Wie in Artikel 6, Absatz eins, Litera a, ist der erste Zulässigkeitstatbestand die Einwilligung in die Verarbeitung von (sensiblen) personenbezogenen Daten für einen oder mehrere festgelegte Zwecke. Allerdings muss die Einwilligung in Artikel 9, Absatz 2, Litera a, ausdrücklich erfolgen, wodurch eine konkludente (schlüssige) Einwilligung ausgeschlossen wird. Der Begriff „ausdrücklich“ bezieht sich dabei auf die Art und Weise, in der die Zustimmung der betroffenen Person zum Ausdruck gebracht wird. Der offensichtlichste Weg, um sicherzustellen, dass die Einwilligung ausdrücklich ist, wäre die Einwilligung in Form einer schriftlichen Erklärung (zB durch Ankreuzen einer Checkbox bei vorformulierten Einwilligungserklärungen). Um jeden Zweifel auszuräumen, kommt auch die Einholung einer Unterschrift der betroffenen Person infrage. (Kastelitz/Hötzendorfer/Tschohl in Knyrim,
, Rz 31 DSGVO (Stand 7.5.2020, rdb.at)) Art 7 Abs 4 normiert ein sog allgemeines (dh nicht auf punktuelle sektorale Regelungen eingeschränktes) Kopplungsverbot als besondere Ausprägung des Merkmals der Freiwilligkeit, wonach eine Einwilligung ua freiwillig erteilt werden muss. Zweck des Kopplungsverbots ist der Schutz der freien Willensbetätigung des Betroffenen im Rahmen einer Einwilligung, womit eine faktisch erzwungene Einwilligungserteilung (die ua beim Vorliegen eines „klaren Ungleichgewichts“ zwischen Betroffenem und Verantwortlichem vorliegen kann, aber nicht muss) verhindert werden soll. Dadurch kann im Ergebnis ein Eingriff in die Vertragsfreiheit (Privatautonomie) erfolgen. Eine Einwilligung soll also dann nicht freiwillig erteilt sein, wenn die betroffene Person faktisch keine andere Wahl hat, als der Datenverarbeitung zuzustimmen, um in den Genuss einer Dienstleistung oder einer anderen vertraglichen Leistung zu kommen. Art 7 Abs 4 normiert nunmehr, dass „bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, dem Umstand in größtmöglichem Umfang Rechnung getragen werden muss, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich ist“. Demgegenüber lässt Art 7 Abs 4 durch die Hervorhebung der Abwägung hinsichtlich der Beurteilung im Einzelfall, ob die Einwilligung freiwillig erteilt worden ist (arg „muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden“) einen Auslegungsspielraum. (Kastelitz in Knyrim,
Artikel 7, Absatz 4, normiert ein sog allgemeines (dh nicht auf punktuelle sektorale Regelungen eingeschränktes) Kopplungsverbot als besondere Ausprägung des Merkmals der Freiwilligkeit, wonach eine Einwilligung ua freiwillig erteilt werden muss. Zweck des Kopplungsverbots ist der Schutz der freien Willensbetätigung des Betroffenen im Rahmen einer Einwilligung, womit eine faktisch erzwungene Einwilligungserteilung (die ua beim Vorliegen eines „klaren Ungleichgewichts“ zwischen Betroffenem und Verantwortlichem vorliegen kann, aber nicht muss) verhindert werden soll. Dadurch kann im Ergebnis ein Eingriff in die Vertragsfreiheit (Privatautonomie) erfolgen. Eine Einwilligung soll also dann nicht freiwillig erteilt sein, wenn die betroffene Person faktisch keine andere Wahl hat, als der Datenverarbeitung zuzustimmen, um in den Genuss einer Dienstleistung oder einer anderen vertraglichen Leistung zu kommen. Artikel 7, Absatz 4, normiert nunmehr, dass „bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, dem Umstand in größtmöglichem Umfang Rechnung getragen werden muss, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich ist“. Demgegenüber lässt Artikel 7, Absatz 4, durch die Hervorhebung der Abwägung hinsichtlich der Beurteilung im Einzelfall, ob die Einwilligung freiwillig erteilt worden ist (arg „muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden“) einen Auslegungsspielraum. (Kastelitz in Knyrim,
