Darf ein Taxler ein Foto des Führerscheins bzw. der Bankomatkarte eines Fahrgastes, der nicht bezahlt, anfertigen und an andere Personen übermitteln?

Das BVwG hat sich am 25.02.2021 (W274 2233551-1) mit einem lebensnahen Sachverhalt beschäftigt. Ein Fahrgast eines Taxilenkers konnte nicht bezahlen bzw. man konnte sich nicht auf die Höhe des Entgelts einigen. Der Taxilenker hat den Fahrgast aufgefordert einen Ausweis und eine Bankomatkarte vorzuzeigen, und diese fotografiert. Der „Chef“ hat dann Führerschein und auch die Bankomatkarte „zur Ausforschung“ auch an eine dritte Person (einer Person, die auch dem Betroffenen kannte) weitergeleitet.

Der Sachverhalt.

Ein junger Mann entscheidet sich für den Weg nach Hause ein Taxi zu nehmen, und am Ende der Fahrtstrecke entspinnt sich eine Diskussion über die Höhe des Entgelts oder der junge Mann kann/will nicht (so viel wie gefordert) bezahlen.

Der Taxilenker verlangte einen Ausweis und eine Bankomatkarte, behauptet, das zu dürfen und fotografiert beides, und erhebt damit personenbezogene Daten, nämlich Vorname, Name, Geburtsdatum etc…

Weiters sendet der „Chef“ diese Daten (Ausweis und Bankomatkarte) per What´s App an eine dritte Person mit folgendem Text, und es kommt auch eine Antwort:

„Kennst du den Typ soll aus XXXX sei…“

„Jop kenn i da XXXX ihr bruder“.

„Ok. So a lässiger Typ? Hat gestern net zahlt deswegen frag i ob der a harte Hand braucht oder des einfach geht. Geht um an 20,-“.

Die Entscheidung:

Durch diese Vorgehenensweise hat das Taxiunternehmen das Recht auf Geheimhaltung iSd § 1 DSG verletzt.

Anfertigung der Fotos – Datenerhebung zur Identitätsfeststellung – Einwilligung ohne Widerrufshinweis (?)

Im Rahmen des Verfahrens berief sich der Verantwortliche auf eine „Einwilligung“ iSd Art 6 Abs 1 lit a DSGVO.

„Die DSB führte in ihrer Stellungnahme gegenüber dem BVwG aus, eine Zustimmung bzw. Einwilligung im Sinne des § 1 Abs. 1 DSG iVm. Art. 4 Z. 11 iVm Art. 6 Abs. 1 lit.a und Art. 7 DSGVO müsse informiert und freiwillig erfolgen, um rechtsgültig zu Stande zu kommen. Darüber hinaus sei die betroffene Person gemäß Art. 7 Abs. 3 DSGVO von ihrem Widerrufsrecht vor Abgabe einer Einwilligung in Kenntnis zu setzen. Die Kriterien seien hier nicht erfüllt. “

Zum Vorzeigen des Ausweises und der Bankomatkarte traf das BVwG folgende Feststellungen, wobei als MB der Betroffene bezeichnet wird:

„Da unzweifelhaft die Fotos des Führerscheins und des der Bankomatkarte vorliegen, war auch davon auszugehen, dass sie durch den MB vorgezeigt wurden. Dass dies körperlich unter Zwang erfolgte, hat der MB selbst nicht behauptet.“

Da der Fahrgast die Bankomatkarte und den Führerschein auf die Aufforderung hin gezeigt hatte, und der Taxilenker dies dann fotografierte um die Identität festzustellen, lag nach Ansicht des BVwG eine rechtsgültige Einwilligung – in Bezug auf die Anfertigung der Fotos – vor. Die „Datenerhebung“ der Fotos war daher nach Ansicht des BVwG rechtmäßig, da eine ausreichende Rechtsgrundlage vorlag. Auf die Frage des Hinweises auf das Widerrufsrecht vor Abgabe der Einwilligungserklärung ging das BVwG nicht näher ein. In dieser Hinsicht ist mE diese Entscheidung zu kritisieren, da § 7 Abs 3 DSG einen Hinweis auf das Widerrufsrecht vor Abgabe der Einwilligungserklärung verlangt.

