Wie lange dürfen Videoaufnahmen gespeichert werden?

Eine feste Frist steht weder in der DSGVO noch im Bundesdatenschutzgesetz. Die Aufsichtsbehörden nennen aber Richtwerte: 48 Stunden in den FAQ des Landesbeauftragten für den Datenschutz Niedersachsen und im älteren Kurzpapier Nr. 15 der Datenschutzkonferenz (DSK), 72 Stunden als Schwelle, ab der mehr Begründung nötig wird, in der aktuellen DSK-Orientierungshilfe und in den Leitlinien des Europäischen Datenschutzausschusses (EDSA). Dieser Ratgeber zeigt, wo genau das steht, wann längere Fristen vertretbar sind und wie Sie die Löschung am Rekorder umsetzen.

Was die Aufsichtsbehörden empfehlen: 48 oder 72 Stunden

Rechtlicher Ausgangspunkt ist die Speicherbegrenzung: Aufnahmen dürfen nur so lange gespeichert werden, wie ihr Zweck es erfordert (Art. 5 Abs. 1 lit. c und e DSGVO), und sind danach unverzüglich zu löschen (Art. 17 Abs. 1 lit. a DSGVO). Auch § 4 BDSG nennt keine Stundenzahl; die Aufsichtsbehörden wenden ihn auf Unternehmen und Privatleute ohnehin nicht als Rechtsgrundlage an (DSK-Orientierungshilfe, Fußnote 8). Die Richtwerte stehen an diesen Stellen:

Quelle	Stand	Aussage
DSK, Kurzpapier Nr. 15, Abschnitt Speicherdauer/Löschungsgebot	17.12.2018	Löschung grundsätzlich nach 48 Stunden
DSK, Orientierungshilfe Videoüberwachung, Abschnitt 4.1	17.07.2020	72 Stunden in der Regel zulässig, darüber hinaus steigt der Begründungsaufwand
EDSA, Leitlinien 3/2019, Rn. 121 und 122	29.01.2020	Löschung idealerweise automatisch nach einigen Tagen, besonders über 72 Stunden mehr Begründung; im Beispiel eines kleinen Geschäfts reichen 24 Stunden
LfD Niedersachsen, FAQ Videoüberwachung, Frage 5	abgerufen am 1.10.2026	Löschung grundsätzlich nach 48 Stunden, in begründeten Ausnahmefällen länger

Alle vier Angaben beruhen auf derselben Überlegung: Ob Material gesichert werden muss, lässt sich in der Regel innerhalb von ein bis zwei Tagen klären. Die DSK rechnet in ihrer Orientierungshilfe mit ein bis zwei Arbeitstagen und kommt so auf 72 Stunden; bei der Überarbeitung 2020 hat sie die EDSA-Leitlinien berücksichtigt. Entscheidend ist, wie schnell Sie einen Schaden tatsächlich bemerken. Ein kleines Geschäft, das Vandalismus meist noch am selben Tag entdeckt, kommt nach dem Beispiel des EDSA mit 24 Stunden aus (Rn. 122). Wer in Niedersachsen täglich prüfen kann, orientiert sich am besten an den 48 Stunden, die die dortige Aufsichtsbehörde in ihren FAQ nennt; 72 Stunden sind der Wert, den die DSK in der Regel noch für zulässig hält.

Wann eine längere Speicherung vertretbar ist

Längere Fristen sind nicht verboten, brauchen aber einen Grund, den Sie belegen können. Die DSK nennt in Abschnitt 4.1 zwei Fälle:

mehrtägige Feiertage und Urlaubszeiten, in denen kein Geschäftsbetrieb stattfindet und Schäden nicht sofort bemerkt werden können,
einen besonderen Überwachungszweck, etwa wenn ein Sachverhalt nachvollzogen werden muss, der sich über einen längeren Zeitraum erstreckt.

Interne Arbeitsabläufe begründen nach der DSK in der Regel keine längere Frist. Die Verlängerung gilt außerdem nur für Kameras, für die es einen besonderen Grund gibt, und nur für die Zeit, in der er besteht; als Standard für alle Kameras ist sie nicht erlaubt. Ein Beispiel: Ein Betrieb schließt am Donnerstagabend vor einem langen Feiertagswochenende und öffnet erst am Dienstagmorgen wieder. Für diese Tage kann die Frist so verlängert werden, dass die Aufnahmen bei der Wiederöffnung noch vorhanden sind. Danach gilt wieder die normale Frist.