, Rz 33-24 DSGVO (Stand 7.5.2020, rdb.at)) Der OGH kam in bislang zwei E zum Ergebnis, dass nach der DSGVO strenge Anforderungen an die Beurteilung der „Freiwilligkeit“ zu stellen sind. Bei der Kopplung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss sei grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolge, wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprächen. (Kastelitz in Knyrim,
Der OGH kam in bislang zwei E zum Ergebnis, dass nach der DSGVO strenge Anforderungen an die Beurteilung der „Freiwilligkeit“ zu stellen sind. Bei der Kopplung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss sei grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolge, wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprächen. (Kastelitz in Knyrim,
, Rz 34/1 DSGVO (Stand 7.5.2020, rdb.at)) Im Allgemeinen schreibt die DSGVO vor, dass eine Einwilligung nicht gültig ist, wenn die betroffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss, wenn sie nicht einwilligt. Auch im Beschäftigungskontext tritt ein Ungleichgewicht der Macht auf. Angesichts der Abhängigkeit, die sich aus dem Verhältnis Arbeitgeber/Arbeitnehmer ergibt, ist es unwahrscheinlich, dass die betroffene Person ihrem Arbeitgeber die Einwilligung in die Datenverarbeitung verweigern kann, ohne Angst zu haben oder wirklich Gefahr zu laufen, dass diese Weigerung zu Nachteilen führt. Es ist unwahrscheinlich, dass ein Arbeitnehmer frei auf ein Ersuchen seines Arbeitgebers um Einwilligung beispielsweise in die Aktivierung von Überwachungssystemen wie einer Kameraüberwachung des Arbeitsplatzes oder das Ausfüllen von Bewertungsformularen antworten kann, ohne sich gedrängt zu fühlen, die Einwilligung zu erteilen. Deshalb sieht es der EDSA als problematisch an, wenn Arbeitgeber die personenbezogenen Daten ihrer derzeitigen oder zukünftigen Arbeitnehmer auf der Grundlage der Einwilligung verarbeiten, da es unwahrscheinlich ist, dass diese freiwillig erteilt wurde. (EDSA, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679 Rz 13, 21, https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_de.pdf)Im Allgemeinen schreibt die DSGVO vor, dass eine Einwilligung nicht gültig ist, wenn die betroffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss, wenn sie nicht einwilligt. Auch im Beschäftigungskontext tritt ein Ungleichgewicht der Macht auf. Angesichts der Abhängigkeit, die sich aus dem Verhältnis Arbeitgeber/Arbeitnehmer ergibt, ist es unwahrscheinlich, dass die betroffene Person ihrem Arbeitgeber die Einwilligung in die Datenverarbeitung verweigern kann, ohne Angst zu haben oder wirklich Gefahr zu laufen, dass diese Weigerung zu Nachteilen führt. Es ist unwahrscheinlich, dass ein Arbeitnehmer frei auf ein Ersuchen seines Arbeitgebers um Einwilligung beispielsweise in die Aktivierung von Überwachungssystemen wie einer Kameraüberwachung des Arbeitsplatzes oder das Ausfüllen von Bewertungsformularen antworten kann, ohne sich gedrängt zu fühlen, die Einwilligung zu erteilen. Deshalb sieht es der EDSA als problematisch an, wenn Arbeitgeber die personenbezogenen Daten ihrer derzeitigen oder zukünftigen Arbeitnehmer auf der Grundlage der Einwilligung verarbeiten, da es unwahrscheinlich ist, dass diese freiwillig erteilt wurde. (EDSA, Leitlinien 05 aus 2020, zur Einwilligung gemäß Verordnung 2016/679 Rz 13, 21, https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_de.pdf) Auf Basis dieser Ausführungen ist zur Frage der ausdrücklichen und freiwilligen Einwilligung in die Verarbeitung von sensiblen Daten folgendes zu erörtern: Kontrollmaßnahmen und technische Systeme im Beschäftigungskontext, welche die Menschenwürde berühren, erfordern neben den Vorgaben der DSGVO auch gemäß § 10 AVRAG die Zustimmung jedes einzelnen Mitarbeiters für dessen Einführung und Verwendung, wenn kein Betriebsrat eingerichtet ist. Ein solches System liegt nicht vor, da der eindeutige Zweck des Systems in der reinen Abzeichnung der