← Österreich

{'item': '2024-0.044.042'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum26.01.2024 Geschäftszahl2024-0.044.042 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2024-0.044.042 vo

Artikel 4Z 7 DSGVO? Risikofaktor: Hoch

Wer ist Verantwortlicher

Artikel 4Ziffer 7, DSGVO? Risikofaktor: Hoch Dazu wird in der Datenschutzinformation von Data

Viewing*** ausgeführt: „DataViewing*** ist als eigenständige Verantwortliche einzustufen. DataViewing*** bestimmt z.B. ihre eigenen Verarbeitungszwecke sowie die technischen Mittel, mit denen die personenbezogenen Daten verarbeitet werden, u.a. wie die Aufnahmen mittels unserer patentierten Technologie erfasst und auf unseren Cloud-Servern gespeichert werden. Wir bestimmen auch, von welchen Gebieten wir in welcher Granularität Aufnahmen erstellen, welche Kunden Zugang zu unserer Datenbank erhalten oder wie lange die Aufnahmen aufbewahrt werden. Wir erstellen keine exklusiven oder gesonderten Bilder im Auftrag unserer Kunden, sondern erfassen Gebiete aus eigener Initiative, da wir eine vollständige Abdeckung des öffentlichen Straßenraums anstreben. Aus Effizienz und Logistikgründen priorisieren wir je nach Sachlage die Erfassung von Gebieten, in denen wir bereits mindestens einen Kunden bzw. Interessenten gewonnen haben und weitere Potentiale erkennen. Alle Kunden in einem bestimmten Gebiet greifen jedoch auf den gleichen Datensatz zu und verwenden keinen eigens für sie erstellten. Wir richten uns also nicht nach den Anforderungen eines spezifischen Kunden und behalten die Kontrolle über die verarbeiteten Aufnahmen.“ In Pkt. 1.

  1. des Anhangs – Schutz Personenbezogener Daten wird von DataViewing*** ausgeführt: „Dieser Anhang gilt, soweit DataViewing*** personenbezogene Daten, wie nachfolgend beschrieben, an den Datenempfänger überträgt, die der Datenempfänger als eigenständig Verantwortlicher verarbeitet. DataViewing*** und der Datenempfänger erkennen an, dass beide jeweils für sich die von ihnen verarbeiteten personenbezogenen Daten als unabhängige, selbständige Verantwortliche (im Sinne von Art. 4 Nr. 7 Datenschutz-Grundverordnung ("DSGVO"); die Parteien sind keine gemeinsam Verantwortlichen) verarbeiten. Sowohl der Datenempfänger als auch DataViewing*** handelt dabei in Übereinstimmung mit der DSGVO und allen weiteren gesetzlichen Vorschriften, Verhaltenskodizes und sonstigen anwendbaren Datenschutzbestimmungen.“„Dieser Anhang gilt, soweit DataViewing*** personenbezogene Daten, wie nachfolgend beschrieben, an den Datenempfänger überträgt, die der Datenempfänger als eigenständig Verantwortlicher verarbeitet. DataViewing*** und der Datenempfänger erkennen an, dass beide jeweils für sich die von ihnen verarbeiteten personenbezogenen Daten als unabhängige, selbständige Verantwortliche (im Sinne von Artikel 4, Nr. 7 Datenschutz-Grundverordnung ("DSGVO"); die Parteien sind keine gemeinsam Verantwortlichen) verarbeiten. Sowohl der Datenempfänger als auch DataViewing*** handelt dabei in Übereinstimmung mit der DSGVO und allen weiteren gesetzlichen Vorschriften, Verhaltenskodizes und sonstigen anwendbaren Datenschutzbestimmungen.“ Ferner wird im Pkt. 1.
  2. des DSGVO-Leitfadens von DataViewing*** ausgeführt: „Die DSGVO unterscheidet zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Diese Abgrenzung ist wichtig, weil sich die Zuständigkeiten und Pflichten eines Verantwortlichen von denen eines Auftragsverarbeiters unterscheiden. […]. Ausgehend von diesen Begrifflichkeiten ist DataViewing*** als eine Verantwortliche einzustufen. DataViewing*** bestimmt zum Beispiel die technischen Mittel, mit denen die personenbezogenen Daten verarbeitet werden, da die Aufnahmen mit unserer patentierten Technologie erfasst und auf unseren Cloud-Servern gespeichert werden. Wir bestimmen auch, von welchen Gebieten wir in welcher Granularität Aufnahmen erstellen, welche Kunden Zugang zu unserer Datenbank erhalten und wie lange die Aufnahmen aufbewahrt werden. Darüber hinaus erstellen wir keine exklusiven oder gesonderten Aufnahmen im Auftrag unserer Kunden, sondern erfassen Gebiete auf eigene Initiative, da wir eine vollständige Abdeckung des öffentlichen Straßenraums anstreben. Da unsere Daten unterschiedlichen Nutzergruppen aus diversen Branchen zugänglich gemacht werden, achten wir auf einen möglichst generischen Datensatz. Aus Effizienz- und Logistikgründen priorisieren wir je nach Sachlage die Erfassung von Gebieten, in denen wir bereits mindestens einen Kunden bzw. Interessenten gewonnen haben und weiteres Potential erkennen. Alle Kunden in einem bestimmten Gebiet greifen jedoch auf den gleichen Datensatz in unserer Datenbank zu und verwenden keinen eigens für sie erstellten Datensatz. Wir richten uns also nicht nach den Anforderungen eines spezifischen Kunden, behalten die Kontrolle über die verarbeiteten Aufnahmen und entscheiden, welche Kunden Zugang zu den Daten haben. In Ziffer 2 weiter unten wird beschrieben, wie wir unseren DSGVO-Verpflichtungen als Verantwortliche nachkommen. Da Sie als unser Kunde das Bildmaterial für Ihre eigenen geschäftlichen Zwecke nutzen werden, sind auch Sie - wie DataViewing*** - als Verantwortlicher für Ihre eigene Datenverarbeitung einzustufen. Schließlich bestimmen Sie, ob die von Ihnen abgerufenen Aufnahmen für bestimmte Zwecke nützlich oder erforderlich sind, welcher Teil der Aufnahmen für diese Zwecke verwendet wird und welche Nutzer in Ihrer Organisation Zugang zu unserer Datenbank erhalten.“ Wer hat Zugriff auf die personenbezogenen Daten? Haben Auftrags-nehmer Zugriff auf diese Daten und geben diese wiederum an Subauftragsnehmer weiter? Risikofaktor: Mittel

(1)Zur Schaffung einer Geodaten-Infrastruktur MA **** Stadtvermessungsamt der Stadt N***
(2)zum Zweck der örtlichen Raumplanung: MA **** Stadtbaudirektion der Stadt N*** MA **** Stadtplanungsamt der Stadt N*** MA ****/3 Abteilung für **** & Gewässer der Stadt N*** MA ****/7 Abteilung für Verkehrsplanung der Stadt N***
