Auch wenn die von einem Unternehmen vorgenommene Video-Überwachung datenschutzwidrig ist, ist die zuständige Datenschutzbehörde nicht befugt, den Abbau der betreffenden Kamera anzuordnen. Vielmehr ist sie nur berechtigt, die weitere Datenverarbeitung zu untersagen (VG Mainz, Urt. v. 24.09.2020 - Az.: 1 K 584/19 MZ).
Ein Unternehmer hatte mehrere Videokameras aufgestellt, um seine wertvollen Reklametafel (Wert: ca. 200.000,- EUR) zu schützen. Der Datenschutzbeauftragte von Rheinland-Pfalz stufte dies als DSGVO-Verletzung ein, untersagte den weiteren Betrieb und ordnete u.a. auch den Abbau der Kameras an.
Das zuständige Gericht bestätigte zwar im Grundsatz die Auffassung der Datenschutzbehörde, wich aber in Details von der amtlichen Einschätzung ab.
So sieht das VG Mainz in der DSGVO keine ausreichende Ermächtigungsgrundlage, um den Abbau der Kameras anzuordnen. Die Behörde sei vielmehr nur berechtigt, die weitere Datenverarbeitung zu untersagen:
"Allerdings ist die Anweisung des Beklagten, dass Kamera 1 abgebaut werden muss, rechtswidrig. Insofern fehlt es bereits an einer Ermächtigungsgrundlage.
Art. 58 Abs. 2 Buchst. f DSGVO erlaubt der Aufsichtsbehörde, eine Datenverarbeitung vorübergehend oder endgültig zu beschränken oder sogar zu verbieten. Von dieser Rechtsgrundlage ist jedoch die Anordnung der Demontage der Verarbeitungsanlage nicht mitumfasst. Das Verbot der Datenverarbeitung bezieht sich auf eine bestimmte Handlung, nicht aber das Vorhandensein einer – ausgeschalteten – Datenverarbeitungsanlage (...).
Zwar ist es für die Kammer nachvollziehbar, dass der Beklagte ohne einen Abbau von Kamera 1 nur in beschränktem Maße überprüfen kann, ob die Kamera tatsächlich ausgeschaltet ist, und dadurch Schwierigkeiten für eine effektive Rechtsdurchsetzung entstehen können. Insofern ist es jedoch Aufgabe des (deutschen) Gesetzgebers, die Aufsichtsbehörde gemäß Art. 58 Abs. 6 Satz 1 DSGVO durch Rechtsvorschriften mit zusätzlichen Befugnissen auszustatten (...).
Unabhängig davon werden von einer ausgeschalteten Kamera keine personenbezogenen Daten verarbeitet, sodass der Anwendungsbereich der Datenschutzgrundverordnung nicht eröffnet ist und auch keine Verstöße gegen Datenschutzrecht beanstandet werden können. Sofern eine vorhandene, aber ausgeschaltete Kamera auf Dritte einen Überwachungsdruck bewirkt, sind sie zur Wahrung ihrer Persönlichkeitsrechte auf den Zivilrechtsweg zu verweisen (...)."
Ebenso interessant sind die Ausführungen des Gerichts zu der Frage, ob die Aufnahme von Personen grundsätzlich dazu führt, dass automatisch besondere Kategorien von personenbezogenen Daten nach Art. 9 DSGVO verarbeitet werden.
Dies verneint das Gericht. Notwendig für die Anwendung von Art. 9 DSGVO sei ein entsprechender Auswertungswille der verarbeitenden Stelle:
"Die gesteigerten Anforderungen, die gemäß Art. 9 DSGVO an die Verarbeitung besonderer Kategorien personenbezogener Daten gestellt werden, mussten im vorliegenden Fall nicht eingehalten werden. (...)
Zwar ist es bei einer personengenauen Auflösung der Kameraaufnahmen grundsätzlich möglich, dass besondere Kategorien personenbezogener Daten erfasst werden. Schließlich lassen sich durch das äußere Erscheinungsbild der gefilmten Personen möglicherweise ihre rassische und ethnische Herkunft (Hautfarbe, Haare), ihre politische Meinung (z.B. „Palästinensertuch“), ihre religiöse oder weltanschauliche Überzeugung (z.B. religiöse Kleidungsstücke wie Kopftuch oder Kippa), Gesundheitsdaten (z.B. Brille, Rollstuhl) oder die sexuelle Orientierung (z.B. homosexuelles Paar) erkennen.
Allerdings geht es dem Kläger nicht darum, genau diese personenbezogenen Daten besonderer Kategorien zu erfassen. Der Kläger beabsichtigt mit der Videoüberwachung Strafprävention und Strafverfolgung. Bei der Überwachung erhält er einen Mischdatensatz aus besonders sensiblen und nicht-sensiblen Daten, wobei er keine Auswertungsabsicht in Bezug auf die sensiblen Daten hat. Ohne das Vorliegen einer solchen Auswertungsabsicht bestehen für die betroffenen Personen keine besonderen Risiken, sodass der Anwendungsbereich des Art. 9 Abs. 1 DSGVO nicht eröffnet ist (...)."