Speditionen, aber auch andere Fuhrparkbetreiber erhalten neuerdings immer häufiger Post von Privatpersonen, die wegen einer Dashcam im Fuhrpark Schadensersatz nach der DSGVO fordern. Das Muster ist stets dasselbe, der entscheidende Fehler der Betroffenen passiert dabei regelmäßig in der Antwort auf das erste Anschreiben. Wie funktioniert die Masche und wie kann man sich dagegen absichern?
Ein Fahrer stellt sein Taxi, den Mietwagen oder ein anderes Firmenfahrzeug mit einer sichtbar hinter der Windschutzscheibe montierten Dashcam an einem öffentlichen Ort ab – insbesondere Autobahnparkplätze sind diesbezüglich von den Tätern gesuchte Orte. Wenige Tage später erreicht das Unternehmen eine freundlich formulierte E-Mail, die unter Berufung auf Paragraf 15 Datenschutzgrundverordnung (DSGVO) Auskunft darüber verlangt, ob und in welchem Umfang an diesem Tag und diesem Ort vom Fahrzeug personenbezogene Daten verarbeitet worden sind.
Man antwortet in aller Regel bereitwillig, da man sich datenschutzrechtlich ja auf der sicheren Seite wähnt. Man erläutert vielleicht, welches Kameramodell verbaut ist, dass eine Speicherkarte mit dieser oder jener Kapazität zum Einsatz kommt und dass die Aufnahmen im Ringspeicherverfahren nach einigen Betriebsstunden überschrieben werden. Zu guter Letzt versichert man, dass nunmehr keine Daten mehr vorlägen.
Genau diese Antwort aber ist der Casus knacksus. Denn kurz darauf folgt ein mehrseitiges Schreiben, das einen Verstoß gegen den Grundsatz der Datenminimierung und gegen die Informationspflichten rügt, immateriellen und materiellen Schadensersatz nach Paragraf 82 DSGVO sowie eine Geldentschädigung wegen Verletzung des allgemeinen Persönlichkeitsrechts geltend macht. Alternativ wird eine außergerichtliche Erledigung gegen Zahlung eines Betrages im mittleren dreistelligen Bereich angeboten. Gesetzt wird eine knappe Frist, verbunden mit der Ankündigung gerichtlicher Schritte. Die dabei geforderten Beträge liegen in der Regel in einer dreistelligen Größenordnung. Das ist wohl kein Zufall, denn das ist der Bereich, in dem viele Unternehmen noch damit rechnen, dass es teurer wäre sich zu wehren als einfach zu zahlen.
Um nun zu klären, ob man überhaupt belangt werden könnte, muss man etwas weiter ausholen, denn Dashcams sind nicht generell verboten, ihre Nutzung ist aber auch nicht unproblematisch. Der Bundesgerichtshof (BGH) hat 2018 entschieden, dass Dashcam-Aufnahmen in einem Prozess im Einzelfall verwertbar sein können. Zugleich hat er aber auch klargestellt, dass die permanente und anlasslose Aufzeichnung des gesamten Verkehrsgeschehens datenschutzrechtlich unzulässig sei. Das Bundesverwaltungsgericht (BVG) hat dazu dann 2019 klargestellt, dass die Verarbeitung von (privaten) Kameradaten durch nichtöffentliche Stellen stets nach Paragraf 6 DSGVO zu beurteilen sei. Das berechtigte Interesse an der Beweissicherung von Unfallereignissen sei grundsätzlich anerkennungsfähig, werde aber insbesondere durch die Grundsätze der Datenminimierung und Speicherbegrenzung aus Paragraf 5 DSGVO begrenzt.
In der Umsetzung dieses Spagats ist dabei die Konfiguration der Dashcam. Systeme mit einem kurzen zyklischen Zwischenspeicher, bei denen die Aufzeichnung fortlaufend überschrieben und nur bei einem konkreten Ereignis — etwa einem Unfall, einer starken Bremsung oder einer anderen durch den gyroskopischen G-Sensor erkannten außergewöhnlichen Fahrzeugbewegung — dauerhaft gesichert wird, sind dabei regelmäßig zulässig. Fachleute nennen oft einen Wert von dreißig oder höchstens sechzig Sekunden vor und nach dem Ereignis als den oberen Grenzwert, der zu beachten sei, wenn man zwischen zulässigen und unzulässigen Speicherungen unterscheiden will.
Zusätzlich gilt noch die nur selten beachtete Informationspflicht aus Paragraf 13 DSGVO, bei einer Videoüberwachung auf diese durch ein am Fahrzeug angebrachtes Hinweisschild aufmerksam zu machen. Fehlt allein dieser Hinweis, liegt der in dem Anschreiben gerügte Verstoß in der Sache auch tatsächlich schon vor.