Arbeitszeitaufzeichnungen und Einsichtnahme in Vertragsunterlagen liegt, ohne dies händisch unter Vorweisung eines Identitätsnachweises durchführen zu müssen. Weitreichendere Eingriffe in die persönliche Integrität der Arbeitnehmer sind nicht ersichtlich, so handelt es sich gerade nicht um ein „Arbeitszeiterfassungssystem“ (Binder/Mair in Binder/Burger/Mair, AVRAG3 § 10 Rz 7(Stand 1.1.2017, rdb.at).Kontrollmaßnahmen und technische Systeme im Beschäftigungskontext, welche die Menschenwürde berühren, erfordern neben den Vorgaben der DSGVO auch gemäß Paragraph 10, AVRAG die Zustimmung jedes einzelnen Mitarbeiters für dessen Einführung und Verwendung, wenn kein Betriebsrat eingerichtet ist. Ein solches System liegt nicht vor, da der eindeutige Zweck des Systems in der reinen Abzeichnung der Arbeitszeitaufzeichnungen und Einsichtnahme in Vertragsunterlagen liegt, ohne dies händisch unter Vorweisung eines Identitätsnachweises durchführen zu müssen. Weitreichendere Eingriffe in die persönliche Integrität der Arbeitnehmer sind nicht ersichtlich, so handelt es sich gerade nicht um ein „Arbeitszeiterfassungssystem“ (Binder/Mair in Binder/Burger/Mair, AVRAG3 Paragraph 10, Rz 7(Stand 1.1.2017, rdb.at). Der sachliche Anwendungsbereich der DSGVO erfasst u.a. die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten. Entgegen dem erstmaligen Vorbringen der BF keine personenbezogenen Daten zu verarbeiten, hat die belangte Behörde korrekt dargelegt, dass bei Registrierung jedenfalls ein Bild des Handvenenmusters durch das Gerät des Verantwortlichen erfasst und daher verarbeitet wird (Art. 4 Z 2 DSGVO). Es handelt sich um ein physiologisches Merkmal einer Person, welche durch dieses eindeutig identifiziert werden kann. Dieses zählt zu den biometrischen (Art. 4 Z 14 DSGVO) bzw. „sensible“ (Art. 9 Abs. 1 DSGVO) Daten, welche besonders geschützte personenbezogene Daten darstellen. Ob im Zeitalter der Digitalisierung die zweifache Verschlüsselung eines Handvenenmusters durch Umwandlung in einen „Hash-Wert“ tatsächlich zum Entfall des Personenbezugs führt, kann daher dahingestellt bleiben.Der sachliche Anwendungsbereich der DSGVO erfasst u.a. die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten. Entgegen dem erstmaligen Vorbringen der BF keine personenbezogenen Daten zu verarbeiten, hat die belangte Behörde korrekt dargelegt, dass bei Registrierung jedenfalls ein Bild des Handvenenmusters durch das Gerät des Verantwortlichen erfasst und daher verarbeitet wird (Artikel 4, Ziffer 2, DSGVO). Es handelt sich um ein physiologisches Merkmal einer Person, welche durch dieses eindeutig identifiziert werden kann. Dieses zählt zu den biometrischen (Artikel 4, Ziffer 14, DSGVO) bzw. „sensible“ (Artikel 9, Absatz eins, DSGVO) Daten, welche besonders geschützte personenbezogene Daten darstellen. Ob im Zeitalter der Digitalisierung die zweifache Verschlüsselung eines Handvenenmusters durch Umwandlung in einen „Hash-Wert“ tatsächlich zum Entfall des Personenbezugs führt, kann daher dahingestellt bleiben. Voraussetzung für die Verarbeitung von „sensiblen“ Daten im Sinne des Art. 9 DSGVO ist die Erfüllung eines Ausnahmetatbestandes des Abs. 2, hier konkret Art. 9 Abs. 2 lit a DSGVO. Die „ausdrückliche Einwilligung“ setzt nach oben dargestellter Rechtslage voraus, dass diese freiwillig, für einen bestimmten Fall, in informierter Weise, unmissverständlich und frei von Vertragskopplungen abgegeben wird. Sowohl die Leitlinien der EDSA, als auch die Rechtsprechung des OGH legen eine sehr restriktive Auslegung des Kriteriums „Freiwilligkeit“ im Beschäftigungskontext nahe, da das Machtungleichgewicht in diesen Fällen besonders hervortritt. Ein solches Machtungleichgewicht liegt eindeutig vor, da gegenständlich eine renommierte Restaurantkette einem „Jungkoch“ gegenübersteht. Soweit vorgebracht wird, dass nach