Videoturm beim Stadtfest: DSGVO-konforme Übertragung an die Polizei

Eine DSGVO-konforme Übertragung an die Polizei ist nicht das, was bei einem Stadtfest mit einem Klick aktiviert wird, sondern eine Rechtskonstruktion, die vor dem Aufbau des Turms entschieden sein muss und nach dem Abbau dokumentiert in der Hand des Verantwortlichen liegt.

Wer einen mobilen Videoturm zur Absicherung eines Stadtfestes in einer historisch geprägten Altstadt einsetzt, arbeitet in einem rechtlichen Raum, in dem mehrere Regelwerke gleichzeitig wirken. Die DSGVO ist der Rahmen. § 4 BDSG regelt die Videobeobachtung öffentlich zugänglicher Räume. § 6c BDSG ist in der Praxis weniger relevant als oft angenommen, weil er auf mobile Speichermedien zielt, nicht auf Videoüberwachung im Sinne kommunaler Sicherheitskonzepte. Wer die Vorschriften zitiert, sollte wissen, welche davon greifen, und welche davon in der Öffentlichkeitsarbeit häufiger genannt werden, als sie im konkreten Fall einschlägig sind. Boswau + Knauer hat den Videoturm zu einem Werkzeug entwickelt, das diese Komplexität nicht auflöst, sondern in eine konfigurierbare Struktur überführt.

Die folgende Darstellung ordnet die rechtliche Lage, beschreibt die technischen Voraussetzungen einer Live-Übertragung an ein polizeiliches Lagezentrum und legt offen, welche Pflichten beim Veranstalter, beim Sicherheitsdienstleister und beim Hersteller liegen.

Die Rechtsgrundlage einer Live-Übertragung

Eine Live-Übertragung an die Polizei ist juristisch keine Standardfunktion eines Videoturms, sondern eine besondere Form der Datenverarbeitung. Sie verlangt eine eigene Rechtsgrundlage. Im Regelfall stützt sich die Übertragung auf eine Anordnung der zuständigen Polizeibehörde nach Maßgabe des jeweiligen Landespolizeigesetzes. In Bayern findet sich die Norm in Art. 33 PAG, in Nordrhein-Westfalen in § 15a PolG NRW, in Berlin in § 24 ASOG. Die genaue Vorschrift variiert, die Struktur ist vergleichbar. Die Polizei darf an öffentlich zugänglichen Orten Bildaufzeichnungen durchführen, wenn tatsächliche Anhaltspunkte für eine Gefährdung bestehen, die diese Maßnahme rechtfertigen.

Daraus folgt eine Konsequenz, die in der Praxis häufig übersehen wird. Wenn die Polizei selbst die Aufzeichnung anordnet und durchführt, ist sie Verantwortliche im Sinne der DSGVO. Der Veranstalter und der eingesetzte Hersteller sind in dieser Konstellation technische Dienstleister oder Auftragsverarbeiter. Wenn dagegen der Veranstalter die Aufzeichnung durchführt und die Polizei nur einen Live-Zugriff erhält, liegt der Verantwortungsschwerpunkt beim Veranstalter, und die Übermittlung an die Polizei ist eine separate Datenübermittlung, die wiederum eine eigene Rechtsgrundlage benötigt. Diese Unterscheidung entscheidet darüber, wer welche Pflichten trägt, wer Auskunft geben muss und wer im Fall einer Beschwerde der Aufsichtsbehörde Rede und Antwort steht.

Boswau + Knauer empfiehlt die saubere Trennung. Entweder die Polizei betreibt die Maßnahme, dann liefert der Hersteller die Technik und arbeitet auf der Grundlage einer Vereinbarung über Auftragsverarbeitung. Oder der Veranstalter betreibt die Maßnahme, dann übermittelt er an die Polizei auf der Grundlage eines konkreten Übermittlungstatbestandes, in der Regel § 24 BDSG oder eine landesrechtliche Norm zur Gefahrenabwehr. Eine Zwitterkonstruktion, in der niemand sich zuständig fühlt, ist die häufigste Ursache rechtlicher Beanstandungen. Im Vorbereitungsgespräch zur Veranstaltung ist deshalb die Klärung der Verantwortlichkeit die erste Tagesordnungsposition, nicht die letzte. Im Buch BOSWAU + KNAUER, Vom Bau zur Sicherheitstechnologie ist diese Trennung in Kapitel 17 ausgeführt, weil sie nicht nur juristisch, sondern auch technisch konsequent umgesetzt sein muss.

