{'item': '2021-0.717.031'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum19.10.2021 Geschäftszahl2021-0.717.031 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2021-0.717.031 vom

1. Oktober 2021 (Verfahrenszahl: DSB-D124.3120) [Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] BESCHEID SPRUCH Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Anita A*** (Beschwerdeführerin) aus **** O***wald, vertreten durch Mag. Dieter D***, Rechtsanwalt und Verteidiger in Strafsachen in **** G***stadt, vom
2. Oktober 2020 (in der Fassung des Mangelbehebungsschriftsatzes vom
3. Oktober 2020) gegen Neidhart N*** (Beschwerdegegner) aus **** H****bad, vertreten durch Mag.a Johanna F***, Rechtsanwältin in **** R***tal, wegen Verletzung im Recht auf Geheimhaltung wie folgt:
4. Die Beschwerde wird abgewiesen.
5. Der Antrag der Beschwerdeführerin, eine Strafe gegen den Beschwerdegegner zu verhängen, wird zurückgewiesen. Rechtsgrundlagen: Art. 4 Z. 1, Z. 7 und Z. 18, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S.1; § 18 Abs. 1 sowie § 24 Abs. 1, Abs. 2 Z. 2, Abs. 4 und 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF, und § 25 Abs. 1 des Verwaltungsstrafgesetzes 1991 (VStG), BGBl. Nr. 52/1991 idgF.Rechtsgrundlagen: Artikel 4, Ziffer eins,, Ziffer 7, und Ziffer 18,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S.1; Paragraph 18, Absatz eins, sowie Paragraph 24, Absatz eins,, Absatz 2, Ziffer 2,, Absatz 4, und 5 des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF, und Paragraph 25, Absatz eins, des Verwaltungsstrafgesetzes 1991 (VStG), Bundesgesetzblatt Nr. 52 aus 1991, idgF. BEGRÜNDUNG A. Vorbringen der Parteien und Verfahrensgang
6. In ihrer vom
7. Oktober 2020 datierenden, am
8. Oktober 2020 erstmals bei der Datenschutzbehörde eingelangten und am
9. Oktober 2020 ergänzten Beschwerde hat die anwaltlich vertretene Beschwerdeführerin wie folgt vorgebracht: Der Beschwerdegegner sei der Geschäftsführer der ehemaligen Dienstgeberin der Beschwerdeführerin, der U***Ges.m.b.H., und habe sie betreffende personenbezogene Daten, nämlich Bildaufnahmen der Beschwerdeführerin an ihrem früheren Arbeitsplatz als Kellnerin, dem Gasthof „T***stuben“ in **** H****bad, in einem gegen die Beschwerdeführerin wegen Veruntreuung (§ 133 Abs. 1 StGB) geführten Strafverfahren vor dem Bezirksgericht G***stadt, Aktenzeichen *3 U *54/20j, durch Rechtsanwältin der U***Ges.m.b.H. als Privatbeteiligten als Beweismittel auf einem USB-Stick vorlegen lassen. Das Strafverfahren gegen die Beschwerdeführerin habe der Beschwerdegegner nach deren Entlassung durch eine Strafanzeige selbst in Gang gesetzt. Die den Bildern zugrundeliegende Datenverarbeitung (Videoaufnahmen) sei unrechtmäßig, entgegen § 12 Abs. 4 Z 4 DSG, ohne ihre Einwilligung, unter Eingriff in ihr Geheimhaltungsrecht und entgegen den Bestimmungen der DSGVO erfolgt. Die Bildaufnahmen wären daher eigentlich zu löschen gewesen und hätten nicht als Beweismittel vorgelegt werden dürfen. Die Beschwerdeführerin hat beantragt, die Verletzung ihrer Rechte auf Geheimhaltung und Löschung festzustellen, dem Beschwerdegegner die Löschung der entsprechenden Daten aufzutragen sowie eine Strafe gegen den Beschwerdegegner zu verhängen.In ihrer vom
10. Oktober 2020 datierenden, am
11. Oktober 2020 erstmals bei der Datenschutzbehörde eingelangten und am