Daneben rechtfertigt ein konkreter Vorfall eine längere Aufbewahrung, etwa um rechtliche Schritte gegen den Täter einzuleiten (EDSA, Rn. 122). Solange die Aufnahmen zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, greift die Löschpflicht nicht (Art. 17 Abs. 3 lit. e DSGVO). Das gilt nur für die gesicherten Ausschnitte, nicht für die gesamte Aufzeichnung.

So funktioniert das automatische Überschreiben am Rekorder

Ein Rekorder schreibt die Bilder fortlaufend auf seine Festplatte. Viele Geräte löschen automatisch die ältesten Aufnahmen, sobald Platz für neue gebraucht wird; so beschreibt es auch die Spezifikation des offenen Standards ONVIF. Dieses Überschreiben richtet sich nach dem Speicherplatz, nicht nach Stunden. Wie alt die älteste Aufnahme ist, hängt dann von Plattengröße, Kamerazahl und Auflösung ab und davon, ob dauernd oder nur bei Bewegung aufgezeichnet wird. Wie Sie den Speicherbedarf abschätzen, zeigt der Ratgeber IP-Kamera für Zuhause.

Stellen Sie deshalb zusätzlich eine zeitliche Grenze ein. In der ONVIF-Spezifikation heißt sie maximale Aufbewahrungszeit (MaximumRetentionTime): Ältere Daten löscht das Gerät selbst. Steht der Wert auf null, begrenzt nur der Speicherplatz die Aufbewahrung. Kopien in einem externen Speicher, etwa in einer Cloud, erfasst die Einstellung in keinem Fall. Die niedersächsische Aufsichtsbehörde nennt die automatisierte periodische Löschung, zum Beispiel durch Selbstüberschreiben, den wirksamsten Weg (FAQ, Frage 5). Prüfen Sie nach der Einstellung vor Ort:

Ist die älteste abrufbare Aufnahme am Rekorder nicht älter als die festgelegte Frist?
Zeichnen Kameras zusätzlich auf eine eigene Speicherkarte auf, und gilt dort dieselbe Frist?
Landen Clips in einem Cloud-Speicher oder auf Smartphones, und wann werden sie dort gelöscht?
Liegen alte Exporte auf Büro-PCs oder USB-Sticks?
Stimmt die Uhrzeit des Rekorders? Falsche Zeitstempel erschweren die Zuordnung eines Vorfalls.

Was Sie tun, wenn ein Vorfall entdeckt wird

Der EDSA rät, vorab eine Person zu bestimmen, die Aufnahmen sichtet und sichert (Rn. 121). Gibt es innerhalb der Frist einen Anlass, etwa Fehlbestände, Einbruchsspuren oder eine Alarmmeldung, gehen Sie so vor:

Sichern Sie den relevanten Ausschnitt, bevor er überschrieben wird: nur die betroffene Kamera und das nötige Zeitfenster, nicht den ganzen Tag.
Speichern Sie die Kopie an einem Ort, auf den nur Berechtigte zugreifen, zum Beispiel auf einem verschlüsselten Datenträger.
Halten Sie fest, wer wann welchen Ausschnitt aus welchem Grund exportiert hat. Danach fragt auch die Checkliste der DSK.
Erstatten Sie Anzeige und übergeben Sie der Polizei eine Kopie. Auch wenn die Kamera ursprünglich einem anderen Zweck diente, ist die Weitergabe zulässig, soweit sie zur Verfolgung von Straftaten erforderlich ist und die Interessen der gefilmten Person nicht überwiegen (§ 24 Abs. 1 Nr. 1 BDSG).
Löschen Sie Ihre eigene Kopie, sobald Verfahren und Ansprüche erledigt sind (Art. 17 Abs. 1 lit. a DSGVO).

Löschung dokumentieren

Nach Art. 5 Abs. 2 DSGVO müssen Sie nachweisen können, dass Sie die Speicherbegrenzung einhalten. In der Regel gehört die Videoüberwachung ins Verzeichnis von Verarbeitungstätigkeiten (DSK, Abschnitt 3.2); dort sollen, wenn möglich, die vorgesehenen Löschfristen stehen (Art. 30 Abs. 1 Satz 2 lit. f DSGVO). Kameras mit gleichem Zweck dürfen Sie nach den FAQ der niedersächsischen Aufsichtsbehörde zusammenfassen (Frage 7). Halten Sie schriftlich fest:

die Frist je Kamera oder Kameragruppe und wo sie am Gerät eingestellt ist,
die Begründung jeder längeren Frist mit Kameras und Zeitraum,
alle Exporte und Weitergaben sowie die spätere Löschung dieser Kopien,
das Datum der letzten Kontrolle, ob die Einstellung noch greift.

