Schutz personenbezogener Daten in der Sicherheitstechnik

Worauf man im Hinblick auf die Datensicherheit bei der Planung und Installation von Videoüberwachungsanlagen achten sollte, darüber sprachen wir mit Jochen Sauer, Business Development Manager bei der Axis Communications GmbH.

»de«: Herr Sauer, regelmäßig hört man vom Diebstahl von Kundendaten, wobei es sich hier i. d. R. um Adress- oder Bankdaten han­delt. Besteht diese Gefahr auch für Daten, die in der Videoüberwachung entstehen?

J. Sauer: Prinzipiell ja. Auch wenn man sich die Frage stellen könnte, was jemand mit unrechtmäßig erworbenen Videobildern anstellen will, so zeigt die Praxiserfahrung doch: Alles, was passieren kann, wird auch passieren. Und bei Videobildern handelt es sich um sensible Daten.

»de«: Wer ist denn für den sicheren Umgang mit diesen Daten verantwortlich?

J. Sauer: Grundsätzlich trägt zunächst einmal der Betreiber der Anlage die Verantwortung für personenbezogene Daten, also zum Beispiel der Betreiber eines Hotels. Dort entstehen personenbezogene Daten, z. B. über die Software für die Verwaltung der Hotelgäste. Gleichzeitig fallen in vielen Fällen auch Videobilder an, wenn Eingänge, Flure, Tief­garagen oder ähnliches videoüberwacht werden.

Tritt ein Datendiebstahl bzw. Missbrauch auf, werden sich Betroffene zunächst mit dem Betreiber in Verbindung setzen. Doch dieser ist ja in aller Regel kein Fachmann und wird sich dementsprechend mit dem Planer und/oder Facherrichter in Verbindung setzen. Und dann stellt sich die Frage: Wurde die Anlage nach dem Stand der Technik errichtet und wird sie auch nach dem Stand der Technik betrieben?

»de«: Gibt es ein paar allgemeine Grundsätze, die man beachten sollte?

J. Sauer: In der Praxis sehe ich häufig, dass für die Videoüberwachung das bestehende Netzwerk genutzt wird – sei es aus Unkenntnis oder aus Kostengründen. Natürlich kann man gerade bei Nachrüstungen nicht immer einfach ein zusätzliches, physikalisch getrenn­tes Netzwerk verlegen. Das ist oft auch gar nicht erforderlich, die Einrichtung eines datentechnisch getrennten VLANs erfüllt den Zweck ebenso. Missbrauchsgefahr besteht in diesem Fall an den Stellen, an denen Brücken zu anderen Systemen bestehen. Hier ist die Einrichtung einer so genannten »White­list« hilfreich, also eine Definition des vertrauenswürdigen Nutzerkreises, der auf diese Daten zugreifen kann.

In der Regel werden Videobilder auch für eine spätere Dokumentation gespeichert. Hier sollte man nach der Maßgabe verfahren: Speicherung nur in einem der Zweckbindung erforderlichen Zeitraum. Ein Beispiel: An den Zapfsäulen einer Tankstelle geht es um die Aufklärung von Tankdiebstahl. Hier dürfte die Speicherung der Daten für etwa maximal 72 Stunden ausreichend sein.

»de«: Und wenn der Kunde diesen Zusatzaufwand z. B. aus Kostengründen ablehnt?

J. Sauer: Dann gilt der gleiche Grundsatz wie in anderen Bereichen der Gebäudetechnik auch: Der Facherrichter und/oder der Fachplaner muss den Betreiber auf mögliche Risiken hinweisen und sich dies auch schriftlich bestätigen lassen, Stichwort Bedenkenanzeige. Wichtig ist hier die Unterschrift des Betreibers. In diesem Zusammenhang möchte ich auf die sehr guten Entscheidungshilfen des BHE Bundesverband Sicherheitstechnik e.V. hinweisen. Diese Checklisten und Informationspapiere sind speziell für den Bereich Videosicherheitstechnik von Fachleuten erstellt worden.

»de«: Wie sieht es mit der Datenspeicherung bei Cloudanbietern aus?

J. Sauer: Ob einem diese Dienste nun gefallen oder nicht, deren Verbreitung nimmt definitiv zu. Gerade für kleinere Anwendungen kann dies durchaus eine wirtschaftliche Alternative sein. Hier gilt es aber kritisch zu hinterfragen, ob und welche Datenschutzvorgaben der Cloudanbieter erfüllt.

»de«: Herr Sauer, vielen Dank für das Gespräch.