Videoüberwachung am Arbeitsplatz: DSGVO-konform planen, bevor die erste Kamera hängt

Videoüberwachung am Arbeitsplatz ist zulässig, wenn ein festgelegter Zweck wie Einbruch- oder Diebstahlschutz sie erfordert und die Interessen der Beschäftigten nicht überwiegen. Rechtsgrundlage ist nach Auffassung der Aufsichtsbehörden in der Regel Art. 6 Abs. 1 lit. f DSGVO. Leistungskontrolle ist tabu, Pausen- und Sanitärräume auch. Der Betriebsrat bestimmt mit, Ton bleibt aus.

Stand 25. September 2026: Maßgebliche Auslegungshilfe ist die Orientierungshilfe der Datenschutzkonferenz (DSK), des Gremiums der deutschen Aufsichtsbehörden, mit Stand vom 17. Juli 2020. Die DSK stellt sie unverändert bereit. § 26 BDSG steht weiter im Gesetz. Ob sein Absatz 1 Satz 1 nach dem EuGH-Urteil C-34/21 noch anwendbar ist, hat kein Gericht entschieden. Ein eigenes Gesetz zum Beschäftigtendatenschutz ist nicht in Kraft.

1. Welche Rechtsgrundlage trägt — und welche nicht

Bei der Suche nach der Rechtsgrundlage fallen zuerst § 4 und § 26 BDSG. Beide tragen weniger, als ihr Wortlaut vermuten lässt. § 4 BDSG regelt die Überwachung öffentlich zugänglicher Räume. Das Bundesverwaltungsgericht hat 2019 entschieden, dass für private Betreiber kein Raum für diese Norm bleibt. Maßgeblich ist Art. 6 Abs. 1 lit. f DSGVO (Quelle: BVerwG, Urteil vom 27. März 2019, 6 C 2.18, Rn. 47). Die DSK hält in ihrer Orientierungshilfe fest, dass die Aufsichtsbehörden § 4 BDSG bei Unternehmen nicht als Rechtsgrundlage anwenden.

§ 26 BDSG regelt die Daten von Beschäftigten. Der Europäische Gerichtshof hat am 30. März 2023 entschieden (C-34/21): Eine nationale Vorschrift, die die Vorgaben von Art. 88 Abs. 2 DSGVO nicht erfüllt, ist keine „spezifischere Vorschrift" und bleibt unangewendet, wenn keine andere Öffnungsklausel greift. Das Verfahren betraf eine vergleichbare hessische Norm. Vorschriften, die nur die Erforderlichkeit verlangen, genügen dem nach der Tendenz des Urteils nicht. Der Landesbeauftragte für den Datenschutz Baden-Württemberg hält § 26 Abs. 1 Satz 1 BDSG deshalb für wohl unanwendbar. Er betont aber, dass die Rechtsprechung das noch nicht entschieden hat (Quelle: LfDI Baden-Württemberg, FAQ zum EuGH-Urteil C-34/21).

Für die Kameraplanung bringt das weniger Unsicherheit, als die Debatte vermuten lässt. Eine Anlage zum Schutz von Gelände, Lager oder Ware stützen Unternehmen ohnehin auf die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO. Genau das schreibt die DSK. § 26 bleibt in einem Punkt wichtig: Wer einen konkreten Verdacht auf eine Straftat aufklären will, braucht Absatz 1 Satz 2. Diesen Satz berührt das Urteil nach Auffassung des Landesbeauftragten nicht.

Eine Folge betrifft Ihre Unterlagen. Der Landesbeauftragte empfiehlt, Vorlagen und Verzeichnisse so anzupassen, dass die Verarbeitung nicht nur auf § 26 Abs. 1 Satz 1 BDSG gestützt wird. Das gilt auch für das Hinweisschild, denn Art. 13 DSGVO verlangt dort die Rechtsgrundlage.

