Sind Sitzungsvideos personenbezogene Daten im Sinne der DSGVO?

Die Antwort ist eindeutig: Ja. Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Person gilt als identifizierbar, wenn sie direkt oder indirekt erkannt werden kann, zum Beispiel anhand ihres Namens, ihrer Stimme, ihres Gesichts oder ihrer Körperhaltung. Videoaufzeichnungen von Ratssitzungen erfüllen dieses Kriterium ohne jeden Zweifel, weil sie Personen visuell und akustisch erkennbar festhalten.

Konkret bedeutet das: Sobald eine Kamera eine Ratssitzung aufnimmt, werden Gesichter von Ratsmitgliedern, Stimmen von Rednern, auf Namensschildern angezeigte Identitäten und Kontextinformationen wie Sitzungsdatum und Funktion der Teilnehmer erfasst. Selbst wenn ein Ratsmitglied nur im Hintergrund sichtbar ist, handelt es sich um ein personenbezogenes Datum. Das gilt entsprechend auch für Aufzeichnungen von Samtgemeinderat-Sitzungen in Niedersachsen, bei denen Mitglieder aus mehreren Mitgliedsgemeinden gemeinsam tagen und gefilmt werden. Die Datenschutzkonferenz (DSK) und mehrere Landesbeauftragte für Datenschutz, darunter der Bayerische Landesbeauftragte für den Datenschutz, haben dies in ihren Orientierungshilfen ausdrücklich bestätigt.

Dabei ist zwischen verschiedenen Personengruppen zu unterscheiden. Gewählte Ratsmitglieder handeln in ihrer öffentlichen Funktion und haben in diesem Kontext reduzierte Privatheitserwartungen. Das bedeutet jedoch nicht, dass die DSGVO für sie nicht gilt. Private Personen, die als Zuhörer an einer öffentlichen Sitzung teilnehmen oder im Rahmen der Bürgerfragestunde sprechen, genießen dagegen einen stärkeren Schutz. Wer als Bürger in der Einwohnerfragestunde das Wort ergreift und dabei gefilmt wird, ist auf der Aufzeichnung eindeutig identifizierbar und damit Betroffener im Sinne der DSGVO.

Risiko durch besondere Kategorien personenbezogener Daten

Ein oft übersehenes Risiko betrifft Art. 9 DSGVO, der besondere Kategorien personenbezogener Daten regelt. Dazu gehören Gesundheitsdaten, politische Meinungen und religiöse Überzeugungen. In einer Ratssitzung können solche Daten unbeabsichtigt erfasst werden: Ein Ratsmitglied erscheint mit einem Rollstuhl oder sichtbaren Einschränkungen, was Rückschlüsse auf den Gesundheitszustand erlaubt. Ein Redner äußert im Rahmen der Bürgerfragestunde eine politische Haltung, die über seine bloße Meinung zum Tagesordnungspunkt hinausgeht. In solchen Fällen verschärfen sich die datenschutzrechtlichen Anforderungen erheblich, weil Art. 9 DSGVO grundsätzlich ein Verarbeitungsverbot für diese Datenkategorien vorsieht und nur enge Ausnahmen zulässt.

Kommunen, die Sitzungsvideos fälschlicherweise nicht als personenbezogene Daten behandeln, setzen sich erheblichen Risiken aus. Sie versäumen die Pflicht zur Festlegung einer Rechtsgrundlage, erfüllen keine Informationspflichten gegenüber Betroffenen und führen kein Verarbeitungsverzeichnis. Datenschutzaufsichtsbehörden können bei einer Prüfung Beanstandungen aussprechen, Abhilfemaßnahmen anordnen oder im Wiederholungsfall Bußgelder verhängen. Hinzu kommt der Reputationsschaden, wenn Bürgerinnen und Bürger erfahren, dass ihre Rechte nicht gewahrt wurden.

Auf welcher Rechtsgrundlage dürfen Kommunen Sitzungsvideos speichern?

