Ob eine Videoüberwachung, bei der auch Bilddaten von Beschäftigten (unbewusst) erfasst werden, einer Betriebsvereinbarung bedarf, ist eine Vorfrage, die von der Datenschutzbehörde im Rahmen des Registrierungsverfahrens (Vorabkontrolle einer Videoüberwachung) zu klären ist.
Hat dies auch nach der DSGVO Auswirkungen auf Videoüberwachungen in Betrieben?
Der VwGH am 23.10.2017: […]obliegt es ausgehend vom dargestellten Zusammenhang der Datenschutzbehörde (bzw. im Beschwerdeverfahren: dem Verwaltungsgericht), im Wege der Vorfragenbeurteilung zu prüfen, ob die gemeldete Datenanwendung gemäß § 96a Abs. 1 ArbVG der Zustimmung des Betriebsrates bedarf und demnach eine Betriebsvereinbarung abzuschließen - und somit auch vorzulegen - ist.
Bilddaten wie etwa Videoaufnahmen sind vom Begriff der personenbezogenen Daten umfasst.
§ 96a Abs. 1 Z 1 ArbVG regelt, dass folgende Maßnahme der Zustimmung des Betriebsrates (im Sinne einer Betriebsvereinbarung) bedarf:
|
|
Die Einführung von Systemen zur automationsunterstützten Ermittlung, Verarbeitung und Übermittlung von personenbezogenen Daten des Arbeitnehmers, die über die Ermittlung von allgemeinen Angaben zur Person und fachlichen Voraussetzungen hinausgehen. Eine Zustimmung ist nicht erforderlich, soweit die tatsächliche oder vorgesehene Verwendung dieser Daten über die Erfüllung von Verpflichtungen nicht hinausgeht, die sich aus Gesetz, Normen der kollektiven Rechtsgestaltung oder Arbeitsvertrag ergeben; |
|||||||||
Diese Bestimmung stellt nicht auf einen bestimmten, vom Arbeitgeber verfolgten Kontrollzweck der Datenanwendung abstellt. Vielmehr ist auf die objektive Eignung der Anwendung abzustellen. Die nur beiläufige oder zufällige Erfassung von Mitarbeiterdaten als „Nebeneffekt“ der Videoüberwachung verhindert nicht, dass § 96a Abs 1 Z 1 ArbVG anzuwenden ist.
Auch bei den Standardanwendungen SA032 der StMV 2004 muss einen Betriebsvereinbarung iSd § 96 a Abs 1 Z 1 ArbVG um die Rechtmäßigkeit der Videoüberwachung zu gewährleisten.
Bemerkenswert ist in diesem Zusammenhang, dass der VwGH nicht auf die Bestimmung des § 96 Abs 1 Z 3 ArbVG eingeht, die wie folgt lautet:
§ 96. (1) Folgende Maßnahmen des Betriebsinhabers bedürfen zu ihrer Rechtswirksamkeit der Zustimmung des Betriebsrates:
|
|
||||||||||
|
3. |
die Einführung von Kontrollmaßnahmen und technischen Systemen zur Kontrolle der Arbeitnehmer, sofern diese Maßnahmen (Systeme) die Menschenwürde berühren; |
|||||||||
Dabei geht es ebenfalls um technische System zur Kontrolle der Arbeitnehmer, die die Menschenwürde berühren; bei einer erheblichen Kontrollintensität ist davon auszugehen, dass die Menschenwürde berührt wird, und daher aus diesem Grund eine zwingende Betriebsvereinbarung erforderlich ist.
Wenn in einem Betrieb kein Betriebsrat bestehen sollte, dann kann die Notwendigkeit der Betriebsvereinbarung darauf gestützt werden, dass eine Einzelvereinbarung mit den Beschäftigten gem. § 10 Abs 1 AVRAG getroffen wird.
Was sind die Auswirkungen nach der DSGVO und nach DSG ab dem 25.05.2018?
Ab 25.05.2018 ist das Datenverarbeitungsregister, und damit auch die Meldung und Vorabkontrolle von Videoüberwachungen durch die Datenschutzbehörde Geschichte. Die Organisationen trifft eine umfassende Selbstverpflichtung, und es sind sämtliche notwendigen Voraussetzungen nach der DSGVO zu erfüllen und deren Erfüllung auch zu dokumentieren.