Vertragsabschluss, dem Ende der Probezeit beziehungsweise der Befristung keine Drucksituation oder Ängste der mitbeteiligten Partei mehr vorliegen konnten, ist darauf hinzuweisen, dass im Rahmen einer restriktiven Auslegung des Einwilligungstatbestandes einer Einwilligung, die kurz nach dem Ablauf des ersten Monats des Arbeitsverhältnisses (und der Probezeit) erfolgte, nicht von einem Wegfall der Drucksituation ausgegangen werden kann. Ein Arbeitnehmer kann nicht davon ausgehen, sich nach einem Monat bereits so bewährt zu haben, dass die Verweigerung einer so aktiv vom Dienstgeber an ihn herangetragenen Zustimmungserklärung keine nachteiligen Folgen für ihn haben würde. Voraussetzung für die Verarbeitung von „sensiblen“ Daten im Sinne des Artikel 9, DSGVO ist die Erfüllung eines Ausnahmetatbestandes des Absatz 2,, hier konkret Artikel 9, Absatz 2, Litera a, DSGVO. Die „ausdrückliche Einwilligung“ setzt nach oben dargestellter Rechtslage voraus, dass diese freiwillig, für einen bestimmten Fall, in informierter Weise, unmissverständlich und frei von Vertragskopplungen abgegeben wird. Sowohl die Leitlinien der EDSA, als auch die Rechtsprechung des OGH legen eine sehr restriktive Auslegung des Kriteriums „Freiwilligkeit“ im Beschäftigungskontext nahe, da das Machtungleichgewicht in diesen Fällen besonders hervortritt. Ein solches Machtungleichgewicht liegt eindeutig vor, da gegenständlich eine renommierte Restaurantkette einem „Jungkoch“ gegenübersteht. Soweit vorgebracht wird, dass nach Vertragsabschluss, dem Ende der Probezeit beziehungsweise der Befristung keine Drucksituation oder Ängste der mitbeteiligten Partei mehr vorliegen konnten, ist darauf hinzuweisen, dass im Rahmen einer restriktiven Auslegung des Einwilligungstatbestandes einer Einwilligung, die kurz nach dem Ablauf des ersten Monats des Arbeitsverhältnisses (und der Probezeit) erfolgte, nicht von einem Wegfall der Drucksituation ausgegangen werden kann. Ein Arbeitnehmer kann nicht davon ausgehen, sich nach einem Monat bereits so bewährt zu haben, dass die Verweigerung einer so aktiv vom Dienstgeber an ihn herangetragenen Zustimmungserklärung keine nachteiligen Folgen für ihn haben würde. Es kann somit nicht ausgeschlossen werden, dass die mitbeteiligte Partei ihre Einwilligung am 15.04.2019 nur abgab, da sie befürchtete, dass bei Verweigerung eine umgehende oder zumindest rasche Beendigung des Dienstverhältnisses zu erwarten wäre. Es muss jedoch im Rahmen einer Einfallabwägung beurteilt werden, ob die ergriffenen Maßnahmen der BF, insbesondere die Hinweise, Informationen und Abläufe am Terminal ausreichen, um die aufgezeigten Probleme auszuschließen. Dies ist jedoch nicht der Fall. Die vulnerable Situation des Arbeitnehmers in der Probezeit (und auch den unmittelbar folgenden Tagen) rechtfertigt schon grundsätzlich die restriktive Auslegung der „Freiwilligkeit“. Zudem reichen die getroffenen Maßnahmen der BF nicht aus, dass eine „echte Wahl“ in dem Sinne vorliegt, dass etwaige Ängste vor negativen Folgen ausgeschlossen oder zumindest weitgehend beseitigt sind. Insbesondere wirken hier die kurze Probezeit, das Fehlen eines Betriebsrates und die Abgabe der Erklärung in den Räumlichkeiten der Personalabteilung hinsichtlich der Annahme einer Freiwilligkeit einschränkend. Dazu kommt, dass bereits der Arbeitsvertrag eine grundsätzliche „Zustimmung“ zur Nutzung des Scanners enthält. Auch eine explizite Information über das Terminal, dass solche Folgen nicht zu erwarten sind, stellt mit Blick auf die Natur des Arbeitsverhältnisses, das Machtungleichgewicht und die Dauer des Arbeitsverhältnisses keine ausreichende Garantie dar. Dies nicht zuletzt aufgrund der zuvor angeführten Umstände. Eine rechtskonforme Einwilligung liegt somit nicht vor. Soweit die BF bestreitet, im Dienstvertrag eine Koppelung vorgesehen zu haben, und Punkt 27 des