Ohne eine gültige Rechtsgrundlage ist jede Verarbeitung personenbezogener Daten unzulässig. Art. 6 Abs. 1 DSGVO listet die möglichen Grundlagen abschließend auf. Für Kommunen als öffentliche Stellen kommen in der Praxis vor allem drei Grundlagen in Betracht: die Wahrnehmung einer Aufgabe im öffentlichen Interesse nach Art. 6 Abs. 1 lit. e DSGVO, die Erfüllung einer rechtlichen Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO sowie die Einwilligung der betroffenen Personen nach Art. 6 Abs. 1 lit. a DSGVO.

Die in der Praxis tragfähigste Grundlage ist Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem jeweiligen Landesrecht. Ratssitzungen dienen der demokratischen Willensbildung und der öffentlichen Kontrolle kommunaler Entscheidungen. Die Aufzeichnung und Veröffentlichung von Sitzungsvideos unterstützt diesen Zweck, indem sie Bürgerinnen und Bürgern ermöglicht, Ratsentscheidungen nachzuvollziehen, auch wenn sie nicht persönlich anwesend waren. Viele Gemeindeordnungen enthalten Regelungen zur Öffentlichkeit von Ratssitzungen, die als Anknüpfungspunkt für diese Rechtsgrundlage dienen. In Bayern etwa erlaubt die Gemeindeordnung (Art. 52 BayGO) die Öffentlichkeit von Gemeinderatssitzungen ausdrücklich, was als Grundlage für die Aufzeichnung und Übertragung herangezogen werden kann. In Nordrhein-Westfalen enthält die Gemeindeordnung (§ 48 GO NRW) ebenfalls Regelungen zur Sitzungsöffentlichkeit, ohne jedoch Videoaufzeichnungen ausdrücklich zu normieren. In Niedersachsen gilt dies entsprechend für Samtgemeinden: Die Niedersächsische Gemeindeordnung (NGO) regelt die Öffentlichkeit von Ratssitzungen, ohne Videoübertragungen oder Livestreaming des Samtgemeinderats ausdrücklich zu normieren, sodass Samtgemeinden die Rechtsgrundlage sorgfältig aus dem Zweck der demokratischen Transparenz ableiten müssen. Das bedeutet: Die konkrete rechtliche Verankerung variiert je nach Bundesland, und Kommunen müssen ihre spezifische Gemeindeordnung sowie etwaige Durchführungsverordnungen prüfen.

Die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist als alleinige Rechtsgrundlage für Sitzungsaufzeichnungen in der Regel ungeeignet. Zum einen besteht zwischen einer Gemeinde und den an der Sitzung teilnehmenden Personen ein strukturelles Machtgefälle, das die Freiwilligkeit der Einwilligung in Frage stellt. Zum anderen erzeugt jede erteilte Einwilligung das Recht auf jederzeitigen Widerruf, was unmittelbar eine Löschungspflicht auslöst. Stellen Sie sich vor, eine Gemeinde hat eine Ratssitzung auf Basis von Einwilligungen aller Beteiligten aufgezeichnet und drei Monate später widerruft ein Ratsmitglied seine Einwilligung. Die Gemeinde wäre verpflichtet, die Aufzeichnung zu löschen, auch wenn diese für die öffentliche Nachvollziehbarkeit der Sitzung noch relevant wäre. Dieses Szenario zeigt, warum die Einwilligung als Hauptrechtsgrundlage in der kommunalen Praxis strukturell ungeeignet ist.

Dokumentationspflicht im Verarbeitungsverzeichnis

Unabhängig von der gewählten Rechtsgrundlage müssen Kommunen die Verarbeitung von Sitzungsvideos im Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentieren. Einzutragen sind die Rechtsgrundlage und ihre Begründung, der Verarbeitungszweck, die Kategorien betroffener Personen, die Speicherdauer sowie die technischen und organisatorischen Maßnahmen zum Schutz der Daten. Diese Dokumentation ist nicht nur eine formale Pflicht, sondern auch ein praktischer Schutz: Sie ermöglicht es der Kommune, im Fall einer Prüfung durch die Aufsichtsbehörde die Rechtmäßigkeit der Verarbeitung nachzuweisen und bildet die Grundlage für interne Überprüfungen, wenn sich das Rechtsumfeld ändert.