(3)zur Verwaltung der Verkehrsflächen der Gemeinde, Straßenerhaltung an: MA **** Straßenamt der Stadt N*** Holding N*** Kommunale Dienste GmbH, Spartenbereich Stadtraum (Im Rahmen des Service-Level-Agreements bzw. Betriebsführungsvertrags zwischen Stadt N*** und Holding N*** zur Straßenerhaltung) Die See*** Street **** App – Lösung der Firma DataViewing*** AG hingegen wird von der Stadt N*** nicht eingesetzt werden und wurde diesbezüglich auch kein Lizenzvertrag abgeschlossen. Werden die Daten an andere Organisationseinheiten weitergegeben (Übermittlung) oder an externe Dritte? Risikofaktor: Niedrig Nein. Eine Veröffentlichung der lizenzierten Bilddaten im Internet, oder auch eine Überlassung an Dritte durch die Stadt N***, ist vertraglich nicht gestattet (Pkt. 4 des DSGVO-Leitfadens von DataViewing***). Werden Daten auch außerhalb der EU/EWR weitergeleitet oder haben Personen daraus Zugriff? Risikofaktor: Niedrig Nein, Jedenfalls nicht durch die Stadt N***. Wo werden die personenbezogenen Daten gespeichert? Risikofaktor: Niedrig Die Nutzung der lizenzierten Bilddaten durch die Stadt N*** erfolgt mittels Web-Viewer in der Anwendung See*** Street **** über das SaaS-Service. Es erfolgt keine strukturierte lokale Speicherung des gesamten Bildmaterials aus der SaaS-Anwendung. Fallbezogen werden auf Sachbearbeiterebene aus der Anwendung mit Screenshot Bilder kopiert und lokal in Fileservern bzw. ELAK-Anwendungen weiterverarbeitet. Wie lange werden die personenbezogenen Daten gespeichert? Risikofaktor: Niedrig Speicherdauer wird Pkt. 3.3. des DSGVO-Leitfadens von DataViewing***, S. 10, ausgeführt: „Speicherdauer: Angabe, wie lange die Aufnahmen von Ihrer Organisation gespeichert werden (falls Sie Kopien angefertigt haben) oder von Ihnen verwendet werden (falls Sie keine Kopien angefertigt haben, entspräche dies der Laufzeit Ihres Lizenzvertrags mit DataViewing***).“ Die Verarbeitung über Web-Viewer im SaaS-Service erfolgt für die Dauer der Lizenzvereinbarung. Die Stadt N*** hat aktuell eine auf 24 Monate befristete Lizenzvereinbarung auf die SaaS-Anwendung ab Lieferung. Jedoch werden die verarbeiteten Daten und Bilder von DataViewing*** an die Stadt N*** auf Festplatte geliefert (Antwortschreiben DataViewing*** an Stadt N*** vom 5. 9. 2023, Seite 11). 2. Rechtliche Beurteilung (
  1. a)Schwellwertanalyse Vorfrage: Ist die Verarbeitung in der Datenschutz-Folgenabschätzung-Ausnahmenverordnung (DSFA-AV, BGBl. II Nr. 108/2018) oder in der Datenschutz-Folgenabschätzung-Verordnung (DSFA-V, BGBl. II Nr. 278/2018) gelistet?Vorfrage: Ist die Verarbeitung in der Datenschutz-Folgenabschätzung-Ausnahmenverordnung (DSFA-AV, Bundesgesetzblatt Teil 2, Nr. 108 aus 2018,) oder in der Datenschutz-Folgenabschätzung-Verordnung (DSFA-V, Bundesgesetzblatt Teil 2, Nr. 278 aus 2018,) gelistet? Ist eine Datenschutzfolgenabschätzung jedenfalls erforderlich oder kann sie entfallen? Ja. Erforderlichkeit gem. § 2 Abs. 2 Z 3 lit
  2. a)und lit
  3. c)DSFA-V BGBl II Nr. 278/2018.Ja. Erforderlichkeit gem. Paragraph 2, Absatz 2, Ziffer 3, Litera a,) und Litera c,) DSFA-V Bundesgesetzblatt Teil 2, Nr. 278 aus 2018,. Liegt eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche vor? Ja, allerdings handelt es sich nicht um eine permanente Überwachung, sondern nur um eine Momentaufnahme zu einem bestimmten Zeitpunkt. Nochmalige Befahrungen sind innerhalb weniger Jahre möglich. (
  4. b)Rechtliche Risikobewertung Erfolgt die Verarbeitung zu festgelegten, eindeutigen und legitimen Zwecken? 1) Schaffung einer Geodateninfrastruktur für Zwecke der Umweltpolitik und anderer politischer Maßnahmen oder Tätigkeiten, die direkte oder indirekte Auswirkungen auf die Umwelt haben können. Rechtsgrundlagen: ● Art. 6 Abs. 1 lit
  5. e)DSGVOArtikel 6, Absatz eins, Litera e,) DSGVO ● § 41 Abs. 3 Statut der Stadt N***Paragraph 41, Absatz 3, Statut der Stadt N*** ● […]
(2)Grundlagenforschung für die örtliche Raumplanung als Datenbasis für die der gesetzlich vorgesehenen Raumplanungsinstrumente Rechtsgrundlagen: ● Art. 6 Abs. 1 lit e) DSGVOArtikel 6, Absatz eins, Litera e,) DSGVO ● § 41 Abs. 2 Z 11 Statut der Stadt N*** „örtliche Raumplanung“Paragraph 41, Absatz 2, Ziffer 11, Statut der Stadt N*** „örtliche Raumplanung“ ● […]
(3)Verwaltung der Verkehrsflächen der Gemeinde, Straßenerhaltung Rechtsgrundlagen: ● Art. 6 Abs. 1 lit
  1. e)bzw. lit
  2. f)DSGVOArtikel 6, Absatz eins, Litera e,) bzw. Litera f,) DSGVO ● § 41 Abs. 2 Z 8 Statut der Stadt N*** „Verwaltung der Verkehrsflächen der Gemeinde“ Paragraph 41, Absatz 2, Ziffer 8, Statut der Stadt N*** „Verwaltung der Verkehrsflächen der Gemeinde“ ● […] […] Werden nur die für den konkreten Zweck notwendigen Daten verarbeitet oder gibt es gelindere Mittel? Können statt personenbezogenen Daten auch anonyme Daten verwendet werden? ● Panoramabilder werden zu den oben genannten Zwecken verarbeitet. ● Ziel der Bildverarbeitung zum öffentlichen N***er Straßennetz ist die Bereithaltung einer Datengrund-lage zu Objektdaten ● Folgende Maßnahmen werden seitens des Lizenzgebers ergriffen, um das in der SaaS-Anwendung bereit gestellte Bildmaterial zu pseudonymisieren: Pkt. 2.2. des DSGVO-Leitfadens von DataViewing*** lautet dazu: „Unkenntlichmachung: Da Gesichter und Nummernschilder für den Zweck der Verarbeitung bedeutungslos sind, setzen wir ein Soft-ware-Tool ein, das Gesichter und Nummernschilder in den Aufnahmen automatisch erkennt und unkenntlich macht ("Blurring"). Dieses Software-Tool verwendet einen von DataViewing*** entwickelten Algorithmus, der mithilfe von Datensätzen mit Panoramafotos aus dem Straßenraum "trainiert" wurde. Unsere Kunden erhalten erst dann Zugang zu den Straßenbildern in unserer Datenbank, wenn die Rohdaten durch dieses Software-Tool entsprechend den Blurring-Prozess durchlaufen haben. Es ist wichtig festzuhalten, dass dieser Prozess der Unkenntlichmachung von Gesichtern und Nummernschildern irreversibel ist; selbst wir können dies in den Rohdaten nicht rückgängig machen.“ „Weitere Beispiele für Maßnahmen, die wir getroffen haben: ● Unsere Aufnahmen werden von uns nicht öffentlich zugänglich gemacht (z. B. im Internet); ● Unsere Kunden haben keinen Zugang zu sämtlichen Aufnahmen, sondern nur zu den relevanten geographischen Bereichen innerhalb der Bilddatenbank, für die sie eine räumlich abgegrenzte Lizenz erworben haben; ● Die Datenbank wird auf Hochsicherheitsservern gespeichert; ● Wir verwenden Passwörter, Kennungen und andere technische Sicherheitsmaßnahmen, um unbefugten Zugriff auf unsere Datenbank zu verhindern; ● Kunden erhalten erst dann Zugang zu unserer Datenbank, wenn die Rohdaten mithilfe des DataViewing*** Software-Tools dem Blurring-Prozess unterzogen worden sind; ● Die Speicherung des Rohbildmaterials - vor Ausführung der Unkenntlichmachung – erfolgt in einem nicht-offenen, proprietären Format; ● Das Unkenntlichmachen findet innerhalb der Rohdaten statt; ● Das Bildmaterial ist nur für Mitarbeiter und/oder Dritte zugänglich, deren Arbeit und Tätigkeitsbereich den Zugriff auf diese Daten erfordern und die dazu ausdrücklich berechtigt wurden; ● Alle Mitarbeiter und/oder Dritte, die zum Zugriff auf das Bildmaterial berechtigt sind, werden ordnungsgemäß und vollständig über ihre Verpflichtungen hinsichtlich der rechtmäßigen Verarbeitung des Bildmaterials und der aus diesem Material abgeleiteten Daten informiert; ● Alle erteilten Berechtigungen werden rechtzeitig geändert, wenn Mitarbeiter andere Aufgaben übernehmen oder das Unternehmen verlassen; ● Alle erteilten Berechtigungen und alle diesbezüglichen Änderungen werden regelmäßig überprüft; und ● In unserer Anwendung See*** Street **** steht eine "Blurring-Schaltfläche" zur Verfügung, mit dem die Nutzer der Datenbank DataViewing*** auf einfachem Wege benachrichtigen können, falls ein Gesicht oder ein Nummernschild ausnahmsweise nicht (ausreichend) unkenntlich gemacht wurde. DataViewing*** wird dann bei Bedarf die entsprechenden Stellen manuell unkenntlich machen.