Kennzeichenerkennung auf dem Parkplatz: die wichtigsten DSGVO-Fragen

Kurz gesagt: Kennzeichenerkennung auf dem Firmenparkplatz ist datenschutzrechtlich in der Regel zulässig, wenn Zweck, Rechtsgrundlage und Löschfristen klar festgelegt sind. Das Kennzeichen gilt nach überwiegender Auffassung als personenbezogenes Datum. Entscheidend sind deshalb Datenminimierung, transparente Information der Betroffenen und bei Mitarbeitenden eine Regelung mit dem Betriebsrat.

---

Ein Parkplatz mit Kennzeichenerkennung öffnet die Zufahrt ohne Karte, Transponder oder Ticket. Das ist bequem. Es wirft aber Fragen auf, die IT, Datenschutzbeauftragte und Betriebsrat früh stellen sollten. Wie die Technik im Detail funktioniert, erklären wir im Beitrag Kennzeichenerkennung: Moderne Authentifizierung. Dieser Leitfaden behandelt die rechtliche Seite.

 

Ist ein Kfz-Kennzeichen ein personenbezogenes Datum?

Ja, nach überwiegender Auffassung. Die DSGVO definiert personenbezogene Daten als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“ (Art. 4 Nr. 1 DSGVO). Über das Kennzeichen lässt sich der Halter ermitteln. Auf einem Firmenparkplatz ist der Bezug noch direkter: Das System ordnet das Kennzeichen einem Nutzerkonto zu und damit einer konkreten Person.

 

Auch das Bundesverfassungsgericht hat für die polizeiliche Kennzeichenkontrolle festgestellt, dass bereits die Erfassung ein Eingriff in das Recht auf informationelle Selbstbestimmung ist, und zwar für alle erfassten Personen, auch wenn es keinen Treffer gibt (BVerfG, Beschluss vom 18.12.2018, 1 BvR 142/15). Die Entscheidung betrifft staatliche Stellen. Sie zeigt aber, wie ernst die Rechtsprechung die automatisierte Erfassung nimmt.

 

Ist Kennzeichenerfassung auf Parkplätzen legal?

Das kommt darauf an: Sie braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Für den Firmenparkplatz kommen in der Regel drei in Betracht.

 

Vertrag oder Nutzungsverhältnis (Art. 6 Abs. 1 lit. b DSGVO)

Mitarbeitende oder Mieter, die sich für einen Parkplatz registrieren, schließen eine Nutzungsvereinbarung. Die Erfassung des Kennzeichens kann zur Durchführung dieser Vereinbarung erforderlich sein, etwa um die Schranke zu öffnen oder die Buchung zu prüfen.

 

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Für die Zufahrtskontrolle, den Schutz vor Fremdparkern oder eine faire Auslastung kann sich der Betreiber auf ein berechtigtes Interesse stützen. Voraussetzung ist eine dokumentierte Interessenabwägung. Die Interessen der Betroffenen dürfen nicht überwiegen.

 

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Im Arbeitsverhältnis ist die Einwilligung heikel. Sie muss freiwillig sein. Das ist bei einem Abhängigkeitsverhältnis nicht immer gegeben. Nach überwiegender Auffassung eignet sie sich eher als Zusatz, etwa für optionale Komfortfunktionen, nicht als alleinige Grundlage.

 

Und der Beschäftigtendatenschutz?

Für Mitarbeitende kommt eine Betriebsvereinbarung als spezifischere Regelung in Betracht. Art. 88 DSGVO erlaubt solche „Kollektivvereinbarungen“ ausdrücklich. Ein eigenes Beschäftigtendatengesetz gibt es bislang nicht, ein Referentenentwurf von 2024 wurde nicht weiterverfolgt. § 26 BDSG gilt formal fort. Seine Generalklausel gilt seit dem Urteil des Europäischen Gerichtshofs vom 30.3.2023 (C-34/21) aber als europarechtlich nicht tragfähig. Arbeitgeber stützen Verarbeitungen daher vorrangig auf Art. 6 Abs. 1 DSGVO.

 

Welche Grundsätze gelten für Zweck, Speicherdauer und Datenminimierung?

Art. 5 Abs. 1 DSGVO gibt den Rahmen vor. Drei Grundsätze sind für Kennzeichenerkennung besonders relevant. Zweckbindung (lit. b): Legen Sie den Zweck vorher fest, etwa „Zufahrt für berechtigte Nutzergruppen“. Eine spätere Nutzung zur Arbeitszeiterfassung wäre ein anderer Zweck. Sie bräuchte eine eigene Grundlage und den Betriebsrat. Datenminimierung (lit. c): Erfassen Sie nur, was nötig ist. Technisch heißt das oft: Das Kamerabild wird direkt im Gerät ausgewertet, gespeichert wird nur die Zeichenfolge. Ein Videobild dauerhaft zu speichern, ist für die Zufahrt in der Regel nicht erforderlich.

