Videoüberwachung Arztpraxis: Was ist nach DSGVO erlaubt?

Bekannt aus

Presseberichte über Medizinio auf der Seite Über uns

Ist Videoüberwachung in der Arztpraxis erlaubt?

Eine Videoüberwachung in der Arztpraxis ist nicht per se verboten. Sie ist aber an enge Voraussetzungen geknüpft. Die Aufsichtsbehörden bewerten Praxen strenger als etwa den Einzelhandel, weil Gesundheitsdaten im Spiel sind. Die Kamera ist deshalb nie isoliert zu betrachten, sondern Teil des Datenschutzes in der Arztpraxis insgesamt. Entscheidend sind drei Fragen: Welcher Bereich wird erfasst? Zu welchen Zeiten läuft die Kamera? Welches konkrete Risiko soll sie abwehren?

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

Art. 6 Abs. 1 lit. f DSGVO ist die maßgebliche Rechtsgrundlage für private Videoüberwachung. Das gilt auch für Arztpraxen. Das Bundesverwaltungsgericht hat in seinem fünften Leitsatz festgehalten: Die Zulässigkeit von Videoüberwachungen zu privaten Zwecken richtet sich nunmehr nach dieser Vorschrift.

Eine Einwilligung scheidet als Grundlage praktisch aus. Auch gut sichtbare Hinweisschilder begründen keine Einwilligung. Wer ein Schild passiert oder die überwachten Räume betritt, erklärt damit nicht sein Einverständnis. Das Schild erfüllt nur die Informationspflicht. Es legitimiert die Kamera nicht.

§ 4 BDSG und das BVerwG-Urteil zur Zahnarztpraxis (Az. 6 C 2.18)

§ 4 BDSG regelt die Videoüberwachung öffentlich zugänglicher Räume. Für Praxisinhaber ist die Norm dennoch keine taugliche Grundlage. Das BVerwG sieht keinen Raum, § 4 Abs. 1 Satz 1 BDSG auf Videoüberwachungen privater Verantwortlicher anzuwenden. Daran ändert auch nichts, dass die Norm die wortgleiche Nachfolgeregelung des § 6b BDSG a.F. ist. Private Kameras sind an Art. 6 Abs. 1 lit. f DSGVO zu messen.

Der Sachverhalt ist typisch für viele Praxen. Die Zahnarztpraxis ließ sich durch Öffnen der Tür ungehindert betreten, der Empfang war unbesetzt. Eine Kamera über dem Tresen übertrug Bilder in Echtzeit auf Monitore in den Behandlungszimmern. Die Aufsichtsbehörde verlangte, die Kamera neu auszurichten: Besucherbereich vor dem Tresen, Flur und Wartezimmer sollten nicht mehr erfasst werden. Das BVerwG bestätigte dies mit Urteil vom 27. März 2019. 

Haftungsrisiko: Führen Sie auf dem Hinweisschild § 4 BDSG als Rechtsgrundlage an, ist die Information fehlerhaft. Nennen Sie Art. 6 Abs. 1 lit. f DSGVO.

Interessenabwägung: Schutz der Praxis vs. Persönlichkeitsrecht der Patienten

Die Prüfung erfolgt zweistufig. Zunächst ist zu klären, ob der Verantwortliche schützenswerte Interessen verfolgt. Die Kamera muss dafür geeignet und erforderlich sein. Erst danach folgt die Abwägung der wechselseitigen Interessen.

An der ersten Stufe scheitern die meisten Praxen. Zur Verhinderung von Straftaten ist eine Videoüberwachung nur erforderlich, wenn die Gefährdungslage erheblich über das allgemeine Lebensrisiko hinausgeht. Diese Gefährdung muss sich aus tatsächlichen Erkenntnissen ergeben. Subjektive Befürchtungen oder ein Unsicherheitsgefühl genügen nicht. 

Eine erhöhte Gefährdung kann sich etwa aus der Lage der Praxis in einem Gebiet mit erhöhtem Gefahrenpotenzial ergeben. Die bloße Nähe zu bestimmten Einrichtungen reicht dagegen nicht aus. Im BVerwG-Fall befand sich im selben Gebäude eine psychiatrische Tagesklinik. Eine besondere Gefährdungslage folgte daraus nicht. 

