Kurzbeitrag : Praxisfälle zum Datenschutzrecht XLII: Informationspflichten bei der Videoüberwachung : aus der RDV 5/2026, Seite 254 bis 260

II. Musterlösung

1. Allgemeines

Die geplante Videoüberwachung unterfällt als automatisierte Verarbeitung personenbezogener Daten dem sachlichen Anwendungsbereich der DS‑GVO (Art.  2 Abs.  1). Die entstehenden Bildaufnahmen stellen personenbezogene Daten im Sinne des Art. 4 Nr. 1 DS‑GVO dar, da die abgebildeten Personen jedenfalls identifizierbar sind.

Damit eine Verarbeitung personenbezogener Daten rechtmäßig ist, müssen die Informationen mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden, vgl. ErwG 40 DS‑GVO. Es stellt sich damit die Frage nach der Rechtsgrundlage für die Videoüberwachungsmaßnahme. Findet sich eine solche, kann die geplante Maßnahme grundsätzlich rechtmäßig durchgeführt werden.

Daneben treffen den Verantwortlichen mit Blick auf die Datenverarbeitung Transparenz- und Informationspflichten (Art. 12 bis 14 DS‑GVO). Die Pflichten konkretisieren den Transparenzgrundsatz aus Art.  5 Abs.  1 lit. a) DS‑GVO und sollen sicherstellen, dass die Datenverarbeitung für die betroffene Person nachvollziehbar und fair ausgestaltet ist.^[1] Die betroffene Person soll wissen, wer ihre Daten verarbeitet, warum, auf welcher Rechtsgrundlage, wie lange, an wen die Daten gehen und welche Rechte sie hat.

Art.  13 DS‑GVO regelt die Informationspflichten, sofern personenbezogene Daten bei der betroffenen Person selbst erhoben werden (sog. Direkterhebung), z.B. mittels eines Onlineformulars. Die in Abs. 1 und Abs. 2 der Vorschrift genannten Informationen sind dieser „zum Zeitpunkt der Erhebung“ mitzuteilen.^[2] Nach dem Sinn und Zweck der Bestimmung ist dies so zu verstehen, dass die Informationen (ggf. unmittelbar) vor Beginn der Datenerhebung zu geben sind.^[3]

Werden personenbezogene Daten nicht bei der betroffenen Person erhoben (sog. indirekte Erhebung), gilt Art.  14 DS‑GVO. Dies ist etwa der Fall, wenn der Verantwortliche personenbezogene Daten von einer anderen Stelle erhält, z.B. von einem konzernverbundenen Unternehmen, oder aus einer anderen Quelle entnimmt, z.B. einem öffentlichen Verzeichnis.

Die im Rahmen von Art.  13 bzw. Art.  14 DS‑GVO mitzuteilenden Informationen sind inhaltlich in weiten Teilen identisch.^[4] Im Rahmen von Art. 14 DS‑GVO trifft den Verantwortlichen zusätzlich die Pflicht, über die von der Erhebung betroffenen Datenkategorien sowie die Herkunft der Daten zu informieren (Art.14 Abs.1 lit.d) und Abs. 2 lit. f) DS‑GVO). Da bei einer indirekten Erhebung personenbezogener Daten eine Information der betroffenen Person zum Zeitpunkt der Datenerhebung regelmäßig nicht möglich ist, bestimmt Art. 14 Abs. 3 lit. a) bis c) DS‑GVO den Zeitpunkt der Information in Abhängigkeit von der jeweiligen Situation. Grundsätzlich hat die Information innerhalb einer angemessenen Frist nach Erlangung der Daten zu erfolgen, spätestens jedoch innerhalb eines Monats (Art. 14 Abs. 3 lit. a) DS‑GVO).

Die Pflichten nach Art. 13 f. DS‑GVO werden ergänzt durch die allgemeinen Vorgaben des Art. 12 DS‑GVO zur Form und Übermittlung der Informationen. Dieser verlangt insbesondere, dass die Informationen präzise, transparent, verständlich und leicht zugänglich in einer klaren und einfachen Sprache bereitgestellt werden.

Wichtig ist, dass es sich beim Erfordernis der Rechtmäßigkeit der Datenverarbeitung und den Transparenzpflichten im Ausgangspunkt um zwei unterschiedliche Anforderungen handelt. Ein Verstoß gegen die Informationspflichten der DS‑GVO führt nicht ohne Weiteres zur Rechtswidrigkeit der Datenverarbeitung. Insbesondere wenn zentrale Informationen, etwa zu den Zwecken der Datenverarbeitung oder – im Falle des Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO – zu den verfolgten berechtigten Interessen, nicht oder nicht hinreichend bereitgestellt werden, stellt sich jedoch die Frage, ob und unter welchen Voraussetzungen sich ein solcher Verstoß auf die Rechtmäßigkeit der Verarbeitung als solcher auswirken kann.