2. Wo Kameras hängen dürfen: der Zonenplan

Bei Beschäftigten ist die DSK deutlich. Eine dauerhafte Videoüberwachung im Arbeitsverhältnis ist regelmäßig unzulässig. Kameras zur Kontrolle von Leistung, Sorgfalt oder Effizienz sind unzulässig. Für die Planung heißt das: Die Einheit ist nicht die Kamera, sondern die Zone. Jede Zone bekommt einen Zweck, eine Zeit und einen Bildausschnitt.

Ein Satz der DSK gehört in jedes Planungsgespräch: Je weniger Rückzugsraum den Beschäftigten bleibt, desto eher überwiegen ihre Interessen. Eine Anlage, die jeden Winkel eines kleinen Ladens zeigt, hat es in der Abwägung deshalb schwerer als eine, die zwei Regale mit teurer Ware erfasst.

Zwei weitere Fragen klären Sie pro Zone. Erstens: Genügt ein Live-Bild? Reicht die Beobachtung in Echtzeit für den Zweck, dürfen die Aufnahmen laut DSK in aller Regel nicht zusätzlich gespeichert werden. Zweitens: Wann muss die Kamera laufen? Zum Schutz vor Einbruch genügt nach der DSK eine Überwachung in der Nacht oder außerhalb der Geschäftszeiten. Eine Aufzeichnung, die erst ein Notfallknopf auslöst, ist eine weitere mildere Variante.

3. Der Betriebsrat bestimmt mit — auch bei der Kamera am Tor

Gibt es einen Betriebsrat, bestimmt er nach § 87 Abs. 1 Nr. 6 BetrVG mit bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen". Kommt keine Einigung zustande, entscheidet nach Absatz 2 die Einigungsstelle.

Das Wort „bestimmt" klingt nach Absicht. Das Bundesarbeitsgericht legt es aber objektiv aus: Es kommt darauf an, ob die Einrichtung geeignet ist, Daten über Verhalten oder Leistung zu erheben. Auf die Absicht des Arbeitgebers kommt es nicht an (Quelle: BAG, Beschluss vom 13. Dezember 2016, 1 ABR 7/15, Rn. 22). Eine Kamera, die nur das Tor gegen Einbruch sichert, aber Beschäftigte beim Kommen und Gehen zeigt, sollten Sie deshalb als mitbestimmungspflichtig behandeln.

Was in eine Betriebsvereinbarung zur Videoüberwachung gehört, listet die DSK auf:

• Gegenstand der Datenerhebung und Zweckbindung.
• Datensparsamkeit sowie Art und Umfang der Daten.
• Empfänger der Daten und die Rechte der Betroffenen.
• Löschfristen.
• Technische und organisatorische Maßnahmen wie das Berechtigungs- und Zugriffskonzept.
• Den ausdrücklichen Ausschluss der Leistungskontrolle.

Eine Betriebsvereinbarung ist kein Freibrief. Nach dem EuGH (Urteil vom 19. Dezember 2024, C-65/23) muss auch eine Verarbeitung auf ihrer Grundlage die Anforderungen aus Art. 5, Art. 6 Abs. 1 und Art. 9 DSGVO erfüllen. So gibt es das Bundesarbeitsgericht in seinem Urteil vom 8. Mai 2025 (8 AZR 209/21) wieder. Ohne Betriebsrat empfiehlt die DSK, die Anlage über eine datenschutzkonforme Dienstanweisung zu regeln.

Dieselbe Frage stellt sich bei Software, etwa bei der Auswahl einer HR-Software oder der Pflicht zur Arbeitszeiterfassung.

4. Privacy-Masking: was die Kamera gar nicht erst sehen soll

Die wirksamste Maßnahme ist der Bildausschnitt. Was nicht im Bild ist, muss niemand abwägen, maskieren oder löschen. Jede Planung beginnt deshalb mit der Frage, wo die Kamera hängt und wohin sie zeigt. Erst danach kommen Masken.

Lässt sich ein Bereich nicht aus dem Bild nehmen, verlangt die DSK, ihn „irreversibel" auszublenden, zu schwärzen oder zu verpixeln. Das Wort ist technisch entscheidend. Eine Aufnahme gilt laut DSK auch dann als personenbezogen, wenn Bereiche zwar unkenntlich gemacht werden, sich das aber später wieder aufheben lässt.