Das BVerwG prüfte auch mildere Mittel. Betäubungsmittel und Wertsachen wie Zahngold begründen für sich keine besondere Gefährdung. Sie lassen sich in verschließbaren Schränken aufbewahren. Patienten im Wartebereich lassen sich statt per Kamera etwa mit einem Druckknopf für Notfälle absichern. Ein weiteres Argument ist die Kostenersparnis. Es trägt nur, wenn die Mehrkosten ohne Kamera im Verhältnis zum Geschäftsumfang ins Gewicht fallen oder die Wirtschaftlichkeit gefährden.

In der Abwägung zählt zudem die vernünftige Erwartung der Betroffenen (Erwägungsgrund 47 DSGVO). Laut DSK-Kurzpapier Nr. 15 müssen Patienten in Behandlungs- und Wartebereichen in der Regel nicht mit einer Kamera rechnen. 

Gesundheitsdaten nach Art. 9 DSGVO: Wann Aufnahmen besonders sensibel werden

Art. 9 DSGVO stellt Gesundheitsdaten unter besonderen Schutz. Für Praxen hat das eine unmittelbare Folge. Schon der Besuch einer Arztpraxis kann im Einzelfall ein Gesundheitsdatum im Sinne von Art. 4 Nr. 15 DSGVO sein. Die Anforderungen steigen dadurch nochmals.

Besonders heikel ist das in Fachrichtungen, deren Besuch bereits Rückschlüsse auf die Erkrankung zulässt. Dazu zählen etwa Psychiatrie, Psychotherapie, Onkologie, Suchtmedizin oder Infektiologie. Die Kamera dokumentiert dann nicht nur eine Person, sondern implizit auch ihre Diagnose. Das verschiebt die Abwägung weiter zulasten der Überwachung.

Welche Bereiche dürfen videoüberwacht werden?

Die Zulässigkeit hängt vor allem davon ab, ob ein Bereich öffentlich zugänglich ist. Öffentlich zugänglich ist ein Raum, den unbekannte Personen ohne vorherige Einlasskontrolle betreten können. Das trifft typischerweise auf Räume mit Publikumsverkehr zu. Der zweite Faktor ist die Uhrzeit. Während der Sprechstunde gelten deutlich strengere Maßstäbe als außerhalb.

Tabelle: Praxisbereich → Zulässigkeit → Voraussetzungen

Die Tabelle ist eine Orientierung auf Basis der Behördenpraxis. Sie ersetzt nicht die Einzelfallprüfung.

Videoüberwachung vor der Arztpraxis: Außenbereich, Parkplatz, öffentlicher Raum

Der öffentliche Verkehrsraum vor der Praxis ist für private Kameras grundsätzlich tabu. Gehweg, Straße und Nachbargrundstücke dürfen Sie nicht erfassen. Die Überwachung muss sich auf Flächen beschränken, an denen Sie das Hausrecht haben.

Liegt die Praxis in einem Ärztehaus, gehören Treppenhaus, Aufzug und Hauseingang meist nicht zum Hausrecht der Praxis. Eine Kamera dort ist Sache des Eigentümers bzw. Vermieters. Einen eigenen Praxisparkplatz dürfen Sie dagegen überwachen, wenn konkrete Vorfälle belegt sind, etwa wiederholte Sachbeschädigung.

Videoüberwachung am Eingang der Arztpraxis: Zeiten mit und ohne Sprechstunde

Die Videoüberwachung am Eingang der Arztpraxis ist die häufigste Konstellation und zugleich die am klarsten beurteilte. Nach Auffassung der Sächsischen Datenschutzbeauftragten ist eine Videoüberwachung in medizinischen Einrichtungen während der üblichen Öffnungszeiten jedenfalls unzulässig. Das gilt, sobald frei zugängliche Bereiche wie Eingang, Wartebereich und Flure erfasst werden.

Während der Sprechzeiten kommt eine Ausnahme nur bei besonders hoher Gefahr in Betracht, die über dem allgemeinen Lebensrisiko liegt. Auch dann müssen alle milderen Mittel ausgeschöpft sein. Die Behörde nennt als mildere Mittel unter anderem einen dauerhaft besetzten Empfang, Schließfächer für Wertsachen und einen Türöffner für den Einlass der Patienten.

Für den unbesetzten Empfang hält dieselbe Behörde eine Klingelkamera für vertretbar: Sie erfasst nur den Eingang, überträgt erst beim Klingeln ein Livebild und zeichnet nicht auf (24. Tätigkeitsbericht, S. 53 ff.). Unzulässig ist also die Dauerüberwachung, nicht jede Kamera am Eingang. 