“ Im Antwortschreiben von DataViewing*** Deutschland AG an die Stadt N***, Seite 11, zur Einhaltung der Ausschreibungsbedingungen wird dazu ferner ausgeführt: „Die Verpixelung von KFZ-Kennzeichen und Gesichtern ist im Zuge des Datenschutzes (DSGVO) gesetzlich vorgeschrieben. DataViewing*** hat hierfür einen teilautomatisierten Prozess entwickelt, um den Datenschutzanforderungen nachzukommen. Der Prozess besteht aus mehreren Schritten: ● Erkennung ● Überprüfung ● Verpixelung nach Stand der Technik (automatisch oder, wenn erforderlich, manuell: mindestens 95%) ● Melden von Fehlern über die Nachverpixelungsfunktion in der Software „See*** Street ****“: Etwaige Meldungen werden innerhalb von maximal 10 Werktagen bearbeitet und korrigiert“ Aus Sicht der Stadt N*** sind zum dargestellten Prozess der Verpixelung gelindere Mittel nicht umsetzbar, da bei einer Bilderfassung des N***er Straßennetzes Personen und Fahrzeuge nicht komplett ausgeblendet werden können, ohne die Erreichung des Zwecks der Verarbeitung, nämlich die Bereitstellung eines möglichst durchgängigen Datensatzes von Panoramabildern unmöglich zu machen. Werden die Daten nur solange (personenbezogen) aufbewahrt, als dies zur Erreichung des Zwecks absolut erforderlich ist? Da es sich um Bildmaterial handelt, das vom Lizenzgeber DataViewing*** über Web-View in einem prozessierten, also weitgehend verpixelten Format zugänglich ist, unterliegt dieses keiner Befristung. Der Web-View besteht für die Dauer der Lizenzvereinbarung. Eine Lokale Speicherung durch die Stadt N*** als Lizenznehmer ist vertraglich möglich, das gesamte Bildmaterial wird aber von der Stadt N*** nicht als Datenkopie verarbeitet, sondern es werden nur unstrukturiert im Anlassfall für die genannten Verwaltungszwecke Bilder mit Screenshot erstellt und lokal gespeichert. Haben nur die Personen Zugriff auf personenbezogene Daten, die diese tatsächlich im Rahmen der Zweckerfüllung benötigen? Ja dies trifft zu. Nur Bediensteten aus den relevanten Abteilungen im Magistrat N*** erhalten über die Anwendung See*** Street **** eine Zugriffsberechtigung. Wurde der Betroffene ausreichend informiert? Die nach Art 13 und 14 DSGVO erforderlichen Informationen wurden auf der Website der Stadt N*** unter www.n***.gv.at/datenschutzinformation unter dem Link Panoramabilder des N***er Straßennetzes veröffentlicht.Die nach Artikel 13, und 14 DSGVO erforderlichen Informationen wurden auf der Website der Stadt N*** unter www.n***.gv.at/datenschutzinformation unter dem Link Panoramabilder des N***er Straßennetzes veröffentlicht. […] 3. Technische Risikobewertung Das technische Risiko für die Phase der Bildaufnahme im Zuge der Befahrung des N***er Stadtgebietes trägt ausschließlich die Firma DataViewing*** AG, weil diese laut eigenen Angaben selbst Verantwortlicher zur Datenverarbeitung aus rechtlicher Sicht ist. Dieses technische Risiko ist also aus Sicht der Stadt N*** nicht zu bewerten, da die Stadt N*** nur Lizenznehmerin für das prozessierte Bildmaterial ist. Das technische Risiko wird aus Sicht der Stadt N*** als Lizenznehmerin für die unkenntlich gemachten personenbezogenen Daten als niedrig eingestuft, weil diese Bilddaten ausschließlich auszugsweise auf gesicherten Servern in den Rechenzentren der Stadt N*** gespeichert werden. Der Zugriffsschutz ist über ein etabliertes Berechtigungskonzept gewährleistet. Die Übertragung über Internet erfolgt über eine verschlüsselte Verbindung. Zusätzlich werden diese anonymisierten Bilddaten des N***er Stadtgebietes nicht über Internet einer breiten Öffentlichkeit zur Verfügung gestellt. Als Backup erhält die Stadt N*** eine Festplatte mit allen prozessierten Daten (siehe Antwortschreiben von DataViewing*** vom 5. 9. 2023, Seite 11). Diese Festplatte muss gesichert aufbewahrt werden. 4. Maßnahmen zur Risikobegrenzung Festgestelltes Risiko Wahrscheinlichkeit eines Risikoeintritts, Auswirkung und Folgen für betroffene Personen Maßnahmen zur Risikobegrenzung Restrisiko Gefahr, dass personenbezogene Informationen von Unbefugten missbräuchlich verwendet werden, dadurch, dass zB Personen auf verarbeiteten Bildern zu erkennen sind. mittel; Es könnten für Betroffene Nachteile im täglichen Leben entstehen (zB Hinweise auf Religionszugehörigkeit, Krankheit, soziale Kontakte). Diskriminierung des Betroffenen in einem Teilbereich seines Lebens (z.B. an der Arbeitsstelle durch Kol- legen)- - Vertraglicher Ausschluss der Aufnahme bestimmter schützenswerter/sensibler Gebiete - irreversible Verpixelung von Bildern zur Unkenntlichmachung von Gesichtern (in besonders sensiblen Gebieten erfolgt die Verpixelung der gesamten Person) und KFZ-Kennzeichen - Funktion zur Nachverpixelung ist vorgesehen - Verwendung des Bildmaterials ausschließlich durch Lizenznehmer - Zugriff auf das Bildmaterial ausschließlich durch befugte und geschulte Mitarbeiterinnen (Zugriffs- und Zugangsbeschränkungen) - Zugriff auf das Bildmaterial durch verschlüsselte Internetverbindung -Verwendung des Bildmaterials ausschließlich für die definierten Zwecke - auszugsweise Speicherung des Bildmaterials innerhalb der gesicherten Rechenzentren der Stadt N*** - Verarbeitung des Bildmaterials durch DataViewing*** AG auf Basis deren Datenschutzerklärung - gesicherte Aufbewahrung der Festplatte mit den Backup-Daten niedrig Gefahr, dass Bilddaten für andere als die definierten Zwecke verwendet werden. mittel; Bei zweckentfremdeter Verwendung der Bilddaten werden Betroffene ihres Rechtes beraubt, jederzeit über ihre Daten verfügen zu können. - Zugriff auf das Bildmaterial ausschließlich durch befugte und geschulte Mitarbeiterinnen (Zugriffs- und Zugangsbeschränkungen) - organisationsinterne Festlegung, für welche Zwecke die Bilddaten verarbeitet werden dürfen (über „Informationen zur Verarbeitungstätigkeit") - Gewährleistung der Betroffenenrechte (Löschung, Berichtigung, Widerspruch etc.) niedrig mittel; Verwendung des Bildmaterials zur Verfolgung von Straftatbeständen gern. StVO => materieller Schaden für Betroffene - organisationsinterne Festlegung, für welche Zwe- cke die Bilddaten verarbeitet werden dürfen niedrig 5. Implementierung Wer ist für die Implementierung der getroffenen Maßnahmen zuständig? Für die Umsetzung der Maßnahmen sind die Fachabteilungen Stadtvermessungsamt und Straßenamt der Stadt N*** verantwortlich. Für jene Maßnahmen, die nur durch die Firma DataViewing*** AG durchgeführt werden können, ist die Firma DataViewing*** AG verantwortlich. angemessene Datensicherheitsmaßnahmen umgesetzt durch Verwendung geeigneter Technologie (IT-Sicherheit in den Rechenzentren der Stadt N***, Verpixelung nach dem Stand der Technik, Datenzugriff über verschlüsselte Internetverbindung). Zugriffsschutz durch Berechtigungen Berechtigungskonzept zum Zugriff auf das lizensierte Bildmaterial entsprechend den organisatorischen Regelungen und Strukturen der Stadt N***. vertragliche Festlegung der zu befahrenden Gebiete (Ausschluss sensibler Bereiche) Abschluss des Lizenzvertrages zwischen Stadt N*** und DataViewing*** AG zum gegebenen Datum. Nur geschulte Mitarbeiterinnen haben Zugriff auf das Bildmaterial Mitarbeiterinnen in den Fachabteilungen sind datenschutzrechtlich unterwiesen. Verwendung des Bildmaterials nur für die fest- gelegten Zwecke Veröffentlichte „Informationen zur Verarbeitungstätigkeit" im Internet auf der Homepage der Stadt N***. Beweiswürdigung: Die getroffenen Feststellungen beruhen auf den Eingaben der Antragstellerin vom 29. November 2023, vom 22. Dezember 2023 (ha. eingelangt am 29. Dezember 2023) und vom 9. Jänner 2024 sowie den im Zuge dessen jeweils in Kopie vorgelegten Dokumenten. Des Weiteren auf einer amtswegigen Abfrage der Webseite von DataViewing*** unter www.dataviewing***.com, letztmalig abgefragt durch die Datenschutzbehörde am 18. Jänner 2024. C. In rechtlicher Hinsicht folgt daraus: C.1. Allgemeines und anwendbare Rechtsvorschriften Personenbezogene Daten iSd. DSGVO sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Z 1 DSGVO).Personenbezogene Daten iSd. DSGVO sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Artikel 4, Ziffer eins, DSGVO). Laut ErwG 26 der DSGVO sollten bei der Beurteilung der Identifizierbarkeit alle Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, berücksichtigt werden. Insbesondere auch objektive Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand. Das von einer Kamera aufgezeichnete (aufgenommene) Bild einer Person fällt unter den Begriff der personenbezogenen Daten, sofern es die Identifikation der betroffenen Person ermöglicht (vgl. EuGH 11.12.2014, C-212/13, Rz 22). Zudem stellen Bildverarbeitungen (mittels Kameras) regelmäßig eine automatisierte Verarbeitung iSd. DSGVO dar. Die Legaldefinition nach Art. 4 Z 2 verlangt dabei keine „Mindestverarbeitung“, etwa in Form einer andauernden Aufzeichnung bzw. Speicherung (vgl. hierzu Erkenntnis des BVwG vom 3.9.2019, GZ: W214 2219944-1). Das von einer Kamera aufgezeichnete (aufgenommene) Bild einer Person fällt unter den Begriff der personenbezogenen Daten, sofern es die Identifikation der betroffenen Person ermöglicht vergleiche EuGH 11.12.2014, C-212/13, Rz 22). Zudem stellen Bildverarbeitungen (mittels Kameras) regelmäßig eine automatisierte Verarbeitung iSd. DSGVO dar. Die Legaldefinition nach Artikel 4, Ziffer 2, verlangt dabei keine „Mindestverarbeitung“, etwa in Form einer andauernden Aufzeichnung bzw. Speicherung vergleiche hierzu Erkenntnis des BVwG vom 3.9.2019, GZ: W214 2219944-1). Sofern Personen, welche den überwachten Bereich betreten, anhand ihres Aussehens oder anderer spezifischer Merkmale identifizierbar sind, handelt es sich um die Verarbeitung von personenbezogenen Daten. Das potenzielle Risiko des Missbrauchs dieser Daten wächst mit der Größe des überwachten Bereichs und der Zahl der den Bereich frequentierenden Personen (vgl. EDPB-Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Rz. 7). Sofern Personen, welche den überwachten Bereich betreten, anhand ihres Aussehens oder anderer spezifischer Merkmale identifizierbar sind, handelt es sich um die Verarbeitung von personenbezogenen Daten. Das potenzielle Risiko des Missbrauchs dieser Daten wächst mit der Größe des überwachten Bereichs und der Zahl der den Bereich frequentierenden Personen vergleiche EDPB-Leitlinien 3 aus 2019, zur Verarbeitung personenbezogener Daten durch Videogeräte, Rz. 7). Bilddaten stellen jedoch nicht per se eine besondere Kategorie personenbezogener Daten dar (vgl. den Bescheid der DSB vom 7.6.2018, GZ: DSB-D202.207/0001-DSB/2018).Bilddaten stellen jedoch nicht per se eine besondere Kategorie personenbezogener Daten dar vergleiche den Bescheid der DSB vom 7.6.2018, GZ: DSB-D202.207/0001-DSB/2018). Der Personenbezug von KFZ-Kennzeichen ergibt sich aus der in § 47 Abs. 2a KFG 1967 normierten Möglichkeit der Auskunftserteilung, welche eine Identifizierbarkeit eines Zulassungsbesitzers mit verhältnismäßigen Mitteln ermöglicht (vgl. etwa den Bescheid der DSB vom 27. August 2019, GZ: DSB-D124.104/0005-DSB/2019).Der Personenbezug von KFZ-Kennzeichen ergibt sich aus der in Paragraph 47, Absatz 2 a, KFG 1967 normierten Möglichkeit der Auskunftserteilung, welche eine Identifizierbarkeit eines Zulassungsbesitzers mit verhältnismäßigen Mitteln ermöglicht vergleiche etwa den Bescheid der DSB vom 27. August 2019, GZ: DSB-D124.104/0005-DSB/2019). Verantwortlicher iSd. DSGVO ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Art. 4 Z 7 DSGVO). Verantwortlicher iSd. DSGVO ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Artikel 4, Ziffer 7, DSGVO). Die Ermittlung und Festlegung der datenschutzrechtlichen Rollenverteilung ist nicht nur im Beschwerdeverfahren gem. Art. 77 Abs. 1 DSGVO, sondern in jedem denkmöglichen Verfahren vor der Datenschutzbehörde unabdingbarer Ausgangspunkt für eine weitergehende inhaltliche Prüfung. Erst auf diese Weise kann nämlich beurteilt werden, wem die Einhaltung der in der DSGVO festgelegten Pflichten (Art. 24 ff; gegenständlich: Art. 36 DSGVO) tatsächlich obliegt bzw. wem allfällige Verstöße und Verletzungen zuzurechnen wären. Die Ermittlung und Festlegung der datenschutzrechtlichen Rollenverteilung ist nicht nur im Beschwerdeverfahren gem. Artikel 77, Absatz eins, DSGVO, sondern in jedem denkmöglichen Verfahren vor der Datenschutzbehörde unabdingbarer Ausgangspunkt für eine