Die Datenschutzbehörde hatte sich erst kürzlich mit dem Einsatz einer (privaten) Bildverarbeitungsanlage zur vollautomatisierten Erfassung von KFZ-Kennzeichen zu befassen (DSB GZ D213.1423 2022-0.599.603, nicht veröffentlicht):

 

 

Der Sachverhalt

 

Zur effizienten Bewirtschaftung des Parkraums in der Nähe eines Badeteiches implementierte ein Verantwortlicher ein vollautomatisiertes KFZ-Kennzeichenerfassungssystem.

 

An sämtlichen Einfahrtsstandorten zu den Parkflächen wurden Bildverarbeitungsanlagen installiert, wobei die Kameras der Anlagen zunächst als eine Art „Sensor“ zur Identifikation von KFZ-Kennzeichen (ohne Bildaufnahme) fungieren und erst im nächsten Schritt, nachdem ein KFZ-Kennzeichen identifiziert wurde, dieses fokussiert und eine Bildaufnahme angefertigt wird.

Bei der Speicherung der Bilder mit den amtlichen Kennzeichen wurde differenziert. Bei Fahrzeugen die den kostenpflichtigen Parkbereich innerhalb von 40 Minuten wieder verlassen, werden diese automatisiert gelöscht („kostenloses“ Parken). Bei „unregistrierten“ Kurzparkkunden erfolgt eine Löschung spätestens 72 Stunden nach Passieren der Ausfahrt. Nur im Falle der Nicht-Zahlung erfolgt eine Löschung – wie auch bei den „registrierten“ Kurzparkkunden – 24 Stunden nach Zahlungseingang.  

 

Zur Kennzeichnung der Anlage brachte der Verantwortliche vor den Einfahrtsstandorten Hinweisschilder an. Diese sind mit einem Piktogramm (einem Kamerasymbol), einem kurzen Hinweis auf die Kennzeichenerfassung zum Zwecke der Tarifberechnung, dem Namen des Verantwortlichen sowie einem Link (und QR-Code) zur Datenschutzerklärung des Verantwortlichen versehen.

Die DSB leitete ein amtswegiges Prüfverfahren im Hinblick auf die datenschutzrechtliche Zulässigkeit dieser Anlage ein.

 

 

Die Beurteilung durch die DSB

Nach Ansicht der DSB ist der Einsatz der Anlage rechtmäßig.

 

Die Datenverarbeitung könne „grundsätzlich“ auf Art 6 Abs 1 lit f DSGVO – „berechtigte Interessen“ des Verantwortlichen – gestützt werden.

 

Darüber hinaus hätte der Verantwortliche auch geeignete technische und organisatorische Maßnahmen, um negative Folgen für Betroffene hintanzuhalten, umgesetzt.

 

Die Verarbeitung ist auf das zeitlich notwendige Ausmaß (Zeitstempel) und hinsichtlich der Datenmenge auf die unbedingt erforderlichen Daten (KFZ-Kennzeichen) beschränkt. Dies auch für Personen, die möglicherweise irrtümlich in den erfassten Bereich einfahren (Löschung innerhalb von 40 Minuten). Durch die „zweistufige“ Funktionsweise der Kamera wird auch sichergestellt, dass keine natürlichen Personen erfasst werden.

 

Im Ergebnis ist die technische Ausgestaltung der Anlage sohin mit den von der DSB gem. Art 40 Abs 5 DSGVO genehmigten Verhaltensregeln für Garagen- und Parkplatzbetriebe vergleichbar und auch aus diesem Grund rechtmäßig.

 

 

Bezüglich der Erfüllung der Informationspflichten nach Art 13 DSGVO hielt die DSB fest, dass es Sinn und Zweck der Kennzeichnung einer Bildverarbeitung ist, Betroffene über den Umstand der Verarbeitung sowie die Person des Verantwortlichen zu informieren.

 

Im Sinne der – auch vom „EDSA“ (europäischer Datenschutzausschuss) für solche Bildverarbeitung empfohlenen – „zweistufigen Informationserteilung“ können weitergehende Informationen dann in der Datenschutzinformation auf der Website des Verantwortlichen erteilt werden (Link und QR-Code auf den Hinweisschildern).

Sicherzustellen ist, dass die Kennzeichnung an den Einfahrtsstandorten für alle Personen ausreichend erkennbar ist (was im Anlassfall zutrifft).

 

Aus diesen Gründen wurde das amtswegige Prüfverfahren von der DSB eingestellt.

 

Fazit

 

Moderne und wirtschaftlich sinnvolle Formen der Parkraumbewirtschaftung, wie jene Anlage im Anlassfall, sind durchaus mit den datenschutzrechtlichen Vorgaben in Einklang zu bringen. Im jeweiligen Einzelfall muss die konkrete Ausgestaltung allerdings stets so erfolgen, dass der Schutz personenbezogener Daten weitestgehend gewahrt bleibt.

 

In diesem Sinne sind von den Verantwortlichen insbesondere die Grundsätze der Datenminimierung (Art 5 Abs 1 lid c DSGVO) und Speicherbegrenzung (Art 5 Abs 1 lid e DSGVO) einzuhalten und geeignete technische und organisatorische Maßnahmen zu ergreifen, sodass die Verarbeitung auf ein „Minimum“ eingeschränkt wird.

 

 

Im Übrigen muss auch die Einhaltung der Informationspflichten nach Art 13 DSGVO sichergestellt werden. Hierbei empfiehlt sich ein „zweistufiger“ Ansatz.