UniFi Protect: Videoüberwachung datenschutzkonform betreiben
Auf einen Blick
| Gilt für | Videoüberwachung mit UniFi Protect durch Unternehmen und Vereine in Deutschland (nicht-öffentliche Stellen) |
|---|---|
| Bereich | IT-Security |
| Dauer | Konzept und Dokumentation ca. 1–2 Tage, Umsetzung in Protect ca. 1 Stunde |
| Rechte | Geschäftsleitung, Datenschutzbeauftragte(r), ggf. Betriebsrat; Administrator in UniFi Protect |
| Stand | Oktober 2026 |
Videoüberwachung mit UniFi Protect datenschutzkonform zu betreiben bedeutet für Unternehmen in Deutschland: einen klaren Zweck festlegen, nur das Nötige erfassen, Betroffene vorab informieren, Aufnahmen kurz speichern, Zugriffe begrenzen und alles dokumentieren. Grundlage sind die DSGVO und die Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen der Datenschutzkonferenz (DSK). Dieser Artikel übersetzt die wichtigsten Vorgaben in konkrete Einstellungen in UniFi Protect. Er ersetzt keine Rechtsberatung; die Bewertung im Einzelfall gehört zu Datenschutzbeauftragten bzw. Rechtsberatung.
Rechtsgrundlage und Zweck
- Für Unternehmen ist die Videoüberwachung in aller Regel nur über das berechtigte Interesse nach Art. 6 Abs. 1 Satz 1 lit. f DSGVO möglich. Die Aufsichtsbehörden wenden § 4 BDSG auf private Stellen nicht mehr an.
- Erforderlich ist ein konkreter Zweck, z. B. Schutz vor Einbruch und Vandalismus, Aufklärung von Diebstählen, Schutz von Beschäftigten vor Überfällen – idealerweise belegt durch frühere Vorfälle.
- Die Überwachung muss erforderlich sein (kein milderes Mittel wie Schloss, Beleuchtung, Zaun reicht) und die Interessen der Betroffenen dürfen nicht überwiegen (Interessenabwägung).
- Diese Abwägung wird schriftlich festgehalten und die Überwachung ins Verzeichnis der Verarbeitungstätigkeiten aufgenommen.
Was in Protect eingestellt werden sollte
| Vorgabe | Umsetzung in UniFi Protect |
|---|---|
| nur den erforderlichen Bereich erfassen | Kamera ausrichten; Privacy Zones für öffentliche Gehwege, Straßen, Nachbargrundstücke, Fenster, Bildschirme, Bezahlterminals – siehe UniFi Protect: Aufnahme, Zonen und KI-Erkennung |
| kurze Speicherdauer | feste Aufbewahrung im Storage Manager bzw. pro Kamera, in der Regel höchstens 72 Stunden |
| nur wenn nötig aufnehmen | Zeitpläne (z. B. nur nachts und am Wochenende), Modus Detection Only |
| keine Tonaufzeichnung | Mikrofon in jeder Kamera deaktivieren; Geräusch- und Spracherkennung aus |
| keine biometrische Auswertung | Gesichtserkennung aus; Kennzeichenerkennung nur mit eigenem Zweck |
| kein Schwenken/Zoomen ohne Grund | PTZ-Patrouillen und Zoom nur mit Begründung |
| Zugriffe begrenzen | wenige Benutzer mit Protect-Rechten; Export nur für Verantwortliche |
| Zugriffe nachvollziehen | Alarm Manager: Systemereignisse Admin-Zugriff und Download an Datenschutzverantwortliche melden |
| technische Sicherheit | Kamera-VLAN, Updates, starke Passwörter, Zwei-Faktor-Anmeldung, Stream Encryption – siehe UniFi Protect: Kameras einbinden und Netzwerk planen |
Speicherdauer: 72 Stunden als Regel
Die DSK geht davon aus, dass sich in den meisten Fällen innerhalb von ein bis zwei Arbeitstagen klären lässt, ob eine Aufnahme als Beweis gebraucht wird. Eine Speicherdauer von 72 Stunden ist daher in der Regel zulässig; je länger, desto höher der Begründungsaufwand.
- Längere Fristen sind z. B. über mehrtägige Feiertage oder Betriebsurlaub möglich, wenn Schäden nicht sofort bemerkt werden können – dann aber nur für die betroffenen Kameras und Zeiträume, nicht als Standard für alle.
- Interne Arbeitsabläufe begründen keine längeren Fristen.
- Wird ein Vorfall entdeckt, die relevanten Sequenzen sofort sichern (markieren, in einen Fall übernehmen, exportieren) – siehe UniFi Protect: Export, Beweissicherung und Archivierung. Danach gelten für diese Ausschnitte die Fristen des Verfahrens.
- Enhanced Retention und lange Auto-Aufbewahrung, die nur durch die Plattengröße begrenzt ist, passen in der Regel nicht zu diesen Vorgaben.
Hinweisschild
Betroffene müssen vor dem Betreten des überwachten Bereichs informiert werden. Das vorgelagerte Hinweisschild (auf Augenhöhe) enthält nach der DSK-Orientierungshilfe:
- Kamerasymbol (Umstand der Beobachtung),
- Name und Kontaktdaten des Verantwortlichen,
- Kontaktdaten der/des Datenschutzbeauftragten (soweit benannt),
- Zwecke und Rechtsgrundlage in Stichworten,
- das berechtigte Interesse,
- ggf. die Speicherdauer,
- Hinweis, wo die weiteren Pflichtinformationen (Auskunfts- und Beschwerderecht, Empfänger) zu finden sind.
