← Österreich

{'item': '2022-0.585.764'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum23.08.2022 Geschäftszahl2022-0.585.764 Anfechtung beim BVwG/VwGH/VfGHDieses Straferkenntnis ist rechtskräftig. TextGZ: 2022-0.585

Art. 5Abs.

1 lit. a DSGVO normiert in diesem Zusammenhang, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffenen nachvollziehbaren Weise verarbeitet werden müssen („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Die Anforderungen für eine rechtmäßige Verarbeitung (nicht sensibler Daten) sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung - kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Art 5 Rz 8f). Für die Beurteilung der gegenständlichen Verarbeitung kann zunächst grundlegend festgehalten werden, dass Artikel 5, DSGVO die Grundsätze für die Verarbeitung personenbezogener Daten festlegt.

Artikel 5

, Absatz eins, Litera a, DSGVO normiert in diesem Zusammenhang, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffenen nachvollziehbaren Weise verarbeitet werden müssen („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Die Anforderungen für eine rechtmäßige Verarbeitung (nicht sensibler Daten) sind in Artikel 6, DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung - kumulativ zu den anderen in Artikel 5, Absatz eins, geregelten Grundsätzen – mindestens einem der in Artikel 6, Absatz eins, DSGVO abschließend festgelegten Rechtsgründe genügen muss vergleiche Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Artikel 5, Rz 8f). 3.3.2.

Art. 5Abs.

1 lit. b DSGVO normiert, dass die verarbeiteten Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen („Zweckbindung“). Darüber hinaus normiert

Art. 5Abs.

1 lit. c DSGVO, dass die jeweilige Verarbeitung dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss („Datenminimierung“). Der Beschuldigte hat im konkreten Fall gegen alle obengenannten Grundsätze im Zuge der Datenverarbeitung verstoßen.

Artikel 5

, Absatz eins, Litera b, DSGVO normiert, dass die verarbeiteten Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen („Zweckbindung“). Darüber hinaus normiert

Artikel 5

, Absatz eins, Litera c, DSGVO, dass die jeweilige Verarbeitung dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss („Datenminimierung“). Der Beschuldigte hat im konkreten Fall gegen alle obengenannten Grundsätze im Zuge der Datenverarbeitung verstoßen. 3.3.3. Der Beschuldigte führte in Bezug auf die Rechtmäßigkeit der Verarbeitung lediglich ins Treffen, dass er damit ein „technisches Interesse“ verfolgte (Art. 6 Abs. 1 lit. f DSGVO). Darüber hinaus führte der Beschuldigte keine weiteren Rechtfertigungsgrundlagen für die Verarbeitung ins Treffen.Der Beschuldigte führte in Bezug auf die Rechtmäßigkeit der Verarbeitung lediglich ins Treffen, dass er damit ein „technisches Interesse“ verfolgte (Artikel 6, Absatz eins, Litera f, DSGVO). Darüber hinaus führte der Beschuldigte keine weiteren Rechtfertigungsgrundlagen für die Verarbeitung ins Treffen. 3.3.4. Eine Verarbeitung aufgrund einer Einwilligung der Betroffenen (Art. 6 Abs. 1 lit. a DSGVO) kommt schon deshalb nicht in Betracht, weil die Verarbeitung, wie festgestellt, heimlich bzw. ohne Information an die Betroffenen erfolgte. Somit konnten die Betroffenen auch denklogisch keine Einwilligung zu der Datenverarbeitung erteilen. Es ist auch nicht davon auszugehen, dass die Betroffenen je einer solchen Verarbeitung zugestimmt hätten, betrifft die Verarbeitung doch einen der intimsten Momente einer Person.Eine Verarbeitung aufgrund einer Einwilligung der Betroffenen (Artikel 6, Absatz eins, Litera a, DSGVO) kommt schon deshalb nicht in Betracht, weil die Verarbeitung, wie festgestellt, heimlich bzw. ohne Information an die Betroffenen erfolgte. Somit konnten die Betroffenen auch denklogisch keine Einwilligung zu der Datenverarbeitung erteilen. Es ist auch nicht davon auszugehen, dass die Betroffenen je einer solchen Verarbeitung zugestimmt hätten, betrifft die Verarbeitung doch einen der intimsten Momente einer Person. 3.3.5. Im vorliegenden Fall kommt nach einer amtswegigen Prüfung lediglich, wie auch schon vom Beschuldigten vorgebracht, der Rechtfertigungstatbestand nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Daher war das Vorliegen berechtigter Interessen des Beschuldigten bzw. von Dritten im Sinne von Art. 6 Abs. 1 lit. f DSGVO zu prüfen. Im vorliegenden Fall kommt nach einer amtswegigen Prüfung lediglich, wie auch schon vom Beschuldigten vorgebracht, der Rechtfertigungstatbestand nach Artikel 6, Absatz eins, Litera f, DSGVO in Betracht. Daher war das Vorliegen berechtigter Interessen des Beschuldigten bzw. von Dritten im Sinne von Artikel 6, Absatz eins, Litera f, DSGVO zu prüfen. 3.3.6. Zur Rechtmäßigkeit von Verarbeitungsvorgängen im Hinblick auf Art. 6 Abs. 1 lit. f DSGVO führt Erwägungsgrund 47 der DSGVO unter anderem erläuternd aus, dass diese durch die berechtigten Interessen eines Verantwortlichen begründet sein kann, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Auf jeden Fall ist das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, werden die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.Zur Rechtmäßigkeit von Verarbeitungsvorgängen im Hinblick auf Artikel 6, Absatz eins, Litera f, DSGVO führt Erwägungsgrund 47 der DSGVO unter anderem erläuternd aus, dass diese durch die berechtigten Interessen eines Verantwortlichen begründet sein kann, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Auf jeden Fall ist das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, werden die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen. 3.3.7. Art. 6 Abs. 1 lit. f der DSGVO gestattet die Verarbeitung demnach unter drei kumulativen Voraussetzungen: (

