RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum02.02.2021 Geschäftszahl2021-0.024.862 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2021-0.024.862 vo

Art 13DSGVO aufgenommen.

Die Datenschutzerklärung ist jederzeit auf der Website der Verantwortlichen abrufbar und kann am Firmensitz angefordert werden.In die Datenschutzerklärung der Verantwortlichen wird eine detaillierte Beschreibung

Artikel 13, DSGVO aufgenommen.

Die Datenschutzerklärung ist jederzeit auf der Website der Verantwortlichen abrufbar und kann am Firmensitz angefordert werden. […]

1. ABSCHNITT: IDENTIFIZIERUNG UND BEWERTUNG DER RISIKEN FÜR DIE RECHTE UND FREIHEITEN DER BETROFFENEN PERSONEN […] […]
2. ABSCHNITT: IDENTIFIZIERUNG VON ABHILFEMASSNAHMEN 5.1 Kontrolle 1: Technische und organisatorische Maßnahmen […] Geeignete Kennzeichnung der Anwendung Die Aufnahmetätigkeit wird gut sichtbar im Bereich der gesicherten Brücken durch entsprechende Hinweisschilder gekennzeichnet. Wo die örtlichen Gegebenheiten dies zulassen, dh wenn entsprechender Grund der Verantwortlichen (nicht Fremdgrund) vorhanden ist, wird die Kennzeichnung für den herannahenden Verkehr gut sichtbar im Vorfeld der Brücke angebracht. Abhängig von den örtlichen Gegebenheiten kann dabei nicht in jedem Fall sichergestellt werden, dass die Informationserteilung durch diese Kennzeichnungen derart erfolgt, dass die potentiell betroffenen Personen der Anwendung noch durch das Wählen einer anderen Route ausweichen können. Aber sie können in der Regel noch vor der Brücke anhalten. Dies ist aber kein zwingendes gesetzliches Erfordernis (vgl etwa DSB-D550.084/0002-DSB/2018, wonach die Möglichkeit des Ausweichens "tunlichst" bestehen soll). So werden etwa auch Dashcams als nicht per se unzulässig qualifiziert, obwohl bei diesen die Möglichkeiten der Informationserteilung sogar noch stärker bzw. zumindest in vergleichbarer Weise eingeschränkt sind (vgl VwGH Ro 2015/04/0011 oder Newsletter 1/2020 der DSB). Dies ist aber kein zwingendes gesetzliches Erfordernis vergleiche etwa DSB-D550.084/0002-DSB/2018, wonach die Möglichkeit des Ausweichens "tunlichst" bestehen soll). So werden etwa auch Dashcams als nicht per se unzulässig qualifiziert, obwohl bei diesen die Möglichkeiten der Informationserteilung sogar noch stärker bzw. zumindest in vergleichbarer Weise eingeschränkt sind vergleiche VwGH Ro 2015/04/0011 oder Newsletter 1 aus 2020, der DSB). Zusätzlich wird in die Datenschutzerklärung der Verantwortlichen eine detaillierte Beschreibung

Art 13DSGVO aufgenommen.

Die Datenschutzerklärung ist jederzeit auf der Webseite der Verantwortlichen abrufbar. Zusätzlich wird in die Datenschutzerklärung der Verantwortlichen eine detaillierte Beschreibung

Artikel 13, DSGVO aufgenommen.

Die Datenschutzerklärung ist jederzeit auf der Webseite der Verantwortlichen abrufbar. Diese Kontrolle verringert das beschriebene Risiko, kann es jedoch nicht gänzlich beseitigen. Es verbleibt ein Restrisiko. […]

