Wie sollte ein überwachter Raum korrekt gekennzeichnet werden

Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte.

Bild 1

Bild 1 enthält alle notwendigen Informationen, die der Verantwortliche den betroffenen Personen beim Betreten des überwachten Raums in erster Schicht gemäß Art. 5 Abs. 1 Buchst. a) der DSGVO (Grundsatz der Transparenz) zu übermitteln hat. Diese Daten müssen vor deren Erhebung oder spätestens zum Zeitpunkt von deren Erhebung zur Verfügung gestellt werden. Die erste Schicht enthält Informationen für betroffene Personen über den Verantwortlichen, über die Verarbeitungszwecke, als auch weitere Informationen zur Sicherstellung der gerechten und transparenten Verarbeitung ihrer personenbezogenen Daten. Die erste Schicht sollte gleichzeitig die Information darüber enthalten, wo alle weiteren notwendigen Informationen von der betroffenen Person gefunden werden können. Diese ergänzenden Informationen können auf die Verarbeitung personenbezogener Daten hinweisen (z.B.: Link zu einer Webseite oder Info-Wand), wo es mehr Raum für den mehrschichtigen Zugriff auf die Bedingungen für die Verarbeitung personenbezogener Daten und auf die Rechte betroffener Personen gibt.

Aus der genannten Leitlinie ergibt sich, dass die Übermittlung der Informationen an die betroffene Person über die Verarbeitung ihrer personenbezogenen Daten mittels eines Kamerasystems nicht erst nach der Erhebung ihrer personenbezogenen Daten (nach dem Betreten des überwachten Raums) erfolgen kann. Die Unterbringung der Kennzeichnung des überwachten Raums ist darüber hinaus dadurch spezifisch, dass die betroffenen Personen somit über den Ort des Betretens des überwachten Raums, bzw. darüber informiert werden, dass gemäß Grundsatz der Transparenz ein Raum abgegrenzt wird, in dem die personenbezogenen Daten betroffener Personen erhoben werden.

Gemäß Art. 4 Abs. 1 der DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zur einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Gemäß Art. 4 Abs. 2 der DSGVO ist die „Verarbeitung“ eden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Kommt es zur Überwachung von Räumen im Sinne eines berechtigten Interesses gemäß Art. 6 Abs. 1 Buchst. f) der DSGVO, hat der Verantwortliche die Grundsätze der Minimierung bei der Verarbeitung personenbezogener Daten gemäß Art. 5 Abs. 1 Buchst. c) der DSGVO einzuhalten (personenbezogene Daten sind dabei solche personenbezogenen Daten, die relevant in Bezug auf den verfolgten Zweck und gleichzeitig zum Erreichen dieses Zwecks notwendig sind). Es ist verboten, Räume in Bezug auf den verfolgten Zweck außerhalb der festgelegten Grenze zu überwachen.

Die Leitlinie betrifft auch die empfohlene Aufbewahrungsfrist von Aufzeichnungen bei der allfälligen Anwendung von Art. 6 Abs. 1 Buchst. f) der DSGVO (die Verarbeitung ist notwendig für Zwecke der berechtigten Interessen, die vom Verantwortlichen verfolgt werden), die 72 Stunden beträgt. Die konkrete Aufbewahrungsfrist von personenbezogenen Daten ist weder in der DSGVO noch in einer anderen allgemein verbindlichen Vorschrift festgelegt.  Sollte die Aufbewahrungsfrist von Aufzeichnungen 72 Stunden übersteigen, muss der Verantwortliche in der Lage sein, der Aufsichtsbehörde die Gründe für die längere Aufbewahrung der Aufzeichnungen so ausreichend zu argumentieren, dass diese nicht im Widerspruch zum Art. 5 Abs. 1 Buchst. e) der DSGVO (Speicherbegrenzung) stehen, d. h. länger als die zum Erreichen des verfolgten Verarbeitungszwecks notwendige Zeit.

Der Verantwortliche ist für die Festlegung der Aufbewahrungsfrist von Daten gemäß Grundsätzen der Notwendigkeit und Verhältnismäßigkeit im Sinne der gegebenen Leitlinie verantwortlich.

Gemäß Art. 5 Abs. 1 Buchst. e) der DSGVO müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Abs. 1 verarbeitet werden („Speicherbegrenzung“).

• Anzahl der nachgewiesenen Diebstähle oder Vorfälle im überwachten Raum, die von Polizeibeamten untersucht wurden, wofür es Beweise gibt
• Anzahl der Feiertage, die die Aufbewahrungsfrist verlängern könnten (es muss jedoch damit gerechnet werden, dass ein Problem entstehen kann, wenn es einen Wachdienst gibt, von dem die Räume überwacht werden)

Bei allfälligen Fragen zögern Sie nicht, uns zu kontaktieren.

IOSEC