Ein Verstoß gegen die DSGVO allein begründet allerdings trotzdem noch keinen Schadensersatzanspruch. Der Europäische Gerichtshof (EuGH) hat 2023 (C‑300/21) ausdrücklich entschieden, dass neben dem Verstoß ein materieller oder immaterieller Schaden notwendig sei, der diesem Verstoß direkt zuzuordnen ist.
Dies hat der EuGH 2024 (C‑687/21) noch mal ergänzt, indem er feststellte, dass eine rein hypothetische Befürchtung eines künftigen Datenmissbrauchs nicht ausreicht. Der tatsächlich eingetretene immaterieller Nachteil muss danach also tatsächlich detailliert dargelegt und nachgewiesen werden, bevor ein Anspruch entstehen kann. In der Praxis muss der Anspruchsteller somit darlegen und beweisen, dass er tatsächlich von der Kamera erfasst wurde, dass er auf den Aufnahmen identifizierbar war und dass ihm hieraus ein konkreter Schaden entstanden ist.
Der entscheidende Fauxpas der betroffenen Unternehmen entsteht also gar nicht vor der Kamera, sondern erst durch deren Antwort auf das Auskunftsverlangen. Wer im ersten Schreiben Modellbezeichnung, Speicherkapazität und Überschreibungsintervall offenlegt, liefert der Gegenseite damit genau den Baustein, den sie allein nicht beschaffen könnte, nämlich den Nachweis einer unzulässigen Speicherdauer. Diese Auskunft ist eine Wissenserklärung des Verantwortlichen zur eigenen Technik und lässt sich später kaum noch relativieren. Sie ermöglicht darüber hinaus eine vollständig substantiierte Beschwerde bei der Aufsichtsbehörde, für die es auf eine eigene Betroffenheit gar nicht ankommt.
Der Auskunftsanspruch aus Paragraf 15 DSGVO, auf den sich das erste Schreiben bezog, verpflichtet allerdings nur zur Auskunft über die zu der anfragenden Person verarbeiteten Daten. Er ist kein Fragebogen zur technischen Ausstattung des Fuhrparks und verpflichtet nicht dazu, freiwillig Angaben zu machen. Wurden zu einer Person keine Daten verarbeitet, reicht eine sogenannte Negativauskunft – ein klares „nein, für den benannten Zeitpunkt liegt uns keine Aufzeichnung vor“. Mehr ist gemäß DSGVO zu einem nicht öffentlichen Auskunftsersuchen nicht geschuldet.
Ziel der Abmahnungsmasche ist also in erster Linie die Zahlung des außergerichtlichen Vergleichs. Das Risiko für die betroffenen Unternehmen liegt dagegen zusätzlich darin, dass eine Anzeige ihres mit der detaillierten Auskunft ja ggf. verbindlich dokumentierten Verstoßes gegen die DSGVO ein im Zweifel sehr heftiges Bußgeld zur Folge haben könnte. Wer ein solches Schreiben erhält, sollte den Vorgang also keinesfalls unbeantwortet lassen, da er diesbezüglich grundsätzlich schon auskunftspflichtig ist. In jedem Fall sollte man aber jede technische Einlassung bei der Beantwortung unterlassen.
Parallel ist die Absicherung des Fuhrparks selbst wichtig. Die Kameras sollten – so nicht schon realisiert – auf eine anlassbezogene Aufzeichnung mit Kurzzeitringspeicher und sensorgesteuerter Dauersicherung umgestellt werden. Zusätzlich sollte sichergestellt werden, dass im Parkmodus keine Aufzeichnungen erstellt werden, da ein solcher Dauerbetrieb ebenfalls als datenschutzwidrig gewertet werden könnte. An jedem betroffenen Fahrzeug sollte zusätzlich eine Hinweiskennzeichnung nach Paragraf 13 DSGVO angebracht sein und es sollte innerbetrieblich geregelt sein, wer Aufnahmen im Ereignisfall sichern darf und wie lange sie dann aufbewahrt werden.
Wessen Technik ausschließlich anlassbezogen und ausschließlich im Fahrmodus aufzeichnet, wessen Fahrzeuge ordnungsgemäß gekennzeichnet und wer Auskunftsverlangen zeitgerecht bearbeitet, der nimmt nicht nur dieser Abmahnungsasche den Nährboden, sondern verhindert gleichzeitig ein ggf. erheblich teureres Bußgeldverfahren nach Paragraf 83 DSGVO, dessen Höhe sich ggf. am Unternehmensumsatz bemessen würde. Von einer Zahlung der Beträge ist dagegen abzuraten, dass dies nicht zielführend sein wird. rw
Beitragsfoto: Foto & Grafik: Remmer Witte