1. ABSCHNITT: DOKUMENTATION DER LÖSUNG UND DES RESTRISIKOS […] “ Die im Anhang 4 befindliche Skizze (SKIZZE 2) stellt sich wie folgt dar (Formatierung nicht 1:1 übernommen): [Anmerkung Bearbeiter: die an dieser Stelle als grafische Datei (Screenshot) wiedergegebene Abbildung kann mit vertretbarem Aufwand nicht pseudonymisiert werden.] Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem verfahrenseinleitenden Antrag, dessen Beilage und ergänzender Stellungnahme. C. In rechtlicher Hinsicht folgt daraus: C.
2. Allgemeines Gemäß Art. 36 Abs. 1 DSGVO konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung gemäß Art. 35 leg. cit. hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft. Gemäß Artikel 36, Absatz eins, DSGVO konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung gemäß Artikel 35, leg. cit. hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft. Eine abschließende Definition des „hohen Risikos“ lässt sich der DSGVO nicht entnehmen. Allerdings ergibt sich aus ErwGr 89, dass zu Verarbeitungsvorgängen, die „hohe Risiken“ mit sich bringen, insbesondere solche gehören, bei denen neue Technologien eingesetzt werden oder die neuartig sind und bei denen der Verantwortliche noch keine Datenschutz-Folgenabschätzung durchgeführt hat (König in Gantschacher†/Jelinek/Schmidl/Spanberger, Kommentar zur DSGVO [2017], Art. 36 Anm. 1).Eine abschließende Definition des „hohen Risikos“ lässt sich der DSGVO nicht entnehmen. Allerdings ergibt sich aus ErwGr 89, dass zu Verarbeitungsvorgängen, die „hohe Risiken“ mit sich bringen, insbesondere solche gehören, bei denen neue Technologien eingesetzt werden oder die neuartig sind und bei denen der Verantwortliche noch keine Datenschutz-Folgenabschätzung durchgeführt hat (König in Gantschacher†/Jelinek/Schmidl/Spanberger, Kommentar zur DSGVO [2017], Artikel 36, Anmerkung eins, ). Als Risikoquellen kommen sowohl interne als auch externe, potentielle wie tatsächliche Risiken infrage. Bei der Identifizierung aller potentiellen Risiken ist nicht weniger als eine Art „Streifzug durch die Anforderungen des Datenschutzrechts“ erforderlich (Trieb in Knyrim, DatKomm Art 35 DSGVO, Rz 113). Im Zuge der vom Verantwortlichen durchgeführten Risikoanalyse sind daher neben rein „technischen“ Risiken, all jene Risiken der Datenverarbeitung aufzugreifen, welche möglicherweise negative Auswirkungen auf eine betroffene Person haben können und sie sohin in ihrem durch die DSGVO vorgesehenen Schutzbereich beeinträchtigen. Hierzu zählt folglich auch die Rechtmäßigkeit der Verarbeitung im Sinne des Art. 6 DSGVO sowie die Einhaltung aller Grundsätze nach Art. 5 DSGVO. Als Risikoquellen kommen sowohl interne als auch externe, potentielle wie tatsächliche Risiken infrage. Bei der Identifizierung aller potentiellen Risiken ist nicht weniger als eine Art „Streifzug durch die Anforderungen des Datenschutzrechts“ erforderlich (Trieb in Knyrim, DatKomm Artikel 35, DSGVO, Rz 113). Im Zuge der vom Verantwortlichen durchgeführten Risikoanalyse sind daher neben rein „technischen“ Risiken, all jene Risiken der Datenverarbeitung aufzugreifen, welche möglicherweise negative Auswirkungen auf eine betroffene Person haben können und sie sohin in ihrem durch die DSGVO vorgesehenen Schutzbereich beeinträchtigen. Hierzu zählt folglich auch die Rechtmäßigkeit der Verarbeitung im Sinne des Artikel 6, DSGVO sowie die Einhaltung aller Grundsätze nach Artikel 5, DSGVO. Zur Eindämmung des Risikos nennt die DSGVO beispielhaft drei verschiedene Arten von Abhilfemaßnahmen, nämlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass die DSGVO eingehalten wird. Maßgeblich sind somit technische, organisatorische wie juristische, insbesondere vertragliche Maßnahmen, die Abhilfe schaffen sollen (Trieb in Knyrim, DatKomm Art 35 DSGVO, Rz 116).Zur Eindämmung des Risikos nennt die DSGVO beispielhaft drei verschiedene Arten von Abhilfemaßnahmen, nämlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass die DSGVO eingehalten wird. Maßgeblich sind somit technische, organisatorische wie juristische, insbesondere vertragliche Maßnahmen, die Abhilfe schaffen sollen (Trieb in Knyrim, DatKomm Artikel 35, DSGVO, Rz 116). C.
