UniFi Protect und DSGVO: Videoüberwachung im Betrieb

Warum der Speicherort der Aufnahmen so zentral ist

Videoüberwachung verarbeitet fast immer personenbezogene Daten, also gilt die DSGVO in voller Breite: Rechtsgrundlage, Informationspflichten, Löschkonzept, technische Sicherheit. Ein Punkt entscheidet dabei über einen großen Teil der Prüfung: der Speicherort. Liegen die Aufnahmen auf einem Rekorder im eigenen Haus, bleiben Verantwortung und Kontrolle bei Ihnen. Landen sie in der Cloud eines Anbieters, kommen Auftragsverarbeitung, Unterauftragnehmer und, bei US-Anbietern, die Drittlandtransfer-Frage hinzu.

UniFi Protect: standardmäßig lokal, ohne Cloud-Zwang

UniFi Protect zeichnet auf einer UniFi-Konsole vor Ort auf, etwa einem Netzwerk-Videorekorder (UNVR) oder einem Cloud Gateway Max mit Speicher. Anders als die Network-Anwendung lässt sich Protect nicht auf einem eigenen Server betreiben. Eine Cloud-Sicherung der Videos gibt es laut Ubiquiti standardmäßig nicht, und die KI-Erkennung läuft lokal auf der Kamera oder über Zubehör wie AI Port und AI Key. Optional lässt sich Videomaterial zu Google Drive, OneDrive, Dropbox oder einem NAS archivieren. Lizenzgebühren je Kamera erhebt Ubiquiti nicht; optionale Dienste, zusätzlicher Speicher und Betreuung können trotzdem laufende Kosten verursachen.

Das Gegenmodell: Cloud-verwaltete Kamerasysteme

Cloud-Video-Anbieter, von Meraki bis zu reinen Video-as-a-Service-Diensten, verlagern Speicherung oder Verwaltung in ihre Rechenzentren. Das ist nicht per se unzulässig, verschiebt aber die Pflichten: Sie brauchen einen Auftragsverarbeitungsvertrag, müssen die Unterauftragnehmer-Kette kennen und bei US-Anbietern den Datentransfer bewerten. Seriöse Anbieter liefern dafür Nachweise. Cisco Meraki etwa speichert Dashboard-Daten bei Wahl der Region Europa in Deutschland und hat ein BSI-C5-Testat; die Videos der MV-Kameras liegen standardmäßig auf der Kamera selbst, eine Cloud-Archivierung kostet eine zusätzliche Lizenz je Kamera. Solche Modelle kosten laufend Geld, meist je Kamera und Jahr.

Die Rechtslage 2026: DPF gilt, aber nicht in Stein gemeißelt

• Das EU-US Data Privacy Framework (DPF) ist die aktuelle Grundlage für Datenübermittlungen an zertifizierte US-Unternehmen; Ubiquiti gibt in seiner Datenschutzerklärung an, danach zertifiziert zu sein. Das Gericht der EU hat die Klage gegen das DPF (Rechtssache T-553/23, Latombe) am 3. September 2025 abgewiesen, das DPF gilt also weiter.
• Ein Rechtsmittel ist beim EuGH anhängig (Rechtssache C-703/25 P). Zusätzlich hat der US Supreme Court am 29. Juni 2026 in der Sache Trump v. Slaughter entschieden, dass der US-Präsident Mitglieder der Handelsbehörde FTC ohne besonderen Grund entlassen darf. Auf die Aufsicht dieser Behörde stützt sich der Angemessenheitsbeschluss mit. noyb fordert seither die geordnete Rücknahme des Beschlusses, der Europäische Datenschutzausschuss hat die EU-Kommission am 31. Juli 2026 um eine genaue Prüfung gebeten. Ein drittes Schrems-Szenario ist nicht ausgeschlossen.
• Praktische Konsequenz für KMU: Cloud-Video mit US-Bezug ist derzeit rechtlich möglich, hängt aber an einer Grundlage, die erneut kippen kann. Lokale Speicherung ist von dieser Unsicherheit deutlich weniger betroffen. Wer den Fernzugriff über Ubiquiti-Konten nutzt, sollte die Übermittlung von Konto- und Verbindungsdaten trotzdem in die Prüfung einbeziehen.

Rechtsgrundlage: DSGVO, BDSG und Beschäftigte

Für Unternehmen ist die zentrale Rechtsgrundlage in aller Regel das berechtigte Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO: Die Kamera muss für einen konkret festgelegten Zweck erforderlich sein, und die Interessen der Gefilmten dürfen nicht überwiegen. Dazu kommen einige deutsche Besonderheiten:

• § 4 BDSG: Die Vorschrift zur Videoüberwachung öffentlich zugänglicher Räume steht weiter im Gesetz. Das Bundesverwaltungsgericht hat aber am 27. März 2019 entschieden, dass sich Videoüberwachung durch private Betreiber nach Art. 6 Abs. 1 Buchst. f DSGVO richtet; die Aufsichtsbehörden wenden § 4 BDSG auf Unternehmen deshalb nicht als Rechtsgrundlage an.
• § 26 BDSG: Nach dem EuGH-Urteil vom 30. März 2023 (C-34/21) hat das Bundesarbeitsgericht am 8. Mai 2025 entschieden, dass die allgemeine Erlaubnis in § 26 Abs. 1 BDSG unangewendet bleiben muss. Für Beschäftigtendaten gelten damit unmittelbar die Rechtsgrundlagen der DSGVO. Ein eigenes Beschäftigtendatengesetz gibt es nicht: Der Referentenentwurf vom Oktober 2024 ist mit dem Ende der damaligen Koalition gescheitert, ein neuer Anlauf ist angekündigt (Stand: September 2026).
• Beschäftigte: Nach der Orientierungshilfe der Datenschutzkonferenz ist eine dauerhafte Videoüberwachung von Arbeitsplätzen regelmäßig unzulässig, ebenso eine Leistungs- oder Verhaltenskontrolle per Kamera. Eine Einwilligung von Beschäftigten ist wegen des Abhängigkeitsverhältnisses meist nicht freiwillig und damit keine tragfähige Grundlage. Die gezielte Überwachung bei konkretem Verdacht auf eine Straftat ist nur unter engen Voraussetzungen und zeitlich begrenzt möglich.
• Betriebsrat: Gibt es einen Betriebsrat, hat er bei der Einführung von Kameras nach § 87 Abs. 1 Nr. 6 BetrVG in aller Regel mitzubestimmen, weil sich damit Verhalten oder Leistung der Beschäftigten überwachen lassen.