Arbeitsvertrages als eine Einwilligung im Sinne des § 10 AVRAG bezeichnet, ist dem zu entgegnen, dass aufgrund des Wortlauts sowie dem wechselnden Vorbringen der BF betreffend die Natur der Klausel begründete Zweifel am wahren Zweck dieser Vertragspassage bestehen. Dies insbesondere angesichts der zunächst vorgebrachten Ansicht, dass eine Zustimmung nach § 10 AVRAG ohnehin nicht erforderlich sei. Nicht zu übersehen ist die teilweise idente Ausdrucksweise zwischen der Vertragsbestimmung und § 10 AVRAG. Jedoch erschließt sich mit dieser Behauptung nicht das Verhalten der BF im verwaltungsbehördlichen Verfahren, wenn sie an mehreren Stellen vorbrachte, dass es sich u.a. dabei um eine datenschutzrechtliche Einwilligungserklärung (Stellungnahme 15.12.2020) handeln soll oder die Zustimmung am Terminal (auch) eine Zustimmung im Sinne des § 10 AVRAG darstelle (Stellungnahme 04.05.2022). Darüber hinaus ist nicht klar, wieso die entsprechende Regelung die Überschrift „Biometrische Erfassung“ trägt und in einem zweiten Satz auf die Löschung der biometrischen Daten nach Ausscheiden aus dem Dienstverhältnis hingewiesen wird. Auch enthält die Regelung keine Nennung von gesetzlichen Grundlagen. Zusätzlich fehlt der Einholung einer Zustimmung, welche nach dem eigenen Vorbringen der BF aus ihrer Sicht nie erforderlich war, die Schlüssigkeit. Dies umso mehr, wenn nach dem Vorbringen der BF später ohnedies noch eine gänzlich freiwillige Zustimmungserklärung eingeholt werden soll/muss.Soweit die BF bestreitet, im Dienstvertrag eine Koppelung vorgesehen zu haben, und Punkt 27 des Arbeitsvertrages als eine Einwilligung im Sinne des Paragraph 10, AVRAG bezeichnet, ist dem zu entgegnen, dass aufgrund des Wortlauts sowie dem wechselnden Vorbringen der BF betreffend die Natur der Klausel begründete Zweifel am wahren Zweck dieser Vertragspassage bestehen. Dies insbesondere angesichts der zunächst vorgebrachten Ansicht, dass eine Zustimmung nach Paragraph 10, AVRAG ohnehin nicht erforderlich sei. Nicht zu übersehen ist die teilweise idente Ausdrucksweise zwischen der Vertragsbestimmung und Paragraph 10, AVRAG. Jedoch erschließt sich mit dieser Behauptung nicht das Verhalten der BF im verwaltungsbehördlichen Verfahren, wenn sie an mehreren Stellen vorbrachte, dass es sich u.a. dabei um eine datenschutzrechtliche Einwilligungserklärung (Stellungnahme 15.12.2020) handeln soll oder die Zustimmung am Terminal (auch) eine Zustimmung im Sinne des Paragraph 10, AVRAG darstelle (Stellungnahme 04.05.2022). Darüber hinaus ist nicht klar, wieso die entsprechende Regelung die Überschrift „Biometrische Erfassung“ trägt und in einem zweiten Satz auf die Löschung der biometrischen Daten nach Ausscheiden aus dem Dienstverhältnis hingewiesen wird. Auch enthält die Regelung keine Nennung von gesetzlichen Grundlagen. Zusätzlich fehlt der Einholung einer Zustimmung, welche nach dem eigenen Vorbringen der BF aus ihrer Sicht nie erforderlich war, die Schlüssigkeit. Dies umso mehr, wenn nach dem Vorbringen der BF später ohnedies noch eine gänzlich freiwillige Zustimmungserklärung eingeholt werden soll/muss. Insofern ging die belangte Behörde zu Recht davon aus, dass eine problemlose Ablehnung der Zustimmung am 15.04.2019 in Anbetracht der Tatsache, dass die Verwendung des Handvenenscanners explizit Bestandteil des Arbeitsvertrages vom 04.03.2019 wurde, für die mitbeteiligte Partei nicht möglich war. Somit entsprach die Abgabe der Einwilligung am Terminal erneut nicht dem Kriterium der Freiwilligkeit. 