Videoüberwachung in der Arztpraxis DSGVO-konform einsetzen: Kameras am Empfang und im Wartezimmer rechtssicher betreiben

Darf ich in meiner Arztpraxis Kameras am Empfang und im Wartezimmer betreiben?

In aller Regel nicht, zumindest nicht während der Öffnungszeiten. Empfang, Wartezimmer und Flure sind öffentlich zugängliche Bereiche, in denen Patienten erkennbar in einer Behandlungssituation sind. Eine Kamera ist dort nur im belegten Ausnahmefall zulässig. Das hat auch das Bundesverwaltungsgericht bestätigt.

Die Videoüberwachung in der Arztpraxis gehört zu den Themen, bei denen die Alltagsintuition und die Rechtslage weit auseinanderliegen. Viele Praxen denken: ein paar Kameras am Eingang, ein Hinweisschild dran, fertig. So funktioniert es im Einzelhandel vielleicht, in der Arztpraxis nicht. Der Grund liegt in der Besonderheit des Ortes.

Wer eine Arztpraxis betritt, offenbart damit, dass er sich in medizinischer Behandlung befindet. Allein die Anwesenheit im Wartezimmer ist deshalb ein Gesundheitsdatum und fällt unter die besonders schützenswerten Daten nach Art. 9 DSGVO. Eine Kamera, die aufzeichnet, wer wann die Praxis betritt, verarbeitet damit genau diese sensiblen Daten. Die grundlegenden Pflichten rund um diese Datenkategorie haben wir im Beitrag zu den DSGVO-Pflichten der Arztpraxis beschrieben.

Warum ist die Kamera im Wartezimmer so kritisch?

Weil das Wartezimmer ein Raum ist, in dem besonders schützenswerte Daten entstehen, ohne dass der Patient etwas dagegen tun kann. Er muss die Praxis betreten, um behandelt zu werden, und kann der Kamera nicht ausweichen. Deshalb wiegt sein Schutzinteresse hier schwerer als in fast jedem anderen öffentlich zugänglichen Raum.

Im Einzelhandel oder in einer Tiefgarage lässt sich eine Videoüberwachung über das berechtigte Interesse am Schutz vor Diebstahl oft rechtfertigen. In der Arztpraxis ist die Abwägung eine andere: Auf der einen Seite steht das Interesse der Praxis an Sicherheit, auf der anderen Seite stehen Patienten, deren bloße Anwesenheit schon ein sensibles Gesundheitsdatum ist. Diese Abwägung fällt fast immer zugunsten der Patienten aus.

Dazu kommt die ärztliche Schweigepflicht. Wer eine Kamera betreibt, die aufzeichnet, welche Personen die Praxis aufsuchen, schafft eine Datensammlung über Behandlungsverhältnisse. Das berührt nicht nur den Datenschutz, sondern auch die Verschwiegenheitspflicht nach § 203 StGB. Was dabei im Verhältnis zu externen Dienstleistern zu beachten ist, steht im Beitrag zu § 203 StGB und dem externen IT-Dienstleister.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Verordnung (EU) 2016/679, Art. 9 (besondere Kategorien personenbezogener Daten), Art. 6 Abs. 1 lit. f (berechtigtes Interesse als Rechtsgrundlage) und Art. 13 (Informationspflicht bei der Erhebung).

Was hat das Bundesverwaltungsgericht entschieden?

Das Bundesverwaltungsgericht hat am 27. März 2019 (Az. 6 C 2.18) entschieden, dass die Videoüberwachung in einer öffentlich zugänglichen Zahnarztpraxis regelmäßig unzulässig ist. Die Kamera sei nicht erforderlich, um berechtigte Interessen zu wahren, solange keine konkrete, über das allgemeine Lebensrisiko hinausgehende Gefährdung belegt wird.

Der Fall ist für die Praxis-Welt deshalb so wichtig, weil er die Messlatte klar beschreibt. Die Zahnärztin hatte eine Kamera im frei zugänglichen Empfangs- und Wartebereich betrieben und sich auf Sicherheit und den Schutz vor Diebstahl berufen. Das reichte dem Gericht nicht. Verlangt wird eine belegte, konkrete Gefährdungslage, nicht ein allgemeines Sicherheitsbedürfnis, das jede Praxis hat.

Das Urteil erging noch zum alten Bundesdatenschutzgesetz, die Grundwertung gilt unter der DSGVO unverändert weiter. Interessant ist ein Detail: Gerichte und Aufsichtsbehörden stützen die Zulässigkeit privater Videoüberwachung heute auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, nicht auf § 4 BDSG. Der dortige Prüfmaßstab ist derselbe, aber die saubere Rechtsgrundlage ist Art. 6.