Fragen Sie bei der Auswahl deshalb nicht nur, ob ein System Masken kann, sondern wo die Maske wirkt. Wirkt sie schon im Videostrom der Kamera, liegt im Rekorder kein Bild des maskierten Bereichs. Wirkt sie nur bei der Wiedergabe, ist das volle Bild gespeichert. Dann ist die Maske ein Filter und kein Schutz. Prüfen Sie das nach der Einrichtung an einer echten Aufnahme, nicht nur am Live-Bild.

Dazu passt eine zweite Regel der DSK: Schwenken, Neigen und Zoomen sind in der Regel nicht zulässig. Eine schwenkbare Kamera kann ihren Ausschnitt ändern. Damit hebelt sie jede Maske und jede Abwägung aus, die für eine feste Position gemacht wurde. Für Arbeitsbereiche planen Sie deshalb feste Kameras mit festem Blickfeld. Für die Auflösung verweist die DSK auf die Norm DIN EN 62676-4: so viel Detail, wie der Zweck braucht.

5. Kein Ton, keine Gesichtserkennung, keine Emotionen

Manche Netzwerkkameras haben ein eingebautes Mikrofon. Wer damit das nichtöffentlich gesprochene Wort unbefugt aufnimmt, riskiert nach § 201 StGB bis zu drei Jahre Freiheitsstrafe oder Geldstrafe. Die DSK verlangt deshalb, eine vorhandene Audiofunktion „unumkehrbar zu deaktivieren". Ein Schalter im Menü ist allerdings nicht unumkehrbar. Wo es geht, wählen Sie Modelle ohne Mikrofon. Wo nicht, schalten Sie die Funktion ab, geben das Recht zum Wiedereinschalten nur wenigen Administratoren und halten das in der Dokumentation fest.

Moderne Systeme unterscheiden per KI zwischen Person, Fahrzeug und Tier. Das ist eine Einordnung, keine Identifizierung. Anders liegt es bei der Gesichtserkennung. Werden damit biometrische Daten verarbeitet, ist nach der DSK vorab zwingend eine Datenschutz-Folgenabschätzung nötig. Schon die bloße Eignung der Aufnahmen für eine biometrische Analyse gehört in die Risikobewertung. Auch Verhaltenserkennung zählt die DSK zu den Funktionen, die in der Regel nicht zulässig sind.

Eine weitere Grenze setzt die KI-Verordnung. Seit dem 2. Februar 2025 ist die Verwendung von KI-Systemen verboten, die Emotionen einer Person am Arbeitsplatz ableiten. Ausgenommen sind nur medizinische Gründe und Sicherheitsgründe (Quelle: Art. 5 Abs. 1 lit. f KI-VO, AI Act Service Desk der EU-Kommission). Eine Kamera, die Stimmung oder Stress von Beschäftigten „erkennt", hat im Betrieb außerhalb dieser Ausnahmen nichts zu suchen. Wie die KI-Verordnung sonst gestaffelt ist, zeigt unser Überblick zu den Pflichten aus dem EU AI Act.

6. Speicherdauer: 72 Stunden als Richtwert

Für Unternehmen nennen weder die DSGVO noch das BDSG eine feste Stundenzahl. Die Dauer richtet sich nach dem Zweck. Sind die Aufnahmen dafür nicht mehr nötig, müssen sie unverzüglich gelöscht werden (Art. 17 Abs. 1 lit. a DSGVO).

Die DSK hat daraus einen Richtwert abgeleitet. Ob Material gesichert werden muss, lässt sich nach ihrer Einschätzung in den meisten Fällen „innerhalb von ein bis zwei Arbeitstagen" klären. Deshalb sei eine Speicherdauer von 72 Stunden in der Regel zulässig. Der Europäische Datenschutzausschuss nennt für ein kleines Geschäft, das Vandalismus meist am selben Tag bemerkt, sogar 24 Stunden als ausreichend.

