Videoüberwachung im Betrieb: die Rechtslage in Österreich

Eine Kamera über der Eingangstür ist schnell montiert. Ob sie dort auch rechtskonform hängt, ist eine andere Frage. Wer als Unternehmer in Österreich Videoüberwachung einsetzt, bewegt sich zwischen berechtigtem Sicherheitsinteresse und dem Datenschutzrecht der Personen, die vor der Kamera vorbeikommen. Das betrifft Kunden am Eingang genauso wie Lieferanten am Hoftor und die eigenen Mitarbeiter, die täglich im Sichtfeld stehen.

Die Rechtslage ist dabei keine Grauzone, aber sie hat mehr Nuancen, als ein einzelnes Hinweisschild vermuten lässt. Dieser Beitrag zeigt dir, worauf es bei Rechtsgrundlage, Kennzeichnung, verbotenen Bereichen und Speicherdauer ankommt, ohne dich mit Paragraphen zu überfordern.

Wann Videoüberwachung im Betrieb erlaubt ist

Videoüberwachung ist in Österreich kein Sonderfall, sondern unterliegt den allgemeinen Regeln der DSGVO. Als Rechtsgrundlage kommt in der Praxis fast immer das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO infrage, also der Schutz von Eigentum, Personen oder Betriebsabläufen. Ein Juwelier mit erhöhtem Diebstahlrisiko hat ein stärkeres Argument als ein Bürobetrieb ohne Publikumsverkehr, aber auch letzterer kann Kameras am Eingang oder im Lager rechtfertigen, wenn es dafür einen nachvollziehbaren Grund gibt. Entscheidend ist die Verhältnismäßigkeit: Die Kamera darf nur das erfassen, was für den Zweck tatsächlich nötig ist, und es darf kein milderes Mittel geben, das denselben Effekt erzielt. Ein zusätzliches Schloss oder besseres Licht am Lagereingang kann unter Umständen ausreichen, ohne dass es eine Kamera braucht. Wenn Mitarbeiter im Sichtfeld der Kamera arbeiten, kommt eine weitere Ebene dazu: Nach dem Arbeitsverfassungsgesetz braucht es dafür entweder eine Betriebsvereinbarung mit dem Betriebsrat oder, wenn es keinen gibt, eine Einzelvereinbarung mit den betroffenen Mitarbeitern. Das gilt selbst dann, wenn die eigentliche Überwachungsabsicht dem Eingangsbereich oder der Kassa gilt und die Mitarbeiter nur zufällig mit im Bild sind.

Ein typisches Beispiel aus der Praxis: Ein Handelsbetrieb mit Kundenverkehr will Diebstahl an der Kassa vorbeugen. Eine Kamera, die Kassenbereich und Eingang zeigt, lässt sich mit berechtigtem Interesse gut begründen, solange sie nicht dauerhaft nur auf den Arbeitsplatz einer einzelnen Kassiererin gerichtet ist. Genau an diesem Punkt kippt es oft von zulässiger Sicherheitsmaßnahme zu unzulässiger Leistungskontrolle, auch wenn die Kamera technisch dieselbe bleibt. Entscheidend ist also weniger, welche Kamera du kaufst, sondern wie du sie ausrichtest und wozu du sie tatsächlich nutzt.

Kennzeichnungspflicht: was du sichtbar machen musst

Jede Kamera, die Personen erfasst, muss erkennbar gemacht werden, bevor jemand den überwachten Bereich betritt. In der Praxis reicht dafür ein Hinweisschild oder ein Aufkleber mit Kamerasymbol, angebracht dort, wo er auch tatsächlich gesehen wird, nicht versteckt neben der Klingel. Die österreichische Datenschutzbehörde verlangt, dass die Kennzeichnung “gut sichtbar” ist, idealerweise in Augenhöhe und bevor die Person den Bereich betritt.

Für ein vollständiges Hinweisschild gehört mehr dazu als nur das Symbol:

• Verantwortliche Stelle: Wer betreibt die Kamera, also Name des Unternehmens.
• Zweck: Wofür die Aufnahme dient, zum Beispiel Diebstahlschutz.
• Kontaktmöglichkeit: Wie sich betroffene Personen bei Fragen melden können, oft über ein QR-Code auf ein ausführliches Datenschutzblatt.