Quelle: Bundesverwaltungsgericht, Pressemitteilung Nr. 22/2019 (Urteil vom 27.03.2019, Az. 6 C 2.18)Videoüberwachung in einer öffentlich zugänglichen Zahnarztpraxis ist regelmäßig unzulässig, solange keine erheblich über das allgemeine Lebensrisiko hinausgehende Gefährdungslage belegt ist und zumutbare Alternativen nicht dargelegt werden.

Was sagen die Datenschutzbehörden konkret?

Die Aufsichtsbehörden sind eindeutig: Eine Videoüberwachung medizinischer Einrichtungen ist jedenfalls während der gewöhnlichen Öffnungszeiten unzulässig, wenn frei zugängliche Bereiche wie Empfang, Wartezimmer oder Flure erfasst werden. Erlaubt ist sie nur, wenn eine konkrete Gefährdung belegt ist und mildere Mittel ausgeschöpft wurden.

Die Sächsische Datenschutzbehörde verlangt dafür eine zweistufige Prüfung. Zuerst: Besteht ein berechtigtes Interesse, und ist die Kamera geeignet und erforderlich, um es zu schützen? Dann: Überwiegen die schutzwürdigen Interessen der betroffenen Patienten und Mitarbeiter? Erst wenn die zweite Frage mit Nein beantwortet werden kann, ist die Überwachung zulässig. Bei frei zugänglichen Praxisbereichen während der Öffnungszeiten fällt diese Abwägung praktisch immer gegen die Kamera aus.

Bevor überhaupt eine Kamera infrage kommt, müssen mildere Mittel geprüft und, wo möglich, eingesetzt werden. Die Behörden nennen dafür konkrete Beispiele: ein dauerhaft besetzter Empfang, abschließbare Schränke für Wertsachen, das Wegschließen von Medikamenten und Instrumenten sowie ein manueller Türöffner oder eine Klingelanlage. Nur wenn diese Mittel nachweislich nicht ausreichen, kommt eine Kamera überhaupt in Betracht.

Quelle: Sächsische Datenschutz- und Transparenzbeauftragte: Videoüberwachung in medizinischen EinrichtungenWährend der gewöhnlichen Praxisöffnungszeiten ist eine Videoüberwachung frei zugänglicher Bereiche nicht zulässig. Vor einer Überwachung sind mildere Mittel wie besetzter Empfang, abschließbare Schränke und manuelle Türöffner zu prüfen.

Wann ist eine Kamera doch erlaubt?

Eine Kamera kann zulässig werden, wenn Sie eine konkrete Gefährdungslage belegen können, die über das allgemeine Lebensrisiko hinausgeht, und wenn mildere Mittel nicht ausreichen. Der klassische Fall ist der Einbruchschutz außerhalb der Öffnungszeiten, weil dann keine Patienten gefilmt werden.

Konkret heißt das: Wiederholte Einbrüche, dokumentierter Vandalismus, Diebstähle aus der Praxis oder aus dem Gebäude, Bedrohungslagen gegen das Personal. Je besser Sie den Anlass belegen, mit Anzeigen, Fotos, einer Chronologie der Vorfälle, desto eher trägt das berechtigte Interesse. Ein pauschales Unsicherheitsgefühl trägt es nicht.

Der zeitliche Zuschnitt ist der entscheidende Hebel. Eine Anlage, die nur nachts und am Wochenende scharf geschaltet ist und tagsüber während der Sprechzeiten abgeschaltet bleibt, erfasst keine Patienten in der Behandlungssituation. Das verändert die Abwägung grundlegend. Technisch lässt sich das über Zeitsteuerung und klar abgegrenzte Erfassungsbereiche lösen, etwa nur die Eingangstür von außen oder der Zugang zum Gebäude, nicht der Innenraum mit wartenden Patienten.

Welche Bereiche sind absolut tabu?

Behandlungs- und Untersuchungsräume, Toiletten, Umkleiden und reine Personalbereiche wie Pausen- oder Sozialraum dürfen niemals videoüberwacht werden. Dort ist die Schutzwürdigkeit so hoch, dass eine Kamera praktisch ausnahmslos unverhältnismäßig ist. Auch die dauerhafte Beobachtung von Mitarbeiterinnen am Tresen ist unzulässig.