12. Oktober 2020 ergänzten Beschwerde hat die anwaltlich vertretene Beschwerdeführerin wie folgt vorgebracht: Der Beschwerdegegner sei der Geschäftsführer der ehemaligen Dienstgeberin der Beschwerdeführerin, der U***Ges.m.b.H., und habe sie betreffende personenbezogene Daten, nämlich Bildaufnahmen der Beschwerdeführerin an ihrem früheren Arbeitsplatz als Kellnerin, dem Gasthof „T***stuben“ in **** H****bad, in einem gegen die Beschwerdeführerin wegen Veruntreuung (Paragraph 133, Absatz eins, StGB) geführten Strafverfahren vor dem Bezirksgericht G***stadt, Aktenzeichen *3 U *54/20j, durch Rechtsanwältin der U***Ges.m.b.H. als Privatbeteiligten als Beweismittel auf einem USB-Stick vorlegen lassen. Das Strafverfahren gegen die Beschwerdeführerin habe der Beschwerdegegner nach deren Entlassung durch eine Strafanzeige selbst in Gang gesetzt. Die den Bildern zugrundeliegende Datenverarbeitung (Videoaufnahmen) sei unrechtmäßig, entgegen Paragraph 12, Absatz 4, Ziffer 4, DSG, ohne ihre Einwilligung, unter Eingriff in ihr Geheimhaltungsrecht und entgegen den Bestimmungen der DSGVO erfolgt. Die Bildaufnahmen wären daher eigentlich zu löschen gewesen und hätten nicht als Beweismittel vorgelegt werden dürfen. Die Beschwerdeführerin hat beantragt, die Verletzung ihrer Rechte auf Geheimhaltung und Löschung festzustellen, dem Beschwerdegegner die Löschung der entsprechenden Daten aufzutragen sowie eine Strafe gegen den Beschwerdegegner zu verhängen.
13. Das Beschwerdeverfahren wegen der behaupteten Verletzung des Löschungsrechts der Beschwerdeführerin wurde getrennt zur Verfahrenszahl DSB-D124.3234 geführt und mit Mitteilung der Datenschutzbehörde vom
14. April 2021, GZ: 2020-0.803.476, gemäß § 24 Abs. 6 DSG formlos eingestellt.Das Beschwerdeverfahren wegen der behaupteten Verletzung des Löschungsrechts der Beschwerdeführerin wurde getrennt zur Verfahrenszahl DSB-D124.3234 geführt und mit Mitteilung der Datenschutzbehörde vom
15. April 2021, GZ: 2020-0.803.476, gemäß Paragraph 24, Absatz 6, DSG formlos eingestellt.
16. Der Beschwerdegegner, von der Datenschutzbehörde mit Verfahrensanordnungen vom
17. November 2020, GZ: 2020-0.704.485, und vom
18. Juni 2021, GZ: 2021-0.362.508, zur Stellungnahme aufgefordert, hat diesem Vorbringen, anwaltlich vertreten, in seiner Stellungnahme vom
19. Juni 2021 Folgendes entgegengehalten: Es sei richtig, dass im Zeitraum vom
20. November 2019 mittags bis zum
21. November 2019 abends im Schankraum des Gasthauses „T***stuben“ eine Kamera installiert gewesen sei, und Bildaufnahmen der Beschwerdeführerin angefertigt worden seien. Grund dafür sei der begründet bestehende Verdacht gewesen, die Beschwerdeführerin würde kassierte Geldbeträge teils nicht abrechnen, sondern selbst einbehalten. Die Beschwerdeführerin sei, dem Verarbeitungszweck entsprechend, weder informiert, noch sei der überwachte Bereich gekennzeichnet worden. Man habe die Beschwerdeführerin durch diese Vorgehensweise auch mehrerer Veruntreuungen überführen können, ihre Entlassung ausgesprochen und den Sachverhalt bei der Polizei zur Anzeige gebracht. Danach sei die Bildverarbeitung beendet und die Kamera entfernt worden. Der Umfang der Bildverarbeitung (Aufnahmebereich) sei aus den von der Beschwerdeführerin vorgelegten Beweismitteln ersichtlich. Die gespeicherten relevanten Bilddaten seien am
22. Juni 2020 dem Bezirksgericht G***stadt, vor dem sich die Beschwerdeführerin wegen Veruntreuung zu verantworten hatte, als Beweismittel auf einem USB-Stick vorgelegt worden. Erst angesichts dieses Beweismittels habe die Beschwerdeführerin ein Diversionsangebot von Gericht und Anklagebehörde angenommen, um einer Vorstrafe zu entgehen. Die Verarbeitung dieser Daten sei jedenfalls aus überwiegenden berechtigten Interessen des Beschwerdegegners und der U***Ges.m.b.H. zulässig gewesen. Der Beschwerdegegner legte auch eine Reihe von Dokumenten, insbesondere aus dem gegen die Beschwerdeführerin geführten Strafverfahren und den Akten der kriminalpolizeilichen Ermittlungen, darunter auch Bilddaten der Videoüberwachung, als Beweismittel vor (tw. bereits von der Beschwerdeführerin vorgelegt).