2. Vorliegen eines Erlaubnistatbestands für die geplante Videoüberwachungsmaßnahme

a) Allgemeines

Bzgl. der Videoüberwachung hat der nationale Gesetzgeber in § 4 BDSG einen speziellen Erlaubnistatbestand vorgesehen. Nach dem BVerwG bietet § 4 BDSG für die Videoüberwachung durch nichtöffentliche Stellen aber keine eigenständige Rechtsgrundlage; maßgeblich ist vielmehr Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO.^[5] Ohnedies wäre vorliegend auch der sachliche Anwendungsbereich von § 4 BDSG nicht eröffnet, da die Vorschrift sich nur auf die Beobachtung öffentlich zugänglicher Räume bezieht.

Öffentlich zugängliche Räume sind Bereiche, die von einem unbestimmten oder nur nach allgemeinen Merkmalen bestimmten Personenkreis betreten und genutzt werden können und ihrem Zweck nach hierzu bestimmt sind, z.B. Verkaufsbereiche von Geschäften, Kaufhäusern und Tankstellen, Einkaufspassagen, Restaurants und Cafés sowie Schalterhallen von Banken.^[6] Firmen- und Werksgelände, Betriebsstätten, Produktionsbereiche, Lager- und Personalräume sowie Büros und Arbeitsplätze ohne Publikumsverkehr stellen regelmäßig keinen öffentlich zugänglichen Bereich dar.^[7] Für die Einordnung eines Raumes als öffentlich zugänglich kommt es dabei nicht entscheidend auf die bauliche Gestaltung oder eine entsprechende Beschilderung an. Maßgeblich ist vielmehr, ob der Berechtigte den Zutritt nach außen erkennbar auf einen bestimmten Personenkreis beschränkt.^[8]

b) Voraussetzungen des Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO

Eine Verarbeitung personenbezogener Daten ist nach Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO rechtmäßig, wenn die folgenden drei Voraussetzungen kumulativ erfüllt sind:^[9]

1. Der Verantwortliche oder ein Dritter verfolgen berechtigte Interessen mit der Verarbeitung.
2. Die Verarbeitung ist zur Wahrung der berechtigten Interessen erforderlich.
3. Die Interessen bzw. Grundrechte und Grundfreiheiten der betroffenen Personen überwiegen nicht die berechtigten Interessen.

Diese Voraussetzungen sind in Bezug auf die von L beabsichtigte Videoüberwachung, konkret die Erhebung und -speicherung der Videodaten, grundsätzlich gegeben:

Berechtigte Interessen sind nicht nur rechtliche, sondern auch tatsächliche, wirtschaftliche oder ideelle Interessen.^[10] Darunter fallen auch die von L mit der Videoüberwachung verfolgten Interessen, die namentlich im Schutz des Eigentums vor Vandalismus sowie der Beweissicherung zur Durchsetzung von Rechtsansprüchen bestehen.^[11]

Die Erhebung und -speicherung der Videodaten ist zur Wahrung der berechtigten Interessen erforderlich, da sie geeignet ist, weitere Vandalismusschäden durch ihre abschreckende Wirkung möglichst zu verhindern bzw. zukünftige Taten aufzuklären und Beweise zu sichern. Angesichts der bereits mehrfach eingetretenen Vandalismusvorfälle ist kein gleich wirksames, die betroffenen Personen weniger beeinträchtigendes Mittel ersichtlich. Insbesondere konnten die verstärkte Beleuchtung sowie Kontrollgänge weitere Vorfälle nicht verhindern. Auch dass das Betriebsgelände nicht vollständig eingefriedet ist, steht der Erforderlichkeit der Maßnahme nicht entgegen. Denn eine solche Maßnahme wäre nach den Angaben im Sachverhalt sehr aufwendig, ohne dass klar ist, dass die Vorfälle hierdurch verhindert werden könnten. Auf eine solche Maßnahme muss sich L daher nicht verweisen lassen. Zudem wäre auch eine „bemannte Beobachtung“ als Alternative zur Speicherung der Videodaten nicht weniger eingriffsintensiv. Bei einer solchen Vorgehensweise werden zwar keine Daten gespeichert. Allerdings werden die den relevanten Bereich passierenden Personen aber zwangsläufig beobachtet, während bei einer Speicherung die Daten für die allermeisten betroffenen Personen im Ergebnis ohne Sichtung automatisch gelöscht werden.

Schließlich ist davon auszugehen, dass auch im Rahmen einer Interessenabwägung im Einzelfall jedenfalls grundsätzlich die beschriebenen berechtigten Interessen des Verantwortlichen L überwiegen. In diesem Zusammenhang ist insbesondere zu berücksichtigen, dass die Kameras sichtbar im Außenbereich und nicht im Innenbereich des Produktionsstandortes angebracht werden sollen. Vorausgesetzt, die überwachten Bereiche dienen nicht dem längerfristigen Aufenthalt, sondern werden von Beschäftigten, Besuchern und Besucherinnen sowie sonstigen Personen im Alltag typischerweise nur kurz passiert, ist die damit verbundene Eingriffsintensität tendenziell als gering einzustufen. Zudem werden keine öffentlichen Flächen und sich dort aufhaltende Personen erfasst durch die Maßnahme.