Außerhalb der Sprechstunde ist die Praxis verschlossen und nicht mehr öffentlich zugänglich. Eine zeitgesteuerte Kamera zum Einbruchschutz ist dann deutlich eher vertretbar. Die Zeitsteuerung muss technisch zuverlässig funktionieren. Dokumentieren Sie sie.

Empfang, Wartezimmer und Flure

Empfang, Wartezimmer und Flure sind während der Sprechstunde Besucherbereiche. Sie unterliegen damit denselben strengen Maßstäben wie der Eingang. Genau diese Bereiche waren Gegenstand des BVerwG-Verfahrens.

Die Rechtsprechung lässt aber einen Weg offen. Das BVerwG wertete es als mildere Maßnahme gegenüber einem Abbau, die Kamera ausschließlich auf den Bereich hinter dem Tresen auszurichten. So blieb die Kamera für die zulässige Beobachtung dieses Bereichs nutzbar. Für den Mitarbeiterbereich gelten dann die Regeln des Beschäftigtendatenschutzes. Achten Sie dabei darauf, dass PVS-Monitore, Befunde und Überweisungen am Tresen nicht lesbar im Bild sind. Andernfalls verarbeitet die Kamera unmittelbar Gesundheitsdaten nach Art. 9 DSGVO. 

Behandlungsräume und Patientenzimmer (z. B. Aufwachraum beim ambulanten OP)

Behandlungsräume und Patientenzimmer betreffen unmittelbar die Intim- und Gesundheitssphäre. Eine Videoüberwachung zu Sicherheitszwecken scheidet hier aus. Selbst für Kliniken betont die Sächsische Datenschutzbeauftragte: Behandlungsräume und Stationen dürfen keinesfalls überwacht werden.

Davon zu unterscheiden ist das medizinisch indizierte Monitoring, etwa die Kameraüberwachung eines Aufwachraums nach ambulanter Sedierung. Hier dient die Kamera der Patientensicherheit, nicht dem Eigentumsschutz. Die Rechtsgrundlage ergibt sich dann aus dem Behandlungskontext nach Art. 9 Abs. 2 DSGVO, nicht aus Art. 6 Abs. 1 lit. f. Voraussetzungen sind:

• eine dokumentierte medizinische Indikation,
• eine Live-Beobachtung ohne Aufzeichnung,
• eine Aufklärung des Patienten.

Abgrenzung: Videoüberwachung im Krankenhaus und in der Notaufnahme

Die Videoüberwachung im Krankenhaus und in der Notaufnahme folgt denselben Grundwertungen. Der Maßstab ist also nicht großzügiger, nur weil es sich um eine größere Einrichtung handelt. Unerheblich ist, ob das Klinikum privat oder öffentlich betrieben wird. Eine Überwachung von Eingangsbereich, Vorplatz oder Zufahrt kommt nur in Betracht, wenn frühere Vorfälle belegt sind und Anhaltspunkte auf künftige hindeuten.

Öffentliche Krankenhäuser stützen die Überwachung zudem auf Landesdatenschutzgesetze. Für die Psychiatrie gelten teils Sondernormen der Psychisch-Kranken-Gesetze. Für niedergelassene Ärzte sind diese Regeln nicht einschlägig. Sie zeigen aber: Auch dort, wo Übergriffe statistisch häufiger vorkommen, verlangen die Behörden belegbare Vorfälle.

Welche DSGVO-Pflichten gelten bei der Videoüberwachung der Arztpraxis?

Ist die Videoüberwachung der Arztpraxis dem Grunde nach zulässig, folgen organisatorische Pflichten. Sie machen eine unzulässige Kamera nicht zulässig. Bei einer zulässigen Kamera ist ihr Fehlen aber selbst ein bußgeldbewehrter Verstoß. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie jede dieser Pflichten nachweisen können.

Hinweisschild und Informationspflicht nach Art. 13 DSGVO

Art. 13 DSGVO verpflichtet Sie, Betroffene vor dem Betreten des überwachten Bereichs zu informieren. Die Aufsichtsbehörden empfehlen ein zweistufiges Modell:

• Vorgelagertes Hinweisschild auf Augenhöhe, vor dem Erfassungsbereich: Kamerasymbol, Verantwortlicher mit Kontaktdaten, Kontakt des Datenschutzbeauftragten, Zweck und Rechtsgrundlage, Speicherdauer, Verweis auf weitere Informationen.
• Vollständiges Informationsblatt, z. B. am Empfang oder auf der Praxiswebsite: Betroffenenrechte, Beschwerderecht, Empfänger.