Der Zweck einer Videoüberwachung ist der Eigentumsschutz.
Nach Art 88 DSGVO ist die Datenverarbeitung im Beschäftigungskontext zulässig. Die Mitgliedsstaaten können durch Rechtsvorschriften (Gesetz oder Verordnung) oder Kollektivvereinbarungen (Kollektivverträge oder auch Betriebsvereinbarungen; siehe insbes. ErwG 155) spezifischere Vorschriften als die DSGVO vorsehen.
In Österreich findet sich im (neuen) Datenschutzgesetz folgende Bestimmung:
Verarbeitung personenbezogener Daten im Beschäftigungskontext
§ 11. Das Arbeitsverfassungsgesetz – ArbVG, BGBl. Nr. 22/1974, ist, soweit es die Verarbeitung personenbezogener Daten regelt, eine Vorschrift im Sinne des Art. 88 DSGVO. Die dem Betriebsrat nach dem ArbVG zustehenden Befugnisse bleiben unberührt.
Sofern daher eine Betriebsvereinbarung iSd ArbVG (und zwar gleichgültig, ob wegen "Berührung der Menschenwürde" gem. § 96 Abs 1 Z 3 ArbVG oder weil die Menschenwürde nicht berührt erscheint gem. § 96a Abs 1 Z 1 ArbVG) nicht vorliegt, ist die Verarbeitung der personenbezogenen Daten der Beschäftigten nicht rechtmäßig, da eine spezifischere Norm der kollektiven Rechtssetzung in Bezug auf die Datenverarbeitung im Beschäftigungskontext verletzt ist.
Die Datenverarbeitung ist nicht unzulässig, da sie gegen die Bestimmungen des ArbVG verstößt und im DSG (§ 11) auf das ArbVG verwiesen wird.
Weiters sind ab 25.05.2018 die Bestimmungen § 12 f DSG zu beachten, die die Bildverarbeitung regeln, und auch auf den Beschäftigungskontext anzuwenden sind:
Bildverarbeitung
Zulässigkeit der Bildaufnahme
§ 12. (1) Eine Bildaufnahme im Sinne dieses Abschnittes bezeichnet die durch Verwendung technischer Einrichtungen zur Bildverarbeitung vorgenommene Feststellung von Ereignissen im öffentlichen oder nicht-öffentlichen Raum zu privaten Zwecken. Zur Bildaufnahme gehören auch dabei mitverarbeitete akustische Informationen. Für eine derartige Bildaufnahme gilt dieser Abschnitt, soweit nicht durch andere Gesetze Besonderes bestimmt ist.
(2) Eine Bildaufnahme ist unter Berücksichtigung der Vorgaben gemäß § 13 zulässig, wenn
|
1. |
sie im lebenswichtigen Interesse einer Person erforderlich ist, |
|||||||||
|
2. |
die betroffene Person zur Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, |
|||||||||
|
3. |
sie durch besondere gesetzliche Bestimmungen angeordnet oder erlaubt ist, oder |
|||||||||
|
4. |
im Einzelfall überwiegende berechtigte Interessen des Verantwortlichen oder eines Dritten bestehen und die Verhältnismäßigkeit gegeben ist.
|
|||||||||
(3) Eine Bildaufnahme ist gemäß Abs. 2 Z 4 insbesondere dann zulässig, wenn
|
1. |
sie dem vorbeugenden Schutz von Personen oder Sachen auf privaten Liegenschaften, die ausschließlich vom Verantwortlichen genutzt werden, dient, und räumlich nicht über die Liegenschaft hinausreicht, mit Ausnahme einer zur Zweckerreichung allenfalls unvermeidbaren Einbeziehung öffentlicher Verkehrsflächen, |
|||||||||
|
2. |
sie für den vorbeugenden Schutz von Personen oder Sachen an öffentlich zugänglichen Orten, die dem Hausrecht des Verantwortlichen unterliegen, aufgrund bereits erfolgter Rechtsverletzungen oder eines in der Natur des Ortes liegenden besonderen Gefährdungspotenzials erforderlich ist und kein gelinderes geeignetes Mittel zur Verfügung steht, oder |
|||||||||
|
3. |
sie ein privates Dokumentationsinteresse verfolgt, das nicht auf die identifizierende Erfassung unbeteiligter Personen oder die gezielte Erfassung von Objekten, die sich zur mittelbaren Identifizierung solcher Personen eignen, gerichtet ist.