weitergehende inhaltliche Prüfung. Erst auf diese Weise kann nämlich beurteilt werden, wem die Einhaltung der in der DSGVO festgelegten Pflichten (Artikel 24, ff; gegenständlich: Artikel 36, DSGVO) tatsächlich obliegt bzw. wem allfällige Verstöße und Verletzungen zuzurechnen wären. Die Rolle des Verantwortlichen ergibt sich dabei in erster Linie aus dem Faktum, dass eine bestimmte Stelle tatsächlich entschieden hat, personenbezogene Daten für ihre Zwecke zu verarbeiten. Der „Zweck“ beschreibt dabei ein erwartetes Ergebnis, während die „Mittel“ die Art und Weise festlegen, wie das erwartete Ergebnis erreicht werden soll (vgl. Art. 29-Datenschutzgruppe Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, WP 169).Die Rolle des Verantwortlichen ergibt sich dabei in erster Linie aus dem Faktum, dass eine bestimmte Stelle tatsächlich entschieden hat, personenbezogene Daten für ihre Zwecke zu verarbeiten. Der „Zweck“ beschreibt dabei ein erwartetes Ergebnis, während die „Mittel“ die Art und Weise festlegen, wie das erwartete Ergebnis erreicht werden soll vergleiche Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, Stellungnahme 1 aus 2010, zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, WP 169). Gemäß Art. 36 Abs. 1 DSGVO konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung gemäß Art. 35 leg. cit. hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft. Falls die Aufsichtsbehörde der Auffassung ist, dass die geplante Verarbeitung nicht im Einklang mit dieser Verordnung stünde, unterbreitet sie dem Verantwortlichen entsprechende schriftliche Empfehlungen und kann ihre in Art. 58 DSGVO genannten Befugnisse ausüben (Abs. 2 leg. cit.).Gemäß Artikel 36, Absatz eins, DSGVO konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung gemäß Artikel 35, leg. cit. hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft. Falls die Aufsichtsbehörde der Auffassung ist, dass die geplante Verarbeitung nicht im Einklang mit dieser Verordnung stünde, unterbreitet sie dem Verantwortlichen entsprechende schriftliche Empfehlungen und kann ihre in Artikel 58, DSGVO genannten Befugnisse ausüben (Absatz 2, leg. cit.). Der Verantwortliche stellt der Aufsichtsbehörde dabei die in Art. 36 Abs. 3 lit. a bis lit. f DSGVO genannten Informationen – dabei insbesondere die Datenschutz-Folgenabschätzung - zur Verfügung.Der Verantwortliche stellt der Aufsichtsbehörde dabei die in Artikel 36, Absatz 3, Litera a bis Litera f, DSGVO genannten Informationen – dabei insbesondere die Datenschutz-Folgenabschätzung - zur Verfügung. Auch wenn dies aus der deutschen Fassung – anders als bei anderen Sprachfassungen (englisch etwa „shall“) - nicht unzweideutig hervorvorgeht, muss schon aufgrund einer systematischen Betrachtung der DSGVO (Normierung der Pflichten des Verantwortlichen in Kapitel 4) sowie der Strafbewehrtheit eines Verstoßes (vgl. Art. 84 Abs. 4 lit. a DSGVO) davon ausgegangen werden, dass es sich bei der vorherigen Konsultation bei Vorliegen der Voraussetzungen um eine Verpflichtung des Verantwortlichen – keine bloße Möglichkeit – handelt.Auch wenn dies aus der deutschen Fassung – anders als bei anderen Sprachfassungen (englisch etwa „shall“) - nicht unzweideutig hervorvorgeht, muss schon aufgrund einer systematischen Betrachtung der DSGVO (Normierung der Pflichten des Verantwortlichen in Kapitel 4) sowie der Strafbewehrtheit eines Verstoßes vergleiche Artikel 84, Absatz 4, Litera a, DSGVO) davon ausgegangen werden, dass es sich bei der vorherigen Konsultation bei Vorliegen der Voraussetzungen um eine Verpflichtung des Verantwortlichen – keine bloße Möglichkeit – handelt. Dem Konsultationsverfahren abstrakt (verordnungssystematisch) als auch konkret (zeitlich) vorgelagert, normiert Art. 35 Abs. 1 DSGVO, dass eine Datenschutz-Folgenabschätzung (DSFA) dann erforderlich ist, wenn aufgrund bestimmter Umstände (Art, Umfang, Zwecke) davon ausgegangen werden kann, dass die Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte.Dem Konsultationsverfahren abstrakt (verordnungssystematisch) als auch konkret (zeitlich) vorgelagert, normiert Artikel 35, Absatz eins, DSGVO, dass eine Datenschutz-Folgenabschätzung (DSFA) dann erforderlich ist, wenn aufgrund bestimmter Umstände (Art, Umfang, Zwecke) davon ausgegangen werden kann, dass die Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte. Aus Art. 35 Abs. 1 und Abs. 3 DSGVO ist des Weiteren ableitbar, dass der Unionsgesetzgeber insbesondere bei der Verwendung neuer Technologien und (automatisierten) Datenverarbeitungen, welche eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen (einschließlich Profiling), umfangreiche Verarbeitung von Daten iSv. Art. 9 und Art. 10 DSGVO oder eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche zum Inhalt haben, vom Vorliegen eines hohen Risikos ausgeht.Aus Artikel 35, Absatz eins und Absatz 3, DSGVO ist des Weiteren ableitbar, dass der Unionsgesetzgeber insbesondere bei der Verwendung neuer Technologien und (automatisierten) Datenverarbeitungen, welche eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen (einschließlich Profiling), umfangreiche Verarbeitung von Daten iSv. Artikel 9 und Artikel 10, DSGVO oder eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche zum Inhalt haben, vom Vorliegen eines hohen Risikos ausgeht. ErwG 75 der DSGVO führt zum Begriff des Risikos wie folgt aus (Hervorhebung durch die DSB): „Die Risiken […] können aus einer Verarbeitung personenbezogener Daten hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn die Verarbeitung zu einer Diskriminierung, einem Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufschädigung, einem Verlust der Vertraulichkeit […], der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen führen kann, wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren, wenn personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, […], wenn persönliche Aspekte bewertet werden, insbesondere wenn Aspekte, die die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, die Zuverlässigkeit oder das Verhalten, den Aufenthaltsort oder Ortswechsel betreffen, analysiert oder prognostiziert werden, um persönliche Profile zu erstellen oder zu nutzen, […] oder wenn die Verarbeitung eine große Menge personenbezogener Daten und eine große Anzahl von betroffenen Personen betrifft.“ ErwG 84 der DSGVO führt zur Risikoevaluierung wie folgt aus (Hervorhebung durch die DSB): „[…] Geht aus einer Datenschutz-Folgenabschätzung hervor, dass Verarbeitungsvorgänge ein hohes Risiko bergen, das der Verantwortliche nicht durch geeignete Maßnahmen in Bezug auf verfügbare Technik und Implementierungskosten eindämmen kann, so sollte die Aufsichtsbehörde vor der Verarbeitung konsultiert werden.