Videoüberwachung am Arbeitsplatz – 10.000 Euro Bußgeld
Videoüberwachung ist immer wieder ein Thema, bei dem Datenschutzbehörde genauer hinsehen. Wegen unzulässiger Videoüberwachung am Arbeitsplatz verhängte die italienische Datenschutzbehörde (Garante per la protezione dei dati personali) gegen das Forschungsinstitut Istituto Nazionale di Ricerca Metrologica (INRIM) ein Bußgeld in Höhe von 10.000 € . Dieses hatte zunächst nur Überwachungssystem getestet. Wegen fehlender Information der Beschäftigten, einem Verstoß gegen eine Betriebsvereinbarung zur Videoüberwachung und einer unterbliebenen Datenschutzfolgenabschätzung sah die Behörde darin einen Verstoß gegen das Datenschutzrecht.
Hintergrund
Zwei INRIM-Mitarbeitende hatten sich bei der Datenschutzbehörde beschwert, weil ihr Arbeitgeber ein Kamerasystem am Hauptstandort in Turin in Betrieb nahm, ohne sie zu informieren.
Bereits im Mai 2025 hatte das Institut mit den Betriebsvertretern eine Vereinbarung über ein Kamerasystem zur Überwachung der Grundstücksgrenzen geschlossen. Die Kameras sollten ausschließlich Grenzmauern und Zäune des Geländes filmen. Zweck war hier der Eigentumsschutz. Insgesamt hatten die Betriebsparteien sich auf zehn Kameras geeinigt.
Tatsächlich hatte das INRIM bis Ende Oktober 2025 18 Kameras installiert und am 31. Oktober 2025 Testmodus des Sysestem eingeschaltet. In der Zeit vom 3. bis 5. November 2025 erfolgte eine Videoüberwachung für wenige Stunden an Arbeitstagen, allerdings ohne Aufzeichnung. Ab dem 6. November folgte dann der Test mit Aufzeichnung- Dies geschah allerdings nur nachts, sowie samstags, sonntags und an Feiertagen. Zudem wurde die Aufzeichnung nur aktiviert, wenn tatsächlich ein Alarm ausgelöst wurde. Dem INRIM zufolge habe es sich hierbei um eine reine technische Prüfung gehandelt; das System sei „nur zum Zweck der Verifizierung seiner technischen Funktionsfähigkeit und Angemessenheit“ geschaltet und betrieben worden.
Fehlende Rechtsgrundlage
Die Datenschutzbehörde sah dies anders. Es spielt keine Rolle, dass die Aufnahmen nur live angezeigt und nicht gespeichert wurden. Schon allein deshalb, weil die Kameras an Arbeitstagen Bilder von diensthabenden Mitarbeitern und anderen Personen im Gelände erfassten, war bereits eine Datenverarbeitung gegeben. Ohne Rechtsgrundlage und Erfüllung der Transparenzpflichten verstieß das INRIM insofern gegen die einschlägigen Datenschutzgesetze (Artikel 5 Abs. 1 Buchst. a), 6 Abs. 1 Buchst. c) Sätze 1 bis 3, 12 Abs. 1, 13, 35 und 88 Abs. 1 DSGVO sowie die Artikel 2-ter und 114 des italienischen Datenschutzgesetzes).
Verstoß gegen die Betriebsvereinbarung
Die Überwachung von Beschäftigten ist in Italien streng geregelt. Nach Artikel 4 des „Statuto dei lavoratori“ (Arbeitnehmerstatut, Gesetz Nr. 300/1970) dürfen Geräte, die eine Fernüberwachung der Tätigkeit der Arbeitskräfte ermöglichen, nur zu organisatorischen und produktionsbedingten Zwecken, zur Arbeitssicherheit und zum Schutz des Unternehmensvermögens eingesetzt werden. Vorausgesetzt ist dabei jedoch, dass dies auf Grundlage eines kollektiv verhandelten Abkommens mit der Arbeitnehmervertretung erfolgt.
Im vorliegenden Fall ging die Datenschutzbehörde davon aus, dass das INRIM zudem gegen die eigene Betriebsvereinbarung verstoßen hatte. Die Planzeichnung sah zehn Kameras mit definierten Erfassungsbereichen im Bereich der Grundstücksgrenzen vor. Installiert wurden jedoch 18 Kameras mit veränderter Position und anderem Blickfeld.
