Bestimmungen des DSG über Bildverarbeitung verstoßen gegen die DSGVO und sind unangewendet zu lassen. BVwG 20.11.2019, W256 2214855-1 und 25.11.2019, W211 2210458-1 (8. April 2020)
Das Bundesverwaltungsgericht (BVwG) hat unlängst in zwei Entscheidungen ausgesprochen, dass die nationalen datenschutzrechtlichen Regelungen über die Bildverarbeitung zu privaten Zwecken (Videoüberwachung; §§ 12 und 13 Datenschutzgesetz – DSG) gegen die Datenschutzgrundverordnung (DSGVO) verstoßen und daher unangewendet zu lassen sind (BVwG 20.11.2019, W256 2214855-1 und 25.11.2019, W211 2210458-1).
Die erste Entscheidung des BVwG in diesem Zusammenhang erging in einem Rechtsstreit zwischen zwei geschiedenen Eheleuten, die in jeweils einer Doppelhaushälfte gemeinsam ein Grundstück bewohnen. Der Ehemann (im Folgenden: Beschwerdeführer) hatte mehrere Videokameras auf dem gemeinsamen Grundstück installiert. Diese Kameras sollen ohne Zustimmung der geschiedenen Ehefrau (im Folgenden: mitbeteiligte Partei) auch deren Wohnungstüre – und somit ihren höchstpersönlichen Lebensbereich – erfasst haben.
Die mitbeteiligte Partei wandte sich daraufhin an die Datenschutzbehörde (DSB), weil sie „permanent überwacht“ werde. Sie legte zum Beweis unter anderem Fotos bei, welche die Kameras und ihre Montage zeigen.
Die DSB gab ihrer Beschwerde Folge. Ihr geschiedener Ehemann hätte sie in ihrem Recht auf Geheimhaltung verletzt, indem er auf der gemeinsam bewohnten Liegenschaft – ohne ihre ausdrückliche Einwilligung – unzulässigerweise Bildaufnahmen vorgenommen hätte. Da die Kameras ihren höchstpersönlichen Lebensbereich umfasst hätten, hätte er gegen § 12 Abs. 4 Z 1 DSG verstoßen. Gegen diesen Bescheid der DSB erhob der geschiedene Ehemann Beschwerde an das BVwG.
Das BVwG hob den Bescheid auf und verwies die Angelegenheit zur Erlassung eines neuen Bescheids an die DSB zurück.
Die DSB habe notwendige Ermittlungen des Sachverhaltes unterlassen. Eine Sachverhaltsfeststellung durch das BVwG selbst liege nicht im Interesse der Raschheit oder sei mit einer erheblichen Kostenersparnis verbunden.
Die DSB sei in ihrem Bescheid davon ausgegangen, dass der Beschwerdeführer die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt hat, weil er auf der gemeinsam bewohnten Liegenschaft ohne ihre Zustimmung Bildaufnahmen vorgenommen hat. Das BVwG wies darauf hin, dass sich im Bescheid der DSB jedoch keine näheren Ausführungen dazu finden, ob und gegebenenfalls inwieweit der Liegenschaftsteil der mitbeteiligten Partei bzw. die mitbeteiligte Partei selbst von den Bildaufnahmen betroffen war. Die Feststellung allein, dass Kameras auf dem Grundstück installiert wurden, reiche für sich allein nämlich noch nicht für die Beurteilung aus, ob der „höchstpersönliche Bereich“ der mitbeteiligten Partei von den Kameras erfasst wurde.
Da vor diesem Hintergrund nicht klar sei, ob überhaupt eine Datenverarbeitung der mitbeteiligten Partei durch den Beschwerdeführer stattgefunden hat, könne nicht festgestellt werden, ob die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt wurde.
