Datenschutz: Videoüberwachung bei KRITIS

Im Berichtszeitraum 2024 fragte eine Einrichtung der kritischen Infrastruktur im Sinne der BSI-Kritisverordnung (BSI-KritisV) beim Bayerischen Landesbeauftragten für den Datenschutz (BayLfD) an, welche Regelungen für die Videoüberwachung gelten würden und ob sich rechtliche Besonderheiten für die Videoüberwachung aus dieser Eigenschaft ergäben. Insbesondere bezog sich die Anfrage auf die Rechtsgrundlage der Videoüberwachung, die Prüfung der Gefahrensituation und die Verhältnismäßigkeit der Maßnahme. Die Einrichtung plante, einen Serverraum mit Videotechnik zu überwachen.

Was der BayLfD der Einrichtung der kritischen Infrastruktur geantwortet hat, stellt er in seinem unten vermerkten 34. Tätigkeitsbericht 2024 vom 28.10.2025 unter Nr. 4.8 im Einzelnen wie folgt dar:

1. Art. 24 BayDSG als Rechtsgrundlage für die Videoüberwachung

„Videoüberwachungen bayerischer öffentlicher Stellen müssen – soweit personenbezogene Daten verarbeitet werden – auf eine Rechtsgrundlage im Sinne von Art. 6 Abs. 1 Datenschutz-Grundverordnung (DSGVO) gestützt werden – unabhängig davon, ob es sich um eine kritische Infrastruktureinrichtung handelt oder nicht. Gem. Art. 6 Abs. 3 Satz 1 Buchst. b) DSGVO werden Rechtsgrundlagen für die Verarbeitungen gem. Art. 6 Abs. 1 UAbs. 1 Buchst. c) und e) DSGVO durch mitgliedstaatliches Recht festgelegt. Die Zulässigkeit einer Videoüberwachung zum Zweck der Eigensicherung durch eine bayerische öffentliche Stelle richtet sich nach Art. 24 Bayerisches Datenschutzgesetz (BayDSG).

Anders als von der anfragenden Einrichtung kritischer Infrastruktur erwogen, können das IT-Grundschutz-Kompendium und dazu veröffentlichte Checklisten des Bundesamts für Sicherheit in der Informationstechnik nicht die Rolle einer Rechtsgrundlage übernehmen. Diese Dokumente enthalten zwar hilfreiche technische und organisatorische Vorgaben, die auch bei der Planung und dem Betrieb einer Videoüberwachungsanlage von Nutzen sind. Sie haben aber nicht die Qualität mitgliedstaatlichen Rechts, die Art. 6 Abs. 3 Satz 1 Buchst. b) DSGVO grundsätzlich voraussetzt.“

2. Anforderungen an die Gefahrensituation

„Videoüberwachungen im Rahmen von Art. 24 BayDSG dienen der Gefahrenabwehr und verfolgen in erster Linie präventive Zwecke. Deshalb setzen sie das Vorliegen einer Gefahrensituation voraus. In meiner einschlägigen Orientierungshilfe^[1] habe ich dazu ausgeführt, dass eine Gefahrensituation im Einzelfall anhand einer Prognose festzustellen ist.“

2.1 Vorfallsdokumentation als Regelfall

„Zur Abgabe einer Gefahrenprognose ist die Erstellung einer Vorfallsdokumentation der Regelfall. Insoweit hat sich der Bayerische Verwaltungsgerichtshof meiner Ansicht angeschlossen.^[2] Hierfür werden in einer strukturierten Sammlung aus tatsächlichen Anhaltspunkten einzelne Begebenheiten und ihre Auswirkungen im Hinblick auf die gesetzlichen Schutzziele in einem bestimmten räumlichen Kontext aufgeführt, gegebenenfalls ergänzt um Nachweise wie Anzeigen, Beschwerden, Schadensmeldungen oder polizeiliche Ermittlungsberichte.