Muster für beide Stufen stellt unter anderem die Sächsische Datenschutzbeauftragte zum Download bereit.

Speicherdauer und Löschung (Quelle: DSK-Orientierungshilfe Videoüberwachung)

Die Speicherdauer richtet sich nach den Grundsätzen der Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e DSGVO). Die DSK geht davon aus, dass sich die Notwendigkeit einer Sicherung in der Regel innerhalb von ein bis zwei Arbeitstagen klären lässt. Sie hält daher eine Speicherdauer von 72 Stunden regelmäßig für zulässig.

Eine Verlängerung über 72 Stunden ist etwa an Wochenenden oder in Urlaubszeiten möglich. Voraussetzung ist, dass eine Kontrolle aus nachvollziehbaren und dokumentierten Gründen nicht rechtzeitig möglich ist. Interne Arbeitsabläufe allein rechtfertigen längere Fristen in der Regel nicht. Die DSK-Orientierungshilfe ist eine Rechtsauffassung der Aufsichtsbehörden und kein Gesetz. Die Behörden wenden sie aber konsequent an.

Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO

Das Verzeichnis von Verarbeitungstätigkeiten dokumentiert jede Datenverarbeitung der Praxis. Führen Sie die Videoüberwachung darin als eigene Verarbeitungstätigkeit. Sie brauchen dafür folgende Angaben:

• Zweck (z. B. Einbruchschutz außerhalb der Sprechzeiten)
• Kategorien betroffener Personen (Patienten, Begleitpersonen, Beschäftigte, Dienstleister)
• Kamerastandorte und Erfassungsbereiche mit Skizze
• Speicherfrist und Löschkonzept
• Zugriffsberechtigte Personen
• Technische und organisatorische Maßnahmen (TOM)
• Etwaige Auftragsverarbeiter

Nehmen Sie zusätzlich die dokumentierte Interessenabwägung ins Verzeichnis auf oder verweisen Sie dort darauf. Im Beschwerdefall fordert die Aufsichtsbehörde diese Unterlage als Erstes an.

Datenschutz-Folgenabschätzung nach Art. 35 DSGVO: Wann ist sie erforderlich?

Die Datenschutz-Folgenabschätzung (DSFA) ist bei Verarbeitungen mit voraussichtlich hohem Risiko Pflicht. Art. 35 Abs. 3 lit. c DSGVO nennt ausdrücklich die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Die DSK-Orientierungshilfe enthält ab Seite 18 weitere Anhaltspunkte, wann eine Videoüberwachung ein hohes Risiko darstellt und eine DSFA erfordert.

In der Arztpraxis spricht vieles für eine DSFA, sobald Gesundheitsdaten berührt sein können. Das gilt etwa für Wartebereiche von Fachpraxen oder für medizinisches Monitoring. Eine rein zeitgesteuerte Einbruchskamera außerhalb der Öffnungszeiten erreicht diese Schwelle meist nicht. Dokumentieren Sie in diesem Fall, warum Sie keine DSFA durchgeführt haben.

Rolle des Datenschutzbeauftragten der Praxis

Der Datenschutzbeauftragte berät die Praxis vor der Installation und prüft die Interessenabwägung. Er ist Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind (§ 38 Abs. 1 Satz 1 BDSG). Unabhängig von dieser Zahl wird er Pflicht, sobald die Praxis DSFA-pflichtige Verarbeitungen durchführt (§ 38 Abs. 1 Satz 2 BDSG).

Eine DSFA-pflichtige Videoüberwachung kann also selbst in einer kleinen Einzelpraxis die Benennungspflicht auslösen. Binden Sie den Datenschutzbeauftragten vor dem Kauf ein, nicht erst nach der Montage.

Welche Regeln gelten gegenüber dem Praxispersonal?

Beschäftigte sind eine eigene Gruppe von Betroffenen mit eigenem Schutzniveau. MFA, ZFA und angestellte Ärzte können sich einer Kamera am Arbeitsplatz nicht entziehen. Deshalb gelten strengere Maßstäbe als für Patienten, die sich nur kurz im Erfassungsbereich aufhalten. Für überwachte Mitarbeiterbereiche verweist auch die Sächsische Datenschutzbeauftragte auf gesonderte Vorschriften.

