Straferkenntnis der DSB <> Geldstrafe für Videoüberwachungsanlage

 Der nicht rechtskräftige Bescheid liegt nun vor, und enthält ein paar interessante Details, denn die DSB beanstandete insgesamt vier Verletzungen des DSG bzw. der DSGVO (nach der Überschrift finden sie jeweils den Originaltext des Bescheides):

 

Überwachung des öffentlichen Raums:
Die gegenständliche Videoüberwachung erfasst die vor dem Eingangsbereich des Wettlokals „XY“ liegenden öffentlichen Parkplätze und Verkehrsflächen, ist somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige Maß beschränkt.

 

 

 

Fehlende Protokollierung:

 

Es findet keine Protokollierung der Verarbeitungsvorgänge im Zusammenhang mit der Videoüberwachung statt.

 

 

 

Überzogene Speicherdauer:
Es findet keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden statt. Eine diesbezügliche gesonderte Protokollierung liegt nicht vor. Eine Begründung für eine verlängerte Speicherdauer fehlt.

 

Mangelhafte Kennzeichnung:
Die Videoüberwachung ist nicht geeignet gekennzeichnet.

Überwachung des öffentlichen Raums:  
Die gegenständliche Videoüberwachung erfasst die vor dem Eingangsbereich des Wettlokals „XY“ liegenden öffentlichen Parkplätze und Verkehrsflächen, ist somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige Maß beschränkt.

 

 

 

Der Bereich, der von der Videoüberwachungsanlage erfasst wurde, ging weit über den ausschließlich vom Verantwortlich genutzten Bereich sowie den unmittelbar angrenzenden Bereich, bei dem eine Aufnahme zu Erreichung des Zweckes (Schutz des Eigentums) unvermeidbar ist (siehe dazu § 12 Abs 3 Z 1 DSG) hinaus.

 

Es wurde insbes. auch der dem Hauseingang gegenüberliegende Parkplatz (öffentlicher Raum) gefilmt. „Bei dem überwachten Parkplatz handelt es sich um eine öffentliche Verkehrsfläche und es können auf den übertragenen Bildern Fahrzeuge und deren Kennzeichentafeln sowie Personen wahrgenommen werden.“

 

Die DSB setzt sich mit Art 5 DSGVO (Grundsätze) auseinander und bezieht sich explizit auch auf Art 6 DSGVO  (Rechtmäßigkeit der Verarbeitung bei schlichten Daten). Die Verarbeitung von personenbezogenen Daten bei einer Videoüberwachung wird auf das berechtigte Interesse iSd Art 6 Abs 1 lit f DSGVO gestützt, wobei es zu einer Interessensabwägung mit Interessen, den Grundrechten und Grundfreiheiten der betroffenen Personen kommt bzw. kommen muss (wenn der Verantwortliche die Abwägung selbst vornimmt).

 

„Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.“ (Ausführungen der DSB im Bescheid)

 

Die DSB führt aus, dass durch den gewählten Aufnahmebereich der Kamera, der sich auch auf den öffentlichen Parkplatz in einer Reichweite von 20 Metern erstreckt, und auch zufällig vorbeikommende Passanten erfasst, die keine Kunden des Verantwortlichen sind, der Verantwortliche gegen die Grundsätze des Art 5 DSGVO verstößt.

 

Eine Rechtmäßigkeit der Verarbeitung sei nicht zu erkennen, und wurde vom Verantwortlichen, der keine Stellungnahme abgegeben hatte, gar nicht vorgebracht. Die DSB kommt zum Schluss, dass durch den gewählten Aufnahmebereich (Parkplatz im öffentlichen Raum) kein „überwiegendes Interesse am Betrieb der Bildaufnahme erkannt“ werden kann.

 

Dies ist insofern bemerkenswert, als Art 6 Abs 1 lit f DSGVO davon ausgeht, dass das berechtigte (legitime) Interesse des Verantwortlichen (oder des Dritten) die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen nicht (mehr) überwiegen muss; dies war nach den Bestimmungen des DSG 2000 der Fall. Nach Art 6 Abs 1 lit f DSGVO reicht es aus, dass die Interessen der betroffenen Personen die Interessen des Verantwortlichen nicht überwiegen, sodass bei „Gleichwertigkeit“ der Interessen die Verarbeitung zulässig ist.

