La Samaritaine versteckte Kameras als Rauchmelder, um Mitarbeiter zu überwachen — CNIL verhängte 100.000 € Geldbuße

La Samaritaine, das LVMH-eigene Kaufhaus am Pont Neuf, das 2021 nach einer 16-jährigen Umgestaltung wiedereröffnete, sah sich im August 2023 mit zunehmendem Warenschwund konfrontiert. Die Antwort des Managements war verdeckt: neue Kameras in zwei Lagerräumen, als Rauchmelder getarnt und mit Mikrofonen ausgestattet, die Gespräche von Mitarbeitern aufzeichneten. Das Personal entdeckte die Geräte einige Wochen später, und sie wurden im September 2023 entfernt. Eine Untersuchung von Mediapart im November alarmierte die CNIL; es folgten Beschwerden, und die Aufsichtsbehörde führte innerhalb weniger Tage eine Prüfung durch.

Im September 2025 verhängte der Ausschuss der CNIL gegen SAMARITAINE SAS eine Geldbuße von 100.000 € wegen drei Verstößen gegen die DSGVO. Zweckbindung und Rechenschaftspflicht: Versteckte Kameras werden nur unter außergewöhnlichen Umständen toleriert, die durch eine dokumentierte Verhältnismäßigkeitsprüfung gestützt sind, und das Kaufhaus führte keine durch — die Geräte erschienen weder in seinem Verarbeitungsverzeichnis noch in seiner Folgenabschätzung. Datenminimierung: Das Aufzeichnen privater Gespräche war nach jeder Diebstahlpräventionslogik übermäßig. Einbindung des Datenschutzbeauftragten: Die Datenschutzbeauftragte erfuhr erst Wochen später von der Installation, obwohl sie rechtzeitig risikomindernde Maßnahmen hätte anmahnen können.

Die Aufsichtsbehörde erkannte an, dass die Diebstähle real und die Vorrichtung vorübergehend war — die Geldbuße galt für alles, was ringsum fehlte. Die von der CNIL zitierte Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte erlaubt verdeckte Überwachung nur, wenn sie unbedingt erforderlich, zeitlich begrenzt und vor dem Einsatz schriftlich begründet ist. Die Sicherheitsreaktion von Samaritaine ließ jeden Schritt aus, der sie rechtmäßig gemacht hätte, und ein undokumentiertes Gerät ließ dem Unternehmen keine Verteidigung, als das Personal die falschen Rauchmelder von der Decke nahm.

100.000 € Geldbuße der CNIL; als Rauchmelder getarnte Kameras mit Mikrofonen zeichneten private Gespräche von Mitarbeitern auf, bevor die Beschäftigten sie entdeckten

Dringlichkeit in Sicherheitsfragen ersetzte die Einhaltung der Vorschriften: Der Diebstahlsdruck ließ die Tarnung gerechtfertigt erscheinen, doch keine DSGVO-Analyse, kein Eintrag im Verzeichnis und keine Folgenabschätzung begleiteten den Einsatz.

Die Mikrofone gingen über jeden Diebstahlpräventionsbedarf hinaus — das Aufzeichnen privater Gespräche zwischen Mitarbeitern verletzte die Datenminimierung eindeutig.

Die Datenschutzbeauftragte wurde übergangen: erst Wochen nach der Installation informiert, verlor sie die Möglichkeit, ein verhältnismäßiges Gerät zu gestalten, bevor die Beschäftigten es entdeckten.

Dokumentation ließ sich nicht nachholen: Eine undokumentierte „vorübergehende“ Installation ließ nichts übrig, um die Verhältnismäßigkeit zu belegen, als die Aufsichtsbehörde nachfragte.

Dringlichkeit bei der Diebstahlbekämpfung erzeugt Überwachungsübergriffe. Versteckte Kameras sind nur als dokumentiertes, vorübergehendes letztes Mittel vertretbar — die Datenschutzbeauftragte wird vor dem Einsatz konsultiert, nicht erst, nachdem das Personal sie gefunden hat.

Die Kameras wurden im September 2023 abgebaut, bevor die Aufsichtsbehörden von ihrer Existenz wussten. Die CNIL erließ am 18. September 2025 die Entscheidung SAN-2025-008 und veröffentlichte sie wenige Tage später mit der Geldbuße von 100.000 €, wobei sie den Fall nutzte, um Arbeitgeber daran zu erinnern, dass verdeckte Überwachung nur innerhalb der engen Ausnahme des Europäischen Gerichtshofs für Menschenrechte Bestand hat: außergewöhnliche Umstände, strikte Vorübergehendheit und eine dokumentierte Abwägung zwischen Eigentumsschutz und Privatsphäre der Beschäftigten.