Jusletter IT

Am 4. Mai 2016 wurde die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutzgrundverordnung – DS-GVO) im Amtsblatt der Europäischen Union verkündet (Amtsblatt L119/1). Die DS-GVO ist am 25. Mai 2016 in Kraft getreten² und ist ab 25. Mai 2018 unmittelbar und unionsweit anwendbar.³ Die DS-GVO wird die nationalen Datenschutzgesetze der EU-Mitgliedstaaten – und somit auch das österreichische Datenschutzrecht – in weiten Teilen⁴ ablösen.

Im geltenden österreichischen Datenschutzgesetz 2000 (DSG) sind Videoüberwachungstätigkeiten (teilweise) im Abschnitt 9a (in den §§ 50a–50e) geregelt. Im Gegensatz zum geltenden Datenschutzrecht enthält die DSGVO allerdings keine Sonderregeln für Videoüberwachungstätigkeiten mehr. Für alle Datenverarbeitungen im Rahmen von Videoüberwachungstätigkeiten gelten somit die allgemeinen Regelungen der DS-GVO. Der vorliegende Beitrag stellt die auf Videoüberwachungstätigkeiten anwendbaren Rechtsnormen der DSGVO überblicksmäßig (und ohne Anspruch auf Vollständigkeit) dar⁵ und hebt bei den besprochenen Punkten die Unterschiede zur geltenden Rechtslage hervor.

Videoüberwachung wird in § 50a Abs. 1 DSG als «die systematische, insbesondere fortlaufende Feststellung von Ereignissen, die ein bestimmtes Objekt (überwachtes Objekt) oder eine bestimmte Person (überwachte Person) betreffen, durch technische Bildaufnahme- oder Bildübertragungsgeräte» definiert. Von dieser Begriffsbestimmung sind nur Videoüberwachungen erfasst, die einem Kontrollzweck dienen.⁶Jedoch fällt auch «gezieltes Fotografieren» mit Überwachungszweck unter den Begriff der Videoüberwachung nach § 50a Abs. 1 DSG.⁷ Für Videoüberwachungstätigkeiten, die nicht unter die Definition des § 50a Abs. 1 DSG fallen, gelten die allgemeinen Regelungen des DSG.

Die DS-GVO erwähnt den Begriff der «Videoüberwachung» zwar nicht ausdrücklich, stellt aber in ErwGr 91 zur DS-GVO auf «opto-elektronische Vorrichtungen» (also elektronische Videoüberwachung⁸) ab. Somit ist auch ausdrücklich klargestellt, dass Videoüberwachungstätigkeiten vom Begriff der «Verarbeitung» i.S.d. Art. 4 Z. 2 DS-GVO erfasst sind. Videoüberwachungstätigkeiten unterfallen den Regelungen der DS-GVO, wenn dabei personenbezogene Daten⁹ verarbeitet werden. Unter Videoüberwachungstätigkeiten wird im Folgenden die Beobachtung von Orten und/oder Personen durch optisch-elektronische Vorrichtungen (Digitalkameras, Videokameras, etc.) verstanden.

Ist der Verantwortliche (oder auch der Auftragsverarbeiter) in der Union oder an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt¹⁰, niedergelassen, so ist die DS-GVO auf Videoüberwachungstätigkeiten anwendbar, unabhängig davon, ob die Verarbeitung tatsächlich in der Union stattfindet oder nicht.¹¹ Daneben ist die DS-GVO auch anwendbar, wenn personenbezogene Daten im Rahmen der Videoüberwachungstätigkeit von nicht in der Union befindlichen Niederlassungen von Verantwortlichen oder Auftragsverarbeitern verarbeitet werden, sofern die Datenverarbeitung im Zusammenhang damit steht, das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.¹²

Ob Videoüberwachung zu privaten Zwecken vom Begriffsumfang der Videoüberwachung in § 50a Abs. 1 DSG erfasst ist, ist umstritten.¹³ Die DS-GVO ist für Verarbeitungen personenbezogener Daten im Rahmen von Videoüberwachungstätigkeiten jedenfalls nicht anwendbar, sofern die Tätigkeit von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten¹⁴ und somit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit¹⁵ vorgenommen wird.