Videoüberwachungen gem. Art. 24 BayDSG können aber ausnahmsweise auch zulässig sein, wenn es in der Vergangenheit noch nicht zu einem Vorfall oder einer Schädigung kam. In derartigen Fällen muss die Gefahrensituation auf andere Weise dargelegt werden, soweit es sich nicht um einen Ort handelt, an dem Gefahren für die Rechtsgüter immanent sind.^[3]“

2.2 Gefahrimmanente Orte

„Soweit Gefahrensituationen bestimmten Orten immanent sein können, handelt es sich dabei um Orte mit einer atypischen ,Schadensneigung‘. Zu denken ist hier insbesondere an eine ortsgebundene sächliche Gefahrenquelle im Bereich einer öffentlichen Einrichtung, beispielsweise ein schlecht einsehbarer Abschnitt im Beckenbereich eines öffentlichen Schwimmbads. Eine solche Situation liegt an oder in einem Serverraum allerdings typischerweise nicht vor.“

2.3 Konkrete Bedrohungs- oder Gefährdungslage

„Eine Gefahrensituation kann auch auf andere Weise dargelegt werden, insbesondere bei einer atypischen Bedrohungs- oder Gefährdungslage im Einzelfall. Dies gilt namentlich dann, wenn ein außergewöhnlich gravierender Schaden zu besorgen ist, der sich nicht oder nur mit einem sehr großen Aufwand beheben lässt. Dann muss eine Schädigung nicht erst abgewartet werden, um einen Vorfall dokumentieren zu können. Ein Beispiel ist das Risiko, dass Personen mit Gewalt auf die Außenmauer einer Justizvollzugsanstalt einwirken, um einem Gefangenen die Möglichkeit zum Verlassen der Einrichtung zu eröffnen.

Eine Analyse und Bewertung der Gefahrensituation insbesondere in räumlicher und zeitlicher Hinsicht ist allerdings auch in solchen Fällen zwingend. Der Verantwortliche muss seine Rechenschaftspflicht für die Rechtmäßigkeit der Verarbeitung gem. Art. 5 Abs. 2, Abs. 1 Buchst. a) DSGVO erfüllen können. Die bloße Behauptung einer Gefahr oder eines allgemeinen Unsicherheitsgefühls reicht nicht aus. Die Eigenschaft einer öffentlichen Einrichtung als kritische Infrastruktur kann die Prüfung der Gefahrensituation zwar nicht ersetzen, aber bei deren Einschätzung als ,Begründungshilfe‘ herangezogen werden.

Um eine Gefahrenlage auch ohne Vorfallsdokumentation zu beschreiben, muss sie in vergleichbarer Art und Weise wie mit einer (ausreichenden) Vorfallsdokumentation eingegrenzt werden können. Das bedeutet, dass die Gefahr und die Modalitäten der gegenwärtigen und der erwarteten Situation (auch ohne vergangene Vorfälle) möglichst genau umrissen werden müssen. Gelingt dies nicht und wird nur ein diffuses Gefahrenszenario ohne tatsächliche Anhaltspunkte ,ins Blaue‘ behauptet (,es könnte irgendwas, irgendwann, irgendwo passieren‘), ist dies ein starkes Indiz dafür, dass eine für eine Videoüberwachung gem. Art. 24 Abs. 1 BayDSG erforderliche Gefahrensituation nicht vorliegt.

Zu beschreiben sind die derzeitige Situation und die Hintergründe, die zur Entwicklung der Gefahr geführt haben. Zu beschreiben ist insbesondere der prognostizierte Geschehensablauf nach Art der Angriffshandlung (etwa erwartete Körperverletzung, Einbruch und Diebstahl, Verschaffen eines unbemerkten Zugriffs usw.), der erwartete Verletzungserfolg bezüglich der Schutzziele gem. Art. 24 Abs. 1 Nr. 1 und Nr. 2 BayDSG, die erwartete Dauer und eine mögliche zeitliche Begrenzung der Gefahr (Tages- und/oder Nachtzeit, nur zu bestimmten Ereignissen oder Jahreszeiten), der Ort der Gefahr (möglichst genaue räumliche Eingrenzung), die Schwere (insbesondere Behebbarkeit) möglicher Folgen unter Berücksichtigung von Fernwirkungen, ferner ihre Dauer (einmalig, wiederkehrend, gegebenenfalls dauerhaft). Einzuschätzen ist zudem die Eintrittswahrscheinlichkeit dieser Folgen.

Zur Beschreibung der Gefahrensituation können auch vergleichbare Bezugsfälle herangezogen werden. Dazu müssen aber die Gefahrensituationen tatsächlich vergleichbar und übertragbar sein. So wird etwa die Gefahr einer Gefangenenbefreiung vergleichbar in verschiedenen anderen Justizvollzugsanstalten bestehen, weil bereits der Aufenthalt von Strafgefangenen risikoerhöhend wirkt. Ein Einbruch in eine andere öffentliche Stelle kann aber nicht ohne weiteres deshalb angenommen werden, weil es in einem beliebigen anderen Gebäude schon einmal zu einem Einbruch gekommen ist.

