Das Bundesverwaltungsgericht hat mit Erkenntnis vom 25.11.2019 (W211 2210458-1) eine Geldstrafe der Datenschutzbehörde von EUR 1.800,-- auf EUR 1.500,-- herabgesetzt. Der Verantwortliche muss auch die Kosten des Verfahrens von EUR 150,-- bezahlen. Es ging um eine Vidoeüberwachung bei einem Kebap-Stand
Übernommenes Verfahren.
Aus dem Erkenntnis des BVwG ergibt sich, dass das Verwaltungsstrafverfahren ursprünglich, dh vor dem 25.05.2018 vor der zuständigen Bezirkshauptmannschaft geführt wurde, und an die nunmehr zuständige Datenschutzbehörde weitergeleitet wurde. Daher wurden auch Erhebungen vor dem 25.05.2018 von der Bezirkshauptmannschaft (BH) geführt. Die Erledigung iSe Straferkenntnisses erfolgte nach dem 25.05.2018, daher von der Datenschutzbehörde.
Unterschiedliche Angaben führen zur Feststellung durch die Behörde.
Der Verantwortliche gab an, dass es Hinweisschilder gäbe, und der Vorwurf, dass die Videokameras nicht ausreichend gekennzeichnet seien, nicht stimme. Ebenso gab der Verantwortliche an, dass kein „öffentlicher Bereich“ gefilmt werde.
Die Erhebungen im Rahmen des Verwaltungsstrafverfahrens wurden von Polizeibeamten geführt, und diese machten gegenteilige Angaben.
Die Behörde folgte den Angaben der Polizeibeamten, da am „Wahrheitsgehalt insbesondere im Hinblick auf die dienst- und disziplinarrechtliche Verantwortlichkeit von Polizeibeamten keinerlei Zweifel bestehen“. Der Beschuldigte selbst hat keinerlei Beweismittel zu den Sachverhaltselementen vorgelegt.
Kennzeichnung.
Aus dem Erkenntnis des BVwG ergibt sich, dass die Videokameras durch eine Kennzeichnung auf zwei Türen des Imbisstandes, darunter die Tür des Lagercontainers mit einem Aufkleber „Achtung, Videoüberwachung“ gekennzeichnet waren. Wann diese Hinweise angebracht worden waren, konnte nicht festgestellt werden. Aus Fotos im Akt ergab sich jedoch, dass im Jahr 2018 noch keine Schilder vorhanden waren.
In der Begründung verweist das BVwG explizit auf Art 13 DSGVO, und die Möglichkeit einen „geschichteten Zugang“ zur Information sowie eine Kombination aus Mitteln zur Informationserteilung zu verwenden und verweist auch auf die European Data Protection Board, Leitlinien, Guidelines 3/2019 on processing of personal data through video devices, 10.07.2019, S. 21ff:„Im Rahmen einer Videoüberwachung sollte die wichtigste Information in einem Warnhinweis dargestellt werden, während die notwendigen weiteren Informationen mit anderen Mitteln zur Verfügung gestellt werden können (als zweite Schicht).“
Speicherdauer von 14 Tagen ist nicht datenminimierend.
Die ursprüngliche Speicherdauer von 14 Tagen, die während des laufenden Verwaltungsstrafverfahrens auf 72 Stunden reduziert wurde, stellt einen Verstoß gegen die DSGVO dar.
„Die Aufbewahrung der gespeicherten Bilddaten für einen Zeitraum von 14 Tagen verstieß damit gegen den Grundsatz des Art. 5 Abs. 1 lit e DSGVO, da sich im Verfahren keinerlei Hinweise darauf ergeben haben, dass mit der Speicherung der Daten für 14 Tage tatsächlich ein unbedingt erforderliches Mindestmaß eingehalten wurde. [...] Daher muss gegenständlich auch in Bezug auf die Speicherdauer der Bilddaten bis zu 14 Tage von einem Verstoß gegen Art. 5 Abs. 1 lit e und Art. 6 Abs. 1 lit f DSGVO ausgegangen werden.“
Videoaufzeichnung des „öffentlichen“ Bereiches ist unangemessen.
Nach Art 5 Abs 1 lit c (Grundsatz der Datenminimierung) muss die Verarbeitung von personenbezogenen Daten für den Zweck angemessen und erheblich sein und auf das für den Zweck notwendige Maß in der Verarbeitung beschränkt sein.
"Eine Gesamtbetrachtung des Grundsatzes der Datenminimierung inklusive seines Gebots der Beschränkung auf das notwendige Maß ergibt, dass darin die Gebote der Datenvermeidung und Datensparsamkeit enthalten sind, und sich die Anwendung auf zahlreiche Aspekte auffächert, die sich zT mit dem Grundsatz der Zweckbindung und dem Grundsatz der Speicherbegrenzung überschneiden:
Der Grundsatz der Datenminimierung beschränkt generell die Eingriffstiefe und damit die Art der Daten, den Personenbezug der Daten, die Menge der Daten, den Detailgrad der Daten, die Speicherdauer der Daten, die Anzahl der Nutzungen und den Kreis der Zugriffsberechtigten. Die Minimierung der Datenmenge bedeutet sowohl die Minimierung der Anzahl der Betroffenen als auch die Minimierung der Datenmenge pro Betroffenem.77 Vgl Pötters in Gola, DS-GVO Art 6 Rz 22. Die Minimierung des Personenbezugs bedeutet insbesondere zu prüfen, ob der Zweck der Verarbeitung auch mit pseudonymisierten, aggregierten, oder anonymisierten Daten erreicht werden kann. Auch die bloße Anzeige der Daten anstatt ihrer Vervielfältigung ist eine Form der Datenminimierung, wenn dies zur Zweckerreichung ausreicht." (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO, RZ 34ff (Stand 1.10.2018, rdb.at)).