Die DSK rät außerdem, regelmäßig zu prüfen, ob die Überwachung noch erforderlich ist, und das Ergebnis schriftlich zu dokumentieren (Abschnitt 4.3). Welche Angaben neben der Frist auf das Schild gehören, erklärt der Ratgeber Hinweisschild zur Videoüberwachung.

Privathaus und Betrieb: was jeweils gilt

Für Betriebe gelten diese Regeln, sobald Kameras Menschen erkennbar erfassen. Filmt eine Kamera auch Beschäftigte, kommen weitere Grenzen hinzu; mehr dazu im Ratgeber zur Videoüberwachung am Arbeitsplatz. Grundsätzliches zu Zweck und Abwägung steht im Ratgeber zur DSGVO-konformen Videoüberwachung.

Im Privathaus kommt es auf den Bildausschnitt an. Bleibt die Kamera in der eigenen Wohnung oder auf dem eigenen, nur von der Familie genutzten Grundstück, gilt die DSGVO nach Art. 2 Abs. 2 lit. c nicht und damit auch keine datenschutzrechtliche Löschfrist (EDSA, Rn. 13 f.). Erfasst sie den Gehweg oder ein Nachbargrundstück, gilt die DSGVO. Nach den FAQ der niedersächsischen Aufsichtsbehörde gilt sie außerdem schon dann, wenn die Aufnahmen weiteren Zwecken dienen sollen, etwa der Beweissicherung im Fall einer Straftat (Frage 1). Eine kurze Frist macht eine Kamera, die den öffentlichen Raum filmt, allerdings nicht zulässig: Nach der DSK dürfen Privatleute in Wohngebieten den öffentlichen Raum nicht überwachen (Abschnitt 5.2). Für Klingelkameras, die den öffentlichen Raum erfassen, hält die DSK ein System für unbedenklich, das erst nach dem Klingeln ein Bild überträgt, nicht dauerhaft speichert, nicht mehr zeigt als ein Türspion und sich nach einigen Sekunden abschaltet (Abschnitt 5.6).

Bemuar Technology in Wolfsburg plant und installiert Kameraanlagen mit Aufzeichnung vor Ort für Betriebe und Privathäuser; mehr dazu unter IP-Kameras und Videoüberwachung.

Dieser Ratgeber ersetzt keine Rechtsberatung.

Häufige Fragen

Darf ich Videoaufnahmen eine Woche lang speichern?

Als Standard für alle Kameras nicht. Für einzelne Kameras und Zeiträume kann eine Woche vertretbar sein, etwa während Betriebsferien, wenn niemand vor Ort prüfen kann. Halten Sie die Begründung schriftlich fest (DSK, Abschnitt 4.1).

Muss ich die Aufnahmen jeden Tag ansehen?

Nein. Nach der DSK gehört eine anlasslose Sichtung nicht zur Prüfpflicht. Sie müssen innerhalb der Frist aber prüfen, ob es Anhaltspunkte für einen Schaden gibt, etwa Schadensmeldungen oder Alarmmeldungen, und die betroffenen Ausschnitte dann sichern (Fußnote 54 der Orientierungshilfe).

Gilt die Frist auch für Aufnahmen in der Cloud?

Ja. Die Speicherbegrenzung gilt für jede Kopie, egal wo sie liegt. Die Löscheinstellung am Rekorder erfasst Cloud-Kopien nach der ONVIF-Spezifikation nicht; dort braucht es eine eigene Frist. Liegt der Speicher außerhalb der EU, muss das Informationsblatt darauf hinweisen (Art. 13 Abs. 1 lit. f DSGVO). Anlagen ganz ohne Cloud beschreibt der Ratgeber IP-Kamera ohne Cloud.

Muss die Speicherdauer auf dem Hinweisschild stehen?

Ja, wenn aufgezeichnet wird. DSK und niedersächsische Aufsichtsbehörde zählen sie zu den Angaben auf dem vorgelagerten Schild (Art. 13 Abs. 2 lit. a DSGVO). Fehlt sie, dürfen Betroffene nach dem EDSA annehmen, dass nur live beobachtet wird (Rn. 115).