Na dann fang ich einfach mal mit einer inhaltlichen Frage an, die mich in der letzten Zeit häufiger beschäftigt hat.
An vielen Orten findet ja heutzutage Videoüberwachung statt. Wenn jemand dieses Video anschaut, kann diese Person mich evtl. identifizieren. Damit sollte es sich meiner Auffassung nach schon um personenbezogene Daten im Sinne der DSGVO handeln, oder?
Wenn es aber personenbezogene Daten sind, dann müsste ja grundsätzlich erstmal auch ein Auskunftsrecht nach Art. 15 DSGVO bestehen. Die einzigen Probleme/konfliktierenden Interessen, die ich sehe, sind:
Schutz anderer Personen
mögliche Sicherheitsbedenken
Dabei lässt sich aber ja das erste Problem durch Verpixelung oder ähnliches beheben, das zweite halte ich auch eher für unbegründet (Stichwort: Security by obscurity). Dazu kommt noch das Problem, das die Beantwortung einer solchen Anfrage natürlich aufwändig ist, aber das sieht ja das Datenschutzrecht eh vor und erlaubt als Reaktion grundsätzlich ja nur die Fristverlängerung, wenn ich das richtig sehe (außer bei missbräuchlichen oder exzessiven Anfragen).
Ich bin wegen des Problems mit einigen Unternehmen im Dialog, aber darum soll es hier gar nicht gehen. Mich würde einfach mal interessieren, was ihr zu dem Thema meint, da ich das sehr spannend finde (zumal ja Videoüberwachung relativ inattraktiv werden könnte, wenn man einer potentiell großen Zahl von Betroffenen eine Kopie erteilen muss).
Ja genau. Es geht in meinem Fall um Videoüberwachung im Zusammenhang mit dem ÖPNV. Und ja, das mit der automatisierten Löschung – die ja eigentlich aus Datenschutzsicht begrüßenswert ist – führt hier zu noch mehr Spaß, den ich da gerade habe… (wobei aber hier ein Einschränkung-der-Verarbeitung-Antrag nach Art. 18 (1) lit. d) mitgesendet war, was das Problem in der Theorie lösen sollte).
Aber freut mich ja zu hören, dass ich nicht die einzige Person mit dieser Meinung bin
Mir geht es schon um den Stand vor der Löschung. Ein Punkt, der mich hier besonders interessiert, ist, wie “genau” die Videoinformationen sind, da die Bilder, die man bei Öffentlichkeitsfahndungen sieht, eigentlich immer unglaublich verpixelt sind, gleichzeitig aber ja bereits extrem hochauflösende Kameras existieren, die eine Identifikation von Personen aus mehreren hundert Metern Entfernung ermöglichen.
Ah interessant, danke. Das werde ich mal als Argumentationshilfe verwenden.
Wobei in meinem konkreten Fall die Daten jetzt schon automatisiert gelöscht sind (trotz laufendem Antrag und trotz EdV-Antrag, die rechtzeitig zur Kenntnis genommen wurden), so dass in Bezug auf die Daten nichts mehr zu retten ist, aber vllt. stelle ich den Antrag irgendwann noch einmal, wenn ich mich mit denen geeinigt habe (bzw. meine ASB-Beschwerde oder sogar eine Klage erfolgreich waren)
Naja, geht man von Videoaufnahmen gem. DSGVO aus, dann ist @luap42 identifizierbar. Die Identifizierung erfolgt ja (eigentlich) nicht über das Bild an sich (also die RAW-Daten), die Identifizierung erfolgt durch zusätzliche Informationen, wie zB die Zuordnung von Templates, Masken oder weiterer Infos zum umgewandelten RAW-Bild (wie Fingerabdrücke, Name, Adresse). Es sei denn, man hingt mit der Digitalisierung etwas hinterher und speichert ein RAW-Bild direkt mit Name und Anschrift in Excel…
Der Stand vor der Löschung sollte theoretisch mit einer einfachen Auskunftsfrage beantwortet werden können. Denn zu den angefragten Daten gehört auch das RAW-Bild in der entsprechenden Auflösung - sofern solcher Art Bilder verwendet werden und es zugeordnet wurde. Da bei der Videoüberwachung zunehmend Gesichtserkennung angewandt wird, könnte es durchaus sein, dass gar keine RAW-Bilder von Personen vorhanden sind sondern nur die Gesichtserkennungsdaten. Aber das dürfte die Auskunft auch abfangen.
Möglicherweise ist das Recht auf Auskunft aber nach BDSG und/oder Landesdatenschutzgesetz eingeschränkt, weil bei der Videoüberwachung in öffentlichen Verkehrsmitteln der Schutz von Leben, Gesundheit oder Freiheit von Fahrgästen (nur Wartende an Bushaltestellen) als ein besonders wichtiges Interesse gilt (vgl. § 4 Abs. 1 S. 2 Nr. 2 BDSG). Das müsste man im Einzelfall prüfen.
