RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum30.03.2026 GeschäftszahlW137 2309185-1 Spruch, W137 2309185-1/15E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

§ 28Abs. 2 Vw

GVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF mit der Maßgabe als unbegründet abgewiesen, dass der Spruch des angefochtenen Straferkenntnis zu lauten hat wie folgt:Die Beschwerde wird

Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF mit der Maßgabe als unbegründet abgewiesen, dass der Spruch des angefochtenen Straferkenntnis zu lauten hat wie folgt: Die beschuldigte juristische Person mit Sitz in XXXX , hat als Verantwortliche im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016, S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen:Die beschuldigte juristische Person mit Sitz in römisch 40 , hat als Verantwortliche im Sinne des Artikel 4, Ziffer 7, der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), Amtsblatt Nummer L 119 vom 04.05.2016, Seite 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen: I. Die XXXX (im Folgenden „Beschuldigte“) hat an ihrem Standort „ XXXX “ in XXXX (im Folgenden „Tatort“), unrechtmäßig personenbezogene Daten von Mitarbeitern und Mitarbeiterinnen sowie Lieferanten (in der Folge „Betroffene“) verarbeitet, indem sie am Tatort eine Videoüberwachungsanlage, bestehend aus mindestens 29 Kameras, dauerhaft betrieben hat, wobei die Aufnahmebereiche der inkriminierten Kamera 10 („Küche-Keller“) und Kamera 23 („Küche-1“) in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls vom 11.03.2019 bis zumindest 14.12.2022 (in der Folge „Tatzeitraum I“) entgegen dem Grundsatz der Datenminimierung

Art. 5Abs.

1 lit. c DSGVO Bereiche innerhalb des Standortes erfassten, die zur Zweckerreichung nicht erforderlich waren. Die durch die genannten Kameras, welche Gegenstand des vorliegenden Verwaltungsstrafverfahrens sind, erfolgte Verarbeitung der personenbezogenen (Bild-)Daten war daher nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt. Die Verarbeitung im Tatzeitraum erfolgte im Ergebnis ohne einer einschlägigen Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO.römisch eins. Die römisch 40 (im Folgenden „Beschuldigte“) hat an ihrem Standort „ römisch 40 “ in römisch 40 (im Folgenden „Tatort“), unrechtmäßig personenbezogene Daten von Mitarbeitern und Mitarbeiterinnen sowie Lieferanten (in der Folge „Betroffene“) verarbeitet, indem sie am Tatort eine Videoüberwachungsanlage, bestehend aus mindestens 29 Kameras, dauerhaft betrieben hat, wobei die Aufnahmebereiche der inkriminierten Kamera 10 („Küche-Keller“) und Kamera 23 („Küche-1“) in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls vom 11.03.2019 bis zumindest 14.12.2022 (in der Folge „Tatzeitraum I“) entgegen dem Grundsatz der Datenminimierung

Artikel 5

, Absatz eins, Litera c, DSGVO Bereiche innerhalb des Standortes erfassten, die zur Zweckerreichung nicht erforderlich waren. Die durch die genannten Kameras, welche Gegenstand des vorliegenden Verwaltungsstrafverfahrens sind, erfolgte Verarbeitung der personenbezogenen (Bild-)Daten war daher nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt. Die Verarbeitung im Tatzeitraum erfolgte im Ergebnis ohne einer einschlägigen Rechtsgrundlage nach Artikel 6, Absatz eins, DSGVO. II. Darüber hinaus hat die Beschuldigte in ihrer Rolle als Verantwortliche im Zusammenhang mit der Verarbeitung durch die gesamte Videoüberwachungsanlage (bestehend aus 29Kameras) am oben angegebenen Tatort jedenfalls vom 11.03.2019 bis 19.10.2022 (im Folgenden „Tatzeitraum II“) gegen ihre Informationspflichten

Art. 13DSGVO verstoßen, indem sie vor Betreten des Gastraums bzw.

Aufnahmebereichs keine ausreichende Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den Kunden bzw. Kundinnen (im Folgenden „Betroffene“) vornahm. Dadurch wurden die Betroffenen bei Erhebung ihrer personenbezogenen Daten im Aufnahmebereich der Anlage nicht über die Verarbeitung im Sinne der Art. 12 und 13 DSGVO informiert.römisch zwei. Darüber hinaus hat die Beschuldigte in ihrer Rolle als Verantwortliche im Zusammenhang mit der Verarbeitung durch die gesamte Videoüberwachungsanlage (bestehend aus 29Kameras) am oben angegebenen Tatort jedenfalls vom 11.03.2019 bis 19.10.2022 (im Folgenden „Tatzeitraum II“) gegen ihre Informationspflichten

Artikel 13, DSGVO verstoßen, indem sie vor Betreten des Gastraums bzw.

Aufnahmebereichs keine ausreichende Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den Kunden bzw. Kundinnen (im Folgenden „Betroffene“) vornahm. Dadurch wurden die Betroffenen bei Erhebung ihrer personenbezogenen Daten im Aufnahmebereich der Anlage nicht über die Verarbeitung im Sinne der Artikel 12 und 13 DSGVO informiert. III.

Art 83Abs.

3 und Abs. 5 lit. a DSGVO wird über die Beschuldigte eine Geldstrafe in Höhe von € 10.000,- verhängt. römisch drei.

Artikel 83

, Absatz 3 und Absatz 5, Litera a, DSGVO wird über die Beschuldigte eine Geldstrafe in Höhe von € 10.000,- verhängt. IV. Ferner sind

§ 64VSt

G € 1.000,- als Beitrag zu den Kosten des Strafverfahrens zu erstatten, womit der zu zahlende Gesamtbetrag € 11.000,- beträgt. römisch vier. Ferner sind

Paragraph 64, VStG € 1.000,- als Beitrag zu den Kosten des Strafverfahrens zu erstatten, womit der zu zahlende Gesamtbetrag € 11.000,- beträgt. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig. Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. Text

Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

1. Mit Eingabe vom 31.08.2020 machte ein im Zeitraum vom 11.03.2019 bis 04.02.2020 als „Jungkoch“ bei der XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschuldigte im Verwaltungsstrafverfahren vor der Datenschutzbehörde) beschäftigter Mitarbeiter (in der Folge „Betroffener“) u.a. aufgrund der in der Küche der Beschwerdeführerin angebrachten Videokameras eine Verletzung im Recht auf Geheimhaltung sowie im Recht auf Information geltend. Das Datenschutzbeschwerdeverfahren wurde bei der belangten Behörde unter der GZ. D124.2941 geführt.
2. Mit Eingabe vom 31.08.2020 machte ein im Zeitraum vom 11.03.2019 bis 04.02.2020 als „Jungkoch“ bei der römisch 40 (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschuldigte im Verwaltungsstrafverfahren vor der Datenschutzbehörde) beschäftigter Mitarbeiter (in der Folge „Betroffener“) u.a. aufgrund der in der Küche der Beschwerdeführerin angebrachten Videokameras eine Verletzung im Recht auf Geheimhaltung sowie im Recht auf Information geltend. Das Datenschutzbeschwerdeverfahren wurde bei der belangten Behörde unter der GZ. D124.2941 geführt. Mit Bescheid vom 19.10.2022, GZ. D124.2941, 2022-0.360.359, gab die belangte Behörde der Datenschutzbeschwerde statt und stellte u.a. fest, dass die Beschwerdeführerin den Betroffenen dadurch im Recht auf Geheimhaltung verletzt habe, indem sie ihn am Standort „ XXXX , zumindest im Zeitraum von 11.03.2019 bis 04.02.2020 in der Küche und der Vorbereitungsküche mit den von ihr als Kamera 10 und Kamera 23 bezeichneten Videokameras erfasst habe.Mit Bescheid vom 19.10.2022, GZ. D124.2941, 2022-0.360.359, gab die belangte Behörde der Datenschutzbeschwerde statt und stellte u.a. fest, dass die Beschwerdeführerin den Betroffenen dadurch im Recht auf Geheimhaltung verletzt habe, indem sie ihn am Standort „ römisch 40 , zumindest im Zeitraum von 11.03.2019 bis 04.02.2020 in der Küche und der Vorbereitungsküche mit den von ihr als Kamera 10 und Kamera 23 bezeichneten Videokameras erfasst habe. Des Weiteren wurde der Beschwerdeführerin die Datenverarbeitung mittels der als Kamera 10 und Kamera 23 bezeichneten Videoüberwachungskameras mit sofortiger Wirkung bei sonstiger Exekution untersagt und aufgetragen, innerhalb einer Frist von zwei Wochen ab Zustellung die von ihr installierte Videoüberwachungsanlage geeignet zu kennzeichnen. Dagegen erhob die Beschwerdeführerin fristgerecht am 16.11.2022 eine Beschwerde. Das Verfahren wurde in Folge dem Bundesverwaltungsgericht samt der Beschwerde vorgelegt. Mit Erkenntnis vom 18.01.2024, GZ. W137 2263970-1/17E, wies das Bundesverwaltungsgericht die Beschwerde als unbegründet ab und bestätigte im Wesentlichen die Entscheidung der belangten Behörde und somit auch den Leistungsauftrag.
3. In Folge der im Rahmen des Administrativverfahrens durch die belangte Behörde festgestellte Verletzung wurde mit Aufforderung vom 14.12.2022, GZ. D550.726; 2022-0.756.915, das gegenständliche Verwaltungsstrafverfahren gegen die Beschwerdeführerin eingeleitet und diese zur Rechtfertigung aufgefordert.
4. Mit Rechtfertigung vom 12.01.2023 führte die Beschwerdeführerin eingangs aus, dass sie infolge des genannten (administrativen) Beschwerdeverfahrens umfassende Änderungen (Schwarzblenden) bei den betroffenen Videokameras vorgenommen habe, wobei diese Änderungen bereits im Frühjahr 2021 erfolgt seien. Inhaltlich brachte die Beschwerdeführerin im Wesentlichen vor, dass die gegenständlichen Kameras allesamt im Vorfeld der ursprünglichen Installation genehmigt und registriert worden seien. Sie habe daher davon ausgehen und darauf vertrauen dürfen, dass die nach der alten Rechtslage der belangten Behörde gemeldeten Kameras auch nach der DSGVO zulässig wären. Dieser Anschein sei erstmals durch das Datenschutzbeschwerdeverfahren zur GZ. D124.2941 erschüttert worden. Hinsichtlich des Zwecks der Kameras 10 und 23 verwies die Beschwerdeführerin auf ihre Ausführungen im Verfahren zur GZ. D124.
5. Im Übrigen führte sie aus, dass das Ausmaß der Verarbeitung zur Erreichung des berechtigten Interesses notwendig gewesen sei. Die Kamera 24 sei notwendig, um teure Beschädigungen zuordnen zu können, die dadurch entstehen, dass mit schweren Anlieferungswägen mit zu viel Schwung gegen die Aufzugstür gestoßen werde. Da derartige Beschädigungen üblicherweise erst später entdeckt werden, sei die Videoaufnahme das einzige mögliche Mittel, um derartige Beschädigungen aufzuklären, zuzuordnen und vom jeweiligen Lieferantenunternehmen bzw. dessen Haftpflichtversicherung ersetzt zu erhalten. Auch in Bezug auf diese Kamera sei die Verarbeitung im vorliegenden Ausmaß zur Erreichung des berechtigten Interesses notwendig. Im Übrigen habe die Beschwerdeführerin bereits eine neue Kennzeichnung beim Eingang angebracht, wobei diese weiterhin die Ansicht vertrete, dass die ursprüngliche Kennzeichnung den rechtlichen Bedingungen entspreche.
6. Mit Eingabe vom 20.01.2023 ergänzte die Beschwerdeführerin ihre Rechtfertigung um Erläuterungen zum Zeitablauf der vorgenommenen Änderungen.
7. Mit Eingabe vom 31.01.2023 übermittelte die Beschwerdeführerin nachträglich den Aufnahmebereich der Kamera
9. Am 21.02.2023 wurde von der belangten Behörde der Zeugen XXXX einvernommen.
10. Am 21.02.2023 wurde von der belangten Behörde der Zeugen römisch 40 einvernommen.
11. Mit Eingabe vom 03.03.2023 brachte die Beschwerdeführerin vor, die neue Kennzeichnung im Herbst 2022 angebracht zu haben. Im Übrigen gab sie an, dass sie das Recht habe, auf eine persönliche Einvernahme zu verzichten und sich stattdessen schriftlich zu äußern. Sie gab bekannt, dass der Geschäftsführer der Beschwerdeführerin für eine Einvernahme nicht zur Verfügung stehe.
12. Mit Bescheid vom 06.03.2023, GZ. D550.726, 2023-0.173.862, wurde das Verfahren bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union (in der Folge „EuGH“) in der Rechtssache C-807/21 ausgesetzt.
13. Mit Bescheid vom 05.12.2023 GZ. D550.726; 2023-0.805.203, wurde dieser Bescheid behoben und das Verfahren unter Berücksichtigung des Urteils fortgesetzt.
14. Mit Eingabe vom 15.12.2023 brachte die Beschwerdeführerin im Wesentlichen vor, dass ihrerseits kein Verschulden vorliege.
15. Am 24.01.2024 gab die Beschwerdeführerin ergänzend bekannt, dass sie in Reaktion auf die Entscheidung des Bundesverwaltungsgerichtes in der Rechtssache W137 22263970-1/17E die Kameras 10 und 23 mit 24.01.2024 vollständig außer Betrieb genommen habe. Alle gespeicherten Aufnahmen dieser Kameras seien unwiederbringlich gelöscht worden.
16. Mit 30.01.2025 erließ die belangte Behörde das angefochtene Straferkenntnis gegen die Beschwerdeführerin wegen der Verletzung des Grundsatzes der Datenminimierung

Art. 5Abs.