Dazu führt Kastelitz in Knyrim, DatKomm Art 7 DSGVO (Stand 7.5.2020, rdb.at)aus:

„Die Rechtsfolge einer fehlenden Belehrung ist nicht (ausdrücklich) normiert“

Die Konsequenz des Fehlens dieser Belehrung (außerhalb von AGB, bei denen es ein Verstoß gegen das Transparenzgebot ist, wenn dieser Hinweis fehlt (OGH)) ist daher noch nicht entschieden.

Art 7 DSGVO ist mit „Bedingungen für die Einwilligung“ überschrieben; dies könnte darauf hindeuten, dass eine Einwilligung ohne den nötigen Widerrufshinweis „unwirksam“ ist.

Art 7 Abs 3 DSGVO, der die Hinweispflicht statuiert, enthält jedoch diese Darlegung der Rechtsfolge nicht; Art 7 Abs 2 lt. Satz DSGVO legt fest, dass ein Verstoß gegen die Transparenzregel des Art 7 Abs 2 DSGVO zur Unwirksamkeit führt.

In der Literatur wird daher erörtert, dass dieses „Fehlen“ einer ausdrücklichen Anordnung der Unwirksamkeit eher dafür spricht, dass meine Einwilligung – sofern diese transparent ist – auch ohne Widerrufshinweis gültig sein kann.

Der EDSA sieht jedoch die Bedingungen des gesamten Prozesses der Einwilligung („consent mechanism“) verletzt, sodass die Einwilligung ungültig sei.

Das BVwG geht daher mE – in einer eher lockeren Art und Weise – davon aus, dass in der konkreten Situation die betroffene Person in die Anfertigung des Fotos des Ausweises und der Bankomatkarte durch Vorzeigen auf Aufforderung (ohne die Anwendung von Gewalt oder Drohung, denn die Aussage, dass die Polizei geholt werde, kann mE angesichts der Situation nicht als Nötigung gewertet werden) eine „zustimmende Handlung“ der Betroffenen Person evident ist, die als Einwilligung ausgelegt wird.

Weitergabe der Fotos zur „Ausforschung“ per What´s App an eine dritte Person – nicht von der Einwilligung gedeckt und nicht erforderlich, um berechtigte Interessen des Verantwortlichen zu verwirklichen (Stichwort: gelinderes Mittel).

Die „Übermittlung“ der Daten an eine dritte Person jedoch, war von dieser „Einwilligung“ nicht mehr gedeckt, und verletzte die betroffene Person in deren Recht auf Geheimhaltung.

Dazu führte das BVwG aus (Hervorhebungen durch den Autor):

„Da beim Fotografieren mit einem Mobiltelefon die Daten in einem Bildprozessor in digitale Bilddaten umgewandelt und im Arbeitsspeicher gespeichert werden und diese Bilddaten über eine Social-Media-Plattform – keineswegs für ausschließlich private und familiäre Zwecke - an einen Dritten übertragen wurden, liegt jedenfalls auch ein automationsunterstützter Datenverarbeitungsvorgang iSd Art 2 Abs 1 DSGVO vor, weshalb der Anwendungsbereich der DSGVO eröffnet ist.“

Das BVwG kommt zum Schluss, dass der alkoholisierte 16-jährige Betroffene zwar in das Fotografieren des Ausweises und der Bankomatkarte durch das (auf Aufforderung geschehene) Vorzeigen eingewilligt hat, und dies auch die Speicherung der Daten umfasst, um die Ansprüche geltend machen zu können:

„Der Zweck der Datenverwendung kann daher nur in der Sicherung und Verwendung der Fahrgastdaten in dem Umfang der Zustimmung gedeckt sein, die erforderlich ist, um den Fuhrlohn gegenüber dem MB außergerichtlich oder gegebenenfalls gerichtlich geltend zu machen.“