3.2.2. Spruchpunkt 1b des bekämpften Bescheides Unionsrechtliche Grundlagen: Die nunmehrige Spruchpraxis der DSB wendet die §§ 12, 13, die sich speziell mit der Bildverarbeitung befassen, nicht mehr (unmittelbar) an. Das liegt daran, dass nach inzwischen gefestigter Ansicht diese Bestimmungen mangels einer Öffnungsklausel aus unionsrechtlichen Gründen unangewendet bleiben; ebenso BVwG 25.11.2019, W211 2210458-1 [Kebab-Stand]. Diese Spruchpraxis beschränkt damit die Rechtmäßigkeitsprüfung von Bildverarbeitungen auf Art 5 und 6 DSGVO. (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 12 Rz 128 (Stand 1.2.2022, rdb.at))Unionsrechtliche Grundlagen: Die nunmehrige Spruchpraxis der DSB wendet die Paragraphen 12, 13,, die sich speziell mit der Bildverarbeitung befassen, nicht mehr (unmittelbar) an. Das liegt daran, dass nach inzwischen gefestigter Ansicht diese Bestimmungen mangels einer Öffnungsklausel aus unionsrechtlichen Gründen unangewendet bleiben; ebenso BVwG 25.11.2019, W211 2210458-1 [Kebab-Stand]. Diese Spruchpraxis beschränkt damit die Rechtmäßigkeitsprüfung von Bildverarbeitungen auf Artikel 5 und 6 DSGVO. (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph 12, Rz 128 (Stand 1.2.2022, rdb.at)) Anderes gilt für den Fall des § 12 Abs 4 Z 2. Das diesbezügliche Verbot kann auf die spezifische Ermächtigung aus Art 88 Abs 1 iVm Art 6 Abs 1 DSGVO zum Erlass spezifischer Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext gestützt werden. (Kunnert in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 12 Rz 21 (Stand 12.6.2018, rdb.at))Anderes gilt für den Fall des Paragraph 12, Absatz 4, Ziffer 2, Das diesbezügliche Verbot kann auf die spezifische Ermächtigung aus Artikel 88, Absatz eins, in Verbindung mit Artikel 6, Absatz eins, DSGVO zum Erlass spezifischer Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext gestützt werden. (Kunnert in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph 12, Rz 21 (Stand 12.6.2018, rdb.at)) Nach § 12 Abs 4 Z 2 DSG 2018 ist die Bildaufnahme zum Zweck der Kontrolle von AN unzulässig. Die DSGVO sieht keine speziellen Regelungen zu Bildaufnahmen vor. Demnach gibt es auch keine spezielle Öffnungsklausel für Bildaufnahmen. Im konkreten Fall ist die Einschränkung/das Verbot zulässig, weil sich dieses ausschließlich auf das Arbeitsrecht bezieht und nach Art 88 DSGVO für den Bereich des Arbeitsrechts eine Öffnungsklausel besteht. Nach dem Wortlaut soll die Überwachung für Zwecke der Kontrolle von AN verboten sein. Fraglich ist, wie diese Formulierung zu interpretieren ist. Nach den Materialien zur DSG-Novelle 2010 zielt dieses Verbot auf die Leistungskontrolle von Mitarbeitern ab, dh, Videoüberwachung darf nicht intentional dazu eingesetzt werden, die Vertragserfüllung zu überwachen (zB ist es daher verboten, Videokameras für Anwesenheitskontrollen oder zur Überprüfung der Einhaltung der Arbeitszeit einzusetzen). (Grünanger in Grünanger/Goricnik, Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle2 Kap. 5 Rz 5.44-5.46 (Stand 1.11.2018, rdb.at))Nach Paragraph 12, Absatz 4, Ziffer 2, DSG 2018 ist die Bildaufnahme zum Zweck der Kontrolle von AN unzulässig. Die DSGVO sieht keine speziellen Regelungen zu Bildaufnahmen vor. Demnach gibt es auch keine spezielle Öffnungsklausel für Bildaufnahmen. Im konkreten Fall ist die Einschränkung/das Verbot zulässig, weil sich dieses ausschließlich auf das Arbeitsrecht bezieht und nach Artikel 88, DSGVO für den Bereich des Arbeitsrechts eine Öffnungsklausel besteht. Nach dem Wortlaut soll die Überwachung für Zwecke der Kontrolle von AN verboten sein. Fraglich ist, wie diese Formulierung zu interpretieren ist. Nach den Materialien zur DSG-Novelle 2010 zielt dieses Verbot auf die Leistungskontrolle von Mitarbeitern ab, dh, Videoüberwachung darf nicht intentional dazu eingesetzt werden, die Vertragserfüllung zu überwachen (zB ist es daher verboten, Videokameras für Anwesenheitskontrollen oder zur Überprüfung der Einhaltung der Arbeitszeit einzusetzen). (Grünanger in Grünanger/Goricnik, Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle2 Kap. 5 Rz 5.44-5.46 (Stand 1.11.2018, rdb.at)) Im Ergebnis wird man von einem Berühren der