KI in der Videoüberwachung: Was technisch geht — und was die DSGVO davon erlaubt

Die Sicherheitsbranche befindet sich in einem Wandel, der weniger mit Kameras zu tun hat als mit dem, was hinter ihnen läuft. Vernetzte Systeme und automatisierte Auswertung werden zum Standard. Gleichzeitig steigen die Anforderungen an Datenschutz, Transparenz und einen verantwortungsvollen Einsatz.

Beides gehört zusammen. Wer 2026 über KI-gestützte Videoanalyse entscheidet, entscheidet gleichzeitig über eine datenschutzrechtliche Konstruktion — und die trägt oder trägt nicht.

Was die Technik heute leistet

Klassische Bewegungserkennung reagiert auf Pixeländerungen. Sie meldet den Ast im Wind genauso zuverlässig wie die Person am Zaun. Das Ergebnis kennt jeder, der eine solche Anlage betreut hat: Nach der dritten Nacht mit zwanzig Fehlalarmen schaut niemand mehr hin.

Aktuelle Systeme arbeiten anders. Sie klassifizieren, was sich bewegt, und bewerten das Verhalten:

• Objektklassifikation — Mensch, Fahrzeug, Tier. Der Ast löst nichts mehr aus.
• Verweildauer-Analyse — jemand steht seit vier Minuten an derselben Stelle im Hinterhof.
• Richtungs- und Linienüberwachung — eine Person bewegt sich entgegen der üblichen Laufrichtung oder überquert eine definierte Grenze.
• Zählung und Auslastung — wie viele Personen befinden sich in einem Bereich.
• Nachträgliche Suche — „zeige alle Fahrzeuge zwischen 22 und 6 Uhr“ statt acht Stunden Material durchzusehen.

Der praktische Gewinn liegt nicht darin, dass die Kamera mehr sieht. Er liegt darin, dass weniger gemeldet wird. Eine Anlage, die pro Nacht zwei relevante Ereignisse meldet statt zwanzig irrelevanter, wird tatsächlich beachtet.

Wo die DSGVO Grenzen zieht

Videoüberwachung verarbeitet personenbezogene Daten. Das gilt für die einfache Kamera und erst recht für ein System, das Verhalten auswertet.

Die Rechtsgrundlage muss vor der Installation feststehen. In der Regel stützt sich Videoüberwachung auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Das verlangt eine dokumentierte Abwägung: Welches Interesse wird verfolgt, ist die Überwachung dafür erforderlich, und überwiegen die Interessen der Betroffenen? Diese Abwägung ist nicht optional und sie ist nachzuweisen.

Das mildere Mittel geht vor. Wenn eine bauliche Maßnahme oder eine Beleuchtung denselben Zweck erfüllt, ist die Kamera nicht erforderlich. Das ist keine Formalie — es ist der Punkt, an dem Aufsichtsbehörden regelmäßig ansetzen.

Die Datenschutz-Folgenabschätzung. Bei systematischer und umfangreicher Überwachung öffentlich zugänglicher Bereiche verlangt Art. 35 DSGVO eine Folgenabschätzung. Bei KI-gestützter Verhaltensanalyse ist die Schwelle eher erreicht als bei einer einfachen Aufzeichnung.

Biometrie ist eine eigene Kategorie. Gesichtserkennung zur eindeutigen Identifizierung verarbeitet biometrische Daten nach Art. 9 DSGVO. Dafür braucht es einen Ausnahmetatbestand, den ein privates Unternehmen zur Objektsicherung in aller Regel nicht hat. Objektklassifikation ist etwas anderes als Gesichtserkennung — dieser Unterschied entscheidet über die Zulässigkeit und wird in Verkaufsgesprächen gelegentlich verwischt.

Speicherdauer und Transparenz. Aufzeichnungen sind zu löschen, sobald sie für den Zweck nicht mehr erforderlich sind; als Orientierung gelten je nach Konstellation wenige Tage. Hinweisschilder müssen vor dem Betreten des überwachten Bereichs sichtbar sein und die Pflichtinformationen enthalten.

Beschäftigte sind besonders geschützt. Eine Überwachung, die Arbeitsverhalten erfasst, berührt Mitbestimmungsrechte. Wo ein Betriebsrat existiert, ist er zu beteiligen. Eine Anlage, die ohne diese Beteiligung in Betrieb geht, ist ein arbeitsrechtliches Problem zusätzlich zum datenschutzrechtlichen.

Der KI-spezifische Teil

Zwei Punkte kommen bei lernenden Systemen hinzu.

Automatisierte Entscheidungen. Art. 22 DSGVO schränkt Entscheidungen ein, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten. Ein System, das eine Meldung an einen Menschen ausgibt, der dann entscheidet, ist unkritisch. Ein System, das eigenständig Zutritt verweigert oder Konsequenzen auslöst, ist es nicht.

Wo läuft die Auswertung? Cloud-basierte Analyse bedeutet, dass Bildmaterial das Gelände verlässt. Damit stellen sich Fragen nach Auftragsverarbeitung, Serverstandort und gegebenenfalls Drittlandtransfer. Systeme, die auf dem Gerät auswerten, vermeiden diesen Komplex — bei geringerer Rechenleistung.

Fragen, die vor der Anschaffung zu klären sind

Diese Liste ersetzt keine Fachberatung. Sie hilft, ein Angebot einzuordnen:

1. Welches konkrete Ereignis soll erkannt werden? „Mehr Sicherheit“ ist kein Zweck, den eine Abwägung trägt.
2. Klassifiziert das System oder identifiziert es? Der Unterschied entscheidet über die Rechtsgrundlage.
3. Wo wird ausgewertet — auf dem Gerät oder in der Cloud? Und wenn Cloud: wo steht der Server?
4. Welche Daten entstehen zusätzlich zum Bild? Bewegungsprofile, Zeitstempel, Zählwerte sind ebenfalls personenbezogen.
5. Was passiert nach der Meldung? Wenn niemand reagiert, ist das beste Erkennungssystem eine teure Protokollmaschine.
6. Wie lange wird gespeichert und wer löscht? Automatisch oder manuell — und wer prüft, dass es geschieht?
7. Liegt die Abwägung schriftlich vor? Nach der Installation ist sie schwerer zu begründen als davor.

Was Technik nicht ersetzt

Trotz aller Entwicklung bleibt der Mensch der entscheidende Faktor. Der Trend in der Branche geht klar zu besser ausgebildetem und spezialisiertem Personal — Auftraggeber erwarten nicht nur Präsenz, sondern Kommunikationsfähigkeit und Situationsbewusstsein.

Das ist keine Nostalgie. Es folgt aus der Funktionsweise: Ein Erkennungssystem erzeugt eine Meldung. Eine Meldung ohne definierte Reaktion erzeugt keinen Sicherheitsgewinn, sondern eine Protokollzeile. Der Wert der Technik entsteht erst in der Kette dahinter — wer wird informiert, wer entscheidet, wer fährt hin, wer dokumentiert.

Wer in Erkennung investiert, ohne die Reaktionskette zu klären, kauft ein Frühwarnsystem ohne Adressaten.

Dieser Beitrag gibt den allgemeinen Stand wieder und stellt keine Rechtsberatung dar. Die datenschutzrechtliche Zulässigkeit einer konkreten Anlage ist im Einzelfall zu prüfen.