 

Speicherbegrenzung (lit. e): Daten dürfen nur so lange identifizierbar gespeichert werden, wie es der Zweck erfordert. Für reine Zufahrtsdaten bedeutet das kurze Fristen. Ein schriftliches Löschkonzept gehört in jede Einführung.

 

 

Konkrete Fristen nennt die DSGVO nicht. Sie leiten sich aus Ihrem Zweck ab. Die Tabelle ist deshalb eine Orientierung, keine behördliche Vorgabe.

 

Wie informieren Sie Fahrerinnen und Fahrer richtig?

Art. 13 DSGVO verlangt Informationen zum Zeitpunkt der Erhebung. Für Videoüberwachung empfehlen die deutschen Aufsichtsbehörden ein zweistufiges Modell (Orientierungshilfe Videoüberwachung der Datenschutzkonferenz). Analog bewährt es sich auch bei Kennzeichenkameras:

 

1. Hinweisschild an der Zufahrt: gut sichtbar, bevor die Kamera erfasst. Es nennt den Verantwortlichen, den Zweck, die Rechtsgrundlage und einen QR-Code oder Link zu den vollständigen Informationen.
2. Vollständige Datenschutzinformation: online oder in der App. Sie enthält zusätzlich Speicherdauer, Empfänger, Betroffenenrechte und die Kontaktdaten des Datenschutzbeauftragten.

 

Wichtig für Besucher: Sie müssen die Information erhalten, bevor sie erfasst werden. Das Schild gehört deshalb vor die Kamera, nicht an die Schranke dahinter.

 

Brauchen Sie eine Datenschutz-Folgenabschätzung?

Das kommt darauf an. Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung (DSFA), wenn eine Verarbeitung „voraussichtlich ein hohes Risiko“ für die Betroffenen mit sich bringt. Die deutschen Aufsichtsbehörden haben dazu eine Liste veröffentlicht. Sie nennt unter anderem die „umfangreiche Verarbeitung von personenbezogenen Daten über das Verhalten von Beschäftigten“ und die „umfangreiche Verarbeitung von personenbezogenen Daten über den Aufenthalt von natürlichen Personen“ (DSFA-Muss-Liste, nicht-öffentlicher Bereich).

 

Ein einzelner Firmenparkplatz mit kurzen Löschfristen fällt nicht automatisch darunter. Bei vielen Standorten, langen Speicherfristen oder einer Verknüpfung mit anderen Daten von Mitarbeitenden steigt das Risiko. Unser Rat: Führen Sie zumindest eine dokumentierte Vorprüfung durch. Sie zeigt, warum eine DSFA nötig ist oder warum nicht.

 

Unabhängig davon gehört die Kennzeichenerkennung in Ihr Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Zufahrtsdaten fallen täglich an.

 

Welche Rolle spielt der Anbieter?

Verarbeitet ein Softwareanbieter die Daten in Ihrem Auftrag, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO. Er regelt unter anderem Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragnehmer und die Löschung nach Vertragsende.

 

Anders kann es bei Parkraumbewirtschaftern sein, die Fremdparker selbst ahnden. Hier stellt sich die Frage einer gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO. Damit hat sich etwa die saarländische Datenschutzaufsicht in ihrem 32. Tätigkeitsbericht befasst. Für ein reines Zufahrts- und Buchungssystem auf dem Firmenparkplatz ist die Auftragsverarbeitung in der Regel das passende Modell.

 

Muss der Betriebsrat zustimmen?

Ja, in der Regel. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Nach der Rechtsprechung des Bundesarbeitsgerichts genügt es, dass eine Einrichtung objektiv zur Überwachung geeignet ist. Auf die Absicht des Arbeitgebers kommt es nicht an (BAG, Beschluss vom 13.12.2016, 1 ABR 7/15).

 

Ein System, das Ein- und Ausfahrtszeiten mit Namen verknüpft, ist objektiv geeignet. Hinzu kommt § 87 Abs. 1 Nr. 1 BetrVG für die Parkordnung selbst. Einigen sich Arbeitgeber und Betriebsrat nicht, entscheidet die Einigungsstelle (§ 87 Abs. 2 BetrVG). Mehr zur Rolle des Gremiums lesen Sie im Beitrag Betriebsrat und Mitarbeiterparkplätze. Welche Punkte in eine Vereinbarung gehören, zeigt unsere Checkliste Betriebsvereinbarung Parkplatz.

 

Bewährt hat sich eine Klausel, die eine Leistungs- und Verhaltenskontrolle über das Parksystem ausdrücklich ausschließt. Sie schafft Vertrauen und beschleunigt die Einführung.

 

Was gilt für Besucher, Dienstleister und Mieter?