Menschenwürde jedenfalls dann ausgehen können, wenn AN während dem Großteil ihrer Arbeitszeit vom Radius einer Kamera erfasst sind, ohne dem ausweichen zu können (zB Kassier in einer Bank, Kassabereich in einem Supermarkt, Tankstellen). Eine Ausnahme kann hier nur dann gegeben sein, wenn der AG keinen Zugriff auf die Bilddaten hat und eine Auswertung nur im Anlassfall erfolgt. Kommen AN nur selten und eher zufällig als Nebenprodukt in den Einsatzbereich einer Kamera, wird man ein Berühren ausschließen können (zB Verladebereiche, Zugang zu geschützten Bereichen), weil hier keine überschießende Kontrolle vorliegt. Zum Beispiel: Verletzung der Menschenwürde: Permanente Überwachung von AN ohne Ausweichmöglichkeiten, Überwachung von sensiblen Bereichen (zB WC, Umkleide, Zugang zu WC etc), Berühren der Menschenwürde: durch ein Kamerasystem mit mehreren Kameras sind dieselben AN (zB AN sind in mehreren Betriebsbereichen tätig) während dem Großteil ihrer Arbeitszeit von Aufnahmen erfasst, Kein Berühren der Menschenwürde: AN kommen nur selten und zufällig in den Aufnahmebereich einer Kamera (zB Verladebereiche, Zugang zu geschützten Bereichen, Zugänge und Zufahrten). (Grünanger in Grünanger/Goricnik, Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle2 Kap. 5 Rz 5.88 (Stand 1.11.2018, rdb.at)) Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Art 7 lit f DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist:Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Artikel 7, Litera f, DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist: 1. Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw den Dritten wahrgenommen wird, denen die Daten übermittelt werden, 2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und 3. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person. Berechtigte Interessen sind weit zu verstehen, es kann grds jedes von der Rechtsordnung gebilligte Interesse sein. Das Rechtmäßigkeitserfordernis dient dabei als grober Filter. Die ErwGr enthalten einige Beispiele, in denen berechtigte Interessen vorliegen (können): Anzeige strafrechtlich relevanter Sachverhalte inklusive Bedrohungen der öffentlichen Sicherheit, außer die Verarbeitung ist mit einer rechtlichen, beruflichen oder sonstigen verbindlichen Pflicht zur Geheimhaltung unvereinbar (ErwGr 50 S 9).Auch Art 9 Abs 2 enthält in einigen Tatbeständen berechtigte Interessen, die als Zulässigkeitstatbestand für die Verarbeitung sensibler Daten infrage kommen. Im Sinne eines Größenschlusses folgt daraus, dass diese Interessen die Verarbeitung „normaler“ Daten erst recht rechtfertigen können. Anzuführen ist hier insb Art 9 Abs 2 lit f leg cit (die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich). (Kastelitz/Hötzendorfer/Tschohl in Knyrim,
Berechtigte Interessen sind weit zu verstehen, es kann grds jedes von der Rechtsordnung gebilligte Interesse sein. Das Rechtmäßigkeitserfordernis dient dabei als grober Filter. Die ErwGr enthalten einige Beispiele, in denen berechtigte Interessen vorliegen (können): Anzeige strafrechtlich relevanter Sachverhalte inklusive Bedrohungen der öffentlichen Sicherheit, außer die Verarbeitung ist mit einer rechtlichen, beruflichen oder sonstigen verbindlichen Pflicht zur Geheimhaltung unvereinbar (ErwGr 50 S 9).Auch Artikel 9, Absatz 2, enthält in einigen Tatbeständen berechtigte Interessen, die als Zulässigkeitstatbestand für die Verarbeitung sensibler Daten infrage kommen. Im Sinne eines Größenschlusses folgt daraus, dass diese Interessen die Verarbeitung „normaler“ Daten erst recht rechtfertigen können. Anzuführen ist hier insb Artikel 9, Absatz 2, Litera f, leg cit (die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich). (Kastelitz/Hötzendorfer/Tschohl in Knyrim,