23. Die Beschwerdeführerin hat dem, nach Parteiengehör durch Verfahrensanordnung der Datenschutzbehörde vom
24. Juni 2021, GZ: 2021-0.427.090, in ihrer Stellungnahme vom
25. Juli 2021 Folgendes entgegengehalten: Die Videoüberwachung sei jedenfalls in ihrem Umfang überschießend gewesen, wobei hier auch über einem längeren Zeitraum als ab dem
26. November 2019 Aufnahmen angefertigt wurden, wie sich aus dem Protokoll der Hauptverhandlung vor dem Bezirksgericht G***stadt ergebe. Auf diesen Videoaufnahmen seien nicht nur die Beschwerdeführerin, sondern auch andere Mitarbeiter, Kunden etc., zu sehen. Auch wurde der Ton mit aufgenommen. Auch sei davon auszugehen, dass hier nicht nur die einzelnen sekundenlangen Ausschnitte aufgenommen wurden, sondern eine dauernde Videoüberwachung vorlag, und die auf dem USB-Stick geschnittenen Videos nur einen Teil davon darstellten. Festgehalten werde auch, dass auf Teilen der Videos der Lebensgefährte der Beschwerdeführerin zu sehen sei, und dass auch die zwischen den Lebensgefährten stattgefundenen Gespräche hier offensichtlich aufgenommen worden seien. Die Beschwerde werde daher aufrechterhalten.
27. Die Datenschutzbehörde hat beiden Parteien nach amtswegigen Recherchen im Firmenbuch und im GISA mit Verfahrensanordnung vom
28. Juli 2021, GZ: 2021-0.511.888, nochmals Parteiengehör eingeräumt (dem Beschwerdegegner auch zum Vorbringen der Beschwerdeführerin in der Stellungnahme vom
29. Juli 2021).
30. Der Beschwerdegegner hat dazu in seiner Stellungnahme vom
31. August 2021 vorgebracht, er verweise auf sein bisheriges Vorbringen und bringe darüber hinaus vor, das Recht zur Geltendmachung eines Eingriffs in das Recht auf Geheimhaltung sei, gerechnet ab der Beweismittelvorlage vom
32. Juni 2020, durch welche die Beschwerdeführerin von der Verarbeitung von Bilddaten Kenntnis erlangt habe, bereits erloschen gewesen. Er bekräftige weiters sein Vorbringen hinsichtlich der Dauer der Bildverarbeitung, das Vorbringen der Privatbeteiligtenvertreterin in der Hauptverhandlung vor dem Bezirksgericht G***stadt am
33. Juni 2020, wonach „in den letzten Tagen vor dem 03.11.2019“ Bilddaten verarbeitet worden seien, sei unpräzise; es seien nur am