Die vollständigen Informationen nach Art. 13 DSGVO liegen als Informationsblatt aus oder stehen auf der Website. Muster für Schild und Informationsblatt stellt die DSK bereit.
Ton: unbedingt abschalten
Viele UniFi-Kameras haben Mikrofone. Das Aufzeichnen des nichtöffentlich gesprochenen Wortes kann nach § 201 StGB strafbar sein. Die DSK verlangt, eine vorhandene Audiofunktion unumkehrbar zu deaktivieren. In Protect bei jeder Kamera das Mikrofon und die Sprach-/Geräuscherkennung abschalten und das in der Dokumentation festhalten.
Gesichtserkennung und KI
- Gesichtserkennung verarbeitet biometrische Daten (Art. 9 DSGVO). Für private Stellen ist sie nur in engen Ausnahmen zulässig; vorher ist laut DSK zwingend eine Datenschutz-Folgenabschätzung durchzuführen. Praktisch heißt das: ausgeschaltet lassen.
- Personen- und Fahrzeugerkennung zur Alarmierung ist weniger eingriffsintensiv, gehört aber ebenfalls in die Abwägung.
- Kennzeichenerkennung z. B. für die Schranke: Zweck, berechtigte Kennzeichenliste und Löschfristen festlegen.
Beschäftigte
- Eine Videoüberwachung von Beschäftigten ist ein schwerer Eingriff und regelmäßig unzulässig, insbesondere als Verhaltens- oder Leistungskontrolle und an dauerhaften Arbeitsplätzen. Kameras so ausrichten, dass Arbeitsplätze nicht oder nur beiläufig erfasst werden; sonst Privatzonen.
- Einwilligungen von Beschäftigten sind wegen des Abhängigkeitsverhältnisses meist nicht freiwillig und taugen selten als Grundlage.
- Besteht ein Betriebsrat, ist die Einführung technischer Überwachungseinrichtungen mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG) – vor der Inbetriebnahme eine Betriebsvereinbarung abschließen.
- Pausen-, Sozial- und Umkleideräume sowie Toiletten sind tabu.
Datenschutz-Folgenabschätzung
Eine DSFA (Art. 35 DSGVO) ist nötig, wenn ein hohes Risiko besteht – z. B. bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche, biometrischer Auswertung oder besonders schutzbedürftigen Personen (Beschäftigte, Kinder) und eingriffsintensiver Technik (hohe Auflösung, Fernzugriff, Zoom). Im Zweifel mit der/dem Datenschutzbeauftragten klären.
Weitere Fallstricke
- Öffentlicher Raum: Gehwege und Straßen dürfen Private nicht überwachen; nur ein schmaler Streifen direkt an der Fassade kann im Einzelfall vertretbar sein – Privatzonen nutzen.
- Nachbargrundstücke ausblenden.
- Attrappen verarbeiten zwar keine Daten, erzeugen aber Überwachungsdruck; zivilrechtliche Ansprüche Betroffener sind möglich.
- Fernzugriff per App: Nur Berechtigte, mit Zwei-Faktor-Anmeldung; keine Live-Bilder auf privaten Geräten ohne Regelung.
- Weitergabe: an Polizei und Versicherung bei Vorfällen in der Regel zulässig; Veröffentlichung von Aufnahmen (Aushang, soziale Medien) fast nie.
- Auskunftsanfragen (Art. 15 DSGVO) einplanen: Wer sucht und schwärzt Aufnahmen, falls eine betroffene Person Auskunft verlangt?
Dokumentation – Checkliste
| Dokument | Inhalt |
|---|---|
| Verzeichnis der Verarbeitungstätigkeiten | Zweck, Rechtsgrundlage, Kategorien, Empfänger, Löschfrist, TOM |
| Interessenabwägung | Zweck, Erforderlichkeit, mildere Mittel, Interessen der Betroffenen |
| Kameraplan | Standort, Bildausschnitt (Screenshot mit Privatzonen), Aufnahmemodus, Zeitplan, Speicherdauer |
| Hinweisschild und Informationsblatt | Standorte der Schilder, Text, Website-Link |
| Berechtigungskonzept | wer sieht live, wer sieht Aufnahmen, wer exportiert |
| Betriebsvereinbarung | falls Betriebsrat vorhanden |
| DSFA | falls erforderlich |
| Prüfprotokoll | regelmäßige Überprüfung, ob Zweck und Einstellungen noch passen |
Hinweise
- Regelmäßig prüfen: Die DSK empfiehlt, in regelmäßigen Abständen zu prüfen, ob die Überwachung noch erforderlich und rechtmäßig ist – etwa jährlich und nach Umbauten.
- Updates und Einstellungen: Neue Protect-Versionen bringen neue KI-Funktionen; nach Updates prüfen, ob Funktionen wie Gesichts- oder Spracherkennung neu aktiviert wurden.
- Bei Datenschutzkonzept, technischer Umsetzung und Dokumentation Ihrer Videoüberwachung unterstützt Sie die Cybersecurity-Beratung von m.a.x. it.
Siehe auch
- UniFi Protect – Überblick und alle Artikel der Reihe
- UniFi Protect: Aufnahme, Zonen und KI-Erkennung
- UniFi Protect: Export, Beweissicherung und Archivierung
- DSGVO
Links und Quellen
- Datenschutzkonferenz: Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen (Stand 17.07.2020)
- Cybersecurity von m.a.x. it
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
