DSB: Parkgarage darf mit Kennzeichenerkennung die Ein- und Ausfahrt ermöglichen und kontrollieren

 

 

 

Die DSB hat am 4.7.2019 (DSB-D123.652/0001-DSB/2019) eine Frage der „Videoüberwachung“ bei einer Garage beurteilt. Es wurden die Kennzeichen gescannt und für die Kontrolle der Ein- und Ausfahrt sowie das automatische Öffnen des Schrankens verwendet.

 

 

 

Der Sachverhalt

 

Der Betreiber einer Garage nutzt die Kennzeichenerkennung und einen Abgleich für die Ein- und Ausfahrtsberechtigung.

 

Bei der Kennzeichenerfassung erfolgt eine optische Bildverarbeitung, bei welcher das Kennzeichen in Textzeichen umgewandelt und in der jeweiligen Garagen-Datenbank gespeichert werde. Dies deshalb, weil manche Garagennutzer das Kennzeichen als Parkmedium verwenden. Durch diese Möglichkeit öffnet sich der Schranken automatisch, und die Benutzer benötigen keine Parkkarte oder sonstiges „Parkmedium“, das diese vorzeigen müssen. Es wird dadurch ein rasches und effizientes Ein- und Ausfahren gewährleistet.

 

Darüber hinaus dient die Kennzeichenerfassung auch der Kontrolle der  vertragskonformen Garagennutzung. Es kommt nach Darstellung des Betreibers leider vor, dass die kostenlose Parknutzung für einen bestimmten Zeitraum ausgenutzt werde, indem Autos mehrmals knapp hintereinander ein- und ausfahren würden.

 

Darüber hinaus kann mit der Kennzeichenerfassung überprüft werden, ob die Ticketnummer des Fahrzeugs an der Ausfahrt mit dem zugeordneten Kennzeichen übereinstimmt. Sofern dies nicht der Fall ist, öffnet der Ausfahrtsschranken nicht und es kann so ein möglicher Diebstahl eines Fahrzeugs verhindert werden.

 

Die Daten werden nur zu diesen festgelegten Zwecken verarbeitet und unverzüglich gelöscht, sobald die Verarbeitung nicht mehr erforderlich ist.

 

Darüber hinaus sind auch entsprechende technische und organisatorische Maßnahmen getroffen worden, um die Kennzeichen-Daten zu schützen.

 

 

 

Die Beschwerde

 

Den Beschwerdeführer störte diese Vorgehensweise, und auch die Tatsache, dass das Hinweisschild erst gelesen werden kann, wenn man sich bereits unmittelbar davor befindet. Er argumentierte auch einen Verstoß gegen das Kopplungsverbot.

 

 

 

Die Behörde stellte fest, dass der Verantwortliche die Kennzeichendaten sowie Datum und Uhrzeit der Nutzung (Ein- und Ausfahrt) lediglich zwecks Abwicklung des Nutzungsvertrags und nicht anderweitig verwendet.

 

Über der die Einfahrtstickets ausgebenden Säule beim Schranken befand sich bei der Nutzung der Garage durch die betroffene Person jedenfalls ein Stehschild, auf dem u.a. folgende Information abgebildet war:

 

 

 

„Zu Ihrer Sicherheit wird die Garage videoüberwacht und
alle Ein- und Ausfahrten werden mittels
elektronischer Kennzeichenerfassung kontrolliert!“

 

 

 

 

 

Die Behörde prüfte die Verletzung des Rechtes auf Geheimhaltung: Festzuhalten ist, dass im gegenständlichen Fall eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG zu überprüfen ist und sich Beschränkungen dieses Anspruchs aus Abs. 2 leg. cit., allerdings nicht aus Art. 6 Abs. 1 (bzw. Art. 9 Abs. 2 DSGVO) ergeben.

 

Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).

 

 

 

Das Autokennzeichen ist eine öffentliche Urkunde, die am Fahrzeug anzubringen ist. Es kann nicht von einem allgemeinen verfügbaren Datum ausgegangen werden.

 

Werden derartige Daten mit einem neuen Element (hier der Erkennung und Verwendung für eine Garagennutzung) verknüpft, dann liegt eine „neue“ Verwendung (in der Terminologie der DSGVO: Verarbeitung) vor, die eines Erlaubnistatbestandes iSd Art 6 Abs 1 oder Art 9 Abs 2 DSGVO bedarf.

 

Der Betreiber der Garage stützte sich nicht auf eine (freiwillige, informierte, jederzeit widerrufbare, für den bestimmten Fall abgegebene) Einwilligung (Art 6 Abs 1 lit a DSGVO), sondern das berechtigte Interesse (Art 6 Abs 1 lit f DSGVO).

 

Hier ging die DSB von einer zweistufigen Prüfung aus.

 

1.  Die Verarbeitung muss zur Wahrung der berechtigten Interessen (des Verantwortlichen oder eines Dritten) „erforderlich“ sein.

 

2.  Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, dürfen nicht überwiegen.

 

 

 

Interessen der betroffenen Person:
Im vorliegenden Fall hat der Beschwerdeführer seine Interessen nicht ausreichend dargelegt, und die Behörde hat auch nicht von sich aus, weitere Interessen erforscht oder ermittelt. Der Beschwerdeführer hat darauf abgestellt, dass der Garagenbetreiber sich der gegenständlichen Verarbeitung bediene, um ihre geänderten Tarifbestimmungen umzusetzen.

 

 

 

Eine automationsunterstützte Vertragsabwicklung bedarf zumindest kurzfristig der Erhebung und Speicherung der Kennzeichen sowie der Ein- und Ausfahrtszeiten.

