Die DSB hat am 16.04.2019 (DSB-D213.679/003-DSB/2018, rk) eine Anweisung iSd Art 58 Abs 2 lit d DSGVO erteilt, eine Verarbeitung von Bilddaten (Actioncam auf einer Sommerrodelbahn) nur in einer bestimmten Art und Weise durchzuführen.
Der Sachverhalt
Eine Bergbahn betreibt auch eine Sommerrodelbahn. In der Bahn befindet sich eine sog. Actioncam, die automatisch ein Foto der Gäste an einer zuvor hinreichend deutlich und sichtbar markierten Stelle anfertigt. Davor wird durch eine Lichtschranke der Auslöser der Actioncam aktiviert.
Ein Hinweis auf die Actioncam und die Fotos erfolgt durch zweisprachige Schilder im Eingangsbereich der Liftanlage sowie beim Einstieg der Sommerrodelbahn.
Durch diese Schilder wird informiert, dass das Benützen der Sommerrodelbahn sowie die Möglichkeit zum Erwerb eines Fotos der Actioncam einen gemeinsamen und einheitlichen Vertragsgegenstand darstellen. Auch auf der Homepage des Verantwortlichen gibt es einen Hinweis auf die Actioncam und die Bildaufnahmen bei der Rodelbahn. Dies erfolgt in folgender Form:
„Jeder Gast erklärt sich mit dem Ticketerwerb, bzw. durchschreiten des Drehkreuzes damit einverstanden, dass die N*** Bergbahnen GmbH während der Abfahrt mit der Sommerrodelbahn Actionfotos von Erwachsenen und deren zugehörigen Kindern für 24 Stunden zum Zwecke des späteren Verkaufs an die Rodler/innen speichert/veröffentlicht. Eine Verwendung für jeglichen anderen Zweck ist ausgeschlossen und bedarf einer gesonderten schriftlichen Einwilligung des/der Kunden/in.“
Mit dem Kauf des Tickets willigt – nach Ansicht des Verantwortlichen – der Rodelgast auch (schlüssig) in die Bildaufnahme ein.
Auf der Rodelbahn selbst wird immer wieder angezeigt, wie weit es noch bis zur Actioncam ist (zB in wie vielen Metern Entferndung die Bildaufnahme erfolgt). Jeder Rodelgast hat daher die Möglichkeit, zB durch „Verdecken“ des Gesichts oder andere Maßnahmen die Identifizierung auf dem Bild zu verhindern (zB zur Seite drehen).
Die Fotos werden jeden Tag um 23.00 Uhr gelöscht, und daher beträgt die maximale Speicherdauer lediglich maximal 14 Stunden.
Wie kam es zum amtswegigen Prüfungsverfahren?
Meine Vision dazu:
Ein/e Mitarbeiter*In der DSB war im Sommer 2018 auf Urlaub – aus dem Verfahren ergibt sich, dass der
Betrieb der Actioncam am 8.8.2018 vorläufig eingestellt wurde –, und benutze diese Sommerrodelbahn selbst, und wurde bei der Fahrt fotografiert.
Wieder in der Behörde angekommen, wurde dann ein Verfahren eingeleitet.
Keine „Untersuchungspflicht“ der DSB im Hinblick auf nicht vorgebrachte Rechtsgrundlagen
Die DSB untersuchte ausschließlich, ob die erteilte Einwilligung den Anforderungen der DSGVO entspricht. Das Verfahren war – mangels Vorbringen des Verantwortlichen – auf diese (eine) Rechtsgrundlage beschränkt, und die DSB prüft nicht den gesamten Katalog möglicher Rechtsgrundlagen für den Verantwortlichen, sondern der Verantwortliche selbst muss im Rahmen des Verfahrens der DSB plausibel darlegen, auf welche Rechtsgrundlage er die Verarbeitung stützt.
Wenn der Verantwortliche selbst die Rechtsgrundlage nicht weiß, dann weiß es die Behörde auch nicht, und die DSB untersucht den Vorgang nicht auf eine eventuelle mögliche Zulässigkeit.
Im Bescheid liest sich das so:
„Eine andere Rechtsgrundlage wurde seitens der N*** Bergbahnen GmbH nicht vorgebracht. Nicht Gegenstand dieses Prüfungsverfahrens ist daher die Frage, ob die gegenständliche Bildverarbeitung auf einen sonstigen Eingriffstatbestand gem. Art 6 DSGVO bzw. § 12 DSG gestützt werden kann“ (Auszug aus der Anweisung)
Die Schlussfolgerung der DSB
Die Einwilligung (die gem. § 12 Abs 2 DSG als mögliche Rechtsgrundlage für die Bildverarbeitung herangezogen werden kann, sogar im höchstpersönlichen Lebensbereich) entsprach nicht den Vorgaben des Art 7 DSGVO.
Die Einwilligung muss freiwillig erfolgen. Sie darf nicht an die Erfüllung eines Vertrages gekoppelt sein, wenn sie zur Erfüllung des Vertrages nicht erforderlich ist. „Unfreiwillig ist jede Einwilligung dann, wenn bei Nichtabgabe der Einwilligung ein Nachteil zu erwarten ist.“
Wenn die betroffene Person keine „echte Wahl“ hat, dann – dies impliziert das Element „frei“ – ist die Einwilligung nicht gültig erteilt. „Wenn die Einwilligung ein nicht verhandelbarer Teil von Geschäftsbedingungen ist, wird angenommen, dass die Einwilligung nicht freiwillig erteilt wurde.“
Auch eine „Bündelung“ (Art 7 Abs 4 DSGVO) oder die „Verknüpfung“ der Einwilligung mit der Erfüllung eines Vertrages ist unzulässig.