1 lit. c DSGVO und wegen Verstoß gegen ihre Informationspflichten

Art. 13DSGVO.

Die verhängte Strafe betrug EUR 14.000, woraus sich ein zusätzlicher Kostenbeitrag von EUR 1.400 ergab.12. Mit 30.01.2025 erließ die belangte Behörde das angefochtene Straferkenntnis gegen die Beschwerdeführerin wegen der Verletzung des Grundsatzes der Datenminimierung

Artikel 5

, Absatz eins, Litera c, DSGVO und wegen Verstoß gegen ihre Informationspflichten

Artikel 13, DSGVO.

Die verhängte Strafe betrug EUR 14.000, woraus sich ein zusätzlicher Kostenbeitrag von EUR 1.400 ergab. Dabei führte die belangte Behörde rechtlich aus, die Datenverarbeitung betreffend die Kameras 10, 23 und 24 sei weder durch Art. 6 Abs. 1 lit. a DSGVO noch durch Art. 6 Abs. 1 lit. f DSGVO gedeckt gewesen, weil es einerseits bei der schriftlichen Erwähnung im von der Beschwerdeführerin verfassten Arbeitsvertrag um keine Einwilligung zur gegenständlichen Datenverarbeitung iSd DSGVO handle und andererseits die Datenverarbeitung durch die gegenständlichen Kameras nicht erforderlich gewesen sei. Des Weiteren habe die Beschwerdeführerin gegen die Informationspflicht

Art. 5Abs. 1 lit. a i

Vm Art. 12 und Art. 13 DSGVO verstoßen, weil sie für die betroffenen Kunden im Gastraum keine ausreichende Kennzeichnung vorgenommen habe. Somit habe die Beschwerdeführerin die objektive Tatseite erfüllt. Dabei führte die belangte Behörde rechtlich aus, die Datenverarbeitung betreffend die Kameras 10, 23 und 24 sei weder durch Artikel 6, Absatz eins, Litera a, DSGVO noch durch Artikel 6, Absatz eins, Litera f, DSGVO gedeckt gewesen, weil es einerseits bei der schriftlichen Erwähnung im von der Beschwerdeführerin verfassten Arbeitsvertrag um keine Einwilligung zur gegenständlichen Datenverarbeitung iSd DSGVO handle und andererseits die Datenverarbeitung durch die gegenständlichen Kameras nicht erforderlich gewesen sei. Des Weiteren habe die Beschwerdeführerin gegen die Informationspflicht

Artikel 5

, Absatz eins, Litera a, in Verbindung mit Artikel 12 und Artikel 13, DSGVO verstoßen, weil sie für die betroffenen Kunden im Gastraum keine ausreichende Kennzeichnung vorgenommen habe. Somit habe die Beschwerdeführerin die objektive Tatseite erfüllt. Im Laufe des Ermittlungsverfahrens hätten sich keine Hinweise darauf ergeben, dass die Beschwerdeführerin an der Verletzung der gegenständlich anzuwendenden Verwaltungsvorschriften kein Verschulden treffe. Die Beschwerdeführerin habe sich im Lichte der Rechtsprechung des EuGH über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein können, unabhängig davon, ob ihr dabei bewusst gewesen sei, dass sie gegen die Vorschriften der DSGVO verstoße. Dadurch sei die subjektive Tatseite jedenfalls erfüllt und werde Verschulden in Form von Fahrlässigkeit angenommen. Zur Strafzumessung führte die belangte Behörde aus, als mildernd sei zu berücksichtigen gewesen, dass gegen die Beschwerdeführerin bei der belangten Behörde keinerlei einschlägige Verstöße gegen die DSGVO vorlägen und sie im Rahmen des gegenständlichen Ermittlungsverfahrens mitgewirkt und dadurch zumindest einen Beitrag zur Wahrheitsfindung geleistet habe. Erschwerende Umstände habe es keine gegeben.

1. Gegen das genannte Straferkenntnis wurde mit 25.02.2025 Beschwerde eingebracht und darin zusammengefasst ausgeführt, dass die Beschwerdeführerin nicht das vorgeworfene Tatbild verwirklicht habe. Zur Kamera 24 sei zu erwähnen, dass der vorgeworfene Tatzeitraum vom 11.03.2019 bis 14.12.2022 angedauert habe, aber die Kamera möglicherweise kurz nach der Reduzierung des Aufnahmebereichs im Frühjahr 2021 ausgefallen sei. In diesem Fall wären sowohl die Fristen für die Verfolgungs- als auch für die Strafbarkeitsverjährung des § 31 VStG bereits abgelaufen. Weiters werde der Beschwerdeführerin vorgeworfen, die drei gegenständlichen Kameras im Tatzeitraum in ungeschwärzter Form verwendet zu haben. Tatsächlich habe die Beschwerdeführerin aber bei den drei Kameras in Reaktion auf das Verfahren zur GZ. D124.2941 bereits im Frühjahr 2021 den Bildaufnahmebereich massiv reduziert, dies vor allem durch Schwärzungen, um mögliche Arbeitsbereiche von Mitarbeitern auszublenden. Somit seien die Videoaufnahmen in der von der belangten Behörde vorgeworfenen Form seit Frühjahr 2021 nicht mehr vorgenommen worden. Bestritten werde auch, dass die Beschwerdeführerin ein Verschulden treffe, weil alle Kameras bei ihrer Installation der belangten Behörde nach der damals geltenden Rechtslage gemeldet und von ihr geprüft worden seien. Aufgrund dieser Registrierung habe die Beschwerdeführerin berechtigt auf die Rechtskonformität der Videokameras vertraut. In einem weiteren Punkt werde der Vorwurf der nicht ausreichenden Kennzeichnung der Videoüberwachung bestritten. Schließlich sei zur Strafhöhe auszuführen, dass diese herabzusetzen wäre, weil den nunmehr attestierten Verstößen – wenn überhaupt – nur ein milderer Verschuldens- und Schweregrad zugeordnet werden könne. Auch sei zu berücksichtigen, dass es bezüglich des vorliegend vorgeworfenen Verstoßes gegen die DSGVO zu einer umfangreichen Medienberichterstattung gekommen sei, die für die Beschwerdeführerin bereits mit hohen Reputationsschäden verbunden gewesen sei. Die Beschwerdeführerin beantrage daher, eine mündliche Verhandlung durchzuführen, das angefochtene Straferkenntnis aufzuheben und das Strafverfahren einzustellen, in eventu das Straferkenntnis aufzuheben und die Angelegenheit zur neuerlichen Entscheidung an die belangte Behörde zurückzuverweisen beziehungsweise in eventu das Strafmaß herabzusetzen.
2. Gegen das genannte Straferkenntnis wurde mit 25.02.2025 Beschwerde eingebracht und darin zusammengefasst ausgeführt, dass die Beschwerdeführerin nicht das vorgeworfene Tatbild verwirklicht habe. Zur Kamera 24 sei zu erwähnen, dass der vorgeworfene Tatzeitraum vom 11.03.2019 bis 14.12.2022 angedauert habe, aber die Kamera möglicherweise kurz nach der Reduzierung des Aufnahmebereichs im Frühjahr 2021 ausgefallen sei. In diesem Fall wären sowohl die Fristen für die Verfolgungs- als auch für die Strafbarkeitsverjährung des Paragraph 31, VStG bereits abgelaufen. Weiters werde der Beschwerdeführerin vorgeworfen, die drei gegenständlichen Kameras im Tatzeitraum in ungeschwärzter Form verwendet zu haben. Tatsächlich habe die Beschwerdeführerin aber bei den drei Kameras in Reaktion auf das Verfahren zur GZ. D124.2941 bereits im Frühjahr 2021 den Bildaufnahmebereich massiv reduziert, dies vor allem durch Schwärzungen, um mögliche Arbeitsbereiche von Mitarbeitern auszublenden. Somit seien die Videoaufnahmen in der von der belangten Behörde vorgeworfenen Form seit Frühjahr 2021 nicht mehr vorgenommen worden. Bestritten werde auch, dass die Beschwerdeführerin ein Verschulden treffe, weil alle Kameras bei ihrer Installation der belangten Behörde nach der damals geltenden Rechtslage gemeldet und von ihr geprüft worden seien. Aufgrund dieser Registrierung habe die Beschwerdeführerin berechtigt auf die Rechtskonformität der Videokameras vertraut. In einem weiteren Punkt werde der Vorwurf der nicht ausreichenden Kennzeichnung der Videoüberwachung bestritten. Schließlich sei zur Strafhöhe auszuführen, dass diese herabzusetzen wäre, weil den nunmehr attestierten Verstößen – wenn überhaupt – nur ein milderer Verschuldens- und Schweregrad zugeordnet werden könne. Auch sei zu berücksichtigen, dass es bezüglich des vorliegend vorgeworfenen Verstoßes gegen die DSGVO zu einer umfangreichen Medienberichterstattung gekommen sei, die für die Beschwerdeführerin bereits mit hohen Reputationsschäden verbunden gewesen sei. Die Beschwerdeführerin beantrage daher, eine mündliche Verhandlung durchzuführen, das angefochtene Straferkenntnis aufzuheben und das Strafverfahren einzustellen, in eventu das Straferkenntnis aufzuheben und die Angelegenheit zur neuerlichen Entscheidung an die belangte Behörde zurückzuverweisen beziehungsweise in eventu das Strafmaß herabzusetzen.
3. Mit Schreiben vom 03.03.2025 legte die belangte Behörde die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vor, beantragte die Abweisung der Beschwerde und verwies vollinhaltlich auf das bekämpfte Straferkenntnis.
4. Am 03.11.2025 und 19.12.2025 fand am Bundesverwaltungsgericht eine mündliche Beschwerdeverhandlung statt, in welcher die Parteien die Gelegenheit hatten, ihren Standpunkt zu erörtern, Zeugenbefragungen stattfanden und die verfahrensgegenständlichen Rechtsfragen diskutiert wurden. Mit Stellungnahme vom 18.11.2025 legte die Beschwerdeführerin – wie vom Bundesverwaltungsgericht aufgefordert – Belege für die vom Zeugen angesprochenen Modifikationen bzw. Erneuerungen des Kamerasystems (Schwärzungen, Außerbetriebnahme, Austausch des Systems, etc.) vor. Mit verfahrensleitendem Beschluss wurde der Antrag auf weitere Zeugeneinvernahmen abgewiesen. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
5. Feststellungen: 1.
6. Die Beschwerdeführerin betreibt in der Rechtsform der GmbH ein Unternehmen aus dem Geschäftszweig der Gastronomie. Alleingesellschafterin der Beschwerdeführerin ist die XXXX mit der Firmenbuchnummer XXXX . 1.
7. Die Beschwerdeführerin betreibt in der Rechtsform der GmbH ein Unternehmen aus dem Geschäftszweig der Gastronomie. Alleingesellschafterin der Beschwerdeführerin ist die römisch 40 mit der Firmenbuchnummer römisch 40 . 1.
8. Die Beschwerdeführerin betreibt am Standort „ XXXX “ (in der Folge „Tatort“) das Restaurant „ XXXX “. Es handelt sich hierbei um einen Lehrbetrieb, in welchem zum Koch bzw. zur Köchin ausgebildet wird.1.
9. Die Beschwerdeführerin betreibt am Standort „ römisch 40 “ (in der Folge „Tatort“) das Restaurant „ römisch 40 “. Es handelt sich hierbei um einen Lehrbetrieb, in welchem zum Koch bzw. zur Köchin ausgebildet wird. 1.
10. Für den Standort „ XXXX “ ist bei der Beschwerdeführerin kein Betriebsrat eingerichtet. 1.
11. Für den Standort „ römisch 40 “ ist bei der Beschwerdeführerin kein Betriebsrat eingerichtet. 1.
12. Die Beschwerdeführerin betrieb am Standort „ XXXX “ ein System von 29 Videokameras und erstattete in diesem Zusammenhang am 24.10.2016 eine DVR-Meldung

DSG 2000 an die Datenschutzbehörde. 1.4. Die Beschwerdeführerin betrieb am Standort „ römisch 40 “ ein System von 29 Videokameras und erstattete in diesem Zusammenhang am 24.10.2016 eine DVR-Meldung

DSG 2000 an die Datenschutzbehörde. 1.