Welche gesetzlichen Aufbewahrungsfristen gelten für Sitzungsaufzeichnungen?

Eine einheitliche bundesweite Aufbewahrungsfrist für Videoaufzeichnungen von Ratssitzungen gibt es nicht. Das kommunale Recht ist Ländersache, und die DSGVO legt zwar das Prinzip der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO fest, benennt aber keine konkreten Fristen für Sitzungsvideos. Kommunen müssen daher drei Rechtsebenen gleichzeitig im Blick behalten: die DSGVO als übergeordneten Rahmen, die jeweilige Gemeindeordnung ihres Bundeslandes und das anwendbare Archivrecht.

Besonders wichtig ist die Unterscheidung zwischen der Sitzungsniederschrift und der Videoaufzeichnung. Die Niederschrift ist das rechtlich verbindliche Protokoll einer Ratssitzung und unterliegt in allen Bundesländern klar definierten Aufbewahrungsfristen. In Bayern beispielsweise beträgt die Aufbewahrungsfrist für Gemeinderatsprotokolle in der Regel 30 Jahre, in NRW gelten ähnlich lange Fristen nach den Aktenordnungen der Kommunen. Für niedersächsische Samtgemeinden gelten die Aufbewahrungsfristen der Kommunalverwaltung entsprechend auch für Protokolle des Samtgemeinderats, während Videoaufzeichnungen dieser Sitzungen in der Regel nicht ausdrücklich geregelt sind. Die Videoaufzeichnung gilt in den meisten Gemeindeordnungen als ergänzendes Dokument. Ein verbreiteter Fehler in der Praxis besteht darin, die für die Niederschrift geltende Aufbewahrungsfrist automatisch auch auf die Videoaufzeichnung anzuwenden. Das ist rechtlich nicht zwingend geboten und führt zu einer unnötig langen Speicherung von Videodaten, die über den eigentlichen Zweck hinausgeht.

Das Archivrecht spielt eine weitere wichtige Rolle. Landesarchivgesetze können vorsehen, dass Aufzeichnungen von historischer Bedeutung an das Kommunalarchiv oder Kreisarchiv abzugeben sind, anstatt gelöscht zu werden. In diesem Fall greift die archivrechtliche Ausnahme nach Art. 17 Abs. 3 lit. d DSGVO, die das Recht auf Löschung einschränkt, wenn die Daten für im öffentlichen Interesse liegende Archivzwecke erforderlich sind. Kommunen sollten frühzeitig klären, ob und wann ihr Kommunalarchiv zuständig wird, denn sobald eine Aufzeichnung dem Archiv übergeben wurde, gelten andere Regeln als für die operative Verwaltungsspeicherung.

Praktische Empfehlung zur Fristbestimmung

Als praktischen Ausgangspunkt empfiehlt sich folgendes Vorgehen: Prüfen Sie zunächst, ob Ihre Gemeindeordnung oder eine zugehörige Durchführungsverordnung eine explizite Regelung für Videoaufzeichnungen enthält. Klären Sie dann mit Ihrem Kommunalarchiv, ob eine Abgabepflicht besteht. Definieren Sie anschließend auf Basis des Verarbeitungszwecks eine verhältnismäßige Speicherdauer, zum Beispiel sechs bis zwölf Monate für die öffentliche Abrufbarkeit, und dokumentieren Sie diese Entscheidung mit ihrer rechtlichen Begründung im Verarbeitungsverzeichnis. Richten Sie technische Erinnerungen oder automatisierte Löschroutinen ein, damit Fristen nicht versäumt werden.

Was müssen Kommunen bei der Speicherung auf externen Plattformen beachten?

