Na dann fang ich einfach mal mit einer inhaltlichen Frage an, die mich in der letzten Zeit häufiger beschäftigt hat.
An vielen Orten findet ja heutzutage Videoüberwachung statt. Wenn jemand dieses Video anschaut, kann diese Person mich evtl. identifizieren. Damit sollte es sich meiner Auffassung nach schon um personenbezogene Daten im Sinne der DSGVO handeln, oder?
Wenn es aber personenbezogene Daten sind, dann müsste ja grundsätzlich erstmal auch ein Auskunftsrecht nach Art. 15 DSGVO bestehen. Die einzigen Probleme/konfliktierenden Interessen, die ich sehe, sind:
Schutz anderer Personen
mögliche Sicherheitsbedenken
Dabei lässt sich aber ja das erste Problem durch Verpixelung oder ähnliches beheben, das zweite halte ich auch eher für unbegründet (Stichwort: Security by obscurity). Dazu kommt noch das Problem, das die Beantwortung einer solchen Anfrage natürlich aufwändig ist, aber das sieht ja das Datenschutzrecht eh vor und erlaubt als Reaktion grundsätzlich ja nur die Fristverlängerung, wenn ich das richtig sehe (außer bei missbräuchlichen oder exzessiven Anfragen).
Ich bin wegen des Problems mit einigen Unternehmen im Dialog, aber darum soll es hier gar nicht gehen. Mich würde einfach mal interessieren, was ihr zu dem Thema meint, da ich das sehr spannend finde (zumal ja Videoüberwachung relativ inattraktiv werden könnte, wenn man einer potentiell großen Zahl von Betroffenen eine Kopie erteilen muss).
Sprichst du von Videoüberwachung an öffentlichen Plätzen oder in Unternehmen/Supermärkten etc.?
Meiner Auffassung nach sind Videodaten, die dich natürlich identifizieren, personenbezogene Daten im Sinne der DSGVO. Es gibt ja auch an sehr vielen öffentlichen Orten Hinweisschilder inkl. deiner Rechte und Kontaktdaten zu dem DSB.
Vor den meisten Geschäften hängt meist (leider immer noch nicht alle) ein Schild, dass Videoüberwachung stattfindet (somit willigst du quasi beim Betreten des Gebäudes ein).
Ich glaube die Bahn (wenn ich mich nicht ganz täusche) schreibt sogar was über dein Auskunftsrecht, und (bitte korrigiert mich, wenn ich falsch liege) wird zumindest in der Bahn oder an öffentlichen Plätzen nach 2 Tagen oder 7 Tagen das Material komplett gelöscht. Das heißt bis jemand deine Anfrage liest, könnte im schlimmsten Fall das Material schon gelöscht sein.
Ja genau. Es geht in meinem Fall um Videoüberwachung im Zusammenhang mit dem ÖPNV. Und ja, das mit der automatisierten Löschung – die ja eigentlich aus Datenschutzsicht begrüßenswert ist – führt hier zu noch mehr Spaß, den ich da gerade habe… (wobei aber hier ein Einschränkung-der-Verarbeitung-Antrag nach Art. 18 (1) lit. d) mitgesendet war, was das Problem in der Theorie lösen sollte).
Aber freut mich ja zu hören, dass ich nicht die einzige Person mit dieser Meinung bin
Geht es dir konkret darum, dass du erfasst wurdest oder das du nicht sicher weißt, ob die Daten “wirklich” gelöscht sind? Da bei Videoaufnahmen keine Namen etc. vorhanden sind, musst du dich zudem auch ausweisen und dann fallen somit noch mehr Daten an. Ich weiß nicht wie sinnvoll dies in deinem Falle ist.
Mir geht es schon um den Stand vor der Löschung. Ein Punkt, der mich hier besonders interessiert, ist, wie “genau” die Videoinformationen sind, da die Bilder, die man bei Öffentlichkeitsfahndungen sieht, eigentlich immer unglaublich verpixelt sind, gleichzeitig aber ja bereits extrem hochauflösende Kameras existieren, die eine Identifikation von Personen aus mehreren hundert Metern Entfernung ermöglichen.
