Videoüberwachung ohne Cloud-Zwang: UniFi Protect und die DSGVO
Kameras im Betrieb sind schnell gekauft und schnell falsch betrieben. Die zwei entscheidenden Fragen: Wo liegen die Aufnahmen, und wer kommt daran? Dieser Beitrag zeigt, warum lokal konfigurierte Systeme wie UniFi Protect die DSGVO-Bewertung vereinfachen können, welche optionalen Cloud-Funktionen mitgeprüft werden müssen und wie ein sauberes Setup für Laden, Werkstatt oder Büro aussieht. Aktualisiert August 2026.
Veröffentlicht am 12. Juli 2026 · Aktualisiert am 8. August 2026 · Daniel Gläser
Warum der Speicherort der Aufnahmen so zentral ist
Videoüberwachung verarbeitet fast immer personenbezogene Daten, also gilt die DSGVO in voller Breite: Rechtsgrundlage, Informationspflichten, Löschkonzept, technische Sicherheit. Ein Punkt entscheidet dabei über die halbe Prüfung: der Speicherort. Liegen die Aufnahmen auf einem Rekorder im eigenen Haus, bleiben Verantwortung und Kontrolle bei Ihnen. Landen sie in der Cloud eines Anbieters, kommen Auftragsverarbeitung, Unterauftragnehmer und, bei US-Anbietern, die Drittlandtransfer-Frage hinzu.
Lokal heißt nicht altmodisch
Lokale Aufzeichnung bedeutet heute nicht Videorekorder im Schrank mit Bandwechsel. Moderne Systeme bieten KI-Erkennung, Smartphone-Zugriff und zentrale Verwaltung. Ob Aufnahmen das Haus verlassen, hängt bei Protect von der gewählten Fernzugriffs- und Archivierungs-Konfiguration ab.
UniFi Protect: standardmäßig lokal, ohne Cloud-Zwang
UniFi Protect zeichnet standardmäßig auf dem eigenen Rekorder oder der UniFi-Konsole auf. Die KI-Auswertung läuft lokal. Optional lässt sich Videomaterial jedoch zu Google Drive, OneDrive, Dropbox oder einem NAS archivieren. Für die Protect-Kernanwendung gibt es keine verpflichtende Lizenz pro Kamera; optionale Dienste, zusätzlicher Speicher und Betreuung können trotzdem laufende Kosten verursachen.
| Posten | UniFi Protect (lokal) | Typischer Cloud-Video-Dienst |
|---|---|---|
| Kameras | Einmalkauf | Einmalkauf oder Miete |
| Rekorder/Speicher | Einmalkauf (Einstieg: UNVR Instant, 199 USD US-Listenpreis) | Entfällt, Speicher liegt beim Anbieter |
| Verpflichtende App-Lizenz je Kamera | 0 EUR | Üblich ist eine monatliche oder jährliche Gebühr je Kamera |
| Speicherort der Aufnahmen | Standardmäßig im eigenen Haus; externe Archivierung optional | Rechenzentrum des Anbieters |
| Auftragsverarbeitungsvertrag nötig | Konfigurationsabhängig: bei Dienstleister, Fernzugriff und externem Archiv prüfen | Ja, plus Prüfung von Unterauftragnehmern und Drittlandtransfer |
Eine ehrliche Fußnote zu Ubiquiti und der Cloud
Protect bietet optional Fernzugriff über Ubiquiti-Konten und externe Archivierung. Ubiquiti hatte im Dezember 2023 zudem einen bestätigten Cloud-Vorfall, bei dem laut Hersteller-Statement die Konsolen und Benachrichtigungen von 1.216 Accounts kurzzeitig für fremde Nutzer sichtbar waren; tatsächlich zugegriffen wurde demnach nur auf rund ein Dutzend Accounts. Wer maximale Kontrolle will, hält Aufzeichnung und Zugriff bewusst lokal beziehungsweise nutzt ein eigenes VPN und dokumentiert jede aktivierte Cloud-Funktion.
Das Gegenmodell: Cloud-verwaltete Kamerasysteme
Cloud-Video-Anbieter, von Meraki bis zu reinen Video-as-a-Service-Diensten, verlagern Speicherung oder Verwaltung in ihre Rechenzentren. Das ist nicht per se unzulässig, verschiebt aber die Pflichten: Sie brauchen einen Auftragsverarbeitungsvertrag, müssen die Unterauftragnehmer-Kette kennen und bei US-Anbietern den Datentransfer bewerten. Seriöse Anbieter liefern dafür Nachweise, Cisco Meraki etwa eine EU-Cloud mit Datenverarbeitung in EU-Rechenzentren, maximal 14 Monaten Aufbewahrung der Dashboard-Daten und BSI-C5-Testat (die Aufbewahrung der Videoaufnahmen selbst wird separat konfiguriert). Solche Pakete kosten allerdings laufend Geld, meist je Kamera und Jahr.
