19.10.2026

Videoüberwachung im Testbetrieb

Italienische Aufsicht: Auch ein Kameratest braucht Rechtsgrundlage und Information

Die italienische Datenschutzbehörde Garante per la protezione dei dati personali hat das Istituto Nazionale di Ricerca Metrologica, kurz INRIM, mit einem Bußgeld von 10.000 Euro wegen einer unzulässigen Videoüberwachung belegt. Das staatliche Forschungsinstitut hatte an seinem Standort in Turin eine neue Videoanlage eingeschaltet, um sie zu testen. Die Beschäftigten wussten davon nichts. Mit der Entscheidung vom 3. September 2026 stellt der Garante klar: Auch ein Probebetrieb ohne Aufzeichnung ist eine Verarbeitung personenbezogener Daten. Für ihn gelten dieselben Regeln wie für den Regelbetrieb.

Zwei Beschwerden aus der Belegschaft

Ausgelöst wurde das Verfahren durch zwei Beschäftigte des Instituts. Sie reichten nach Art. 77 DS-GVO Beschwerde ein. Ihr Vorwurf: Das Institut habe die Kameras ohne ausreichende Information eingeschaltet, Bereiche gefilmt, die in der Vereinbarung mit der Arbeitnehmervertretung nicht vorgesehen waren, und die Kontrollmonitore an Orten aufgestellt, die auch Unbefugte einsehen können.

Vereinbart waren 10 Kameras, installiert wurden 18

Am 16. Mai 2025 hatte das INRIM mit den Gewerkschaftsvertretungen eine Vereinbarung über eine Videoüberwachung des Geländes geschlossen. Grundlage war Art. 4 des italienischen Arbeitnehmerstatuts. Diese Vorschrift erlaubt Anlagen, mit denen Beschäftigte aus der Ferne kontrolliert werden könnten, nur für bestimmte Zwecke und nur nach einer Vereinbarung mit der Arbeitnehmervertretung oder einer Genehmigung der Arbeitsinspektion. Zweck der Anlage in Turin war der Schutz des Betriebsvermögens. Die Kameras sollten ausschließlich Mauern und Zäune am Rand des Geländes erfassen. Ein Lageplan legte 10 Kameras fest.

Bei der Installation zwischen Mai und Oktober 2025 stellte sich heraus, dass 10 Kameras das Gelände nicht vollständig abdecken. Das Institut ließ deshalb 18 Kameras montieren und veränderte Standorte und Aufnahmebereiche. Die Vereinbarung erlaubte zwar technische Verbesserungen ohne neue Abstimmung, aber nur, solange die festgelegten Aufnahmebereiche gleich bleiben. Genau das war hier nicht der Fall.

Der Testbetrieb im Ablauf

Am 31. Oktober 2025, einem Arbeitstag, schaltete das Institut die Anlage im Testmodus ein. Die Bilder liefen nur live auf die Monitore, gespeichert wurde nichts. Vom 3. bis 5. November war die Anlage an Arbeitstagen jeweils einige Stunden in Betrieb, weil die beauftragte Firma Kameras und Monitore einstellte. Ab dem 6. November lief die Anlage nur noch nachts zwischen 20:30 und 7:30 Uhr sowie an Wochenenden und Feiertagen. Aufgezeichnet wurde in dieser Phase nur, wenn eine Lichtschranke Alarm auslöste. Am 14. November bat die Generaldirektion die Arbeitnehmervertretung um ein Treffen, um die zusätzlichen Kameras zu erläutern.

Das Institut argumentierte, die Anlage sei nie für die vereinbarten Überwachungszwecke in Betrieb gegangen. Es habe nur die technische Funktion geprüft. Die Kameras seien nie zur Kontrolle der Beschäftigten oder für disziplinarische Zwecke genutzt worden. Das INRIM räumte ein, die Rechtslage für die Testphase falsch eingeschätzt zu haben.