Länger geht, aber nicht pauschal. Die DSK hält eine längere Frist etwa an mehrtägigen Feiertagen oder in Urlaubszeiten für möglich, wenn kein Betrieb läuft und Schäden nicht sofort auffallen. Diese Frist gilt dann nur für die Kameras mit besonderem Grund und nur für diese Zeiten, nie als Standard für die ganze Anlage. Mit internen Arbeitsabläufen lässt sich eine längere Frist nach der DSK in der Regel nicht begründen.

Im Rekorder wird daraus eine Einstellung, keine Folge der Plattengröße. Wer aufzeichnet, bis die Festplatte voll ist, speichert je nach Größe Tage oder Wochen, ohne dass es jemand entschieden hat. Planen Sie deshalb drei Dinge:

• Eine feste Frist je Kamera. Sie steht in der Konfiguration und im Verzeichnis, und beide stimmen überein.
• Einen Zeitplan für Ausnahmen. Die längere Frist über Feiertage gilt nur für die Kameras, die sie brauchen, und endet von selbst.
• Einen Weg zur Sicherung. Die Sequenz zu einem Vorfall wird exportiert, getrennt abgelegt, mit eigenem Zugriffskreis und dokumentiertem Anlass.

Die DSK erwartet dabei kein anlassloses Durchsehen der Aufnahmen. Sie prüfen innerhalb der Frist, ob es einen Anlass gibt, etwa Fehlbestände, Schäden oder einen Alarm. Nur dann sichern Sie die passende Sequenz.

7. Speicherort, Zugriff und Protokoll

Wo die Aufnahmen liegen, fließt nach der DSK in die Interessenabwägung ein. Sie nennt die Verarbeitung in einer Cloud mit Bezug zu einem Drittstaat ausdrücklich als Kriterium dafür, wie schwer der Eingriff wiegt. Ein Rekorder im eigenen Haus ist deshalb die einfachere Lösung. Setzen Sie auf einen Cloud-Dienst, gehören Empfänger und eine mögliche Übermittlung in ein Drittland ins Informationsblatt. In der Regel kommt ein Vertrag zur Auftragsverarbeitung dazu.

Der Europäische Datenschutzausschuss verlangt Schutz in allen Phasen: gespeichert, bei der Übertragung und bei der Verarbeitung. Er nennt ausdrücklich die Verschlüsselung auf Übertragungswegen und in Speichersystemen. Die wichtigste Frage stellt die Checkliste der DSK: Wer sieht die Aufnahmen, wann, und wird jeder Zugriff protokolliert? Sind die Berechtigten auf das Datengeheimnis verpflichtet? Daraus folgen fünf Einstellungen:

• Eigene Konten statt Sammelkonto. Jede Person mit Zugriff hat ein eigenes Konto. Nur so zeigt das Protokoll, wer wann etwas angesehen oder exportiert hat.
• Live-Bild und Archiv trennen. Wer am Empfang das Live-Bild der Tür sieht, braucht keinen Zugriff auf die Aufnahmen der letzten drei Tage.
• Sichten nur mit Anlass. Die Betriebsvereinbarung oder Dienstanweisung legt fest, wann Aufnahmen angesehen werden. Ein Vier-Augen-Prinzip erschwert Missbrauch.
• Fernzugriff eng halten. Die DSK zählt Fernzugriff zu den Merkmalen, die das Risiko erhöhen. Zugriff per App bekommen nur die Rollen, die ihn brauchen, mit Zwei-Faktor-Anmeldung.
• Export mit Schwärzung. Verlangt eine Person nach Art. 15 DSGVO eine Kopie, sollen andere Personen auf dem Material unkenntlich sein. Der EDSA nennt dafür das Verpixeln. Ein System, das Ausschnitte exportieren und schwärzen kann, spart später Handarbeit.

Netzwerkkameras sind IT-Geräte. Die DSK verlangt, Firmware, Passwortschutz, Benutzerkonten und Zugriffsrechte regelmäßig zu prüfen, vor allem im WLAN oder mit Anbindung ans Internet. Nicht benötigte Funktionen sind abzuschalten. Wir empfehlen zusätzlich ein eigenes Netzsegment für Kameras und Rekorder. So wird eine Kamera nicht zum Einfallstor ins übrige Firmennetz. Was sonst zur Grundsicherung gehört, steht in unserem Beitrag zur IT-Sicherheit im Mittelstand.