Die Rechtslage 2026: DPF gilt, aber nicht in Stein gemeißelt
- Das EU-US Data Privacy Framework (DPF) ist die aktuelle Grundlage für Datentransfers an zertifizierte US-Anbieter. Das Gericht der EU hat die Klage dagegen (Rechtssache Latombe) am 3. September 2025 abgewiesen, das DPF gilt also weiter.
- Ein Rechtsmittel ist beim EuGH anhängig (Rechtssache C-703/25 P). Zusätzlich hat der US Supreme Court am 29. Juni 2026 in der Sache Trump v. Slaughter die Unabhängigkeit der US-Aufsichtsbehörde FTC gekippt, auf die sich der Angemessenheitsbeschluss mit stützt; noyb fordert die EU-Kommission seither auf, den Beschluss geordnet zurückzunehmen. Ein drittes Schrems-Szenario ist nicht ausgeschlossen.
- Praktische Konsequenz für KMU: Cloud-Video mit US-Bezug ist derzeit rechtlich möglich, hängt aber an einer Grundlage, die erneut kippen kann. Lokale Speicherung ist von dieser Unsicherheit schlicht nicht betroffen.
DSGVO-Basics für Kameras im Betrieb
Unabhängig von der Technik gelten für jede betriebliche Videoüberwachung ein paar Grundregeln. Die folgende Checkliste ist eine Orientierung, für die konkrete Umsetzung lohnt der Blick in die Orientierungshilfe Videoüberwachung der Datenschutzkonferenz und bei heiklen Konstellationen die Abstimmung mit einem Datenschutzbeauftragten:
- Zweck und Rechtsgrundlage festlegen: meist berechtigtes Interesse, etwa Schutz vor Einbruch und Diebstahl, dokumentiert mit Interessenabwägung.
- Erfasste Bereiche begrenzen: Eingänge, Kasse, Lager ja; Pausenräume, Sanitärbereiche und dauerhafte Arbeitsplatzüberwachung nein. Öffentlicher Raum vor der Tür nur minimal.
- Kennzeichnen und informieren: gut sichtbares Hinweisschild vor Betreten des erfassten Bereichs mit den Pflichtangaben, dazu die ausführlichen Informationen nach Art. 13 DSGVO.
- Löschfristen kurz halten: Aufnahmen nur so lange aufbewahren, wie es der Zweck erfordert, im Regelfall wenige Tage, und die Frist technisch im Rekorder hinterlegen.
- Zugriff beschränken und protokollieren: wenige benannte Personen, starke Passwörter, Zwei-Faktor-Anmeldung, kein Sammel-Login.
- Verzeichnis der Verarbeitungstätigkeiten ergänzen und bei umfangreicher Überwachung eine Datenschutz-Folgenabschätzung prüfen.
- Ton aus: Tonaufzeichnung ist rechtlich deutlich heikler als Video und bleibt im Betrieb am besten komplett deaktiviert.
Beispiel-Setup für Laden oder Werkstatt
Für ein Ladengeschäft oder eine Werkstatt mit vier Kameras reicht ein kompaktes Setup: vier Protect-Kameras für Eingang, Kasse beziehungsweise Theke, Lager und Hof, dazu ein kleiner Rekorder wie der UNVR Instant (199 USD US-Listenpreis) oder eine UniFi-Konsole mit Protect-Unterstützung, eingebunden ins vorhandene Netzwerk mit eigenem Kamera-VLAN. In dieser bewusst lokalen Konfiguration bleiben die Aufnahmen im Haus. Laufende Kosten entstehen für Strom, Wartung sowie gegebenenfalls gewählte Zusatzdienste; eine verpflichtende App-Lizenz pro Kamera gibt es nicht.
Was das UniFi-Ökosystem insgesamt im Unternehmen taugt, von Netzwerk bis WLAN, steht im Überblicksbeitrag UniFi im Unternehmen. Und wenn Kameras Teil eines größeren Projekts sind: Im Rahmen der UniFi-Netzwerkplanung plane ich Netzwerk, VLAN-Trennung und Kamerasystem aus einem Guss, inklusive sauberer Zugriffs- und Löschkonzepte.