1. Die als Kamera 10, Kamera 23 und Kamera 24 bezeichneten Videoüberwachungskameras erfassten Bereiche der Küche des Standortes. Als Zweck der Überwachung dieser Bereiche gibt die Beschwerdeführerin „Überwachung der Anlieferungs-/Entsorgungswege zur Aufklärung von etwaigen Diebstählen und Beschädigungen bei Anlieferung/Entsorgung“ an. 1.
2. Der Aufnahmebereich der angeführten Kameras wurde im Vergleich zu den Lichtbildern der vorgelegten Meldung

DSG 2000 vom 24.10.2016 zwischenzeitlich (jedenfalls vor März 2019) dahingehend verändert, dass ein größerer Ausschnitt der Räumlichkeiten erfasst ist, der insbesondere nunmehr Arbeitsbereiche (Vorbereitungsküche) einschließt. 1.

1. Die Kameras 10, 23 und 24 erfassten zumindest von 11.03.2019 bis 19.10.2022 regelmäßig Mitarbeiter und Lieferanten der Beschwerdeführerin, wobei die Aufnahmebereiche der Kameras 10, 23 und 24 im Frühjahr 2021 mittels Blenden eingeschränkt wurden, sodass insbesondere die Kamera 24 lediglich Bilder von einem minimalen Bereich unmittelbar vor dem Lastenaufzug aufnahm. 1.
2. Die Aufzeichnungen werden grundsätzlich für 72 Stunden aufbewahrt und dann automatisch und ungesehen gelöscht, sofern kein besonderer Anlassfall zur Aufbewahrung (z.B. Einbruch, Diebstahl, konkrete ungeklärte Beschädigung, polizeiliche Aufforderung) besteht. 1.
3. An der Eingangstür zum Lokal war bis zum 19.10.2022 ein Hinweis auf die Videoüberwachung im Lokal angebracht. Dieser beinhaltete ein Piktogramm und die Information, dass das Gebäude videoüberwacht wird. 1.
4. Mit Bescheid vom 19.10.2022, GZ. D124.2941, 2022-0.360.359, sprach die Datenschutzbehörde u.a. aus, dass die Datenverarbeitung durch die Videokameras Kamera 10 und 23 zur Gänze rechtswidrig ist und untersagte die weitere Datenverarbeitung mit den genannten Videokameras. Kamera 24 war nicht Gegenstand dieses Verfahrens. Nach Beschwerdeerhebung wurde dieser Bescheid vom Bundesverwaltungsgericht im Wesentlichen, insbesondere inklusive der Rechtswidrigkeit der Kameras 10 und 23 ungeachtet des durch Blenden reduzierten Aufnahmebereichs, bestätigt. Daraufhin ließ die Beschwerdeführerin am 24.01.2024 die Kameras 10 und 23 von einem Fachunternehmen technisch aus dem System entfernen. 1.
5. Die belangte Behörde setzte am 14.12.2022 die erste Verfolgungshandlung betreffend die Kamera 24 gegen die Beschwerdeführerin.
6. Beweiswürdigung: 2.
7. Dass die Beschwerdeführerin in der Rechtsform der GmbH ein Unternehmen aus dem Geschäftsbereich der Gastronomie betreibt und wer Alleingesellschafterin ist, ergibt sich aus dem im Akt einliegenden Firmenbuchauszug zur XXXX .2.
8. Dass die Beschwerdeführerin in der Rechtsform der GmbH ein Unternehmen aus dem Geschäftsbereich der Gastronomie betreibt und wer Alleingesellschafterin ist, ergibt sich aus dem im Akt einliegenden Firmenbuchauszug zur römisch 40 . 2.
9. Die Feststellungen, dass die Beschwerdeführerin am Standort „ XXXX “ (in der Folge „Tatort“) das Restaurant „ XXXX “ betreibt und dass es sich hierbei um einen Lehrbetrieb handelt, in welchem zum Koch bzw. zur Köchin ausgebildet wird, gründet sich aus dem Akteninhalt des Verfahrens zur GZ. D124.2941 sowie dem Erkenntnis des Bundesverwaltungsgerichtes vom 18.01.2024, GZ. W137 2263970-1/17E. 2.
10. Die Feststellungen, dass die Beschwerdeführerin am Standort „ römisch 40 “ (in der Folge „Tatort“) das Restaurant „ römisch 40 “ betreibt und dass es sich hierbei um einen Lehrbetrieb handelt, in welchem zum Koch bzw. zur Köchin ausgebildet wird, gründet sich aus dem Akteninhalt des Verfahrens zur GZ. D124.2941 sowie dem Erkenntnis des Bundesverwaltungsgerichtes vom 18.01.2024, GZ. W137 2263970-1/17E. 2.
11. Die fehlende Einrichtung eines Betriebsrats ergibt sich aus dem im Rahmen des Administrativverfahrens vor der belangten Behörde zur GZ. D124.2941 erstatteten Vorbringen der Beschwerdeführerin vom 04.05.
12. 2.
13. Die Feststellungen zu der betriebenen Videoüberwachungsanlage der Beschwerdeführerin, insbesondere den Kameras 10, 23 und 24 und dem Einsatzzweck ergeben sich aus dem Vorbringen der Beschwerdeführerin im verwaltungsbehördlichen Verfahren, dem Vorbringen in der mündlichen Verhandlung sowie der vorgelegten DVR-Meldung nach dem DSG 2000 vom 24.10.
14. 2.
15. Die Aufnahmebereiche der Kameras 10, 23 und 24 ergeben sich insbesondere aus der Stellungnahme der Beschwerdeführerin vom 12.01.
16. 2.
17. Die Änderungen des Aufnahmebereichs der Kameras und die im relevanten Zeitpunkt erfolgte Miterfassung des Arbeitsbereichs folgt aus den vorliegenden Beweismitteln, insbesondere einem Vergleich der 2016 vorgelegten Aufnahmebereiche mit jenen, die im Rahmen des Administrativ- und des gegenständlichen Strafverfahrens festgestellt worden sind (von der Beschwerdeführerin vorgelegte Aufnahmen). 2.
18. Die weiteren Feststellungen zu den Aufnahmebereichen der Kameras sowie deren Änderungen ergeben sich aus den Rechtfertigungen und Stellungnahmen der Beschwerdeführerin während des Verfahrens vor der Behörde, ihrer Beschwerde vom 25.02.2025, dem Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 18.10.2023 zur GZ. W137 2263970-1, der von der Beschwerdeführerin vorgelegten Screenshots im Zuge der Rechtfertigung vom 12.01.2023 sowie insbesondere aus den glaubhaften Angaben des Zeugen XXXX in der mündlichen Verhandlung vom 03.11.2025, der ausführte, dass Aufnahmebereiche der Kameras 10, 23 und 24 bereits im Frühjahr 2021 mittels Schwarzblenden eingeschränkt wurden. Hingegen konnte die belangte Behörde keinen Nachweis erbringen, dass die Schwarzblenden erst nach Erlass des Bescheides vom 19.10.2022, GZ. D124.2941, 2022-0.360.359, installiert worden wären.2.
19. Die weiteren Feststellungen zu den Aufnahmebereichen der Kameras sowie deren Änderungen ergeben sich aus den Rechtfertigungen und Stellungnahmen der Beschwerdeführerin während des Verfahrens vor der Behörde, ihrer Beschwerde vom 25.02.2025, dem Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 18.10.2023 zur GZ. W137 2263970-1, der von der Beschwerdeführerin vorgelegten Screenshots im Zuge der Rechtfertigung vom 12.01.2023 sowie insbesondere aus den glaubhaften Angaben des Zeugen römisch 40 in der mündlichen Verhandlung vom 03.11.2025, der ausführte, dass Aufnahmebereiche der Kameras 10, 23 und 24 bereits im Frühjahr 2021 mittels Schwarzblenden eingeschränkt wurden. Hingegen konnte die belangte Behörde keinen Nachweis erbringen, dass die Schwarzblenden erst nach Erlass des Bescheides vom 19.10.2022, GZ. D124.2941, 2022-0.360.359, installiert worden wären. 2.
20. Die Feststellung, dass eine bloß anlassbezogene Auswertung der Aufnahmen und eine maximale Speicherdauer von 72 Stunden eingehalten wird, ergibt sich aus dem glaubhaften Vorbringen der Beschwerdeführerin. 2.
21. Die Feststellung zur Kennzeichnung der Videoüberwachungsanlage bis zum 19.10.2022 folgt aus dem Akteninhalt des Administrativverfahrens zur GZ. D124.
22. 2.
23. Die Feststellungen zum Bescheid vom 19.10.2022 ergeben sich aus dem Akteninhalt des Administrativverfahrens zur GZ. D124.
24. Die weiteren Feststellungen ergeben sich aus dem Erkenntnis des Bundesverwaltungsgerichtes vom 18.01.2024, GZ. W137 2263970-1/17E. Mit Stellungnahme vom 24.01.2024 gab die Beschwerdeführerin weiters glaubhaft an, dass die Kameras 10 und 23 durch ein Fachunternehmen aus dem System entfernt wurden, was auch in der mündlichen Verhandlung am 19.12.2025 durch glaubhafte Aussagen des als Zeugen geladenen Dienstleisters XXXX und eine einschlägige schriftliche Bestätigung dargelegt wurde. Die weiteren Feststellungen ergeben sich aus dem Erkenntnis des Bundesverwaltungsgerichtes vom 18.01.2024, GZ. W137 2263970-1/17E. Mit Stellungnahme vom 24.01.2024 gab die Beschwerdeführerin weiters glaubhaft an, dass die Kameras 10 und 23 durch ein Fachunternehmen aus dem System entfernt wurden, was auch in der mündlichen Verhandlung am 19.12.2025 durch glaubhafte Aussagen des als Zeugen geladenen Dienstleisters römisch 40 und eine einschlägige schriftliche Bestätigung dargelegt wurde. 2.
25. Dass mit 14.12.2022 die erste Verfolgungshandlung betreffend die Kamera 24 gesetzt wurde, ergibt sich aus dem erstinstanzlichen Verwaltungsakt sowie aus dem Umstand, dass im Administrativverfahrens zur GZ. D.124.2941 die Kamera 24 nicht Verfahrensgegenstand war.
26. Rechtliche Beurteilung: 3.1.

Art. 130Abs.

1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1.

Artikel 130

, Absatz eins, Ziffer eins, B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Abs.

1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde.

§ 27Abs.

2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.

Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7, leg.cit. und der Entscheidungspflicht der Datenschutzbehörde.

Paragraph 27, Absatz 2, erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I Nr. 33/2013, geregelt (§ 1 leg.cit.).

§ 59Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, Bundesgesetzblatt Teil eins, Nr. 33 aus 2013,, geregelt (Paragraph eins, leg.cit.).

Paragraph 59, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte. Zu A) 3.1.1. Die maßgeblichen Bestimmungen der DSGVO lauten auszugsweise: Artikel 5 - Grundsätze für die Verarbeitung personenbezogener Daten:

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

diesem Artikel für Verstöße gegen diese Verordnung

den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

1. e)etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
2. f)Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
3. g)Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
4. h)Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
5. i)Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
6. j)Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
7. k)jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

den Artikeln 5, 6, 7 und 9; b) die Rechte der betroffenen Person

den Artikeln 12 bis 22; (…) 3.1.2. Die maßgeblichen Bestimmungen des DSG: Artikel 1 (Verfassungsbestimmung) Grundrecht auf Datenschutz § 1.

