Was KI gegenüber klassischer Videoüberwachung ändert
Eine Kamera, die nur aufzeichnet und erst nach einem Vorfall angesehen wird, verarbeitet wenig. Ein System, das jedes Bild auswertet, Personen und Fahrzeuge erkennt und Alarme sendet, verarbeitet deutlich mehr, und zwar ständig. Datenschutzrecht und Betriebsrat schauen genau auf diesen Unterschied.
Kommt zu vorhandenen Kameras eine KI-Auswertung hinzu, kann das deshalb ein neuer Zweck sein. Eine bestehende Bewertung, ein Hinweisschild oder eine Betriebsvereinbarung, die nur für die Aufzeichnung geschrieben wurde, muss meist angepasst werden, bevor die Auswertung startet.
Diese Seite ist eine allgemeine Information und keine Rechtsberatung. Die Bewertung für Ihren Standort liegt bei Ihren Datenschutzbeauftragten und, wo nötig, bei Ihrer Rechtsberatung.
DSGVO: Rechtsgrundlage und Zweck
Für Unternehmen stützt sich Videoüberwachung meist auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Schutz des Eigentums, Unfallverhütung, Aufklärung von Vorfällen. Dafür braucht es eine Interessenabwägung: Ihr Interesse gegen die Interessen der Menschen im Bild. Sie fällt zu Ihren Gunsten aus, wenn der Zweck klar ist, die Überwachung auf das beschränkt bleibt, was dieser Zweck braucht, und mildere Mittel nicht genauso gut wirken würden.
- Den Zweck je Kamera festlegen. „Sicherheit“ ist zu vage. „Eindringen in den Hof zwischen 20 und 6 Uhr erkennen“ ist ein Zweck, den Sie begründen können.
- Den Bildausschnitt begrenzen. Öffentliche Gehwege, Nachbargrundstücke und Bereiche außerhalb des Zwecks werden ausgeblendet.
- Nie in privaten Räumen. Toiletten, Umkleiden, Pausen- und Ruheräume sind tabu.
- Besondere Kategorien vermeiden. Gesichtserkennung verarbeitet biometrische Daten (Art. 9 DSGVO), die nur in engen Ausnahmen zulässig sind. Systeme, die Ereignisse erkennen, ohne Personen zu identifizieren, vermeiden das.
Für Beschäftigte kann eine Betriebsvereinbarung die Regeln für die Verarbeitung ihrer Daten festlegen (Art. 88 DSGVO). Sie ersetzt die Interessenabwägung nicht, macht Zwecke und Grenzen aber verbindlich.
Speicherfristen, Zugriff und Auftragsverarbeitung
- Kurze Speicherfristen. Europäische und deutsche Aufsichtsbehörden erwarten, dass Aufnahmen nach wenigen Tagen gelöscht werden, als Faustregel innerhalb von 72 Stunden, sofern kein Vorfall eine längere Speicherung rechtfertigt. Clips zu einem Vorfall dürfen so lange bleiben, wie der Vorfall es erfordert.
- Zugriff nach Rollen. Legen Sie fest, wer Livebilder sehen, wer suchen und wer Clips exportieren darf, und protokollieren Sie jeden Zugriff.
- AV-Vertrag. Ein Anbieter, der Video in Ihrem Auftrag verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit technischen und organisatorischen Maßnahmen.
- Speicherort. Verarbeitung in der EU, in Ihrer eigenen Cloud oder bei Ihnen vor Ort erspart die zusätzlichen Schritte bei Übermittlungen in Drittländer.
Hinweisschilder und Informationen
Menschen müssen wissen, dass sie gefilmt werden, bevor sie den Bereich betreten. Praktisch heißt das: ein Hinweisschild auf Augenhöhe vor dem Erfassungsbereich der Kamera mit den wichtigsten Angaben und eine zweite Ebene mit den vollständigen Informationen nach Art. 13 DSGVO, etwa auf Ihrer Website oder am Empfang. Wenn die Kameras mit KI ausgewertet werden, sagen Sie es.
Was auf das Schild gehört, steht in unserer Checkliste zum Hinweisschild.
Wann eine Datenschutz-Folgenabschätzung nötig ist
Eine Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt. Die DSGVO nennt die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, und die deutschen Aufsichtsbehörden führen weitere Fälle auf. Mit KI-Auswertung auf den Kameras planen Sie eine DSFA in jedem Fall ein: Nach diesem Dokument fragen Datenschutzbeauftragte und Betriebsrat, und es zwingt dazu, die Entscheidungen zu treffen, die das System begründbar machen.
Unsere Checkliste für DSFA und Betriebsvereinbarung zeigt, was hineingehört.
Der Betriebsrat: Mitbestimmung nach § 87 BetrVG
Der Betriebsrat hat bei technischen Einrichtungen mitzubestimmen, die dazu geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG). Die Rechtsprechung legt „geeignet“ weit aus: Es reicht, dass das System so genutzt werden könnte, egal was der Arbeitgeber beabsichtigt. Kameras auf dem Gelände fallen fast immer darunter, mit oder ohne KI.
- Den Betriebsrat früh einbinden. Der Arbeitgeber muss ihn rechtzeitig über geplante technische Anlagen unterrichten, ausdrücklich auch über KI (§ 90 BetrVG).
- Sachverständige. Bei der Einführung von KI kann der Betriebsrat externe Sachverständige hinzuziehen, und das Gesetz sieht das in diesem Fall als erforderlich an (§ 80 Abs. 3 BetrVG).
