CCTV-Materialanfragen unter der DSGVO: Polizei, Versicherer und Auskunftsersuchen

Früher oder später fragt dich jemand nach deinen CCTV-Aufnahmen. Es könnte eine Polizeibeamtin sein, die einen Einbruch untersucht, ein Versicherer, der einen Schaden bearbeitet, ein Anwalt, der einen Fall vorbereitet, oder einfach ein Kunde, der sich selbst dabei sehen möchte, wie er durch dein Geschäft läuft. Jede dieser Anfragen unterliegt einem anderen Teil der DSGVO, und der mit Abstand häufigste Fehler ist, alle gleich zu behandeln: die Rohdatei herauszugeben und jede zufällig im Bild befindliche Person bloßzustellen.

Hinweis: Dieser Inhalt dient ausschließlich allgemeinen Informationszwecken und stellt keine Rechtsberatung dar. Vorschriften und Leitlinien der Aufsichtsbehörden unterscheiden sich je nach Rechtsordnung und ändern sich im Laufe der Zeit. Hol dir für eine auf deine Situation zugeschnittene Einschätzung immer Rat von einer qualifizierten Rechts- oder Datenschutzfachperson.

TL;DR

• Polizeianfragen: Du kannst grundsätzlich ohne Einwilligung auf Basis einer Rechtsgrundlage offenlegen (rechtliche Verpflichtung oder berechtigtes Interesse an Kriminalprävention). Lass dir die Anfrage schriftlich geben, teile nur den relevanten Zeitraum, protokolliere es. Die Herausgabe des kompletten Clips an die Polizei ist meist unproblematisch: worauf es ankommt, ist Verifizierung, nicht Schwärzung.
• Auskunftsersuchen (Art. 15): Wer gefilmt wurde, hat das Recht auf eine Kopie der Aufnahmen von sich selbst. Du hast einen Monat Zeit für die Antwort. Art. 15 Abs. 4 verlangt, dass du jede andere identifizierbare Person schwärzt, bevor du offenlegst: das ist der Teil, den Organisationen falsch machen.
• Versicherer, Anwaltskanzleien und andere private Parteien: kein automatisches Recht auf Material. Du brauchst eine Einwilligung, eine rechtmäßige Anspruchsgrundlage oder einen Gerichtsbeschluss, und du solltest trotzdem minimieren und Dritte schwärzen.
• Manuelles Exportieren und Schwärzen ist der Punkt, an dem die meisten kleinen Organisationen ins Stocken geraten. CCTV-Material automatisch anonymisieren: Gesichter und Kennzeichen erkennen, die berechtigte Person sichtbar lassen, alle anderen pixelieren.

Nicht jede Anfrage ist dieselbe Anfrage

Wenn du eine Kamera betreibst, die identifizierbare Personen erfasst (einen Ladeneingang, eine Bürolobby, eine Lagerrampe, eine Wohnanlage), bist du unter der DSGVO Verantwortliche oder Verantwortlicher für dieses Material. Dieser Status schafft nicht nur Pflichten dafür, wie du aufzeichnest und aufbewahrst; er schafft Pflichten jedes Mal, wenn dich jemand bittet, es herauszugeben.

Die drei Anfragearten, denen du tatsächlich begegnen wirst, sind:

1. Strafverfolgung, die eine Straftat oder einen Vorfall untersucht.
2. Die Person, die im Material erscheint, die ihr Auskunftsrecht ausübt.
3. Eine private dritte Partei (ein Versicherer, eine Anwältin, ein Arbeitgeber, eine Nachbarin), die Material für einen Anspruch, einen Streit oder eine Untersuchung möchte.

Die Rechtsgrundlage, die Frist und deine Schwärzungspflicht unterscheiden sich für jede von ihnen. Verwechselst du die Kategorisierung, legst du entweder zu viel offen (verletzt unrechtmäßig die Daten von Umstehenden) oder zu wenig (verfehlst eine gesetzliche Pflicht). Für den zugrunde liegenden Rahmen (Rechtsgrundlage, Aufbewahrung, Beschilderung und DSFA) siehe unseren Leitfaden zu DSGVO-Anforderungen bei Videoüberwachung.