Die Datenweitergabe war von der Einwilligung nicht umfasst und es gab auch keine andere Rechtsgrundlage auf derer der Verantwortliche diese Daten für eine „Ausforschung“ oder Bestätigung der Identität hätte verwenden dürfen oder können

Das BVwG diesbezüglich:

„Die Verwendung des Fotos in sozialen Medien bzw Kommunikationsdiensten gegenüber zumindest einer dritten Person zur „Ausforschung“, noch dazu verknüpft mit Beurteilungen zum Zahlungsverhalten des MB, die den Schluß zulassen, der BF würde sich verpönter Einbringlichmachungsmethoden bedienen, überschreitet wohl den Umfang der Zustimmung des MB, der sich aus dem Erklärungswert unter den festgestellten Umständen ergibt. Es handelt sich dabei um keine Vorgangsweise, die im Geschäftsleben zur Sicherung bzw Einbringlichmachung eines ausstehenden Fuhrlohnes vorgesehen bzw zu erwarten wäre.

In diesem Zusammenhang ist auch auf § 19 ABGB zu verweisen, wonach jedem, der sich in seinem Recht gekränkt zu sein erachtet, freisteht, seine Beschwerde vor die durch die Gesetze bestimmten Behörden zu bringen. Wer sich mit Hintansetzung derselben der eigenmächtigen Hilfe bedient oder die Grenzen der Notwehr überschreitet, ist dafür verantwortlich.

Daraus folgt, dass zum Schutz und zur Durchsetzung von Rechten grundsätzlich behördliche Hilfe in Anspruch genommen werden muß (Koziol Bydlinski Bollenberger ABGB, 6. Auflage, § 19, Rz 1).“

Der Verantwortliche hat daher gegen die Verpflichtung zur Datenminimierung verstoßen und nicht das gelindeste Mittel angewendet, um die betroffene Person auszuforschen oder zur Zahlung des Fahrentgeltes zu bewegen.

Das BVwG geht abschließend noch auf das Argument ein, dass die Verarbeitung im berechtigten Interesse iSd Art 6 Abs 1 lit f DSGVO erfolgt sei (Argument des Verantwortlichen), und wendet wieder einmal das dreigliedrige Prüfschema an:

1. Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder einem Dritten wahrgenommen wird;
2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
3. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person

Das BVwG kommt im Ergebnis zum Schluss, dass es gelindere Mittel als die Weiterleitung der Daten per What´s App gegeben hätte, und daher die konkrete Verarbeitung (Übermittlung) nicht erforderlich gewesen ist.
 

Fazit:

1.  Auch Taxifahrten können datenschutzrechtlich relevant werden.       
   
   
2. Das BVwG geht davon aus, dass eine Einwilligung iSd Art 6 Abs 2 lit a DSGVO, wenn es sich um einen lebensnahen Sachverhalt handelt, auch ohne „Widerrufshinweis iSd Art 7 Abs 3 DSGVO“ gültig sei kann. Dies ist zB bei Anfertigung von Fotos von Kleingruppen auf Veranstaltungen, die es erkennen, dass Sie fotografiert werden, und in die Kamera lächeln oder auf andere Art und Weise ihre Zustimmung kundtun, relevant. 
            
3. Eine Einwilligung geht nur in ihrem Anwendungsbereich so weit, wie die einwilligende Person damit rechnen muss; Verarbeitungen, die nicht vorhersehbar sind, sind von einer Einwilligung nicht gedeckt.
   
   
4. Bei schriftlichen / dokumentierten Einwilligungen und Einwilligungen in AGB, die überdies dem Kopplungsverbot unterliegen, ist besonders auf das Transparenzgebot zu achten, und sollte mE auch der Widerrufshinweis jedenfalls vor Abgabe der Erklärung nachweislich erfolgen.
   
   
5. Das „berechtigte Interesse“ hört dort auf, als taugliche Rechtsgrundlage zu dienen, wo die konkrete Art der Verarbeitung rechtmäßig erhobener und gespeicherter Daten unter Berücksichtigung möglicher gelinderer Mittel überschießend ist.

26.5.2021, Autor:

Michael Schweiger, zert DSBA