Viele Kommunen nutzen externe Plattformen für das Hosting und Streaming ihrer Ratssitzungen. Sobald dabei personenbezogene Daten an einen externen Anbieter übermittelt werden, entsteht eine Auftragsverarbeitungsbeziehung im Sinne von Art. 28 DSGVO. Die Kommune bleibt in jedem Fall Verantwortliche und trägt die volle datenschutzrechtliche Verantwortung für die Verarbeitung. Ohne einen schriftlichen Auftragsverarbeitungsvertrag (AVV) ist die Nutzung des externen Dienstes unzulässig, unabhängig davon, ob der Anbieter seinen Sitz in Deutschland, der EU oder einem Drittland hat. Dies gilt gleichermaßen für niedersächsische Samtgemeinden, die automatisierte Sitzungstechnik oder externe Streaming-Lösungen für Samtgemeinderat-Sitzungen einsetzen.

Besondere Vorsicht ist bei US-amerikanischen Plattformen geboten. Dienste wie YouTube oder Vimeo übertragen Daten auf Server außerhalb der EU und unterliegen US-amerikanischen Überwachungsgesetzen wie dem CLOUD Act und FISA Section 702. Nach dem Schrems-II-Urteil des EuGH aus dem Jahr 2020 ist eine Übermittlung personenbezogener Daten in die USA nur unter strengen Bedingungen zulässig. Zwar existiert seit 2023 das EU-US Data Privacy Framework als neuer Angemessenheitsbeschluss, jedoch haben mehrere deutsche Datenschutzbehörden und Datenschutzexperten auf verbleibende strukturelle Risiken hingewiesen. Für Kommunen als öffentliche Stellen, die besonders schutzwürdige Daten verarbeiten, ist das Risiko einer aufsichtsbehördlichen Beanstandung bei Nutzung solcher Plattformen real. Eine Gemeinde, die ihre Ratssitzungen über YouTube streamt und dort dauerhaft speichert, kann im Rahmen einer Prüfung durch die Landesbehörde aufgefordert werden, die Verarbeitung zu unterlassen oder umzustellen.

Hosting auf deutschen oder zumindest EU-ansässigen Servern reduziert dieses Risiko erheblich. Für die öffentliche Verwaltung empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Nutzung von Cloud-Diensten, die nach dem BSI C5-Testat zertifiziert sind. Dieses Testat bestätigt, dass ein Anbieter definierte Sicherheitsanforderungen erfüllt, die speziell für den deutschen Behördenkontext entwickelt wurden. Kommunen sollten bei der Anbieterauswahl gezielt nach diesem oder einem gleichwertigen Zertifikat fragen.

Checkliste für die Anbieterprüfung

  • Liegt ein unterzeichneter AVV nach Art. 28 DSGVO vor, bevor Daten übermittelt werden?
  • Sind Serverstandort und Datenresidenz vertraglich garantiert und auf EU-Gebiet beschränkt?
  • Ist die Liste der Unterauftragsverarbeiter einsehbar und werden Änderungen vorab mitgeteilt?
  • Sind Verschlüsselung bei der Übertragung und im Ruhezustand vertraglich vereinbart?
  • Enthält der AVV eine Klausel zur Löschung oder Rückgabe der Daten bei Vertragsende?
  • Verfügt der Anbieter über BSI C5, ISO 27001 oder eine vergleichbare Zertifizierung?
  • Sind Audit-Rechte und Auskunftspflichten des Anbieters vertraglich verankert?

Diese Punkte sollten vor Vertragsschluss geprüft und die Ergebnisse dokumentiert werden. Wer diese Prüfung überspringt und später eine aufsichtsbehördliche Anfrage erhält, steht ohne Nachweise da. Spezialisierte Anbieter für kommunale Videolösungen mit deutschem Serverstandort bieten oft bereits vorbereitete AVV-Vorlagen an, die den Einstieg erleichtern.

Wann und wie müssen Sitzungsaufzeichnungen gelöscht werden?