Die Verarbeitung personenbezogener Daten durch Erdbeobachtung mittels Satelliten unterfällt der DS-GVO, wenn (i) der gegenständliche Satellit im Einklang mit weltraumrechtlichen Regelungen der Jurisdiktion und Kontrolle eines Mitgliedsstaates unterstellt¹⁶ ist¹⁷ oder (ii) die satellitengestützte Erdbeobachtung im Zusammenhang damit steht, das Verhalten von Personen in der Union zu beobachten.¹⁸

Videoüberwachungen i.S.d. § 50a Abs. 1 DSG dürfen nur zu zwei bestimmten Zwecken betrieben werden, nämlich (i) der Schutz des überwachten Objekts oder der überwachten Person oder (ii) die Erfüllung rechtlicher Sorgfaltspflichten.¹⁹ Diese Zweck-Einschränkung fällt mit der DS-GVO weg. Gemäß der allgemeinen Regelung in Art. 5 Abs. 1 lit. b DS-GVO kann die Verarbeitung personenbezogener Daten im Rahmen von Videoüberwachungstätigkeiten auf jeden legitimen Zweck²⁰ gestützt werden.

Regelte bisher § 50a Abs. 6 DSG den Umgang mit Zufallstreffern (also Aufzeichnungen, die im Rahmen einer Videoüberwachung gewonnen wurden, aber außerhalb des zulässigen Zwecks liegen²¹), so richtet sich der datenschutzkonforme Umgang mit Zufallstreffern unter der DS-GVO vollständig nach den allgemeinen Regelungen. Somit ist die beabsichtige Verarbeitung eines Zufallstreffers entweder auf einen gesonderten datenschutzrechtlichen Rechtfertigungsgrund zu stützen oder nach dem «Kompatibilitätstest»²² gemäß Art. 6 Abs. 4 DS-GVO zu beurteilen. Enthält der Zufallstreffer strafrechtlich relevante Daten²³, so richtet sich die Zulässigkeit von deren Verarbeitung zumeist nach mitgliedstaatlichen Regelungen.²⁴

Nach § 50a Abs. 7 DSG dürfen mit einer Videoüberwachung i.S.d. § 50a Abs. 1 DSG gewonnene Daten von Betroffenen nicht automationsunterstützt mit anderen Bilddaten abgeglichen und nicht nach sensiblen Daten als Auswahlkriterium durchsucht werden. Mangels einschlägiger Sonderregelungen in der DS-GVO richten sich auch diese Vorgänge in Zukunft nach den allgemeinen Regelungen und sind daher zulässig, wenn sie auf einen gesonderten datenschutzrechtlichen Rechtfertigungsgrund gestützt werden können oder den «Kompatibilitätstest» gemäß Art. 6 Abs. 4 DS-GVO bestehen.

§ 50a Abs. 3 und 4 DSG beschränkten die Zulässigkeit einer Videoüberwachung auf wenige Rechtfertigungsgründe. Nach der DS-GVO wird die gesamte Bandbreite der zur Verfügung stehenden Rechtfertigungsgründe zur Begründung der Zulässigkeit herangezogen werden können. Hierfür ist insbesondere maßgeblich, ob es sich bei Bilddaten um (normale) personenbezogene Daten oder sensible Daten²⁵ handelt. Dies ist umstritten, auch im Hinblick auf die DS-GVO.²⁶

In ErwGr 51 Satz 3 zur DS-GVO wird ausdrücklich klargestellt, dass die Verarbeitung von Lichtbildern grundsätzlich nicht als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden sollte, da (so die Begründung) Lichtbilder nur dann von der Definition des Begriffs «biometrische Daten» erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Somit ist die Verarbeitung von Lichtbildern ohne Hinzutreten weiterer Elemente auch nicht als Verarbeitung personenbezogener Daten anzusehen, aus denen die rassische oder ethnische Herkunft oder der Gesundheitszustand einer Person hervorgeht (was auf Fotos oder Videos im Einzelfall durchaus erkennbar wäre).²⁷ Der einleitende Satzteil «Die Verarbeitung von Lichtbildern sollte nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden» in ErwGr 51 Satz 3 wäre nämlich ansonsten sinnentleert, wenn nach der DSGVO Lichtbilder mit der Begründung, aus ihnen wäre immer die ethnische und/oder rassische Herkunft ablesbar, dann doch generell als besondere Kategorien von Daten (sensible Daten) anzusehen wären. Die Wendung «grundsätzlich nicht» deutet zudem darauf hin, dass hier ein weiteres Element hinzutreten muss, um Lichtbilder als «besondere Kategorien von Daten» nach der DSGVO qualifizieren zu können. Dieses zusätzliche Element kann– analog zu den im begründenden Satzteil erwähnten biometrischen Daten – insbesondere der Zweck der Datenverarbeitung sein. Wäre die Intention des Verordnungsgesetzgebers gewesen, mit ErwGr 51 Satz 3 lediglich auszudrücken, dass Lichtbilder nicht immer als biometrische Daten anzusehen seien, dann hätte dieser Satz m.E. anders formuliert sein müssen, etwa wie folgt (Änderung hervorgehoben): «Die Verarbeitung von Lichtbildern sollte nicht grundsätzlich als Verarbeitung von biometrischen Daten angesehen werden, da Lichtbilder nur dann von der Definition des Begriffs «biometrische Daten» erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen». Auch der vorhergehende Satz (ErwGr 51 Satz 2 zur DS-GVO), welcher Daten über die rassische oder ethnische Herkunft zum Thema hat, dient als weiterer Anhaltspunkt dafür, dass sich der Verordnungsgesetzgeber der Thematik bewusst war, sich aber aktiv dagegen entschieden hat, ohne Hinzutreten weiterer Elemente (wie etwa ein bestimmter auf die Verarbeitung besonderer Kategorien von Daten abstellender Zweck der Datenverarbeitung) bei Lichtbildern vom Vorliegen besonderer Kategorien von Daten auszugehen, auch wenn aus diesen die ethnische und/oder rassische Herkunft der darauf abgebildeten Personen erkennbar wäre.