Ein Punkt betrifft Errichter wie uns direkt. Wartet ein Dienstleister die Anlage und kann dabei auf Aufnahmen zugreifen, ist er nach der DSK in der Regel Auftragsverarbeiter. Dann brauchen Sie mit ihm einen Vertrag nach Art. 28 DSGVO. Worauf es darin ankommt, erklärt unser Beitrag zum Auftragsverarbeitungsvertrag.

8. Das Hinweisschild nach Art. 13 DSGVO

Das Schild setzt Art. 13 DSGVO um. Wer gefilmt wird, soll im Moment der Erhebung wissen, wer filmt, warum und auf welcher Grundlage. Die DSK empfiehlt zwei Stufen: ein vorgelagertes Schild und ein vollständiges Informationsblatt. Auf das Schild gehören:

• Ein Kamerasymbol als Hinweis auf die Beobachtung.
• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls seines Vertreters.
• Die Kontaktdaten des Datenschutzbeauftragten. Ist einer benannt, sind sie Pflicht.
• Zwecke und Rechtsgrundlage in Schlagworten.
• Das berechtigte Interesse, wenn die Verarbeitung auf Art. 6 Abs. 1 lit. f beruht.
• Gegebenenfalls die Speicherdauer.
• Einen Hinweis auf die weiteren Pflichtinformationen und wo es sie gibt.

Das Schild hängt vor dem überwachten Bereich, etwa auf Augenhöhe. So kann man sein Verhalten noch anpassen, bevor man ins Bild kommt. Die DSK empfiehlt für das Schild mindestens DIN A4, für das Informationsblatt mindestens DIN A3. Der EDSA regt an, vom Schild per QR-Code oder Internetadresse auf das Informationsblatt zu verweisen. Es muss aber auch ohne Smartphone erreichbar sein, etwa am Empfang oder an der Kasse.

Zwei Punkte verdienen besondere Sorgfalt. Erstens die Rechtsgrundlage: Für die übliche Anlage zum Schutz von Gelände und Ware gehört Art. 6 Abs. 1 lit. f DSGVO auf das Schild, nicht § 4 BDSG. Zweitens die Wirkung: Ein Schild macht eine sonst unzulässige Überwachung nicht zulässig. Und das bloße Betreten eines gekennzeichneten Bereichs ist laut DSK keine Einwilligung.

9. Was vor dem Einschalten fertig sein muss

Die DSGVO verlangt, dass Sie die Rechtmäßigkeit nachweisen können (Art. 5 Abs. 2). Bei einer Kameraanlage heißt das: Die Unterlagen liegen vor, bevor die erste Aufnahme entsteht. Die Übersicht trennt, was Sie als Betreiber verantworten und wozu der Errichter die technischen Angaben liefert.

Die Abwägung braucht Belege. Nach der DSK reichen subjektive Befürchtungen oder ein Gefühl der Unsicherheit nicht. Nötig sind Tatsachen, etwa frühere Vorfälle mit Datum, Art, Ort und Schadenshöhe, dazu etwaige Strafanzeigen. Allgemeine Statistiken genügen nicht. Nur ausnahmsweise reicht eine abstrakte Gefahr, etwa bei Juwelieren oder Tankstellen.

Die Folgenabschätzung hat eine Nebenwirkung. Ist die Anlage so angelegt, dass sie eine Datenschutz-Folgenabschätzung braucht, verlangt § 38 Abs. 1 Satz 2 BDSG einen Datenschutzbeauftragten. Das gilt unabhängig davon, wie viele Personen mit der Datenverarbeitung beschäftigt sind. Bund und Länder haben am 4. Dezember 2025 vereinbart, dass der Bund bis Ende 2026 eine Aufhebung von § 38 Abs. 1 BDSG einbringt (Quelle: Modernisierungsagenda, Maßnahme 160). Beschlossen ist das nicht. Bis dahin gilt die Regel.