Die Vereinbarung zwischen den Betriebsparteien gestattete zwar außerordentliche Wartung des Kamerasystems, was auch nicht wesentliche technische Verbesserungen oder Upgrades betraf. Voraussetzung dafür, dass die bestehende Betriebsvereinbarung nicht angepasst werden musste war jedoch, dass die definierten Erfassungsbereiche „nicht verändert“ werden. Zusätzlichen Kameras waren damit keine technische Anpassung, sondern eine substantielle Änderung des Überwachungsumfangs.
fehlende Datenschutzhinweise
Auch die Informationspflichten blieben verletzt. Das Institut hatte die Beschäftigten vor der Testphase nicht über die Videoüberwachung nach Art. 13 DSGVO informiert.Zwar sollte der Hinweis angeblich vor der eigentlichen Inbetriebnahme kommen; zu spät sei das aber nach Auffassung der Datenschutzbehörde gewesen. Maßgeblich sei der erste Tag der Datenverarbeitung, also hier der Beginn der Testphase am 31. Oktober 2025 und nicht eine „Inbetriebnahme“ der Videoüberwachung. Das Hinweisschild wurde erst am 17. November 2025 angebracht. Dies war zu spät.
Abgesehen vom Zeitpunkt monierte die Aufsichtsbehörde auch den Inhalt der Datenschutzinformationen auf dem Hinweisschild zur Videoüberwachung. Diese seien gleich in mehrfacher Hinsicht mangelhaft gewesen.
Das Schild nannte nur die Abkürzung „INRIM“ ohne Kontaktdaten, verwies auf einen unbestimmten Zweck („Sicherheit“) statt auf den tatsächlichen (Vermögenschutz), erwähnte weder die Rechte der Betroffenen noch die Speicherdauer und erläuterte nicht, dass der QR-Code zur zweiten Informationsstufe führt.
Die Leitlinien 3/2019 des Europäischen Datenschutzausschusses (EDSA) sind hier sehr klar: Videoüberwachung verlangt ein zweistufiges Informationssystem zur Verarbeitung personenbezogener Daten, nämlich ein Schild am Ort der jeweiligen Kamera mit den wichtigsten Angaben und eine leicht zugängliche, umfassende Informationsseite mit allen Elementen des Art. 13 DSGVO.
Beispiel für ein vorgelagertes Hinweisschild gemäß Landesbeauftragte für den Datenschutz Niedersachsen
https://www.lfd.niedersachsen.de/faq/videouberwachung/faq-videouberwachung-175245.html
Unterbliebene Folgenabschätzung
Ein dritter, eigenständiger Verstoß kam hinzu, Das Institut hatte die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO bzw. die erforderliche Schwellenwertanalyse bis zur Fertigstellung der technischen und organisatorischen Struktur „aufgeschoben“, also auf einen Zeitpunkt nach Beginn der ersten Verarbeitung vertagt. Liegt ein hohes Risiko für die Rechte und Freiheiten betroffener Personen vor, muss die DSFA vor Beginn der Verarbeitung erfolgen. Beschäftigte sind in dem asymmetrischen Arbeitsverhältnis nach der Auffassung des EDSA eine schutzbedürftige Gruppe (Erwägungsgrund 75, Art. 88 DSGVO), und ein Kamerasystem am Arbeitsplatz zählt zu dem durch den EDSA definierten „systematischen Monitoring“.
Fazit
Am Ende blieb die Geldbuße mit 10.000 Euro überschaubar. Die Verstöße seien fahrlässig begangen worden. Insbesondere hatte sich die Aktivierung des Systems an Arbeitstagen auf vier Arbeitstage und wenige Stunden pro Tag beschränkt. Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO waren nicht betroffen gewesen. Zugunsten des Instituts zählten außerdem die vollständige Zusammenarbeit mit der Behörde und das Fehlen früherer Verstöße. Das Institut kann innerhalb von 30 Tagen durch Zahlung der Hälfte (5.000 Euro) vergleichen; im Übrigen steht ihm ein Rechtsbehelf vor den ordentlichen Gerichten offen.
Weiterführende Hinweise
Pressemitteilung der Garante per la protezione dei dati personali: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10297167
Leitlinien 3/2019 des EDSA : https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_de
Videoüberwachung im Fitnesstudio: https://varyfy.de/videoueberwachung-im-fitnessstudio/
Autor
Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.
VARY.FY begleitet Ihr Unternehmen bei der datenschutzkonformen Umsetzung ihrer Videoüberwachung. Wir dokumentieren die Kameraanlagen, prüfen die Rechtsgrundlagen und erstellen die datenschutzrechtliche Risikobewertung.
kontakt@varyfy.de