Zusammenfassend sind Bilddaten daher nicht immer als sensible Daten anzusehen, sondern nur bei Hinzutreten weiterer Elemente (wie etwa ein bestimmter auf die Verarbeitung sensibler Daten abstellender Zweck der Datenverarbeitung). Dies ist auch sachgerecht, da ansonsten in der Praxis die Verarbeitung personenbezogener Daten im Rahmen von Videoüberwachungstätigkeiten regelmäßig nur auf die vorherige ausdrückliche Einwilligung aller (!) betroffenen Personen gestützt werden könnte. Der Rechtfertigungsgrund des berechtigten Interesses²⁸ steht bei sensiblen Daten nämlich nicht zur Verfügung, womit bei Bejahung des generellen Vorliegens von sensiblen Daten eine Videoüberwachung ohne vorherige Einwilligung aller betroffenen Personen auch nicht zum Eigentumsschutz oder Objektschutz betrieben werden dürfte und eine dennoch zu diesem Zweck betriebene Videoüberwachungsanlage mit enormen Sanktionen²⁹ bedroht wäre.

Im Rahmen der nach der DS-GVO den Verantwortlichen treffenden Informationspflichten stellt sich die Frage, ob die Daten bei der betroffenen Person «erhoben» werden oder nicht. Je nachdem richtet sich die Verpflichtung entweder nach Art. 13 DS-GVO oder Art. 14 DS-GVO. Eine Datenerhebung bei der betroffenen Person sollte richtigerweise nur in Fällen bejaht werden, in denen die betroffene Person tatsächlich Kenntnis von den einzelnen erhobenen Daten hat, insbesondere weil sie diese (etwa durch Eingabe) selbst zur Verfügung gestellt hat.³⁰ Für die Verarbeitung personenbezogener Daten im Rahmen von Videoüberwachungstätigkeiten ist somit die Informationsverpflichtung nach Art. 14 DS-GVO zu beachten. Dies bedeutet eine signifikante Änderung zur bisherigen Rechtslage, die in § 50d DSG eine bloße Kennzeichnungspflicht vorsieht. Es ist wohl schwer vorstellbar, wie die Informationspflicht nach Art. 14 DS-GVO mit einem Piktogramm³¹ erfüllt werden könnte.

Wenngleich beim Auskunftsanspruch der betroffenen Person in der DS-GVO keine Sonderregel mehr besteht, fallen die inhaltlichen Änderungen gering aus.

§ 50e Abs. 1 DSG verlangt vom Auskunftswerber, sowohl den Zeitraum, in dem er möglicherweise von der Überwachung betroffen war, als auch den Ort möglichst genau zu benennen. Eine derartig detaillierte Mitwirkungspflicht ist beim Auskunftsrecht nach Art. 15 DS-GVO zwar nicht gefordert. Da bei Betrieb einer Videoüberwachungsanlage regelmäßig jedoch eine Identifizierung der betroffenen Personen nicht erforderlich ist, entfällt der Auskunftsanspruch, wenn der Verantwortliche nachweisen kann, dass er nicht in der Lage ist, den Auskunftswerber zu identifizieren, und dieser auch nicht zur Ausübung des Auskunftsrechts zusätzliche Informationen bereitstellt, die seine Identifizierung ermöglichen.³² Welche Informationen der Auskunftswerber beibringen muss, ist in der DS-GVO nicht abschließend geregelt. Es ist aber zu erwarten, dass die möglichst genaue³³ Angabe des Zeitraums, in dem er möglicherweise von der Überwachung betroffen war, als auch des Ortes (in Verbindung mit der Vorlage eines Lichtbildausweises) im Regelfall wohl ausreichen dürfte, um den Auskunftswerber zu identifizieren und eine Auskunft zu ermöglichen.

