Videoüberwachungs- und CCTV-Systemverträge im Facility Management
Videoüberwachungsanlagen sind heute komplexe IT- und Sicherheitssysteme. Kameras, Netzwerkverbindungen, Video-Management-Systeme, Speicher, Leitstellenarbeitsplätze, Analysefunktionen und Cloud-Dienste müssen technisch zusammenwirken. Gleichzeitig verarbeitet ein CCTV-System regelmäßig personenbezogene Daten und greift damit in Rechte betroffener Personen ein.
Ein Videoüberwachungs- oder CCTV-Systemvertrag muss deshalb wesentlich mehr regeln als Lieferung, Installation und Wartung von Kameras. Er sollte Schutzbedarf, technische Funktion, Datenschutz, Informationssicherheit, Betriebsverantwortung, Verfügbarkeit und Datenlöschung zu einem konsistenten Vertragsmodell verbinden.
Ausgangspunkt sollte ein nachvollziehbares Sicherheitsziel sein. Erst daraus lässt sich bestimmen, welche technische Lösung erforderlich und angemessen ist.
Pläne, Konfigurationen, Berechtigungen und Änderungen
Für sicherheitstechnische Anwendungen bietet die Normenreihe IEC/EN 62676 einen technischen Orientierungsrahmen. Für Teil 4 mit den Anwendungsregeln liegt 2026 eine umfassend überarbeitete Fassung im europäischen Normungsverfahren vor; sie behandelt unter anderem Sicherheitskonzept, Sicherungsgrade, Bildanforderungen und Betrieb von Videoüberwachungssystemen.
Datenschutz bereits vor der Installation klären
Die technische Möglichkeit einer Videoüberwachung begründet noch nicht deren datenschutzrechtliche Zulässigkeit. Zweck, Rechtsgrundlage, Erforderlichkeit und Verhältnismäßigkeit müssen vor Betriebsaufnahme bewertet werden. Der EDSA betont für die auf berechtigte Interessen gestützte Videoüberwachung insbesondere, dass ein legitimes Interesse bestehen und die Überwachung zur Erreichung dieses Zwecks erforderlich sein muss.
Für öffentlich zugängliche Räume enthält § 4 BDSG zusätzliche nationale Vorgaben. Betroffene Personen müssen zudem entsprechend den datenschutzrechtlichen Informationspflichten über die Verarbeitung informiert werden.
Vertraglich sollte deshalb geklärt werden:
wer datenschutzrechtlich Verantwortlicher ist,
wer die datenschutzrechtliche Prüfung durchführt,
welche Bereiche tatsächlich erfasst werden dürfen,
welche Maskierungen oder Privatzonen erforderlich sind,
welche Speicherdauer gilt,
wer Aufzeichnungen auswerten darf,
wann Daten exportiert oder an Behörden weitergegeben werden,
wie Auskunfts-, Lösch- und Dokumentationsanforderungen erfüllt werden.
Zugriffe besonders restriktiv organisieren
Videoaufzeichnungen sollten nach einem klaren Rollen- und Berechtigungsmodell zugänglich sein. Zu unterscheiden sind beispielsweise:
Nicht jeder Sicherheitsmitarbeiter benötigt sämtliche Rechte. Besonders Export-, Administrations- und Löschrechte sollten restriktiv vergeben und nachvollziehbar protokolliert werden.
Cybersecurity des CCTV-Systems mitregeln
IP-Kameras und Video-Management-Systeme sind Bestandteile der IT-/OT-Infrastruktur. Der Vertrag sollte daher auch Anforderungen vorsehen an:
sichere Passwörter und Mehrfaktor-Authentisierung,
Firmware- und Patchmanagement,
verschlüsselte Kommunikation,
Netzwerksegmentierung,
sichere Fernwartung,
Protokollierung administrativer Änderungen,
Schwachstellenmanagement,
Backup der Systemkonfiguration.
Bei cloudbasierten oder fernadministrierten Lösungen sind zusätzlich Hosting, Subprovider, Datenstandorte und Exit-Fähigkeit zu berücksichtigen. Die Normenreihe EN IEC 62676 behandelt inzwischen auch Cloud-Uplink und Remote-Management-Schnittstellen für Videoüberwachungssysteme.
Wartung und Systemänderungen dokumentieren
Wartungsverträge sollten nicht nur den Austausch defekter Kameras erfassen. Zu prüfen sind regelmäßig insbesondere:
Kameraposition und Sichtfeld,
Bildqualität,
Verschmutzung und Beschädigung,
Aufzeichnung,
Speicherfunktion,
Zeit-Synchronisation,
Alarm- und Analysefunktionen,
Netzwerkverbindungen,
Benutzer- und Berechtigungsbestand.
Veränderungen an Kamerastandorten oder Erfassungsbereichen sollten einen geregelten Change-Prozess auslösen, weil sich neben der Technik auch die datenschutzrechtliche Bewertung verändern kann.
So wird der CCTV-Systemvertrag zu einer belastbaren Verbindung von Unternehmenssicherheit, Datenschutz, IT-Sicherheit und technischem Facility Management – und verhindert, dass technisch leistungsfähige Videoüberwachung ohne klare Betriebs- und Verantwortungsstruktur eingesetzt wird.
