Die Österreichische Datenschutzbehörde hat am 7.12.2023 GZ: 2023-0.583.644 (unmittelbar nach der Entscheidung Deutsches Wohnen SE des EuGH) eine Geldstrafe in Höhe von EUR 20.000,-- gegen eine juristische Person ausgesprochen.
Es geht um eine unzulässige Videoüberwachung an einem Arbeitsplatz sowie Verstoß gegen die Verpflichtung ein Verzeichnis der Verarbeitungstätigkeiten iSd Art 30 DSGVO zu führen.
Wie kam es zum Verwaltungsstrafverfahren?
Dem Verwaltungsstrafverfahren vorangegangen war ein Beschwerdeverfahren wegen der Verletzung des Rechts auf Geheimhaltung (D124.5325) welches von zwei ehemaligen Arbeitnehmern angestrengt worden war.
Die DSB gab den Beschwerden der Betroffenen statt und hielt im Rahmen des Bescheides fest, dass der Verantwortliche die Betroffenen in ihrem Recht auf Geheimhaltung verletzte, indem sie mit einer Videoüberwachungsanlage in der Küche ihrer Betriebsstätte Bildaufnahmen verarbeitet hat, die den gesamten Küchenarbeitsbereich erfassten.
Außerdem stellte die DSB fest, dass die Verantwortliche kein Verzeichnis von Verarbeitungstätigkeiten führt.
Der Bescheid wurde angefochten und ist derzeit unter einer der DSB unbekannten GZ beim Bundesverwaltungsgericht anhängig.
Das Verwaltungsstrafverfahren und die Strafe von EUR 20.000,--
Die DSB setzte das Verfahren bis zur Entscheidung Deutsches Wohnen SE (C-807/21; EuGH 5.12.2023) aus und führte es schließlich am 7.12.2023 fort, und verhängte die Geldstrafe.
Die DSB stellte fest, dass eine Klausel in einem Arbeitsvertrag, in der eine Zustimmung zur Videoüberwachung erteilt wird, keine taugliche Rechtsgrundlage für die Videoüberwachung darstellt, da eine unzulässige Kopplung vorliegt, und die betreffenden Arbeitnehmer:innen keine "echte Wahl" iSd der notwendigen Freiwilligkeit bei der Einwilligung haben.
Im Verfahren stützte sich der Verantwortliche auch auf das berechtigte Interesse iSd Art 6 Abs 1 lit f DSGVO, aber die DSB ging im Einklang mit der Judikatur des BVwG davon aus, dass ein nachträglicher Wechsel der Rechtsgrundlage unzulässig ist. Dennoch prüfte die DSB auch diese Rechtsgrundlage, kam jedoch zum Schluss, dass zB die gewählte Speicherdauer von 14 Tagen überschießend wäre, und auch die Überwachung während der Betriebszeiten für den Eigentumsschutz des Verantwortlichen nicht erforderlich sei.
Zur Führung des Verzeichnisses der Verarbeitungstätigkeiten iSd Art 30 DSGVO hielt die DSB fest, dass die dauerhafte Videoüberwachung nicht unter die Ausnahme des Art 30 Abs 5 DSGVO (= gelegentliche Verarbeitung) zu subsumieren ist. Daraus ist zu schließen, dass jede Videoüberwachung auch in ein Verzeichnis der Verarbeitungstätigkeiten aufzunehmen ist, selbst wenn dies die einzige Verarbeitungstätigkeit des Verantwortlichen ist.
Zur Strafhöhe:
Der Verantwortliche (Beschuldigte) teilte der DSB den Jahresumsatz, der als Grundalge für die Bemessung der Geldstrafte dient nicht mit. Die DSB nahm Einsicht in das Firmenbuch und den veröffentlichten Jahresabschluss.
"Konkret kann im Firmenbuch zwar der Jahresabschluss für das Jahr 2022 der Beschuldigten eingesehen werden, jedoch enthält diese Urkunde keinen Auszug über die Gewinn- und Verlustrechnung der Beschuldigten im Jahr 2022 oder sonstige Angaben zu den erzielten Umsatzerlösen. Dem im Firmenbuch verfügbaren Jahresabschluss kann lediglich entnommen werden, dass die Beschuldigte einen Bilanzgewinn in der Höhe von EUR 22*.9*1,89 erzielte."
"Mangels Mitwirkung der Beschuldigten in Bezug auf die Feststellung des Jahresumsatzes musste die Datenschutzbehörde eine Schätzung vornehmen (vgl. VwGH 11.05.1990, 89/18/0179; 22.04.1992, 92/03/0019; 23.02.1996, 95/02/0174). In Anbetracht der Fines-Leitlinien wird die Beschuldigte in Bezug auf ihren Umsatz und im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße im Zuge der Schätzung in die niedrigste Kategorie („Undertakings with a turnover up until € 2 Million“) eingestuft. Durch diese Einstufung wird die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten."
Die DSB verhängte eine Geldstrafe von EUR 20.000,-- und verwies darauf, das der Strafrahmen von EUR 20.000.000,-- (und nicht der dynamische Strafrahmen von 4% des Jahresumsatzes) zur Anwendung gelangt. Dies wohl, da der Verantwortliche keine Angaben zum Jahresumsatz gemacht hatte. Die DSB sah eine Geldstrafe in Höhe von 0,1% des Strafrahmens als schuld- und tatangemessen an.
Kommentar schreiben