Diese Informationspflicht ergibt sich aus Art. 12 und 13 DSGVO und gilt unabhängig von der Betriebsgröße. Ein Einzelunternehmen mit einer Kamera ist genauso betroffen wie ein Betrieb mit fünfzehn.

Was du nicht filmen darfst

Manche Bereiche und Zwecke sind in Österreich klar ausgeschlossen, egal wie gut die Absicht dahinter ist.

• Dauerhafte Mitarbeiterkontrolle: Eine Kamera, deren einziger oder überwiegender Zweck die Leistungs- oder Verhaltenskontrolle von Mitarbeitern ist, ist unzulässig. Das gilt auch, wenn sie offiziell “Sicherheit” heißt, aber faktisch zur Kontrolle genutzt wird.
• Öffentlicher Raum: Der Gehsteig oder die Straße vor deinem Betrieb dürfen grundsätzlich nicht mitgefilmt werden. Ein schmaler Streifen öffentlicher Verkehrsfläche im Randbereich des Bildes wird in der Praxis geduldet, mehr aber nicht.
• Höchstpersönliche Lebensbereiche: Pausenräume, Umkleiden, WC-Bereiche und Küchen sind tabu, auch außerhalb der Arbeitszeit. Hier überwiegt der Schutz der Privatsphäre praktisch immer.

Wenn du unsicher bist, ob eine geplante Kameraposition in diese Kategorie fällt, ist eine Planung am Grundriss mit eingezeichneten Sichtbereichen der einfachste Weg, das vorher zu klären, statt es nach der Montage zu korrigieren.

Speicherdauer: wie lange dürfen Aufnahmen bleiben

Eine feste gesetzliche Zahl für die Speicherdauer gibt es in der DSGVO nicht, das Gesetz verlangt allgemein, Daten nur so lange zu speichern, wie es der Zweck erfordert. In der Entscheidungspraxis der Datenschutzbehörde hat sich daraus aber ein Richtwert entwickelt: 72 Stunden gelten regelmäßig als grundsätzlich zulässige Speicherdauer für normale betriebliche Videoüberwachung. Diesen Wert findest du unter anderem in Einschätzungen der WKO zur Bildverarbeitung wieder.

Wichtig dabei: Das ist ein Richtwert aus der Praxis, kein starrer Paragraph. Wenn du längere Fristen brauchst, etwa weil dein Betrieb übers Wochenende geschlossen ist oder es einen konkreten Vorfall gibt, kannst du das begründen und dokumentieren. Je länger die Frist, desto höher aber der Aufwand, das im Streitfall zu rechtfertigen. Für die meisten Betriebe im Burgenland oder in Wien mit klassischem Diebstahl- oder Vandalismusschutz ist eine Speicherdauer im Bereich von wenigen Tagen ausreichend und in der Praxis üblich. Für eine belastbare Einschätzung für deinen konkreten Fall empfehlen wir trotzdem, kurz mit einem Datenschutzberater oder direkt mit der Datenschutzbehörde zu sprechen, gerade wenn dein Betrieb ein erhöhtes Risiko hat.

DSGVO-Pflichten: Verzeichnis und Datenschutz-Folgenabschätzung

Auch wenn die Kamera einmal montiert ist und läuft, hört die Arbeit an der Compliance nicht auf. Zwei Punkte solltest du kennen.

Verzeichnis von Verarbeitungstätigkeiten: Jede Videoüberwachung gehört ins Verarbeitungsverzeichnis, das dein Unternehmen nach Art. 30 DSGVO ohnehin führen muss. Darin stehen Zweck, Rechtsgrundlage, betroffene Personengruppen, Speicherdauer und wer Zugriff auf die Aufnahmen hat.

Datenschutz-Folgenabschätzung (DSFA): Bei “hohem Risiko” für die Rechte der betroffenen Personen schreibt Art. 35 DSGVO eine DSFA vor, also eine dokumentierte Risikoprüfung vor der Inbetriebnahme. Für klassische, stationäre Videoüberwachung im eigenen Betrieb greift oft eine Ausnahme von dieser Pflicht, sofern bestimmte Voraussetzungen erfüllt sind. Bei größerem Umfang, öffentlich zugänglichen Bereichen mit viel Publikumsverkehr oder sensiblen Standorten wie medizinischen Einrichtungen sieht das schon anders aus. Die WKO stellt dazu einen Online-Ratgeber bereit, der eine erste Einschätzung liefert. Eine endgültige rechtliche Bewertung ersetzt das nicht.