- Schriftliche Vereinbarung. Die Mitbestimmung wird über eine Betriebsvereinbarung ausgeübt. Ohne Einigung entscheidet die Einigungsstelle; ein Start ohne Vereinbarung ist keine Option.
- Bestehende Vereinbarungen. Eine Vereinbarung für reine Aufzeichnung deckt die KI-Auswertung meist nicht ab. Passen Sie sie an, bevor die Auswertung startet.
Der Betriebsrat wird wissen wollen, ob sich Beschäftigte mit dem System überwachen lassen. Die Antwort muss in der Konfiguration stehen, nicht nur in der Vereinbarung: Ereignisse statt Personen, keine Identifizierung, keine Verfolgung, keine Kennzahlen pro Beschäftigtem, kurze Speicherfristen.
Der EU AI Act: was verboten ist, was Hochrisiko ist und ab wann
Der EU AI Act regelt KI-Systeme nach Risiko. Für Videoanalyse sind diese Punkte wichtig:
| Funktion | Einstufung im AI Act | Seit bzw. ab |
|---|---|---|
| Emotionserkennung am Arbeitsplatz | Verboten | Februar 2025 |
| Biometrische Kategorisierung nach sensiblen Merkmalen; ungezieltes Auslesen von Gesichtsbildern | Verboten | Februar 2025 |
| Biometrische Fernidentifizierung (z. B. Gesichtserkennung von Personen im Bild) | Hochrisiko, strenge Pflichten | 2. Dezember 2027 |
| KI zur Überwachung und Bewertung von Leistung und Verhalten Beschäftigter | Hochrisiko, strenge Pflichten | 2. Dezember 2027 |
| Erkennung von Ereignissen, Objekten und Fahrzeugen ohne Identifizierung von Personen | An sich kein Hochrisiko; die DSGVO gilt | – |
| Jedes KI-System: Wer es nutzt, braucht ausreichende KI-Kompetenz (Art. 4) | Pflicht für Betreiber | Februar 2025 |
Die Hochrisiko-Fristen hat der Digital Omnibus verschoben: Die Pflichten für eigenständige Hochrisiko-Systeme, etwa in den Bereichen Biometrie und Beschäftigung, gelten jetzt ab dem 2. Dezember 2027. Ein System, das Feuer, Eindringen oder fehlende Schutzausrüstung erkennt und Ereignisse meldet, ohne Personen zu identifizieren oder Beschäftigte zu bewerten, bleibt außerhalb der verbotenen und der Hochrisiko-Gruppen, sofern es tatsächlich so genutzt wird. Deshalb zählen Zweck und Betriebsvereinbarung so viel wie die Technik.
So ist ProDataAI Lens auf diese Regeln eingerichtet
- Keine Gesichtserkennung, keine biometrische Identifizierung, keine Emotionserkennung, keine Leistungskontrolle von Beschäftigten.
- ProDataAI Lens meldet Ereignisse, verfolgt keine einzelnen Personen über Kameras hinweg und führt keine Kennzahlen pro Beschäftigtem. Die Suche lässt sich abschalten.
- Gespeichert werden nur Ereignisdaten (das Ereignis mit Foto und kurzem Clip), so lange Sie es festlegen. Vollständige Aufzeichnungen bleiben auf Ihrem eigenen Rekorder.
- Zugriff nach Rollen, jeder Zugriff protokolliert.
- Betrieb in einer EU-Cloud-Umgebung, in Ihrer eigenen Cloud oder bei Ihnen vor Ort.
- Ein Datenschutz- und Sicherheitspaket: AV-Vertrag (nach Ihrer Vorlage oder unserer), Vorlage für die Datenschutz-Folgenabschätzung, unsere technischen und organisatorischen Maßnahmen und eine Vorlage für die Betriebsvereinbarung.
Häufige Fragen
Ist KI-Videoüberwachung in Deutschland erlaubt?
Ja, mit klarem Zweck, einer Interessenabwägung zu Ihren Gunsten, begrenzten Bildausschnitten, kurzen Speicherfristen, klaren Hinweisschildern und, wo Beschäftigte erfasst werden und es einen Betriebsrat gibt, einer Betriebsvereinbarung. Die Grenze liegt bei Gesichtserkennung und Überwachung von Beschäftigten.
Brauchen wir eine neue Betriebsvereinbarung, wenn es schon eine für unsere Kameras gibt?
Meist ja, oder eine Ergänzung. Eine Vereinbarung für die Aufzeichnung deckt die systematische KI-Auswertung nicht ab, die ein neuer Zweck und eine neue Art der Verarbeitung ist.
Ist eine DSFA für KI-Videoanalyse Pflicht?
Häufig, und ratsam ist sie in jedem Fall. Die DSGVO verlangt sie bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche, und die deutschen Aufsichtsbehörden nennen weitere Fälle.
Ist ProDataAI Lens ein Hochrisiko-KI-System nach dem EU AI Act?
ProDataAI Lens erkennt Ereignisse, Objekte und Situationen und identifiziert keine Personen, erkennt keine Emotionen und bewertet keine Beschäftigten. Es ist also darauf ausgelegt, außerhalb der verbotenen und der Hochrisiko-Gruppen zu bleiben. Auch die Nutzung zählt, deshalb werden die Zwecke dokumentiert.
Wie lange dürfen wir Aufnahmen speichern?
Als Faustregel wenige Tage, oft 72 Stunden, sofern kein Vorfall eine längere Speicherung erfordert. Clips zu einem Vorfall dürfen so lange bleiben, wie der Vorfall es erfordert.