Selbst wenn eine Datenverarbeitung im Wege einer Überwachung des gemeinschaftlich genutzten Grundstückes stattgefunden hätte, hieße dies nicht automatisch, dass diese Datenverarbeitung auch rechtswidrig war. Im gegebenen Fall käme Art. 6 Abs. 1 lit. f DSGVO als Rechtfertigungsgrund für die Datenverarbeitung infrage: Demzufolge ist eine Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des/der Verantwortlichen oder eines/einer Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Hätte tatsächlich eine Videoüberwachung der gemeinschaftlich genutzten Liegenschaft bzw. der mitbeteiligten Partei stattgefunden, wäre deshalb eine Interessen- und Verhältnismäßigkeitsabwägung vorzunehmen.
Stattdessen habe die DSB hier zu Unrecht § 12 Abs. 4 Z 1 DSG herangezogen: Die Öffnungsklauseln in Art. 6 Abs. 3 und 4 DSGVO würden nur für Verarbeitungen nach Art. 6 Abs. 1 lit. c (Erfüllung einer rechtlichen Verpflichtung) und lit. e (Aufgabe im öffentlichen Interesse/in Ausübung öffentlicher Gewalt) gelten, nicht hingegen für die in § 12 DSG geregelten Datenverarbeitungen zu privaten Zwecken. § 12 Abs. 4 Z 1 DSG erkläre nun aber – in Abweichung zur DSGVO – eine Bildaufnahme ohne ausdrückliche Einwilligung der betroffenen Person in deren höchstpersönlichem Bereich generell und damit ohne Vornahme einer Interessenabwägung für unzulässig. Schon allein deshalb sei § 12 DSG nicht anzuwenden.
Vgl. zu diesem Verfahren den Volltext der Entscheidung.
Die zweite Entscheidung des BVwG in diesem Kontext betraf die Installation von Videokameras auf einem Kebab-Stand. Beim Beschwerdeführer handelt es sich um einen Mitarbeiter der Inhaberin dieses Kebab-Standes. Im Jänner 2018 kaufte der Beschwerdeführer eine Videoanlage und montierte sie: Zwei Kameras deckten das Innere des Kebab-Standes ab, während eine Kamera auf einem Lagercontainer so montiert wurde, dass sie den öffentlichen Straßenbereich bis hin zu einer gegenüber liegenden Tankstelle filmte.
Im selben Jahr verhing die DSB eine Verwaltungsstrafe über den Beschwerdeführer: Erstens erfasse die von ihm betriebene Bildverarbeitungsanlage eine öffentliche Straße und eine benachbarte Tankstelle. Durch diesen weiten Erfassungsbereich sei die Videoüberwachung dem Verarbeitungszweck nicht angemessen und nicht auf das notwendige Maß beschränkt. Zweitens finde keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Daten innerhalb von 72 Stunden statt. Drittens sei die Videoüberwachung nicht geeignet gekennzeichnet.
Gegen diesen Strafbescheid erhob der Mitarbeiter des Kebab-Standes Beschwerde an das BVwG.
Das BVwG gab der Beschwerde teilweise statt und äußerte sich zu den einzelnen Beschwerdegründen wie folgt:
Mit Blick auf den weiten Erfassungsbereich der am Lagercontainer montierten Kamera stellte das BVwG eine Verletzung von Art. 5 Abs. 1 lit. c (Grundsatz der Datenminimierung) und Art. 6 Abs. 1 lit. f DSGVO (Verarbeitung zur Wahrung eines berechtigten Interesses) fest. Der Zweck der Videoüberwachung habe dem Beschwerdeführer zufolge darin bestanden, eine Bedingung der Versicherung zu erfüllen. Eine Kameraeinstellung, die eine Straße und die benachbarte Tankstelle umfasst, könne dem Grundsatz der Verhältnismäßigkeit im engeren Sinne der Angemessenheit aber nicht genügen. Der Erfassungsbereich gehe nämlich jedenfalls über den Schutzzweck einer Überwachung des Kebab-Standes für eine Versicherung hinaus; auch eine Erheblichkeit des weiteren Erfassungsbereichs für Versicherungszwecke konnte das BVwG nicht erkennen.
Darüber hinaus gab das BVwG der DSB in der Hinsicht recht, dass das Recht auf Geheimhaltung der zufällig im Aufnahmebereich vorbeikommenden Verkehrsteilnehmer/innen ein allfälliges berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit. f DSGVO am Betrieb der extensiven Videoüberwachung überwiegt.