Polizei- und Strafverfolgungsanfragen

Das ist der Fall, um den sich CCTV-Betreiber am meisten sorgen und den sie am wenigsten verstehen. In der Praxis ist er meist der einfachste.

Du kannst Material der Polizei ohne Einwilligung der abgebildeten Personen offenlegen, gestützt auf eine von zwei Rechtsgrundlagen nach Art. 6 DSGVO:

• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): wenn eine förmliche Herausgabeanordnung, ein Durchsuchungsbeschluss oder eine konkrete gesetzliche Pflicht die Offenlegung erzwingt, musst du nachkommen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): bei einer informellen, aber echten Ermittlungsanfrage rechtfertigen sowohl dein Interesse als auch das Interesse der Polizei an der Verhinderung oder Aufklärung von Straftaten typischerweise die Weitergabe des relevanten Materials, sofern sie verhältnismäßig ist.

Best Practice, nicht nur das rechtliche Minimum:

• Lass dir die Anfrage schriftlich geben, mit Angabe der anfragenden Beamtin oder des Beamten, der Fall- oder Aktenzeichen und des Grunds für den Bedarf am Material.
• Teile nur den Zeitraum und die Kamera(s), die tatsächlich relevant sind, nicht die Aufnahme eines ganzen Tages, weil das den Export erleichtert.
• Protokolliere die Offenlegung: Datum, Beamtin oder Beamter, Beschreibung des Materials, herangezogene Rechtsgrundlage.

Du bist grundsätzlich nicht verpflichtet, Umstehende zu schwärzen, bevor du der Polizei Material für einen rechtmäßigen, dokumentierten Ermittlungszweck übergibst: ein vollständiger, unbearbeiteter Clip ist oft das, was ihn als Beweismittel brauchbar macht. Die Pflicht, an der Menschen hier scheitern, ist nicht die Schwärzung, sondern die Verifizierung: Bestätige, dass die Anfrage echt ist (ein Anruf von jemandem, der behauptet, Beamter zu sein, ohne schriftliche Bestätigung im Nachgang, reicht nicht), bevor du irgendetwas offenlegst.

Auskunftsersuchen: wenn die gefilmte Person selbst fragt

Das ist die Anfrageart, die tatsächlich betrieblichen Kopfschmerzen verursacht, und es lohnt sich, hier langsamer vorzugehen.

Art. 15 DSGVO gibt jeder Person, deren personenbezogene Daten du verarbeitest (einschließlich jeder Person, deren Gesicht auf deinen CCTV-Aufnahmen erscheint), das Recht, eine Kopie davon zu erhalten. Wenn eine Kundin, ein Mitarbeiter oder eine Passantin fragt: „Kann ich die Aufnahmen von mir von Dienstagnachmittag haben?", ist das ein formelles Auskunftsersuchen (Subject Access Request, SAR), egal ob diese Formulierung benutzt wird oder nicht.

Zwei Dinge folgen daraus:

Die Ein-Monats-Frist läuft sofort. Art. 12 Abs. 3 DSGVO gibt dir einen Kalendermonat ab Eingang der Anfrage zum Antworten, verlängerbar um bis zu zwei weitere Monate nur bei komplexen oder umfangreichen Anfragen, und du musst die anfragende Person innerhalb des ersten Monats über die Verlängerung und deren Grund informieren. „Wir kümmern uns irgendwann darum" ist nicht konform.