Ein weiterer Punkt betrifft das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. In der Vorfeldkommunikation einer Veranstaltung wird dieses Interesse oft als Auffangtatbestand benannt. In der Sache trägt es eine Videoüberwachung im öffentlichen Raum nicht ohne Weiteres, weil die Abwägung mit den Rechten der Betroffenen sorgfältig zu führen ist. Das BSI und der Bundesbeauftragte für den Datenschutz haben in mehreren Stellungnahmen betont, dass eine flächendeckende Beobachtung von Veranstaltungsräumen nur dann rechtmäßig ist, wenn eine konkrete Gefahrenlage dokumentiert und die Maßnahme verhältnismäßig ist. Wer einen Videoturm beim Stadtfest aufstellt, ohne diese Verhältnismäßigkeit zu dokumentieren, baut auf juristischem Sand.

Hinweispflichten und ihre konkrete Ausgestaltung

Die Informationspflicht nach Art. 13 DSGVO ist auf einer Veranstaltung mit mehreren tausend Besuchern nicht trivial. Eine Hinweistafel am Eingang reicht selten aus, weil viele Besucher den Eingang nicht nutzen oder ihn überlaufen. Die Aufsichtsbehörden der Länder haben in den vergangenen Jahren ihre Erwartungen konkretisiert. Hinweise müssen vor dem Betreten des überwachten Bereichs erkennbar sein, sie müssen die wesentlichen Informationen in komprimierter Form enthalten, und sie müssen auf eine ausführliche Information verweisen, die der Betroffene ohne Hürde abrufen kann.

Konkret bedeutet das, dass an den Zugängen zum überwachten Bereich Schilder anzubringen sind, die folgende Angaben enthalten. Die Tatsache der Videoüberwachung. Die Identität des Verantwortlichen mit ladungsfähiger Anschrift. Den Zweck der Verarbeitung. Die Rechtsgrundlage. Die Speicherdauer. Den Hinweis auf die Rechte der Betroffenen und auf die zuständige Aufsichtsbehörde. In der Regel werden diese Angaben durch ein Piktogramm ergänzt, das auf die Überwachung aufmerksam macht. Die Bundesdatenschutzkonferenz hat ein Standardpiktogramm beschrieben, das in der Praxis akzeptiert ist.

Die ausführliche Information, auf die das Schild verweist, kann auf einer eigens eingerichteten Website hinterlegt sein. Ein QR-Code auf dem Schild führt zu dieser Seite. Die Seite muss vor der Veranstaltung online sein, sie muss während der Veranstaltung verfügbar bleiben, und sie sollte nach der Veranstaltung mindestens so lange erhalten bleiben, wie die Aufzeichnungen gespeichert werden. Boswau + Knauer liefert für seine Videotürme einen Vorlagensatz dieser Informationen, der vom Veranstalter an die konkrete Lage angepasst wird. Die Verantwortung für die Inhalte trägt der Veranstalter, nicht der Hersteller. Diese Trennung ist im Servicevertrag dokumentiert.

Eine besondere Konstellation ergibt sich, wenn der Videoturm so positioniert wird, dass er auch Bereiche erfasst, die nicht zum Veranstaltungsgelände gehören, etwa angrenzende Wohnhäuser oder Geschäfte. Hier verlangen die Aufsichtsbehörden eine technische Maskierung, die diese Bereiche aus dem Bildmaterial ausblendet. Die Maskierung muss vor Beginn der Aufzeichnung eingerichtet, dokumentiert und überprüfbar sein. Sie ist nicht durch einen Softwarefilter im Nachgang zu ersetzen, weil eine spätere Filterung den Tatbestand der Aufzeichnung nicht heilt. Wer in der Altstadt einen Turm aufstellt, dessen Sichtkegel zwingend Fassaden, Fenster oder Balkone erfasst, muss diese Maskierung vor Inbetriebnahme einstellen und durch einen Screenshot des aktiven Maskierungssatzes dokumentieren.

