Videoüberwachung in der Arztpraxis: was die DSGVO verlangt

Eine Videokamera am Praxiseingang wirkt wie eine reine Sicherheitsfrage, berührt aber sofort den Datenschutz. Sobald eine Kamera Personen erfasst, verarbeitet die Praxis personenbezogene Daten und trägt dafür die Verantwortung nach der DSGVO. Dieser Beitrag ordnet die datenschutzrechtlichen Aspekte neutral ein: mögliche Rechtsgrundlage und Abwägung, Transparenz und Beschilderung, Datenminimierung, Speicherdauer, Betroffenenrechte und Dokumentation. Er beschreibt, worauf bei der technischen Umsetzung zu achten ist, und macht deutlich, wo die rechtliche Beurteilung endet und die Verantwortung der Praxis beginnt. Eine Einzelfallprüfung und die Rechtsberatung durch Ihren Datenschutzbeauftragten oder einen Fachanwalt ersetzt er nicht.

Darf eine Arztpraxis überhaupt eine Videoüberwachung betreiben?

Eine Kamera an Eingang oder Außenbereich einer Praxis ist nicht grundsätzlich verboten, aber auch nicht ohne Weiteres erlaubt. Die DSGVO knüpft jede Videoüberwachung an eine Rechtsgrundlage und eine Abwägung im Einzelfall. Ob eine konkrete Anlage zulässig ist, entscheidet nicht der Techniklieferant, sondern die Praxis als Verantwortliche und im Streitfall die zuständige Aufsichtsbehörde oder ein Gericht. Wir liefern die technische Umsetzung und eine datensparsame Auslegung, keine Rechtsgarantie und kein Ergebnis zur Zulässigkeit. Die rechtliche Bewertung gehört in die Hand Ihres Datenschutzbeauftragten, am besten vor der Installation.

Welche Rechtsgrundlage kommt für die Videoüberwachung in Betracht?

Für eine Videoüberwachung kommt vor allem Art. 6 Abs. 1 lit. f DSGVO in Betracht, das berechtigte Interesse. Denkbare Interessen einer Praxis sind der Schutz vor Einbruch, Vandalismus oder Diebstahl, etwa von Betäubungsmitteln und Geräten, sowie der Schutz von Personal in Randzeiten. Dieses Interesse ist gegen die schutzwürdigen Interessen der gefilmten Personen abzuwägen. Überwiegt der Eingriff in die Rechte von Patienten und Mitarbeitern, ist die Überwachung unzulässig. Die Abwägung ist immer konkret und lässt sich nicht pauschal mit einem allgemeinen Sicherheitsbedürfnis begründen. Diese Bewertung trifft die Praxis, nicht der Installateur, und sie sollte nachvollziehbar festgehalten werden.

Was verlangt die DSGVO an Transparenz und Beschilderung?

Wer eine Videoüberwachung betreibt, informiert die betroffenen Personen. Aus Art. 13 DSGVO folgt eine Informationspflicht, und für die Überwachung öffentlich zugänglicher Räume nennt § 4 BDSG die Kennzeichnung. In der Praxis heißt das ein deutlich sichtbares Hinweisschild vor dem Erfassungsbereich, das die Überwachung und den Verantwortlichen erkennbar macht, bevor jemand die Kamera betritt. Bewährt hat sich ein zweistufiges Modell: ein Piktogramm mit den wichtigsten Angaben am Eingang und die vollständigen Informationen nach Art. 13 zum Nachlesen, etwa als Aushang oder auf der Website. Heimliche Aufnahmen ohne jeden Hinweis sind datenschutzrechtlich nicht haltbar und sollten von vornherein ausgeschlossen sein.

Wie sieht Datenminimierung bei der Kamera-Aufstellung aus?