Die Unterlagen sind keine einmalige Sache. Die DSK erwartet eine regelmäßige Prüfung, ob die Anlage noch nötig ist, mit schriftlichem Ergebnis. Fällt die Gefahrenlage weg, darf die Anlage nicht weiter betrieben werden, im Ganzen oder für einzelne Bereiche.

10. Was Aufsicht und Gerichte daraus machen

Wie die Aufsicht eine schlecht geplante Anlage bewertet, zeigt ein Fall aus Niedersachsen. Die Landesbeauftragte für den Datenschutz verhängte im Januar 2021 gegen einen Onlinehändler ein Bußgeld über 10,4 Millionen Euro. Die Kameras erfassten unter anderem Arbeitsplätze, Verkaufsräume, Lager und Aufenthaltsbereiche. Die Aufnahmen lagen in vielen Fällen 60 Tage. Die Behörde betonte, dass gegen Diebstahl zuerst mildere Mittel zu prüfen sind und ein Generalverdacht nicht genügt (Quelle: LfD Niedersachsen, Pressemitteilung vom 8. Januar 2021). Das Bußgeld war laut Mitteilung nicht rechtskräftig. Uns geht es hier um die Begründung, nicht um die Summe.

Den Rahmen setzt die DSGVO: bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Vor Gericht zählt eine andere Frage. Das Bundesarbeitsgericht entschied am 29. Juni 2023: Im Kündigungsschutzprozess besteht grundsätzlich kein Verwertungsverbot für Aufnahmen aus einer offenen Videoüberwachung, die vorsätzlich vertragswidriges Verhalten belegen sollen. Das gilt auch dann, wenn die Überwachung nicht vollständig datenschutzkonform war (Quelle: BAG, Pressemitteilung 31/23 zu 2 AZR 296/22). Das Urteil betrifft die Verwertung im Prozess. An den Pflichten beim Betrieb der Anlage ändert es nichts.

11. In sieben Schritten zur Anlage

01 — Zweck je Zone festlegen

Notieren Sie je Bereich, wovor die Kamera schützen soll, und sammeln Sie die Vorfälle, die das belegen.

02 — Mildere Mittel prüfen

Licht, Zutrittskontrolle, bessere Schlösser: Prüfen Sie Alternativen und halten Sie das Ergebnis fest.

03 — Betriebsrat früh einbinden

Legen Sie Zonen, Zeiten und Fristen vor der Bestellung vor, nicht nach der Montage.

04 — Begehung und Blickfelder

Wählen Sie Montagepunkte und Blickfelder so, dass Arbeitsplätze, Pausenbereiche und öffentlicher Raum nicht ins Bild kommen.

05 — Technik datenschutzfreundlich einstellen

Masken in der Kamera, Ton aus, Zoom aus, Zeitpläne, feste Fristen, eigene Konten, Protokoll, eigenes Netzsegment.

06 — Unterlagen und Schild fertigstellen

Alle Unterlagen aus Abschnitt 9 liegen vor, bevor die erste Aufnahme entsteht.

07 — Regelmäßig prüfen

Stimmt der Zweck noch, und passen Masken, Fristen und Rechte zur Dokumentation? Das Ergebnis halten Sie schriftlich fest.

12. Fazit: erst planen, dann bohren

Ob eine Videoüberwachung am Arbeitsplatz datenschutzkonform ist, entscheidet sich vor der Montage: beim Zweck, beim Bildausschnitt, bei der Speicherfrist und beim Zugriff. Die Rechtslage ist klarer, als die Debatte um § 26 BDSG vermuten lässt, und die DSK hat die Maßstäbe ausformuliert.