Art. 15 Abs. 4 DSGVO ist die Pflicht, die am meisten zählt. Das Auskunftsrecht darf „die Rechte und Freiheiten anderer Personen" nicht beeinträchtigen. Ein einzelner zwanzigminütiger Clip einer Kamera in der Verkaufsfläche kann leicht Dutzende weiterer Kundinnen zeigen, dazu Mitarbeitende bei ihrer Arbeit, von denen niemand einer Offenlegung an eine dritte Person zugestimmt hat. Du kannst nicht rechtmäßig einen Rohclip herausgeben, der sie identifiziert, nur weil eine Person darin ein Recht auf ihre eigenen Daten hat.

In der Praxis bedeutet das: Bevor du das Material herausgibst, musst du jede andere identifizierbare Person im Bild auffinden und schwärzen (Gesichter und alles andere, was sie identifiziert), während du das Bild der anfragenden Person selbst intakt lässt. Genau hier wird manuelle Schwärzung zu einem echten Engpass. Ein zwanzigminütiger Multikamera-Export kann über einen belebten Nachmittag hunderte Umstehende enthalten; jeden einzeln, Frame für Frame, in einem allgemeinen Videoeditor unscharf zu machen, ist ein Tagewerk für eine Anfrage, die du gesetzlich innerhalb eines Monats beantworten musst.

Versicherer, Anwaltskanzleien und andere private Parteien

Anders als die Polizei haben ein Versicherer, die Gegenanwältin oder ein privater Ermittler kein automatisches Recht auf deine CCTV-Aufnahmen. Du brauchst eines von:

• Ausdrückliche Einwilligung der Personen, deren Daten offengelegt würden (bei Umstehenden selten praktikabel).
• Einen berechtigten Rechtsanspruch, bei dem die Weitergabe des Materials notwendig ist, um diesen Anspruch geltend zu machen, auszuüben oder zu verteidigen.
• Einen Gerichtsbeschluss oder ein förmliches rechtliches Verfahren, das die Offenlegung erzwingt.

Auch wenn eines davon zutrifft, gilt hier ebenfalls als gute Praxis derselbe Datenminimierungsgrundsatz aus Art. 15 Abs. 4 DSGVO: Teile nur den relevanten Zeitraum und schwärze alle, die nicht Partei des Anspruchs sind, sofern es keinen konkreten Grund gibt, sie sichtbar zu lassen (zum Beispiel, weil sie eine für den Streit relevante Zeugin sind). Behandle solche Anfragen mit mehr, nicht weniger Prüfung als eine Polizeianfrage: eine private Partei, die nach Überwachungsmaterial fragt, ist ein häufiger Weg, auf dem Menschen nach Informationen fischen, auf die sie kein Recht haben.

So beantwortest du eine CCTV-Materialanfrage

Der Workflow hat unabhängig davon, wer fragt, dieselbe Form; nur die Schwärzungsentscheidung ändert sich.

1. Identität und Rechtsgrundlage der anfragenden Person prüfen. Kläre, wer fragt und warum, bevor du den Rekorder anfasst. Polizeianfragen sollten mit einem Aktenzeichen kommen; Auskunftsersuchen brauchen eine Identitätsprüfung gegen das Material; Versicherer und Anwaltskanzleien müssen eine Einwilligung, eine Anspruchsgrundlage oder einen Beschluss vorweisen.
2. Material auffindbar machen und nur das relevante Zeitfenster exportieren. Ziehe den konkreten Kamerakanal und Zeitraum. Ein engerer Export bedeutet weniger Personen zum Schwärzen und weniger Risiko, wenn später etwas schiefgeht.
3. Jede dritte Person und jedes identifizierende Detail im Bild erfassen. Gesichter, Kennzeichen, Namensschilder, Bildschirme: alles, was jemanden identifiziert, der nicht die anfragende Person ist.
4. Alle unkenntlich machen, die kein Recht auf Erscheinen haben. Pixeliere Umstehende bei einem Auskunftsersuchen, während die anfragende Person sichtbar bleibt; schwärze standardmäßig alle Dritten bei Versicherern, Anwaltskanzleien und anderen privaten Anfragen.
5. Datei sicher übermitteln und die Offenlegung protokollieren. Keine offenen Links oder unverschlüsselten E-Mails für alles, was personenbezogene Daten enthält. Halte fest, was du mit wem auf welcher Grundlage und wann geteilt hast.
6. Deine Aufbewahrungsrichtlinie auf die Arbeitskopien anwenden. Sobald die Offenlegung erledigt ist, lösche die exportierten und geschwärzten Dateien gemäß deiner dokumentierten Aufbewahrungsfrist; lass Ad-hoc-Exporte nicht außerhalb deiner normalen CCTV-Speicherregeln liegen.

