Videoüberwachung ohne Cloud-Zwang: UniFi Protect und die DSGVO
Kameras im Betrieb sind schnell gekauft und schnell falsch betrieben. Die zwei entscheidenden Fragen: Wo liegen die Aufnahmen, und wer kommt daran? Dieser Beitrag zeigt, warum lokal gespeicherte Systeme wie UniFi Protect die DSGVO-Bewertung deutlich vereinfachen, was rechtlich 2026 gilt und wie ein sauberes Setup für Laden, Werkstatt oder Büro aussieht. Stand Juli 2026.
Veröffentlicht am 12. Juli 2026 · Daniel Gläser
Warum der Speicherort der Aufnahmen so zentral ist
Videoüberwachung verarbeitet fast immer personenbezogene Daten, also gilt die DSGVO in voller Breite: Rechtsgrundlage, Informationspflichten, Löschkonzept, technische Sicherheit. Ein Punkt entscheidet dabei über die halbe Prüfung: der Speicherort. Liegen die Aufnahmen auf einem Rekorder im eigenen Haus, bleiben Verantwortung und Kontrolle bei Ihnen. Landen sie in der Cloud eines Anbieters, kommen Auftragsverarbeitung, Unterauftragnehmer und, bei US-Anbietern, die Drittlandtransfer-Frage hinzu.
Lokal heißt nicht altmodisch
Lokale Aufzeichnung bedeutet heute nicht Videorekorder im Schrank mit Bandwechsel. Moderne Systeme bieten KI-Erkennung, Smartphone-Zugriff und zentrale Verwaltung, nur eben mit Aufnahmen, die das Haus nicht verlassen.
UniFi Protect: lokal, ohne Abo, ohne Cloud-Zwang
UniFi Protect ist Ubiquitis Kamerasystem und macht genau das: Die Aufzeichnungen liegen ausschließlich lokal auf dem eigenen Rekorder oder der UniFi-Konsole, ein Cloud-Backup der Videos gibt es standardmäßig nicht, und die KI-Auswertung (Personen- und Fahrzeugerkennung) läuft auf dem Gerät statt in einem Rechenzentrum. Ubiquiti bewirbt das offiziell mit null Lizenzkosten, egal ob 4 oder 4.000 Kameras.
| Posten | UniFi Protect (lokal) | Typischer Cloud-Video-Dienst |
|---|---|---|
| Kameras | Einmalkauf | Einmalkauf oder Miete |
| Rekorder/Speicher | Einmalkauf (Einstieg: UNVR Instant, 199 USD US-Listenpreis) | Entfällt, Speicher liegt beim Anbieter |
| Laufende Lizenz je Kamera | 0 EUR | Üblich ist eine monatliche oder jährliche Gebühr je Kamera |
| Speicherort der Aufnahmen | Im eigenen Haus | Rechenzentrum des Anbieters |
| Auftragsverarbeitungsvertrag nötig | Nein, solange alles lokal bleibt | Ja, plus Prüfung von Unterauftragnehmern und Drittlandtransfer |
Eine ehrliche Fußnote zu Ubiquiti und der Cloud
Auch bei Protect gibt es optionale Cloud-Funktionen wie Fernzugriff über Ubiquiti-Konten. Und Ubiquiti hatte im Dezember 2023 einen bestätigten Cloud-Vorfall, bei dem laut Hersteller-Statement die Konsolen und Benachrichtigungen von 1.216 Accounts kurzzeitig für fremde Nutzer sichtbar waren; tatsächlich zugegriffen wurde demnach nur auf rund ein Dutzend Accounts. Die Aufnahmen selbst lagen und liegen lokal. Wer maximale Kontrolle will, betreibt Konsole und Zugriff konsequent lokal beziehungsweise über eigenes VPN.
Das Gegenmodell: Cloud-verwaltete Kamerasysteme
Cloud-Video-Anbieter, von Meraki bis zu reinen Video-as-a-Service-Diensten, verlagern Speicherung oder Verwaltung in ihre Rechenzentren. Das ist nicht per se unzulässig, verschiebt aber die Pflichten: Sie brauchen einen Auftragsverarbeitungsvertrag, müssen die Unterauftragnehmer-Kette kennen und bei US-Anbietern den Datentransfer bewerten. Seriöse Anbieter liefern dafür Nachweise, Cisco Meraki etwa eine EU-Cloud mit Datenverarbeitung in EU-Rechenzentren, maximal 14 Monaten Aufbewahrung der Dashboard-Daten und BSI-C5-Testat (die Aufbewahrung der Videoaufnahmen selbst wird separat konfiguriert). Solche Pakete kosten allerdings laufend Geld, meist je Kamera und Jahr.