„Wenn der Verantwortliche die Erfüllung eines Vertrags mit dem Ersuchen um Einwilligung verknüpft, geht eine betroffene Person, die dem Verantwortlichen ihre personenbezogenen Daten nicht für die Verarbeitung zur Verfügung stellen möchte, folglich das Risiko ein, dass ihr Leistungen verwehrt werden, um die sie ersucht hat.“
Die DSB geht für die „Fahrt mit der Sommerrodelbahn und die Abbildung durch die Actioncam“ von einem gemeinsamen und einheitlichen Vertragsgegenstand aus.
Die Einwilligung zur Bildaufnahme und damit die konkrete Verarbeitung der personenbezogenen Daten ist an die Erfüllung des Vertrages (Benutzungsvertrag Sommerrodeln) gekoppelt, obwohl die Einwilligung zur Ablichtung durch die Actioncam nicht für die Erfüllung des Sommerrodelbahnbenutzungsvertrages erforderlich ist.
„Eine echte oder freie Wahl, ob man von der Kamera aufgenommen wird, besteht nicht. Gibt eine betroffene Person keine Einwilligung zur Aufnahme ab, so besteht die Konsequenz und der eindeutige Nachteil darin, die Sommerrodelbahn nicht benutzen zu können.“
Wegdrehen oder Gesichtverdecken als „Verhinderung“ der Verarbeitung der personenbezogenen Daten
Auch zu diesen Argumenten des Verantwortlichen hat sich die DSB geäußert:
„Die Möglichkeit, vor Durchfahren der Lichtschranke das Gesicht zu verdecken oder sich zur Seite zu wenden ändert daran nichts, weil selbst in diesen Fällen personenbezogene Daten vorliegen; Benützer der Rodelbahn können auch diesfalls mit verhältnismäßigem Aufwand identifiziert werden (vgl. zur weiten Auslegung des Begriffs „personenbezogenes Datum“ das Urteil des EuGH vom 19. Oktober 2016, C‑582/14).“
Die konkrete Entscheidung der DSB
Es wurde folgende Entscheidung von der DSB am 16.04.2019 gefällt:
1. Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass die durch die N*** Bergbahnen GmbH vorgenommene Bildverarbeitung (automatisch betriebene Fotoanlage auf der Sommerrodelbahn) auf Basis einer mit dem Benützungsvertrag untrennbar verbundenen Einwilligungserklärung unrechtmäßig ist.
2. Die N*** Bergbahnen GmbH wird angewiesen, innerhalb einer Frist von acht Wochen bei sonstiger Exekution die Datenverarbeitung durch die Bildverarbeitungsanlage nur dann zu ermöglichen, wenn entweder
a) die betroffene Person unabhängig vom Benützungsvertrag ihre Einwilligung zur Datenverarbeitung erteilt hat oder
b) im Einzelfall überwiegende berechtigte Interessen des Verantwortlichen oder eines Dritten bestehen und die Verhältnismäßigkeit gegeben ist.
3. Die N*** Bergbahnen GmbH wird angewiesen, die derzeitige Form der Bildverarbeitung (d.h. auf Basis einer mit dem Benützungsvertrag untrennbar verbundenen Einwilligungserklärung) mit sofortiger Wirkung bei sonstiger Exekution zu unterlassen.
Schlussfolgerung – Kann die Verarbeitung zulässig gestaltet werden?
1. Wenn Rechtsgrundlagen von der DSB im Rahmen des Verfahrens beachtet werden sollen, dann sind diese auch im konkreten vorzubringen. Die DSB untersucht den Sachverhalt nicht auf potentielle Rechtsgrundlagen, sondern prüft nur im Rahmen des Vorbringens des Verantwortlichen.
2. Die Verarbeitung der Daten im konkreten Kontext, d.h. eine Bildaufnahme durch eine Actioncam auf einer Sommerrodelbahn könnte – die DSB deutet das auch in Spruchpunkt 2. b.) an – auf überwiegend berechtigte Interessen des Verantwortlichen gestützt werden.
a. In diesem Fall sind die konkreten berechtigten Interessen des Sommerrodelbahnbetreibers zu formulieren, die betroffenen Personen sind iSd Art 13 DSGVO zu informieren, und es ist diesen das Widerspruchsrecht iSd Art 21 DSGVO zu gewähren.
b.
Das berechtigte Interesse des Verantwortlichen kann darin liegen, die gemachten Fotos zu verkaufen und Marketing zu betreiben. Der Aufwand zwischen Personen, die einwilligen und
Personen, die keine Aufnahme möchten, ist in technischer und personeller Hinsicht unverhältnismäßig hoch. Auch ist zu bedenken, dass bei einer Einwilligung diese jederzeit, dh auch noch bei der
Abfahrt mit der Sommerrodelbahn widerrufen werden kann, und dies daher nicht umsetzbar scheint.
c. Das Widerspruchsrecht
gewährt man dadurch, dass die abgebildeten Personen unmittelbar nach Beendigung der Fahrt dieses ausüben können, und bei Ausübung desselben das Foto unmittelbar und nicht nach Ablauf der (sehr kurzen) Speicherfrist gelöscht wird.
d. Zu vermeiden ist mE auch das bisher übliche „Ausstellen“ der bereits ausgedruckten Fotos auf einer Pinnwand, um den Abgebildeten die Suche der eigenen Souvenir-Fotos zu erleichtern. Dies wird man zB auf einen Computerbildschirm beschränken, an dem die betroffenen Personen die Fotos auswählen können.
11.8.2019, Autor:
Michael Schweiger, zert DSBA
Kommentar schreiben