  1. i)Wahrnehmung eines berechtigten Interesses; (
  2. ii)Erforderlichkeit der Verarbeitung und (iii) kein Überwiegen der Rechte und Freiheiten anderer (vgl. Urteil des EuGH vom 11.12.2019, Rs C-708/18, Rz 36 mwN).Artikel 6, Absatz eins, Litera f, der DSGVO gestattet die Verarbeitung demnach unter drei kumulativen Voraussetzungen: (
  3. i)Wahrnehmung eines berechtigten Interesses; (
  4. ii)Erforderlichkeit der Verarbeitung und (iii) kein Überwiegen der Rechte und Freiheiten anderer vergleiche Urteil des EuGH vom 11.12.2019, Rs C-708/18, Rz 36 mwN). 3.3.8. Im konkreten Fall ist schon in Bezug auf die erste Voraussetzung (Wahrnehmung eines berechtigten Interesses) fraglich, ob das vom Beschuldigten ins Treffen geführte „technische Interesse“ überhaupt ein berechtigtes Interesse darstellen kann. Selbst wenn man im Hinblick auf Art. 6 Abs. 1 lit. f DSGVO annehmen würde, dass der Beschuldigte im Tatzeitraum ein berechtigtes Interesse hatte, ist für den Beschuldigten dennoch nichts gewonnen, da die Verarbeitung im Sinne der obigen Ausführungen jedenfalls nicht erforderlich (nicht das gelindeste Mittel) war und die Rechte und Freiheiten der Betroffenen das technische Interesse des Beschuldigten bei weitem überwiegen. Im konkreten Fall ist schon in Bezug auf die erste Voraussetzung (Wahrnehmung eines berechtigten Interesses) fraglich, ob das vom Beschuldigten ins Treffen geführte „technische Interesse“ überhaupt ein berechtigtes Interesse darstellen kann. Selbst wenn man im Hinblick auf Artikel 6, Absatz eins, Litera f, DSGVO annehmen würde, dass der Beschuldigte im Tatzeitraum ein berechtigtes Interesse hatte, ist für den Beschuldigten dennoch nichts gewonnen, da die Verarbeitung im Sinne der obigen Ausführungen jedenfalls nicht erforderlich (nicht das gelindeste Mittel) war und die Rechte und Freiheiten der Betroffenen das technische Interesse des Beschuldigten bei weitem überwiegen. 3.3.9. Die technischen Interessen hätte der Beschuldigte jedenfalls auf einer anderen Weise gewährleisten können, ohne dabei derart gravierend in das Recht auf Geheimhaltung der Betroffenen einzugreifen. Ein wiederholtes Aufzeichnen von zahlreichen Betroffenen innerhalb einer öffentlichen WC-Anlage zur Gewährleistung von technischen Interessen an einer Bildverarbeitungsanlage stellt jedenfalls einen Verstoß gegen den Datenminimierungsgrundsatz nach Art. 5 Abs. 1 lit. c DSGVO dar. Die gegenständliche Verarbeitung war nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt und ist für die DSB in keinster Weise nachvollziehbar. Die Erforderlichkeit der Verarbeitung im konkreten Fall kann daher unter keinen Umständen angenommen werden. Die technischen Interessen hätte der Beschuldigte jedenfalls auf einer anderen Weise gewährleisten können, ohne dabei derart gravierend in das Recht auf Geheimhaltung der Betroffenen einzugreifen. Ein wiederholtes Aufzeichnen von zahlreichen Betroffenen innerhalb einer öffentlichen WC-Anlage zur Gewährleistung von technischen Interessen an einer Bildverarbeitungsanlage stellt jedenfalls einen Verstoß gegen den Datenminimierungsgrundsatz nach Artikel 5, Absatz eins, Litera c, DSGVO dar. Die gegenständliche Verarbeitung war nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt und ist für die DSB in keinster Weise nachvollziehbar. Die Erforderlichkeit der Verarbeitung im konkreten Fall kann daher unter keinen Umständen angenommen werden. 3.3.10. Demnach bedarf es keiner Interessenabwägung, da schon aufgrund mangelnder Erforderlichkeit eine Verarbeitung gemäß Art. 6 Abs. 1 lit. f DSGVO nicht in Betracht gezogen werden kann. Es wird an dieser Stelle jedoch (ohne im Detail darauf einzugehen) festgehalten, dass man auch nach Durchführung einer Interessenabwägung im konkreten Fall nur zum Ergebnis kommen kann, dass die Geheimhaltungsinteressen der Betroffenen das technische Interesse des Beschuldigten bei weitem überwiegen. Darüber hinaus war die Anlage nicht gekennzeichnet bzw. wurde sie heimlich betrieben und die Betroffenen mussten daher nicht mit einer Verarbeitung ihrer personenbezogenen Daten in dieser Form rechnen.Demnach bedarf es keiner Interessenabwägung, da schon aufgrund mangelnder Erforderlichkeit eine Verarbeitung gemäß Artikel 6, Absatz eins, Litera f, DSGVO nicht in Betracht gezogen werden kann. Es wird an dieser Stelle jedoch (ohne im Detail darauf einzugehen) festgehalten, dass man auch nach Durchführung einer Interessenabwägung im konkreten Fall nur zum Ergebnis kommen kann, dass die Geheimhaltungsinteressen der Betroffenen das technische Interesse des Beschuldigten bei weitem überwiegen. Darüber hinaus war die Anlage nicht gekennzeichnet bzw. wurde sie heimlich betrieben und die Betroffenen mussten daher nicht mit einer Verarbeitung ihrer personenbezogenen Daten in dieser Form rechnen. 