Der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO verlangt, so wenig wie möglich zu erfassen. Für eine Praxis bedeutet das: Behandlungsräume, die Anmeldung mit Einblick in Unterlagen und Wartebereiche, in denen sich Patienten identifizierbar aufhalten, gehören in der Regel nicht ins Bild. Dort entstehen schnell Gesundheitsdaten im Sinne von Art. 9 DSGVO, die besonders geschützt sind. Sinnvoll erfassbar sind meist nur der Außenbereich, der Eingang oder ein separater Zugang außerhalb der Sprechzeiten. Moderne Kameras erlauben es, einzelne Bildbereiche dauerhaft zu schwärzen, sodass etwa der Gehweg des Nachbarn oder ein angrenzender Wartebereich technisch ausgeblendet bleibt und gar nicht erst aufgezeichnet wird.

Wie lange dürfen die Aufzeichnungen gespeichert werden?

Aufzeichnungen unterliegen der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Sie dürfen nur so lange aufbewahrt werden, wie es für den Zweck erforderlich ist. Die Datenschutzkonferenz nennt in ihrer Orientierungshilfe zur Videoüberwachung als Anhaltspunkt eine kurze Frist im Bereich weniger Tage; eine längere Speicherung ist im Einzelfall zu begründen und zu dokumentieren. Praktisch löst man das über eine automatische, revisionssichere Löschung nach Ablauf der festgelegten Frist. Wer Aufnahmen länger vorhält, muss darlegen können, warum das für den verfolgten Zweck notwendig ist. Die konkrete Frist legt die Praxis fest, technisch sorgen wir dafür, dass sie zuverlässig eingehalten wird.

Welche Rechte haben Patienten und Mitarbeiter?

Gefilmte Personen haben die Rechte aus der DSGVO, auch gegenüber einer Praxis. Dazu zählen das Auskunftsrecht nach Art. 15, das Recht auf Löschung nach Art. 17 und das Widerspruchsrecht nach Art. 21, das bei einer auf berechtigtes Interesse gestützten Überwachung besondere Bedeutung hat. Eine Praxis sollte darauf vorbereitet sein, eine Auskunft zu erteilen und Aufnahmen einer bestimmten Person herauszugeben oder zu löschen, ohne dabei Dritte offenzulegen. Ein klar geregelter Zugriff auf das System und ein dokumentiertes Verfahren für solche Anfragen erleichtern das erheblich und lassen sich bereits bei der Einrichtung anlegen.

Was dokumentiert eine Praxis rund um die Videoüberwachung?

Neben der Technik gehört die Videoüberwachung in die Datenschutzdokumentation der Praxis. Die Verarbeitung wird ins Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO aufgenommen. Für eine systematische Überwachung kann nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung erforderlich sein; ob sie nötig ist, klärt die Praxis mit ihrem Datenschutzbeauftragten. Sinnvoll ist außerdem, die Interessenabwägung, die Löschfristen und das Zugriffskonzept schriftlich festzuhalten. Diese Unterlagen sind es, die eine Praxis im Fall einer Nachfrage der Aufsichtsbehörde vorlegen kann. Den Datenschutzbeauftragten bindet man am besten vor der Installation ein, nicht erst danach, damit Konzept und Technik von Anfang an zusammenpassen.

Wie richtet Jupitec MOBOTIX-Technik datensparsam ein?

Jupitec plant und installiert Videotechnik von MOBOTIX und legt sie von Anfang an datensparsam aus. Konkret heißt das: enge Erfassungsbereiche auf das, was geschützt werden soll, dauerhafte Bildmaskierung nicht benötigter Bereiche, automatische Löschfristen und ein nachvollziehbares Zugriffskonzept, damit nur befugte Personen die Aufnahmen sehen. Die Kameras binden wir in ein sauber getrenntes Praxisnetz ein, damit sie nicht zum Einfallstor werden; eine Videoanlage ist ein Baustein der gesamten IT-Sicherheit. Zur Einordnung: Wir liefern die technische Umsetzung, keine Rechtsgarantie. Ob Ihre Videoüberwachung zulässig ist, beurteilt Ihre Praxis mit ihrem Datenschutzbeauftragten und im Zweifel die Aufsichtsbehörde. Nennen Sie uns Ihre Ausgangslage, ein Rückruf erfolgt in der Regel innerhalb von zwei Stunden (Mo bis Fr).