, DSGVO Rz 51, 54 (Stand 7.5.2020, rdb.at)) Unbestritten ist, dass es sich bei der Videoüberwachungsanlage um die Verarbeitung von personenbezogenen Daten handelt und der Anwendungsbereich der DSGVO eröffnet ist, da die Identifizierbarkeit durch den Verantwortlichen aufgrund von Dienstplänen und Arbeitsplatz gegeben ist. Nach gefestigten Rechtsprechung sind die § 12 und 13 DSG, mangels Öffnungsklausel nicht anwendbar und eine Datenverarbeitung anhand Art. 6 Abs. 1 lit f DSGVO zu beurteilen (vgl. Erkenntnis des BVwG vom
Als mögliche Lösung dieses Spannungsverhältnisses bzw als „best practice“ ist das bereits in anderen Empfehlungen der Artikel-29-Datenschutzgruppe zitierte „layered privacy statement“, eine Mehrebenen-Datenschutzerklärung, zu nennen. Auf der ersten Ebene soll der betroffenen Person ein klarer Überblick über die Informationen geboten werden, die bezüglich der Verarbeitung ihrer personenbezogenen Daten zur Verfügung stehen. Gleichzeitig sollen hier Hinweise gesetzt sein, wo weitere detailliertere Informationen zu finden sind, also deutliche Verweise auf die weiteren Ebenen der Datenschutzerklärung. Konkret auf Artikel 13 und 14 bezogen soll diese erste Ebene nach Ansicht der Artikel-29-Datenschutzgruppe in erster Linie Einzelheiten zu den Verarbeitungszwecken, die Identität des Verantwortlichen und die Existenz der Rechte der betroffenen Person enthalten, ergänzt um Informationen über die größten Auswirkungen der Verarbeitung und jene Verarbeitungen, mit denen die betroffene Person nicht rechnet. (Illibauer in Knyrim,
, Rz 37-37/1 DSGVO (Stand 1.12.2021, rdb.at)) Im Rahmen des Beschwerdeverfahrens nahm die belangte Behörde ihre Befugnis war, aufgrund des Anlassfalles, die im Eingangsbereich der Betriebsstätte vorgenommene Kennzeichnung der Videoüberwachungsanlage zu überprüfen und erteilte einen dahingehenden Leistungsauftrag, diese geeignet zu kennzeichnen. Aus der Stellungnahme der BF vom 24.02.2023, insbesondere dem vorgelegten Lichtbild, geht hervor, dass die Kennzeichnung der Videoüberwachungsanlage geändert wurde. Dies wurde von der Behörde nicht bestritten. Das Verwaltungsgericht hat in seine Entscheidung alle Veränderungen bis zum Zeitpunkt der Erkenntniserlassung miteinzubeziehen und daher die neue Kennzeichnung einer Überprüfung im Sinne der Art. 12 und 13 DSGVO zu unterziehen. Die neue Kennzeichnung informiert nun in einer ersten Ebene in verständlicher, transparenter und gedrängter Darstellung über die essenziellen Informationen des Art. 13 Abs. 1 DSGVO. Ein Piktogramm weist auf die Videoüberwachung hin und enthält der Aushang einen QR-Code bzw. eine Webadresse, welche zu den umfassenden Datenschutzinformationen (zweite Ebene) führt. Die Empfehlung der EDSA nennt, beispielhaft, dass die Beschilderung „etwa in Augenhöhe“ anzubringen ist, damit diese gut lesbar ist. Auch diesem Umstand wird mit der belegten Anbringung entsprochen.Das Verwaltungsgericht hat in seine Entscheidung alle Veränderungen bis zum Zeitpunkt der Erkenntniserlassung miteinzubeziehen und daher die neue Kennzeichnung einer Überprüfung im Sinne der Artikel 12 und 13 DSGVO zu unterziehen. Die neue Kennzeichnung informiert nun in einer ersten Ebene in verständlicher, transparenter und gedrängter Darstellung über die essenziellen Informationen des Artikel 13, Absatz eins, DSGVO. Ein Piktogramm weist auf die Videoüberwachung hin und enthält der Aushang einen QR-Code bzw. eine Webadresse, welche zu den umfassenden Datenschutzinformationen (zweite Ebene) führt. Die Empfehlung der EDSA nennt, beispielhaft, dass die Beschilderung „etwa in Augenhöhe“ anzubringen ist, damit diese gut lesbar ist. Auch diesem Umstand wird mit der belegten Anbringung entsprochen. Somit war der genannte Spruchpunkt aufzuheben. Zu B) Zulässigkeit der Revision: Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. European Case Law IdentifierECLI:AT:BVWG:2024:W137.2263970.1.00
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.