Die Hinweise sind nicht nur rechtliche Pflicht. Sie sind ein operatives Werkzeug. Eine deutlich sichtbare Beschilderung erhöht die abschreckende Wirkung des Turms und reduziert die Wahrscheinlichkeit von Vorfällen in einer messbaren Größenordnung. Wer die Hinweispflicht als Last empfindet, hat die Sicherheitslogik des sichtbaren Schutzes nicht verstanden. Die Beschilderung ist kein Anhang, sondern ein Bestandteil des Sicherheitskonzeptes.

Die Speicherdauer und ihre Begründung

Die Speicherdauer ist die Größe, an der die Verhältnismäßigkeit einer Videoüberwachung am schärfsten gemessen wird. Eine pauschale Speicherung über mehrere Wochen ist im Veranstaltungskontext nicht zu rechtfertigen. Die Aufsichtsbehörden gehen in der Regel von einer Speicherfrist von 48 bis 72 Stunden aus, in begründeten Einzelfällen bis zu sieben Tagen. Wer länger speichern will, muss den konkreten Anlass benennen, etwa eine laufende Strafanzeige oder eine dokumentierte Beschwerde, die die Aufzeichnungen als Beweismittel benötigt.

Die Speicherung folgt einer technischen Architektur, die im Vorfeld festgelegt werden muss. Wo werden die Daten gespeichert. Wer hat Zugriff. Wie ist der Zugriff dokumentiert. Wie werden die Daten nach Ablauf der Frist gelöscht. Wer dokumentiert die Löschung. Diese Fragen sind nicht administrativ, sie sind sicherheitsrelevant. Eine Aufzeichnung, die in einer Cloud eines Drittlandsanbieters gespeichert wird, unterliegt zusätzlich den Regeln des Drittlandtransfers nach Art. 44 ff. DSGVO. In der Praxis bedeutet das, dass die Speicherung auf Servern in der Europäischen Union erfolgen sollte, idealerweise in Deutschland, mit einem Auftragsverarbeitungsvertrag, der den Anforderungen der DSGVO genügt.

Boswau + Knauer betreibt die Speicherung für seine Videotürme grundsätzlich auf Servern in Deutschland und bietet auf Wunsch eine On-Premise-Lösung, bei der die Daten den Standort des Veranstalters oder des polizeilichen Lagezentrums nicht verlassen. Die zweite Variante ist im Kontext einer Stadtfestabsicherung mit polizeilicher Beteiligung in vielen Fällen vorzuziehen, weil sie die Datenkette verkürzt und die Verantwortlichkeit eindeutig zuordnet.

Die Löschung nach Fristablauf ist automatisiert. Sie wird in einem Löschprotokoll dokumentiert, das auf Anfrage der Aufsichtsbehörde vorgelegt werden kann. Die Dokumentation umfasst den Zeitpunkt der Aufnahme, den Zeitpunkt der Löschung und die Person oder das System, das die Löschung ausgelöst hat. Wer diese Dokumentation nicht führt, kann im Fall einer Beanstandung nicht nachweisen, dass die Speicherfrist eingehalten wurde, und trägt die Beweislast. Im Buch ist in Kapitel 17 beschrieben, wie diese Löschprotokolle in eine revisionsfähige Datenstruktur eingebunden sind, die sowohl der Veranstalter als auch die Polizei nachvollziehen können.

Eine Sonderfrage betrifft die Live-Übertragung selbst. Eine Live-Übertragung ist im engeren Sinn keine Speicherung, weil das Bild an einem Bildschirm im Lagezentrum erscheint und nicht aufgezeichnet wird. Sobald aber das Lagezentrum die Übertragung aufzeichnet, beginnt eine eigene Speicherfrist, die wiederum dokumentiert sein muss. Wer einen Live-Feed an die Polizei sendet, muss klären, ob die Polizei aufzeichnet, und in welchem Rahmen. Diese Klärung gehört in das Sicherheitskonzept der Veranstaltung, das mit dem Polizeipräsidium vor Veranstaltungsbeginn abgestimmt wird.

Technische Sicherheit der Übertragung

Die Übertragung eines Live-Feeds an ein polizeiliches Lagezentrum ist eine Datenübermittlung, die nach Art. 32 DSGVO durch geeignete technische und organisatorische Maßnahmen abzusichern ist. In der Praxis bedeutet das verschlüsselte Übertragungswege, in der Regel eine TLS-Verbindung mit aktueller Verschlüsselungssuite, eine Authentifizierung der Endpunkte und eine Protokollierung der Übertragungsvorgänge. Wer einen Videoturm aufstellt, dessen Übertragungsweg unverschlüsselt ist, verletzt nicht nur den Stand der Technik, sondern eine konkrete Pflicht.

