Jeder für die Verarbeitung Verantwortliche ist verpflichtet, die betroffenen Personen über die von ihm vorgenommene Verarbeitung personenbezogener Daten zu informieren. Diese Informationen müssen den Anforderungen der Artikel 12 und 13 DSGVO entsprechen.
Nach Art. 12.1 DSGVO müssen die Unterrichtung der betroffenen Personen und die an sie gerichteten Mitteilungen in „prägnanter, transparenter, verständlicher und leicht zugänglicher Weise in klarer und einfacher Sprache“ erfolgen.
Das Wort „bereitstellen“ ist im vorliegenden Fall von entscheidender Bedeutung und „bedeutet, dass der für die Verarbeitung Verantwortliche konkrete Maßnahmen ergreifen muss, um der betroffenen Person die betreffenden Informationen zur Verfügung zu stellen oder die betroffene Person aktiv zum Speicherort dieser Informationen zu leiten (z. B. durch einen direkten Link, einen QR-Code usw.)“. [1]
Um das Verständnis der betroffenen Personen für die Verarbeitung von Daten bei der Verwendung eines Videoüberwachungssystems zu erleichtern,[2] wird in den Leitlinien des Europäischen Datenschutzausschusses (EDSA) zur Verarbeitung personenbezogener Daten durch Videogeräte ein zweistufiger Ansatz vorgeschlagen.
Ein solcher Ansatz besteht darin, den Betroffenen zunächst eine Reihe von Informationen zu vermitteln, z. B. über Werbetafeln (siehe Abschnitt 3.1. Erste Informationsebene) und dann – in einem zweiten Schritt – alle nach Art. 13 DSGVO erforderlichen Informationen auf anderem Wege zu übermitteln (siehe Abschnitt 3.2. Zweite Informationsebene).
Achtung: Wenn sich die Videoüberwachung an Mitarbeiter des für die Verarbeitung Verantwortlichen richtet, weist die CNPD die für die Verarbeitung Verantwortlichen auf die zusätzlichen Pflichten hin, insbesondere auf dem Gebiet der kollektiven Information, die in Art. L. 261-1 des Arbeitsgesetzbuchs vorgesehen sind (siehe unten, Nr. 5).
In diesem Zusammenhang ist noch darauf hinzuweisen, dass die Arbeitnehmer individuell informiert werden müssen und dass die bloße Unterrichtung der Personalvertretung nicht sicherstellt, dass die Arbeitnehmer individuell über die genauen Elemente aus Art. 13 Abs.[3] 1 und 2 der DSGVO informiert wurden.
3.1. Erste Informationsebene
Um die betroffenen Personen über das Vorhandensein eines Videoüberwachungssystems zu informieren, empfiehlt die CNPD, eine erste Informationsebene, z. B. über Plakatwände, zu übermitteln, die Folgendes enthält:
- die Identität und die Kontaktdaten des für die Verarbeitung Verantwortlichen;
- Zweck(e) der Verarbeitung;
- Informationen, die den größten Einfluss auf die betroffene Person haben (z. B. Speicherdauer der Bilder, Live-Überwachung, Veröffentlichung oder Übertragung von Videomaterial an Dritte);
- das Bestehen der Rechte, über die die betroffenen Personen verfügen;
- die Angabe, dass es umfassendere Informationen gibt (zweite Informationsebene), und die Mittel, um auf diese Informationen zuzugreifen (z. B. ein Hyperlink zur Website des für die Verarbeitung Verantwortlichen, die Verwendung eines QR-Codes, eine anzurufende Telefonnummer oder die Angabe, wo diese detaillierteren Informationen verfügbar sind.
Diese Informationstafeln müssen an den Haupteingängen und -ausgängen oder in der Umgebung der Videoüberwachungsanlage ständig sichtbar (d. h. in ausreichender Größe) und in Kopfhöhe gut lesbar sein. Die betroffenen Personen müssen dies grundsätzlich vor dem Betreten des überwachten Bereichs zur Kenntnis nehmen können. Für eine schnelle und einfache Warnung der Betroffenen wird die Plakatwand idealerweise von Piktogrammen begleitet.
Beispiel einer Plakatwand[2]
3.2. Zweite Informationsebene
Die zweite Informationsebene muss alle nach Art. 13 DSGVO erforderlichen Informationen im Einzelnen enthalten. Er muss den Standards von Artikel 12 DSGVO entsprechen und daher prägnant, transparent, verständlich und in klarer und einfacher Sprache abgefasst sein. Die zweite Informationsebene muss an einem Ort zur Verfügung gestellt werden, der für die betroffene Person leicht zugänglich ist. Es könnte gegebenenfalls auf andere Weise zur Verfügung gestellt werden, z. B. durch eine Kopie der Datenschutzerklärung, die den Arbeitnehmern per E-Mail zugesandt wird, oder durch einen Link auf der Website zu einer Informationsbroschüre in Bezug auf nicht angestellte Dritte.[1] Eine nicht-digitale Version sollte der betroffenen Person immer zur Verfügung stehen, z. B. durch ein erläuterndes Dokument, das der für die Verarbeitung Verantwortliche zur Verfügung stellt.
Für weitere Informationen zum Grundsatz der Transparenz bei der Videoüberwachung verweisen wir auf Punkt 7 der Leitlinien 3/2019 des EDSA zur Verarbeitung personenbezogener Daten durch Videogeräte.[3]
------------------------------------------------------------------------------------
[1] Siehe in diesem Zusammenhang Nummer 33 der Leitlinien der Artikel-29-Datenschutzgruppe zur Transparenz im Sinne der Verordnung (EU) 2016/679 (WP260rev. 01), die vom Europäischen Datenschutzausschuss übernommen wurden.
[2] Leitlinien 3/2019 des Europäischen Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte, abrufbar unter: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_de
[3] vgl. Die Entscheidung 14FR/2021 vom 12. Mai 2012 der eingeschränkten Formation der nationalen Kommission für Datenschutz, Punkt 47.
[4] Achtung: Dieses Dokument stellt ein (unverbindliches) Beispiel dar, das die Informationen der ersten Ebene wiedergibt. Die verschiedenen Rubriken müssen je nach dem von dem für die Verarbeitung Verantwortlichen eingesetzten Videoüberwachungssystem ausgefüllt und angepasst werden.
[5] Siehe Beschluss 14FR/2021 vom 12. Mai 2021 der beschränkten Formation der nationalen Kommission für den Datenschutz, Punkt 54.