Bei einem Kunden mit mehreren Praxisstandorten, den wir im Rahmen unseres Projekts für eine Arztpraxis mit drei Standorten begleitet haben, war genau diese Unterscheidung zentral: Eingangsbereich und Anmeldung ließen sich unproblematisch überwachen, Wartebereich und Behandlungsräume dagegen bewusst nicht.

Praktische Schritte für einen rechtskonformen Start

Bevor die erste Kamera hängt, lohnt sich eine kurze, strukturierte Vorbereitung. Sie erspart dir spätere Umbauten und unangenehme Fragen.

• Zweck festlegen: Schreib in einem Satz auf, wofür jede einzelne Kamera gedacht ist, zum Beispiel “Diebstahlschutz Lagereingang”. Ohne klaren Zweck fehlt die Grundlage für alles Weitere.
• Sichtbereich prüfen: Plane vorab, was jede Kamera tatsächlich zeigt, am besten am Grundriss. So findest du tote Winkel und unnötig weite Aufnahmebereiche, bevor montiert wird.
• Kennzeichnung vorbereiten: Bestelle Hinweisschilder gleichzeitig mit der Kamera, nicht danach. Ein Betrieb, der erst nach der Montage an die Beschilderung denkt, hängt sie oft wochenlang gar nicht auf.
• Speicherdauer definieren: Leg fest, wie lange Aufnahmen automatisch gelöscht werden, und dokumentiere kurz, warum du dich für diese Frist entschieden hast.
• Verzeichnis nachziehen: Trag die neue Kamera im Verarbeitungsverzeichnis nach, idealerweise am selben Tag, an dem sie in Betrieb geht.

Diese fünf Punkte sind kein Ersatz für eine rechtliche Prüfung, aber sie decken die häufigsten Fehler ab, die in der Praxis zu Beanstandungen führen.

Lokale Speicherung vs. Cloud-Abo: der Unterschied bei UniFi Protect

Viele Kamerasysteme laufen heute über ein Cloud-Abo. Die Kamera nimmt auf, die Aufnahme wandert automatisch zu einem Server des Herstellers, oft außerhalb der EU, und du bezahlst dafür jeden Monat neu. UniFi Protect funktioniert anders: Die Aufnahmen landen auf einer eigenen Recording-Einheit direkt bei dir im Betrieb, nicht in einer fremden Cloud.

Das ist ein echter Vorteil, wenn es um Datenschutz geht: Du weißt genau, wo deine Aufnahmen liegen, und musst dich nicht auf die Löschpraxis eines Anbieters irgendwo im Ausland verlassen. Das löst aber nicht automatisch alle DSGVO-Pflichten. Kennzeichnung, Verhältnismäßigkeit und Löschfristen gelten bei lokaler Speicherung genauso wie bei einem Cloud-Abo. Die Technik nimmt dir die rechtliche Prüfung nicht ab, sie macht sie nur einfacher umzusetzen, weil du selbst bestimmst, wie lange Aufnahmen bleiben und wer Zugriff darauf hat. Ein sauber geplantes UniFi-Netzwerk als Basis hilft zusätzlich, weil die Kameras dann in einem eigenen, getrennten Netzsegment laufen, wie wir das auch in unserem Beitrag zu VLANs beschreiben.

Fazit

Videoüberwachung im Betrieb ist in Österreich erlaubt, aber an klare Bedingungen geknüpft: berechtigtes Interesse, Verhältnismäßigkeit, Kennzeichnung und ein dokumentierter Umgang mit den Aufnahmen. Was nicht geht, ist ähnlich klar: dauerhafte Mitarbeiterkontrolle, öffentlicher Raum und höchstpersönliche Bereiche wie Pausenraum oder WC bleiben tabu. Bei der Speicherdauer hat sich in der Praxis ein Richtwert von 72 Stunden etabliert, an dem du dich orientieren kannst. Lokale Speicherung, wie sie UniFi Protect bietet, macht die Umsetzung einfacher und transparenter, ersetzt aber keine der genannten Pflichten.

Dieser Beitrag gibt dir einen praktischen Überblick, ersetzt aber keine Rechtsberatung. Für die endgültige rechtliche Bewertung deines konkreten Vorhabens empfehlen wir, die Datenschutzbehörde oder eine Rechtsanwältin beziehungsweise einen Rechtsanwalt zu kontaktieren.