Zwischenergebnis: Die beabsichtigte Maßnahme ist über Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO grundsätzlich legitimierbar.

Zu klären ist allerdings noch, ob vorliegend die Informationspflichten nach Art.  13 f. DS‑GVO eingehalten wurden und, falls dies nicht der Fall ist, ob sich ein Verstoß gegen die Transparenzpflichten auf die Rechtmäßigkeit der Videoüberwachung auswirkt.

3. Transparenzpflichten und Auswirkungen auf die Rechtmäßigkeit der Datenverarbeitung

a) Abgrenzung von Art. 13 und 14 DS‑GVO

Bei einer Erhebung durch Videoüberwachung handelt es sich grundsätzlich um eine Direkterhebung im Sinne von Art.  13 DS‑GVO.^[12] Dass die betroffene Person die Datenerhebung nicht selbst veranlasst oder aktiv an ihr mitwirkt, steht dem nicht entgegen.

Ließe man die Anwendung des Art.  14 DS‑GVO auf Fälle zu, in denen personenbezogene Daten mittels Videoaufzeichnung erhoben werden, hätte dies zur Folge, dass die betroffenen Personen nicht bereits zum Zeitpunkt der Datenerhebung informiert werden müssten, obwohl sie selbst die Quelle der erhobenen Daten sind. Nach Auffassung des EuGH bestünde dadurch die Gefahr einer von der betroffenen Person unbemerkten Datenerfassung und damit verdeckter Überwachungspraktiken.^[13] Eine solche Folge wäre mit dem Ziel der DS‑GVO, ein hohes Schutzniveau für die Grundfreiheiten und Grundrechte natürlicher Personen zu gewährleisten, unvereinbar, so der EuGH.^[14]

Maßstab für die korrekte Information ist hier also Art. 13 DS‑GVO.

Die Einordnung als Direkterhebung hat zur Konsequenz, dass grundsätzlich bereits zum Zeitpunkt der Erhebung informiert werden muss – also praktisch vor bzw. beim Betreten des überwachten Bereichs. Die Leitlinien des Europäischen Datenschutzausschusses (EDSA)^[15] sehen hierfür einen mehrstufigen („layered“) Informationsansatz vor, den auch der EuGH^[16] bestätigt hat.^[17]

b) Vorliegen von Verstößen gegen Art. 13 DS‑GVO

aa) Fehlende Mitteilung der konkret verfolgten berechtigten Interessen

Nach Art. 13 Abs. 1 lit. d) DS‑GVO^[18] hat der Verantwortliche der betroffenen Person zum Zeitpunkt der Datenerhebung die berechtigten Interessen mitzuteilen, die von dem Verantwortlichen oder einem Dritten verfolgt werden, wenn die Verarbeitung auf Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO beruht.

Nach der Rechtsprechung des EuGH müssen im Rahmen der Information nach Art. 13 Abs. 1 lit. d) DS‑GVO „die verfolgten berechtigten Interessen“ mitgeteilt werden.^[19] Das bedeutet, es ist das jeweilige konkrete berechtigte Interesse zu identifizieren, das mit der Verarbeitung verfolgt wird. Eine bloße Wiedergabe der gesetzlichen Formel oder eine rein abstrakte Bezugnahme auf „berechtigte Interessen“ genügt nach der Vorschrift grundsätzlich nicht.^[20] Eine ausdrückliche Verpflichtung, im Rahmen der Information nach Art. 13 Abs. 1 lit. d) DS‑GVO über die vorgenommene Interessenabwägung zu informieren,^[21] wie sie teilweise in der Literatur vertreten wird, lässt sich der bisherigen Rechtsprechung des EuGH hingegen nicht entnehmen.

Über die vom EuGH ausdrücklich hervorgehobene Pflicht zur Information über die verfolgten berechtigten Interessen hinaus konkretisiert der EDSA in Rn. 67 der Leitlinien 1/2024, dass diese Interessen „präzise“ zu identifizieren sind.^[22] Zudem sieht Rn. 68 vor, dass die Information gegenüber der betroffenen Person erkennen lassen soll, dass diese auf Anfrage weitere Informationen über die vorgenommene Interessenabwägung erhalten kann. Mit Blick auf die letztgenannte Anforderung stellt sich allerdings die Frage, ob sich eine entsprechende Informationspflicht noch unmittelbar aus der DS‑GVO ableiten lässt oder ob der EDSA mit Rn. 68 eine über die ausdrücklich normierten Informationspflichten hinausgehende Transparenzanforderung formuliert.

