Videoüberwachung im Eingang einer Arztpraxis: Sorgfältig abwägen

Lassen Sie den Eingang Ihrer Arztpraxis per Video überwachen? Was dafür spricht und worauf zu achten ist, erfahren Sie von unseren Datenschutz-Experten.

Videoüberwachung: Sicherheit und Kontrolle

Videoüberwachung in den Eingangsbereichen von Arztpraxen kann aus mehreren Gründen sinnvoll sein. Sie kann etwa vor Einbrüchen schützen, da die Präsenz von Kameras potenzielle Täter abschrecken kann und die Aufnahmen bei der Aufklärung dienen können. Außerdem verwenden gerade kleine Praxen Kameras, um einen Überblick über eintreffende Patientinnen und Patienten zu erhalten, wenn sie keine durchgängige Besetzung des Empfangsbereichs ermöglichen können.

Datenschutzskandal in einer Arztpraxis in Sachsen

Der 24. Tätigkeitsbericht der sächsischen Datenschutz- und Transparenzbeauftragten (S. 53 ff.) behandelt einen skurrilen Fall. Der Inhaber einer Physiotherapiepraxis installierte eine Überwachungskamera im Eingangsbereich, doch durch eine fehlerhafte Einstellung wurden die Livebilder und Gespräche über das Mikrofon versehentlich öffentlich im Internet zugänglich gemacht. Ein Internetnutzer entdeckte diese online und informierte den Praxisinhaber, der die Kamera kurzzeitig abschaltete. Einige Zeit später waren die Aufnahmen jedoch erneut online. 

Allgemeiner rechtlicher Rahmen

Bei Videoaufnahmen werden oft personenbezogene Daten verarbeitet. Die Datenschutzgrundverordnung (DSGVO) stellt den zentralen rechtlichen Rahmen für die Verarbeitung personenbezogener Daten in der EU dar. 

Berechtigtes Interesse

Als rechtliche Grundlage für eine Datenverarbeitung in Form einer Videoüberwachung kommt vor allem das berechtigte Interesse des Verantwortlichen, also der Praxisleitung, nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Ein berechtigtes Interesse kann etwa der Schutz vor Straftaten sein. 

Besonders schutzwürdige Gesundheitsdaten

Besteht die Möglichkeit, dass durch die Videoüberwachung auch Gesundheitsdaten erfasst werden, ist die Datenverarbeitung nur unter Beachtung von Art. 9 DSGVO gestattet. Das dürfte bei Arztpraxen regelmäßig der Fall sein, denn allein die Tatsache, dass sich ein Individuum in eine bestimmte Gesundheitseinrichtung begibt, dürfte regelmäßig schon ein Gesundheitsdatum darstellen.

Transparenz- und Hinweispflichten

Gemäß Art. 13 und 14 DSGVO sind Gesundheitspraxen verpflichtet, die betroffenen Personen über die Videoüberwachung zu informieren. Dies umfasst Angaben zu Verantwortlichen, den Zwecken der Überwachung, der Rechtsgrundlage, der Speicherdauer und den Rechten der Betroffenen. Üblicherweise erfolgt dies durch gut sichtbare Hinweisschilder, auf denen auch erklärt wird, wie man an detaillierte Datenschutzinformationen gelangt. 

Speicherdauer 

Die aufgenommenen Fotos und Videos müssen grundsätzlich unverzüglich nach Erreichung des jeweiligen Zwecks gelöscht werden. Dabei kommt es auf den jeweiligen Einzelfall an. Handelt es sich bei dem Zweck der Aufnahme lediglich um den Ausgleich der fehlenden Empfangsbesetzung, kann dies schon unmittelbar nach Wahrnehmung der eintretenden Person der Fall sein. Dient die Videoüberwachung weiteren Sicherheitsaspekten, kann eine Speicherdauer von 48 Stunden als Orientierung dienen. Allgemein gilt: Je länger die Speicherung, desto höher der Rechtfertigungsbedarf.