Wo Medianonymizer ansetzt

Schritt 4 ist der, an dem die meisten kleinen Organisationen ins Stocken geraten, denn „jede umstehende Person außer einer, Frame für Frame, über einen bewegten Multikamera-Clip hinweg unscharf machen" ist genau die Art von Aufgabe, die in einem allgemeinen Videoeditor zusammenbricht.

Medianonymizers CCTV-Anonymisierer ist für genau diese Aufgabe gebaut. Lade deinen exportierten Clip in einem gängigen Videoformat hoch, und die KI erkennt Gesichter, Kennzeichen und Bildschirmtext über jeden Frame automatisch. Du überprüfst die Erkennungen in einer Vorschau und wählst dann selektive Schwärzung: die Bewegungen der anfragenden Person intakt lassen und alle anderen pixelieren, oder jede identifizierbare Person unscharf machen, falls die Offenlegung das verlangt. Die Ausgabe ist deterministisch (die markierten Pixel werden neu kodiert und zerstört, nicht von einem Overlay verdeckt, das sich später abziehen ließe), was zählt, falls eine Aufsichtsbehörde jemals fragt, wie die Schwärzung durchgeführt wurde. Es ist kein Konto erforderlich, du zahlst pro Datei (Video ab €4,99), und es verarbeitet lange Exporte (Aufnahmen von bis zu rund zwei Stunden), ohne dass du eine Timeline oder ein Keyframe anfassen musst.

Das ersetzt keine Beurteilung darüber, wer worauf Anspruch hat. Es ersetzt die Frame-für-Frame-Handmaskierung, die die Schwärzungspflicht innerhalb einer Ein-Monats-Frist unmöglich erscheinen lässt. Für dieselbe Überlegung, angewendet auf breiter geteiltes Material (mit der Presse, bei Anfragen nach dem Informationsfreiheitsgesetz oder für Schulungszwecke) siehe Überwachungsvideos anonymisieren.

Baue das Anfrageverfahren in deine CCTV-Richtlinie ein

Ein Verfahren für Materialanfragen sollte nicht beim ersten Mal, wenn jemand fragt, improvisiert werden. Es gehört in dieselbe CCTV-Richtlinie, die deine Beschilderung, deine Rechtsgrundlage und deine Aufbewahrungsfrist abdeckt: wer Anfragen entgegennimmt, wie Identität und Rechtsgrundlage geprüft werden, die Schwärzungsvorgabe für jede Anfrageart und wo das Offenlegungsprotokoll liegt. Falls du das noch nicht dokumentiert hast, deckt unser Leitfaden zu DSGVO-Anforderungen bei Videoüberwachung den vollständigen Rahmen ab, und unser Vergleich von Anonymisierung versus Pseudonymisierung erklärt, warum unwiderrufliche Schwärzung (nicht eine umkehrbare Maske) eine Offenlegung für die empfangende Person tatsächlich aus dem Anwendungsbereich der DSGVO herausnimmt.

Beantworte deine nächste CCTV-Anfrage ohne den manuellen Schwärzungsaufwand

Ob es eine Polizeianfrage, ein Auskunftsersuchen oder der Anspruch eines Versicherers ist, die Form des Problems ist dieselbe: das richtige Zeitfenster exportieren, herausfinden, wer worauf Anspruch hat, und alle anderen schwärzen, bevor es deine Kontrolle verlässt.

Jetzt CCTV-Export anonymisieren →