Das Bundesverwaltungsgericht hat sich grundlegend zur Frage der rechtlichen Zulässigkeit von privater Videoüberwachung nach dem Inkrafttreten der DSGVO geäußert (BVerwG, Urt. v. 27.03.2019 - Az.: 6 C 2.18). Danach ist der Einsatz von Videoüberwachung durch private Unternehmen ausschließlich nach Art. 6 Abs.1 f) DSGVO zu beurteilen. Auf die Vorschrift des § 4 Abs.1 BDSG n.F. kann nicht zurückgegriffen werden.
Es ging bei der Auseinandersetzung um eine behördliche Maßnahme der Datenschutzbehörde gegen eine Zahnärztin, die in ihren Praxisräumen eine private Videoüberwachung betrieb.
Die Klägerin, eine Ärztin, wehrte sich gegen eine datenschutzrechtliche Anordnung zur Videoüberwachung in ihrer Praxis. Ihr Unternehmen befand sich in einem Gebäude, in dem mehrere Arztpraxen und eine Tagesklinik für Psychiatrie untergebracht waren. Die Eingangstür der Praxis war während der Öffnungszeiten nicht verschlossen, der Empfangstresen war nicht besetzt. Oberhalb des Tresens befand sich eine Digitalkamera, die laufende Bilder in Echtzeit herstellte. Die Bilder konnten auf Monitoren angesehen werden, die die Klägerin in den Behandlungszimmern aufgestellt hatte. Die Klägerin speicherte diese Bildaufnahmen nicht. Durch die Kamera wurden der Bereich hinter dem Empfangstresen sowie diejenigen Bereiche überwacht, in denen sich Besucher nach dem ungehinderten Betreten der Praxis aufhielten. An der Außenseite der Eingangstür und am Tresen hatte die Klägerin jeweils ein Schild mit der Aufschrift "Videogesichert" angebracht.
Die beklagte Landesdatenschutzbeauftragte gab der Klägerin im Jahr 2012 neben anderen Anordnungen auf, die Kamera so auszurichten, dass die Bereiche, die Besuchern offenstehen, während der Öffnungszeiten der Praxis nicht mehr erfasst wurden. Gegen diese Auflage wehrte sich die Medizinerin.
Das BVerwG stufte die Klage als unbegründet ein.
Die Klägerin habe keinen besonderen Grund für den Einsatz der Videoüberwachung vorbringen können. Der allgemeine Umstand, dass in der Praxis Betäubungsmittel und Wertsachen aufbewahrt würden, sei für sich genommen nicht geeignet, eine besondere Gefährdung in Bezug auf Diebstähle während der Öffnungszeiten zu begründen. Betäubungsmitteln und Wertsachen, die sich nach dem Vortrag der Klägerin im Bereich des unbesetzten Empfangstresens befinden würden, könnte die Klägerin zudem dadurch verhindern, dass sie sie an verschließbaren Schränken oder in anderen Bereichen der Praxis aufbewahre.
Dass es in der Vergangenheit zu konkreten Diebstählen oder sonstigen Straftaten gekommen sei, habe die Klägerin nicht vorgetragen.
Die Verarbeitung könne auch nicht auf den Sonderfall des Art. 6 Abs.1 e) DSGVO gestützt werden, da diese Norm nur der öffentlichen Gewalt zustehe, nicht jedoch aber Privatunternehmen:
"Dementsprechend erfasst Art. 6 Abs.1 e) DSGVO Datenverarbeitungen durch Behörden, die diese in Erfüllung ihrer Aufgaben vornehmen. Privatpersonen können sich darauf nur berufen, wenn ihnen die Befugnis, auf personenbezogene Daten zuzugreifen, im öffentlichen Interesse oder als Ausübung öffentlicher Gewalt übertragen ist. Sie müssen anstelle einer Behörde tätig werden. Dies setzt einen wie auch immer gestalteten staatlichen Übertragungsakt voraus.
Eine Privatperson kann sich nicht selbst zum Sachwalter des öffentlichen Interesses erklären. Insbesondere ist sie nicht neben oder gar anstelle der Ordnungsbehörden zum Schutz der öffentlichen Sicherheit berufen. Beim Schutz individueller Rechtsgüter, seien es ihre eigenen oder diejenigen Dritter, verfolgt sie keine öffentlichen, sondern private Interesse.
Daraus folgt, dass die Öffnungsklauseln des Art. 6 Abs. 2 und 3 DSGVO für Verarbeitungen nach Art. 6 Abs.1 e) DSGVO Videoüberwachungen privater Verantwortlicher nicht erfassen. Aufgrund dessen ist kein Raum für eine künftige Anwendung des § 4 Abs. 1 S.1 BDSG n.F.
Diese sind an Art. 6 Abs.1 f) DSGVO zu messen. Danach muss die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Das zweistufige Prüfprogramm dieser Bestimmung entspricht demjenigen des § 6b Abs. 1 BDSG a.F. Die Verarbeitung ist erforderlich, wenn der Verantwortliche zur Wahrung berechtigter, d.h. schutzwürdiger und objektiv begründbarer Interessen darauf angewiesen ist.
Eine nach diesem Maßstab erforderliche Verarbeitung ist zulässig, wenn die Abwägung in dem jeweiligen Einzelfall ergibt, dass berechtigte Interessen des Verantwortlichen höher zu veranschlagen sind als das informationelle Selbstbestimmungsrecht der Betroffenen. Hierfür ist nach Erwägungsgrund 47 zur Datenschutz-Grundverordnung unter anderem bedeutsam, ob die Datenverarbeitung für die Verhinderung von Straftaten unbedingt erforderlich ist, ob sie absehbar, d.h. branchenüblich ist, oder ob die Betroffenen in der konkreten Situation vernünftigerweise damit rechnen müssen, dass ihre Daten verarbeitet werden."