Die pauschale Angabe durch L, dass die Videoüberwachung auf berechtigte Interessen im Sinne von Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO gestützt wird, ohne diese Interessen näher zu konkretisieren, genügt den dargestellten Anforderungen aus Art. 13 Abs. 1 lit. d) DS‑GVO nicht. L hätte zumindest angeben müssen, dass die Maßnahme dem Schutz seines Eigentums vor Vandalismus sowie der Beweissicherung zur Durchsetzung von Rechtsansprüchen dient.

Zwischenfazit: Wird die Maßnahme durchgeführt wie geplant, so wird Art. 13 Abs. 1 lit. d) DS‑GVO verletzt.

bb) Unzulässiger Medienbruch

Der Verantwortliche ist nach Art.  12 Abs.  1 S. 1 DS‑GVO verpflichtet, die Informationen nach Art. 13 DS‑GVO in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache bereitzustellen. Die betroffene Person muss also in der Lage sein, die Informationen ohne unverhältnismäßige tatsächliche oder technische Hürden zur Kenntnis zu nehmen.

In der Praxis ist es nicht unüblich, dass betroffene Personen „Erstinformationen“ zum Datenschutz über einen physischen Informationsträger, etwa ein Hinweisschild oder ein Papierformular, erhalten, für weiterführende Datenschutzinformationen aber auf ein digitales Medium verwiesen werden, z.B. auf eine über einen Link bzw. QR-Code abrufbare Website. Dieser sog. „Medienbruch“ im Zusammenhang mit der Informationserteilung ist in der DS‑GVO nicht ausdrücklich geregelt.

Die Vorgaben des Art. 12 Abs. 1 S. 1 DS‑GVO stehen einer solchen Vorgehensweise nicht entgegen, sofern die erforderlichen Informationen für die betroffenen Personen leicht zugänglich bleiben. Die gestufte Erteilung der Datenschutzinformationen kann nach dem EDSA aus Sicht der betroffenen Personen sogar Vorteile bieten, da auf der ersten Ebene eine Konzentration auf die wesentlichen Informationen erfolgt und auf diese Weise einer Überforderung durch die Vielzahl der rechtlich erforderlichen Informationen entgegengewirkt werden kann.^[23]Für nicht digitale Umgebungen erkennt der EDSA in diesem Zusammenhang auch eine gestufte Informationserteilung über unterschiedliche Kommunikationsmodalitäten an, bei der ein Teil der Informationen über ein anderes Medium bereitgestellt wird.^[24] In seiner Entscheidung zu den „Bodycams“ hat der EuGH diese Interpretation der Transparenzregelungen durch den EDSA bestätigt.^[25]

Sofern ein Medienbruch erfolgt,^[26] ist von praktischer Bedeutung allerdings, dass Teile der Datenschutzinformationen aufgrund ihrer besonderen Bedeutung bereits unmittelbar bei Datenerhebung zu erteilen sind und nur mit Blick auf die weiteren notwendigen Informationen zum Datenschutz auf nachfolgende Ebenen verwiesen werden darf. In diesem Zusammenhang wird insofern auch von „First-Level-“ und „Second-Level-Informationen“ gesprochen. Zur Vermittlung der Informationen auf der zweiten Ebene kann nach den Leitlinien des EDSA ausdrücklich auch ein QR-Code zum Einsatz kommen.^[27] Voraussetzung sei jedoch, dass die Informationen daneben auch auf nicht digitalem Wege leicht verfügbar sind.^[28]

Der allgemeine Ansatz der gestuften Informationserteilung wird in den Leitlinien 3/2019 des EDSA^[29] zur Verarbeitung personenbezogener Daten durch Videogeräte für diese spezifische Konstellation konkretisiert. Nach der DSK-Orientierungshilfe „Videoüberwachung durch nicht öffentliche Stellen“ aus dem Jahr 2020, bei deren Erstellung die EDSA-Leitlinien 3/2019 berücksichtigt wurden, sind im Rahmen der Videoüberwachung die wesentlichen Informationen auf der ersten Informationsebene durch ein vorgelagertes Hinweisschild bereitzustellen.^[30] Nach der DSK-Orientierungshilfe muss das vorgelagerte Hinweisschild, für das die Orientierungshilfe auch ein Muster enthält, mindestens über folgende Punkte informieren:^[31]

• den Umstand der Beobachtung, insbesondere durch ein Piktogramm bzw. Kamerasymbol,
• die Identität des Verantwortlichen sowie ggf. des Vertreters nach Art. 27 DS‑GVO einschließlich der Kontaktdaten,
• die Kontaktdaten des betrieblichen Datenschutzbeauftragten, soweit ein solcher benannt wurde,
• die Verarbeitungszwecke und die Rechtsgrundlage in Schlagworten,
• das berechtigte Interesse, soweit die Verarbeitung auf Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO beruht,
• ggf. die Dauer der Speicherung sowie
• einen Hinweis auf die weiteren Pflichtinformationen, insbesondere das Auskunfts- und Beschwerderecht sowie gegebenenfalls die Empfänger der Daten, und deren Zugang.