3.3.11. Außerdem missachtete der Beschuldigte auch den Grundsatz der Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO. Der Grundsatz der Zweckbindung ist grundrechtlich geboten. Art. 8 Abs. 2 S. 1 EU-GRC gewährleistet den betroffenen Personen, dass ihre personenbezogenen Daten nur „für festgelegte Zwecke […] oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden“ dürfen. Ein im vornhinein (vor Beginn der Datenverarbeitung) eindeutig festgelegter Zweck muss daher auch legitim sein. Der Zweck ist dann legitim, wenn die betroffene Person ihn durch ihre informierte und freie Einwilligung nach Art. 7 DSGVO gebilligt hat oder, wenn er – auch gegen den Willen der betroffenen Personen – durch Gesetz gebilligt worden ist (vgl. Roßnagel in Simitis/Hornung/Spicker, Datenschutzrecht, Kommentar, Artikel 5 Rz 63 f). Außerdem missachtete der Beschuldigte auch den Grundsatz der Zweckbindung nach Artikel 5, Absatz eins, Litera b, DSGVO. Der Grundsatz der Zweckbindung ist grundrechtlich geboten. Artikel 8, Absatz 2, S. 1 EU-GRC gewährleistet den betroffenen Personen, dass ihre personenbezogenen Daten nur „für festgelegte Zwecke […] oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden“ dürfen. Ein im vornhinein (vor Beginn der Datenverarbeitung) eindeutig festgelegter Zweck muss daher auch legitim sein. Der Zweck ist dann legitim, wenn die betroffene Person ihn durch ihre informierte und freie Einwilligung nach Artikel 7, DSGVO gebilligt hat oder, wenn er – auch gegen den Willen der betroffenen Personen – durch Gesetz gebilligt worden ist vergleiche Roßnagel in Simitis/Hornung/Spicker, Datenschutzrecht, Kommentar, Artikel 5 Rz 63 f). 3.3.12. Die DSB stellte in einem ähnlich gelagerten Fall fest, dass das heimliche Anfertigen von Bildaufnahmen in der Damenumkleidekabine nicht für legitime Zwecke im Sinne des Art. 5 Abs. 1 lit. b DSGVO erfolgte (vgl. DSB 11.07.2019, D550.185/0002-DSB/2019). Das BVwG hielt in Bezug auf eine Videoüberwachung vor einem Glücksspiellokal zum Zwecke der Identifizierung und Kategorisierung von Personen als „Finanzpolizei“ und „Spieler“ fest, dass darin kein legitimer Zweck erkannt werden kann (vgl. BVwG 02.06.2021, W211 2232587-1).Die DSB stellte in einem ähnlich gelagerten Fall fest, dass das heimliche Anfertigen von Bildaufnahmen in der Damenumkleidekabine nicht für legitime Zwecke im Sinne des Artikel 5, Absatz eins, Litera b, DSGVO erfolgte vergleiche DSB 11.07.2019, D550.185/0002-DSB/2019). Das BVwG hielt in Bezug auf eine Videoüberwachung vor einem Glücksspiellokal zum Zwecke der Identifizierung und Kategorisierung von Personen als „Finanzpolizei“ und „Spieler“ fest, dass darin kein legitimer Zweck erkannt werden kann vergleiche BVwG 02.06.2021, W211 2232587-1). 3.3.13. Gemessen daran kann man auch im konkreten Fall zu keinem anderen Ergebnis gelangen. Der vom Beschuldigten ins Treffen geführte Zweck ist weder gesetzlich vorgesehen oder gedeckt, noch haben die Betroffenen in die Verarbeitung eingewilligt. Die heimliche/geheime Anfertigung von Aufzeichnungen zahlreicher Betroffener während eines sehr intimen Momentes, um technische Interessen in Bezug auf die Bildverarbeitungsanlage zu gewährleisten, kann nach Ansicht der DSB unter keinen Umständen einen legitimen Zweck im Sinne des Art. 5 Abs. 1 lit. b DSGVO darstellen. Darüber war sich der Beschuldigte zur Tatzeit offenkundig auch bewusst, da er, wie festgestellt, gegenüber der LPD während seiner Einvernahme angab, dass er die Entscheidung, die Kamera innerhalb öffentlicher Toilettenkabinen zu testen, traf, weil er einen „gewissen Reiz des Unerlaubten“ verspürte.Gemessen daran kann man auch im konkreten Fall zu keinem anderen Ergebnis gelangen. Der vom Beschuldigten ins Treffen geführte Zweck ist weder gesetzlich vorgesehen oder gedeckt, noch haben die Betroffenen in die Verarbeitung eingewilligt. Die heimliche/geheime Anfertigung von Aufzeichnungen zahlreicher Betroffener während eines sehr intimen Momentes, um technische Interessen in Bezug auf die Bildverarbeitungsanlage zu gewährleisten, kann nach Ansicht der DSB unter keinen Umständen einen legitimen Zweck im Sinne des Artikel 5, Absatz eins, Litera b, DSGVO darstellen. Darüber war sich der Beschuldigte zur Tatzeit offenkundig auch bewusst, da er, wie festgestellt, gegenüber der LPD während seiner Einvernahme angab, dass er die Entscheidung, die Kamera innerhalb öffentlicher Toilettenkabinen zu testen, traf, weil er einen „gewissen Reiz des Unerlaubten“ verspürte. 3.3.14. Im Ergebnis ist die Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO für die konkrete Verarbeitung nicht einschlägig. Eine sonstige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO kommt nach einer amtswegigen Prüfung ebenfalls nicht in Betracht. Die Verarbeitung der personenbezogenen Bilddaten erfolgte somit unrechtmäßig und in Missachtung der Grundsätze der Datenminimierung und Zweckbindung.Im Ergebnis ist die Rechtsgrundlage nach Artikel 6, Absatz eins, Litera f, DSGVO für die konkrete Verarbeitung nicht einschlägig. Eine sonstige Rechtsgrundlage nach Artikel 6, Absatz eins, DSGVO kommt nach einer amtswegigen Prüfung ebenfalls nicht in Betracht. Die Verarbeitung der personenbezogenen Bilddaten erfolgte somit unrechtmäßig und in Missachtung der Grundsätze der Datenminimierung und Zweckbindung. 