Nach § 50e Abs. 1 DSG hat der Betroffene grundsätzlich einen Anspruch auf Erhalt einer Kopie der zu seiner Person verarbeiteten Daten in einem üblichen Format. Auch nach Art. 15 Abs. 3 DS-GVO ist der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Wenngleich nur bei elektronischer Stellung des Auskunftsersuchens die Zurverfügungstellung in einem «gängigen elektronischen Format» verpflichtend vorgesehen sein, wird in der Praxis wohl auch bei nicht-elektronisch gestellten Auskunftsersuchen eine Zurverfügungstellung regelmäßig in einem gängigen elektronischen Format erfolgen, da eine andere Form der Zurverfügungstellung für den Verantwortlichen wohl regelmäßig (noch) aufwändiger wäre.³⁴

Gemäß Art. 15 Abs. 4 DS-GVO darf das Recht auf Erhalt der Kopie – wie schon im DSG³⁵ – die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Ob hier anstelle einer Unkenntlichmachung dritter Personen auch eine bloße Beschreibung des im Rahmen der Videoüberwachung verarbeiteten Verhaltens in Betracht kommt, mag wohl auch vor dem Hintergrund des Art 15 DS-GVO durchaus vertretbar sein. Zu beachten ist jedoch, dass hier auch eine gesetzgeberische Klarstellung auf nationaler Ebene möglich wäre.³⁶

Ein Recht auf Berichtigung scheidet bei Videoüberwachungstätigkeiten aus, da a priori nicht erkennbar ist, wie die aufgezeichneten Daten einer bestimmten Person einer Berichtigung zugänglich sein sollten.

Das Recht auf Löschung wird in der Praxis wohl mit Unkenntlichmachung des Auskunftswerbers oder Löschung der entsprechenden Aufnahme umgesetzt werden müssen. Selbiges wird auch beim erfolgreich durchgesetzten Widerspruchsrecht gelten.

Die Durchsetzbarkeit des Rechts auf Datenübertragbarkeit scheitert daran, dass die Daten nicht von der betroffenen Person bereitgestellt, also «willentlich und wissentlich übermittelt’³⁷ wurden.

Nach § 50b Abs. 2 DSG sind aufgezeichnete Daten im Regelfall nach spätestens 72 Stunden zu löschen. Nach der DS-GVO ist keine derartige Löschungsverpflichtung vorgesehen. Allerdings dürfen personenbezogene Daten nur solange in einer Form gespeichert werden, die die Identifizierung der betroffenen Person ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.³⁸ Dies gibt daher Verantwortlichen zwar eine größere Flexibilität bei der Festlegung der Speicherdauer, diese sind allerdings für die (korrekte) Einhaltung dieses Grundsatzes verantwortlich und müssen dessen Einhaltung im Rahmen der sie treffenden Rechenschaftspflicht nachweisen können.³⁹

Da die DS-GVO keine Meldepflicht mehr vorsieht, hat § 50c DSG in der DS-GVO keine Entsprechung. Anstelle der Meldepflicht tritt die Führung eines Verzeichnisses von Verarbeitungstätigkeiten, sofern der Verantwortliche nicht gemäß Art. 30 Abs. 5 DS-GVO davon ausgenommen ist.

Ob bei einer Verarbeitung personenbezogener Daten im Rahmen von Videoüberwachungstätigkeiten eine Datenschutz-Folgenabschätzung erforderlich ist, ist einzelfallbezogen, insbesondere anhand der technischen Ausgestaltung und des Verarbeitungszwecks, zu beurteilen und insbesondere dann zu bejahen, wenn die Videoüberwachungstätigkeit eine «umfangreiche Verarbeitung» sensibler Daten oder strafrechtlich relevanter Daten beinhaltet.

Durch den Wegfall der Sonderbestimmungen zur Videoüberwachungen und der Anwendbarkeit allgemeiner Bestimmungen der DS-GVO auf die Verarbeitung personenbezogener Daten im Rahmen von Videoüberwachungstätigkeiten kommt es in einigen Bereichen zu Änderungen der anwendbaren datenschutzrechtlichen Bestimmungen. Insbesondere die Qualifikation von Bilddaten als sensible Daten würde die Zulässigkeit von Videoüberwachungstätigkeiten massiv beschränken.