Darüber hinaus sind nach der DSK jedenfalls der Umstand der Beobachtung sowie der Name und die Kontaktdaten des Verantwortlichen durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen. Die betroffenen Personen müssen somit erkennen können, dass sie einen überwachten Bereich betreten.^[32]

Dem hier zu beurteilenden Sachverhalt ist nicht eindeutig zu entnehmen, ob betroffene Personen bereits vor Betreten des überwachten Bereichs erkennen können, dass eine Videoüberwachung stattfindet. Dies kann aber auch dahinstehen, da die Transparenzanforderungen im vorliegenden Fall in jedem Fall nicht gewahrt sind. Ein vorgelagertes Hinweisschild, das lediglich die Abbildung einer Kamera und einen QR-Code enthält, die wesentlichen „First-Level“-Informationen jedoch nicht selbst bereitstellt, genügt den Anforderungen der Aufsichtsbehörden nicht.

Zwischenfazit: Die Art und Weise der Bereitstellung der Datenschutzinformationen entspricht insgesamt nicht den Vorgaben der DS‑GVO.

c) Auswirkungen der Transparenzverstöße auf die Rechtmäßigkeit der Verarbeitung

Fraglich ist zunächst, ob sich die fehlende Mitteilung der konkret verfolgten berechtigten Interessen auf die Rechtmäßigkeit der Videoüberwachung auswirkt. Wie unter 1. dargestellt, stellen das Erfordernis einer wirksamen Rechtsgrundlage und die Einhaltung der Transparenzpflichten im Ausgangspunkt getrennte Anforderungen dar. Nicht jede geringe Verletzung der Pflichten aus Art. 13 f. DS‑GVO kann insofern die Rechtswidrigkeit der Verarbeitung begründen. Auch der Wortlaut des Art.  6 Abs.  1 UAbs.  1 lit.  f) DS‑GVO nimmt keinen Bezug auf die Mitteilung der berechtigten Interessen.

Eine Verletzung der Art. 13 f. DS‑GVO wird nach hier vertretener Ansicht aber dann zur materiellen Unrechtmäßigkeit der Verarbeitung führen können, wenn das Transparenzdefizit über ein bloßes Informationsdefizit hinausgeht und die materiellen Voraussetzungen der einschlägigen Rechtsgrundlage berührt. Denn die Intransparenz der Datenverarbeitung, insbesondere im Hinblick auf die verfolgten Zwecke und berechtigten Interessen, kann sich im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO zulasten der verarbeitenden Stelle auswirken. Dies gilt insbesondere, wenn Mängel bei der Transparenz dazu führen, dass die betroffene Person vernünftigerweise nicht mit der betreffenden Verarbeitung rechnen muss. Dass die vernünftigen Erwartungen der betroffenen Person im Rahmen der Interessenabwägung zu berücksichtigen sind, ergibt sich ausdrücklich aus ErwG 47 S. 4 DS‑GVO.

Mit den Auswirkungen einer unterbliebenen Information über die verfolgten berechtigten Interessen nach Art. 13 Abs. 1 lit.  d) DS‑GVO hatte sich auch der EuGH in der Rechtssache Mousse^[33] zu befassen. Er stellte fest, dass die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, nicht als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich angesehen werden kann, wenn den Kunden bei der Erhebung dieser Daten das verfolgte berechtigte Interesse nicht mitgeteilt wurde.^[34] Der EuGH beschränkt die Wirkung der unterbliebenen Information also nicht auf einen Verstoß gegen die Transparenzpflicht nach Art.  13 Abs.  1 lit.  d) DS‑GVO, sondern misst ihr Bedeutung auch für die materielle Rechtmäßigkeit der Verarbeitung nach Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO zu.^[35]

Die Rechtsprechung des EuGH ist in ihrer Pauschalität allerdings kritisch zu sehen. Zwar folgt aus Art. 13 Abs. 1 lit. d) DS‑GVO grundsätzlich die Pflicht, der betroffenen Person zum Zeitpunkt der Datenerhebung die konkret verfolgten berechtigten Interessen mitzuteilen. Die fehlende Mitteilung dieser Interessen als generelle Tatbestandsvoraussetzung^[36] bzw. als Ausschlussgrund für die Heranziehung von Art. 6 Abs. 1 UAbs. 1 lit.  f) DS‑GVO einzuordnen, kann jedoch zu unverhältnismäßigen Ergebnissen führen. Dies gilt insbesondere in Fällen, in denen für die betroffene Person auch ohne ausdrückliche Mitteilung des berechtigten Interesses ohne Weiteres erkennbar ist, welchem berechtigten Interesse die Verarbeitung dient.