“ ErwG 94 der DSGVO führt zur Konsultierung der Aufsichtsbehörde wie folgt aus (Hervorhebung durch die DSB): „Geht aus einer Datenschutz-Folgenabschätzung hervor, dass die Verarbeitung bei Fehlen von Garantien, Sicherheitsvorkehrungen und Mechanismen zur Minderung des Risikos ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen würde, und ist der Verantwortliche der Auffassung, dass das Risiko nicht durch in Bezug auf verfügbare Technologien und Implementierungskosten vertretbare Mittel eingedämmt werden kann, so sollte die Aufsichtsbehörde vor Beginn der Verarbeitungstätigkeiten konsultiert werden. Ein solches hohes Risiko ist wahrscheinlich mit bestimmten Arten der Verarbeitung und dem Umfang und der Häufigkeit der Verarbeitung verbunden, die für natürliche Personen auch eine Schädigung oder eine Beeinträchtigung der persönlichen Rechte und Freiheiten mit sich bringen können. Die Aufsichtsbehörde sollte das Beratungsersuchen innerhalb einer bestimmten Frist beantworten. Allerdings kann sie, auch wenn sie nicht innerhalb dieser Frist reagiert hat, entsprechend ihren in dieser Verordnung festgelegten Aufgaben und Befugnissen eingreifen, was die Befugnis einschließt, Verarbeitungsvorgänge zu untersagen. Im Rahmen dieses Konsultationsprozesses kann das Ergebnis einer im Hinblick auf die betreffende Verarbeitung personenbezogener Daten durchgeführten Datenschutz-Folgenabschätzung der Aufsichtsbehörde unterbreitet werden; dies gilt insbesondere für die zur Eindämmung des Risikos für die Rechte und Freiheiten natürlicher Personen geplanten Maßnahmen.“ Als Risikoquellen (iSv. Art. 36 DSGVO) kommen nach der Spruchpraxis der DSB neben rein „technischen“ Risiken all jene Risiken der Datenverarbeitung in Betracht, welche möglicherweise negative Auswirkungen auf eine betroffene Person haben können. Zur Eindämmung des Risikos nennt die DSGVO beispielhaft drei verschiedene Arten von Abhilfemaßnahmen, nämlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass die DSGVO eingehalten wird. Maßgeblich sind somit technische, organisatorische und juristische (insbesondere vertragliche) Maßnahmen, die Abhilfe schaffen sollen. Bei der Beurteilung des verbleibenden Restrisikos sind alle geplanten Maßnahmen zur Gewährleistung einer DSGVO-konformen Verarbeitung miteinzubeziehen (vgl. den Bescheid der DSB vom 2. Februar 2021, GZ: 2021-0.024.862, u.a. unter Verweis auf Trieb in Knyrim, DatKomm Art. 35 DSGVO, Rz. 116).Als Risikoquellen (iSv. Artikel 36, DSGVO) kommen nach der Spruchpraxis der DSB neben rein „technischen“ Risiken all jene Risiken der Datenverarbeitung in Betracht, welche möglicherweise negative Auswirkungen auf eine betroffene Person haben können. Zur Eindämmung des Risikos nennt die DSGVO beispielhaft drei verschiedene Arten von Abhilfemaßnahmen, nämlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass die DSGVO eingehalten wird. Maßgeblich sind somit technische, organisatorische und juristische (insbesondere vertragliche) Maßnahmen, die Abhilfe schaffen sollen. Bei der Beurteilung des verbleibenden Restrisikos sind alle geplanten Maßnahmen zur Gewährleistung einer DSGVO-konformen Verarbeitung miteinzubeziehen vergleiche den Bescheid der DSB vom 2. Februar 2021, GZ: 2021-0.024.862, u.a. unter Verweis auf Trieb in Knyrim, DatKomm Artikel 35, DSGVO, Rz. 116). Bei dieser Einschätzung kann der Verantwortliche grundsätzlich auch sein eigenes Interesse, kostenintensive Datensicherheitsmaßnahmen nicht einsetzen zu müssen, einbeziehen (vgl. Jandt in Kühling/Buchner, Datenschutz-Grundverordnung
(2017)Art. 36 Rz. 5). Bei dieser Einschätzung kann der Verantwortliche grundsätzlich auch sein eigenes Interesse, kostenintensive Datensicherheitsmaßnahmen nicht einsetzen zu müssen, einbeziehen vergleiche Jandt in Kühling/Buchner, Datenschutz-Grundverordnung
(2017)Artikel 36, Rz. 5). Art. 32, 35 und 36 (DSGVO) stellen ein dreistufiges System dar, wonach die Hürden für risikoreiche Verarbeitungen umso höher sind und die Überprüfung dementsprechend umso genauer wird, je höher sich das Risiko und je schwieriger sich dessen Eindämmung darstellen. Eine standardmäßige Durchführung der Konsultation liefe diesem risikobasierten Ansatz der DSGVO zuwider und muss schon aus diesem Grund ein Ausnahmefall bleiben (vgl. Baumgartner in Ehmann/Selmayr, Datenschutz-Grundverordnung,
  1. Auflage 2018, Art. 36 Rz. 9). Artikel 32, 35, und 36 (DSGVO) stellen ein dreistufiges System dar, wonach die Hürden für risikoreiche Verarbeitungen umso höher sind und die Überprüfung dementsprechend umso genauer wird, je höher sich das Risiko und je schwieriger sich dessen Eindämmung darstellen. Eine standardmäßige Durchführung der Konsultation liefe diesem risikobasierten Ansatz der DSGVO zuwider und muss schon aus diesem Grund ein Ausnahmefall bleiben vergleiche Baumgartner in Ehmann/Selmayr, Datenschutz-Grundverordnung,
  2. Auflage 2018, Artikel 36, Rz. 9). Die Risikobewertung wird - gegenüber der generellen Meldepflicht gem. des (ehemaligen) Art. 18 DSRL - auf den Verantwortlichen verlagert (vgl. Jandt in Kühling/Buchner, Datenschutz-Grundverordnung
(2017)Art. 36 Rz. 2). Die Risikobewertung wird - gegenüber der generellen Meldepflicht gem. des (ehemaligen) Artikel 18, DSRL - auf den Verantwortlichen verlagert vergleiche Jandt in Kühling/Buchner, Datenschutz-Grundverordnung
(2017)Artikel 36, Rz. 2). Auch laut Artikel-29-Datenschutzgruppe ist es nach Durchführung DSFA primär die Aufgabe des Verantwortlichen, die Risiken abzuschätzen und Maßnahmen zu bestimmen, mit deren Hilfe diese Risiken auf ein vertretbares Maß reduziert werden sollen. Nur in denjenigen Fällen, in denen es nicht gelingt, die ermittelten Risiken hinreichend zu bewältigen (folglich die Restrisiken hoch bleiben), muss der Verantwortliche die Aufsichtsbehörde konsultieren (vgl. Art-29-Datenschutzgruppe, Leitlinien DSFA, Working Paper 248 v. 4.10.2017, S. 23).Auch laut Artikel-29-Datenschutzgruppe ist es nach Durchführung DSFA primär die Aufgabe des Verantwortlichen, die Risiken abzuschätzen und Maßnahmen zu bestimmen, mit deren Hilfe diese Risiken auf ein vertretbares Maß reduziert werden sollen. Nur in denjenigen Fällen, in denen es nicht gelingt, die ermittelten Risiken hinreichend zu bewältigen (folglich die Restrisiken hoch bleiben), muss der Verantwortliche die Aufsichtsbehörde konsultieren vergleiche Art-29-Datenschutzgruppe, Leitlinien DSFA, Working Paper 248 v. 4.10.2017, S. 23). C.