34. und
35. November 2019 Daten verarbeitet worden.
36. Die Beschwerdeführerin hat keine weitere Stellungnahme abgegeben. B. Beschwerdegegenstand
37. Aus dem Vorbringen der Parteien ergibt sich, dass Verfahrensgegenstand die Frage ist, ob der Beschwerdegegner als Verantwortlicher durch eine im Herbst, jedenfalls aber am
38. und
39. November 2019, im Gasthaus „T***stuben“ in H****bad vorgenommene Bildverarbeitung die Beschwerdeführerin in ihrem Recht auf Geheimhaltung personenbezogener Daten verletzt hat. C. Sachverhaltsfeststellungen
40. Die U***Ges.m.b.H., eingetragen im Firmenbuch zu FN 5*32*1r durch das Landesgericht B***, betreibt als Gewerbeinhaberin (GISA-Zahl 8*3*2*20) seit
41. Juni 2009 ein Gastgewerbe in der Betriebsart "Gasthaus" mit der Bezeichnung „Gasthaus T***stuben“ in **** H****bad, I***weg *
42. Der Beschwerdegegner ist seit
43. Mai 2009 selbständig vertretungsbefugter unternehmensrechtlicher (Allein-) Geschäftsführer der U***Ges.m.b.H. und seit 20.12.2011 auch gewerberechtlicher Geschäftsführer für den Gasthausbetrieb.
44. Beweiswürdigung: Diese Feststellungen stützen sich auf das offene Firmenbuch und das Gewerbeinformationssystem Austria (GISA) des Bundesministeriums für Digitalisierung und Wirtschaftsstandort (Firmenbuch- und GISA-Auszug vom 21.7.2021, einliegend in GZ: 2021-0.511.888) sowie (hinsichtlich der Betriebsbezeichnung) auf das übereinstimmende Vorbringen beider Parteien.
45. Die Beschwerdeführerin war vom
46. Juli 2018 bis
47. November 2019 im Gasthausbetrieb der U***Ges.m.b.H. als Kellnerin beschäftigt, zuletzt in Vollzeit. Im Herbst 2019 wurde die Beschwerdeführerin nach Unstimmigkeiten zwischen Lagerbeständen und Abrechnungen der Veruntreuung (fehlerhaften Abrechnung zu eigenen Gunsten) von eingenommenen Geldbeträgen verdächtigt. Die U***Ges.m.b.H. traf durch den Beschwerdegegner die Entscheidung, eine verdeckte Bildverarbeitung (Videoüberwachung) einzurichten, um den Verdacht zu überprüfen. Dies erfolgte dadurch, dass im Zeitraum vom
48. November 2019 mittags bis zum
49. November 2019 abends im Schankraum des Gasthauses „T***stuben“ eine Kamera samt digitalem Aufzeichnungsgerät installiert war. Die Auswertung der Bilddaten bestätigte den bestehenden Verdacht, sodass am
50. November 2019 die Entlassung der Beschwerdeführerin aus dem Dienstverhältnis ausgesprochen und eine Strafanzeige bei der Polizei erstattet wurde. Nach einem kriminalpolizeilichen Ermittlungsverfahren wurde durch die Staatsanwaltschaft B*** durch Strafantrag vom
51. März 2020, GZ: *4 BAZ *54/20z-3, Anklage wegen Veruntreuung gemäß § 133 Abs. 1 StGB gegen die Beschwerdeführerin erhoben. Die Hauptverhandlung vor dem Bezirksgericht G***stadt in der folgenden Strafsache gegen die Beschwerdeführerin, Aktenzeichen *3 U *54/20j, wurde am
52. Juni 2020 eröffnet. Die U***Ges.m.b.H. schloss sich in der Hauptverhandlung dem Strafverfahren mit einer Schadenersatzforderung gegen die Beschwerdeführerin in Höhe von € 427,50 als Privatbeteiligte an und legte als Beweismittel für ihren Anspruch auf einem USB-Stick gespeicherte Bilddaten aus der oben beschriebenen Bildverarbeitung vor. Spätestens durch diese Beweismittelvorlage erlangte die Beschwerdeführerin Kenntnis von der beschwerdegegenständlichen Bildverarbeitung.Die Beschwerdeführerin war vom
53. Juli 2018 bis