Keine Rechtsgrundlage für die geänderte Anlage

Der Garante sieht das anders. Nach italienischem Recht ist die Einhaltung von Art. 4 des Arbeitnehmerstatuts eine Bedingung dafür, dass Videoüberwachung am Arbeitsplatz überhaupt rechtmäßig ist. Die Vorschrift ist eine spezifischere Regel im Sinne von Art. 88 DS-GVO. Die Behörde verweist dazu auf die Leitlinien 3/2019 des Europäischen Datenschutzausschusses zur Videoüberwachung und auf die Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte im Fall Antović und Mirković gegen Montenegro. Danach schützt das Recht auf Privatleben auch am Arbeitsplatz.

Das INRIM hat die Anlage an vier Arbeitstagen in einer Form betrieben, die von der Vereinbarung abwich. Dass nur getestet und nichts gespeichert wurde, ändert daran nichts. Die Livebilder haben Beschäftigte und Besucher erfasst. Der Garante sieht deshalb Verstöße gegen Art. 5 Abs. 1 lit. a DS-GVO, Art. 6 Abs. 1 lit. c, Abs. 2 und 3 DS-GVO und Art. 88 Abs. 1 DS-GVO sowie gegen die italienischen Vorschriften in Art. 2-ter und Art. 114 des Datenschutzkodex.

Den Vorwurf zu den Monitoren wies der Garante zurück. Sie stehen in der Pförtnerloge. Dort arbeitet tagsüber nur das Pförtnerpersonal und nachts der Wachdienst. Das Institut hat zugesagt, einige Glasflächen der Loge vor dem Regelbetrieb abzudunkeln.

Beschäftigte und Besucher wurden nicht informiert

Den Beschäftigten hatte das INRIM keine Datenschutzinformation zur Videoanlage gegeben. Es wollte damit warten, bis die technischen Details mit der Arbeitnehmervertretung geklärt sind. Der Garante hält das für falsch. Die Information muss vorliegen, bevor die Anlage zum ersten Mal Daten verarbeitet. Ob sie zum Testen oder für den Regelbetrieb eingeschaltet wird, spielt keine Rolle. Das Institut hat damit gegen Art. 5 Abs. 1 lit. a DS-GVO, Art. 12 Abs. 1 DS-GVO und Art. 13 DS-GVO verstoßen.

Auch Besucher wurden nicht korrekt informiert. Hinweisschilder hängte das Institut erst am 17. November 2025 auf, also nach den Testtagen. Eine ausführliche Datenschutzinformation, die nach den Leitlinien des Europäischen Datenschutzausschusses als zweite Informationsebene zum Schild gehört, gab es gar nicht. Das Schild selbst war nach Ansicht des Garante mangelhaft. Als Verantwortlicher stand dort nur das Kürzel INRIM ohne Kontaktdaten. Als Zweck war „Sicherheit“ angegeben, obwohl es um den Schutz des Betriebsvermögens ging. Das hält die Behörde für irreführend. Hinweise auf die Rechte der Betroffenen und auf die Speicherdauer fehlten. Der QR-Code auf dem Schild war nicht erklärt, sodass niemand wusste, dass er zur vollständigen Information führen soll.

Datenschutz-Folgenabschätzung kam zu spät

Eine Datenschutz-Folgenabschätzung hatte das INRIM auf später verschoben. Sie sollte erst erstellt werden, wenn die Anlage technisch und organisatorisch feststeht. Der Garante verlangt sie aber vor Beginn der Verarbeitung. Beschäftigte gelten nach den Leitlinien der Artikel-29-Datenschutzgruppe zur Folgenabschätzung als schutzbedürftige Personen. Videoüberwachung am Arbeitsplatz ist eine systematische Überwachung. Beides zusammen löst die Pflicht nach Art. 35 DS-GVO aus. Der Garante verweist auf mehrere eigene Entscheidungen aus den Jahren 2023 bis 2026, in denen er fehlende Folgenabschätzungen bei Videoüberwachung am Arbeitsplatz bereits beanstandet hat.