  1. Zur gegenständlichen Konsultation C.2.
  2. Verfahrensgegenstand und Vorbemerkungen Gegenstand des vorliegenden Konsultationsverfahrens ist laut Vorbringen der Antragstellerin u.a. das Erheben bzw. Erfassen, das Abfragen und die (Weiter-)Verwendung von Informationen iZm. der Erstellung von Panoramabildern des N***er Straßennetzes, wobei im Rahmen dessen auch natürliche Personen und KFZ-Kennzeichen erfasst werden. Eingangs wird darauf hingewiesen, dass es die Antragstellerin trotz mehrmaligen Hinweises der Datenschutzbehörde – zumindest im Rahmen der in Kopie vorgelegten DSFA – verabsäumt hat, eine klare Abgrenzung der datenschutzrechtlichen Verantwortlichkeit hinsichtlich der potenziellen Risiken vorzunehmen. Dies zeigt sich etwa daran, dass sie der Frage der Verantwortlichkeit, der Betroffenenanzahl und des Verarbeitungsumfangs jeweils den Risikofaktor „Hoch“ zugeordnet hat, dabei aber weitgehend aus dem Lizenzvereinbarungsentwurf bzw. den AGBs der DataViewing*** zitiert und dies nicht näher erläutert hat. In einem ersten Schritt war es daher zwecks tatsächlicher Risikobeurteilung unumgänglich, die datenschutzrechtliche Rollenverteilung – je Verarbeitungsschritt - zu klären. C.2.
  3. Einzelne Verarbeitungsschritte und diesbezügliche Verantwortlichkeiten Erheben und Erfassen Wie den Sachverhaltsfeststellungen (Punkt B.
  4. und B.4.) zu entnehmen ist, werden Personen und KFZ-Kennzeichen erstmals im Zuge der Erstellung von Panoramabildern unter Nutzung von Fahrzeugen und eines speziellen Befahrungskalenders erfasst. Zu diesem Zeitpunkt sind Personen und Kennzeichen jedenfalls erkennbar (identifizierbar), womit es sich – zumindest in diesem Zeitpunkt - um die Verarbeitung von personenbezogenen Daten iSv. Art. 4 Z 1 und Z 2 DSGVO handelt (vgl. Ausführungen zu Bilddaten unter Punkt C.1.). Wie den Sachverhaltsfeststellungen (Punkt B.
  5. und B.4.) zu entnehmen ist, werden Personen und KFZ-Kennzeichen erstmals im Zuge der Erstellung von Panoramabildern unter Nutzung von Fahrzeugen und eines speziellen Befahrungskalenders erfasst. Zu diesem Zeitpunkt sind Personen und Kennzeichen jedenfalls erkennbar (identifizierbar), womit es sich – zumindest in diesem Zeitpunkt - um die Verarbeitung von personenbezogenen Daten iSv. Artikel 4, Ziffer eins, und Ziffer 2, DSGVO handelt vergleiche Ausführungen zu Bilddaten unter Punkt C.1.). Dabei werden weite Teile des öffentlichen Straßennetzes im Gemeindegebiet der Antragstellerin erfasst. Vor diesem Hintergrund kann der Antragstellerin insofern beigepflichtet werden, als dass ein derart hoher Verarbeitungsumfang mit potenziell vielen Betroffenen (Einwohner laut DSFA: knapp 300.000 Personen) durchaus ein hohes Risiko aufweisen könnte. Demgegenüber übersieht die Antragstellerin jedoch, dass die DataViewing*** dabei eigenständig sowohl über „Mittel“ (Zeitpunkt, Gebiete, Granularität der Aufnahmen, technische Instrumente) als auch „Zwecke“ (Abschluss von wirtschaftlich lukrativen Lizenzverträgen iZm erstellten Panoramaaufnahmen) entscheidet. Dies ist nicht zuletzt der DSFA selbst wie auch den sonstigen vorgelegten Unterlagen (Lizenzvertragsentwurf, Geschäftsbedingungen, Anhang und Leitfaden) der DataViewing*** zu entnehmen. In einem ersten Zwischenschritt kann daher festgehalten werden, dass die von der Antragstellerin im Rahmen der DSFA als „hochrisikoreich“ beurteilten Umstände (Anzahl betroffene Personen, Umfang der Datenverarbeitung, Verantwortlichkeit) bzw. die damit zusammenhängenden Verarbeitungsvorgänge nicht der Antragstellerin als Verantwortliche iSv. Art. 4 Z 7 DSGVO zuzurechnen sind.In einem ersten Zwischenschritt kann daher festgehalten werden, dass die von der Antragstellerin im Rahmen der DSFA als „hochrisikoreich“ beurteilten Umstände (Anzahl betroffene Personen, Umfang der Datenverarbeitung, Verantwortlichkeit) bzw. die damit zusammenhängenden Verarbeitungsvorgänge nicht der Antragstellerin als Verantwortliche iSv. Artikel 4, Ziffer 7, DSGVO zuzurechnen sind. Schon daraus erhellt, dass die Erwägungen iZm. „Google Street View“ nicht auf das gegenständliche Verfahren übertragbar sind. Sofern überhaupt vergleichbar, wäre dies primär für die Verarbeitungstätigkeit durch die DataViewing*** einschlägig. Im Übrigen wurde die genannte Befahrung auch bereits im Oktober durchgeführt (vgl. Punkt B.8.) und wäre der Verarbeitungsvorgang schon alleine aufgrund dieser Tatsache einer vorherigen Konsultation nicht zugänglich.Im Übrigen wurde die genannte Befahrung auch bereits im Oktober durchgeführt vergleiche Punkt B.8.) und wäre der Verarbeitungsvorgang schon alleine aufgrund dieser Tatsache einer vorherigen Konsultation nicht zugänglich. Abfragen und (Weiter-)Verwenden Nachdem das jeweilige Straßennetz (auftragsunabhängig) erfasst und Panoramaaufnahmen („Roundview***s“) erhoben bzw. erstellt worden sind, werden die einzelnen Aufnahmen durch die DataViewing*** geprüft und weiterbearbeitet und erst in bearbeiteter Form an Lizenznehmer*innen (gegenständlich: an die Antragstellerin) weitergegeben. Wie den Feststellungen zu entnehmen ist, beinhaltet diese Bearbeitung insbesondere die (technische) Veränderung der Bildschärfe, sodass Personengesichter und Fahrzeugkennzeichen für eine*n Durchschnittsbetrachter*in nicht mehr erkennbar sind („Verpixelung“). Diese Vorgehensweise verringert zwar durchaus die Möglichkeit der Identifizierbarkeit von natürlichen Personen