Videoüberwachung in der Arztpraxis: Was ist laut DSGVO erlaubt?

Videoüberwachung in der Arztpraxis ist nur in sehr engen Ausnahmefällen zulässig. Wer eine Arztpraxis betritt, gibt je nach Fachrichtung und Umstand möglicherweise bereits ein Gesundheitsdatum preis. Aufgrund dessen hat das Bundesverwaltungsgericht (BVerwG) in seinem Leiturteil vom 27. März 2019 (Az. 6 C 2.18) anhand des Falls einer Zahnarztpraxis klargestellt: Die Videoüberwachung von öffentlich zugänglichen Bereichen einer Arztpraxis während der Öffnungszeiten ist grundsätzlich unzulässig.

Im konkreten Fall hatte eine Zahnärztin eine Kamera oberhalb des Empfangstresens installiert, die den Bereich vor dem Tresen, den Flur zwischen Eingangstür und Tresen sowie einen Teil des Wartezimmers erfasste. Hinweisschilder mit dem Aufdruck „Videogesichert“ waren angebracht. Die Zahnärztin begründete die Überwachung mit Einbruchschutz, Kostensenkung und der Möglichkeit, Patienten im Wartezimmer bei einem Notfall rasch helfen zu können. Das Bundesverwaltungsgericht folgte keinem dieser Argumente.

Da bereits das Aufsuchen einer Arztpraxis, Zahnarztpraxis oder sonstigen medizinischen Einrichtung Aufschluss über den Gesundheitszustand einer Person geben kann, stellt die Videoüberwachung einer Arztpraxis die Verarbeitung besonders sensibler personenbezogener Daten dar (Art. 4 Nr. 15 DSGVO, Art. 9 DSGVO). Damit gelten für die Zulässigkeitsprüfung deutlich strengere Maßstäbe als in anderen Gewerbebetrieben.

Das bedeutet in der Praxis: Die Interessenabwägung, die Art. 6 Abs. 1 lit. f DSGVO vorschreibt, fällt bei Arztpraxen fast immer zugunsten der Patienteninteressen aus. Art. 6 Abs. 1 lit. f DSGVO erlaubt eine Datenverarbeitung, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen erforderlich ist und die Interessen der betroffenen Personen nicht überwiegen. Bei Arztpraxen muss dafür eine über das allgemeine Lebensrisiko hinausgehende, konkrete Gefährdungslage nachgewiesen werden, die so gravierend ist, dass keine weniger eingreifende Maßnahme denselben Zweck erfüllen könnte.

Das Ärzteblatt nennt als maßgebliche Kriterien für die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO in Arztpraxen folgende Gesichtspunkte, die für eine Zulässigkeit sprechen können:

• Verhinderung konkreter Straftaten, sofern eine über das allgemeine Lebensrisiko hinausgehende Gefährdung nachgewiesen ist
• Beweiserhebung zur Rechtsverfolgung von Straftaten
• Vorhersehbarkeit der Überwachungsmaßnahme für die betroffenen Personen (z. B. durch deutlich sichtbare Hinweisschilder)
• deutlich ins Gewicht fallende Kostensenkung, sofern keine gleichwertigen organisatorischen Maßnahmen möglich sind
• Unzumutbarkeit der Verweisung auf alternative Maßnahmen im konkreten Einzelfall

Diese Kriterien decken sich mit der Position der Datenschutzkonferenz (DSK), dem Zusammenschluss aller deutschen Datenschutzaufsichtsbehörden: Das DSK-Kurzpapier Nr. 15 zur Videoüberwachung hält fest, dass Videoüberwachung in ärztlichen Behandlungs- und Wartebereichen in der Regel nicht zu erwarten und nicht akzeptiert ist. Für Arztpraxen bedeutet das: Selbst wenn die Kriterien des Art. 6 Abs. 1 lit. f DSGVO formal erfüllbar wären, müssen die besonders strengen Anforderungen des Art. 9 DSGVO für Gesundheitsdaten zusätzlich überwunden werden.

Eine Zahnärztin installierte eine Kamera über dem unbesetzten Empfangstresen. Während der Öffnungszeiten war die Praxis frei zugänglich. Die Ärztin begründete die Überwachung mit drei Argumenten: Vorbeugung von Straftaten, rasche Erkennung von Notfällen im Wartezimmer und Senkung der Betriebskosten.

Das Bundesverwaltungsgericht wies alle drei Argumente zurück (Az. 6 C 2.18). Erstens war keine konkrete, erheblich über das allgemeine Lebensrisiko hinausgehende Gefährdung belegt. Zweitens hätte bei Notfällen ein Druckknopf im Wartezimmer denselben Zweck erfüllt. Drittens rechtfertigt Kostensenkung allein keinen Eingriff in das Recht auf informationelle Selbstbestimmung.