Quellen
- Ubiquiti Help Center: How UniFi Protect Protects Your Data (lokale Speicherung, keine Kamera-Lizenzen)
- Ubiquiti Help Center: Exporting Clips & Cloud Archiving with UniFi Protect
- Ubiquiti Blog: UNVR Instant (Einstiegs-Recorder)
- Cisco Meraki Documentation: Dashboard Data Storage (EU-Cloud-Speicherorte)
- Cisco Meraki: GDPR (Aufbewahrung von Kundendaten maximal 14 Monate)
- IAPP: EuG weist Latombe-Klage ab, Data Privacy Framework bleibt bestehen (September 2025)
- noyb: US Supreme Court kippt FTC-Unabhängigkeit, Folgen für EU-US-Datentransfers (Juni 2026)
- BleepingComputer: Ubiquiti-Statement zum Cloud-Vorfall Dezember 2023 (Zahlen)
- Datenschutzkonferenz: Orientierungshilfen (u. a. Videoüberwachung)
- The Register: Ubiquiti-Cloud-Vorfall Dezember 2023
Dieser Beitrag ist eine sorgfältig recherchierte Orientierung, keine Rechts- oder Steuerberatung. Für verbindliche Auskünfte wenden Sie sich an Ihren Steuerberater oder Rechtsanwalt.
Häufige Fragen
Braucht UniFi Protect Lizenzen oder ein Abo?+
Für die Protect-Kernanwendung gibt es keine verpflichtende App-Lizenz pro Kamera. Bezahlt werden Hardware und Installation; optionale Dienste, externer Speicher und laufende Betreuung können zusätzliche Kosten verursachen. Stand August 2026.
Wo liegen die Aufnahmen bei UniFi Protect?+
Standardmäßig auf dem UniFi-Rekorder beziehungsweise der Konsole vor Ort. Optional ist eine externe Archivierung zu Google Drive, OneDrive, Dropbox oder NAS konfigurierbar. Die KI-Auswertung läuft lokal.
Ist Cloud-Videoüberwachung automatisch DSGVO-widrig?+
Nein. Sie ist zulässig, wenn die Hausaufgaben stimmen: Auftragsverarbeitungsvertrag, geklärte Unterauftragnehmer und gegebenenfalls ein gültiger Drittland-Transfermechanismus. Auch bei Protect müssen Dienstleisterzugriff, Fernzugriff und aktivierte Archivierung geprüft werden; eine rein lokale Konfiguration reduziert diese Prüfkette deutlich.
Darf ich meine Mitarbeiter filmen?+
Nur sehr eingeschränkt. Dauerhafte Überwachung von Arbeitsplätzen ist regelmäßig unzulässig, Pausen- und Sanitärräume sind tabu. Zulässig sind zweckgebundene Bereiche wie Kasse oder Lager mit dokumentierter Interessenabwägung. Im Zweifel vorab mit einem Datenschutzbeauftragten klären, das schützt vor teuren Fehlern.
Wie lange darf ich Aufnahmen speichern?+
So kurz wie möglich. Als Faustregel gelten wenige Tage, sofern kein Vorfall eine längere Aufbewahrung im Einzelfall rechtfertigt. Die konkrete Frist gehört ins Löschkonzept und technisch in den Rekorder, damit sie automatisch greift.
Was kostet ein 4-Kamera-Setup im laufenden Betrieb?+
Bei einem rein lokalen Protect-Setup entstehen im Wesentlichen Kosten für Strom und Wartung. Eine verpflichtende App-Lizenz pro Kamera gibt es nicht. Optionaler Cloud-Speicher, Archivierung und Betreuung können laufende Kosten verursachen.
Kameras, die dem Datenschutz standhalten
Ich plane Videoüberwachung für KMU so, dass Technik und DSGVO zusammenpassen: lokale Speicherung, sauberes VLAN, klare Zugriffe und automatische Löschfristen. Aus Chemnitz für KMU in Sachsen und deutschlandweit.
Daniel Gläser
Inhaber Gläser IT-Solutions, Chemnitz
Ich entwickle Software und betreibe IT-Infrastruktur für kleine und mittlere Unternehmen, von der ersten Analyse bis zum laufenden Betrieb. Die Inhalte hier stammen aus realen Projekten und sind mit Quellen belegt.