Die Rechtslage 2026: DPF gilt, aber nicht in Stein gemeißelt
- Das EU-US Data Privacy Framework (DPF) ist die aktuelle Grundlage für Datentransfers an zertifizierte US-Anbieter. Das Gericht der EU hat die Klage dagegen (Rechtssache Latombe) am 3. September 2025 abgewiesen, das DPF gilt also weiter.
- Ein Rechtsmittel ist beim EuGH anhängig (Rechtssache C-703/25 P). Zusätzlich hat der US Supreme Court am 29. Juni 2026 in der Sache Trump v. Slaughter die Unabhängigkeit der US-Aufsichtsbehörde FTC gekippt, auf die sich der Angemessenheitsbeschluss mit stützt; noyb fordert die EU-Kommission seither auf, den Beschluss geordnet zurückzunehmen. Ein drittes Schrems-Szenario ist nicht ausgeschlossen.
- Praktische Konsequenz für KMU: Cloud-Video mit US-Bezug ist derzeit rechtlich möglich, hängt aber an einer Grundlage, die erneut kippen kann. Lokale Speicherung ist von dieser Unsicherheit schlicht nicht betroffen.
DSGVO-Basics für Kameras im Betrieb
Unabhängig von der Technik gelten für jede betriebliche Videoüberwachung ein paar Grundregeln. Die folgende Checkliste ist eine Orientierung, für die konkrete Umsetzung lohnt der Blick in die Orientierungshilfe Videoüberwachung der Datenschutzkonferenz und bei heiklen Konstellationen die Abstimmung mit einem Datenschutzbeauftragten:
- Zweck und Rechtsgrundlage festlegen: meist berechtigtes Interesse, etwa Schutz vor Einbruch und Diebstahl, dokumentiert mit Interessenabwägung.
- Erfasste Bereiche begrenzen: Eingänge, Kasse, Lager ja; Pausenräume, Sanitärbereiche und dauerhafte Arbeitsplatzüberwachung nein. Öffentlicher Raum vor der Tür nur minimal.
- Kennzeichnen und informieren: gut sichtbares Hinweisschild vor Betreten des erfassten Bereichs mit den Pflichtangaben, dazu die ausführlichen Informationen nach Art. 13 DSGVO.
- Löschfristen kurz halten: Aufnahmen nur so lange aufbewahren, wie es der Zweck erfordert, im Regelfall wenige Tage, und die Frist technisch im Rekorder hinterlegen.
- Zugriff beschränken und protokollieren: wenige benannte Personen, starke Passwörter, Zwei-Faktor-Anmeldung, kein Sammel-Login.
- Verzeichnis der Verarbeitungstätigkeiten ergänzen und bei umfangreicher Überwachung eine Datenschutz-Folgenabschätzung prüfen.
- Ton aus: Tonaufzeichnung ist rechtlich deutlich heikler als Video und bleibt im Betrieb am besten komplett deaktiviert.
Beispiel-Setup für Laden oder Werkstatt
Für ein Ladengeschäft oder eine Werkstatt mit vier Kameras reicht ein kompaktes Setup: vier Protect-Kameras für Eingang, Kasse beziehungsweise Theke, Lager und Hof, dazu ein kleiner Rekorder wie der UNVR Instant (199 USD US-Listenpreis) oder eine UniFi-Konsole mit Protect-Unterstützung, eingebunden ins vorhandene Netzwerk mit eigenem Kamera-VLAN. Laufende Kosten: Strom und gelegentliche Wartung, keine Lizenzgebühren. Die Aufnahmen bleiben im Haus, der Zugriff läuft über benannte Konten, die Löschfrist regelt der Rekorder automatisch.
Was das UniFi-Ökosystem insgesamt im Unternehmen taugt, von Netzwerk bis WLAN, steht im Überblicksbeitrag UniFi im Unternehmen. Und wenn Kameras Teil eines größeren Projekts sind: Im Rahmen der IT-Infrastruktur-Betreuung plane ich Netzwerk, VLAN-Trennung und Kamerasystem aus einem Guss, inklusive sauberer Zugriffs- und Löschkonzepte.
