DSGVO-konforme Videoüberwachung im Betrieb: Was ist erlaubt?

Veröffentlicht am 9. Juli 2026 · von Ayberk Bulut

Nach einem Einbruch oder wiederholtem Diebstahl ist der Impuls verständlich: Kameras aufhängen, am besten überall. Doch genau hier wird es heikel — eine falsch installierte Videoüberwachung kann Bußgelder, Abmahnungen und Ärger mit Mitarbeitern nach sich ziehen, statt den Betrieb zu schützen. Die gute Nachricht: Videoüberwachung im Betrieb ist erlaubt, wenn ein paar klare Regeln eingehalten werden. Dieser Artikel gibt Ihnen den Überblick, was geht, was nicht geht und worauf es bei der Technik ankommt.

Vorab wichtig: Das ist keine Rechtsberatung

Ich bin IT-Dienstleister, kein Anwalt. Dieser Artikel fasst den allgemein bekannten Stand zur DSGVO-konformen Videoüberwachung zusammen, ersetzt aber keine rechtliche Beratung im Einzelfall. Ob Ihre konkrete Kamera-Konstellation zulässig ist, klären Sie im Zweifel mit Ihrem Datenschutzbeauftragten oder einem Anwalt — besonders wenn Mitarbeiterbereiche betroffen sind oder Ihr Betrieb Publikumsverkehr hat. Meine Rolle ist die technische Umsetzung: Kameras so ausrichten, konfigurieren und absichern, dass die rechtlichen Vorgaben technisch eingehalten und dokumentiert sind.

Was grundsätzlich erlaubt ist

Videoüberwachung braucht nach der DSGVO eine Rechtsgrundlage — im Betrieb ist das meist das „berechtigte Interesse" (Art. 6 Abs. 1 lit. f DSGVO): Sie dürfen überwachen, wenn Sie einen nachvollziehbaren Grund haben und keine mildere Lösung gleich gut wirkt. In der Praxis zulässig ist typischerweise:

• Das eigene Gelände und Gebäude: Eingänge, Fassade, Hof, Lager, Verkaufsraum — also Bereiche, die Ihnen gehören oder die Sie gemietet haben.
• Mit konkretem Zweck: Schutz vor Einbruch, Diebstahl, Vandalismus oder zur Beweissicherung an der Kasse. Der Zweck muss benannt und dokumentiert sein — „man weiß ja nie" reicht nicht.
• So wenig wie möglich: Nur die Bereiche erfassen, die für den Zweck nötig sind. Eine Kamera auf den Warenlagereingang: ja. Sechs Kameras, die lückenlos jeden Winkel filmen: schwer zu rechtfertigen.

Was nicht erlaubt ist

• Pausen- und Sozialräume: Küche, Aufenthaltsraum, Umkleiden und Sanitärbereiche sind tabu — hier überwiegt der Schutz der Privatsphäre immer.
• Dauerhafte Mitarbeiterüberwachung: Kameras, die permanent Arbeitsplätze filmen und damit Verhalten und Leistung der Beschäftigten kontrollierbar machen, sind unzulässig. Dass ein Mitarbeiter am Rand eines überwachten Bereichs gelegentlich ins Bild läuft, ist etwas anderes als eine Kamera, die auf den Schreibtisch zielt.
• Öffentlicher Raum: Gehweg, Straße und Nachbargrundstücke dürfen nicht miterfasst werden. Moderne Kameras lösen das technisch: Privatzonen-Masken schwärzen Bereiche im Bild dauerhaft, sodass nur die eigene Fläche aufgezeichnet wird.
• Heimliche Überwachung: Versteckte Kameras sind — von engen, rechtlich begleiteten Ausnahmefällen abgesehen — unzulässig. Videoüberwachung muss offen erfolgen.