Eine Einstellung einer Videokamera – auch wenn diese während des laufenden Verfahrens verändert wird – verstößt gegen den Grundsatz der Verhältnismäßigkeit, wenn eine Straße und die benachbarte Tankstelle im Kamerabereich sind. Dies überschreitet den Zweck der Verarbeitung, nämlich die Überwachung des Imbißstandes im Hinblick auf Auflagen einer Versicherung.
Durch diese Einstellung der Kamera werden zufällig im Aufnahmebereich vorbeikommende Personen (Verkehrsteilnehermm_innen) in deren Recht auf Geheimhaltung beeinträchtigt, und dieses Recht auf Geheimhaltung überwiegt ein allfälliges berechtigtes Interesse iSd Art 6 Abs 1 lit f DSGVO an einer Videoüberwachung (mit diesem erweiterten Erfassungsbereich).
Strafzumessung.
Aufgrund der Tatsache, dass der Verantwortlich keine Angaben zum Einkommen machte, aber auch die Schätzungen der Behörde nicht bestritt, wurden der Strafbemessung die diesbezüglichen Überlegungen der belangten Behörde zugrunde gelegt.
„Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (VwGH 05.09.2013, 2013/09/0106).“
Der Strafrahmen reicht gemäß § 52 Abs. 2 DSG 2000 bis zu 10.000 € (für den Tatzeitraum vor dem 25.05.2018) und gemäß Art. 83 Abs. 5 DSGVO bis zu einem Betrag von 20.000.000 € (für den Tatzeitraum ab 25.05.2018).
„Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (§ 19 Abs. 1 VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (§ 19 Abs. 2 VStG).“
Art. 83 Abs. 2 DSGVO sieht im Rahmen der Strafbemessung bestimmte Kriterien
„Der belangten Behörde ist dahingehend beizupflichten, dass insbesondere beim Verstoß gegen den ersten Tatbestand (Erfassungsbereich der Kamera am Lagercontainer) von einer potentiellen Vielzahl an Betroffenen ausgegangen werden muss, die sich zufällig in den unrechtmäßigen und unverhältnismäßigen Erfassungsbereich dieser Kamera begeben können. Damit ist dieser Verstoß als schwer zu werten. Auch kann der belangten Behörde dahingehend gefolgt werden, dass dieser Verstoß schwerer ist als jene Verstöße betreffend die Speicherdauer und die Kennzeichnung der Videoüberwachung.
Der belangten Behörde ist weiter zu folgen, dass die Verstöße jeweils über einen längeren Zeitraum, über zumindest mehrere Monate, vollzogen wurden.
Die Verstöße beruhten weiter auf Fahrlässigkeit.
Mildernd wurden von der belangten Behörde die Mitarbeit des Beschwerdeführers am Verfahren und fehlende frühere einschlägige Verstöße gewertet.
Erschwerend wurden von der belangten Behörde die Dauer des Verstoßes und Intensität des Eingriffs durch den Betrieb einer unzulässigen und nicht verhältnismäßigen Bildverarbeitung wegen des erweiterten Erfassungsbereichs der Kamera am Lagercontainer gewertet.
Art. 83 Abs. 1 DSGVO sieht vor, dass Geldstrafen nach dieser Bestimmung wirksam, verhältnismäßig und abschreckend sein sollen. Demnach kann ein gänzliches Absehen einer Bestrafung nicht in Betracht kommen.
Mildernd soll im Beschwerdeverfahren außerdem berücksichtigt werden, dass der Beschwerdeführer vorbrachte, nach Kenntnis des Rechtsirrtums betreffend die Speicherdauer diese entsprechend reduziert zu haben, wobei der genaue Zeitpunkt, an dem das passiert sein soll, nicht feststellbar war. Außerdem legte er mit den Fotos vom XXXX 2019 Hinweise darauf vor, der ihm obliegenden Kennzeichnungspflicht (zumindest teilweise) nachkommen zu wollen. In Bezug auf die Strafen zum 2. und 3. Tatbestand sind diese Faktoren (vgl. Art. 83 Abs. 2 lit f DSGVO und § 34 Abs. 1 Z 15 StGB) miteinzubeziehen und waren die Strafen entsprechend zu vermindern.
Hingegen muss weiter anerkannt werden, dass es in Bezug auf den Erfassungsbereich der Kamera am Lagercontainer über einen längeren Zeitraum keine Einsicht und damit keine solchen zeitnahen Bemühungen einer Reduktion des Erfassungsbereichs gegeben hat, weshalb eine Reduktion der Strafe in diesem Bereich nicht in Frage kommt.
Besondere general- oder spezialpräventive Faktoren liegen nicht vor.“
Das Bundesverwaltungsgericht hat die Strafe mit insgesamt EUR 1.500,-- festgesetzt, und damit die Strafe der DSB reduziert.
21.01.2020, Autor
Michael Schweiger, zert DSBA
Kommentar schreiben