Art. 83

DSGVO gegen einen Verantwortlichen, der eine juristische Person ist, zu verlangen, dass der betreffende Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde oder ihr zuzurechnen ist. Außerdem könnte eine solche zusätzliche Anforderung letztlich unter Verstoß gegen Art. 83 Abs. 1 DSGVO die Wirksamkeit und die abschreckende Wirkung von Geldbußen schwächen, die gegen juristische Personen als Verantwortliche verhängt werden. Es ist mit Blick auf die Fragen des vorlegenden Gerichts festzustellen, dass der Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV ohne Bedeutung für die Frage ist, ob und unter welchen Voraussetzungen eine Geldbuße nach Art. 83 der DSGVO gegen einen Verantwortlichen verhängt werden kann, der eine juristische Person ist, da diese Frage in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DSGVO abschließend geregelt ist. Nach alledem ist auf die erste Frage zu antworten, dass Art. 58 Abs. 2 Buchst. i und Art. 83 Abs. 1 bis 6 DSGVO dahin auszulegen sind, dass sie einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde. Insoweit ist zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße

Art. 83

DSGVO geahndet werden kann, noch klarzustellen, dass ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt. Handelt es sich bei dem Verantwortlichen um eine juristische Person, ist zudem klarzustellen, dass die Anwendung von Art. 83 DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt. Nach alledem ist auf die zweite Frage zu antworten, dass Art. 83 DSGVO dahin auszulegen ist, dass nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.“ (EuGH 05.12.2023, (Deutsche Wohnen SE) C-807/21)„Insbesondere geht aus dem zehnten Erwägungsgrund der DSGVO hervor, dass deren Bestimmungen u. a. die Ziele haben, bei der Verarbeitung personenbezogener Daten unionsweit ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und zu diesem Zweck sicherzustellen, dass die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser Personen bei der Verarbeitung solcher Daten unionsweit gleichmäßig und einheitlich angewendet werden. Es liefe diesem Zweck der DSGVO jedoch zuwider, den Mitgliedstaaten zu gestatten, einseitig und als erforderliche Voraussetzung für die Verhängung einer Geldbuße

Artikel 83

, DSGVO gegen einen Verantwortlichen, der eine juristische Person ist, zu verlangen, dass der betreffende Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde oder ihr zuzurechnen ist. Außerdem könnte eine solche zusätzliche Anforderung letztlich unter Verstoß gegen Artikel 83, Absatz eins, DSGVO die Wirksamkeit und die abschreckende Wirkung von Geldbußen schwächen, die gegen juristische Personen als Verantwortliche verhängt werden. Es ist mit Blick auf die Fragen des vorlegenden Gerichts festzustellen, dass der Begriff „Unternehmen“ im Sinne der Artikel 101 und 102 AEUV ohne Bedeutung für die Frage ist, ob und unter welchen Voraussetzungen eine Geldbuße nach Artikel 83, der DSGVO gegen einen Verantwortlichen verhängt werden kann, der eine juristische Person ist, da diese Frage in Artikel 58, Absatz 2 und Artikel 83, Absatz eins bis 6 DSGVO abschließend geregelt ist. Nach alledem ist auf die erste Frage zu antworten, dass Artikel 58, Absatz 2, Buchst. i und Artikel 83, Absatz eins bis 6 DSGVO dahin auszulegen sind, dass sie einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde. Insoweit ist zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße

Artikel 83

, DSGVO geahndet werden kann, noch klarzustellen, dass ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt. Handelt es sich bei dem Verantwortlichen um eine juristische Person, ist zudem klarzustellen, dass die Anwendung von Artikel 83, DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt. Nach alledem ist auf die zweite Frage zu antworten, dass Artikel 83, DSGVO dahin auszulegen ist, dass nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.“ (EuGH 05.12.2023, (Deutsche Wohnen SE) C-807/21) Daraus folgt, dass eine juristische Person Beschuldigte in einem Verwaltungsstrafverfahren sein kann, ohne dass die Datenschutzverletzung zuvor einer natürlichen Person aus dem Kreis des Unternehmens zuzurechnen ist (§ 9 VStG, § 30 DSG). Die Übertragbarkeit der Entscheidung zur deutschen auf die österreichische Rechtslage bekräftigte der VwGH mit seinem Erkenntnis vom 01.02.2024, Ra 2020/04/

1. Dieser ging somit von seiner ständigen Rechtsprechung zur Strafbarkeit von juristischen Person im Verwaltungsstrafverfahren ab und ist allein bzw. mit dem abschließenden Katalog des Art. 83 DSGVO eine Strafbarkeit herzustellen und die Strafbemessung durchzuführen, wobei zwingend ein Verschulden in der Form des Vorsatzes oder der Fahrlässigkeit gefordert wird. Dies bedeutet jedoch nicht, dass eine Handlung oder eine Kenntnis seitens des Leitungsorgans der juristischen Person vorausgesetzt wird. Die diesen Ausführungen widersprechenden nationalen Reglungen in § 9 VStG und § 30 DSG haben bei der Beurteilung des gegenständlichen Falles unangewendet zu bleiben.Daraus folgt, dass eine juristische Person Beschuldigte in einem Verwaltungsstrafverfahren sein kann, ohne dass die Datenschutzverletzung zuvor einer natürlichen Person aus dem Kreis des Unternehmens zuzurechnen ist (Paragraph 9, VStG, Paragraph 30, DSG). Die Übertragbarkeit der Entscheidung zur deutschen auf die österreichische Rechtslage bekräftigte der VwGH mit seinem Erkenntnis vom 01.02.2024, Ra 2020/04/
2. Dieser ging somit von seiner ständigen Rechtsprechung zur Strafbarkeit von juristischen Person im Verwaltungsstrafverfahren ab und ist allein bzw. mit dem abschließenden Katalog des Artikel 83, DSGVO eine Strafbarkeit herzustellen und die Strafbemessung durchzuführen, wobei zwingend ein Verschulden in der Form des Vorsatzes oder der Fahrlässigkeit gefordert wird. Dies bedeutet jedoch nicht, dass eine Handlung oder eine Kenntnis seitens des Leitungsorgans der juristischen Person vorausgesetzt wird. Die diesen Ausführungen widersprechenden nationalen Reglungen in Paragraph 9, VStG und Paragraph 30, DSG haben bei der Beurteilung des gegenständlichen Falles unangewendet zu bleiben. 3.2.
3. Verfolgungsverjährung hinsichtlich der Kamera 24:

§ 31Abs. 1 VSt

G ist die Verfolgung einer Person unzulässig, wenn binnen einer Frist von einem Jahr keine Verfolgungshandlung vorgenommen worden ist (Verfolgungsverjährung). Zudem erlischt die Strafbarkeit einer Verwaltungsübertretung gem. § 31 Abs. 2 VStG nach einer Verjährungsfrist von drei Jahren (Strafbarkeitsverjährung).

Paragraph 31, Absatz eins, VStG ist die Verfolgung einer Person unzulässig, wenn binnen einer Frist von einem Jahr keine Verfolgungshandlung vorgenommen worden ist (Verfolgungsverjährung). Zudem erlischt die Strafbarkeit einer Verwaltungsübertretung gem. Paragraph 31, Absatz 2, VStG nach einer Verjährungsfrist von drei Jahren (Strafbarkeitsverjährung). Die Verjährungsfrist beginnt bei einem fortgesetzten Delikt - wie im vorliegenden Fall - mit Beendigung des letzten tatbildmäßigen Verhaltens (vgl. VwGH 15.09.2006, 2004/04/0185; VwGH 16.02.2023, Ra 2021/02/0170).Die Verjährungsfrist beginnt bei einem fortgesetzten Delikt - wie im vorliegenden Fall - mit Beendigung des letzten tatbildmäßigen Verhaltens vergleiche VwGH 15.09.2006, 2004/04/0185; VwGH 16.02.2023, Ra 2021/02/0170). Wie den Feststellungen zu entnehmen ist, erfolgte die letztmalige nicht durch Schwarzblenden eingeschränkte nachweisebare Datenverarbeitung durch die Kamera 24 im Frühjahr 2021 (zur Rechtmäßigkeit der Datenverarbeitung unter 3.3.1.1.). Mit Aufforderung zur Rechtfertigung vom 14.12.2022 hat die belangte Behörde das gegenständliche Verwaltungsstrafverfahren gegen die Beschwerdeführerin eingeleitet und somit erst nach Ablauf der gesetzlichen Frist über die Verfolgungsverjährung eine taugliche Verfolgungshandlung iSd. § 32 Abs. 2 VStG gesetzt.Wie den Feststellungen zu entnehmen ist, erfolgte die letztmalige nicht durch Schwarzblenden eingeschränkte nachweisebare Datenverarbeitung durch die Kamera 24 im Frühjahr 2021 (zur Rechtmäßigkeit der Datenverarbeitung unter 3.3.1.1.). Mit Aufforderung zur Rechtfertigung vom 14.12.2022 hat die belangte Behörde das gegenständliche Verwaltungsstrafverfahren gegen die Beschwerdeführerin eingeleitet und somit erst nach Ablauf der gesetzlichen Frist über die Verfolgungsverjährung eine taugliche Verfolgungshandlung iSd. Paragraph 32, Absatz 2, VStG gesetzt. Ausgehend vom Ende des Tatzeitraums endete die Frist von einem Jahr bereits im Frühjahr 2022. Schon zu diesem Zeitpunkt war daher hinsichtlich der Kamera 24 Verfolgungsverjährung eingetreten. Wenn gegen eine Person innerhalb der Frist von einem Jahr (§ 31 Abs. 1 VStG) keine Verfolgungshandlung erfolgt, ist die Verfolgung nicht mehr zu lässig. Dies beseitigt zwar (dogmatisch gesehen) nicht die Strafbarkeit, ist aber ein Verfolgungshindernis und das Verfahren ist

§ 45Abs. 1 Z 3 VSt

G einzustellen (vgl. Lewisch in Lewisch/Fister/Weilguni, Verwaltungsstrafgesetz, § 31 Rz 8f; Hengstschläger/Leeb, Verwaltungsverfahrensrecht5, Rz 790). Ausgehend vom Ende des Tatzeitraums endete die Frist von einem Jahr bereits im Frühjahr 2022. Schon zu diesem Zeitpunkt war daher hinsichtlich der Kamera 24 Verfolgungsverjährung eingetreten. Wenn gegen eine Person innerhalb der Frist von einem Jahr (Paragraph 31, Absatz eins, VStG) keine Verfolgungshandlung erfolgt, ist die Verfolgung nicht mehr zu lässig. Dies beseitigt zwar (dogmatisch gesehen) nicht die Strafbarkeit, ist aber ein Verfolgungshindernis und das Verfahren ist

Paragraph 45, Absatz eins, Ziffer 3, VStG einzustellen vergleiche Lewisch in Lewisch/Fister/Weilguni, Verwaltungsstrafgesetz, Paragraph 31, Rz 8f; Hengstschläger/Leeb, Verwaltungsverfahrensrecht5, Rz 790). Anders als bei den Kameras 10 und 23 konnte die DSB auch nicht darlegen, dass der bereits 2021 eingeschränkte Aufnahmebereich von Kamera 24 datenschutzrechtlich problematisch wäre. Vielmehr war festzustellen, dass die Kamera 24 mit der im Frühjahr 2021 vorgenommenen Einschränkung des Aufnahmebereiches einem berechtigten Interesse, nämlich dem Schutz des Eigentums (Lastenaufzug) dient und auch dem Grundsatz der Datenminimierung entspricht, weil der Türbereich nur zu einem äußerst geringen Teil und somit in einem erforderlichen Ausmaß zur Erreichung der Zwecke erfasst wird. 3.