 

Die DSB führt überdies aus, dass „im vorliegenden Fall das grundrechtlich geschützte Recht auf Geheimhaltung der zufällig am Wettlokal vorbeikommenden Verkehrsteilnehmer ein allfälliges Interesse am Betrieb der gegenständlichen Bildaufnahme“ überwiegt.

 

Die DSB nimmt daher eine Interessensabwägung vor. Dadurch, dass bereits in § 12 Ab 3 Z 1 DSG eine gesetzliche Vorgabe für eine Interessensabwägung gegeben ist bzw. diese angedeutet wird, kommt die DSB zum Schluss, dass die Interessen der natürlichen Personen überwiegen.

 

Eine Videoüberwachung ist jedenfalls zulässig, wenn dadurch nur der Bereich gefilmt wird, der ausschließlich vom Verantwortlichen genutzt wird, sofern im Rahmen der Verarbeitung keine Bereich mitgefilmt werden, die über den Bereich der Liegenschaft hinausreichen, die zur Zweckerreichung gefilmt werden müssen (zB im Außenbereich eines Hauses, das auf der Grundgrenze steht).

 

Nach der Datenschutz-Folgenabschätzung-Ausnahme-verordnung (DSFA-AV) – DSFA-A09 Stationäre Bildver-arbeitung und die damit verbundene Akustikverarbeitung zu Überwachungszwecken (Videoüberwachung) ist dies jedenfalls dann der Fall, wenn eine öffentliche Verkehrsfläche von bis zu einem halben Meter, gemessen von der Grundstücksgrenze des überwachten Objektes mitgefilmt wird. Ausgenommen davon sind jedoch Örtlichkeiten, die den höchstpersönlichen Lebensbereich von Personen darstellen.

 

Die DSB verhängte für diesen Verstoß eine Geldstrafe von 2.400,-- Euro gem. Art 85 Abs 3 lit a DSGVO.

 

 

 

Fehlende Protokollierung:

 

Es findet keine Protokollierung der Verarbeitungsvorgänge im Zusammenhang mit der Videoüberwachung statt.

 

 

 

§ 13 Abs 2 DSG legt fest, dass Verantwortliche einer Bildaufnahme jeden Verarbeitungsvorgang zu protokolieren haben, sofern es sich nicht um eine Echtzeitüberwachung handelt. Die fehlende Protokollierung wurde bereits vor dem 25.05.2018 vom Verantwortlichen begonnen, sodass dieser nicht nur § 13 Abs 2 DSG, sondern auch § 50b Abs. 1 DSG 2000 (für den Zeitraum vor dem 25.05.2018) verletzt hat.

 

 

 

Aufgrund der fehlenden Protokollierung wurde gem. § 62 Abs 1 Z 4 DSG eine Geldstrafe von 800,00 Euro verhängt.

 

 

 

 

 

Überzogene Speicherdauer:         
Es findet keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden statt. Eine diesbezügliche gesonderte Protokollierung liegt nicht vor. Eine Begründung für eine verlängerte Speicherdauer fehlt.

 

Die DSB hat ausgeführt, dass eine Speicherung über einen Zeitraum von mehr als 72 Stunden erfolgt. Gemäß § 13 Abs 3 DSG sind zu löschen, wenn diese für den Zweck, für den sie erhoben wurden, nicht mehr benötigt werden, und keine gesetzliche Aufbewahrungspflicht besteht. Werden Daten mehr als 72 Stunden aufbewahrt, dann muss dies verhältnismäßig sein, und ist überdies gesondert zu protokollieren und zu begründen.

