Wer haftet?

In erster Linie ist natürlich grundsätzlich der für die Verarbeitung Verantwortliche Ansprechpartner für Betroffene und für die Einhaltung der Datenschutzgesetze zuständig. Bei der Installation einer Videoüberwachung gibt es jedoch theoretisch zwei Verantwortliche, die gemeinsam den Umfang der Videoüberwachungsanlage festlegen. Der Endkunde kann dies schon mangels Fachkenntnis im technischen Bereich nicht allein projektieren und planen. Somit legen zwei oder mehrere Verantwortliche Art und Umfang einer Videoüberwachung gleichberechtigt und gemeinsam fest (Artikel 26 EU-DSGVO). In diesem Fall kann der Betroffene seine Rechte gegenüber jedem für die Verarbeitung Verantwortlichen geltend machen.

Die Haftung für Datenschutzverstöße nach Artikel 82 DSGVO ändert sich im Vergleich zu unserem bekannten Schadensersatzrecht schon gewaltig. Im Gegensatz zum BDSG (Bundesdatenschutzgesetz), das die Haftung des Einzelhändlers/Auftraggebers vorsieht, finden sich in Artikel 82 DSGVO wesentlich gravierendere Haftungsregeln: „Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder moralischer Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den für die Verarbeitung Verantwortlichen oder gegen den Auftragsverarbeiter.“ Deshalb haftet auch der Errichter/Installateur direkt gegenüber dem Geschädigten.

Um dem Geschädigten die Durchsetzung seiner Forderung zu erleichtern, führt die DSGVO darüber hinaus auch noch die gesamtschuldnerische Haftung des Auftraggebers und des Auftragnehmers ein. Der für die Installation der Videoüberwachung Verantwortliche (Auftraggeber/Einzelhändler/Gewerbetreibende) und der Auftragsverarbeiter (Errichter/Installateur) haften gegenüber dem betroffenen Verbraucher gemeinsam. Das bedeutet, sowohl der Errichter, wie auch der Endkunde haften im Außenverhältnis auf den gesamten Schaden. Allerdings beschränkt sich die Haftung des Errichters auf Verstöße gegen speziell den Auftragsverarbeitern auferlegten Pflichten. Kann er aber nicht nachweisen, dass er seine Pflichten (Verarbeitungsdokumentation, Unterrichtung und Information des Endkunden et cetera) nicht erfüllt hat, dann haftet der Errichter ebenso wie der Endkunde.

Beiden, Endkunden und Errichter steht die Möglichkeit der „Schuldbefreiung“ zur Verfügung. Dazu müssen sie allerdings nachweisen, dass sie nicht für den Umstand, durch den ein Schaden aufgetreten ist, verantwortlich sind. Das bedeutet für den Errichter, er muss lückenlos über seine Tätigkeiten Buch führen. Dazu ist natürlich erforderlich, dass er erst mal weiß, was er zu tun hat.

Der Errichter unterliegt nach der DSGVO mehreren Dokumentationspflichten, um nachzuweisen, dass die von ihm vorgenommene Installation der Videoüberwachung den Vorschriften der Datenschutzgrundverordnung entspricht. Laut Artikel 30 Absatz 2 DSGVO müssen Auftragsverarbeiter ein Verzeichnis (Absatz 2 die Zwecke der Verarbeitung) über ihre Verarbeitungstätigkeiten führen. Das Verzeichnis, beziehungsweise die aus dem BDSG bekannten Datenschutzdokumentation, war bisher nur für Endkunden/Betreiber einer Videoüberwachung verpflichtend.

Mit der DSGVO erhöhen sich die Bußgelder für Unternehmen mit Videoüberwachung eklatant. Der Hamburger Landesbeauftragte für Datenschutz Johanes Caspar spricht von einem Faktor 67. Der Gastwirt, der vor kurzem noch 1.000 Euro Bußgeld wegen einer falsch platzierten Kamera bezahlt hat, wird in Zukunft 67.000 Euro Bußgeld bezahlen. Bei Verstößen gegen die Verpflichtungen der Artikel 28 ff. DSGVO drohen den für die Verarbeitung Verantwortlichen, also dem Anwender/Endkunden und den Auftragsverarbeitern, den Errichtern/Installateuren nach Artikel 83 EU-DSGVO Geldbußen von bis zu zehn Millionen Euro oder zwei Prozent des gesamten weltweit erzielten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Insbesondere Errichter sollten deshalb ein besonderes Augenmerk auf eine rechtskonforme Videoüberwachung legen.

In der Übergangsphase sollten bestehende Installationen und Verträge zur Videoüberwachung überprüft werden. Neu abzuschließende Verträge sind so abzufassen, dass sie die Rechtslage nach der DSGVO berücksichtigen. Deshalb sind Grundkenntnisse über Datenschutz für jeden Errichter eklatant wichtig. Im Klartext heißt das, der Installateur oder Errichter darf nicht mehr nach Belieben irgendwo eine Kamera installieren, wo der Kunde dies gerne haben will. Was genau er zu tun hat, steht detailliert im „DSGVO-Video-Praxisleitfaden“, den er kostenlos über die Deutsche Datenschutzhilfe beziehen kann, sofern er dort Fördermitglied ist. Der Praxisleitfaden beinhaltet unter anderem eine Checkliste für den Installateur/Errichter, damit dieser weiß, was er beim Endkunden abfragen muss, bevor er mit der Installation der Videogeräte beginnen darf. Bestandteil des DSGVO-Video-Leitfadens sind auch Musterformulare für das komplette Datenschutzmanagement inklusive der eigenen Verabeitungstätigkeit, damit der Errichter auch den Nachweis hat, dass er sich Datenschutzkonform bei der Installation verhalten hat und seiner Informationspflicht hinsichtlich BDSG und DSGVO ausführlich nachgekommen ist.

Walter C. Dieterich, Vorstand, Deutsche Datenschutzhilfe e.V.