Beschäftigtendatenschutz: Keine Leistungs- und Verhaltenskontrolle

Die Rechtsgrundlage im Beschäftigtenverhältnis ist derzeit in Bewegung. Mit Urteil vom 30. März 2023 (C-34/21) hat sich der EuGH erstmals zum deutschen Beschäftigtendatenschutz geäußert. Gegenstand war auch die nationale Umsetzung von Art. 88 DSGVO. Seither gilt § 26 Abs. 1 Satz 1 BDSG nach verbreiteter Auffassung nicht mehr als tragfähige alleinige Rechtsgrundlage. Die Videoüberwachung von Beschäftigten ist deshalb unmittelbar an Art. 6 Abs. 1 lit. f DSGVO zu messen.

Unabhängig davon gilt: Eine Kamera darf Arbeitsleistung, Pausen oder Verhalten der Beschäftigten nicht dauerhaft kontrollieren. Sie sollte das Objekt schützen, etwa den BtM-Schrank oder die Kasse, und nicht den Arbeitsplatz erfassen. Eine verdeckte Überwachung kommt nur bei konkretem Verdacht einer Straftat und als letztes Mittel in Betracht.

Information der Mitarbeitenden und Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG)

Informieren Sie die Beschäftigten vor Inbetriebnahme, sinnvollerweise schriftlich und mit Empfangsbestätigung. Die Information umfasst Zweck, Erfassungsbereich, Betriebszeiten, Speicherdauer und Zugriffsrechte.

Besteht in der Praxis ein Betriebsrat, hat dieser nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht. Es greift bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung zu überwachen. Entscheidend ist allein diese Eignung, nicht die Absicht der Praxis. In größeren MVZ ist dann eine Betriebsvereinbarung zur Videoüberwachung der saubere Weg. In typischen Einzel- und Gemeinschaftspraxen ohne Betriebsrat entfällt die Mitbestimmung, die Informationspflicht bleibt.

Welche Überwachungskamera eignet sich für die Arztpraxis?

Die Wahl der Überwachungskamera für die Arztpraxis ist auch eine Datenschutzentscheidung. Viele Consumer-Kameras speichern standardmäßig in der Cloud eines Drittanbieters, oft außerhalb der EU. Außerdem zeichnen sie Ton auf und erfassen weite Bildwinkel. Jede dieser Voreinstellungen kann eine sonst zulässige Überwachung angreifbar machen.

Kabelgebundene Kamera vs. WLAN-Kamera

Eine WLAN-Kamera gehört nie in dasselbe Netz wie PVS-System, Konnektor und TI-Komponenten. Für den WLAN-Betrieb von Videoanlagen verweist die DSK-Orientierungshilfe auf die Bausteine NET.2.1 und NET.2.2 des BSI IT-Grundschutz-Kompendiums.

Privacy by Design (Art. 25 DSGVO): Maskierung, Verschlüsselung, lokale Speicherung

Art. 25 DSGVO verpflichtet Sie zu datenschutzfreundlicher Technikgestaltung. Bei der Kameraauswahl heißt das konkret:

• Privatzonen-Maskierung: Bildbereiche wie Wartezimmer, Fenster oder Gehweg werden dauerhaft geschwärzt.
• Dynamische Verpixelung: Bereits das OVG Berlin-Brandenburg nannte dynamische Verpixelungssysteme als zumutbare Alternative zur vollständigen Überwachung.
• Zeitsteuerung: Die Aufzeichnung läuft nur außerhalb der Sprechzeiten.
• Automatische Löschung: Ringspeicher mit fest eingestellter Frist.
• Audio deaktiviert: Tonaufnahmen sind regelmäßig unzulässig.
• Verschlüsselung und Zugriffsprotokoll: Nur benannte Personen dürfen Aufnahmen einsehen, jeder Zugriff wird protokolliert.

Cloud-Speicherung und Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Cloud-Speicherung macht den Kameraanbieter zum Auftragsverarbeiter. Art. 28 DSGVO verlangt dann einen Auftragsverarbeitungsvertrag (AVV). Liegen die Server außerhalb des EWR, prüfen Sie zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO für Drittlandübermittlungen.

Für Arztpraxen ist die lokale Speicherung auf einem Netzwerkrekorder in der Praxis in aller Regel die robustere Lösung. Sie vermeidet Drittlandfragen und reduziert die Angriffsfläche. Außerdem behalten Sie selbst die Kontrolle über Löschfristen. 

Welche Sanktionen drohen bei unzulässiger Videoüberwachung?