3. In der Sache
4. Die Verantwortliche führt aus, dass ein hohes Risiko in Bezug auf die Erteilung der zuverlässigen Information an die betroffenen Personen über die Datenverarbeitung dahingehend gegeben ist, dass die betroffenen Personen von der Datenverarbeitung in Form einer Videoüberwachung in ihrem privaten oder beruflichen Lebensbereich erfasst werden, ohne über die Tatsache der Verarbeitung und/oder die Identität des Verantwortlichen informiert zu sein. Konkret definiert die Verantwortliche das Risiko im Rahmen ihrer Datenschutz-Folgenabschätzung als „Risik[o] für die Effektivität der Erfüllung der Informationspflichten durch Kennzeichnung“. Es handelt sich hierbei – in Hinblick auf die zuvor festgehaltenen Überlegungen – um ein „Risiko“ iSd Art. 35 DSGVO.
5. Die Verantwortliche führt aus, dass ein hohes Risiko in Bezug auf die Erteilung der zuverlässigen Information an die betroffenen Personen über die Datenverarbeitung dahingehend gegeben ist, dass die betroffenen Personen von der Datenverarbeitung in Form einer Videoüberwachung in ihrem privaten oder beruflichen Lebensbereich erfasst werden, ohne über die Tatsache der Verarbeitung und/oder die Identität des Verantwortlichen informiert zu sein. Konkret definiert die Verantwortliche das Risiko im Rahmen ihrer Datenschutz-Folgenabschätzung als „Risik[o] für die Effektivität der Erfüllung der Informationspflichten durch Kennzeichnung“. Es handelt sich hierbei – in Hinblick auf die zuvor festgehaltenen Überlegungen – um ein „Risiko“ iSd Artikel 35, DSGVO. Da lediglich jene Verarbeitungen – die auch nach Vorsehen der im Zuge der Datenschutz-Folgenabschätzung definierten Abhilfemaßnahmen weiterhin hohe Risiken für natürliche Personen bergen – dem Konsultationsmechanismus unterzogen werden sollen (Trieb in Knyrim, Art 35, Rz 28 ff; Trieb in Knyrim, Art. 36 Rz 1), ist in einem nächsten Schritt zu prüfen, ob die Verantwortliche geeignete Maßnahmen zur Eindämmung des identifizierten Risikos getroffen hat. Da lediglich jene Verarbeitungen – die auch nach Vorsehen der im Zuge der Datenschutz-Folgenabschätzung definierten Abhilfemaßnahmen weiterhin hohe Risiken für natürliche Personen bergen – dem Konsultationsmechanismus unterzogen werden sollen (Trieb in Knyrim, Artikel 35,, Rz 28 ff; Trieb in Knyrim, Artikel 36, Rz 1), ist in einem nächsten Schritt zu prüfen, ob die Verantwortliche geeignete Maßnahmen zur Eindämmung des identifizierten Risikos getroffen hat.
6. Wie festgestellt, sieht die Verantwortliche eine „Kennzeichnung der Anwendung“ vor. Der überwachte Bereich soll hierbei gut sichtbar in der Nähe der gesicherten Brücken durch entsprechende Hinweisschilder (SKIZZE 2) gekennzeichnet werden. Das Hinweisschild enthält neben einem Piktogramm, welches eine Videokamera darstellt, einen QR-Code, welcher auf die – ebenso auf dem Hinweisschild angeführte – Webseite, auf welcher die Datenschutzerklärung der Verantwortlichen abzurufen ist, verweist. Wenn entsprechender Grund der Verantwortlichen vorhanden ist, soll die Kennzeichnung für den herannahenden Verkehr gut sichtbar im Vorfeld der Brücke angebracht werden. Bei Bildverarbeitungen sehen die Leitlinien 3/2019 des Europäischen Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte hinsichtlich der zu erteilenden Information ein Zwei-Stufen Modell vor. Bei Bildverarbeitungen sehen die Leitlinien 3 aus 2019, des Europäischen Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte hinsichtlich der zu erteilenden Information ein Zwei-Stufen Modell vor. Demnach soll die Information erster Ebene durch ein aussagekräftiges Hinweisschild erfolgen. Diese Informationen sollten so angebracht sein, dass die betroffene Person die Umstände der Überwachung leicht erkennen kann, bevor sie den überwachten Bereich betritt (etwa in Augenhöhe). Die Position der Kamera selbst muss nicht offengelegt werden, solange kein Zweifel daran besteht, welche Bereiche erfasst werden und die Umstände der Überwachung eindeutig beschrieben werden. Die betroffene Person muss in der Lage sein, einzuschätzen, welcher Bereich von einer Kamera erfasst wird, damit sie der Überwachung ausweichen oder ihr Verhalten erforderlichenfalls anpassen kann (vgl. dazu Rz 113).Demnach soll die Information erster Ebene durch ein aussagekräftiges Hinweisschild erfolgen. Diese Informationen sollten so angebracht sein, dass die betroffene Person die Umstände der Überwachung leicht erkennen kann, bevor sie den überwachten Bereich betritt (etwa in Augenhöhe). Die Position der Kamera selbst muss nicht offengelegt werden, solange kein Zweifel daran besteht, welche Bereiche erfasst werden und die Umstände der Überwachung eindeutig beschrieben werden. Die betroffene Person muss in der Lage sein, einzuschätzen, welcher Bereich von einer Kamera erfasst wird, damit sie der Überwachung ausweichen oder ihr Verhalten erforderlichenfalls anpassen kann vergleiche dazu Rz 113). Die Informationen der ersten Ebene (Hinweisschild) sollten in der Regel die wichtigsten Informationen enthalten, z. B. Angaben zu den Zwecken der Verarbeitung, zur Identität des Verantwortlichen und zum Bestehen der Rechte der betroffenen Person sowie weitere Informationen mit hoher Bedeutung. Dazu können beispielsweise die berechtigten Interessen des Verantwortlichen (oder eines Dritten) und (gegebenenfalls) die Kontaktdaten des Datenschutzbeauftragten gehören. Sie müssen ferner auf die detailliertere zweite Informationsebene verweisen sowie darauf hinweisen, wo und wie sie zu finden ist (ebd. Rz 114). Informationen der zweiten Ebene müssen ebenfalls an einem für die betroffene Person leicht zugänglichen Ort zur Verfügung gestellt werden, z. B. als vollständiges Informationsblatt an einer zentralen Stelle (z. B. Informationsschalter, Empfang oder Kasse) oder auf einem leicht zugänglichen Plakat. Wie bereits erwähnt, muss der Warnhinweis der ersten Ebene eindeutig auf die Informationen der zweiten Ebene verweisen. Darüber hinaus ist es am besten, wenn die Informationen der ersten Ebene auf eine digitale Quelle (z. B. QR-Code oder Internetadresse) der zweiten Ebene verweisen. Die Informationen müssen jedoch auch auf nicht digitalem Wege leicht verfügbar sein. Es sollte möglich sein, auf die Informationen der zweiten Ebene zuzugreifen, ohne sich in den überwachten Bereich zu begeben, insbesondere wenn die Informationen digital bereitgestellt werden (beispielsweise über einen Link). Ein anderes geeignetes Mittel könnte eine Telefonnummer sein, die angerufen werden kann. Die Informationen müssen jedoch alle Angaben enthalten, die nach Art. 13 DSGVO obligatorisch sind (ebd. Rz 117).Informationen der zweiten Ebene müssen ebenfalls an einem für die betroffene Person leicht zugänglichen Ort zur Verfügung gestellt werden, z. B. als vollständiges Informationsblatt an einer zentralen Stelle (z. B. Informationsschalter, Empfang oder Kasse) oder auf einem leicht zugänglichen Plakat. Wie bereits erwähnt, muss der Warnhinweis der ersten Ebene eindeutig auf die Informationen der zweiten Ebene verweisen. Darüber hinaus ist es am besten, wenn die Informationen der ersten Ebene auf eine digitale Quelle (z. B. QR-Code oder Internetadresse) der zweiten Ebene verweisen. Die Informationen müssen jedoch auch auf nicht digitalem Wege leicht verfügbar sein. Es sollte möglich sein, auf die Informationen der zweiten Ebene zuzugreifen, ohne sich in den überwachten Bereich zu begeben, insbesondere wenn die Informationen digital bereitgestellt werden (beispielsweise über einen Link). Ein anderes geeignetes Mittel könnte eine Telefonnummer sein, die angerufen werden kann. Die Informationen müssen jedoch alle Angaben enthalten, die nach Artikel 13, DSGVO obligatorisch sind (ebd. Rz 117).