Die bloße Behauptung einer Gefährdungslage ersetzt nicht ihr tatsächliches Vorliegen. Vielmehr sind weitere Gefahrermittlungen erforderlich. Soll eine Gefährdung mit vergleichbaren Vorfällen bei anderen Stellen begründet werden, bedarf es auch hierzu regelmäßig einer Dokumentation der Fremdvorfälle und einer Prüfung, welche die Vergleichbarkeit der Risiken in den Blick nimmt.

Bei der Bestimmung und Eingrenzung der Gefahrensituation ist entsprechend meiner Orientierungshilfe^[4] zu beachten, dass das gefährdete Rechtsgut und das Ausmaß des drohenden Schadens mit dem zu fordernden Wahrscheinlichkeitsgrad in Beziehung stehen.

Bei der Beurteilung der Gefahrensituation kann es eine Rolle spielen, dass der zu überwachende Bereich zu einer Einrichtung gehört, die kritische Dienstleistungen im Sinne der BSI-KritisV erbringt. Bei kritischen Dienstleistungen ist gem. § 1 Abs. 1 Nr. 3 BSI-KritisV zu beachten, dass deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder zu Gefährdungen der öffentlichen Sicherheit führen würde. Der Gesetzgeber betont die Bedeutung von kritischer Infrastruktur für das Funktionieren des Gemeinwesens und erkennt ein besonderes Gefährdungspotential.

Soweit sich die Videoüberwachung im konkreten Fall auf Serverräume der Einrichtung kritischer Infrastruktur bezog, müsste der datenschutzrechtlich Verantwortliche im Einzelfall die oben dargestellten Aspekte prüfen. Das Risiko eines Hackerangriffs über das Internet könnte beispielsweise nicht mittels Videoüberwachung gemindert werden, sodass sich die Frage nach einer alternativen Angriffsart stellt. Die Gefahrensituation ist dabei mit Blick auf den Verarbeitungszweck der Videoüberwachung als verhaltenslenkende, risikomindernde, präventive Maßnahme zu prüfen.

Im Hinblick auf die Schadensfolgen können bei kritischen Infrastruktureinrichtungen Besonderheiten zu berücksichtigen sein, wobei das Ausmaß des potentiellen Schadens im Falle einer Schädigung ebenfalls möglichst genau beschrieben werden muss. Könnte ein gezielter Angriff auf Server der Einrichtung etwa zu einem dauerhaften Systemausfall führen, hätte dies mitunter erhebliche Schadensfolgen für Dritte, die über den örtlichen Schaden bei der Einrichtung selbst hinausgingen. Überdies könnten im Schadensfall auch andere Rechtsgüter als die öffentliche Einrichtung selbst betroffen sein.

Erhebliche Schadensfolgen und die gefährdeten, sensiblen Datensätze als Teil der öffentlichen Einrichtung im Sinne von Art. 24 Abs. 1 Nr. 2 BayDSG könnten gegebenenfalls eine geringe Eintrittswahrscheinlichkeit ausgleichen. Vor diesem Hintergrund wäre zu prüfen, ob auch bei niedriger Eintrittswahrscheinlichkeit von einer Gefahrensituation ausgegangen werden kann, die eine Videoüberwachung gem. Art. 24 Abs. 1 BayDSG legitimiert.“

(…)

34. Tätigkeitsbericht des Bayerischen Landesbeauftragten für den Datenschutz vom 28.10.2025

Den vollständigen Beitrag lesen Sie in der Fundstelle Bayern 12/2026, Rn. 128.

^[1] Vgl. Bayerischer Landesbeauftragter für den Datenschutz, Videoüberwachung durch bayerische öffentliche Stellen, Orientierungshilfe, Stand 2/2020, Rn. 46, Internet: https://www.datenschutz-bayern.de, Rubrik „Infothek“.

^[2] Vgl. Bayerischer Verwaltungsgerichtshof, U.v. 30.05.2023, 5 BV 20.2104, BeckRS 2023, 12517, Rn. 45.

^[3] Vgl. Bayerischer Verwaltungsgerichtshof, a.a.O., Rn. 46.

^[4] Vgl. Bayerischer Landesbeauftragter für den Datenschutz, Videoüberwachung durch bayerische öffentliche Stellen (Fn. 1), Rn. 48.