3.4. Zur mangelnden Kennzeichnung der Bildverarbeitungsanlage (Spruchpunkt II)Zur mangelnden Kennzeichnung der Bildverarbeitungsanlage (Spruchpunkt römisch zwei) 3.4.1. Der Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO wird durch Art. 12, 13 und 14 DSGVO konkretisiert (siehe auch ErwGr 39 und 58 DSGVO). Demnach muss für betroffene Personen in Bezug auf eine Bildverarbeitungsanlage erkennbar sein, dass ihre personenbezogenen Daten verarbeitet werden, welche Daten konkret verarbeitet werden und für welche Zwecke sie verarbeitet werden. Auch die Identität des Verantwortlichen muss den Betroffenen bekanntgegeben werden, damit sie wissen, durch wen/wem ihre Daten verarbeitet werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht liegt insbesondere in ihrer Funktion als notwendige Voraussetzung für die Ausübung der Betroffenenrechte: Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt, und/oder nicht bekannt, wer diese durchführt, kann er seine diesbezüglichen Rechte nach Art 15-21 DSGVO nicht geltend machen“ (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO, Rz 18f).Der Grundsatz der Transparenz nach Artikel 5, Absatz eins, Litera a, DSGVO wird durch Artikel 12, 13 und 14 DSGVO konkretisiert (siehe auch ErwGr 39 und 58 DSGVO). Demnach muss für betroffene Personen in Bezug auf eine Bildverarbeitungsanlage erkennbar sein, dass ihre personenbezogenen Daten verarbeitet werden, welche Daten konkret verarbeitet werden und für welche Zwecke sie verarbeitet werden. Auch die Identität des Verantwortlichen muss den Betroffenen bekanntgegeben werden, damit sie wissen, durch wen/wem ihre Daten verarbeitet werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht liegt insbesondere in ihrer Funktion als notwendige Voraussetzung für die Ausübung der Betroffenenrechte: Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt, und/oder nicht bekannt, wer diese durchführt, kann er seine diesbezüglichen Rechte nach Artikel 15 -, 21, DSGVO nicht geltend machen“ vergleiche Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO, Rz 18f). 3.4.2. Auf Grund der Informationsmenge, die einem/einer Betroffenen zukommen soll, kann von einem/einer Verantwortlichen ein "geschichteter Zugang" und eine Kombination aus Mitteln gewählt werden, um dem Transparenzgebot zu entsprechen. Im Rahmen einer Videoüberwachung sollte die wichtigste Information in einem Warnhinweis dargestellt werden, während die notwendigen weiteren Informationen mit anderen Mitteln zur Verfügung gestellt werden können (als zweite Schicht) (vgl. Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, 29.01.2020, S. 28ff, online abrufbar unter: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_de – im Folgenden „Leitlinien“). Die Betroffenen müssen jedenfalls aufgrund der Kennzeichnung rechtzeitig erkennen können, dass sie sich in einen Aufnahmebereich einer Bildverarbeitungsanlage begeben.Auf Grund der Informationsmenge, die einem/einer Betroffenen zukommen soll, kann von einem/einer Verantwortlichen ein "geschichteter Zugang" und eine Kombination aus Mitteln gewählt werden, um dem Transparenzgebot zu entsprechen. Im Rahmen einer Videoüberwachung sollte die wichtigste Information in einem Warnhinweis dargestellt werden, während die notwendigen weiteren Informationen mit anderen Mitteln zur Verfügung gestellt werden können (als zweite Schicht) vergleiche Europäischer Datenschutzausschuss, Leitlinien 3 aus 2019, zur Verarbeitung personenbezogener Daten durch Videogeräte, 29.01.2020, S. 28ff, online abrufbar unter: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_de – im Folgenden „Leitlinien“). Die Betroffenen müssen jedenfalls aufgrund der Kennzeichnung rechtzeitig erkennen können, dass sie sich in einen Aufnahmebereich einer Bildverarbeitungsanlage begeben. 3.4.3. Im konkreten Fall hat der Beschuldigte, wie festgestellt, gar keine Kennzeichnung am Tatort in Bezug auf die Bildverarbeitungsanlage angebracht. Dies tat der Beschuldigte auch bewusst, da er die Betroffenen heimlich aufzeichnen wollte. Somit hat der Beschuldigte gegen das Transparenzgebot nach Art. 5 Abs. 1 lit. a DSGVO sowie seine Informationspflicht nach Art. 12 und 13 DSGVO verstoßen, indem er die Betroffenen bei der Erhebung ihrer personenbezogenen Daten nicht im Sinne des Art. 13 DSGVO über die konkrete Datenverarbeitung informierte. Mangels Kennzeichnung bzw. Hinweisschilder mussten die Betroffenen daher nicht damit rechnen, dass sie während eines sehr intimen Momentes sich im Aufnahmebereich der gegenständlichen Anlage befinden und aufgezeichnet werden. Daher konnten sie auch nicht ihre Rechte nach Art 15-21 DSGVO gegenüber dem Beschuldigten geltend machen.Im konkreten Fall hat der Beschuldigte, wie festgestellt, gar keine Kennzeichnung am Tatort in Bezug auf die Bildverarbeitungsanlage angebracht. Dies tat der Beschuldigte auch bewusst, da er die Betroffenen heimlich aufzeichnen wollte. Somit hat der Beschuldigte gegen das Transparenzgebot nach Artikel 5, Absatz eins, Litera a, DSGVO sowie seine Informationspflicht nach Artikel 12, und 13 DSGVO verstoßen, indem er die Betroffenen bei der Erhebung ihrer personenbezogenen Daten nicht im Sinne des Artikel 13, DSGVO über die konkrete Datenverarbeitung informierte. Mangels Kennzeichnung bzw. Hinweisschilder mussten die Betroffenen daher nicht damit rechnen, dass sie während eines sehr intimen Momentes sich im Aufnahmebereich der gegenständlichen Anlage befinden und aufgezeichnet werden. Daher konnten sie auch nicht ihre Rechte nach Artikel 15 -, 21, DSGVO gegenüber dem Beschuldigten geltend machen. 