Die Datenschutzaufsicht verpflichtete die Praxis, die Kamera so auszurichten, dass der Empfangsbereich, der Flur und das Wartezimmer nicht mehr erfasst wurden.

Ob ein Bereich in der Arztpraxis videoüberwacht werden darf, hängt vom konkreten Raumtyp und davon ab, ob die Praxis geöffnet ist oder nicht. Grundsätzlich gilt: Je eher ein Bereich für Patienten frei zugänglich ist, desto strenger sind die Anforderungen. Die folgende Übersicht fasst zusammen, was Rechtsprechung und Aufsichtsbehörden bisher klargestellt haben.

Videoüberwachung in einer Arztpraxis kann außerhalb der Öffnungszeiten zum Einbruchschutz zulässig sein, weil außerhalb der Öffnungszeiten keine Patienten anwesend sind und damit kein Risiko besteht, Gesundheitsdaten zu erfassen. Voraussetzung ist, dass alle folgenden Kriterien erfüllt sind.

• Berechtigtes Interesse: Es besteht ein konkretes, berechtigtes Interesse, zum Beispiel durch frühere Einbrüche in der Praxis oder nachweislich in der Nachbarschaft.
• Begrenzte Kamerasicht: Die Kameras sind ausschließlich auf interne Arbeitsbereiche gerichtet (Empfang, Medikamentenschrank, Flur), nicht auf Sanitärräume, Pausenräume oder Bereiche mit besonderer Intimsphäre.
• Keine Erfassung sensibler Daten: Es werden keine lesbaren Patientendaten, Akten oder Bildschirminhalte erfasst. (Im Zweifel können bestimmte Bereiche durch sogenanntes Privacy-Masking unkenntlich gemacht werden.)
• Begrenzte Speicherdauer: Die Speicherdauer ist auf das notwendige Minimum begrenzt. Als Orientierung gilt eine Speicherung von maximal 48 Stunden, sofern kein Vorfall eintritt, der eine längere Speicherung erforderlich machen könnte.
• Hinweisschild: Die Informationspflichten nach Art. 13 DSGVO sind erfüllt (Hinweisschild, das vor Betreten des Erfassungsbereichs sichtbar ist).

Für die meisten Zwecke, die Ärzte zur Begründung einer Videoüberwachung nennen, gibt es verhältnismäßigere Alternativen, die denselben Zweck ohne Eingriff in das Datenschutzrecht der Patienten erfüllen. Das Bundesverwaltungsgericht hat ausdrücklich klargestellt (Az. 6 C 2.18), dass Videoüberwachung nur dann zulässig ist, wenn keine solche Alternative existiert.

Ein Notfall-Druckknopf im Wartezimmer erfüllt denselben Zweck wie eine Videokamera, ohne in die Persönlichkeitsrechte der Patienten einzugreifen. Das Bundesverwaltungsgericht hat diese Lösung ausdrücklich als verhältnismäßigere Alternative zur Videoüberwachung benannt (Az. 6 C 2.18).

Eine Klingelkamera, die sich nur beim Betätigen der Türklingel kurz aktiviert und keine Daueraufzeichnung erstellt, ist eine datenschutzkonforme Alternative zur permanenten Videoüberwachung des unbesetzten Empfangs. Die Sächsische Datenschutz- und Transparenzbeauftragte empfiehlt dieses Modell ausdrücklich: Die Kamera soll so konfiguriert sein, dass Livebilder erst übertragen werden, wenn die Türklingel betätigt wird, nicht als Daueraufzeichnung (24. Tätigkeitsbericht SDTB, S. 53 ff.).

Alarmanlagen, Schlösser und Tresore für Betäubungsmittel und Bargeld sind beim Einbruchschutz in aller Regel die vorrangige und verhältnismäßigere Maßnahme gegenüber einer Videoüberwachung. Laut Bundesverwaltungsgericht (Az. 6 C 2.18) muss der Verantwortliche zunächst prüfen, ob solche Alternativen denselben Zweck erfüllen, bevor Kameras installiert werden.

Ist die Videoüberwachung in Ihrer Arztpraxis ausnahmsweise zulässig, müssen zwingend vier Datenschutzpflichten erfüllt sein: Stellen Sie sicher, dass ein Hinweisschild angebracht, ein Verarbeitungsverzeichnis angelegt, die Speicherdauer angemessen begrenzt und sensible Bereiche bei Bedarf mithilfe des sogenannten Privacy Masking unkenntlich gemacht werden.