Die Endgeräte im Lagezentrum müssen so eingerichtet sein, dass der Zugriff auf den Feed auf einen definierten Personenkreis beschränkt ist. Ein Bildschirm, der in einem offenen Raum steht und für jeden Anwesenden einsehbar ist, ist keine zulässige Empfangsstelle. Die Polizei verfügt über eingerichtete Lagezentren, die diese Anforderungen erfüllen. Wer mit der Polizei abstimmt, sollte sich diese Anforderungen schriftlich bestätigen lassen. Die Bestätigung ist Bestandteil des Verzeichnisses von Verarbeitungstätigkeiten, das nach Art. 30 DSGVO zu führen ist.

Die Authentifizierung der Endpunkte ist eine technische Frage mit rechtlicher Wirkung. Wenn ein Live-Feed durch einen Dritten abgefangen oder durch eine manipulierte Endstelle empfangen werden kann, ist die Maßnahme nicht nur rechtswidrig, sondern operativ wertlos. Boswau + Knauer setzt für seine Videotürme eine zertifikatsbasierte Authentifizierung ein, bei der das Lagezentrum nur dann den Feed empfangen kann, wenn das eingerichtete Zertifikat gültig ist. Diese Architektur ist mit der Polizei vor Veranstaltungsbeginn abzustimmen, weil sie eine Konfiguration auf beiden Seiten verlangt.

Eine weitere Anforderung betrifft die Ausfallsicherheit. Eine Übertragung, die im Verlauf der Veranstaltung abreißt, ist nicht nur ein Sicherheitsproblem, sondern ein Compliance-Problem, weil die fehlende Übertragung dokumentiert werden muss. Wer einen Videoturm mit Live-Feed betreibt, sollte einen redundanten Übertragungsweg vorsehen, etwa eine kabelgebundene Verbindung als Primärweg und eine Mobilfunkverbindung als Rückfallebene. Die Umschaltung zwischen den Wegen muss protokolliert werden, damit im Nachgang nachvollziehbar ist, zu welchem Zeitpunkt welche Verbindung aktiv war.

Die VdS und der BDSW haben in mehreren Stellungnahmen den Standard solcher Übertragungen beschrieben. Wer sich an diesen Standards orientiert, baut auf einer Grundlage, die im Streitfall vor einer Aufsichtsbehörde Bestand hat. Wer von diesen Standards abweicht, muss die Abweichung begründen, und die Begründung muss tragen.

Die Rolle des Veranstalters und die Auftragsverarbeitung

Der Veranstalter eines Stadtfestes ist in den meisten Konstellationen der Verantwortliche im Sinne der DSGVO, soweit die Videoüberwachung in seinem Auftrag erfolgt und nicht ausschließlich durch die Polizei angeordnet ist. Er trifft die wesentlichen Entscheidungen über Zwecke und Mittel der Verarbeitung. Aus dieser Rolle ergeben sich eine Reihe konkreter Pflichten.

Erstens die Führung des Verzeichnisses von Verarbeitungstätigkeiten. Das Verzeichnis muss vor Beginn der Veranstaltung erstellt sein und alle relevanten Angaben zur Videoüberwachung enthalten, einschließlich der Verarbeitungszwecke, der Kategorien betroffener Personen, der Empfänger, der Speicherfristen und der technischen Maßnahmen. Zweitens die Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Eine Videoüberwachung eines Stadtfestes mit Live-Übertragung an die Polizei ist eine umfangreiche, systematische Überwachung eines öffentlich zugänglichen Bereichs und unterfällt damit der Pflicht zur Folgenabschätzung. Wer diese Folgenabschätzung nicht durchführt, verletzt eine Kernpflicht der DSGVO, die im Bußgeldrahmen erheblich sanktioniert ist.

Drittens der Abschluss von Verträgen über Auftragsverarbeitung mit allen Dienstleistern, die für ihn personenbezogene Daten verarbeiten. Dazu gehören in der Regel der Hersteller des Videoturms, der Sicherheitsdienstleister, der die Anlage betreibt, und gegebenenfalls Cloud-Anbieter, die an der Speicherung beteiligt sind. Boswau + Knauer stellt einen Vertragsentwurf zur Verfügung, der die Anforderungen des Art. 28 DSGVO erfüllt. Der Veranstalter kann den Entwurf anpassen, er sollte aber nicht ohne fachliche Begleitung von den Standardklauseln abweichen, weil die Abweichungen häufig zu Lücken führen, die im Streitfall den Veranstalter belasten.