Für eine zurückhaltendere Betrachtung spricht auch die systematische Unterscheidung der DS‑GVO zwischen den materiellen Voraussetzungen einer rechtmäßigen Verarbeitung und den eigenständigen Transparenzpflichten. Nach hier vertretener Ansicht bedarf es insofern jeweils der konkreten Prüfung im Einzelfall, ob das Transparenzdefizit über die Verletzung einer eigenständigen Informationspflicht hinausgeht und tatsächlich eine materielle Voraussetzung der einschlägigen Rechtsgrundlage berührt.^[37]

Wenn, wie vorliegend, eine Videoüberwachung auf Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO gestützt wird und der Verantwortliche den betroffenen Personen bei Datenerhebung das von ihm verfolgte berechtigte Interesse überhaupt nicht mitteilt, bestehen nach der EuGH-Entscheidung in der Rechtssache Mousse^[38] erhebliche Gründe dafür, nicht nur einen Verstoß gegen die Transparenzpflichten anzunehmen, sondern die Rechtswidrigkeit der Datenverarbeitung für die Videoüberwachung als solcher.

Zwischenergebnis: Die fehlende Mitteilung der konkret verfolgten berechtigten Interessen mit Blick auf die Videoüberwachungsmaßnahme durch L führt zur Rechtswidrigkeit der mit der Maßnahme zusammenhängenden Verarbeitung personenbezogener Daten.

Zu der Frage, welche Folgen ein gegen Art. 13 DS‑GVO verstoßender Medienbruch hat, hat sich der EuGH, soweit ersichtlich, bislang nicht geäußert. Es spricht jedoch einiges dafür, dass der EuGH auch in diesem Fall eine strenge Linie verfolgen und damit eine Rechtswidrigkeit der Datenverarbeitung annehmen würde. Den betroffenen Personen werden im unmittelbaren Zeitpunkt der Datenerhebung sämtliche zentralen Informationen über die konkrete Verarbeitung vorenthalten. Sie erfahren zu diesem Zeitpunkt lediglich, dass eine Videoüberwachung stattfindet, nicht jedoch, wer für die Verarbeitung verantwortlich ist, zu welchen Zwecken die Aufnahmen erfolgen und auf welcher Rechtsgrundlage dies geschieht. Damit können sie die Verarbeitung im Zeitpunkt der Erhebung nicht in der von Art. 13 DS‑GVO vorausgesetzten Weise nachvollziehen und ihre Rechte nicht sachgerecht wahrnehmen.^[39]

Da sich die Rechtswidrigkeit der Datenverarbeitung zumindest mit Blick auf die fehlende Mitteilung der verfolgten berechtigten Interessen durch L ergibt, kann die Beantwortung der Frage hier letztlich offenbleiben.

4. Ergebnis

Die von L vorgesehene Maßnahme ist grundsätzlich über Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO legitimierbar. Wird die Maßnahme durchgeführt wie geplant, würden die datenschutzrechtlichen Informationspflichten nach der Rechtsprechung des EuGH allerdings in einem solchen Maße verletzt, dass dies wohl auch die Rechtswidrigkeit der Erhebung und Speicherung der Videodaten zur Folge hat. L sollte die vorgelagerten Hinweisschilder zur Videoüberwachung an die Mustervorgaben der DSK anpassen sowie insbesondere die von ihm verfolgten berechtigten Interessen konkretisieren.^[40]

III. Ergänzende Informationen

1. Inhalte der Informationspflicht

Verantwortliche sind nach Art. 13 Abs. 1 DS‑GVO verpflichtet, der betroffenen Person folgende Informationen mitzuteilen:

• Name und Kontaktdaten des Verantwortlichen, ggf. seines Vertreters (lit. a)),
• ggf. die Kontaktdaten des Datenschutzbeauftragten (lit. b)),
• Zwecke und Rechtsgrundlage für die Verarbeitung (lit. c)),
• bei Verarbeitung nach Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO die verfolgten berechtigten Interessen (lit. d)),
• ggf. die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten (lit. e)) und
• ggf. die Absicht einer Übermittlung an ein Drittland oder eine internationale Organisation sowie das Bestehen oder Fehlen eines Angemessenheitsbeschlusses bzw. – bei Übermittlungen auf Grundlage geeigneter oder angemessener Garantien – einen Hinweis auf die einschlägigen Garantien und darauf, wie eine Kopie von ihnen erhältlich ist oder wo sie verfügbar sind (lit. f)).