3.4.4. Vor dem Hintergrund des als erwiesen angenommenen Sachverhalts hat der Beschuldigte in seiner Rolle als Verantwortlicher somit unrechtmäßig personenbezogene Daten verarbeitet und gegen seine Informationspflicht verstoßen. Damit ist die objektive Tatseite beider Spruchpunkte erfüllt. 3.5. Zur subjektiven Tatseite 3.5.1. Zur subjektiven Tatseite ist festzuhalten, dass der Beschuldigte die gegenständliche Bildverarbeitungsanlage innerhalb einer öffentlichen WC-Anlage bewusst montierte und in Betrieb nahm, um seinen technischen Interessen nachzukommen. Der Beschuldigte hat sich auch bewusst dazu entschieden, keine Kennzeichnung am Tatort in Bezug auf die Bildbearbeitungsanlage anzubringen bzw. die Betroffenen nicht über die konkrete Datenverarbeitung zu informieren, da er die Anlage heimlich (mittels einer Abdeckung versteckt) betreiben wollte. Der Beschuldigte brachte im gesamten Verfahren auch nichts Gegenteiliges vor, sondern räumte die Tat sowie die bewusste Entscheidung, die Bildbearbeitungsanlage versteckt in einer WC-Anlage zu installieren, ein. 3.5.2. Die DSB geht daher im Ergebnis sowohl in Bezug auf Spruchpunkt I. und II. davon aus, dass der Beschuldigte vorsätzlich gehandelt hat. Es ergaben sich im Laufe des gesamten Verfahrens keine Hinweise darauf, dass dem Beschuldigten an der Verletzung der gegenständlichen Bestimmungen kein Verschulden trifft. Das Vorbringen des Beschuldigten im Rahmen seiner Einvernahme bei der DSB, wonach er die Aufzeichnungen ausschließlich für eigene Zwecke verwendet hat und nicht für die Schädigung oder Erpressung einer Person oder für wirtschaftliche Interessen verwendete, vermag daran nichts zu ändern.Die DSB geht daher im Ergebnis sowohl in Bezug auf Spruchpunkt römisch eins. und römisch zwei. davon aus, dass der Beschuldigte vorsätzlich gehandelt hat. Es ergaben sich im Laufe des gesamten Verfahrens keine Hinweise darauf, dass dem Beschuldigten an der Verletzung der gegenständlichen Bestimmungen kein Verschulden trifft. Das Vorbringen des Beschuldigten im Rahmen seiner Einvernahme bei der DSB, wonach er die Aufzeichnungen ausschließlich für eigene Zwecke verwendet hat und nicht für die Schädigung oder Erpressung einer Person oder für wirtschaftliche Interessen verwendete, vermag daran nichts zu ändern. 3.5.3. Es liegt somit auf der subjektiven Tatseite Verschulden in Form von Vorsatz im Sinne des Art. 83 Abs. 2 lit. b DSGVO vor.Es liegt somit auf der subjektiven Tatseite Verschulden in Form von Vorsatz im Sinne des Artikel 83, Absatz 2, Litera b, DSGVO vor. 4. Zur Strafzumessung ist Folgendes festzuhalten: 4.1. Gemäß Art. 83 Abs. 1 DSGVO hat die DSB sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Abs. 2, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall Folgendes gebührend zu berücksichtigen ist:Gemäß Artikel 83, Absatz eins, DSGVO hat die DSB sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Absatz 2,, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall Folgendes gebührend zu berücksichtigen ist:
  5. a)Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
  6. b)Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
  7. c)jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
  8. d)Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
  9. e)etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
  10. f)Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
  11. g)Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
  12. h)Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
  13. i)Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
  14. j)[…]
  15. k)jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste. 4.2. Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106).Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im Paragraph 19, VStG festgelegten Kriterien vorzunehmen ist vergleiche VwGH 05.09.2013, 2013/09/0106). 4.3. Gemäß § 19 Abs. 1 VStG sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen; dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Art. 83 Abs. 8 DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird.Gemäß Paragraph 19, Absatz eins, VStG sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die Paragraphen 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen; dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Artikel 83, Absatz 8, DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird. 4.4. Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen.Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß Paragraph 16, Absatz eins, VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. 4.5. Durch Art. 83 Abs. 3 DSGVO wird in Abweichung zu dem mit § 22 Abs. 2 VStG normierten Kumulationsprinzip angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. Somit gilt im Anwendungsbereich der DSGVO – wie im vorliegenden Fall zur Anwendung gebracht – das Absorptionsprinzip des Art. 83 Abs. 3 DSGVO.Durch Artikel 83, Absatz 3, DSGVO wird in Abweichung zu dem mit Paragraph 22, Absatz 2, VStG normierten Kumulationsprinzip angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. Somit gilt im Anwendungsbereich der DSGVO – wie im vorliegenden Fall zur Anwendung gebracht – das Absorptionsprinzip des Artikel 83, Absatz 3, DSGVO. 4.6. Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 5 DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000,-.Der Strafrahmen im konkreten Fall reicht gemäß Artikel 83, Absatz 5, DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000,-. 4.7. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt: ● Art, Dauer und Schwere des Verstoßes: Der Beschuldigte hat durch die gegenständliche Verarbeitung in das Grundrecht auf Geheimhaltung von zahlreichen Betroffenen unrechtmäßig eingegriffen. Der Beschuldigte setzte die gegenständliche Bildverarbeitungsanlage insgesamt drei Mal (jeweils für die Dauer von mehreren Stunden über den jeweiligen Tag der Installation verteilt) in einem Zeitraum von zwei Monaten ein. Dabei wurde die Intensität des Eingriffs als besonders erschwerend berücksichtigt, da der Beschuldigte einen äußerst gravierenden Eingriff in die Grundrechte der Betroffenen vornahm. Die öffentlichen WC-Anlagen am Tatort wurden und werden von Betroffenen genutzt, um ihre Notdurft zu verrichten und/oder ihre Kleidung zu wechseln. Die Betroffenen mussten jedenfalls nicht damit rechnen, dass sie während eines sehr intimen Momentes heimlich von einer Bildbearbeitungsanlage erfasst und aufgezeichnet werden und dass die Aufzeichnungen in Folge vom Beschuldigten eingesehen werden. Die Betroffenen wurden dadurch schwer in ihrem Recht auf Geheimhaltung nach § 1 Abs. 1 DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC verletzt. (Art. 83 Abs. 2 lit. a und k DSGVO).Art, Dauer und Schwere des Verstoßes: Der Beschuldigte hat durch die gegenständliche Verarbeitung in das Grundrecht auf Geheimhaltung von zahlreichen Betroffenen unrechtmäßig eingegriffen. Der Beschuldigte setzte die gegenständliche Bildverarbeitungsanlage insgesamt drei Mal (jeweils für die Dauer von mehreren Stunden über den jeweiligen Tag der Installation verteilt) in einem Zeitraum von zwei Monaten ein. Dabei wurde die Intensität des Eingriffs als besonders erschwerend berücksichtigt, da der Beschuldigte einen äußerst gravierenden Eingriff in die Grundrechte der Betroffenen vornahm. Die öffentlichen WC-Anlagen am Tatort wurden und werden von Betroffenen genutzt, um ihre Notdurft zu verrichten und/oder ihre Kleidung zu wechseln. Die Betroffenen mussten jedenfalls nicht damit rechnen, dass sie während eines sehr intimen Momentes heimlich von einer Bildbearbeitungsanlage erfasst und aufgezeichnet werden und dass die Aufzeichnungen in Folge vom Beschuldigten eingesehen werden. Die Betroffenen wurden dadurch schwer in ihrem Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Artikel 7, und 8 EU-GRC verletzt. (Artikel 83, Absatz 2, Litera a, und k DSGVO). ● Kategorien personenbezogener Daten, die vom Verstoß betroffen sind: Im Konkreten Fall waren zwar keine sensiblen Daten per se im Sinne von Art. 9 Abs. 1 DSGVO, jedoch besonders intime Bilddaten von Betroffenen vom Verstoß betroffen (Art. 83 Abs. 2 lit. g DSGVO).Kategorien personenbezogener Daten, die vom Verstoß betroffen sind: Im Konkreten Fall waren zwar keine sensiblen Daten per se im Sinne von Artikel 9, Absatz eins, DSGVO, jedoch besonders intime Bilddaten von Betroffenen vom Verstoß betroffen (Artikel 83, Absatz 2, Litera g, DSGVO). ● Der Verstoß wurde vom Beschuldigten vorsätzlich begangen. Als besonders Erschwerend wurde der Umstand gewertet, dass der Beschuldige wissentlich und willentlich mehrmals die Entscheidung getroffen hat, seinem technischen Interesse durch die Anbringung der Kamera in einer öffentlichen WC-Anlage nachzukommen, weil es einen „gewissen Reiz des Unerlaubten“ hatte (Art. 83 Abs. 2 lit. b DSGVO).Der Verstoß wurde vom Beschuldigten vorsätzlich begangen. Als besonders Erschwerend wurde der Umstand gewertet, dass der Beschuldige wissentlich und willentlich mehrmals die Entscheidung getroffen hat, seinem technischen Interesse durch die Anbringung der Kamera in einer öffentlichen WC-Anlage nachzukommen, weil es einen „gewissen Reiz des Unerlaubten“ hatte (Artikel 83, Absatz 2, Litera b, DSGVO). 4.8. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt: ● Gegen den Beschuldigten lagen bis dato bei der DSB keine einschlägigen Vorstrafen aufgrund von Verstößen gegen die DSGVO oder des DSG vor. ● Mitwirkung im Verwaltungsstrafverfahren: Der Beschuldigte hat auf die Aufforderungen der DSB im Verwaltungsstrafverfahren fristgerecht reagiert und kam der Ladung zur Einvernahme per Videokonferenz nach. Dadurch hat er im Ermittlungsverfahren der DSB mitgewirkt und einen Beitrag zur Wahrheitsfindung geleistet. Dies wurde als strafmildernd berücksichtigt. ● Der Beschuldigte räumte gegenüber der DSB die heimliche Aufzeichnung innerhalb der WC-Anlagen ein (Geständnis) und gab zudem mehrmals an, dass er es künftig unterlassen wird, eine derartige Verarbeitung vorzunehmen („es war ein einmaliger Blödsinn“). Bei seiner Einvernahme am 14.06.2022 zeigte sich der Beschuldigte reuig und erweckte den Eindruck, dass er seine Taten bereut und mit diesem Kapitel abschließen möchte. Diese Umstände wurden ebenfalls als strafmildernd berücksichtigt. 4.9. Das Vorbringen des Beschuldigten, wonach es keine geschädigten Personen gab und dies ebenfalls als strafmildernd zu berücksichtigen sei, kann von der DSB nicht nachvollzogen werden. Der Eingriff des Beschuldigten in das Grundrecht auf Geheimhaltung der Betroffenen wurde von der DSB, wie oben ausgeführt, als gravierend bewertet und die Geheimhaltungsinteressen der Betroffene wurden vom Beschuldigten schwer verletzt. Außerdem kommt ein mangelnder Schaden nach der Rechtsprechung des VwGH bei einem Ungehorsamsdelikt im Sinne des § 5 Abs. 1 zweiter Satz VStG nicht als Milderungsgrund in Betracht (vgl. VwGH 31.03.2000, 99/02/0352; 16.12.1998, 98/03/0222). Aus dem Vorbringen, wonach der Beschuldigte die Aufzeichnungen nur persönlichen einsah und diese nicht für Schädigung oder Erpressung einer Person oder für wirtschaftliche Interessen verwendete, kann für den Beschuldigten daher nach Ansicht der DSB ebenfalls keine Strafmilderung gewonnen werden.Das Vorbringen des Beschuldigten, wonach es keine geschädigten Personen gab und dies ebenfalls als strafmildernd zu berücksichtigen sei, kann von der DSB nicht nachvollzogen werden. Der Eingriff des Beschuldigten in das Grundrecht auf Geheimhaltung der Betroffenen wurde von der DSB, wie oben ausgeführt, als gravierend bewertet und die Geheimhaltungsinteressen der Betroffene wurden vom Beschuldigten schwer verletzt. Außerdem kommt ein mangelnder Schaden nach der Rechtsprechung des VwGH bei einem Ungehorsamsdelikt im Sinne des Paragraph 5, Absatz eins, zweiter Satz VStG nicht als Milderungsgrund in Betracht vergleiche VwGH 31.03.2000, 99/02/0352; 16.12.1998, 98/03/0222). Aus dem Vorbringen, wonach der Beschuldigte die Aufzeichnungen nur persönlichen einsah und diese nicht für Schädigung oder Erpressung einer Person oder für wirtschaftliche Interessen verwendete, kann für den Beschuldigten daher nach Ansicht der DSB ebenfalls keine Strafmilderung gewonnen werden. 4.10. In Bezug auf das Einkommen des Beschuldigten ging die DSB von einem monatlichen Nettoeinkommen in der Höhe von EUR 3.979,- (12x im Jahr) aus. Die Ansicht des Beschuldigten, wonach bei der Festlegung seines Einkommens die von ihm für die Instandhaltung der XXX zu bildenden Rücklagen abzuziehen seien und somit ein monatliches Nettoeinkommen in der Höhe von EUR 2.018 (12x im Jahr) als Grundlage für die Berechnung der Geldstrafe heranzuziehen sei, wird von der DSB nicht vertreten.In Bezug auf das Einkommen des Beschuldigten ging die DSB von einem monatlichen Nettoeinkommen in der Höhe von EUR 3.979,- (12x im Jahr) aus. Die Ansicht des Beschuldigten, wonach bei der Festlegung seines Einkommens die von ihm für die Instandhaltung der römisch 30 zu bildenden Rücklagen abzuziehen seien und somit ein monatliches Nettoeinkommen in der Höhe von EUR 2.018 (12x im Jahr) als Grundlage für die Berechnung der Geldstrafe heranzuziehen sei, wird von der DSB nicht vertreten. 4.11. In diesem Zusammenhang ist eingangs darauf hinzuweisen, dass nach der Rechtsprechung des VwGH der im § 19 Abs. 2 VStG verwendete Begriff des Einkommens nicht mit dem Begriff des steuerpflichtigen Einkommens nach dem des Einkommenssteuergesetzes (EStG 1988) ident ist (vgl. VwGH 21.02.1989, 88/05/0222). Verbindlichkeiten wie beispielsweise Leasing-Raten für ein Kraftfahrzeug (vgl. OLG Wien 28.06.1988, 23 Bs 287/88) oder die Kreditraten für eine Eigentumswohnung (vgl. Wessely in Rauscher/Wessely, VStG2 § 19, Rz 21c mit Verweis auf OGH ZVR 1989/164) haben daher außer Betracht zu bleiben. Nichts Anderes kann für die vom Beschuldigten ins Treffen geführten Rücklagen für die Instandsetzungsarbeiten in Bezug auf seine vermieteten XXX gelten. An dieser Stelle kann vollständigkeitshalber auch auf die ständige Rechtsprechung des VwGH zur Verhängung von Geldstrafen verwiesen werden, wonach auch über Personen, die kein oder nur ein geringes Einkommen beziehen, Geldstrafen verhängt werden können. Die Geldstrafe ist insofern auch dann zulässig, wenn die Vermögens- und Einkommensverhältnisse des Bestraften es wahrscheinlich erscheinen lassen, dass er nicht in der Lage sein wird, sie zu bezahlen (vgl. VwGH 30.1.2014, 