 

Im gesamten Bescheid findet sich jedoch keine Feststellung zur Speicherdauer. Lediglich aus einer Aussage einer Kellnerin im Lokal könnte sich ergeben, dass Daten über vergangene Ereignisse noch verfügbar sind, denn diese hat ausgesagt:

 

„Ich bin als Kellnerin im gegenständlichen Gast bzw. Wettlokal namens "[…]" beschäftigt. Vor dem Lokal sind zwei Kameras montiert, welche Bilder aufzeichnen und auf zwei Bildschirme übertragen, welche sich im Lokal befinden. Auch werden diese Bilder in die Zentrale nach [...] (XY Handels- und Betriebsges.m.b.H. "Firma […]") übertragen und dort aufgezeichnet. Dies ist mir deshalb bekannt, da bei Vorfällen schon des Öfteren dort in den gespeicherten Aufzeichnungen Nachschau gehalten wurde. Der Chef der Firma ist Herr […]. Mehr kann ich dazu nicht angeben.“

 

Aufgrund der überzogenen Speicherdauer wurde gem. § 62 Abs 1 Z 4 DSG eine Geldstrafe von 800,00 Euro verhängt.

 

 

Mangelhafte Kennzeichnung:
Die Videoüberwachung ist nicht geeignet gekennzeichnet.

 

Auf dem Parkplatz befand sich kein Hinweisschild. „Gemäß § 13 Abs. 5 DSG hat der Verantwortliche einer Bildaufnahme diese geeignet zu kennzeichnen. Aus der Kennzeichnung hat jedenfalls der Verantwortliche eindeutig hervorzugehen, es sei denn, dieser ist den betroffenen Personen nach den Umständen des Falles bereits bekannt. Die Kennzeichnung hat örtlich derart zu erfolgen, dass jeder potentiell Betroffene, der sich einem überwachten Objekt nähert, tunlichst die Möglichkeit hat, der Videoüberwachung auszuweichen.“  (Ausführungen der DSB)

 

Aufgrund der mangelhaften Kennzeichnung wurde gem. § 62 Abs 1 Z 4 DSG eine Geldstrafe von 800,00 Euro verhängt.

 

Verschulden

 

Beim Verschulden hat die DSB auf § 5 Abs 1 VStG hingewiesen, und im Einklang mit der Judikatur des VwGH auf die Tatsache hingewiesen, dass eine Übertretung einer Norm bei sog. Ungehorsamsdelikten das Verschulden bereits indiziert.

 

„Bei Verwaltungsübertretungen, deren Tatbild in einem bloßen Zuwiderhandeln gegen ein Verbot oder einer Nichtbefolgung eines Gebotes besteht und das keinen Eintritt eines Schadens oder einer Gefahr vorsieht (Ungehorsamsdelikte), wird - wenn nicht ausschließlich Vorsatz verlangt wird - Strafbarkeit angenommen, wenn der Täter iSd § 5 Abs. 1 VStG nicht glaubhaft macht, dass ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft (vgl. VwGH, 18.6.1990, 91/09/0132). Es besteht von vornherein die Vermutung eines Verschuldens (z.B. VwGH, 18.6.1999, 89/10/0221). Es obliegt dabei dem Beschuldigten glaubhaft zu machen, dass ihm die Einhaltung der Verwaltungsvorschriften ohne sein Verschulden unmöglich war. Zur Glaubhaftmachung mangelnden Verschuldens bedarf es der Darlegung, dass der Beschuldigte Maßnahmen getroffen hat, die unter den vorhersehbaren Verhältnissen die Einhaltung der gesetzlichen Vorschriften mit Grund erwarten ließ.“

 

 

 

Der Verantwortliche beteiligte sich am Verfahren nicht. Die Aufforderung zur Rechtfertigung wurde diesem durch Hinterlegung zugestellt; das Schriftstück wurde jedoch nicht abgeholt, und wurde das Verfahren daher ohne die Anhörung des Beschuldigten iSd § 42 Abs 1 Z 2 VStG durchgeführt.

 

„Die im gegenständlichen Verwaltungsstrafverfahren mittels RSa-Zustellung ergangene Aufforderung zur Rechtfertigung vom 17.07.2018 wurde laut Rückschein der Österreichischen Post AG ab dem 19.07.2018 zur Abholung bereitgehalten und schließlich am 06.08.2018 mit dem Vermerk „nicht behoben“ an die Datenschutzbehörde retourniert.“

 

Die Zustellung von behördlichen Schriftstücken erfolgt nach dem Zustellgesetz. Wenn ein Schriftstück nicht zugestellt werden kann, weil an der Abgabestelle niemand angetroffen wird, aber ein Grund zur Annahme besteht, dass sich jemand regelmäßig an der Abgabestelle aufhält, dem zugestellt werden kann, dann hinterlässt der Zusteller eine Hinterlegungsanzeige („gelber Zettel“). Das Dokument wird für 2 Wochen zur Abholung bereitgehalten, und nach Ablauf der Frist retourniert.