54. November 2019 im Gasthausbetrieb der U***Ges.m.b.H. als Kellnerin beschäftigt, zuletzt in Vollzeit. Im Herbst 2019 wurde die Beschwerdeführerin nach Unstimmigkeiten zwischen Lagerbeständen und Abrechnungen der Veruntreuung (fehlerhaften Abrechnung zu eigenen Gunsten) von eingenommenen Geldbeträgen verdächtigt. Die U***Ges.m.b.H. traf durch den Beschwerdegegner die Entscheidung, eine verdeckte Bildverarbeitung (Videoüberwachung) einzurichten, um den Verdacht zu überprüfen. Dies erfolgte dadurch, dass im Zeitraum vom
55. November 2019 mittags bis zum
56. November 2019 abends im Schankraum des Gasthauses „T***stuben“ eine Kamera samt digitalem Aufzeichnungsgerät installiert war. Die Auswertung der Bilddaten bestätigte den bestehenden Verdacht, sodass am
57. November 2019 die Entlassung der Beschwerdeführerin aus dem Dienstverhältnis ausgesprochen und eine Strafanzeige bei der Polizei erstattet wurde. Nach einem kriminalpolizeilichen Ermittlungsverfahren wurde durch die Staatsanwaltschaft B*** durch Strafantrag vom
58. März 2020, GZ: *4 BAZ *54/20z-3, Anklage wegen Veruntreuung gemäß Paragraph 133, Absatz eins, StGB gegen die Beschwerdeführerin erhoben. Die Hauptverhandlung vor dem Bezirksgericht G***stadt in der folgenden Strafsache gegen die Beschwerdeführerin, Aktenzeichen *3 U *54/20j, wurde am
59. Juni 2020 eröffnet. Die U***Ges.m.b.H. schloss sich in der Hauptverhandlung dem Strafverfahren mit einer Schadenersatzforderung gegen die Beschwerdeführerin in Höhe von € 427,50 als Privatbeteiligte an und legte als Beweismittel für ihren Anspruch auf einem USB-Stick gespeicherte Bilddaten aus der oben beschriebenen Bildverarbeitung vor. Spätestens durch diese Beweismittelvorlage erlangte die Beschwerdeführerin Kenntnis von der beschwerdegegenständlichen Bildverarbeitung.
60. Beweiswürdigung: Diese Feststellungen gründen sich insbesondere auf von der Beschwerdeführerin selbst vorgelegte Dokumente (Beilagen zum Schriftsatz vom
61. Oktober 2020, Kopie Protokoll der Hauptverhandlung vor dem Bezirksgericht G***stadt am
62. Juni 2020, GZ: *3 U *54/20j-11; Kopie Strafantrag wie oben, Kopie Abschlussbericht samt Beilagen der Polizeiinspektion W***bad an die Staatsanwaltschaft B***, Zeichen PAD/*3/00*5*7*, darin insbesondere die Zeugenaussage des Beschwerdegegners vom
63. Jänner 2020, GZ: PAD/*3/00*5*7*/001/H***). Divergenzen hinsichtlich der festgestellten Tatsachen bestehen zwischen den Parteien nur hinsichtlich der Dauer und des Umfangs der Bildverarbeitung (oder auch Tonverarbeitung), wobei hier den glaubwürdigen und mit den dokumentierten Verfahrensergebnissen gut übereinstimmenden Angaben des Beschwerdegegners gefolgt wird. Wie noch in der rechtlichen Begründung aufzuzeigen sein wird, ist die Frage von Dauer und Umfang der Datenverarbeitung hier auch nicht von entscheidender Bedeutung. D. In rechtlicher Hinsicht folgt daraus: D.
64. Summe:
65. Die - rechtzeitig eingebrachte und damit zulässige - Beschwerde hat sich als unbegründet erwiesen, weil der Beschwerdegegner nicht der Verantwortliche für die in Beschwerde gezogene Datenverarbeitung ist. D.
66. Einwand der Verfristung (Präklusion) des Beschwerderechts:
67. Der Beschwerdegegner hat der Beschwerde auch entgegengehalten (Stellungnahme vom
68. August 2021, siehe oben, Rz.6), das Beschwerderecht sei bei Einbringung der Beschwerde bereits in Folge Zeitablaufs erloschen gewesen, die Beschwerde daher sinngemäß unzulässig.