 

 

 

Die gegenständliche Verarbeitung ist – nach den Feststellungen der DSB – auf diesen Zweck beschränkt.

 

 

 

Der Verantwortliche hat auch angemessene technische und organisatorische Maßnahmen getroffen.

 

 

 

So beschränkt sich die gegenständliche Verarbeitung auf das notwendige zeitliche Ausmaß und wird lediglich der untere Bereich eines Fahrzeugs auf Kennzeichenhöhe aufgenommen (vgl. Art. 29-Datenschutzgruppe, Stellungnahme 06/2014 zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gemäß Artikel 7 der Richtlinie 95/46/EG, WP 217, 844/14/EN S. 43, wonach die Implementierung von Schutzmaßnahmen für eine betroffene Person dazu beitragen können, dass eine Interessenabwägung zugunsten des Verantwortlichen ausfällt).

 

 

 

Der Beschwerdeführer bringt in weiterer Folge vor, dass das Stehschild über der die Einfahrtstickets ausgebenden Säule, mit dem u.a. (teils) über die Verarbeitungszwecke informiert werde, erst gelesen werden könne, wenn die Kennzeichenerfassung bereits stattfinde.

 

 

 

Diesem Umstand ist insofern Rechnung zu tragen, als gemäß ErwGr 47 erster Satz DSGVO die vernünftige Erwartungshaltung einer betroffenen Person im Hinblick auf die Verwendung ihrer Daten im Rahmen einer Interessenabwägung als gewichtiger Faktor zu berücksichtigen ist (vgl. Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung Kommentar2 [2018] Art. 6 Rz 28).

 

 

 

Eine automatisierte Kennzeichenerfassung zwecks Abwicklung eines Nutzungsvertrags bei Parkgaragen ist nicht unüblich (vgl. den Bescheid der DSB vom 18. März 2019, GZ DSB-D196.007/0005-DSB/2019, mit welchem Verhaltensregeln gemäß Art. 40 Abs. 5 DSGVO betreffend Garagen- und Parkplatzbetriebe in Österreich inhaltlich genehmigt wurden).

 

 

 

 

 

Die  Interessen des Garagenbetreibers

 

Die Verarbeitung wird als „Parkmedium“ verwendet, und dient dazu, dass sich der Schranken automatisch öffnet. Es kann auch ein möglicher Autodiebstahl verhindert werden, indem der Ausfahrtsschranken dann nicht öffne, wenn die Ticketnummer des Fahrzeugs an der Ausfahrt mit dem zugeordneten Kennzeichen nicht übereinstimmt, wobei dies wohl nur dann der Fall sein kann, wenn die Gratis-Parkzeit überschritten wurde und am Ticketautomat eine Bezahlung notwendig ist.

 

 

 

Die gegenständliche Verarbeitung dient vorwiegend den berechtigten Interessen Dritter, wie etwa Kunden und Mitarbeitern, welche die Parkgarage der Beschwerdegegnerin benutzen, und nicht den Interessen des Verantwortlichen (vgl. Art. 29-Datenschutzgruppe, WP 217 a.a.O. S. 45, wonach der Umstand dem betreffenden Interesse mehr Gewicht verleiht, wenn ein Verantwortlicher nicht nur im geschäftlichen Interesse handelt, sondern die Verarbeitung auch im Interesse der breiteren Öffentlichkeit liegt).

 

 

 

Die Verarbeitung dient auch zur automatisierten Abwicklung des Vertrags zur Garagennutzung, indem die Verarbeitung die Kontrolle der vertragskonformen Garagennutzung, insbesondere die Sicherstellung, dass der Gratis-Parkzeitraum nicht überschritten wird, ermöglicht.

 

 

 

 

 

Ergebnis der Interessensabwägung

 

„Insgesamt kommt die Datenschutzbehörde daher zu dem Ergebnis, dass aufgrund der durchgeführten Interessenabwägung keine Verletzung im Recht auf Geheimhaltung vorliegt, da die berechtigten Interessen der Beschwerdegegnerin sowie Dritter (von Kunden und Mitarbeiter, welche die Parkgarage benutzen) gegenüber den dargelegten Beeinträchtigungen der berechtigten Interessen des Beschwerdeführers überwiegen iSv § 1 Abs. 2 DSG).

 

Die gegenständliche Verarbeitung personenbezogener Daten ist daher rechtmäßig und auch notwendig, um den angestrebten Verarbeitungszweck zu erreichen.“

 

 

 

 

 

Schlussfolgerungen aus diesem Verfahren

 

1.  Aus diesem Verfahren kann einerseits der Schluss gezogen werden, dass das Recht auf Geheimhaltung und das Recht auf Information unterschiedliche Rechte sind, die von der DSB nur dann behandelt werden, wenn diese auch konkret in einer Beschwerde benannt sind.

Im gegenständlichen Verfahren hat die betroffene Person das Hinweisschild zwar erwähnt, aber sich nicht auf die Verletzung der Informationspflicht berufen, sondern nur das Recht auf Geheimhaltung wegen „übermäßiger Verarbeitung“ als verletzt erachtet.        

 

2.   Die Interessensabwägung beim berechtigten Interesse erfolgt nur anhand des Parteienvorbringens und nicht anhand eigener Ermittlungen der DSB. Der Beschwerdeführer hat sich im gegenständlichen Verfahren nur auf die vertragsmäßige Abwicklung durch die automationsunterstützte Verarbeitung des Kennzeichens berufen, und nicht auf andere Beeinträchtigungen seiner Interessen und Grundfreiheiten.

 

 

 

20.10.2019, Autor:

Michael Schweiger, zert DSBA