Vogelperspektive, was dürfen Drohnen?

Drohnen und Datenschutz: Was ist bei Foto- und Videoaufnahmen aus der Luft erlaubt?

Drohnen, im Fachjargon auch als unbemannte Luftfahrtsysteme oder Unmanned Aerial Systems bezeichnet, haben sich in den vergangenen Jahren von einem Nischenprodukt für Technik-Enthusiasten zu einem vielseitig eingesetzten Werkzeug in zahlreichen Branchen und Anwendungsbereichen entwickelt. Im privaten Bereich werden Drohnen vor allem für die Freizeit- und Urlaubsfotografie genutzt, um beeindruckende Luft- und Panoramaaufnahmen von Landschaften, Gebäuden und Veranstaltungen anzufertigen. Im gewerblichen und professionellen Bereich finden Drohnen zunehmend Verwendung in der Bau- und Immobilienbranche für Inspektionen, Vermessungen und Baufortschrittsdokumentationen, in der Landwirtschaft für die Feldüberwachung und Präzisionslandwirtschaft, bei Film- und Fernsehproduktionen, in der Eventfotografie und sogar bei der Paketzustellung durch spezialisierte Logistikunternehmen. Doch wo immer Drohnen mit Kameras ausgestattet sind und Foto- oder Videoaufnahmen anfertigen, stellen sich wichtige und teils komplexe datenschutzrechtliche Fragen, die sowohl private Hobbypiloten als auch gewerbliche Drohnenbetreiber kennen und beachten müssen.

Neue EU-Drohnenverordnung seit 2024

Die rechtlichen Rahmenbedingungen für den Betrieb von Drohnen in Deutschland und der gesamten Europäischen Union werden seit dem 1. Januar 2024 vollständig durch die EU-Drohnenverordnungen 2019/947 und 2019/945 geregelt, die das bisherige nationale Regelwerk weitgehend ersetzt haben. Die Verordnung teilt den Drohnenbetrieb in drei Kategorien ein: die offene Kategorie für Standardbetrieb mit geringem Risiko, die spezielle Kategorie für Betrieb mit mittlerem Risiko und die zulassungspflichtige Kategorie für Hochrisikobetrieb. Für die meisten privaten und viele gewerbliche Anwendungen ist die offene Kategorie relevant, die in drei Unterkategorien A1, A2 und A3 unterteilt ist. Je nach Kategorie gelten unterschiedliche Anforderungen an die Registrierung des Betreibers, den Kompetenznachweis des Fernpiloten und den Mindestabstand zu unbeteiligten Personen. Unabhängig von der luftverkehrsrechtlichen Kategorie gelten bei Aufnahmen mit Drohnen laufend und uneingeschränkt die Vorschriften der DSGVO und des BDSG zum Schutz personenbezogener Daten.

Wann Drohnenaufnahmen personenbezogene Daten erzeugen

Drohnenaufnahmen erzeugen personenbezogene Daten im Sinne der DSGVO, sobald auf den angefertigten Fotos oder Videos natürliche Personen identifizierbar sind. Dies ist nicht nur dann der Fall, wenn das Gesicht einer Person deutlich erkennbar ist. Auch die Erkennbarkeit anhand anderer individueller Merkmale wie markanter Kleidung, einer besonderen Frisur, einer auffälligen Statur, eines erkennbaren Fahrzeugs mit Kennzeichen oder des Kontexts der Aufnahme kann zur Identifizierbarkeit führen. Außerdem können Drohnenaufnahmen auch dann datenschutzrechtlich relevant sein, wenn sie Privateigentum wie Hausgärten, Terrassen, Balkone oder Innenhöfe aus der Vogelperspektive abbilden und dadurch Rückschlüsse auf die Lebensgewohnheiten, den Lebensstil oder die persönlichen Verhältnisse der Bewohner ermöglichen. Die modernen Hochleistungskameras, mit denen viele Drohnen ausgestattet sind, verfügen über enorme Auflösungen und leistungsfähige Zoomobjektive, die selbst aus großen Höhen erstaunlich detailreiche Aufnahmen ermöglichen.