1. Zum Vorliegen der Strafbarkeit (objektiver Tatbestand): 3.3.
2. Zur Rechtmäßigkeit der Verarbeitung durch die Kameras 10 und 23: Unionsrechtliche Grundlagen: Die nunmehrige Spruchpraxis der Datenschutzbehörde wendet die §§ 12, 13, die sich speziell mit der Bildverarbeitung befassen, nicht mehr (unmittelbar) an. Das liegt daran, dass nach inzwischen gefestigter Ansicht diese Bestimmungen mangels einer Öffnungsklausel aus unionsrechtlichen Gründen unangewendet bleiben; ebenso BVwG 25.11.2019, W211 2210458-1 [Kebab-Stand]. Diese Spruchpraxis beschränkt damit die Rechtmäßigkeitsprüfung von Bildverarbeitungen auf Art. 5 und 6 DSGVO. (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 12 Rz 128 [Stand 01.02.2022, rdb.at])Unionsrechtliche Grundlagen: Die nunmehrige Spruchpraxis der Datenschutzbehörde wendet die Paragraphen 12, 13,, die sich speziell mit der Bildverarbeitung befassen, nicht mehr (unmittelbar) an. Das liegt daran, dass nach inzwischen gefestigter Ansicht diese Bestimmungen mangels einer Öffnungsklausel aus unionsrechtlichen Gründen unangewendet bleiben; ebenso BVwG 25.11.2019, W211 2210458-1 [Kebab-Stand]. Diese Spruchpraxis beschränkt damit die Rechtmäßigkeitsprüfung von Bildverarbeitungen auf Artikel 5 und 6 DSGVO. (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph 12, Rz 128 [Stand 01.02.2022, rdb.at]) Anderes gilt für den Fall des § 12 Abs 4 Z
3. Das diesbezügliche Verbot kann auf die spezifische Ermächtigung aus Art. 88 Abs. 1 iVm Art. 6 Abs. 1 DSGVO zum Erlass spezifischer Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext gestützt werden (Kunnert in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 12 Rz 21 [Stand 12.6.2018, rdb.at]).Anderes gilt für den Fall des Paragraph 12, Absatz 4, Ziffer 2, Das diesbezügliche Verbot kann auf die spezifische Ermächtigung aus Artikel 88, Absatz eins, in Verbindung mit Artikel 6, Absatz eins, DSGVO zum Erlass spezifischer Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext gestützt werden (Kunnert in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph 12, Rz 21 [Stand 12.6.2018, rdb.at]). Nach § 12 Abs. 4 Z 2 DSG 2018 ist die Bildaufnahme zum Zweck der Kontrolle eines AN (Arbeitnehmer) unzulässig. Die DSGVO sieht keine speziellen Regelungen zu Bildaufnahmen vor. Demnach gibt es auch keine spezielle Öffnungsklausel für Bildaufnahmen. Im konkreten Fall ist die Einschränkung/das Verbot zulässig, weil sich dieses ausschließlich auf das Arbeitsrecht bezieht und nach Art. 88 DSGVO für den Bereich des Arbeitsrechts eine Öffnungsklausel besteht. Nach dem Wortlaut soll die Überwachung für Zwecke der Kontrolle von AN verboten sein. Fraglich ist, wie diese Formulierung zu interpretieren ist. Nach den Materialien zur DSG-Novelle 2010 zielt dieses Verbot auf die Leistungskontrolle von Mitarbeitern ab, d.h., Videoüberwachung darf nicht intentional dazu eingesetzt werden, die Vertragserfüllung zu überwachen (z.B. ist es daher verboten, Videokameras für Anwesenheitskontrollen oder zur Überprüfung der Einhaltung der Arbeitszeit einzusetzen) (Grünanger in Grünanger/Goricnik, Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle2 Kap. 5 Rz 5.44-5.46 [Stand 1.11.2018, rdb.at]).Nach Paragraph 12, Absatz 4, Ziffer 2, DSG 2018 ist die Bildaufnahme zum Zweck der Kontrolle eines AN (Arbeitnehmer) unzulässig. Die DSGVO sieht keine speziellen Regelungen zu Bildaufnahmen vor. Demnach gibt es auch keine spezielle Öffnungsklausel für Bildaufnahmen. Im konkreten Fall ist die Einschränkung/das Verbot zulässig, weil sich dieses ausschließlich auf das Arbeitsrecht bezieht und nach Artikel 88, DSGVO für den Bereich des Arbeitsrechts eine Öffnungsklausel besteht. Nach dem Wortlaut soll die Überwachung für Zwecke der Kontrolle von AN verboten sein. Fraglich ist, wie diese Formulierung zu interpretieren ist. Nach den Materialien zur DSG-Novelle 2010 zielt dieses Verbot auf die Leistungskontrolle von Mitarbeitern ab, d.h., Videoüberwachung darf nicht intentional dazu eingesetzt werden, die Vertragserfüllung zu überwachen (z.B. ist es daher verboten, Videokameras für Anwesenheitskontrollen oder zur Überprüfung der Einhaltung der Arbeitszeit einzusetzen) (Grünanger in Grünanger/Goricnik, Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle2 Kap. 5 Rz 5.44-5.46 [Stand 1.11.2018, rdb.at]). Im Ergebnis wird man von einem Berühren der Menschenwürde jedenfalls dann ausgehen können, wenn AN während dem Großteil ihrer Arbeitszeit vom Radius einer Kamera erfasst sind, ohne dem ausweichen zu können (z.B. Kassier in einer Bank, Kassabereich in einem Supermarkt, Tankstellen). Eine Ausnahme kann hier nur dann gegeben sein, wenn der AG (Arbeitgeber) keinen Zugriff auf die Bilddaten hat und eine Auswertung nur im Anlassfall erfolgt. Kommen AN nur selten und eher zufällig als Nebenprodukt in den Einsatzbereich einer Kamera, wird man ein Berühren ausschließen können (z.B. Verladebereiche, Zugang zu geschützten Bereichen), weil hier keine überschießende Kontrolle vorliegt. Zum Beispiel: Verletzung der Menschenwürde: Permanente Überwachung von AN ohne Ausweichmöglichkeiten, Überwachung von sensiblen Bereichen (z.B. WC, Umkleide, Zugang zu WC etc.), Berühren der Menschenwürde: durch ein Kamerasystem mit mehreren Kameras sind dieselben AN (z.B. AN sind in mehreren Betriebsbereichen tätig) während dem Großteil ihrer Arbeitszeit von Aufnahmen erfasst, Kein Berühren der Menschenwürde: AN kommen nur selten und zufällig in den Aufnahmebereich einer Kamera (z.B. Verladebereiche, Zugang zu geschützten Bereichen, Zugänge und Zufahrten) (Grünanger in Grünanger/Goricnik, Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle2 Kap. 5 Rz 5.88[Stand 1.11.2018, rdb.at]). Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Art. 7 lit. f DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist:Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Artikel 7, Litera f, DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist:
4. Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden,
5. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
6. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person. Berechtigte Interessen sind weit zu verstehen, es kann grundsätzlich jedes von der Rechtsordnung gebilligte Interesse sein. Das Rechtmäßigkeitserfordernis dient dabei als grober Filter. Die ErwGr enthalten einige Beispiele, in denen berechtigte Interessen vorliegen (können): Anzeige strafrechtlich relevanter Sachverhalte inklusive Bedrohungen der öffentlichen Sicherheit, außer die Verarbeitung ist mit einer rechtlichen, beruflichen oder sonstigen verbindlichen Pflicht zur Geheimhaltung unvereinbar (ErwGr 50 S. 9). Auch Art. 9 Abs. 2 enthält in einigen Tatbeständen berechtigte Interessen, die als Zulässigkeitstatbestand für die Verarbeitung sensibler Daten infrage kommen. Im Sinne eines Größenschlusses folgt daraus, dass diese Interessen die Verarbeitung „normaler“ Daten erst recht rechtfertigen können. Anzuführen ist hier insb. Art. 9 Abs. 2 lit. f leg. cit. (die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich) (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO Rz 51, 54 [Stand 07.05.2020, rdb.at]).Berechtigte Interessen sind weit zu verstehen, es kann grundsätzlich jedes von der Rechtsordnung gebilligte Interesse sein. Das Rechtmäßigkeitserfordernis dient dabei als grober Filter. Die ErwGr enthalten einige Beispiele, in denen berechtigte Interessen vorliegen (können): Anzeige strafrechtlich relevanter Sachverhalte inklusive Bedrohungen der öffentlichen Sicherheit, außer die Verarbeitung ist mit einer rechtlichen, beruflichen oder sonstigen verbindlichen Pflicht zur Geheimhaltung unvereinbar (ErwGr 50 S. 9). Auch Artikel 9, Absatz 2, enthält in einigen Tatbeständen berechtigte Interessen, die als Zulässigkeitstatbestand für die Verarbeitung sensibler Daten infrage kommen. Im Sinne eines Größenschlusses folgt daraus, dass diese Interessen die Verarbeitung „normaler“ Daten erst recht rechtfertigen können. Anzuführen ist hier insb. Artikel 9, Absatz 2, Litera f, leg. cit. (die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich) (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO Rz 51, 54 [Stand 07.05.2020, rdb.at]). Unbestritten ist, dass es sich bei der Videoüberwachungsanlage um die Verarbeitung von personenbezogenen Daten handelt und der Anwendungsbereich der DSGVO eröffnet ist, da die Identifizierbarkeit durch den Verantwortlichen aufgrund von Dienstplänen und Arbeitsplatz gegeben ist. Nach gefestigter Rechtsprechung sind die § 12 und 13 DSG, mangels Öffnungsklausel nicht anwendbar und eine Datenverarbeitung anhand Art. 6 Abs. 1 lit. f DSGVO zu beurteilen (vgl. Erkenntnis des BVwG vom
7. November 2019, GZ. W211 2210458-1). Es handelt sich bei den gegenständlichen Videoaufnahmen und auch grundsätzlich bei Videoüberwachungen nicht um „sensible“ Daten im Sinne des Art. 9 Abs. 1 DSGVO (ErwGr 51). Eine Zulässigkeitsprüfung ist daher anhand von Art. 6 Abs. 1 lit. f DSGVO vorzunehmen.Unbestritten ist, dass es sich bei der Videoüberwachungsanlage um die Verarbeitung von personenbezogenen Daten handelt und der Anwendungsbereich der DSGVO eröffnet ist, da die Identifizierbarkeit durch den Verantwortlichen aufgrund von Dienstplänen und Arbeitsplatz gegeben ist. Nach gefestigter Rechtsprechung sind die Paragraph 12 und 13 DSG, mangels Öffnungsklausel nicht anwendbar und eine Datenverarbeitung anhand Artikel 6, Absatz eins, Litera f, DSGVO zu beurteilen vergleiche Erkenntnis des BVwG vom
8. November 2019, GZ. W211 2210458-1). Es handelt sich bei den gegenständlichen Videoaufnahmen und auch grundsätzlich bei Videoüberwachungen nicht um „sensible“ Daten im Sinne des Artikel 9, Absatz eins, DSGVO (ErwGr 51). Eine Zulässigkeitsprüfung ist daher anhand von Artikel 6, Absatz eins, Litera f, DSGVO vorzunehmen. Hier wäre nun zu fragen, ob das Videoüberwachungssystem die Menschwürde der Arbeitnehmer berührt. Wie den rechtlichen Ausführungen entnommen werden kann, ist dies nicht der Fall, da sich die Arbeitnehmer nicht überwiegend im Blickfeld der Kamera aufhalten, keine sensiblen Bereiche überwacht werden und die Einsichtnahme in die Aufzeichnungen nur im Anlassfall erfolgt. Im vorliegenden Fall war eine Zustimmung nach § 10 AVRAG daher nicht erforderlich (vgl. BVwG 18.01.2024, GZ. W137 2263970-1/17E). Hier wäre nun zu fragen, ob das Videoüberwachungssystem die Menschwürde der Arbeitnehmer berührt. Wie den rechtlichen Ausführungen entnommen werden kann, ist dies nicht der Fall, da sich die Arbeitnehmer nicht überwiegend im Blickfeld der Kamera aufhalten, keine sensiblen Bereiche überwacht werden und die Einsichtnahme in die Aufzeichnungen nur im Anlassfall erfolgt. Im vorliegenden Fall war eine Zustimmung nach Paragraph 10, AVRAG daher nicht erforderlich vergleiche BVwG 18.01.2024, GZ. W137 2263970-1/17E). Als erste Voraussetzung verlangt Art. 6 Abs. 1 lit. f DSGVO ein berechtigtes Interesse des Verantwortlichen an der Datenverarbeitung. Dieses zeigt sich im gegenständlichen Fall, wie von der Beschwerdeführerin vorgebracht, in der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, Sicherheit des eigenen Personals / der Gäste / des Eigentums und der Anzeige von sonstigen strafrechtlich relevanten Sachverhalten. So dient die Kamera „Zulieferungs-/Entsorgungsweg“ insbesondere dem Schutz der Lebensmittel in den Kühlzellen sowie der Dokumentation von Schäden im Rahmen von Anlieferungen und die Kamera „Vorbereitungsküche“ der Identifizierung der Fluchtrichtung möglicher Täter. In beiden Fällen soll möglichst das Gesicht von Tatverdächtigen erkannt werden. In allen Fällen besteht ein grundsätzlich berechtigtes Interesse des Verantwortlichen.Als erste Voraussetzung verlangt Artikel 6, Absatz eins, Litera f, DSGVO ein berechtigtes Interesse des Verantwortlichen an der Datenverarbeitung. Dieses zeigt sich im gegenständlichen Fall, wie von der Beschwerdeführerin vorgebracht, in der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, Sicherheit des eigenen Personals / der Gäste / des Eigentums und der Anzeige von sonstigen strafrechtlich relevanten Sachverhalten. So dient die Kamera „Zulieferungs-/Entsorgungsweg“ insbesondere dem Schutz der Lebensmittel in den Kühlzellen sowie der Dokumentation von Schäden im Rahmen von Anlieferungen und die Kamera „Vorbereitungsküche“ der Identifizierung der Fluchtrichtung möglicher Täter. In beiden Fällen soll möglichst das Gesicht von Tatverdächtigen erkannt werden. In allen Fällen besteht ein grundsätzlich berechtigtes Interesse des Verantwortlichen. In einem zweiten Schritt ist die Erforderlichkeit der Datenverarbeitung zu überprüfen. Dies bedeutet, dass die Verarbeitung auf das absolut Notwendigste beschränkt sein muss (EuGH 04.05.2017, C‑13/16 (Rīgas satiksme) und nach Möglichkeit ein weniger eingriffsintensives Mittel zu verwenden ist (VwGH 12.09.2016, Ro 2015/04/0011). Dabei sind die Verarbeitungsgrundsätze des Art. 5 DSGVO, insbesondere der Grundsatz der Datenminimierung einzuhalten.In einem zweiten Schritt ist die Erforderlichkeit der Datenverarbeitung zu überprüfen. Dies bedeutet, dass die Verarbeitung auf das absolut Notwendigste beschränkt sein muss (EuGH 04.05.2017, C‑13/16 (Rīgas satiksme) und nach Möglichkeit ein weniger eingriffsintensives Mittel zu verwenden ist (VwGH 12.09.2016, Ro 2015/04/0011). Dabei sind die Verarbeitungsgrundsätze des Artikel 5, DSGVO, insbesondere der Grundsatz der Datenminimierung einzuhalten. Soweit die Kamera „Vorbereitungsküche“ dazu dient, den Fluchtweg von Tatverdächtigen nachzuverfolgen und die Chance auf verwertbare Bilder zu erhöhen, ist dem zu entgegnen, dass die Beschwerdeführerin in ihrem Lokal 29 Kameras betreibt, davon ein Großteil im Untergeschoß. So ist bereits ein Großteil der Ein- und Ausgänge videoüberwacht und erfasst die in Frage stehende Kamera nur zu einem äußerst geringen Teil Türen bzw. den anschließenden Weg. Zum Erreichen des angegebenen berechtigten Interesses ist diese nicht erforderlich. So wäre es ausreichend einzig und allein die Zutrittspunkt durch Bildaufnahmen zu kontrollieren (z.B. von außen, auf der anderen Seite der Türe, ohne Sicht in die Küche). Gerade beim Verlassen eines Raumes könnte auf diese Art und Weise effizienter eine Aufnahme des Gesichts allfälliger Täter angefertigt werden. Ein Betrieb dieser Kamera ist daher nicht erforderlich. Die Kamera „Zulieferungsweg-/Entsorgungsweg“ dient zusammengefasst der Geltendmachung und Verteidigung von Rechtsansprüchen, insbesondere gegenüber Schäden im Rahmen von Anlieferungen/ Entsorgungen, dem Schutz der Kühlzellen, dem Schutz teurer Geräte und der Verhütung von Straftaten. Dabei übersieht die Beschwerdeführerin, dass jede Kühlzelle bereits mit einer eigenen Kamera ausgestattet ist, eine zweite Kamera den fraglichen Gang zusätzlich überwacht und zum Schutz der Geräte gelindere Maßnahmen ausreichen würden. So kann z.B. die Installierung eines, am Boden verschraubten, Schutzblechs die Geräte vor Kollisionen mit schweren Lieferwägen schützen. Auch gab die Beschwerdeführerin an, dass Zulieferer ohnehin über keinen freien Zugang zu den Kühlzellen verfügen. Ein Arbeitnehmer der Beschwerdeführerin müsse diese begleiten und die entsprechenden Räumlichkeiten aufschließen. Zur Kontrolle der Zutrittspunkte und Erkennen der Gesichter von allfälligen Tatverdächtigen ist auf die oben gemachten Ausführungen zu verweisen. Es ist zur Erreichung der Interessen der Beschwerdeführerin nicht erforderlich, diese Kamera zu betreiben. Auch die Installation von Schwarzblenden mag nichts daran ändern, dass die Kameras 10 und 23 zur Zweckerreichung nicht erforderlich waren. Dies ergibt sich aus den Ergebnissen des Administrativverfahrens und den Abweichungen zur DVR-Meldung von
9. Insofern ist die Verletzung im Recht auf Geheimhaltung durch die Kameras 10 und 23 festzustellen. 3.3.
10. Zum Verstoß gegen die Informationspflicht: Art. 12 eröffnet das Kapitel III zu den Rechten der betroffenen Person und fungiert quasi als Einleitung für die Grundsätze der Handhabe der Betroffenenrechte. Allen voranstehend erfüllt Art. 12 eines der grundlegenden Prinzipien der DSGVO – das Transparenzgebot. Transparenz ist als Teil des Grundsatzes in Art. 5 Abs. 1 lit. a (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz) normiert und bestimmt nicht nur die weitere Handhabe von Betroffenenrechten, sondern steht als Verpflichtung über der gesamten DSGVO, insb. in welcher Form mit betroffenen Personen kommuniziert und wie eine faire Verarbeitung ihrer personenbezogenen Daten und die Durchsetzung ihrer Rechte gewährleistet werden soll. Heckmann/​Paschke verweisen hierzu noch darauf, dass Transparenz „vor allem im europäischen Kontext als Synonym für Öffentlichkeit bzw. öffentliche Zugänglichkeit“ verwendet wird (vgl. Illibauer in Knyrim, DatKomm Art. 12 DSGVO [Stand 01.07.2024, rdb.at]).Artikel 12, eröffnet das Kapitel römisch drei zu den Rechten der betroffenen Person und fungiert quasi als Einleitung für die Grundsätze der Handhabe der Betroffenenrechte. Allen voranstehend erfüllt Artikel 12, eines der grundlegenden Prinzipien der DSGVO – das Transparenzgebot. Transparenz ist als Teil des Grundsatzes in Artikel 5, Absatz eins, Litera a, (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz) normiert und bestimmt nicht nur die weitere Handhabe von Betroffenenrechten, sondern steht als Verpflichtung über der gesamten DSGVO, insb. in welcher Form mit betroffenen Personen kommuniziert und wie eine faire Verarbeitung ihrer personenbezogenen Daten und die Durchsetzung ihrer Rechte gewährleistet werden soll. Heckmann/​Paschke verweisen hierzu noch darauf, dass Transparenz „vor allem im europäischen Kontext als Synonym für Öffentlichkeit bzw. öffentliche Zugänglichkeit“ verwendet wird vergleiche Illibauer in Knyrim, DatKomm Artikel 12, DSGVO [Stand 01.07.2024, rdb.at]). Art. 12 Abs. 1 stellt allgemeine Anforderungen an die Art und Weise der Erteilung von Informationen und Mitteilungen auf. Diese müssen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erteilt werden. Die Regelung bezieht sich ausdrücklich auf die proaktive Informationspflicht