Eine Beauskunftung der tatsächlichen Videoaufnahmen wird in aller Regel an der Zuordnung der aufgenommenen Person (Betroffener) und dem Antragssteller gemäß Art. 15 DSGVO scheitern. Während der Verantwortliche zwar für die Identifikation des Antragsstellers gemäß Art. 12 Abs. 6 DSGVO zusätzliche Informationen anfordern darf (und ggf. muss), muss er es gemäß Art. 11 Abs. 1 DSGVO gerade nicht für die Zuordnung zwischen dem identifizierten Antragssteller und seinem materiellen Datenbestand machen. Da aber häufig die zur Identifikation des Antragssteller dargereichten zusätzlichen Informationen nicht ausreichen werden, um hinreichend sicher die darauf folgende materielle Zuordnung zum Betroffenen im Datenbestand vornehmen zu können, wird der Auskunftsanspruch gemäß Art. 11 Abs. 2 DSGVO daraufhin entfallen. Dann könnte der Betroffene zwar noch von sich aus zusätzliche Informationen anbieten, allerdings kann ich mir kaum vorstellen, wie man (selbst mit mehreren Fotoaufnahmen des Betroffenen) jemanden in einem Videofeed mit ggf. Dutzenden anderen hinreichend sicher als Betroffenen identifizieren kann.
Das ist natürlich ein guter Punkt, sollte aber z.B. in meinem Fall nicht so relevant sein, da ich z.B. extra einen Text in die Kamera gehalten habe und mich auch sonst “auffällig” verhalten habe (Winken in die Kamer; Zeigen auf bestimmte Gegenstände; Selfie von mir vor der Kamera, das ich auch mitgeschickkt hatte; …), so dass eine eindeutige Identifikation möglich sein sollte.
Na ja, das wurde doch gesagt: wenn viele Betroffene Kopien verlangen, soll auf Videoüberwachung verzichtet werden.
Das wird nix. Entweder liegt ein Verstoß vor (in Ermangelung legitimer Zwecke oder angemessener Speicherbegrenzung), oder aber die VÜ ist datenschutzrechtlich zulässig.
Eine Auswertung wird es noch aus anderen Gründen kaum geben. Durchaus legitim übrigens: der Verantwortliche hat 30 Tage Zeit. Da liegt die Aufbewahrungsdauer häufig darunter. Außerdem: Identitätsprüfung, Rechte anderer Personen.
So könnte der DSB des Verantwortlichen auf die Idee kommen, die Auskunftsanfrage mit einem Zeitstempel zu versehen (Wiedervorlage nach Aufbewahrungsdauer + 1 Tag) …
Eigentlich interessiert mich erst mal viel mehr, wie und welche Informationen die denn nun haben (siehe Antwort Nr. 5), aber natürlich ist auch das politische Argument mMn nicht vollkommen fernliegend.
Des Weiteren denke ich kaum, dass es legitim ist, die Auskunft so lange zu verzögern, bis diese nicht mehr möglich ist. Entweder man hebt die Daten bis zum Abschluss des Auskunftsverfahrens auf oder man beantwortet die Anfrage vor Ablauf der Aufbewahrungsdauer. Alles andere lädt ja geradezu zum Missbrauch ein. Abgesehen davon kann (und habe) ich nach Art. 18 (1) lit. c die Einschränkung der Verarbeitung verlangt, so dass die Daten gar nicht hätten gelöscht werden dürfen, selbst wenn die Verantwortlichen die Daten auch während einer laufenden Auskunftsanfrage löschen dürfen.
Das war dann sehr schlau, weil wenn die materielle Zuordnung erfolgen kann (und bei eindeutig beschriebenen Handlungen dürfte das der Fall sein), dann gibt es keine Hürde an der der Auskunftsanspruch insgesamt scheitern sollte, sondern man diskutiert dann nur über die Frage inwieweit die Auskunft zu erteilen ist. Das ist vor dem Hintergrund des Art. 15 Abs. 4 DSGVO allerdings umstritten. Nicht jede Berührung fremder Rechte (worunter ja auch die Datenschutzrechte Dritter fallen) ist eine Beeinträchtigung in diesem Sinne. Bei Telefonaufzeichnungen im Call-Center wird deswegen auch vertreten, dass auch die Teile zu beauskunften sind, die der Gesprächspartner gesprochen hat. Allerdings ist der ja ein Mitarbeiter/Auftragnehmer und insofern verantwortlichennah und man kann wohl auch vertreten, dass die Stimme insgesamt weniger schutzwürdig ist als das eigene Bild. Hier handelt es sich aber um Aufnahmen vollkommen Unbeteiligter. Die Guidelines Videoüberwachung des EDSA gehen insofern dann auch von einer Verfremdungspflicht aus.