Unsere Rolle ist die technische Seite. Bei einer Begehung legen wir Kamerapositionen fest, richten Rekorder, Masken, Fristen und Zugriffe ein und liefern die technischen Angaben für Ihre Dokumentation mit. Die rechtliche Bewertung trifft Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung. Wie wir Anlagen planen und installieren, zeigt unsere Seite zur Videoüberwachung mit IP-Kameras: vor Ort in Hannover und der Region, die Konfiguration auch remote im DACH-Raum.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Ob eine konkrete Videoüberwachung zulässig ist, hängt von Zweck, Ort, Personenkreis und Technik im Einzelfall ab. Maßgeblich sind die Gesetze in ihrer jeweils gültigen Fassung und die Auslegung der für Sie zuständigen Aufsichtsbehörde. Stand der Recherche: 25. September 2026.

13. Häufige Fragen zur Videoüberwachung am Arbeitsplatz

Ist Videoüberwachung am Arbeitsplatz erlaubt?

Ja, aber nur für einen festgelegten Zweck wie Einbruch- oder Diebstahlschutz und nur, wenn die Interessen der Beschäftigten nicht überwiegen. Zur Kontrolle von Leistung oder Verhalten ist sie nach Auffassung der Aufsichtsbehörden unzulässig. Dauerhafte Arbeitsplätze filmen Sie grundsätzlich nicht, Umkleiden, Sanitär- und Pausenräume nie.

Brauche ich eine Einwilligung der Mitarbeiter?

Nein, und sie hilft meist auch nicht weiter. Die Datenschutzkonferenz hält eine Einwilligung von Beschäftigten in die eigene Videoüberwachung regelmäßig nicht für freiwillig, weil ein Abhängigkeitsverhältnis besteht. Tragen muss die Anlage deshalb eine andere Grundlage, in der Regel die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO, sauber dokumentiert.

Wie lange dürfen Videoaufnahmen gespeichert werden?

Nur so lange, wie der Zweck es erfordert. Die Datenschutzkonferenz hält 72 Stunden in der Regel für zulässig, weil sich Schäden meist in ein bis zwei Arbeitstagen feststellen lassen. Längere Fristen brauchen eine Begründung, etwa über Feiertage, und gelten nur für die betroffenen Kameras. Sequenzen zu einem Vorfall dürfen Sie gesondert sichern.

Muss der Betriebsrat zustimmen?

Ja, wenn es einen gibt. § 87 Abs. 1 Nr. 6 BetrVG gibt ihm ein Mitbestimmungsrecht bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können. Nach dem Bundesarbeitsgericht zählt die objektive Eignung, nicht Ihre Absicht. Ohne Einigung entscheidet die Einigungsstelle. Ohne Betriebsrat empfiehlt die Aufsicht eine datenschutzkonforme Dienstanweisung.

Darf die Kamera Ton aufzeichnen?

Nein. Wer das nichtöffentlich gesprochene Wort unbefugt aufnimmt, macht sich nach § 201 StGB strafbar; es drohen bis zu drei Jahre Freiheitsstrafe oder Geldstrafe. Die Datenschutzkonferenz verlangt, eine vorhandene Audiofunktion unumkehrbar abzuschalten. Wählen Sie deshalb möglichst Kameras ohne Mikrofon, und sperren Sie die Funktion sonst über die Rechteverwaltung.

Was muss auf dem Hinweisschild stehen?

Ein Kamerasymbol, Name und Kontaktdaten des Verantwortlichen, die Kontaktdaten des Datenschutzbeauftragten, falls einer benannt ist, Zweck und Rechtsgrundlage, das berechtigte Interesse, die Speicherdauer und ein Hinweis, wo die übrigen Pflichtinformationen stehen. Das Schild hängt vor dem überwachten Bereich auf Augenhöhe. Eine unzulässige Überwachung macht es nicht zulässig.

Brauche ich eine Datenschutz-Folgenabschätzung?

Oft ja. Die Datenschutzkonferenz sieht ein hohes Risiko unter anderem bei weiträumiger Überwachung öffentlich zugänglicher Flächen, bei biometrischen Verfahren und bei besonders schutzwürdigen Gruppen wie Beschäftigten. Auch Fernzugriff, Zoom und hohe Auflösung erhöhen das Risiko. Prüfen und dokumentieren Sie die Frage deshalb vor der Inbetriebnahme, nicht danach.