Die vierte Pflicht ist die Bestellung eines Datenschutzbeauftragten, soweit die Voraussetzungen des § 38 BDSG erfüllt sind. Bei kommunalen Veranstaltern ist diese Pflicht regelmäßig gegeben. Bei privaten Veranstaltern hängt sie von der Personalstärke und der Art der Verarbeitung ab. Wer im Zweifel ist, sollte einen externen Datenschutzbeauftragten für die Dauer der Veranstaltung benennen. Die Kosten sind im Verhältnis zum Bußgeldrisiko zu vernachlässigen.

Eine fünfte, in der Praxis häufig vergessene Pflicht ist die Meldung von Datenschutzverletzungen nach Art. 33 DSGVO. Wenn während der Veranstaltung ein Vorfall eintritt, bei dem personenbezogene Daten unautorisiert offengelegt werden, etwa durch eine fehlerhafte Übertragung oder einen unbefugten Zugriff auf das Lagezentrum, ist der Vorfall innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde zu melden. Der Veranstalter muss organisatorisch in der Lage sein, diese Meldung in der Frist zu erstellen. Wer das nicht eingerichtet hat, läuft Gefahr, eine Pflichtverletzung auf die ursprüngliche Pflichtverletzung zu setzen.

Verzahnung mit dem polizeilichen Sicherheitskonzept

Ein Videoturm beim Stadtfest steht nicht für sich. Er ist Teil eines Sicherheitskonzeptes, das mit der Polizei, dem Ordnungsamt und gegebenenfalls weiteren Behörden abgestimmt ist. Die Abstimmung erfolgt in der Regel in einem Sicherheitsgespräch, das mehrere Wochen vor der Veranstaltung stattfindet. In diesem Gespräch werden die Aufgaben verteilt, die Schnittstellen definiert und die Eskalationswege festgelegt.

Die Verzahnung mit dem polizeilichen Konzept hat mehrere Konsequenzen. Erstens wird der Standort des Turms nicht allein durch den Veranstalter bestimmt, sondern in Abstimmung mit der Polizei, die ihre eigenen Sichtachsen einbringt. Zweitens wird die Sichtbarkeit des Turms in das Konzept der polizeilichen Präsenz eingeordnet, damit nicht zwei sichtbare Schutzmaßnahmen einander stören. Drittens wird die Reaktionskette definiert. Wer reagiert auf welchen Vorfall. In welcher Zeit. Mit welchen Mitteln. Diese Definition ist die Voraussetzung dafür, dass die Live-Übertragung im Ernstfall wirkt.

Die BG BAU und der TÜV haben Standards für die Aufstellung mobiler Sicherheitstechnik im öffentlichen Raum dokumentiert, die der Statik des Turms, der Verankerung und der elektrischen Sicherheit gerecht werden. Ein Videoturm am Veranstaltungsgelände steht in einer Umgebung, in der Personen unmittelbar an ihm vorbeigehen. Eine fehlerhafte Verankerung kann eine Personenschädigung verursachen, die nicht nur einen Haftungsfall begründet, sondern auch den Abbruch der Veranstaltung. Die statischen Nachweise sind vor dem Aufbau zu erbringen und am Aufstellort verfügbar zu halten.

Die Verzahnung umfasst schließlich die Nachbereitung. Nach Ende der Veranstaltung wird im Rahmen einer gemeinsamen Auswertung geprüft, ob das Konzept getragen hat, welche Vorfälle dokumentiert wurden, welche Lehren für die nächste Veranstaltung zu ziehen sind. Diese Auswertung ist der Punkt, an dem die Investition in den Videoturm ihre eigentliche Rendite zeigt. Wer die Auswertung nicht führt, hat die Daten erfasst, aber nicht genutzt.

Was bleibt

Eine DSGVO-konforme Videoübertragung beim Stadtfest steht und fällt mit drei Entscheidungen, die vor dem Aufbau zu treffen sind. Wer ist Verantwortlicher. Auf welcher Rechtsgrundlage wird übertragen. Wie wird die Verhältnismäßigkeit dokumentiert. Wer diese drei Entscheidungen sauber trifft, baut auf einer Grundlage, die einer Prüfung durch die Aufsichtsbehörde standhält. Wer sie schiebt, baut auf der Hoffnung, dass die Prüfung nicht kommt. Hoffnung ist keine Compliance-Strategie.