Das ist von ÖPNV zu ÖPNV unterschiedlich. Fährst du in London Bus und Bahn siehst du dich selbst hochauflösend auf dem Bildschirm, auch in Deutschland gibt es teilweise HD-Qualität. Diese abgerundeten Kameras in der Bahn z. B. (meist mit weißem Rand) haben schon ein halbwegs gutes Bild. In vielen Bussen in Deutschland (wenn das überhaupt Videoüberwachung ist) sieht es ganz anders aus. Es kommt wirklich darauf an, wie alt die Technik ist: In den letzten 10 Jahren hat sich enorm viel getan…
Ah interessant, danke. Das werde ich mal als Argumentationshilfe verwenden.
Wobei in meinem konkreten Fall die Daten jetzt schon automatisiert gelöscht sind (trotz laufendem Antrag und trotz EdV-Antrag, die rechtzeitig zur Kenntnis genommen wurden), so dass in Bezug auf die Daten nichts mehr zu retten ist, aber vllt. stelle ich den Antrag irgendwann noch einmal, wenn ich mich mit denen geeinigt habe (bzw. meine ASB-Beschwerde oder sogar eine Klage erfolgreich waren)
Naja, geht man von Videoaufnahmen gem. DSGVO aus, dann ist @luap42 identifizierbar. Die Identifizierung erfolgt ja (eigentlich) nicht über das Bild an sich (also die RAW-Daten), die Identifizierung erfolgt durch zusätzliche Informationen, wie zB die Zuordnung von Templates, Masken oder weiterer Infos zum umgewandelten RAW-Bild (wie Fingerabdrücke, Name, Adresse). Es sei denn, man hingt mit der Digitalisierung etwas hinterher und speichert ein RAW-Bild direkt mit Name und Anschrift in Excel…
Der Stand vor der Löschung sollte theoretisch mit einer einfachen Auskunftsfrage beantwortet werden können. Denn zu den angefragten Daten gehört auch das RAW-Bild in der entsprechenden Auflösung - sofern solcher Art Bilder verwendet werden und es zugeordnet wurde. Da bei der Videoüberwachung zunehmend Gesichtserkennung angewandt wird, könnte es durchaus sein, dass gar keine RAW-Bilder von Personen vorhanden sind sondern nur die Gesichtserkennungsdaten. Aber das dürfte die Auskunft auch abfangen.
Möglicherweise ist das Recht auf Auskunft aber nach BDSG und/oder Landesdatenschutzgesetz eingeschränkt, weil bei der Videoüberwachung in öffentlichen Verkehrsmitteln der Schutz von Leben, Gesundheit oder Freiheit von Fahrgästen (nur Wartende an Bushaltestellen) als ein besonders wichtiges Interesse gilt (vgl. § 4 Abs. 1 S. 2 Nr. 2 BDSG). Das müsste man im Einzelfall prüfen.
Eine Beauskunftung der tatsächlichen Videoaufnahmen wird in aller Regel an der Zuordnung der aufgenommenen Person (Betroffener) und dem Antragssteller gemäß Art. 15 DSGVO scheitern. Während der Verantwortliche zwar für die Identifikation des Antragsstellers gemäß Art. 12 Abs. 6 DSGVO zusätzliche Informationen anfordern darf (und ggf. muss), muss er es gemäß Art. 11 Abs. 1 DSGVO gerade nicht für die Zuordnung zwischen dem identifizierten Antragssteller und seinem materiellen Datenbestand machen. Da aber häufig die zur Identifikation des Antragssteller dargereichten zusätzlichen Informationen nicht ausreichen werden, um hinreichend sicher die darauf folgende materielle Zuordnung zum Betroffenen im Datenbestand vornehmen zu können, wird der Auskunftsanspruch gemäß Art. 11 Abs. 2 DSGVO daraufhin entfallen. Dann könnte der Betroffene zwar noch von sich aus zusätzliche Informationen anbieten, allerdings kann ich mir kaum vorstellen, wie man (selbst mit mehreren Fotoaufnahmen des Betroffenen) jemanden in einem Videofeed mit ggf. Dutzenden anderen hinreichend sicher als Betroffenen identifizieren kann.