Zusätzlich hat der Verantwortliche der betroffenen Person nach Art. 13 Abs. 2 DS‑GVO folgende Informationen zur Verfügung zu stellen:

• Speicherdauer der Daten oder, falls nicht möglich, zumindest Kriterien für ihre Festlegung (lit. a)),
• das Bestehen eines Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit (lit. b)),
• bei einwilligungsbasierter Verarbeitung: das Bestehen eines Rechts auf jederzeitigen Widerruf mit Wirkung für die Zukunft (lit. c)),
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (lit. d)),
• ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob eine Bereitstellungspflicht besteht und welche Folgen die Nichtbereitstellung hätte (lit. e)) und
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DS‑GVO sowie aussagekräftige Informationen über die Logik, Tragweite und Auswirkungen (lit. f)).

Die Trennung der Inhalte auf zwei Absätze hat keinen Einfluss auf die Informationspflicht, da sämtliche Informationen der betroffenen Person gleichermaßen zur Verfügung zu stellen sind.^[41]

Bei der Informationspflicht nach Art.  14 DS‑GVO hat der Verantwortliche neben den genannten Inhalten zudem über die Kategorien der verarbeiteten personenbezogenen Daten (Art.  14 Abs.  1 lit.  d) DS‑GVO) und die Quelle der erhobenen Daten (Art. 14 Abs. 2 lit. f) DS‑GVO) zu informieren.

2. Ausnahmen von der Informationspflicht

Nach Art. 13 Abs. 4 DS‑GVO finden die Absätze 1 bis 3 keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt. Aufgrund des Wortlautes („soweit“) ist es möglich, dass die Informationspflicht insgesamt oder auch teilweise entfallen kann.^[42]

Art. 14 Abs. 5 DS‑GVO sieht demgegenüber zusätzliche Ausnahmen von der Informationspflicht bei indirekter Erhebung vor, und zwar, wenn sich die Erteilung der Informationen als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde bzw. die Erteilung die Verwirklichung der Ziele der Verarbeitung unmöglich machen oder ernsthaft beeinträchtigen würde (lit. b)), die Erlangung oder Offenlegung der personenbezogenen Daten durch Rechtsvorschriften der Union oder der Mitgliedstaaten ausdrücklich geregelt ist (lit. c)) oder die personenbezogenen Daten aufgrund einer gesetzlichen Geheimhaltungspflicht oder eines Berufsgeheimnisses vertraulich behandelt werden müssen (lit. d)).

Weitere Ausnahmen von den Informationspflichten sind im nationalen Recht in den §§ 29, 32, 33 BDSG geregelt.

_{[1] Brink, RDV 2026, 117 (118)}

_{[2] Zu den Informationsinhalten iE vgl. unter III. 1}

_{[3] Kühling/Buchner/Bäcker, DS-GVO BDSG, 4. Aufl. 2024, DS‑GVO Art. 13 Rn. 56.}

_{[4] Laue/Nink/Kremer, Datenschutzrecht in der betrieblichen Praxis, 3. Aufl. 2024, § 3 Rn. 3.}

_{[5] BVerwG, Urt. v. 27.3.2019 – 6 C 2.18}

_{[6] Simitis/Hornung/Spiecker gen. Döhmann/Schindler/Scholz, Datenschutzrecht, 2. Aufl. 2025, BDSG § 4 Rn. 53.}

_{[7] Simitis/Hornung/Spiecker gen. Döhmann/Schindler/Scholz, Datenschutzrecht, 2. Aufl. 2025, BDSG § 4 Rn. 57.}

_{[8] Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht, 56. Ed. 1.8.2024, BDSG § 4 Rn. 10.}

_{[9] EDSA, Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, Version 1.0, 8.10.2024, S. 2.}

_{[10] Kühling/Buchner/Buchner/Petri, DS-GVO BDSG, 4. Aufl. 2024, DS‑GVO Art. 6 Rn. 146a.}

_{[11] DSK, Orientierungshilfe Videoüberwachung durch nicht öffentliche Stellen, 17.7.2020, S. 8, abrufbar unter: https://www.datenschutzkonferenz-online.de/media/oh/20200903_oh_vü_dsk.pdf; Kühling/Buchner/Buchner/Petri, DS-GVO BDSG, 4. Aufl. 2024, DS‑GVO Art. 6 Rn. 172a.}

_{[12] EuGH, Urt. v. 18.12.2025 – C-422/24 („Bodycam“).}

_{[13] EuGH, Urt. v. 18.12.2025 – C-422/24 („Bodycam“) Rn. 41}

_{[14] EuGH, Urt. v. 18.12.2025 – C-422/24 („Bodycam“) Rn. 40.}

_{[15] Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Vers. 2.0 v. 29.1.2020, Rn. 110 ff.}

_{[16] EuGH, Urt. v. 18.12.2025 – C-422/24 Rn. 42}

_{[17] Vgl. dazu nachfolgend b) bb).}

_{[18] S. auch Art. 14 Abs. 2 lit. b) DS‑GVO.}

_{[19] EuGH, Urt. v. 9.1.2025 – C‑394/23 Rn. 46 und 52; EuGH, Urt. v. 4.10.2024 – C-621/22 Rn. 41; EuGH, Urt. v. 4.7.2023 – C-252/21 Rn. 107}