Informieren Sie Ihre Patienten mithilfe eines Hinweisschildes über die Videoüberwachung. Das Hinweisschild muss gut sichtbar angebracht sein, bevor eine Person den Erfassungsbereich der Kamera betritt. Es muss mindestens folgende Angaben enthalten.

• Name und Kontaktdaten des Verantwortlichen (Praxisinhaber)
• Zweck der Videoüberwachung (z. B. Einbruchschutz)
• Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO)
• Speicherdauer
• Hinweis, wo vollständige Datenschutzinformationen eingesehen werden können (z. B. am Empfang oder auf der Praxiswebsite)

Die Videoüberwachung muss im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) dokumentiert sein, inklusive Zweck, Rechtsgrundlage, Speicherdauer und Zugriffsberechtigten.

Aufnahmen sind nach Erreichen des Zwecks unverzüglich zu löschen. Bei reiner Einbruchüberwachung ohne Vorfall gelten maximal 48 Stunden als Orientierungswert. Der Zugriff auf die Videoaufnahmen darf nur durch autorisierte Personen erfolgen.

Sofern die Kamera technisch unvermeidbar auch empfindliche Bereiche (z. B. Empfangstresen mit lesbaren Akten oder Bildschirminhalten) erfasst, ist eine technische Verpixelung (Privacy Masking) dieser Zonen erforderlich.

Art. 32 DSGVO verpflichtet den Verantwortlichen, technische und organisatorische Maßnahmen zu ergreifen, die dem Risiko der Datenverarbeitung angemessen sind. Für die Videoüberwachung in der Arztpraxis bedeutet das konkret:

• Zugriffsbeschränkung: Nur autorisierte Personen (z. B. Praxisleitung) dürfen auf die Aufnahmen zugreifen. Zugriffsrechte sind schriftlich zu dokumentieren.
• Zugriffsprotokollierung: Jeder Zugriff auf Aufnahmen sollte protokolliert werden, um Missbrauch nachvollziehen zu können.
• Verschlüsselung: Aufnahmen sollen verschlüsselt gespeichert und übertragen werden, sofern der Hersteller dies unterstützt.
• Datenpannen: Bei einem unbefugten Zugriff auf Videoaufnahmen besteht eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO (in der Regel binnen 72 Stunden).

In unserem Dienstleister-Verzeichnis finden Sie ausgewählte Datenschutzbeauftragte für Ärzte.

Die Videoüberwachung von Patientenzimmern in Kliniken ist grundsätzlich unzulässig und stellt einen schwerwiegenden Eingriff in die Intimsphäre dar. Ausnahmen gelten ausschließlich für medizinisch gebotene Überwachung (z. B. in der Radiologie) sowie bei ausdrücklicher, freiwilliger Einwilligung des Patienten.

• Keine Videoüberwachung in Patientenzimmern: Die Videoüberwachung von Patientenzimmern ist grundsätzlich unzulässig. Ausnahmen existieren nur bei ausdrücklicher, freiwilliger Einwilligung des Patienten.
• Medizinisch gebotene Überwachung: In bestimmten Fachbereichen (z. B. Radiologie, Intensivstation) kann eine Videoüberwachung aus medizinischen oder strahlenschutztechnischen Gründen erforderlich sein. Hier greift Art. 9 Abs. 2 lit. h DSGVO (Datenverarbeitung für medizinische Diagnostik und Behandlung) als Rechtsgrundlage. Eine Aufzeichnung findet in diesen Fällen in der Regel nicht statt.
• Allgemeinbereiche in Kliniken: Für Eingänge, Flure und öffentliche Bereiche gilt dieselbe strenge Prüfung wie in Arztpraxen.

Die Rechtslage ist eindeutig: Videoüberwachung in Arztpraxen ist kein Standardinstrument der Sicherheit, sondern der begründungspflichtige Ausnahmefall. Wer Kameras während der Öffnungszeiten in öffentlich zugänglichen Bereichen betreibt, handelt in der Regel rechtswidrig und riskiert Bußgelder sowie Beschwerden bei Datenschutzaufsichtsbehörden. Außerhalb der Öffnungszeiten kann Videoüberwachung zum Einbruchschutz zulässig sein, wenn berechtigte Interessen belegt sind, keine Patientendaten erfasst werden und alle DSGVO-Pflichten erfüllt sind. Im Zweifel empfiehlt sich eine Beratung durch einen auf Datenschutz im Gesundheitswesen spezialisierten Rechtsbeistand.