Bei den Behandlungsräumen ist die Sache offensichtlich: Hier entstehen die intimsten Gesundheitsdaten überhaupt, eine Kamera ist ausgeschlossen. Bei Toiletten und Umkleiden verbietet sich die Überwachung aus dem allgemeinen Persönlichkeitsrecht ohnehin. Weniger offensichtlich, aber genauso klar: die dauerhafte Überwachung des eigenen Personals.

Eine Kamera, die permanent den Empfangstresen filmt, überwacht die dort arbeitenden MFAs während ihrer gesamten Arbeitszeit. Das ist ein schwerer Eingriff und als Dauerüberwachung von Beschäftigten regelmäßig unzulässig. Selbst wenn eine Kamera zum Einbruchschutz erlaubt ist, muss der Erfassungsbereich so zugeschnitten sein, dass er den Arbeitsplatz nicht permanent im Bild hat.

Welche Pflichten habe ich, wenn eine Kamera zulässig ist?

Auch eine erlaubte Kamera bringt Pflichten mit sich. Sie müssen transparent über die Überwachung informieren, die Aufnahmen nur kurz speichern, den Zugriff streng begrenzen, die Verarbeitung dokumentieren und meist eine Datenschutz-Folgenabschätzung durchführen. Erst wenn das steht, ist die Anlage rechtssicher.

Die Information läuft zweistufig, so wie es die Datenschutzkonferenz in ihrer Orientierungshilfe beschreibt. Vor dem Erfassungsbereich steht ein Hinweisschild mit den wichtigsten Angaben: dass gefilmt wird, wer verantwortlich ist und wozu. Die ausführlichen Pflichtangaben nach Art. 13 DSGVO, also Zweck, Rechtsgrundlage, Speicherdauer, Betroffenenrechte und Kontakt des Datenschutzbeauftragten, müssen zusätzlich leicht zugänglich bereitliegen, etwa am Empfang oder als Aushang.

Die Speicherdauer muss so kurz wie möglich sein. Die Behörden gehen regelmäßig von 48 bis 72 Stunden aus, sofern kein konkreter Vorfall eine längere Aufbewahrung rechtfertigt. Danach ist automatisch zu löschen. Der Zugriff auf die Aufnahmen gehört auf wenige berechtigte Personen beschränkt und protokolliert. Weil Gesundheitsdaten betroffen sind, ist zudem fast immer eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig, und die Überwachung muss ins Verzeichnis von Verarbeitungstätigkeiten.

1. 1
   Gefährdung und mildere Mittel prüfen
   Dokumentieren Sie die konkrete Gefährdungslage (Einbrüche, Vandalismus, Diebstähle) mit Anzeigen und Fotos. Prüfen und nutzen Sie zuerst mildere Mittel wie besetzten Empfang, abschließbare Schränke und Türöffner. Nur wenn diese nicht ausreichen, kommt eine Kamera infrage.
2. 2
   Erfassungsbereich und Zeiten festlegen
   Beschränken Sie die Kamera auf den nötigen Bereich, etwa die Eingangstür von außen, nicht den Innenraum mit wartenden Patienten. Schalten Sie die Anlage nach Möglichkeit nur außerhalb der Öffnungszeiten scharf, damit keine Patienten erfasst werden.
3. 3
   Datenschutz-Folgenabschätzung durchführen
   Weil Gesundheitsdaten betroffen sind, ist in der Regel eine DSFA nach Art. 35 DSGVO erforderlich. Binden Sie Ihren Datenschutzbeauftragten ein und halten Sie das Ergebnis schriftlich fest.
4. 4
   Information und Hinweisschild einrichten
   Bringen Sie vor dem Erfassungsbereich ein Hinweisschild an und legen Sie die ausführlichen Pflichtangaben nach Art. 13 DSGVO am Empfang bereit: Zweck, Rechtsgrundlage, Speicherdauer, Betroffenenrechte und Kontakt des DSB.
5. 5
   Speicherung, Zugriff und Löschung technisch absichern
   Begrenzen Sie die Speicherdauer auf wenige Tage mit automatischer Löschung, beschränken Sie den Zugriff auf wenige Personen und protokollieren Sie ihn. Schließen Sie mit jedem externen Dienstleister einen AVV ab und nehmen Sie die Überwachung ins Verzeichnis von Verarbeitungstätigkeiten auf.

Quelle: Datenschutzkonferenz (DSK): Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen (2020)Anforderungen an Zweckfestlegung, Rechtsgrundlage, zweistufige Information (Hinweisschild plus ausführliche Angaben nach Art. 13 DSGVO), kurze Speicherdauer und technisch-organisatorische Maßnahmen bei Videoüberwachung.

Was passiert bei Verstößen?