Quellen
- Ubiquiti Help Center: How UniFi Protect Protects Your Data (lokale Speicherung, keine Kamera-Lizenzen)
- Ubiquiti Blog: UNVR Instant (Einstiegs-Recorder)
- Cisco Meraki Documentation: Dashboard Data Storage (EU-Cloud-Speicherorte)
- Cisco Meraki: GDPR (Aufbewahrung von Kundendaten maximal 14 Monate)
- IAPP: EuG weist Latombe-Klage ab, Data Privacy Framework bleibt bestehen (September 2025)
- noyb: US Supreme Court kippt FTC-Unabhängigkeit, Folgen für EU-US-Datentransfers (Juni 2026)
- BleepingComputer: Ubiquiti-Statement zum Cloud-Vorfall Dezember 2023 (Zahlen)
- Datenschutzkonferenz: Orientierungshilfen (u. a. Videoüberwachung)
- The Register: Ubiquiti-Cloud-Vorfall Dezember 2023
Dieser Beitrag ist eine sorgfältig recherchierte Orientierung, keine Rechts- oder Steuerberatung. Für verbindliche Auskünfte wenden Sie sich an Ihren Steuerberater oder Rechtsanwalt.
Häufige Fragen
Braucht UniFi Protect Lizenzen oder ein Abo?+
Nein. Protect speichert lokal auf dem eigenen Rekorder und kostet keine Lizenzgebühren pro Kamera, laut Ubiquiti ausdrücklich egal ob 4 oder 4.000 Kameras. Bezahlt wird nur die Hardware. Stand Juli 2026.
Wo liegen die Aufnahmen bei UniFi Protect?+
Ausschließlich lokal auf dem UniFi-Rekorder beziehungsweise der Konsole im eigenen Haus. Ein Cloud-Backup der Videos gibt es standardmäßig nicht, und die KI-Auswertung läuft auf dem Gerät.
Ist Cloud-Videoüberwachung automatisch DSGVO-widrig?+
Nein. Sie ist zulässig, wenn die Hausaufgaben stimmen: Auftragsverarbeitungsvertrag, geklärte Unterauftragnehmer, bei US-Anbietern ein gültiger Transfermechanismus wie das Data Privacy Framework, das derzeit gilt, gegen das aber ein Verfahren beim EuGH anhängig ist. Lokale Speicherung erspart Ihnen diese gesamte Prüfkette.
Darf ich meine Mitarbeiter filmen?+
Nur sehr eingeschränkt. Dauerhafte Überwachung von Arbeitsplätzen ist regelmäßig unzulässig, Pausen- und Sanitärräume sind tabu. Zulässig sind zweckgebundene Bereiche wie Kasse oder Lager mit dokumentierter Interessenabwägung. Im Zweifel vorab mit einem Datenschutzbeauftragten klären, das schützt vor teuren Fehlern.
Wie lange darf ich Aufnahmen speichern?+
So kurz wie möglich. Als Faustregel gelten wenige Tage, sofern kein Vorfall eine längere Aufbewahrung im Einzelfall rechtfertigt. Die konkrete Frist gehört ins Löschkonzept und technisch in den Rekorder, damit sie automatisch greift.
Was kostet ein 4-Kamera-Setup im laufenden Betrieb?+
Bei einem lokalen Protect-Setup: im Wesentlichen Strom und gelegentliche Wartung, null Lizenzkosten. Die Investition steckt einmalig in Kameras, Rekorder (Einstieg UNVR Instant, 199 USD US-Liste) und Installation. Cloud-Dienste berechnen dagegen üblicherweise laufende Gebühren je Kamera.
Kameras, die dem Datenschutz standhalten
Ich plane Videoüberwachung für KMU so, dass Technik und DSGVO zusammenpassen: lokale Speicherung, sauberes VLAN, klare Zugriffe und automatische Löschfristen. Aus Chemnitz für KMU in Sachsen und deutschlandweit.
Daniel Gläser
Inhaber Gläser IT-Solutions, Chemnitz
Ich entwickle Software und betreibe IT-Infrastruktur für kleine und mittlere Unternehmen, von der ersten Analyse bis zum laufenden Betrieb. Die Inhalte hier stammen aus realen Projekten und sind mit Quellen belegt.