Wie die Behörde das Bußgeld bemessen hat

Alle Verstöße gehen auf dasselbe Verhalten zurück. Deshalb gilt nach Art. 83 Abs. 3 DS-GVO der Rahmen für den schwersten Verstoß. Das sind bis zu 20 Millionen Euro. Der Garante stuft die Schwere als gering ein. Die Kameras liefen nur zu Testzwecken und nur einige Stunden an vier Arbeitstagen. Das Institut handelte fahrlässig. Besondere Kategorien personenbezogener Daten waren nicht betroffen. Zugunsten des INRIM wertete die Behörde die gute Zusammenarbeit im Verfahren und das Fehlen früherer Verstöße. Am Ende standen 10.000 Euro.

Weitere Anordnungen hielt der Garante nicht für nötig, weil der Verstoß abgeschlossen ist. Das Institut kann die Sache beenden, wenn es innerhalb von 30 Tagen die Hälfte des Bußgelds zahlt. Die Entscheidung wird veröffentlicht. Die Behörde begründet das damit, dass Beschäftigte betroffen sind, die im Arbeitsverhältnis besonders schutzbedürftig sind und über die Verarbeitung nicht informiert wurden. Gegen die Entscheidung ist innerhalb von 30 Tagen nach Zustellung eine Klage vor den ordentlichen Gerichten möglich.

Unsere Empfehlungen

Der Fall spielt in Italien, aber die Pflichten aus der DS-GVO gelten in Deutschland genauso. Auch hier ist ein Testlauf einer Kamera eine Verarbeitung personenbezogener Daten, sobald Menschen im Bild sind. Ob gespeichert wird, ist dafür egal.

Unternehmen und KMU

In Betrieben mit Betriebsrat ist Videoüberwachung nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Eine Betriebsvereinbarung sollte Zahl, Standort und Blickwinkel jeder Kamera festlegen. Wer später mehr Kameras braucht oder Standorte ändert, muss die Vereinbarung vorher anpassen und nicht erst danach erklären. Datenschutzinformation, Hinweisschilder und Datenschutz-Folgenabschätzung gehören vor den ersten Testlauf. Das gilt auch dann, wenn die Errichterfirma Kameras nur einstellen will. Am besten legen Unternehmen Testläufe in Zeiten, in denen niemand im Bild ist, oder sie sperren die betroffenen Bereiche vorübergehend ab.

Behörden und öffentliche Stellen

Das INRIM ist eine öffentliche Einrichtung. Der Garante hat das Bußgeld trotzdem verhängt. In Deutschland ist das anders geregelt, weil Bußgelder gegen Behörden und öffentliche Stellen nach Bundes- und Landesrecht weitgehend ausgeschlossen sind. Die Pflichten aus der DS-GVO gelten aber unverändert, und die Aufsicht kann Verarbeitungen untersagen. Öffentliche Stellen sollten die Mitbestimmung des Personalrats vor der Installation abschließen und den abgestimmten Lageplan als verbindlich behandeln. Bei Hinweisschildern lohnt ein genauer Blick. Der vollständige Name des Verantwortlichen mit Kontaktdaten, der konkrete Zweck, die Speicherdauer, der Hinweis auf Betroffenenrechte und ein erklärter Verweis auf die ausführliche Information gehören auf das Schild.

Gesundheitseinrichtungen

In Kliniken und Praxen erfassen Kameras oft Beschäftigte, Patienten und Besucher zugleich. In Wartebereichen oder Fluren können dabei auch Rückschlüsse auf Gesundheitsdaten entstehen. Das erhöht das Risiko und damit den Prüfaufwand in der Datenschutz-Folgenabschätzung. Monitore gehören in Räume, die nur berechtigtes Personal betreten und einsehen kann. Wenn Glasflächen den Blick auf die Bildschirme freigeben, sollte das vor dem ersten Einschalten behoben sein. Auch hier gilt: erst informieren und dokumentieren, dann testen.

Quelle: Garante per la protezione dei dati personali, Entscheidung vom 3. September 2026, doc. web n. 10297167

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks