Obsah (5)

Art. 4§ 1Artikel 7Art. 58Art. 5

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum04.02.2025 Geschäftszahl2025-0.021.375 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2025-0.021.375 vo

Art. 4

Z. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Art. 4

Z. 2 DSGVO ist eine Verarbeitung jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.Die Legaldefinitionen und Grundsätze der DSGVO sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen vergleiche Paragraph 4, Absatz eins, DSG sowie den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).

Artikel 4

, Ziffer eins, DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Artikel 4

, Ziffer 2, DSGVO ist eine Verarbeitung jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

1. Zur Rollenverteilung: Die Festlegung der datenschutzrechtlichen Rollenverteilung ist für das Beschwerdeverfahren nach § 24 DSG bzw. Art. 77 Abs. 1 DSGVO von entscheidender Bedeutung, da bestimmt wird, wer für die Einhaltung der jeweiligen Datenschutzbestimmungen verantwortlich ist, wie die betroffene Person ihre Rechte ausüben kann und letztlich auch gegen wen die Datenschutzbeschwerde gerichtet werden muss (Beschwerdegegner).Die Festlegung der datenschutzrechtlichen Rollenverteilung ist für das Beschwerdeverfahren nach Paragraph 24, DSG bzw. Artikel 77, Absatz eins, DSGVO von entscheidender Bedeutung, da bestimmt wird, wer für die Einhaltung der jeweiligen Datenschutzbestimmungen verantwortlich ist, wie die betroffene Person ihre Rechte ausüben kann und letztlich auch gegen wen die Datenschutzbeschwerde gerichtet werden muss (Beschwerdegegner). Nach Art. 4 Z 7 DSGVO ist jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle Verantwortlicher für eine Verarbeitung, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Dabei ist das wesentliche Kriterium die Entscheidungskomponente. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Der „Zweck“ beschreibt dabei ein erwartetes Ergebnis, während die „Mittel“ die Art und Weise festlegen, wie das erwartete Ergebnis erreicht werden soll (vgl. die EDSA Guidelines vom
2. September 2020 07/2020 zum Konzept des Verantwortlichen und Auftragsverarbeiters Rz 15 ff).Nach Artikel 4, Ziffer 7, DSGVO ist jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle Verantwortlicher für eine Verarbeitung, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Dabei ist das wesentliche Kriterium die Entscheidungskomponente. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Der „Zweck“ beschreibt dabei ein erwartetes Ergebnis, während die „Mittel“ die Art und Weise festlegen, wie das erwartete Ergebnis erreicht werden soll vergleiche die EDSA Guidelines vom
3. September 2020 07 aus 2020, zum Konzept des Verantwortlichen und Auftragsverarbeiters Rz 15 ff). Der Beschwerdegegner entschied sachverhaltsgegenständlich über den Zweck der Datenverarbeitung, nämlich die Kontrolle und in weiterer Folge der Schutz des Herrn J***, dessen Erwachsenenvertreter er ist. Er entschied auch über die Mittel, nämlich die Montage von Videokameras. Der Beschwerdegegner ist sohin Verantwortlicher

Art. 4

Z 7 DSGVO.Der Beschwerdegegner entschied sachverhaltsgegenständlich über den Zweck der Datenverarbeitung, nämlich die Kontrolle und in weiterer Folge der Schutz des Herrn J***, dessen Erwachsenenvertreter er ist. Er entschied auch über die Mittel, nämlich die Montage von Videokameras. Der Beschwerdegegner ist sohin Verantwortlicher

Artikel 4, Ziffer 7, DSGVO.

1. Zur Kamera im Garten: Die Kamera im Garten erfasst, wie festgestellt, lediglich den Außenbereich der Wohnung des Pflegebefohlenen. Die Kamera erfasst nicht den Eingangsbereich, weshalb das Kommen und Gehen der Beschwerdeführerin nicht erfasst wird. Der Pflegedienst selbst wird in der Wohnung verrichtet, weshalb nicht von einer Erfassung der Beschwerdeführerin während der Ausübung ihrer Tätigkeit als Heimhelferin ausgegangen werden kann. Die Beschwerdeführerin hat auch nie behauptet von dieser Kamera im Garten erfasst worden zu sein. Daher ist der Anwendungsbereich von § 1 Abs. 1 DSG bezüglich der Kamera im Garten nicht eröffnet, da sich die Informationen nicht auf die Beschwerdeführerin beziehen und damit nicht als personenbezogene Daten zu qualifizieren sind.Die Kamera im Garten erfasst, wie festgestellt, lediglich den Außenbereich der Wohnung des Pflegebefohlenen. Die Kamera erfasst nicht den Eingangsbereich, weshalb das Kommen und Gehen der Beschwerdeführerin nicht erfasst wird. Der Pflegedienst selbst wird in der Wohnung verrichtet, weshalb nicht von einer Erfassung der Beschwerdeführerin während der Ausübung ihrer Tätigkeit als Heimhelferin ausgegangen werden kann. Die Beschwerdeführerin hat auch nie behauptet von dieser Kamera im Garten erfasst worden zu sein. Daher ist der Anwendungsbereich von Paragraph eins, Absatz eins, DSG bezüglich der Kamera im Garten nicht eröffnet, da sich die Informationen nicht auf die Beschwerdeführerin beziehen und damit nicht als personenbezogene Daten zu qualifizieren sind. Es war daher spruchgemäß zu entscheiden und die Beschwerde in diesem Punkt abzuweisen.
2. Zu den Kameras im Wohn- und Vorzimmer: Sachverhaltsgegenständlich zeichnet der Beschwerdegegner mit den Kameras sowohl Bild als auch Ton, demnach das Aussehen, alle Handlungen und das Gesprochene, der Beschwerdeführerin auf. Daher ist der Anwendungsbereich von § 1 Abs. 1 DSG eröffnet, da sich die Informationen auf die Beschwerdeführerin beziehen und damit als personenbezogene Daten

Art. 4Z 1 DSGVO zu qualifizieren sind.

Die Handlung des Beschwerdegegners, nämlich die Bild - und Tonverarbeitung, ist als Verarbeitung

Art. 4

Z 2 DSGVO zu werten.Sachverhaltsgegenständlich zeichnet der Beschwerdegegner mit den Kameras sowohl Bild als auch Ton, demnach das Aussehen, alle Handlungen und das Gesprochene, der Beschwerdeführerin auf. Daher ist der Anwendungsbereich von Paragraph eins, Absatz eins, DSG eröffnet, da sich die Informationen auf die Beschwerdeführerin beziehen und damit als personenbezogene Daten

Artikel 4, Ziffer eins, DSGVO zu qualifizieren sind.

Die Handlung des Beschwerdegegners, nämlich die Bild - und Tonverarbeitung, ist als Verarbeitung

Artikel 4, Ziffer 2, DSGVO zu werten.

Beschränkungen des Anspruchs auf Geheimhaltung sind

§ 1Abs.

2 DSG dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet werden, der Betroffene seine Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt ist.Beschränkungen des Anspruchs auf Geheimhaltung sind

Paragraph eins, Absatz 2, DSG dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet werden, der Betroffene seine Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt ist. Die gegenständliche Datenverarbeitung liegt nicht im lebenswichtigen Interesse des Beschwerdeführers und eine Zustimmung sowie eine qualifizierte gesetzliche Grundlage liegen ebenso wenig vor. An dieser Stelle ist der Vollständigkeit halber anzumerken, dass auch das Grundrecht auf Geheimhaltung nach § 1 Abs. 2 DSG als Rechtsgrundlage für die Verarbeitung die „berechtigten Interessen Dritter“ vorsieht. Anders als nach Art. 6 Abs. 1 lit. f DSGVO ist jedoch zu berücksichtigen, dass § 1 Abs. 2 DSG keinen Gleichstand, sondern ein Überwiegen der Interessen Dritter für die Zulässigkeit der Verarbeitung erfordert. Das Schema für die Interessenabwägung ist jedoch auch auf den Fall von § 1 Abs. 2 DSG übertragbar.An dieser Stelle ist der Vollständigkeit halber anzumerken, dass auch das Grundrecht auf Geheimhaltung nach Paragraph eins, Absatz 2, DSG als Rechtsgrundlage für die Verarbeitung die „berechtigten Interessen Dritter“ vorsieht. Anders als nach Artikel 6, Absatz eins, Litera f, DSGVO ist jedoch zu berücksichtigen, dass Paragraph eins, Absatz 2, DSG keinen Gleichstand, sondern ein Überwiegen der Interessen Dritter für die Zulässigkeit der Verarbeitung erfordert. Das Schema für die Interessenabwägung ist jedoch auch auf den Fall von Paragraph eins, Absatz 2, DSG übertragbar. Demnach ist die Verarbeitung auf der Rechtsgrundlage „berechtigte Interessen“ unter drei kumulativen Voraussetzungen zulässig (vgl. Art. 29-Datenschutzgruppe, Stellungnahme 06/2014 zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen

Artikel 7der Richtlinie 95/46/EG, WP 217, 844/14/EN, S.

43 f, wonach implementierte Schutzmaßnahmen zur Verhinderung bzw. Abmilderung unangemessener Folgen für den Betroffenen als Faktor im Rahmen der Interessenabwägung gebührend zu berücksichtigen sind): Demnach ist die Verarbeitung auf der Rechtsgrundlage „berechtigte Interessen“ unter drei kumulativen Voraussetzungen zulässig vergleiche Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e,, Stellungnahme 06 aus 2014, zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen

Artikel 7der Richtlinie 95/46/EG, WP 217, 844/14/EN, S.

43 f, wonach implementierte Schutzmaßnahmen zur Verhinderung bzw. Abmilderung unangemessener Folgen für den Betroffenen als Faktor im Rahmen der Interessenabwägung gebührend zu berücksichtigen sind): i. Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden, ii. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii. kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. das Urteil des EuGH vom

1. Juli 2023, C-252/21 Rz 106).kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche das Urteil des EuGH vom
2. Juli 2023, C-252/21 Rz 106). Der Beschwerdegegner erläutert mit der Montage der Kameras den Schutz des Herrn J*** zu bezwecken. Er ist der Erwachsenenvertreter des Herrn J*** und erläutert in seinem Vorbringen die Gefahr der Selbstgefährdung durch den Vertretenen, insbesondere die Sturzgefahr. Der Schutz lebenswichtiger Interessen einer anderen natürlichen Person ist insbesondere im Hinblick auf Art. 6 Abs. 1 lit. d DSGVO durchaus als berechtigtes Interesse zu werten. Der Beschwerdegegner erläutert mit der Montage der Kameras den Schutz des Herrn J*** zu bezwecken. Er ist der Erwachsenenvertreter des Herrn J*** und erläutert in seinem Vorbringen die Gefahr der Selbstgefährdung durch den Vertretenen, insbesondere die Sturzgefahr. Der Schutz lebenswichtiger Interessen einer anderen natürlichen Person ist insbesondere im Hinblick auf Artikel 6, Absatz eins, Litera d, DSGVO durchaus als berechtigtes Interesse zu werten. Die Datenverarbeitung ist jedoch (an)dauernd angelegt. Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO knüpft unmittelbar an die Zweckbindung an und legt drei kumulative Tatbestandselemente fest: Die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß. ErwGr 39 führt dazu zusätzlich aus, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Damit soll dieser Grundsatz sicherstellen, dass die Verarbeitung personenbezogener Daten auf ein unvermeidbares Minimum reduziert wird (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO, Stand 1.12.2020, rdb.at). In einer Gesamtbetrachtung verlangt der Grundsatz der Datenminimierung eine Minimierung der betroffenen Personen als auch eine Beschränkung der zu jeder betroffenen Person gespeicherten Daten.Die Datenverarbeitung ist jedoch (an)dauernd angelegt. Der Grundsatz der Datenminimierung nach Artikel 5, Absatz eins, Litera c, DSGVO knüpft unmittelbar an die Zweckbindung an und legt drei kumulative Tatbestandselemente fest: Die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß. ErwGr 39 führt dazu zusätzlich aus, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Damit soll dieser Grundsatz sicherstellen, dass die Verarbeitung personenbezogener Daten auf ein unvermeidbares Minimum reduziert wird (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 5, DSGVO, Stand 1.12.2020, rdb.at). In einer Gesamtbetrachtung verlangt der Grundsatz der Datenminimierung eine Minimierung der betroffenen Personen als auch eine Beschränkung der zu jeder betroffenen Person gespeicherten Daten. Die Aufzeichnung des gesamten Wohnraums, und das durchgehend, war jedoch nicht erforderlich zur Wahrnehmung des berechtigten Interesses. Während der Anwesenheit des Pflegepersonals sind diese anwesenden Personen in der Lage den Gesundheitszustand und das allgemeine Wohlbefinden des Herrn J*** zu kontrollieren und sicherzustellen. Der Beschwerdegegner hätte auf andere Art und Weise - nämlich zeitlich beschränkt - den gesundheitlichen und psychischen Zustand des Herrn J*** kontrollieren können. Eine Prüfung des Überwiegens der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse erübrigt sich. Selbst wenn der Beschwerdeführer - so wie er ausführt - das Abdecken der Kameras angeordnet hätte, fehlt es ebenfalls an der Erforderlichkeit und liegt eine Verletzung des Datenminimierungsgrundsatzes vor, da die Beschwerdeführerin beim Ab- und Aufdecken erfasst wird und der Ton trotzdem weiterhin aufgezeichnet wird. Es war daher spruchgemäß zu entscheiden und der Beschwerde hinsichtlich der Kameras im Wohnzimmer und im Vorzimmer stattzugeben.
3. Zum Leistungsauftrag: Die Datenschutzbehörde verfügt

Art. 58Abs.

2 lit. d DSGVO über Abhilfebefugnisse, die es ihr gestatten, einen Verantwortlichen anzuweisen, Verarbeitungsvorgänge auf eine bestimmte Weise und innerhalb eines bestimmten Zeitraumes zu ändern bzw. durchzuführen. Gestützt auf die vorzitierte Bestimmung, war dem Beschwerdegegner daher amtswegig aufzutragen, die Einstellung der verfahrensgegenständlichen Kamera zu ändern. Die Datenschutzbehörde verfügt

Artikel 58

, Absatz 2, Litera d, DSGVO über Abhilfebefugnisse, die es ihr gestatten, einen Verantwortlichen anzuweisen, Verarbeitungsvorgänge auf eine bestimmte Weise und innerhalb eines bestimmten Zeitraumes zu ändern bzw. durchzuführen. Gestützt auf die vorzitierte Bestimmung, war dem Beschwerdegegner daher amtswegig aufzutragen, die Einstellung der verfahrensgegenständlichen Kamera zu ändern. Wie festgestellt, verletzt der Beschwerdeführer das Recht auf Geheimhaltung durch den Betrieb der Kameras im Wohnzimmer und im Vorzimmer. Der Beschwerdegegner argumentiert, dass die Bild- und Tonverarbeitung zum Schutz der berechtigten Interessen Dritter, dem Gesundheitszustand und dem allgemeinen Wohlbefinden seines Pflegebefohlenen, gerechtfertigt sei. Dem kann nicht gefolgt werden. Im gegenständlichen Fall ist jedenfalls die Möglichkeit gegeben, die An- und Abwesenheiten der Pfleger:innen nachzuvollziehen. Das zeitlich ununterbrochene Überwachen der Wohnung ist zur Zweckerreichung nicht notwendig und widerspricht daher dem Grundsatz der Datenminimierung

Art. 5Abs.

1 lit. c DSGVO. Im gegenständlichen Fall ist jedenfalls die Möglichkeit gegeben, die An- und Abwesenheiten der Pfleger:innen nachzuvollziehen. Das zeitlich ununterbrochene Überwachen der Wohnung ist zur Zweckerreichung nicht notwendig und widerspricht daher dem Grundsatz der Datenminimierung

Artikel 5, Absatz eins, Litera c, DSGVO.

Die Art und Weise, wie der Erstbeschwerdegegner den Leistungsauftrag in Spruchpunkt 3 konkret umsetzt, bleibt diesem überlassen. Die Datenschutzbehörde hat eine zeitliche Beschränkung dahingehend ausgesprochen, dass während der Zeit des Pflegedienstes keine Aufnahmen durch Kamera 1, Kamera 2, Kamera 3 und Kamera 4 angefertigt werden bzw. die Kameras außer Betrieb gesetzt werden. Außerhalb des Pflegedienstes - und somit außerhalb der Anwesenheit von anderen betroffenen Personen obliegt es dem Beschwerdeführer präventive Maßnahmen zum Schutz seines Pflegebefohlenen zu treffen. Das Abdecken der Kameras alleine ist keine ausreichende Maßnahme, um die Datenschutzrechte der Pflegebediensteten zu wahren, da diese mittels Tonverarbeitung dennoch durchgehend erfasst werden und mittels Bildverarbeitung bis zum Abdecken der Kameras und nach dem Aufdecken wieder erfasst werden. Darüber hinaus wird mit einer solchen Maßnahme die Wahrung ihrer Rechte den Pfleger:innen als betroffene Personen aufgebürdet, während der Beschwerdeführer als Verantwortlicher für die Einhaltung der DSGVO zu sorgen hat. Der Beschwerdegegner hat der Datenschutzbehörde

Art. 58Abs.

1 lit. a DSGVO Nachweise über die Einschränkung der Verarbeitung vorzulegen. Eine Frist von zwei Wochen scheint angemessen, um die Änderungen, die keinen großen technischen Aufwand darstellen, umzusetzen und um der Datenschutzbehörde entsprechende Belege dafür zu übermitteln.Der Beschwerdegegner hat der Datenschutzbehörde

Artikel 58

, Absatz eins, Litera a, DSGVO Nachweise über die Einschränkung der Verarbeitung vorzulegen. Eine Frist von zwei Wochen scheint angemessen, um die Änderungen, die keinen großen technischen Aufwand darstellen, umzusetzen und um der Datenschutzbehörde entsprechende Belege dafür zu übermitteln. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.021.375