69. Gemäß der verfahrensrechtlichen Bestimmung des § 24 Abs. 4 DSG erlischt der Anspruch auf Behandlung einer Beschwerde, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.Gemäß der verfahrensrechtlichen Bestimmung des Paragraph 24, Absatz 4, DSG erlischt der Anspruch auf Behandlung einer Beschwerde, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
70. Es liegt keine Feststellung dahingehend vor, dass der Beschwerdeführerin die Tatsache, Betroffene einer Bildverarbeitung gewesen zu sein, bereits vor dem
71. Juni 2020 (Beweismittelvorlage durch die U***Ges.m.b.H. als Privatbeteiligte in der Hauptverhandlung vor dem Bezirksgericht G***stadt, siehe oben Rz. 11) bekannt war. Aber selbst wenn man annähme, dass die Beschwerdeführerin bereits anlässlich ihrer Entlassung am
72. November 2019 etwas darüber erfahren hätte, wäre die am
73. Oktober 2020 bei der Datenschutzbehörde eingelangte Beschwerde unter Anwendung der Jahresfrist gemäß § 24 Abs. 4 erster Fall DSG noch rechtzeitig erhoben worden. Der Einwand einer Präklusion des Beschwerderechts hat sich damit als unbegründet erwiesen.Es liegt keine Feststellung dahingehend vor, dass der Beschwerdeführerin die Tatsache, Betroffene einer Bildverarbeitung gewesen zu sein, bereits vor dem
74. Juni 2020 (Beweismittelvorlage durch die U***Ges.m.b.H. als Privatbeteiligte in der Hauptverhandlung vor dem Bezirksgericht G***stadt, siehe oben Rz. 11) bekannt war. Aber selbst wenn man annähme, dass die Beschwerdeführerin bereits anlässlich ihrer Entlassung am
75. November 2019 etwas darüber erfahren hätte, wäre die am
76. Oktober 2020 bei der Datenschutzbehörde eingelangte Beschwerde unter Anwendung der Jahresfrist gemäß Paragraph 24, Absatz 4, erster Fall DSG noch rechtzeitig erhoben worden. Der Einwand einer Präklusion des Beschwerderechts hat sich damit als unbegründet erwiesen.
77. D.
78. Gegenstand des Beschwerdeverfahrens, Zurechnung der Datenverarbeitung:
79. Beide Parteien dieses Verfahrens waren von Anbeginn an durch einen Rechtsanwalt bzw. eine Rechtsanwältin vertreten. Es hat daher kein Grund bestanden, die Parteien, insbesondere die Beschwerdeführerin, seitens der Datenschutzbehörde über die Rechtslage aufzuklären oder ihnen gemäß § 13a AVG die zur Vornahme ihrer Verfahrenshandlungen nötigen Anleitungen zu geben.Beide Parteien dieses Verfahrens waren von Anbeginn an durch einen Rechtsanwalt bzw. eine Rechtsanwältin vertreten. Es hat daher kein Grund bestanden, die Parteien, insbesondere die Beschwerdeführerin, seitens der Datenschutzbehörde über die Rechtslage aufzuklären oder ihnen gemäß Paragraph 13 a, AVG die zur Vornahme ihrer Verfahrenshandlungen nötigen Anleitungen zu geben.
80. Das datenschutzrechtliche Beschwerdeverfahren gemäß Art. 77 DSGVO und § 24 DSG hat zum Gegenstand und Verfahrensziel, eine Verletzung subjektiver Datenschutzrechte einer betroffenen Person auf deren Antrag (Beschwerde) hin festzustellen (Art. 57 Abs. 1 lit. f DSGVO) und, wenn und wo möglich, die Rechtsverletzung durch eine entsprechende Anweisung an den Verantwortlichen oder Auftragsverarbeiter zu beseitigen (Art. 58 Abs. 2 lit. c DSGVO). Die Verhängung einer Verwaltungsstrafe (Geldbuße gemäß Art. 83 DSGVO) gehört nicht zu diesen Verfahrenszielen, da im Verwaltungsstrafverfahren gemäß § 25 Abs. 1 VStG amtswegig vorzugehen ist, und es kein subjektives Recht (Privatanklagerecht) einer betroffenen Person auf Verhängung einer solchen Strafe gibt (ständige Rechtsprechung der Datenschutzbehörde, siehe dazu etwa den Bescheid vom 26.7.2019, GZ: DSB-D123.921/0005-DSB/2019, RIS).Das datenschutzrechtliche Beschwerdeverfahren gemäß Artikel 77, DSGVO und Paragraph 24, DSG hat zum Gegenstand und Verfahrensziel, eine Verletzung subjektiver Datenschutzrechte einer betroffenen Person auf deren Antrag (Beschwerde) hin festzustellen (Artikel 57, Absatz eins, Litera f, DSGVO) und, wenn und wo möglich, die Rechtsverletzung durch eine entsprechende Anweisung an den Verantwortlichen oder Auftragsverarbeiter zu beseitigen (Artikel 58, Absatz 2, Litera c, DSGVO). Die Verhängung einer Verwaltungsstrafe (Geldbuße gemäß Artikel 83, DSGVO) gehört nicht zu diesen Verfahrenszielen, da im Verwaltungsstrafverfahren gemäß Paragraph 25, Absatz eins, VStG amtswegig vorzugehen ist, und es kein subjektives Recht (Privatanklagerecht) einer betroffenen Person auf Verhängung einer solchen Strafe gibt (ständige Rechtsprechung der Datenschutzbehörde, siehe dazu etwa den Bescheid vom 26.7.2019, GZ: DSB-D123.921/0005-DSB/2019, RIS).