Interessantes Thema. Aber, “Identifizieren” hat viele Facetten, das reicht von “persönliche Identität feststellen” bis “Anwesenheit bemerken”. Jemand auf einem Videobild “zu identifizieren” würde ich bestenfalls als Wiedererkennen bzw. “Anwesenheit bemerken” bezeichnen - sprich: man muss die Person schon zuvor identifiziert und Bilder zugeordnet vorliegen haben, um ihr Vorhandensein im Videobild später feststellen zu können. Anhand des Videobildes der Verfahren, von denen wir hier sprechen, kann man nicht identifizierend feststellen, wer da ist. Nur, wenn man die Personen(en) schon kennt, kann man anhand des Videobildes sagen, dass sie auch da ist/sind. Und, auch das klappt nicht oft gut genug, sonst wären viel mehr Fahndungen erfolgreich. Eine Person allein anhand des Videobildes zu identifizieren - sprich: ihre Personalien herauszufinden - würde eine andere Verarbeitung voraussetzen, nämlich Bilderkennung inkl. Bildvergleich anhand geeigneter Daten - und für das Beispiel mit den ins Bild gehaltenen Daten auch noch Schrifterkennung etc. Angesichts der Sachlage, wie schlecht immer noch die automatische Unterscheidung stehengelassener Kofferbomben von verlorenen Handtaschen funktioniert, glaube ich nicht, dass bei besagtem Beispiel überhaupt registriert werden konnte, dass da etwas Beschriftetes und nicht nur eine Mütze ins Bild gehalten wurde. Daraus dann den datenschutzrechtlichen Auskunftsanspruch auf diese Daten abzuleiten überschätzt die betreffende Datenverarbeitung beträchtlich. Aber ja, wenn jemand seine Videoverarbeitung z.B. rechtswidrig mit der Gesichtserkennung von Facebook verschaltet, kann die Frage schon Sinn ergeben. Wir blicken erwartungsvoll in die Zukunft
Naja es geht ja nicht darum, dass ich aufgrund der personenbezogenen Daten die genaue “Identität” feststellen kann, d.h. irgendwie einen “Datensatz” hervorzaubern kann. Nach Paal/Pauly Rn. 8 zu Art. 4 geht es um die “Bestimmbarkeit”, nur bei “absoluter Unmöglichkeit, einen Zusammenhang zwischen einem Datum und einer Person herzustellen, fehlt es an der Bestimmbarkeit”. Dabei können eben auch noch zusätzliche Informationen herangezogen werden können. Es ist daher mE nicht erforderlich, dass die Videoqualität ausreicht, damit z.B. ein Gesichtserkennungs-Algorithmus die Person identifizieren könnte.
Dass ich durch meine speziellen Verhaltensweisen und durch eine Ausweiskopie, sowie Fotos aus dem Verkehrsmittel, identifizierbar wäre, halte ich für relativ wahrscheinlich. Andernfalls würde sich doch die Frage stellen, wofür die Videoaufzeichnung überhaupt gut sein soll, wenn nicht einmal eine Person, die identifiziert werden möchte, identifiziert werden kann.
Außerdem verstehe ich nicht ganz, wieso du meinst, dass die Identifizierung automatisiert möglich sein muss. Ich finde dazu nicht wirklich einen Anhaltspunkt in der DSGVO. Zwar fällt mir in dem Sinne Art. 2 (1) ein, aber der betrifft ja nur die Anwendbarkeit der DSGVO und nicht die Eigenschaft als personenbezogenes Datum, oder?
Na ja, ich denke, dass man Auskunftsanspruch hat auf die Datenverarbeitung, die tatsächlich stattfindet - und nicht auf die, die man verdächtigt, dass sie stattfinden würde. Wenn man in Singapore in der Bahn auf den Boden spuckt, kommt wenig später ein Uniformierter … bei uns gehen die Videos in Bus und Bahn wahrscheinlich in einen Ringspeicher im Fahrzeug und werden überschrieben und niemals gesehen, sofern nicht jemand Befugtes rechtzeitig eine Kopie entnimmt. Bei stationären Kameras wird es nicht viel “besser” sein.
Wie soll es denn gehen, wenn nicht automatisiert? Wie viele Hundertschaften sollen den ständig Tausende Videobilder anschauen, um den Moment zu erhaschen, an dem Du vorbei kommst und Dich zu erkennen gibst? Hast Du schon mal so eine Videozentrale gesehen? Die 4 Diensthabenden sind doch froh, wenn sie rechtzeitig unterscheiden können, ob auf Monitor 47 in der linken oberen Ecke gerade eine Schlägerei stattfindet oder sich nur ein paar Jugendliche wegen eines Witzes auf die Schenkel klopfen.
Folge obigen Hinweisen anderer Teilnehmer und schau Dir die Regeln an, unter denen Nichtöffentliche Video betreiben dürfen. Da kommt das, worüber Du gedenkst Auskunftsanspruch zu haben, nicht vor.
Damit kommen wir zu Deiner Frage “wofür die Videoaufzeichnung überhaupt gut sein soll” - nun, das ist eine berechtigte Frage, die aber leider längst nicht mehr ergebnisoffen gestellt wird … andererseits bin ich froh, dass das alles noch nicht geht, was Du der Videoüberwachung unterstellst - zumindest bei uns noch nicht. Es sei denn, Du stellst das gleiche Auskunftsersuchen mal an die BuPol und erhältst eine Rückantwort mit Daten - das sollte uns alle aufhorchen lassen!