|
|||||||||
(4) Unzulässig ist
|
1. |
eine Bildaufnahme ohne ausdrückliche Einwilligung der betroffenen Person in deren höchstpersönlichen Lebensbereich, |
|||||||||
|
2. |
eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern, |
|||||||||
|
3. |
der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten mit anderen personenbezogenen Daten oder |
|||||||||
|
4. |
die Auswertung von mittels Bildaufnahmen gewonnenen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) als Auswahlkriterium.
|
|||||||||
(5) Im Wege einer zulässigen Bildaufnahme ermittelte personenbezogene Daten dürfen im erforderlichen Ausmaß übermittelt werden, wenn für die Übermittlung eine der Voraussetzungen des Abs. 2 Z 1 bis 4 gegeben ist. Abs. 4 gilt sinngemäß.
Besondere Datensicherheitsmaßnahmen und Kennzeichnung
§ 13. (1) Der Verantwortliche hat dem Risiko des Eingriffs angepasste geeignete Datensicherheitsmaßnahmen zu ergreifen und dafür zu sorgen, dass der Zugang zur Bildaufnahme und eine nachträgliche Veränderung derselben durch Unbefugte ausgeschlossen ist.
(2) Der Verantwortliche hat – außer in den Fällen einer Echtzeitüberwachung – jeden Verarbeitungsvorgang zu protokollieren.
(3) Aufgenommene personenbezogene Daten sind vom Verantwortlichen zu löschen, wenn sie für den Zweck, für den sie ermittelt wurden, nicht mehr benötigt werden und keine andere gesetzlich vorgesehene Aufbewahrungspflicht besteht. Eine länger als 72 Stunden andauernde Aufbewahrung muss verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen.
(4) Die Abs. 1 bis 3 finden keine Anwendung auf Bildaufnahmen nach § 12 Abs. 3 Z 3.
(5) Der Verantwortliche einer Bildaufnahme hat diese geeignet zu kennzeichnen. Aus der Kennzeichnung hat jedenfalls der Verantwortliche eindeutig hervorzugehen, es sei denn, dieser ist den betroffenen Personen nach den Umständen des Falles bereits bekannt.
(6) Die Kennzeichnungspflicht gilt nicht in den Fällen des § 12 Abs. 3 Z 3 und für zeitlich strikt zu begrenzende Verarbeitungen im Einzelfall, deren Zweck ausschließlich mittels einer verdeckten Ermittlung erreicht werden kann, unter der Bedingung, dass der Verantwortliche ausreichende Garantien zur Wahrung der Betroffeneninteressen vorsieht, insbesondere durch eine nachträgliche Information der betroffenen Personen.
(7) Werden entgegen Abs. 5 keine ausreichenden Informationen bereitgestellt, kann jeder von einer Verarbeitung potenziell Betroffene vom Eigentümer oder Nutzungsberechtigten einer Liegenschaft oder eines Gebäudes oder sonstigen Objekts, von dem aus eine solche Verarbeitung augenscheinlich ausgeht, Auskunft über die Identität des Verantwortlichen begehren. Die unbegründete Nichterteilung einer derartigen Auskunft ist einer Verweigerung der Auskunft nach Art. 15 DSGVO gleichzuhalten.
Die Folge eine Videoüberwachung ohne Betriebsvereinbarungen oder Einzelvereinbarung mit den betroffenen Beschäftigten iSd § 10 (1) AVRAG ist
-
eine mögliche Geldbuße gem. Art 83 DSGVO in Höhe von bis
zu 4 % des Gesamtumsatzes bzw. EUR 20.000.000,-- (wobei der höhere Rahmen gilt) sowie
- auch ein Schadenersatzanspruch gem. Art 82 DSGVO der betroffenen Beschäftigten, der den Ersatz des immateriellen (ideelen) Schadens umfasst (siehe auch: Blogeintrag: unzulässige Videoüberwachung: € 1.000,-- Schadenersatz pro Person?)
Kommentar schreiben