81. Nach § 24 Abs. 2 Z 2 DSG ist der Beschwerdegegner vom Beschwerdeführer zu benennen. Der Datenschutzbehörde steht es nicht zu, eine solche ausdrückliche Bezeichnung zu ändern und die Partei, mit der sich der Beschwerdeführer in das Verfahren einlassen will, gegen eine andere, von ihm nicht bezeichneten, auszutauschen (vgl. dazu das Erkenntnis des Bundesverwaltungsgerichts vom
82. Jänner 2017, Zl. W214 2117066-1, RIS, mwN). Einer durch einen Rechtsanwalt vertretenen Partei war die Benennung des Beschwerdegegners hier auch zumutbar, da es sich bei der Zurechnung einer Datenverarbeitung um eine Rechtsfrage handelt, und Identität und Rolle der auf der Gegenseite beteiligten Personen (Beschwerdegegner, U***Ges.m.b.H.) der Beschwerdeführerin bekannt waren.Nach Paragraph 24, Absatz 2, Ziffer 2, DSG ist der Beschwerdegegner vom Beschwerdeführer zu benennen. Der Datenschutzbehörde steht es nicht zu, eine solche ausdrückliche Bezeichnung zu ändern und die Partei, mit der sich der Beschwerdeführer in das Verfahren einlassen will, gegen eine andere, von ihm nicht bezeichneten, auszutauschen vergleiche dazu das Erkenntnis des Bundesverwaltungsgerichts vom
83. Jänner 2017, Zl. W214 2117066-1, RIS, mwN). Einer durch einen Rechtsanwalt vertretenen Partei war die Benennung des Beschwerdegegners hier auch zumutbar, da es sich bei der Zurechnung einer Datenverarbeitung um eine Rechtsfrage handelt, und Identität und Rolle der auf der Gegenseite beteiligten Personen (Beschwerdegegner, U***Ges.m.b.H.) der Beschwerdeführerin bekannt waren.
84. Aus den Sachverhaltsfeststellungen geht hervor, dass die Beschwerdeführerin im Teilunternehmen „Gasthaus T***stuben“ der U***Ges.m.b.H. beschäftigt war. Diese Gesellschaft mit beschränkter Haftung war daher der Unternehmensträger bzw. das Unternehmen gemäß Art. 4 Z 18 DSGVO, auf dessen Entscheidung hin und für dessen Zwecke (Aufklärung von Straftaten gegen das Vermögen des Unternehmens, Gewinnung von Beweismitteln für Rückforderungsansprüche) Bilddaten der Beschwerdeführerin verarbeitet worden sind.Aus den Sachverhaltsfeststellungen geht hervor, dass die Beschwerdeführerin im Teilunternehmen „Gasthaus T***stuben“ der U***Ges.m.b.H. beschäftigt war. Diese Gesellschaft mit beschränkter Haftung war daher der Unternehmensträger bzw. das Unternehmen gemäß Artikel 4, Ziffer 18, DSGVO, auf dessen Entscheidung hin und für dessen Zwecke (Aufklärung von Straftaten gegen das Vermögen des Unternehmens, Gewinnung von Beweismitteln für Rückforderungsansprüche) Bilddaten der Beschwerdeführerin verarbeitet worden sind.