Art. 13und 14, die weiteren Betroffenenrechte nach den Art.

15 bis 22 und die Benachrichtigung von einer Datenschutzverletzung (data breach) an die betroffene Person nach Art. 34 (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 12 DSGVO [Stand 01.12.2020, rdb.at]).Artikel 12, Absatz eins, stellt allgemeine Anforderungen an die Art und Weise der Erteilung von Informationen und Mitteilungen auf. Diese müssen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erteilt werden. Die Regelung bezieht sich ausdrücklich auf die proaktive Informationspflicht

Artikel 13

und 14, die weiteren Betroffenenrechte nach den Artikel 15 bis 22 und die Benachrichtigung von einer Datenschutzverletzung (data breach) an die betroffene Person nach Artikel 34, vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 12, DSGVO [Stand 01.12.2020, rdb.at]). Diesen Bestimmungen sowie den Erwägungsgründen 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf. übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht liegt insbesondere in ihrer Funktion als notwendige Voraussetzung für die Ausübung der Betroffenenrechte: Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt, und/oder nicht bekannt, wer diese durchführt, kann er seine diesbezüglichen Rechte nach Art. 15 - 21 nicht geltend machen (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO, RZ 18f).Diesen Bestimmungen sowie den Erwägungsgründen 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf. übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht liegt insbesondere in ihrer Funktion als notwendige Voraussetzung für die Ausübung der Betroffenenrechte: Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt, und/oder nicht bekannt, wer diese durchführt, kann er seine diesbezüglichen Rechte nach Artikel 15, - 21 nicht geltend machen vergleiche Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO, RZ 18f). Auf Grund der Informationsmenge, die einem Betroffenen zukommen soll, kann von einem Verantwortlichen ein "geschichteter Zugang" und eine Kombination aus Mitteln gewählt werden, um dem Transparenzgebot zu entsprechen. Im Rahmen einer Videoüberwachung sollte die wichtigste Information in einem Warnhinweis dargestellt werden, während die notwendigen weiteren Informationen mit anderen Mitteln zur Verfügung gestellt werden können (als zweite Schicht) (vgl. EDSA Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte,

2. 2020, S. 28ff). Auf Grund der Informationsmenge, die einem Betroffenen zukommen soll, kann von einem Verantwortlichen ein "geschichteter Zugang" und eine Kombination aus Mitteln gewählt werden, um dem Transparenzgebot zu entsprechen. Im Rahmen einer Videoüberwachung sollte die wichtigste Information in einem Warnhinweis dargestellt werden, während die notwendigen weiteren Informationen mit anderen Mitteln zur Verfügung gestellt werden können (als zweite Schicht) vergleiche EDSA Leitlinien 3 aus 2019, zur Verarbeitung personenbezogener Daten durch Videogeräte,
4. 2020, S. 28ff). Im gegenständlichen Fall hat die Beschwerdeführerin im Zeitraum vom 11.03.2019 bis 19.10.2022 für die betroffenen Kunden im Gastraum mit dem Piktogramm sowie der Information: „Gebäude ist videoüberwacht“ eine 2019 zwar weitgehend übliche, im Zusammenhang mit privatwirtschaftlichen Geschäftsräumlichkeiten zwischenzeitlich aber nicht mehr ausreichende Kennzeichnung der Videoüberwachung vorgenommen und somit gegen ihre Informationspflichten iSd Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 DSGVO verstoßen. Festzuhalten ist umgekehrt, dass die Videoüberwachung nunmehr in vorbildhafter Weise gekennzeichnet ist. Im gegenständlichen Fall hat die Beschwerdeführerin im Zeitraum vom 11.03.2019 bis 19.10.2022 für die betroffenen Kunden im Gastraum mit dem Piktogramm sowie der Information: „Gebäude ist videoüberwacht“ eine 2019 zwar weitgehend übliche, im Zusammenhang mit privatwirtschaftlichen Geschäftsräumlichkeiten zwischenzeitlich aber nicht mehr ausreichende Kennzeichnung der Videoüberwachung vorgenommen und somit gegen ihre Informationspflichten iSd Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 12 und 13 DSGVO verstoßen. Festzuhalten ist umgekehrt, dass die Videoüberwachung nunmehr in vorbildhafter Weise gekennzeichnet ist. 3.
5. Zum Grad des Verschuldens (subjektiver Tatbestand): Nach Art. 83 DSGVO kann eine Geldbuße nur dann verhängt werden, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis Abs. 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat. Ein Verantwortlicher kann für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt. Handelt es sich bei dem Verantwortlichen um eine juristische Person, setzt die Anwendung des Art. 83 DSGVO keine Handlung und nicht einmal Kenntnis seitens des Leistungsorgans dieser juristischen Personen voraus (vgl. EuGH 05.12.2023, C-807/21, Deutsches Wohnen SE gegen Staatsanwaltschaft Berlin, Rz 76 bis 78).Nach Artikel 83, DSGVO kann eine Geldbuße nur dann verhängt werden, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Artikel 83, Absatz 4 bis Absatz 6, DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat. Ein Verantwortlicher kann für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt. Handelt es sich bei dem Verantwortlichen um eine juristische Person, setzt die Anwendung des Artikel 83, DSGVO keine Handlung und nicht einmal Kenntnis seitens des Leistungsorgans dieser juristischen Personen voraus vergleiche EuGH 05.12.2023, C-807/21, Deutsches Wohnen SE gegen Staatsanwaltschaft Berlin, Rz 76 bis 78). Gegenständlich ist darauf hinzuweisen, dass nach der neuen Rechtsprechung die Anwendung von Art. 83 DSGVO keine Handlung und nicht einmal eine Kenntnis seitens eines Leitungsorgans einer juristischen Person voraussetzt. Vielmehr ist objektiv zu beurteilen, ob der juristischen Person ein Verschulden an der erfolgten Datenschutzverletzung vorzuwerfen ist.Gegenständlich ist darauf hinzuweisen, dass nach der neuen Rechtsprechung die Anwendung von Artikel 83, DSGVO keine Handlung und nicht einmal eine Kenntnis seitens eines Leitungsorgans einer juristischen Person voraussetzt. Vielmehr ist objektiv zu beurteilen, ob der juristischen Person ein Verschulden an der erfolgten Datenschutzverletzung vorzuwerfen ist. Unstrittig ist, dass die Datenverarbeitung sowie die nicht ausreichende Kennzeichnung der Videoüberwachung für die Kunden der Beschwerdeführerin zuzurechnen ist. So stellte sich heraus, dass vor allem die Videokameras im Auftrag der Geschäftsführung der Beschwerdeführerin installiert und in Betrieb genommen wurden. Wie die belangte Behörde in Anlehnung an das Urteil des EuGH vom 05.12.2023 ausgeführt hat, ist es für die Verhängung einer Geldbuße gegen eine juristische Person jedoch nicht erforderlich, dass eine identifizierte natürliche Person, die im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person handelte, angeführt und das Handeln dieser Person der juristischen Person zugerechnet wird. Es ist daher im vorliegenden Fall auch nicht entscheidungserheblich, ob und welcher Geschäftsführer oder allenfalls Prokurist der Beschwerdeführerin oder eine sonstige Person innerhalb der Organisation die gegenständlichen Verstöße zu verantworten hat. Die Beschwerdeführerin hat als Verantwortliche

Art. 4

Z 7 DSGVO beschlossen, dass für die festgestellten Zwecke die Videoüberwachungskameras betrieben werden soll, ohne sich dabei vorab über die einschlägigen Verwaltungsvorschriften zu erkundigen, dass darin ein Verschulden im Sinne einer leichten Fahrlässigkeit feststellbar ist. Dies betrifft insbesondere den Zeitraum vom 11.03.2019 bis zumindest 14.12.2022. Dasselbe gilt für den Verstoß gegen die Informationspflichten

Art. 13DSGVO für den Zeitraum vom 11.03.2019 bis 19.10.2022.