Die Live-Übertragung an die Polizei ist technisch beherrschbar, sie ist rechtlich anspruchsvoll, und sie ist organisatorisch verflochten mit dem gesamten Sicherheitskonzept der Veranstaltung. Boswau + Knauer liefert die Technik, dokumentiert die Schnittstellen, stellt die Vertragsmuster und begleitet den Aufbau. Was wir nicht übernehmen, ist die Verantwortlichkeit des Veranstalters. Diese Trennung ist nicht eine Frage der Bequemlichkeit, sondern eine Frage der Rechtsklarheit.

Wer für die nächste Saison eine Veranstaltung absichern muss und die Verzahnung von Recht, Technik und Polizeikonzept frühzeitig ordnen will, findet im Gespräch mit Boswau + Knauer den richtigen Anfangspunkt. Das Format ist auf sechzig Minuten begrenzt, es ist vertraulich, und es endet entweder mit einer klaren Empfehlung oder mit dem Übergang in ein Audit über drei bis fünf Tage, in dem das gesamte Konzept geprüft wird.

Häufige Fragen

Darf der Live-Feed an die Polizei übertragen werden?

Die Übertragung ist zulässig, wenn eine tragfähige Rechtsgrundlage besteht. Im Regelfall stützt sich die Übertragung auf eine Anordnung der Polizei nach dem jeweiligen Landespolizeigesetz oder auf einen Übermittlungstatbestand nach § 24 BDSG zur Gefahrenabwehr. Die Verantwortlichkeit muss vor Veranstaltungsbeginn geklärt sein, entweder bei der Polizei selbst oder beim Veranstalter mit einer separaten Übermittlungsrechtfertigung. Eine reine Bequemlichkeitsübertragung ohne dokumentierte Gefahrenlage trägt nicht. Die technische Absicherung erfolgt über verschlüsselte Übertragungswege und authentifizierte Endpunkte.

Welche Hinweise sind Pflicht?

An den Zugängen zum überwachten Bereich sind Hinweisschilder mit den Pflichtangaben nach Art. 13 DSGVO anzubringen, dazu gehören Verantwortlicher, Zweck, Rechtsgrundlage, Speicherdauer, Betroffenenrechte und Aufsichtsbehörde. Die Schilder verweisen über einen QR-Code oder eine Adresse auf eine ausführliche Information, die jederzeit abrufbar ist. Ergänzend ist ein Standardpiktogramm zu verwenden, das die Bundesdatenschutzkonferenz beschrieben hat. Bei Erfassung angrenzender Bereiche ist eine technische Maskierung einzurichten und vor Inbetriebnahme zu dokumentieren.

Wie lange darf gespeichert werden?

Die Aufsichtsbehörden gehen im Veranstaltungskontext von einer Speicherfrist von 48 bis 72 Stunden aus, in begründeten Fällen bis zu sieben Tagen. Eine längere Speicherung verlangt einen konkreten Anlass, etwa eine laufende Strafanzeige oder ein dokumentierter Beweissicherungsbedarf. Die Löschung nach Fristablauf erfolgt automatisiert und wird in einem Löschprotokoll dokumentiert. Wenn die Polizei den Live-Feed aufzeichnet, beginnt eine eigene Speicherfrist auf ihrer Seite, die separat zu dokumentieren ist. Diese Trennung muss vor Veranstaltungsbeginn abgestimmt sein.

Wer ist verantwortlich?

Verantwortlicher im Sinne der DSGVO ist die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet. Wenn die Polizei die Maßnahme anordnet und durchführt, ist sie Verantwortliche, der Hersteller und der Veranstalter sind Auftragsverarbeiter oder technische Dienstleister. Wenn der Veranstalter die Aufzeichnung führt und an die Polizei übermittelt, liegt die Verantwortung beim Veranstalter, und die Übermittlung ist eine separate Datenübermittlung. Eine Zwitterkonstruktion ohne klare Zuordnung ist die häufigste Ursache rechtlicher Beanstandungen. Die Klärung gehört in das erste Sicherheitsgespräch.