Eine unzulässige oder schlecht dokumentierte Videoüberwachung ist ein Datenschutzverstoß mit realem Bußgeldrisiko. Weil die fehlende Rechtsgrundlage und die verletzte Informationspflicht zu den schwereren Verstößen zählen, reicht der Rahmen nach Art. 83 Abs. 5 DSGVO bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Für eine einzelne Praxis sind solche Höchstbeträge zwar theoretisch, die real verhängten Bußgelder sind aber keineswegs symbolisch. Ein dokumentierter Fall aus Hamburg zeigt das: Für eine Videoüberwachung ohne ausreichende Information der Betroffenen verhängte die Behörde ein Bußgeld von 15.000 Euro wegen Verstoßes gegen die Informationspflicht nach Art. 13 DSGVO. Das betraf allein die fehlende Transparenz, unabhängig von der Frage, ob die Kamera überhaupt zulässig war.

Dazu kommt: Jede betroffene Person kann sich bei der Aufsichtsbehörde beschweren, und ein einziger verärgerter Patient reicht aus, um eine Prüfung auszulösen. Neben dem Bußgeld drohen Schadensersatzforderungen nach Art. 82 DSGVO und der Reputationsschaden, wenn bekannt wird, dass eine Praxis ihre Patienten unzulässig gefilmt hat. Das Risiko steht in keinem Verhältnis zum oft fraglichen Nutzen der Kamera.

Quelle: aerzteversichert.de: DSGVO-Bußgelder gegen Arztpraxen, FallübersichtDokumentierter Fall einer Videoüberwachung ohne ausreichende Information: Bußgeld von 15.000 Euro in Hamburg wegen Verstoßes gegen die Informationspflicht nach Art. 13 DSGVO.

Zulässige und unzulässige Lösung im Vergleich

Der Unterschied zwischen einer rechtssicheren und einer riskanten Lösung lässt sich an wenigen Punkten festmachen. Die folgende Gegenüberstellung zeigt, woran eine unzulässige Praxislösung typischerweise scheitert und wie eine erlaubte Anlage aussieht.

Was kostet eine datenschutzkonforme Lösung?

Die Kosten hängen weniger an der Technik als an der sauberen Planung. Eine Kamera ist günstig, die rechtssichere Einrichtung mit Zonierung, Zeitsteuerung, Dokumentation und Folgenabschätzung ist der eigentliche Aufwand. Die folgenden Werte sind grobe Orientierung, keine Angebote.

Dem gegenüber steht das Risiko. Eine unzulässige Kamera ist nicht nur ein potenzielles Bußgeld, sie ist auch ein Vertrauensbruch gegenüber den Patienten. Oft ist die ehrlichste Antwort, dass die Praxis gar keine Kamera braucht, sondern eine abschließbare Tür, einen besetzten Empfang und ein paar organisatorische Regeln. Für die Einwilligung der Patienten in andere Datenverarbeitungen lohnt sich ohnehin ein geordneter Prozess, wie im Beitrag zum Einwilligungsmanagement in der Arztpraxis beschrieben.

Wie ITCC Ihre Praxis dabei unterstützt

ITCC ist externe IT-Abteilung für medizinische Einrichtungen in der Region Pfalz/Rhein-Neckar und Rhein-Main. Wir sind keine Anwaltskanzlei und ersetzen keine Rechtsberatung, aber wir planen und betreiben Kamera-Lösungen so, dass sie technisch und organisatorisch zur Rechtslage passen, statt ein Risiko in die Praxis zu holen.

Konkret heißt das: Wir sehen uns Ihre Situation an und sagen ehrlich, ob eine Kamera überhaupt der richtige Weg ist oder ob mildere Mittel das Problem besser lösen. Wenn eine Anlage sinnvoll und zulässig ist, richten wir sie mit sauberer Zonierung und Zeitsteuerung ein, sodass keine Patienten in der Behandlungssituation erfasst werden. Wir setzen kurze Löschfristen technisch um, beschränken den Zugriff, schließen den nötigen Auftragsverarbeitungsvertrag ab und bringen die Überwachung in Ihre Dokumentation und das Verzeichnis von Verarbeitungstätigkeiten. Die Datenschutz-Folgenabschätzung begleiten wir gemeinsam mit Ihrem Datenschutzbeauftragten.

Wenn Sie wissen wollen, ob die Kamera an Ihrem Empfang heute ein Risiko ist und welche Lösung zu Ihrer Praxis passt, schreiben Sie uns unter info@itcc.de oder rufen Sie an. Sie bekommen eine ehrliche Einschätzung und eine konkrete Empfehlung, ohne langes Erstgespräch ohne Ergebnis.