Die Pflicht zur Löschung entsteht in drei typischen Situationen: wenn die festgelegte Aufbewahrungsfrist abläuft, wenn die Rechtsgrundlage für die Speicherung wegfällt und wenn eine betroffene Person einen Löschantrag nach Art. 17 DSGVO stellt. Jede dieser Situationen erfordert eine klare interne Reaktion. Stellen Sie sich vor, eine Bürgerin hat während der Einwohnerfragestunde einer Ratssitzung gesprochen und ist auf der Aufzeichnung erkennbar. Einige Monate später stellt sie einen Löschantrag. Die Gemeinde muss diesen Antrag innerhalb eines Monats prüfen, beantworten und, sofern keine Verweigerungsgründe vorliegen, die Löschung durchführen und dokumentieren.

Technisch korrekte Löschung bedeutet mehr als das Verschieben einer Datei in den Papierkorb oder das Deaktivieren eines Links. Eine Videodatei, die lediglich aus dem öffentlichen Zugriff entfernt wurde, aber noch auf dem Server liegt, gilt datenschutzrechtlich als weiterhin gespeichert. Rechtssichere Löschung erfordert, dass die Datei so vernichtet wird, dass eine Wiederherstellung nicht mehr möglich ist. Dafür kommen Methoden wie das mehrfache Überschreiben, die kryptografische Löschung oder bei physischen Datenträgern die zertifizierte Vernichtung in Betracht. Zusätzlich müssen alle mit der Aufzeichnung verknüpften Metadaten, also Dateinamen, Zugriffsprotokoll, Upload-Datum und Teilnehmerlisten, ebenfalls gelöscht werden, da auch sie personenbezogene Daten darstellen.

Backup-Systeme sind ein häufig vergessener Punkt. Eine Gemeinde, die glaubt, eine Aufzeichnung gelöscht zu haben, aber deren Backup-Zyklus die Datei noch für weitere Wochen vorhält, hat die Löschung nicht vollständig vollzogen. Das ist keine theoretische Gefahr: Aufsichtsbehörden haben in der Vergangenheit festgestellt, dass Daten in Backup-Systemen weiterhin vorhanden waren, obwohl die Verantwortlichen von einer vollständigen Löschung ausgegangen waren. Backup-Zyklen müssen deshalb in die Löschplanung einbezogen werden. Auch externe Plattformanbieter müssen vertraglich verpflichtet sein, Daten auf Anfrage vollständig zu löschen, und die Löschbestätigung sollte schriftlich eingeholt werden.

Löschprotokoll und Dokumentationspflicht

Der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zufolge müssen Kommunen nicht nur löschen, sondern auch nachweisen können, dass sie gelöscht haben. Ein Löschprotokoll sollte mindestens folgende Angaben enthalten: Datum der Löschung, Bezeichnung der gelöschten Dateien und Systeme, verwendete Löschmethode, Name oder Funktion der verantwortlichen Person sowie den rechtlichen Auslöser der Löschung, zum Beispiel Ablauf der Aufbewahrungsfrist oder eingehender Art. 17-Antrag. Ein solcher Eintrag könnte in der Praxis so aussehen: „Gelöscht am 15.03.2025: Videoaufzeichnung Gemeinderatssitzung 10.09.2024, Datei ratssitzung_2024-09-10.mp4, Server XY, Löschung per sicherem Überschreiben, durchgeführt von IT-Sachbearbeiter Müller, Anlass: Ablauf der 6-Monats-Frist gemäß interner Richtlinie.“

Anonymisierung kann in bestimmten Fällen eine Alternative zur vollständigen Löschung sein, etwa wenn archivrechtliche Pflichten einer Löschung entgegenstehen. Dabei gilt jedoch ein strenger Maßstab: Echte Anonymisierung bedeutet, dass Personen auch unter Einsatz aller verfügbaren Mittel nicht mehr identifiziert werden können. Das Verpixeln von Gesichtern allein reicht oft nicht aus, wenn Stimmen, Namensschilder oder Kontextinformationen weiterhin erkennbar bleiben. Pseudonymisierung, also das Ersetzen von Namen durch Codes bei gleichzeitig vorhandener Zuordnungstabelle, erfüllt die Anforderungen an eine Löschung nicht.