2013/03/0129). Ferner bedeutet das Vorliegen ungünstiger Einkommens- und Vermögensverhältnisse nicht, dass ein Anspruch auf Verhängung der Mindeststrafe besteht (vgl. VwGH 1.10.2014, Ra 2014/09/0022 mit Hinweis auf VwGH 16.9.2009, 2009/09/0150).In diesem Zusammenhang ist eingangs darauf hinzuweisen, dass nach der Rechtsprechung des VwGH der im Paragraph 19, Absatz 2, VStG verwendete Begriff des Einkommens nicht mit dem Begriff des steuerpflichtigen Einkommens nach dem des Einkommenssteuergesetzes (EStG 1988) ident ist vergleiche VwGH 21.02.1989, 88/05/0222). Verbindlichkeiten wie beispielsweise Leasing-Raten für ein Kraftfahrzeug vergleiche OLG Wien 28.06.1988, 23 Bs 287/88) oder die Kreditraten für eine Eigentumswohnung vergleiche Wessely in Rauscher/Wessely, VStG2 Paragraph 19,, Rz 21c mit Verweis auf OGH ZVR 1989/164) haben daher außer Betracht zu bleiben. Nichts Anderes kann für die vom Beschuldigten ins Treffen geführten Rücklagen für die Instandsetzungsarbeiten in Bezug auf seine vermieteten römisch 30 gelten. An dieser Stelle kann vollständigkeitshalber auch auf die ständige Rechtsprechung des VwGH zur Verhängung von Geldstrafen verwiesen werden, wonach auch über Personen, die kein oder nur ein geringes Einkommen beziehen, Geldstrafen verhängt werden können. Die Geldstrafe ist insofern auch dann zulässig, wenn die Vermögens- und Einkommensverhältnisse des Bestraften es wahrscheinlich erscheinen lassen, dass er nicht in der Lage sein wird, sie zu bezahlen vergleiche VwGH 30.1.2014, 2013/03/0129). Ferner bedeutet das Vorliegen ungünstiger Einkommens- und Vermögensverhältnisse nicht, dass ein Anspruch auf Verhängung der Mindeststrafe besteht vergleiche VwGH 1.10.2014, Ra 2014/09/0022 mit Hinweis auf VwGH 16.9.2009, 2009/09/0150). 4.12. Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Die Aufsichtsbehörden müssen zudem nach Art. 83 Abs. 1 DSGVO sicherstellen, dass die Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sind.Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden vergleiche VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Die Aufsichtsbehörden müssen zudem nach Artikel 83, Absatz eins, DSGVO sicherstellen, dass die Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sind. 4.13. Eines der wesentlichen Ziele der DSGVO ist gemäß Art. 1 Abs. 2 DSGVO der Schutz von Grundrechten und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten nach Art. 8 EU-GRC. Der Beschuldigte hat die Grundrechte der Betroffenen, wie oben ausgeführt, schwer verletzt. Die Verhängung der konkreten Geldstrafe ist daher jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche, die eine Bildverarbeitungsanlage betreiben, in diesem Zusammenhang zu sensibilisieren, insbesondere dahingehend, dass eine derartige Verarbeitung zum Zwecke der Gewährleistung von technischen Interessen keine Deckung in der Rechtfertigungsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO findet.Eines der wesentlichen Ziele der DSGVO ist gemäß Artikel eins, Absatz 2, DSGVO der Schutz von Grundrechten und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten nach Artikel 8, EU-GRC. Der Beschuldigte hat die Grundrechte der Betroffenen, wie oben ausgeführt, schwer verletzt. Die Verhängung der konkreten Geldstrafe ist daher jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche, die eine Bildverarbeitungsanlage betreiben, in diesem Zusammenhang zu sensibilisieren, insbesondere dahingehend, dass eine derartige Verarbeitung zum Zwecke der Gewährleistung von technischen Interessen keine Deckung in der Rechtfertigungsgrundlage nach Artikel 6, Absatz eins, Litera f, DSGVO findet. 4.14. Die DSB geht davon aus, dass der Beschuldigte es künftig unterlassen wird, derartige Aufzeichnungen vorzunehmen. Der Beschuldigte gab gegenüber der DSB jedenfalls mehrmals an, dass er künftig von solchen Aufzeichnungen Abstand nehmen wird. Daher liegen nach Ansicht der DSB keine spezialpräventiven Gründe vor. 4.15. Die konkret verhängte Geldstrafe in Höhe von EUR 25.000,- erscheint daher im Lichte der oben angeführten Strafbemessungsgründe, vor allem dem großen Unrechtsgehalt der Tat, aus generalpräventiven Gründen und dem groben Verschulden des Beschuldigten sowie unter Berücksichtigung der Einkommens- und Vermögensverhältnisse des Beschuldigten und des zur Verfügung stehenden Strafrahmens des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) im Ergebnis tat- und schuldangemessen.Die konkret verhängte Geldstrafe in Höhe von EUR 25.000,- erscheint daher im Lichte der oben angeführten Strafbemessungsgründe, vor allem dem großen Unrechtsgehalt der Tat, aus generalpräventiven Gründen und dem groben Verschulden des Beschuldigten sowie unter Berücksichtigung der Einkommens- und Vermögensverhältnisse des Beschuldigten und des zur Verfügung stehenden Strafrahmens des Artikel 83, Absatz 5, DSGVO (hier bis zu EUR 20.000.000) im Ergebnis tat- und schuldangemessen. European Case Law IdentifierECLI:AT:DSB:2022:2022.0.585.764

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.