 

Mit dem ersten Tag der Abholfrist gelten die hinterlegten Dokumente als zugestellt, und zwar unabhängig davon, ob dem Empfänger das Schriftstück tatsächlich zur Kenntnis gelangt ist. Wenn jedoch der Empfänger ortsabwesend (zB auf Urlaub war), dann darf eine Hinterlegung nicht stattfinden, und die Zustellung ist nicht wirksam. Es empfiehlt sich daher bei längerer Ortsabwesenheit den Zusteller davon in Kenntnis zu setzen.

 

Bei einer GmbH erfolgt die Zustellung an eine vertretungsbefugte Person, wenn es sich um eine RS-A-Zustellung handelt. Nur wenn diese sich regelmäßig an der Abgabestelle aufhält, kann eine Hinterlegung wirksam erfolgen.          

 

Der Beschuldigte im Verwaltungsstrafverfahren muss aufgrund der gesetzlichen Regelungen bei Ungehorsamsdelikten (und das sind die meisten Verwaltungsübertretungen im Datenschutz) darlegen und nachweisen, welches Interne Kontrollsystem er vorgesehen hat, um die Einhaltung der gesetzlichen Vorschriften in der eigenen Organisation anzuordnen und wie er die Einhaltung des angemessenen Kontrollsystems effektiv kontrolliert, um zu verhindern, dass es zu Verwaltungsübertretungen kommt. Das Level für das Interne Kontrollsystem ist nach der Judikatur des VwGH sehr hoch, da die Übertretung der Norm bereits eine Vermutung des Verschuldens nach sich zieht.

 

Mit 1.1.2019 trat eine Änderung des § 5 VStG in Kraft. Gemäß § 5 Abs 1a VStG ist diese „Verschuldensvermutung“ bei einer Strafdrohung von mehr als EUR 50.000,-- nicht anzuwenden.

 

 

 

Strafzumessung

 

Im Rahmen der Strafzumessung hat die DSB insbes. auch auf Art 83 DSGVO und den Vorjahresumsatz Bezug genommen, aber insbes. auch auf § 19 Abs 1 VStG, nämlich „die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat“ sowie Erschwerungs- und Milderungsgründe und das Ausmaß des Verschuldens Bedacht genommen.

 

Explizit nimmt die DSB darauf erschwerend Rücksicht, dass eine große Anzahl von Personen potentiell videoüberwacht wurden, und hat auch die Dauer der Rechtsverletzung von mehreren Monaten als Erschwerungsgrund gewertet.

 

Zusätzlich hat die DSB festgehalten, dass es erforderlich war, eine Strafe zu verhängen, um den Verantwortlichen von weiteren Gesetzesübertretungen abzuhalten („Spezialprävention“), insbes. da dieser mehrere gleichartige Lokale betreibt.

 

Beim Verschuldensgrad wurde von einer Fahrlässigkeit ausgegangen, und dies weder erschwerend noch mildernd berücksichtigt.

 

Eine Berücksichtigung der tatsächlichen wirtschaftlichen Verhältnisse konnte nicht erfolgen, da der Verantwortliche sich am Verfahren nicht beteiligt hat. Die Behörde hat zwar auf Art 83 DSGVO und den Vorjahresumsatz Bezug genommen, aber dazu keine Sachverhaltsfeststellungen getroffen oder im Rahmen der Strafzumessung auf den Vorjahresumsatzes Bezug genommen, obwohl es die Möglichkeit gegeben hätte, im Firmenbuch die veröffentlichten Bilanzen einzusehen.

 

Als mildernd hat die DSB berücksichtigt, dass der Verantwortliche keine einschlägigen Verstöße begangen hatte.