Unstrittig ist, dass die Datenverarbeitung sowie die nicht ausreichende Kennzeichnung der Videoüberwachung für die Kunden der Beschwerdeführerin zuzurechnen ist. So stellte sich heraus, dass vor allem die Videokameras im Auftrag der Geschäftsführung der Beschwerdeführerin installiert und in Betrieb genommen wurden. Wie die belangte Behörde in Anlehnung an das Urteil des EuGH vom 05.12.2023 ausgeführt hat, ist es für die Verhängung einer Geldbuße gegen eine juristische Person jedoch nicht erforderlich, dass eine identifizierte natürliche Person, die im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person handelte, angeführt und das Handeln dieser Person der juristischen Person zugerechnet wird. Es ist daher im vorliegenden Fall auch nicht entscheidungserheblich, ob und welcher Geschäftsführer oder allenfalls Prokurist der Beschwerdeführerin oder eine sonstige Person innerhalb der Organisation die gegenständlichen Verstöße zu verantworten hat. Die Beschwerdeführerin hat als Verantwortliche

Artikel 4

, Ziffer 7, DSGVO beschlossen, dass für die festgestellten Zwecke die Videoüberwachungskameras betrieben werden soll, ohne sich dabei vorab über die einschlägigen Verwaltungsvorschriften zu erkundigen, dass darin ein Verschulden im Sinne einer leichten Fahrlässigkeit feststellbar ist. Dies betrifft insbesondere den Zeitraum vom 11.03.2019 bis zumindest 14.12.2022. Dasselbe gilt für den Verstoß gegen die Informationspflichten

Artikel 13, DSGVO für den Zeitraum vom 11.03.2019 bis 19.10.2022.

Das Bundesverwaltungsgericht schließt sich der Datenschutzbehörde insoweit an, als im gegenständlichen Fall sich die Beschwerdeführerin besser über die geltenden Vorschriften betreffend die Rechtmäßigkeit der Verarbeitung hätte informieren müssen, weil sie einer Erkundigungspflicht unterliegt. Insbesondere ist der Datenschutzbehörde beizupflichten, dass es sich bei Registrierung einer Datenanwendung nach dem DSG 2000 (das nicht mehr in Geltung ist) auch nicht um eine behördliche Genehmigung handelt oder die Beschwerdeführerin nicht von der Pflicht befreit, fortlaufend zu überprüfen, ob sie datenschutzrechtliche Pflichten einhält, oder, ob die vorgenommene Datenverarbeitung (noch) im gegeben Umfang dem Zweck entsprechend ist und im Einklang mit den Grundsätzen nach Art. 5 Abs. 1 DSGVO steht (vgl. hierzu das Erkenntnis des BVwG vom 15.07.2024, GZ. W298 2284627-1/11E). Der Ansicht der Beschwerdeführerin, dass sie aufgrund der Meldung der Videoüberwachungsanlage an die Datenschutzbehörde und der Registrierung im DVR nicht davon ausgehen habe können, dass die Verarbeitung durch die genannte Anlage unrechtmäßig sei, kann nicht beigetreten werden. Insbesondere ist nochmals festzuhalten, dass der Aufnahmebereich im hier relevanten Zeitraum gegenüber dem 2016 eingereichten Bereich (und sei es nur fahrlässig) deutlich – und eben auch Arbeitsbereiche betreffend – erweitert worden ist.Das Bundesverwaltungsgericht schließt sich der Datenschutzbehörde insoweit an, als im gegenständlichen Fall sich die Beschwerdeführerin besser über die geltenden Vorschriften betreffend die Rechtmäßigkeit der Verarbeitung hätte informieren müssen, weil sie einer Erkundigungspflicht unterliegt. Insbesondere ist der Datenschutzbehörde beizupflichten, dass es sich bei Registrierung einer Datenanwendung nach dem DSG 2000 (das nicht mehr in Geltung ist) auch nicht um eine behördliche Genehmigung handelt oder die Beschwerdeführerin nicht von der Pflicht befreit, fortlaufend zu überprüfen, ob sie datenschutzrechtliche Pflichten einhält, oder, ob die vorgenommene Datenverarbeitung (noch) im gegeben Umfang dem Zweck entsprechend ist und im Einklang mit den Grundsätzen nach Artikel 5, Absatz eins, DSGVO steht vergleiche hierzu das Erkenntnis des BVwG vom 15.07.2024, GZ. W298 2284627-1/11E). Der Ansicht der Beschwerdeführerin, dass sie aufgrund der Meldung der Videoüberwachungsanlage an die Datenschutzbehörde und der Registrierung im DVR nicht davon ausgehen habe können, dass die Verarbeitung durch die genannte Anlage unrechtmäßig sei, kann nicht beigetreten werden. Insbesondere ist nochmals festzuhalten, dass der Aufnahmebereich im hier relevanten Zeitraum gegenüber dem 2016 eingereichten Bereich (und sei es nur fahrlässig) deutlich – und eben auch Arbeitsbereiche betreffend – erweitert worden ist. Die Beschwerdeführerin konnte sich im vorliegenden Fall im Lichte der Rechtsprechung des EuGH über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN), weswegen jedenfalls Verschulden in Form von Fahrlässigkeit gegeben ist. Die Beschwerdeführerin konnte sich im vorliegenden Fall im Lichte der Rechtsprechung des EuGH über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN), weswegen jedenfalls Verschulden in Form von Fahrlässigkeit gegeben ist. Der Behörde ist daher im Ergebnis nicht zu widersprechen, wenn sie das Vorliegen des subjektiven Tatbestands bejaht. 3.

1. Zur Strafbemessung: Der EuGH führte zur Bemessung der zu verhängenden Strafe gegen eine juristische Person, wegen eines unter Art. 83 DSGVO subsumierbaren Verstoßes in den Randziffern 56 bis 59 Folgendes aus: Der EuGH führte zur Bemessung der zu verhängenden Strafe gegen eine juristische Person, wegen eines unter Artikel 83, DSGVO subsumierbaren Verstoßes in den Randziffern 56 bis 59 Folgendes aus: „56 Dieser Unternehmensbegriff umfasst für die Zwecke der Anwendung der in den Art. 101 und 102 AEUV niedergelegten Wettbewerbsregeln jede eine wirtschaftliche Tätigkeit ausübende Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung. Er bezeichnet somit eine wirtschaftliche Einheit, auch wenn diese aus rechtlicher Sicht aus mehreren natürlichen oder juristischen Personen besteht. Diese wirtschaftliche Einheit besteht in einer einheitlichen Organisation persönlicher, materieller und immaterieller Mittel, die dauerhaft einen bestimmten wirtschaftlichen Zweck verfolgt (Urteil vom
2. Oktober 2021, Sumal, C‑882/19, EU:C:2021:800, Rn. 41 und die dort angeführte Rechtsprechung).„56 Dieser Unternehmensbegriff umfasst für die Zwecke der Anwendung der in den Artikel 101 und 102 AEUV niedergelegten Wettbewerbsregeln jede eine wirtschaftliche Tätigkeit ausübende Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung. Er bezeichnet somit eine wirtschaftliche Einheit, auch wenn diese aus rechtlicher Sicht aus mehreren natürlichen oder juristischen Personen besteht. Diese wirtschaftliche Einheit besteht in einer einheitlichen Organisation persönlicher, materieller und immaterieller Mittel, die dauerhaft einen bestimmten wirtschaftlichen Zweck verfolgt (Urteil vom
3. Oktober 2021, Sumal, C‑882/19, EU:C:2021:800, Rn. 41 und die dort angeführte Rechtsprechung). 57 So ergibt sich aus Art. 83 Abs. 4 bis 6 DSGVO, der die Berechnung der Geldbußen für die in diesen Absätzen aufgeführten Verstöße betrifft, dass, wenn der Adressat der Geldbuße ein Unternehmen im Sinne der Art. 101 und 102 AEUV ist oder einem solchen angehört, der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des betreffenden Unternehmens berechnet wird.57 So ergibt sich aus Artikel 83, Absatz 4 bis 6 DSGVO, der die Berechnung der Geldbußen für die in diesen Absätzen aufgeführten Verstöße betrifft, dass, wenn der Adressat der Geldbuße ein Unternehmen im Sinne der Artikel 101 und 102 AEUV ist oder einem solchen angehört, der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des betreffenden Unternehmens berechnet wird. 58 Letztlich kann, wie der Generalanwalt in Nr. 47 seiner Schlussanträge ausgeführt hat, nur eine Geldbuße, deren Höhe anhand der tatsächlichen oder materiellen Leistungsfähigkeit des Adressaten von der Aufsichtsbehörde unter Zugrundelegung des Begriffs der wirtschaftlichen Einheit im Sinne der in Rn. 56 des vorliegenden Urteils angeführten Rechtsprechung festgesetzt wird, die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein.58 Letztlich kann, wie der Generalanwalt in Nr. 47 seiner Schlussanträge ausgeführt hat, nur eine Geldbuße, deren Höhe anhand der tatsächlichen oder materiellen Leistungsfähigkeit des Adressaten von der Aufsichtsbehörde unter Zugrundelegung des Begriffs der wirtschaftlichen Einheit im Sinne der in Rn. 56 des vorliegenden Urteils angeführten Rechtsprechung festgesetzt wird, die drei in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein. 59 Daher ist eine Aufsichtsbehörde, wenn sie aufgrund ihrer Befugnisse nach Art. 58 Abs. 2 DSGVO beschließt, gegen einen Verantwortlichen, der ein Unternehmen im Sinne der Art. 101 und 102 AEUV ist oder einem solchen angehört, eine Geldbuße

Art. 83DSGVO zu verhängen, nach Art.

83 im Licht des 150. Erwägungsgrundes der DSGVO verpflichtet, bei der Berechnung der Geldbußen für die in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße den Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV zugrunde zu legen.“59 Daher ist eine Aufsichtsbehörde, wenn sie aufgrund ihrer Befugnisse nach Artikel 58, Absatz 2, DSGVO beschließt, gegen einen Verantwortlichen, der ein Unternehmen im Sinne der Artikel 101 und 102 AEUV ist oder einem solchen angehört, eine Geldbuße

Artikel 83, DSGVO zu verhängen, nach Artikel 83, im Licht des 150.

Erwägungsgrundes der DSGVO verpflichtet, bei der Berechnung der Geldbußen für die in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstöße den Begriff „Unternehmen“ im Sinne der Artikel 101 und 102 AEUV zugrunde zu legen.“

Art. 83Abs.

5 DSGVO reicht der Strafrahmen für Verstöße gegen die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung,

den Artikeln 5, 6, 7 und 9 (lit. a) und gegen die Rechte der betroffenen Person

den Artikeln 12 bis 22 (lit. b) bis zu einem Betrag von EUR 20.000.000 oder im Fall eines Unternehmens bis zu 4 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher der Beträge höher ist.