Hinsichtlich der Beurteilung der Frage, ob die erfassten Videodaten rechtzeitig gelöscht wurden, sei zu differenzieren: Da die gegenständliche Datenverarbeitung sowohl in einem Zeitraum vor Inkrafttreten der DSGVO (d.h. vor dem 25. Mai 2018) als auch danach stattgefunden hat, seien im gegebenen Fall jeweils unterschiedliche Normen anwendbar.
Für den Zeitraum vor dem 25. Mai 2018 zog das BVwG die Bestimmungen des mittlerweile außer Kraft getretenen DSG 2000 heran: § 50b Abs. 2 DSG 2000 zufolge mussten aufgezeichnete Daten – bis auf wenige Ausnahmen – spätestens nach 72 Stunden gelöscht werden. Eine beabsichtigte längere Aufbewahrungsdauer musste gemeldet und begründet werden. Da dies im gegebenen Fall nicht stattgefunden habe, verletze die längere Aufbewahrungsdauer von bis zu 14 Tagen § 50b Abs. 2 DSG 2000.
Für den Zeitraum nach dem 25. Mai 2018 seien die Bestimmungen der DSGVO heranzuziehen; in diesem Zusammenhang sprach das BVwG aus, dass für eine Anwendung des § 13 DSG mangels entsprechender Öffnungsklausel in der DSGVO kein Raum besteht. Die Öffnungsklauseln des Art. 6 Abs. 2 und 3 DSGVO würden Videoüberwachungen privater Verantwortlicher nämlich nicht erfassen. Die Aufbewahrung der Bilddaten für einen Zeitraum von 14 Tagen verletze Art. 5 Abs. 1 lit. e DSGVO (Grundsatz der Speicherbegrenzung), da es keine Hinweise darauf gebe, dass mit dieser Speicherdauer ein unbedingt erforderliches Mindestmaß eingehalten wird. Eine derart lange Speicherung könne sich nicht aus der Notwendigkeit ergeben, einen versicherungsrelevanten Vorfall nachvollziehbar zu machen. Damit sei der Speicherdauer auch jede Grundlage im Rahmen einer Verhältnismäßigkeitsprüfung des Art. 6 Abs. 1 lit. f DSGVO entzogen.
Auch hinsichtlich dieses Beschwerdepunktes sei bezüglich der einschlägigen Normen zu differenzieren:
Die Datenverarbeitung vor Inkrafttreten der DSGVO sei anhand des DSG 2000 zu beurteilen: § 50d Abs. 1 DSG 2000 verlangte eine geeignete Kennzeichnung einer Videoüberwachung, aus welcher grundsätzlich der/die Auftraggeber/in eindeutig hervorgeht und die örtlich so platziert ist, dass jede/r potenziell Betroffene die Möglichkeit hat, der Videoüberwachung auszuweichen. Da dies im vorliegenden Fall nicht geschehen sei, habe eine Verletzung des § 50d Abs. 1 DSG 2000 stattgefunden.
Für die datenschutzrechtliche Bewertung der Videoüberwachung nach Inkrafttreten der DSGVO zog das BVwG die DSGVO als Maßstab heran; § 13 Abs. 5 DSG sei hingegen unangewendet zu lassen. Art. 5 Abs. 1 lit. a DSGVO erfordert unter anderem, dass personenbezogene Daten in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Der Grundsatz der Transparenz wird in den Art. 12, 13 und 14 DSGVO konkretisiert. Das BVwG erinnerte daran, dass für die Betroffenen erkennbar sein muss, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden bzw. an wen sie gegebenenfalls übermittelt werden. Werden personenbezogene Daten durch Videoüberwachung verarbeitet, sei insbesondere Art. 13 DSGVO anzuwenden. Da die erforderlichen Informationen im gegebenen Fall für die Betroffenen nicht ersichtlich waren, habe der Beschwerdeführer das Transparenzgebot nicht eingehalten (Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 und DSGVO).
Vgl. zu diesem Verfahren den Volltext der Entscheidung.