Privater und gewerblicher Drohneneinsatz: Unterschiedliche Regeln

Das Datenschutzrecht unterscheidet grundlegend zwischen dem privaten und dem gewerblichen Einsatz von Drohnen. Rein private und ausschließlich für persönliche oder familiäre Zwecke angefertigte Foto- und Videoaufnahmen fallen unter die sogenannte Haushaltsausnahme des Art. 2 Abs. 2 lit. c DSGVO und unterliegen nicht den Vorschriften der Datenschutz-Grundverordnung. Allerdings ist diese Ausnahme eng auszulegen. Sobald die Aufnahmen in sozialen Netzwerken veröffentlicht, auf einer öffentlich zugänglichen Website hochgeladen oder einem über den engsten Familien- und Freundeskreis hinausgehenden Personenkreis zugänglich gemacht werden, greift die Haushaltsausnahme nicht mehr und die DSGVO findet vollständig Anwendung. Beim gewerblichen Einsatz von Drohnen, also wenn die Aufnahmen für kommerzielle, geschäftliche oder berufliche Zwecke angefertigt werden, gelten die Vorschriften der DSGVO und des BDSG ohne jede Einschränkung. Das Unternehmen oder der Selbstständige, das beziehungsweise der die Drohne gewerblich einsetzt, ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und muss sämtliche datenschutzrechtlichen Pflichten einschließlich der Informationspflichten, der Dokumentationspflichten und der Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung bei systematischer und großflächiger Überwachung erfüllen.

Persönlichkeitsrechte und das Recht am eigenen Bild

Unabhängig von den Regelungen der DSGVO schützen das allgemeine Persönlichkeitsrecht aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 des Grundgesetzes und das Recht am eigenen Bild nach den Paragraphen 22 und 23 des Kunsturhebergesetzes die betroffenen Personen vor unerlaubten Aufnahmen. Ohne die ausdrückliche Einwilligung der abgebildeten Person dürfen keine Personenfotos oder -videos angefertigt und veröffentlicht werden. Bei Drohnenaufnahmen kommt erschwerend hinzu, dass die betroffenen Personen die Aufnahme häufig gar nicht bemerken und daher keine Möglichkeit haben, ihr zu widersprechen oder ihre Einwilligung zu erteilen. Besonders problematisch und grundsätzlich unzulässig sind Drohnenaufnahmen, die den höchstpersönlichen Lebensbereich betreffen. Dazu gehören Aufnahmen von Privatgrundstücken, die normalerweise blickgeschützte Bereiche wie Gärten, Terrassen, Balkone oder Innenhöfe aus der Luft einsehbar machen. Aufnahmen durch Fenster in Innenräume von Wohnungen sind nach Paragraph 201a StGB strafbar und können eine Verletzung des höchstpersönlichen Lebensbereiches durch Bildaufnahmen darstellen. Solche Aufnahmen sind unter keinen Umständen zulässig, auch nicht, wenn sie unbeabsichtigt entstehen.

Verbotszonen und Flugbeschränkungen

Neben den datenschutzrechtlichen Vorgaben unterliegt der Drohnenbetrieb zahlreichen luftverkehrsrechtlichen Beschränkungen und Flugverboten, die der Sicherheit des Luftverkehrs und dem Schutz sensibler Einrichtungen dienen. Drohnen dürfen nicht über und in der Nähe von Flugplätzen, Flughäfen und Hubschrauberlandeplätzen betrieben werden. Über militärischen Anlagen und Übungsgebieten, über Einsatzorten von Polizei, Feuerwehr und Rettungsdiensten, über Justizvollzugsanstalten und anderen sicherheitsrelevanten Einrichtungen, über Naturschutzgebieten und Nationalparks während der Brutzeiten und über Menschenansammlungen und öffentlichen Versammlungen ist der Drohnenbetrieb ebenfalls verboten oder nur mit besonderer Genehmigung gestattet. Die maximale Flughöhe für Drohnen in der offenen Kategorie ist auf 120 Meter über dem Boden begrenzt. Das Bundesministerium für Digitales und Verkehr stellt auf seiner Internetseite umfassende und aktuelle Informationen zu den geltenden Regeln, Pflichten und Verboten für den Drohnenbetrieb in Deutschland bereit.