Artikel 83

, Absatz 5, DSGVO reicht der Strafrahmen für Verstöße gegen die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung,

den Artikeln 5, 6, 7 und 9 (Litera a,) und gegen die Rechte der betroffenen Person

den Artikeln 12 bis 22 (Litera b,) bis zu einem Betrag von EUR 20.000.000 oder im Fall eines Unternehmens bis zu 4 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher der Beträge höher ist. Mangels Bekanntgabe der Beschwerdeführerin zu Einkommens- und Vermögensverhältnissen wurde der Umsatz durch die belangte Behörde anhand des öffentlich einsehbaren jährlichen Jahresabschlusses zum 31.12.2023 geschätzt und die Beschwerdeführerin in die Kategorie „Unternehmen mit einem Umsatz von 10 Mio. EUR bis 50 Mio. EUR“ eingestuft. Das Bundesverwaltungsgericht tritt der Ansicht der belangten Behörde insbesondere mangels anderer Informationen durch die Beschwerdeführerin, die dieser Annahme im Beschwerdeverfahren nicht entgegengetreten ist, bei. Da nicht davon auszugehen war, dass die Beschwerdeführerin als Unternehmen iSd Art. 101 und 102 AEUV im vergangenen Geschäftsjahr einen Umsatz von über 500 Mio. EUR erzielt hat, gelangt anstatt des dynamischen Strafrahmens (4 % des Jahresumsatzes) der statische Strafrahmen des Art. 83 Abs. 5 DSGVO bis zu einem Betrag iHv EUR 10.000.000 zur Anwendung. Da nicht davon auszugehen war, dass die Beschwerdeführerin als Unternehmen iSd Artikel 101 und 102 AEUV im vergangenen Geschäftsjahr einen Umsatz von über 500 Mio. EUR erzielt hat, gelangt anstatt des dynamischen Strafrahmens (4 % des Jahresumsatzes) der statische Strafrahmen des Artikel 83, Absatz 5, DSGVO bis zu einem Betrag iHv EUR 10.000.000 zur Anwendung. Art. 83 Abs. 2 DSGVO sieht im Rahmen der Strafbemessung die folgende (im gegenständlichen Fall heranzuziehende) Kriterien vor: Artikel 83, Absatz 2, DSGVO sieht im Rahmen der Strafbemessung die folgende (im gegenständlichen Fall heranzuziehende) Kriterien vor: a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens; b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes; c) jegliche von dem Verantwortlichen getroffene Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens; d) Grad der Verantwortung des Verantwortlichen unter Berücksichtigung der von ihm

den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

1. e)etwaige einschlägige frühere Verstöße des Verantwortlichen;
2. f)Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
3. g)Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
4. h)Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche den Verstoß mitgeteilt hat; (…)
5. k)jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste. Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106). Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im Paragraph 19, VStG festgelegten Kriterien vorzunehmen ist vergleiche VwGH 05.09.2013, 2013/09/0106). Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (§ 19 Abs. 1 VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (§ 19 Abs. 2 VStG).Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (Paragraph 19, Absatz eins, VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die Paragraphen 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (Paragraph 19, Absatz 2, VStG). Die Bemessung der Strafe erfolgt auf Basis der Leitlinien 04/2022 für die Berechnung von Geldbußen im Sinne der DSGVO des Europäischen Datenschutzausschusses, Version 2.1; angenommen am 24. Mai 2023 (auch „Guidelines“ des EDPB) und unter Zugrundelegung des Schweregrads „leicht“. Auf dieser Basis war im Rahmen einer Abwägung die Höhe der Geldstrafe deutlich im unteren Bereich des Strafrahmens anzusetzen. Nach diesen ist bei Umsätzen über EUR 500 Millionen eine dynamische Spanne heranzuziehen, die bezüglich Art. 83 Abs. 5 bei 0% bis 0,4% liegen sollte. Das Beschwerdeverfahren lieferte keine Anhaltspunkte von dieser Berechnungsmethode abzugehen und wurden die herangezogenen Leitlinien den Parteien in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht zur Kenntnis gebracht. Die Bemessung der Strafe erfolgt auf Basis der Leitlinien 04 aus 2022, für die Berechnung von Geldbußen im Sinne der DSGVO des Europäischen Datenschutzausschusses, Version 2.1; angenommen am 24. Mai 2023 (auch „Guidelines“ des EDPB) und unter Zugrundelegung des Schweregrads „leicht“. Auf dieser Basis war im Rahmen einer Abwägung die Höhe der Geldstrafe deutlich im unteren Bereich des Strafrahmens anzusetzen. Nach diesen ist bei Umsätzen über EUR 500 Millionen eine dynamische Spanne heranzuziehen, die bezüglich Artikel 83, Absatz 5, bei 0% bis 0,4% liegen sollte. Das Beschwerdeverfahren lieferte keine Anhaltspunkte von dieser Berechnungsmethode abzugehen und wurden die herangezogenen Leitlinien den Parteien in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht zur Kenntnis gebracht.

Art. 83Abs.

2 lit a DSGVO ist wohl einerseits die Höhe des eingetretenen Schadens als auch die Zahl der vom Verstoß betroffenen Personen und die Auswirkungen bzw. das Risiko für ihre Rechte und Freiheiten zu werten. Auch die zeitliche Komponente spielt eine Rolle. Nach der Artikel-29-Datenschutzgruppe spielt auch eine Rolle, ob überhaupt ein Schaden entstanden ist (vgl. Illibauer in Knyrim, DatKomm Art. 83 DSGVO Rz 68-69 [Stand 1.12.2021, rdb.at]).

Artikel 83

, Absatz 2, Litera a, DSGVO ist wohl einerseits die Höhe des eingetretenen Schadens als auch die Zahl der vom Verstoß betroffenen Personen und die Auswirkungen bzw. das Risiko für ihre Rechte und Freiheiten zu werten. Auch die zeitliche Komponente spielt eine Rolle. Nach der Artikel-29-Datenschutzgruppe spielt auch eine Rolle, ob überhaupt ein Schaden entstanden ist vergleiche Illibauer in Knyrim, DatKomm Artikel 83, DSGVO Rz 68-69 [Stand 1.12.2021, rdb.at]). Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO, darf der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigen. In den Leitlinien der Artikel-29-Datenschutzgruppe wird explizit auch nochmals darauf verwiesen, dass bei Auftreten mehrerer verschiedener Verstöße, die zusammen begangen wurden, die Aufsichtsbehörde jenen Bußgeldtatbestand anwenden kann, der im Rahmen der schwersten Zuwiderhandlung wirksam, verhältnismäßig und abschreckend ist (vgl. Illibauer in Knyrim, DatKomm Art. 83 DSGVO Rz 87-88 [Stand 1.12.2021, rdb.at]).Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO, darf der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigen. In den Leitlinien der Artikel-29-Datenschutzgruppe wird explizit auch nochmals darauf verwiesen, dass bei Auftreten mehrerer verschiedener Verstöße, die zusammen begangen wurden, die Aufsichtsbehörde jenen Bußgeldtatbestand anwenden kann, der im Rahmen der schwersten Zuwiderhandlung wirksam, verhältnismäßig und abschreckend ist vergleiche Illibauer in Knyrim, DatKomm Artikel 83, DSGVO Rz 87-88 [Stand 1.12.2021, rdb.at]). Bei der Beurteilung von „gleichen oder miteinander verbundenen Verarbeitungsvorgängen“ ist entsprechend der Fines-Leitlinien zu berücksichtigen, dass alle Verpflichtungen, die für die rechtmäßige Durchführung der Verarbeitungsvorgänge erforderlich sind, berücksichtigt werden können. Der Wortlaut (vor allem in der englischen Sprachfassung) deutet darauf hin, dass der Anwendungsbereich des Art. 83 Abs. 3 DSGVO jeden Verstoß einschließt, der sich auf dieselben („same“) oder miteinander verbundene Verarbeitungsvorgänge bezieht und sich auf diese auswirken kann (vgl. Fines-Leitlinien,

1. Kapitel - Rz 27 f). Das Bundesverwaltungsgericht wies in diesem Zusammenhang darauf hin, dass nach dem allgemeinen Sprachgebrauch daher auch jene Fälle unter diese Bestimmung zu subsumieren sind, in denen durch „ein und dieselbe Tat (Verarbeitung)“ mehrere Straftatbestände erfüllt wurden und verwies dabei ebenfalls auf die englische Sprachfassung (vgl. BVwG 12.03.2020, GZ. W256 2223922-1).Bei der Beurteilung von „gleichen oder miteinander verbundenen Verarbeitungsvorgängen“ ist entsprechend der Fines-Leitlinien zu berücksichtigen, dass alle Verpflichtungen, die für die rechtmäßige Durchführung der Verarbeitungsvorgänge erforderlich sind, berücksichtigt werden können. Der Wortlaut (vor allem in der englischen Sprachfassung) deutet darauf hin, dass der Anwendungsbereich des Artikel 83, Absatz 3, DSGVO jeden Verstoß einschließt, der sich auf dieselben („same“) oder miteinander verbundene Verarbeitungsvorgänge bezieht und sich auf diese auswirken kann vergleiche Fines-Leitlinien,
2. Kapitel - Rz 27 f). Das Bundesverwaltungsgericht wies in diesem Zusammenhang darauf hin, dass nach dem allgemeinen Sprachgebrauch daher auch jene Fälle unter diese Bestimmung zu subsumieren sind, in denen durch „ein und dieselbe Tat (Verarbeitung)“ mehrere Straftatbestände erfüllt wurden und verwies dabei ebenfalls auf die englische Sprachfassung vergleiche BVwG 12.03.2020, GZ. W256 2223922-1). Im Lichte dieser Ausführungen gelangt im konkreten Fall für die festgestellten Verstöße das Absorptionsprinzip nach Art. 83 Abs. 3 DSGVO zur Anwendung. Auch wenn zwei unterschiedliche Videokameras von der Beschuldigten im Tatzeitraum unrechtmäßig betrieben wurden und die gesamte Videoüberwachungsanlage nur unzureichend gekennzeichnet war bzw. die erforderlichen Informationen den Betroffenen nicht mitgeteilt wurden, handelt es sich im Ergebnis um miteinander verbundene Verarbeitungsvorgänge. Der Strafrahmen ergibt sich aus dem schwerwiegendsten Verstoß.Im Lichte dieser Ausführungen gelangt im konkreten Fall für die festgestellten Verstöße das Absorptionsprinzip nach Artikel 83, Absatz 3, DSGVO zur Anwendung. Auch wenn zwei unterschiedliche Videokameras von der Beschuldigten im Tatzeitraum unrechtmäßig betrieben wurden und die gesamte Videoüberwachungsanlage nur unzureichend gekennzeichnet war bzw. die erforderlichen Informationen den Betroffenen nicht mitgeteilt wurden, handelt es sich im Ergebnis um miteinander verbundene Verarbeitungsvorgänge. Der Strafrahmen ergibt sich aus dem schwerwiegendsten Verstoß. Als mildernd ist zu werten, dass die Beschwerdeführerin bislang keine einschlägigen Verstöße begangen hat und die Tatsache, dass sie im Rahmen des gegenständlichen Ermittlungsverfahrens mitgewirkt und dadurch zumindest einen Beitrag zur Wahrheitsfindung geleistet hat. Der Beschwerdeführerin kann (wie oben bereits erörtert) als Verantwortliche der verfahrensgegenständlichen Datenverarbeitungen nur eine „leichte Fahrlässigkeit“ hinsichtlich der Verletzung der des Grundsatzes der Datenminimierung

Art. 5Abs.

1 lit. c DSGVO sowie gegen ihre Informationspflicht

Art. 13DSGVO nachgewiesen werden.

Grob fahrlässige Verstöße der Verantwortlichen sind ebenso wenig ersichtlich wie ein Verhalten der Beschwerdeführerin beziehungsweise von der Verantwortlichen gesetzte Maßnahmen im relevanten Zeitrahmen, die als „äußerst sorglos“ anzusehen wären. Die Beschwerdeführerin konnte glaubhaft darlegen, dass sie insbesondere aufgrund der Meldung der Videoüberwachungsanlage an die Datenschutzbehörde fälschlicherweise davon ausgegangen ist, dass die Kameras 10 und 23 rechtmäßig installiert wurden und es erfolgten auch (während des Administrativverfahrens zur GZ. D124.2941, 2022-0.360.359) korrigierende, wenngleich nicht ausreichende, Maßnahmen.Der Beschwerdeführerin kann (wie oben bereits erörtert) als Verantwortliche der verfahrensgegenständlichen Datenverarbeitungen nur eine „leichte Fahrlässigkeit“ hinsichtlich der Verletzung der des Grundsatzes der Datenminimierung

Artikel 5

, Absatz eins, Litera c, DSGVO sowie gegen ihre Informationspflicht

Artikel 13, DSGVO nachgewiesen werden.

Grob fahrlässige Verstöße der Verantwortlichen sind ebenso wenig ersichtlich wie ein Verhalten der Beschwerdeführerin beziehungsweise von der Verantwortlichen gesetzte Maßnahmen im relevanten Z