Das ist natürlich ein guter Punkt, sollte aber z.B. in meinem Fall nicht so relevant sein, da ich z.B. extra einen Text in die Kamera gehalten habe und mich auch sonst “auffällig” verhalten habe (Winken in die Kamer; Zeigen auf bestimmte Gegenstände; Selfie von mir vor der Kamera, das ich auch mitgeschickkt hatte; …), so dass eine eindeutige Identifikation möglich sein sollte.
Na ja, das wurde doch gesagt: wenn viele Betroffene Kopien verlangen, soll auf Videoüberwachung verzichtet werden.
Das wird nix. Entweder liegt ein Verstoß vor (in Ermangelung legitimer Zwecke oder angemessener Speicherbegrenzung), oder aber die VÜ ist datenschutzrechtlich zulässig.
Eine Auswertung wird es noch aus anderen Gründen kaum geben. Durchaus legitim übrigens: der Verantwortliche hat 30 Tage Zeit. Da liegt die Aufbewahrungsdauer häufig darunter. Außerdem: Identitätsprüfung, Rechte anderer Personen.
So könnte der DSB des Verantwortlichen auf die Idee kommen, die Auskunftsanfrage mit einem Zeitstempel zu versehen (Wiedervorlage nach Aufbewahrungsdauer + 1 Tag) …
Eigentlich interessiert mich erst mal viel mehr, wie und welche Informationen die denn nun haben (siehe Antwort Nr. 5), aber natürlich ist auch das politische Argument mMn nicht vollkommen fernliegend.
Des Weiteren denke ich kaum, dass es legitim ist, die Auskunft so lange zu verzögern, bis diese nicht mehr möglich ist. Entweder man hebt die Daten bis zum Abschluss des Auskunftsverfahrens auf oder man beantwortet die Anfrage vor Ablauf der Aufbewahrungsdauer. Alles andere lädt ja geradezu zum Missbrauch ein. Abgesehen davon kann (und habe) ich nach Art. 18 (1) lit. c die Einschränkung der Verarbeitung verlangt, so dass die Daten gar nicht hätten gelöscht werden dürfen, selbst wenn die Verantwortlichen die Daten auch während einer laufenden Auskunftsanfrage löschen dürfen.
Das war dann sehr schlau, weil wenn die materielle Zuordnung erfolgen kann (und bei eindeutig beschriebenen Handlungen dürfte das der Fall sein), dann gibt es keine Hürde an der der Auskunftsanspruch insgesamt scheitern sollte, sondern man diskutiert dann nur über die Frage inwieweit die Auskunft zu erteilen ist. Das ist vor dem Hintergrund des Art. 15 Abs. 4 DSGVO allerdings umstritten. Nicht jede Berührung fremder Rechte (worunter ja auch die Datenschutzrechte Dritter fallen) ist eine Beeinträchtigung in diesem Sinne. Bei Telefonaufzeichnungen im Call-Center wird deswegen auch vertreten, dass auch die Teile zu beauskunften sind, die der Gesprächspartner gesprochen hat. Allerdings ist der ja ein Mitarbeiter/Auftragnehmer und insofern verantwortlichennah und man kann wohl auch vertreten, dass die Stimme insgesamt weniger schutzwürdig ist als das eigene Bild. Hier handelt es sich aber um Aufnahmen vollkommen Unbeteiligter. Die Guidelines Videoüberwachung des EDSA gehen insofern dann auch von einer Verfremdungspflicht aus.
