten sein.

Muss ich die ICO-Datenschutzgebühr zahlen?

Britische Unternehmen mit CCTV, die personenbezogene Daten verarbeiten, müssen die Datenschutzgebühr an das Information Commissioner’s Office zahlen – derzeit 40 £ pro Jahr für kleine Organisationen. Die Registrierung ist obligatorisch und die ICO setzt diese Anforderung aktiv durch. Unternehmen, die sich nicht registrieren, riskieren strafrechtliche Verfolgung und eine Geldstrafe. Die Registrierung ist über die ICO-Website unkompliziert und sollte abgeschlossen werden, bevor Sie mit dem Betrieb eines CCTV-Systems beginnen.