Schutzmaßnahmen

Zudem müssen geeignete technische und organisatorische Maßnahmen getroffen werden, um die Datensicherheit zu gewährleisten und unbefugten Zugriff zu verhindern. Nach Art. 32 DSGVO müssen Verantwortliche dabei die jeweiligen Maßnahmen nach dem Stand der Technik, den Implementierungskosten und der Art des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie den jeweiligen Risiken treffen. Dazu gehört regelmäßig insbesondere die Pseudonymisierung der personenbezogenen Daten. Außerdem muss bezüglich der möglichen Risiken eine Datenschutzfolgenabschätzung nach Art. 35 DSGVO durchgeführt werden. Kommt es zu einer Datenpanne, ist dies unverzüglich nach Art. 33 DSGVO der zuständigen Aufsichtsbehörde zu melden, sofern sich aus dem Vorfall ein Risiko für die Rechte und Freiheiten natürlicher Person ergibt.

Bewertung der sächsischen Datenschutzbehörde

Infolge des Vorfalls in Sachsen wurde die zuständige Aufsichtsbehörde aktiv. Sie bewertet die Angelegenheit auch unabhängig von der ohnehin rechtswidrigen Übertragung ins Internet als datenschutzwidrig. Der Praxisinhaber berief sich hier auf sein berechtigtes Interesse, da er nicht durchgängig den Eingangsbereich besetzen könne. Nur so könne er kontinuierlich überprüfen, wer seine Praxis betritt. Dies erkannte die sächsische Datenschutzbeauftragte grundsätzlich an.

Zulässige Überwachungsbereiche

Das berechtigte Interesse beschränke sich allerdings auf den Eingangsbereich. Im vorliegenden Fall sei jedoch auch der Wartebereich aufgenommen worden. Dessen Erfassung sei für den Zweck, den Ein- und Ausgang von Personen zu überwachen, nicht erforderlich. Dies bestätige auch ein vergleichbarer Fall vor dem Bundesverwaltungsgericht (BVerwG) über die Überwachung in einer Zahnarztpraxis.

Keine kontinuierliche Live-Aufnahme

Zudem bemängelte die Datenschutzbeauftragte, dass die Videokamera ein kontinuierliches Livebild produzierte. Diese Art der Datenverarbeitung sei unverhältnismäßig. Für den konkreten Zweck reiche es aus, wenn im Sinne einer Klingelkamera, erst bei Betätigung der Türklingel oder Eintritt in die Räumlichkeiten die Liveübertragung gestartet und nach dem Betreten wieder abgeschaltet wird.

Keine Einsicht durch unbefugte Dritte

Des Weiteren kritisierte die Aufsichtsbehörde, dass auch Patientinnen und Patienten im jeweiligen Behandlungsraum die Liveübertragung über ein offenes Notebook sehen konnten. Verantwortliche müssten stets gewährleisten, dass Dritte keinen Zugriff auf die Daten haben.

Transparenzpflichten missachtet

Abschließend seien auch nicht sämtliche Transparenz- und Hinweispflichten eingehalten worden. Zwar sei die Videoüberwachung erkennbar gewesen. Allerdings sei die konkrete Ausgestaltung und der Umfang nicht ersichtlich gewesen. Dadurch sei auch die Durchsetzung von Betroffenenrechten erschwert worden.

Fazit: Videoüberwachung des Eingangs Arztpraxis erfordert sorgfältige Abwägung

Die Videoüberwachung in den Eingangsbereichen von Arztpraxen kann unter bestimmten Voraussetzungen zulässig sein, erfordert jedoch eine sorgfältige Abwägung der Interessen und eine strikte Einhaltung der datenschutzrechtlichen Vorgaben. Praxen sollten ein berechtigtes Interesse nachweisen können, transparente Hinweise geben sowie die Datensicherheit gewährleisten. Auch sollte die konkrete Ausgestaltung der Videoüberwachung genau geplant und abgewogen werden. Das gilt insbesondere bezüglich Art, Ort und Umfang der Videoaufnahmen.