85. Die U***Ges.m.b.H. war daher hier gemäß Art. 4 Z 7 DSGVO die für die Verarbeitung der Bilddaten der Beschwerdeführerin Verantwortliche. Der Beschwerdegegner wiederum war hier als Geschäftsführer nur das willensbildende und ausführende Organ der U***Ges.m.b.H., wobei es in der Natur einer Gesellschaft mit beschränkter Haftung liegt, dass diese als juristische Person zur Willensbildung auf Menschen als ihre Organe angewiesen ist. Die U***Ges.m.b.H. war daher hier gemäß Artikel 4, Ziffer 7, DSGVO die für die Verarbeitung der Bilddaten der Beschwerdeführerin Verantwortliche. Der Beschwerdegegner wiederum war hier als Geschäftsführer nur das willensbildende und ausführende Organ der U***Ges.m.b.H., wobei es in der Natur einer Gesellschaft mit beschränkter Haftung liegt, dass diese als juristische Person zur Willensbildung auf Menschen als ihre Organe angewiesen ist.
86. Dies ändert aber nichts daran, dass Unternehmen bzw. Unternehmensträgern durch die Unionsgesetzgeber die Fähigkeit zugeschrieben wird, im eigenen Namen und unter eigener Verantwortung Entscheidungen zu treffen (arg: „die natürliche oder juristische Person […], die […] über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“, Art. 4 Z 7 DSGVO, Definition des Begriffs des „Verantwortlichen“).Dies ändert aber nichts daran, dass Unternehmen bzw. Unternehmensträgern durch die Unionsgesetzgeber die Fähigkeit zugeschrieben wird, im eigenen Namen und unter eigener Verantwortung Entscheidungen zu treffen (arg: „die natürliche oder juristische Person […], die […] über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“, Artikel 4, Ziffer 7, DSGVO, Definition des Begriffs des „Verantwortlichen“).
87. Diese Auslegung der DSGVO wird noch dadurch unterstrichen, dass die unionsrechtlichen Strafbestimmungen des Art. 83 DSGVO iVm § 30 DSG einen der bisher wenigen Fälle im österreichischen Verwaltungsstrafrecht bilden, in dem Strafen (Geldbußen) gegen eine juristische Person verhängt werden können, wobei deren Organe (und andere Verantwortliche gemäß § 9 VStG) in diesem Fall gemäß § 30 Abs. 3 DSG nur subsidiär verwaltungsstrafrechtlich haften.Diese Auslegung der DSGVO wird noch dadurch unterstrichen, dass die unionsrechtlichen Strafbestimmungen des Artikel 83, DSGVO in Verbindung mit Paragraph 30, DSG einen der bisher wenigen Fälle im österreichischen Verwaltungsstrafrecht bilden, in dem Strafen (Geldbußen) gegen eine juristische Person verhängt werden können, wobei deren Organe (und andere Verantwortliche gemäß Paragraph 9, VStG) in diesem Fall gemäß Paragraph 30, Absatz 3, DSG nur subsidiär verwaltungsstrafrechtlich haften. D.
88. Schlussfolgerungen:
89. Die Entscheidung, am
90. und
91. November 2019 Bilddaten der Beschwerdeführerin zu verarbeiten, wobei in deren Geheimhaltungsrecht eingegriffen worden ist - ob berechtigt oder unberechtigt kann an dieser Stelle dahingestellt bleiben -, ist daher der U***Ges.m.b.H. zuzurechnen. Der Beschwerdegegner hat keinen entsprechenden Eingriff zu verantworten.
92. Die Beschwerde war daher gemäß Spruchpunkt
93. als unbegründet abzuweisen.
94. Der Antrag der Beschwerdeführerin, eine Strafe gegen den Beschwerdegegner zu verhängen, war, wie oben bereits unter Rz. 19 dargelegt, gemäß Spruchpunkt
95. als unzulässig zurückzuweisen. European Case Law IdentifierECLI:AT:DSB:2021:2021.0.717.031