Eine unzulässige Videoüberwachung hat Folgen auf drei Ebenen: aufsichtsrechtlich, zivilrechtlich und im Einzelfall strafrechtlich. Die meisten Verfahren beginnen mit einer Beschwerde von Patienten oder Beschäftigten. Die Sächsische Datenschutzbeauftragte verzeichnete zuletzt 20 Prozent mehr Beschwerden zu Videoüberwachungen. Der Anstieg ging ausschließlich auf Kameras von Privatpersonen und Unternehmen zurück.

Bußgelder nach Art. 83 DSGVO und Anordnungen der Aufsichtsbehörde

Art. 83 DSGVO staffelt die Bußgeldrahmen nach der Art des Verstoßes:

Bei Praxen werden die Höchstbeträge praktisch nie ausgeschöpft. Die Bemessung orientiert sich an Schwere, Dauer und Vorsatz. Häufiger und im Praxisbetrieb unmittelbar spürbar sind Anordnungen nach Art. 58 Abs. 2 DSGVO. Im BVerwG-Fall stützte das Gericht die Anordnung zur Neuausrichtung der Kamera unionsrechtlich auf Art. 58 Abs. 2 lit. d in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.

Schadensersatzansprüche nach Art. 82 DSGVO

Art. 82 DSGVO gewährt jeder betroffenen Person einen Anspruch auf materiellen und immateriellen Schadensersatz. Ein immaterieller Schaden kann bereits im Kontrollverlust über die eigenen Daten liegen oder im Unbehagen durch die Beobachtung. Die zugesprochenen Beträge sind im Einzelfall meist überschaubar.

Das Risiko liegt in der Masse. Eine unzulässige Kamera im Wartezimmer erfasst täglich Dutzende Patienten. Bei gebündelter Geltendmachung oder zusammen mit einem Reputationsschaden kann das für die Praxis erheblich werden. Hinzu kommen Unterlassungsansprüche.

Strafrechtliche Risiken: § 201a StGB, § 203 StGB

§ 201a StGB stellt unbefugte Bildaufnahmen unter Strafe, die den höchstpersönlichen Lebensbereich verletzen. Geschützt sind unter anderem Räume, die gegen Einblick besonders geschützt sind. Behandlungsräume, Umkleiden und Toiletten fallen typischerweise darunter. Eine Kamera in diesen Räumen ist daher nicht nur ein Datenschutzverstoß.

§ 203 StGB schützt Privatgeheimnisse, die dem Arzt anvertraut wurden. Werden Aufnahmen von Behandlungssituationen oder Gesprächen Dritten zugänglich, kommt eine Verletzung der Schweigepflicht in Betracht. Das kann etwa über einen ungesicherten Cloud-Zugang geschehen. Tonaufzeichnungen berühren zudem § 201 StGB (Vertraulichkeit des Wortes).

Checkliste: Videoüberwachung in der Arztpraxis rechtssicher einführen

Mit diesen sieben Schritten führen Sie eine Videoüberwachung in der Arztpraxis nachweisbar rechtskonform ein:

1. Zweck konkret festlegen und belegen: Dokumentieren Sie Vorfälle wie Einbrüche, Sachschäden oder Übergriffe mit Datum und gegebenenfalls Anzeige. Ohne belegte Gefährdung scheitert die Überwachung von Besucherbereichen bereits an der Erforderlichkeit.
2. Mildere Mittel prüfen und dokumentieren: Besetzter Empfang, Türöffner, Schließfächer, verschlossene BtM-Aufbewahrung, Notrufknopf.
3. Erfassungsbereich und Betriebszeiten definieren: Besucherbereiche nur außerhalb der Sprechzeiten; kein öffentlicher Raum; keine Behandlungsräume.
4. Interessenabwägung schriftlich festhalten: Art. 6 Abs. 1 lit. f DSGVO, bei Gesundheitsbezug zusätzlich Art. 9 DSGVO; DSFA-Pflicht prüfen.
5. Technik datenschutzkonform auswählen: Maskierung, Zeitsteuerung, lokale Speicherung, Audio aus, getrenntes Netz; bei Cloud einen AVV abschließen.
6. Transparenz herstellen: Vorgelagertes Hinweisschild, Informationsblatt, schriftliche Information der Beschäftigten, bei Betriebsrat eine Betriebsvereinbarung.
7. Löschroutine und Zugriffe regeln: 72-Stunden-Ringspeicher, benannte Zugriffsberechtigte, Protokollierung, Eintrag im Verzeichnis nach Art. 30 DSGVO, jährliche Überprüfung.

FAQ: Häufige Fragen zur Videoüberwachung in der Arztpraxis