DSGVO-Grundregeln für Kameras im Betrieb

Unabhängig von der Technik gelten für jede betriebliche Videoüberwachung ein paar Grundregeln. Die folgende Checkliste ist eine Orientierung auf Basis der Orientierungshilfe Videoüberwachung der Datenschutzkonferenz (DSK) und der Leitlinien 3/2019 des Europäischen Datenschutzausschusses. Für die konkrete Umsetzung und in heiklen Konstellationen lohnt die Abstimmung mit einem Datenschutzbeauftragten oder einer Anwältin:

• Zweck und Rechtsgrundlage festlegen: meist berechtigtes Interesse, etwa Schutz vor Einbruch und Diebstahl, dokumentiert mit Interessenabwägung.
• Erfasste Bereiche begrenzen: Eingänge, Außenbereich, Warenauslagen und Lager ohne feste Arbeitsplätze kommen eher in Betracht; die Kasse nur unter engen Voraussetzungen und begrenzt auf das Kassenterminal. Pausen-, Umkleide- und Sanitärräume sowie dauerhafte Arbeitsplätze sind tabu. Öffentlichen Raum vor der Tür nur so weit erfassen, wie es unvermeidbar ist, und nicht benötigte Bildbereiche maskieren.
• Zweistufig kennzeichnen und informieren: ein gut sichtbares Hinweisschild vor Betreten des erfassten Bereichs mit Kamerasymbol, Verantwortlichem und Kontaktdaten, gegebenenfalls dem Datenschutzbeauftragten, Zweck und Rechtsgrundlage, berechtigtem Interesse, Speicherdauer und Hinweis auf die weiteren Informationen; dazu die vollständigen Informationen nach Art. 13 DSGVO als Aushang oder auf der Website.
• Löschfristen kurz halten: Die DSK hält eine Speicherdauer von 72 Stunden in der Regel für zulässig; wer länger speichert, braucht eine besondere Begründung. Die Frist gehört technisch in den Rekorder, damit sie automatisch greift.
• Zugriff beschränken und protokollieren: wenige benannte Personen, eigene Konten statt Sammel-Login, starke Passwörter und Mehr-Faktor-Authentisierung.
• Verzeichnis der Verarbeitungstätigkeiten ergänzen und eine Datenschutz-Folgenabschätzung prüfen: Pflicht ist sie etwa bei umfangreicher Überwachung öffentlich zugänglicher Bereiche und bei biometrischer Auswertung. Auch Beschäftigte als Betroffene, Fernzugriff oder schwenkbare Kameras können ein hohes Risiko begründen.
• Gesichtserkennung aus: Protect bietet mit AI- und G6-Kameras Gesichtserkennung. Das ist eine Verarbeitung biometrischer Daten, die die DSK bei Videoüberwachung in der Regel für unzulässig hält und die jedenfalls eine Datenschutz-Folgenabschätzung erfordert. Auch die Kennzeichenerkennung gehört gesondert geprüft.
• Ton aus: Wer unbefugt das nichtöffentlich gesprochene Wort aufzeichnet, macht sich nach § 201 StGB strafbar. Nach der DSK-Orientierungshilfe ist die Audiofunktion von Überwachungskameras deshalb unumkehrbar zu deaktivieren.

Beispiel-Setup für Laden oder Werkstatt

Für ein Ladengeschäft oder eine Werkstatt mit vier Kameras reicht ein kompaktes Setup: vier Protect-Kameras für Eingang, Warenbereich, Lager und Hof, dazu ein kleiner Rekorder wie der UNVR Instant mit integriertem PoE-Switch (193 EUR netto im Ubiquiti Store Europe, Festplatte separat) oder eine UniFi-Konsole mit Protect-Unterstützung. Eingebunden wird das Ganze ins vorhandene Netzwerk mit eigenem Kamera-VLAN. Eine Kamera an der Kasse plane ich nur nach gesonderter Prüfung. In dieser bewusst lokalen Konfiguration bleiben die Aufnahmen im Haus. Laufende Kosten entstehen für Strom, Wartung sowie gegebenenfalls gewählte Zusatzdienste; Lizenzgebühren je Kamera gibt es nicht.

Was das UniFi-Ökosystem insgesamt im Unternehmen taugt, von Netzwerk bis WLAN, steht im Überblicksbeitrag UniFi im Unternehmen. Und wenn Kameras Teil eines größeren Projekts sind: Im Rahmen der UniFi-Netzwerkplanung plane ich Netzwerk, VLAN-Trennung und Kamerasystem aus einem Guss, inklusive Zugriffs- und Löschkonzept. Die rechtliche Bewertung bleibt bei Ihnen als Betreiber; eine Rechtsberatung leiste ich nicht.