Die Hinweisschild-Pflicht

Wer einen videoüberwachten Bereich betritt, muss das vorher erkennen können. Nötig ist ein gut sichtbares Schild vor dem Erfassungsbereich mit Kamerasymbol und den Pflichtinformationen: wer verantwortlich ist (Name, Kontakt), zu welchem Zweck überwacht wird, wie lange gespeichert wird und wo es weitere Informationen gibt (etwa ein Aushang oder eine Webadresse mit den vollständigen Datenschutzinformationen). Das kleine Aufkleber-Piktogramm allein genügt nicht. Für Mitarbeiter gilt zusätzlich: offen informieren, bevor die Anlage in Betrieb geht — und falls es einen Betriebsrat gibt, hat der mitzureden.

Speicherfristen: Faustregel 48 bis 72 Stunden

Die DSGVO nennt keine feste Frist, sondern einen Grundsatz: Aufnahmen dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Die Datenschutzbehörden haben daraus eine Praxislinie entwickelt: In der Regel sind 48 bis 72 Stunden angemessen — genug Zeit, um einen Einbruch am Wochenende am Montag zu bemerken und die Aufnahmen zu sichern. Längere Fristen brauchen eine besondere Begründung, etwa Betriebsferien. Nach einem konkreten Vorfall dürfen die relevanten Aufnahmen selbstverständlich für die Anzeige und Beweissicherung aufbewahrt werden. Technisch heißt das: Der Rekorder wird so konfiguriert, dass alte Aufnahmen automatisch überschrieben werden — das automatisiert die Löschfrist und niemand muss daran denken.

Die vergessene Baustelle: technische Absicherung der Anlage

Ein Punkt, der in der DSGVO-Diskussion oft untergeht, in meiner Praxis aber das häufigste reale Problem ist: die Sicherheit der Kameraanlage selbst. Eine Überwachungsanlage verarbeitet sensible Daten — und schlecht gesicherte Kameras sind ein Klassiker unter den gehackten Geräten. Im Netz existieren Suchmaschinen, die offen erreichbare Kameras weltweit auflisten; niemand möchte seinen Verkaufsraum dort wiederfinden. Das gehört zum Pflichtprogramm:

• Standardpasswörter ändern: Kameras und Rekorder kommen mit Werkspasswörtern wie „admin/admin" — die kennt jeder Angreifer. Jedes Gerät bekommt ein eigenes, starkes Passwort.
• Firmware aktuell halten: Kamera-Hersteller schließen regelmäßig Sicherheitslücken. Eine Anlage, die seit Jahren kein Update gesehen hat, ist ein offenes Tor.
• Kein offener Fernzugriff: Der bequeme Weg — Portfreigabe im Router, damit die Handy-App von überall funktioniert — stellt Ihre Kameras direkt ins Internet. Sicherer ist der Zugriff über ein VPN (eine verschlüsselte Verbindung ins Firmennetz) oder zumindest über die abgesicherten Cloud-Dienste der Markenhersteller.
• Kameras vom Firmennetz trennen: In einem eigenen Netzsegment (VLAN) können kompromittierte Kameras nicht auf Buchhaltung und Server zugreifen.
• Zugriff protokollieren und begrenzen: Nur wer die Aufnahmen dienstlich braucht, bekommt Zugang — mit eigenem Konto statt geteiltem Passwort.

Fazit

DSGVO-konforme Videoüberwachung im Betrieb ist kein Hexenwerk: eigenes Gelände, dokumentierter Zweck, keine Tabu-Zonen, sichtbare Hinweisschilder, kurze Speicherfristen mit automatischem Überschreiben — und eine Anlage, die technisch so abgesichert ist, dass die Aufnahmen nicht in falsche Hände geraten. Die rechtliche Bewertung Ihres Einzelfalls gehört zu Datenschutzbeauftragtem oder Anwalt; die saubere technische Umsetzung übernehme ich. Details dazu finden Sie auf meiner Seite zu Videoüberwachung in Göttingen.