Datenschutz-Folgenabschätzung bei gewerblichem Drohneneinsatz

Bei einem systematischen und regelmäßigen gewerblichen Drohneneinsatz mit Kamera, insbesondere bei der großflächigen Überwachung oder Dokumentation öffentlich zugänglicher Bereiche, ist in aller Regel die Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Diese DSFA muss vor dem erstmaligen Einsatz der Drohne erstellt werden und eine systematische Beschreibung der geplanten Verarbeitungsvorgänge, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Datenverarbeitung, eine fundierte Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die geplanten technischen und organisatorischen Abhilfemaßnahmen zur Risikominimierung enthalten. Unternehmen, die Drohnen gewerblich einsetzen möchten und datenschutzrechtliche Unterstützung bei der Planung, Dokumentation und Umsetzung benötigen, sollten sich frühzeitig an einen externen Datenschutzbeauftragten wenden, der sie kompetent und praxisnah bei der Einhaltung aller relevanten Vorschriften berät. Ein ordnungsgemäß geführtes Verarbeitungsverzeichnis sollte den Drohneneinsatz als eigenständige Verarbeitungstätigkeit dokumentieren.

Datenschutzkonforme Vorgehensweise für gewerbliche Drohnenpiloten

Gewerbliche Drohnenbetreiber, die regelmäßig Aufnahmen für Kunden anfertigen, sollten ein standardisiertes datenschutzkonformes Verfahren für jeden Drohnenflug etablieren und dokumentieren. Vor jedem Einsatz sollte eine kurze Datenschutz-Vorprüfung durchgeführt werden, die den konkreten Aufnahmebereich, die voraussichtliche Anwesenheit unbeteiligter Personen und die geplante Verwendung der Aufnahmen bewertet. Bei Aufnahmen in bewohnten Gebieten sollten die unmittelbaren Anwohner nach Möglichkeit vorab informiert werden, idealerweise durch einen kurzen Aushang oder eine persönliche Benachrichtigung. Während des Fluges sollte der Pilot darauf achten, Privatbereiche wie Gärten, Terrassen und Balkone nicht gezielt zu überfliegen und zu filmen. Nach dem Flug sollten alle Aufnahmen gesichtet und Sequenzen, auf denen unbeteiligte Personen erkennbar sind, entweder gelöscht oder die betroffenen Personen unkenntlich gemacht werden, etwa durch Verpixelung der Gesichter und Kennzeichen. Die Aufnahmen sollten verschlüsselt gespeichert und nach Abschluss des Kundenprojekts und nach Ablauf einer angemessenen Aufbewahrungsfrist datenschutzkonform gelöscht werden. Zwischen dem gewerblichen Drohnenpiloten und seinem Auftraggeber sollte ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen werden, wenn der Pilot im Auftrag und nach Weisung des Kunden personenbezogene Daten verarbeitet.

Haftung und Versicherungspflicht bei Datenschutzverstößen

Drohnenbetreiber, die gegen Datenschutzvorschriften verstoßen, haften sowohl verwaltungsrechtlich als auch zivilrechtlich für die verursachten Schäden. Neben den möglichen Bußgeldern der Datenschutzaufsichtsbehörden nach Art. 83 DSGVO können betroffene Personen Schadensersatzansprüche nach Art. 82 DSGVO geltend machen, sowohl für materielle Schäden als auch für immaterielle Beeinträchtigungen wie die Verletzung der Privatsphäre oder die Bloßstellung durch veröffentlichte Aufnahmen. Die gesetzlich vorgeschriebene Haftpflichtversicherung für Drohnen deckt in der Regel nur Personen- und Sachschäden ab, die durch den physischen Betrieb der Drohne entstehen, nicht aber Schäden aus Datenschutzverstößen. Gewerbliche Drohnenbetreiber sollten daher prüfen, ob ihre bestehende Betriebshaftpflichtversicherung auch Ansprüche aus Datenschutzverletzungen abdeckt, und gegebenenfalls eine ergänzende Cyber-Versicherung oder Datenschutz-Haftpflichtversicherung abschließen. Die konsequente Einhaltung aller datenschutzrechtlichen Vorgaben ist dabei nicht nur eine rechtliche Pflicht, sondern auch der wirksamste Schutz vor kostspieligen Haftungsansprüchen und behördlichen Sanktionen.