Welche Strafe droht bei unzulässiger Videoüberwachung?

Die DSGVO erlaubt Bußgelder bis 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Dazu können zivilrechtliche Ansprüche auf Unterlassung und Schadenersatz kommen. Tonaufnahmen können nach § 201 StGB strafbar sein, Aufnahmen aus dem höchstpersönlichen Lebensbereich einer Person nach § 201a StGB.

Quellen & offizielle Informationen

Alle Quellen wurden am 25. September 2026 abgerufen und inhaltlich gegengelesen. Externe Quellen öffnen in einem neuen Tab.

• Datenschutzkonferenz: Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen (PDF) — Stand 17. Juli 2020. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, § 4 BDSG nicht angewendet (Fußnote 8), Speicherdauer 72 Stunden (Kapitel 4.1), Tonaufzeichnung (4.2), Beschäftigte (5.1), Hinweisschild (3.3), technische Maßnahmen (3.5) und Checkliste.
• LfDI Baden-Württemberg: Rechtsgrundlagen bei Beschäftigtendaten — FAQ zum EuGH-Urteil vom 30. März 2023, C-34/21 — Einordnung des Urteils und seiner Folgen für § 26 BDSG durch eine Aufsichtsbehörde.
• Bundesverwaltungsgericht, Urteil vom 27. März 2019, 6 C 2.18 — Videoüberwachung privater Verantwortlicher richtet sich nach Art. 6 Abs. 1 lit. f DSGVO, nicht nach § 4 BDSG (Rn. 47, Leitsatz 5).
• § 4 BDSG — Videoüberwachung öffentlich zugänglicher Räume — Normtext.
• § 26 BDSG — Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses — Normtext, unverändert in Kraft.
• § 38 BDSG — Datenschutzbeauftragte nichtöffentlicher Stellen — Absatz 1 Satz 2 zur Benennungspflicht bei Folgenabschätzung.
• § 87 BetrVG — Mitbestimmungsrechte — Absatz 1 Nummer 6 zu technischen Überwachungseinrichtungen, Absatz 2 zur Einigungsstelle.
• § 201 StGB — Verletzung der Vertraulichkeit des Wortes — Strafrahmen für unbefugte Tonaufnahmen.
• BfDI: DSGVO – BDSG, Texte und Erläuterungen (PDF, Stand März 2026) — amtliche Textausgabe, hier für Art. 13 DSGVO zu den Informationspflichten.
• Europäischer Datenschutzausschuss: Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte (PDF) — Hinweisschild in zwei Ebenen, Speicherfristen mit Beispiel von 24 Stunden, Maskierung, Verschlüsselung und Auskunft mit Verpixelung Dritter.
• Bundesarbeitsgericht, Beschluss vom 13. Dezember 2016, 1 ABR 7/15 — „bestimmt" im Sinne von § 87 Abs. 1 Nr. 6 BetrVG heißt objektiv geeignet (Rn. 22).
• Bundesarbeitsgericht, Urteil vom 8. Mai 2025, 8 AZR 209/21 — mit Verweis auf das EuGH-Urteil vom 19. Dezember 2024, C-65/23, zu Betriebsvereinbarungen und DSGVO.
• Bundesarbeitsgericht, Pressemitteilung 31/23 zum Urteil vom 29. Juni 2023, 2 AZR 296/22 — Verwertung von Aufnahmen offener Videoüberwachung im Kündigungsschutzprozess.
• LfD Niedersachsen: Pressemitteilung vom 8. Januar 2021 — Bußgeld wegen Videoüberwachung von Beschäftigten, Begründung und Bußgeldrahmen der DSGVO.
• EU-Kommission, AI Act Service Desk: Artikel 5 KI-Verordnung — Verbot der Emotionserkennung am Arbeitsplatz (Absatz 1 Buchstabe f), anwendbar seit 2. Februar 2025.
• Beschluss von Bund und Ländern vom 4. Dezember 2025 zur Staatsmodernisierung (PDF) — Maßnahme 160 zur geplanten Aufhebung von § 38 Abs. 1 BDSG.