Für Besucher gibt es kein Arbeitsverhältnis und keinen Betriebsrat. Die Rechtsgrundlage ist meist das berechtigte Interesse oder bei vorab registrierten Gästen die Besuchsvereinbarung. Zwei Punkte sind hier besonders wichtig: die Information vor der Erfassung und kurze Löschfristen für nicht registrierte Kennzeichen.

 

In Gewerbeimmobilien mit mehreren Mietern stellt sich zusätzlich die Frage, wer Verantwortlicher ist: Eigentümer, Betreiber oder jeder Mieter für seine Mitarbeitenden. Klären Sie das vertraglich, bevor die erste Kamera läuft. Hintergrund dazu bietet der Beitrag Parkplatz-Sharing in Gewerbeimmobilien.

 

Woran erkennen Sie ein DSGVO-konformes Parksystem?

Ein datenschutzfreundliches Parkplatzmanagementsystem lässt sich nicht an einem Siegel erkennen. Es zeigt sich an den Antworten des Anbieters. ParkHere setzt auf eine nach ISO 27001 zertifizierte Informationssicherheit und Rechenzentren in Deutschland. Wie wir Ihre Daten schützen, beschreibt der Beitrag Datenschutz bei ParkHere.

 

Checkliste: 10 Fragen an Ihren Anbieter

1. Wird das Kamerabild im Gerät verarbeitet, und wird es gespeichert?
2. Welche Daten speichert das System konkret: nur die Zeichenfolge oder auch Bilder, Zeitstempel, Fahrzeugmerkmale?
3. Welche Löschfristen sind voreingestellt, und können Sie diese selbst konfigurieren?
4. Wo werden die Daten gehostet, und welche Unterauftragnehmer sind beteiligt?
5. Stellt der Anbieter einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO inklusive Beschreibung der technischen und organisatorischen Maßnahmen bereit?
6. Welche Zertifizierungen liegen vor (zum Beispiel ISO 27001), und für welchen Geltungsbereich?
7. Lassen sich Rollen und Rechte so einstellen, dass Vorgesetzte keine Einzelbewegungen einsehen?
8. Unterstützt das Reporting anonymisierte oder aggregierte Auswertungen?
9. Gibt es Vorlagen für Hinweisschilder und Datenschutzinformationen?
10. Unterstützt der Anbieter Sie bei DSFA, Verarbeitungsverzeichnis und Gesprächen mit dem Betriebsrat?

 

Fazit

Kennzeichenerkennung auf dem Parkplatz ist kein Datenschutzproblem an sich. Sie wird zum Problem, wenn Zweck, Löschfristen und Zuständigkeiten offen bleiben. Wer früh den Datenschutzbeauftragten und den Betriebsrat einbindet, spart später Zeit. Ein schlankes Datenmodell, klare Hinweisschilder und ein sauberer Vertrag zur Auftragsverarbeitung bilden das Fundament. Eine pauschale Freigabe gibt es nicht. Jede Einführung braucht eine eigene Prüfung.

 

Häufig gestellte Fragen zur Kennzeichenerkennung auf dem Parkplatz

Wie funktioniert Kennzeichenerkennung?

Eine Kamera erfasst das Fahrzeug an der Zufahrt. Eine Software liest das Kennzeichen als Zeichenfolge aus und gleicht es mit einer Liste berechtigter Fahrzeuge ab. Passt beides zusammen, öffnet sich Schranke oder Tor.

 

Dürfen Arbeitgeber Kennzeichen ihrer Mitarbeitenden speichern?

Ja, wenn eine Rechtsgrundlage besteht und der Zweck klar festgelegt ist. Im Beschäftigungskontext ist eine Betriebsvereinbarung in der Regel der sauberste Weg. Speichern Sie nur so lange, wie der Zweck es erfordert.

 

Ist ein Hinweisschild Pflicht?

Ja. Art. 13 DSGVO verlangt eine Information zum Zeitpunkt der Erhebung. Ein Schild vor der Kamera mit Verweis auf die vollständigen Informationen ist die übliche Praxis.

 

Braucht jede Kennzeichenerkennung eine Datenschutz-Folgenabschätzung?

Nein, nicht automatisch. Sie ist nötig, wenn ein hohes Risiko besteht, etwa bei umfangreicher Verarbeitung von Beschäftigtendaten. Eine dokumentierte Vorprüfung sollten Sie aber immer durchführen.

 

Was ist ein DSGVO-konformes Parksystem?

Eines, das nur notwendige Daten verarbeitet, kurze konfigurierbare Löschfristen bietet und mit einem Vertrag zur Auftragsverarbeitung betrieben wird. Hinzu kommen transparente Information und eine Regelung mit dem Betriebsrat. Die Konformität entsteht immer im Zusammenspiel von Technik und Organisation.

 

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.