7. Die von der Verantwortlichen vorgesehene Kennzeichnung ist sowohl von der geplanten örtlichen Positionierung als auch vom Inhalt her eine geeignete Maßnahme, um das identifizierte Risiko zu minimieren. Sie entspricht dem Modell, welches in den oben genannten Leitlinien empfohlen wird. Dem Argument der Verantwortlichen, dass es nicht in jedem Fall – aufgrund örtlicher Gegebenheiten – möglich ist, die gewählte Maßnahme in gleicher Weise umzusetzen und das identifizierte Risiko in gleicher Weise zu minimieren und daher ein hohes Restrisiko verbleibe, ist zu entgegnen, dass nicht ausschließlich die - in der durch die Verantwortliche im Zuge der Datenschutz-Folgenabschätzung speziell dem identifizierten Risiko zugeordnete - Maßnahme, das konkrete Risiko auch hinreichend zu minimieren hat. Vielmehr hat die Bestimmung eines womöglich verbleibenden hohen Restrisikos unter Berücksichtigung aller für die gewünschte Verarbeitung vorgesehenen Eindämmungsmaßnahmen zu erfolgen. Bei der Beurteilung des verbleibenden Restrisikos sind daher alle geplanten Maßnahmen zur Gewährleistung einer DSGVO-konformen Verarbeitung miteinzubeziehen. Begründen lässt sich dies durch einen Verweis auf den Wortlaut des Art. 35 DSGVO, welcher sich in Bezug auf das Risiko „auf die Rechte und Freiheiten der betroffenen Person“ bezieht.Begründen lässt sich dies durch einen Verweis auf den Wortlaut des Artikel 35, DSGVO, welcher sich in Bezug auf das Risiko „auf die Rechte und Freiheiten der betroffenen Person“ bezieht. Dementsprechend hat auch für die Beurteilung des verbleibenden Risikos eine Gesamtschau aller getroffenen Maßnahmen und Vorkehrungen – im Sinne einer allumfassenden Interessensabwägung im Sinne des Art. 5 iVm Art. 6 DSGVO – zu erfolgen. Dementsprechend hat auch für die Beurteilung des verbleibenden Risikos eine Gesamtschau aller getroffenen Maßnahmen und Vorkehrungen – im Sinne einer allumfassenden Interessensabwägung im Sinne des Artikel 5, in Verbindung mit Artikel 6, DSGVO – zu erfolgen.
8. Aufgrund der von der Verantwortlichen in der Datenschutz-Folgenabschätzung vorgenommenen Beurteilung ist die Zulässigkeit der gegenständlichen Datenverarbeitung zu bejahen und hat die Datenschutzbehörde der Interessensabwägung der Verantwortlichen nichts entgegenzusetzen. Das von der Verantwortlichen aufgeworfene „hohe Restrisiko“ wird jedenfalls durch die geplanten Aufnahme-, Auswertungs- und Löschmodalitäten derart stark reduziert, dass im Ergebnis kein hohes Restrisiko für Betroffene erkannt werden kann. Entgegen der Ansicht der Verantwortlichen hat sie daher insgesamt unter Zusammenschau der dargelegten Maßnahmen nach Art. 35 Abs. 7 lit. d DSGVO das bestehende Risiko hinreichend eingedämmt. Entgegen der Ansicht der Verantwortlichen hat sie daher insgesamt unter Zusammenschau der dargelegten Maßnahmen nach Artikel 35, Absatz 7, Litera d, DSGVO das bestehende Risiko hinreichend eingedämmt. Die Voraussetzungen für eine vorherige Konsultation gemäß Art. 36 DSGVO sind daher mangels hohem Risiko nicht gegeben und es war sohin spruchgemäß zu entscheiden.Die Voraussetzungen für eine vorherige Konsultation gemäß Artikel 36, DSGVO sind daher mangels hohem Risiko nicht gegeben und es war sohin spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2021:2021.0.024.862