und hat insofern einen datenminimierenden (vgl. Art. 5 Abs. 1 lit. c DSGVO) Effekt. Da auch der (volle) Personenbezug für die Verarbeitungszwecke der Antragstellerin (Schaffung einer Geodateninfrastruktur und örtliche Raumplanung) als potenzielle Lizenznehmer*innen nicht notwendig erscheint, mag dies zudem eine geeignete technische und organisatorische Maßnahme iSv. Art. 25 und 32 DSGVO darstellen. Diese Vorgehensweise verringert zwar durchaus die Möglichkeit der Identifizierbarkeit von natürlichen Personen und hat insofern einen datenminimierenden vergleiche Artikel 5, Absatz eins, Litera c, DSGVO) Effekt. Da auch der (volle) Personenbezug für die Verarbeitungszwecke der Antragstellerin (Schaffung einer Geodateninfrastruktur und örtliche Raumplanung) als potenzielle Lizenznehmer*innen nicht notwendig erscheint, mag dies zudem eine geeignete technische und organisatorische Maßnahme iSv. Artikel 25, und 32 DSGVO darstellen. Gleichzeitig ist jedoch aufgrund der fehlenden standardmäßigen „Ganzkörperverpixelung“ unter Hinzuziehung weiterer Merkmale - dabei insb. der örtliche Standort sowie zeitliche Aspekte - nach Ansicht der Datenschutzbehörde davon auszugehen, dass die Identifizierbarkeit und folglich der Personenbezug nicht gänzlich (im Sinne einer „Anonymisierung“ gem. ErwG 26 DSGVO) beseitigt wird. Dies ist im Übrigen auch vor dem Hintergrund zu sehen, dass schon aufgrund der allgemeinen Lebenserfahrung und nach eigenen Aussagen der Antragstellerin im Rahmen ihrer Stellungnahmen sowie der DSFA (wiederum unter Berufung auf die Geschäftsbedingungen der DataViewing***) durchaus mit mangelnden „Verpixelungen“ aufgrund technischer Gebrechen zu rechnen ist, also auch in diesen Fällen personenbezogene Daten vorliegen. Indem die Antragstellerin entscheidet, das von der DataViewing*** prozessierte Bildmaterial über den Webviewer (Mittel) zur Schaffung einer Geodateninfrastruktur, örtlichen Raumplanung uÄ (Zwecke) abzufragen bzw. weiterzuverwenden, begründet sie eine eigenständige Verantwortlichkeit iSv. Art. 4 Z 7 DSGVO.Indem die Antragstellerin entscheidet, das von der DataViewing*** prozessierte Bildmaterial über den Webviewer (Mittel) zur Schaffung einer Geodateninfrastruktur, örtlichen Raumplanung uÄ (Zwecke) abzufragen bzw. weiterzuverwenden, begründet sie eine eigenständige Verantwortlichkeit iSv. Artikel 4, Ziffer 7, DSGVO. C.2.
  6. Risiko der Datenverarbeitung durch die Antragstellerin Der den Feststellungen zugrunde gelegten DSFA (Punkt B.9.) ist zu entnehmen, dass die Antragstellerin ausschließlich denjenigen Datenverarbeitungsvorgängen den Risikofaktor „hoch“ zugeordnet hat, welche – wie unter Punkt C.2.
  7. ausgeführt - allesamt nicht unter die datenschutzrechtliche Verantwortlichkeit der Antragstellerin fallen. Dies trifft sowohl auf die (hohe) Anzahl der betroffenen Personen als auch auf den Umfang der Datenverarbeitung zu. Inwiefern die Frage, wer Verantwortlicher

Artikel 4

Z 7 DSGVO ist, ein hohes Risiko darstellen soll, ist weder aus der Begründung im Rahmen der DSFA – welche sich im Wesentlichen auf die bloße Wiedergabe der Datenschutzinformation (samt Anhang) der DataViewing*** beschränkt – ersichtlich, noch wurde dies im Rahmen des vorliegenden Verfahrens näher konkretisiert.Inwiefern die Frage, wer Verantwortlicher

Artikel 4

Ziffer 7, DSGVO ist, ein hohes Risiko darstellen soll, ist weder aus der Begründung im Rahmen der DSFA – welche sich im Wesentlichen auf die bloße Wiedergabe der Datenschutzinformation (samt Anhang) der DataViewing*** beschränkt – ersichtlich, noch wurde dies im Rahmen des vorliegenden Verfahrens näher konkretisiert. Wie unter Punkt C.1. ausgeführt, sind zudem (Risiko-)Abhilfemaßnahmen - technischer, organisatorischer und juristischer Natur – in die Beurteilung des verbleibenden Restrisikos miteinzubeziehen. Punkt 4 der DSFA („Maßnahmen zur Risikobegrenzung“) ist zu entnehmen, dass dieses in allen Punkten von der Antragstellerin als „niedrig“ eingestuft“ worden ist. Eine über das durch die Antragstellerin im Rahmen der DSFA festgestellte Risiko hinausgehende Prüfung ist hingegen in keiner Weise Aufgabe der Datenschutzbehörde im Rahmen eines Konsultationsverfahrens und ist der Antragstellerin unter Zugrundelegung der zitierten Judikatur und Literatur entschieden entgegenzutreten, insofern sie eine „exzessive Inanspruchnahme“ des Konsultationsmechanismus zwecks „faktischer Rechtssicherheit“ in den Raum stellt. Weiters ist das Konsultationsverfahren nicht zur Beantwortung allgemeiner Fragestellungen hinsichtlich der Zulässigkeit von Verarbeitungstätigkeiten und noch weniger zur Beurteilung der Angemessenheit allfälliger Zusatzangebote (bzw. der damit verbundenen Kosten) geeignet. Im Übrigen könnte auch durch ein (zulässiges) Konsultationsverfahren in keinem Fall „abschließende Rechtssicherheit“ durch die Datenschutzbehörde gewährt werden. Insgesamt kommt die Datenschutzbehörde daher zu dem Ergebnis, dass die Voraussetzungen für die vorherige Konsultation gem. Art. 36 DSGVO mangels (dargelegtem) hohen Risikos nicht vorgelegen sind.Insgesamt kommt die Datenschutzbehörde daher zu dem Ergebnis, dass die Voraussetzungen für die vorherige Konsultation gem. Artikel 36, DSGVO mangels (dargelegtem) hohen Risikos nicht vorgelegen sind. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2024:2024.0.044.042

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.