Am Körper getragene Videos sind ein mächtiges Instrument: Sie schützen Mitarbeiter, liefern zuverlässige Beweise und stärken das Vertrauen. Aber ohne eine klare Richtlinie kann es zu einer Belastung werden. Dieser Blog beschreibt praktische Schritte, um die Einhaltung der GDPR und darüber hinaus sicherzustellen.
Schritt 0: Schaffen Sie Ihre rechtliche Grundlage und Transparenz
Gemäß GDPR können Ihre rechtlichen Gründe folgende sein:
- Gesetzliche Verpflichtung oder gesetzliche Pflicht – z.B. bei der Strafverfolgung oder der Durchsetzung von Vorschriften.
- Berechtigte Interessen – wie der Schutz von Mitarbeitern oder die Verhinderung von Diebstahl (erfordert eine Bewertung der berechtigten Interessen).
- Lebenswichtige Interessen – Schutz von Personen in Notfällen.
Eine Einwilligung ist in der Regel nicht praktikabel. Transparenz durch Beschilderung, Einweisungen und Datenschutzhinweise ist unerlässlich.
Schritt 1: Definieren Sie Ihren rechtlichen Rahmen
Klären Sie:
- Minimale/maximale Aufbewahrungsfristen
- Sektorspezifische Verpflichtungen
- Wer kann eine erweiterte Aufbewahrung genehmigen?
Führen Sie eine Datenschutzfolgenabschätzung durch und überprüfen Sie diese, die Schutzmaßnahmen dokumentiert: Löschpläne, Zugriffskontrollen, Schwärzung, Reaktion auf Datenschutzverletzungen und Einbeziehung von Interessengruppen.
Schritt 2: Legen Sie realitätsnahe Aufbewahrungsfristen fest
- Routinemäßiges Filmmaterial: 14-30 Tage
- Filmmaterial zu Unfällen: 6-12 Monate
- Beweismaterial: Bis alle Verfahren abgeschlossen sind
Wenden Sie automatische Löschregeln an, um menschliche Fehler zu vermeiden.
Schritt 3: Kontrollieren Sie den Zugriff und bewahren Sie die Verwahrkette
- Rollenbasierte Zugriffskontrolle (RBAC): Beschränken Sie den Zugriff auf Basis von Rolle und Zweck
- Audit-Protokolle: Anzeigen, Bearbeiten, Exportieren verfolgen
- Überwachungskette: Bewahren Sie die Authentizität mit Protokollen und Hashes
- Verschlüsselung: Schutz bei der Übertragung und im Ruhezustand
Schritt 4: Erstellen Sie einen Redaktionsworkflow
- Gesichter, Schilder, Adressen verwischen/maskieren
- Empfindliches Audio stummschalten
- Alle Schwärzungen protokollieren
Dies ist entscheidend für die Einhaltung der Datenschutzgrundverordnung, insbesondere von Artikel 15 Absatz 4.
Schritt 5: Die Rechte des Einzelnen und die Rechenschaftspflicht
- Recht auf Zugang: Reagieren Sie innerhalb von 1 Monat (2 für Komplexe)
- Recht auf Löschung: Kann in bestimmten Fällen gelten
- Recht auf Widerspruch: Muss von Fall zu Fall beurteilt werden
Ernennen Sie einen DSB oder einen verantwortlichen Beamten. Schulen Sie Ihr Personal. Beziehen Sie Interessenvertreter ein.
Schritt 6: Verarbeiter und internationale Überweisungen
Unterzeichnen Sie Artikel 28-konforme Auftragsverarbeitungsverträge und beziehen Sie Unterauftragsverarbeiter und Audit-Rechte ein. Verwenden Sie für Übertragungen außerhalb des EWR Standardvertragsklauseln (SCCs) und führen Sie Risikobewertungen durch.
Schritt 7: Überprüfung, Audit und Dokumentation
Überprüfen Sie Ihre Richtlinie regelmäßig, um neue Gesetze, Technologien und betriebliche Erfahrungen zu berücksichtigen. Fügen Sie Protokolle für Verstöße und Dokumentation für die Rechenschaftspflicht hinzu.
Verwandeln Sie Bodycams in ein Instrument für Vertrauen und Compliance
Eine klare Richtlinie gewährleistet die rechtmäßige Nutzung, den sicheren Umgang und das Vertrauen der Öffentlichkeit. ZEPCAM bietet sichere, gesetzeskonforme Systeme und fachkundige Beratung, um Sie bei jedem Schritt zu unterstützen.
📌 Häufig gestellte Fragen (FAQ)
- 1. Wie lange können am Körper getragene Videos aufbewahrt werden?
- Gemäß GDPR nur so lange wie nötig. Routinemäßiges Filmmaterial wird oft nach 14-30 Tagen gelöscht; Beweismaterial wird aufbewahrt, bis rechtliche Verfahren abgeschlossen sind.
- 2. Was ist eine Überwachungskette?
- Es handelt sich um eine dokumentierte Spur, die zeigt, wie das Filmmaterial gehandhabt wird, einschließlich Zeitstempel, Zugriffsprotokolle und Hashes zur Überprüfung der Authentizität.
- 3. Wie sollten Anträge auf Zugang zu Dokumenten behandelt werden?
- Die Organisationen müssen innerhalb eines Monats (bzw. in komplexen Fällen innerhalb von zwei Monaten) antworten und dabei die Daten Dritter vor der Offenlegung schwärzen.
- 4. Was geschieht im Falle eines Datenschutzverstoßes?
- Ein Verstoß muss bewertet und protokolliert werden. Wenn sie ein hohes Risiko darstellt, müssen Sie die Behörden innerhalb von 72 Stunden benachrichtigen und die betroffenen Personen informieren.
- 5. Welche Sicherheitsmaßnahmen sind erforderlich?
- Verschlüsselung (bei der Übertragung und im Ruhezustand), RBAC, Exportkontrollen, Hashing zur Überprüfung und regelmäßige Tests sind allesamt bewährte Verfahren.