_{[20] Simitis/Hornung/Spiecker gen. Döhmann/Dix, Datenschutzrecht, 2. Aufl. 2025, DS‑GVO Art. 13 Rn. 10; Gola/Heckmann/Rost/Franck, DS-GVO BDSG, 4. Aufl. 2026, DS‑GVO Art.  13 Rn. 15; ähnlich Wolff/Brink/v. Ungern-Sternberg/ Schmidt-Wudy, BeckOK Datenschutzrecht, 56. Ed. 1.5.2026, DS‑GVO Art. 13 Rn. 49; Sydow/Marsch/Ingold, DS-GVO BDSG, 3. Aufl. 2022, DS‑GVO Art. 13 Rn. 18.}

_{[21] Vgl. etwa Ehmann/Selmayr/Knyrim, Datenschutz-Grundverordnung, 3. Aufl. 2024, DS‑GVO Art. 13 Rn. 49; Kühling/Buchner/Bäcker, DS-GVO BDSG, 4. Aufl. 2024, DS‑GVO Art. 13 Rn. 27; Taeger/Gabel/Mester, DSGVO-BDSG-TDDDG, 5. Aufl. 2026, DS‑GVO Art. 13 Rn. 13.}

_{[22] EDSA, Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, Vers. 1.0, adopted on 8 October 2024.}

_{[23] Art.-29-Datenschutzgruppe, Leitlinien für Transparenz gemäß der Verordnung 2016/679 (WP 260 rev.01) v. 11.4.2018, Rn. 35, bestätigt durch den EDSA am 25.5.2018.}

_{[24] Art.-29-Datenschutzgruppe, Leitlinien für Transparenz gemäß der Verordnung 2016/679 (WP 260 rev.01) v. 11.4.2018, Rn. 38, bestätigt durch den EDSA am 25.5.2018; EDSA, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Vers. 2.0 v. 29.1.2020, Rn. 110 ff.}

_{[25] EuGH, Urt. v. 18.12.2025 – C-422/24 („Bodycam“) Rn. 42.}

_{[26] Eine gestufte Informationserteilung ist auch möglich, ohne dass ein Medienbruch erfolgt, z.B. in digitalen Umgebungen durch den Einsatz von Links.}

_{[27] EDSA, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Vers. 2.0 v. 29.1.2020 Rn. 117.}

_{[28] EDSA, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Vers. 2.0 v. 29.1.2020 Rn. 117.}

_{[29] EDSA, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Vers. 2.0 v. 29.1.2020.}

_{[30] DSK, Orientierungshilfe „Videoüberwachung durch nicht öffentliche Stellen“ v. 17.7.2020, S. 17 f.}

_{[31] DSK, Orientierungshilfe „Videoüberwachung durch nicht öffentliche Stellen“ v. 17.7.2020, S. 17 f. und S. 40 f.}

_{[32] DSK, Orientierungshilfe „Videoüberwachung durch nicht öffentliche Stellen“ v. 17.7.2020, S. 17.}

_{[33] EuGH, Urt. v. 9.1.2025 – C‑394/23.}

_{[34] EuGH, Urt. v. 9.1.2025 – C‑394/23 Ls. 1.}

_{[35] Zur engen Verknüpfung der Mitteilung des berechtigten Interesses mit den materiellen Voraussetzungen des Art. 6 Abs. 1 UAbs. 1 lit. f) DS‑GVO durch den EuGH vgl. auch Urt. v. 4.7.2023 – C-252/21 (Meta Platforms), Rn. 107, 126.}

_{[36] Leicht/Baumann, NJW 2025, 2126 Rn. 22}

_{[37] Pauschale Beurteilungen ablehnend auch Gola/Heckmann/Rost/Franck, DSGVO BDSG, 4. Aufl. 2026, DS‑GVO Art. 13 Rn. 59.}

_{[38] EuGH, Urt. v. 9.1.2025 – C‑394/23.}

_{[39] Zum Sinn und Zweck der Transparenzvorgaben Art.-29-Datenschutzgruppe, Leitlinien für Transparenz gemäß der Verordnung 2016/679 (WP 260 rev.01) v. 11.4.2018, Rn. 4, bestätigt durch den EDSA am 25.5.2018.}

_{[40] DSK, Orientierungshilfe „Videoüberwachung durch nicht öffentliche Stellen“ v. 17.7.2020, S. 40 f.}

_{[41] Taeger/Gabel/Mester, DSGVO-BDSG-TDDDG, 5. Aufl. 2026, DS‑GVO Art. 13 Rn. 17.}

_{[42] Ehmann/Selmayr/Knyrim, Datenschutz-Grundverordnung, 3. Aufl. 2024, DS‑GVO Art. 13 Rn. 78.}