Jusletter IT

Das «Internet der Dinge»¹ ist längst nicht mehr auf Smart Factories und Connected Cars beschränkt, sondern entwickelt sich unaufhaltsam in Richtung Smart Home und Smart Living, wo es zur Vernetzung von Alltagsgegenständen kommt, die zuvor auch ohne kommunikative Anbindung funktioniert haben.²

Das Paradebeispiel für diese Entwicklung ist das omnipräsente Verbraucherprodukt TV bzw. nunmehr Smart-TV, auch intelligenter Fernseher oder Hybrid-TV genannt. Diese Bezeichnung wird für Fernsehgeräte verwendet, die mit (eingebetteten) Sensoren und Computer-Zusatzfunktionen, insbesondere Internet-Fähigkeit, ausgestattet sind. Neben der TV-Funktion verfügen diese Geräte u.a. über Zusatzschnittstellen wie z.B. USB, Bluetooth und WLAN und meist über eine Hybrid Broadcasting Broadband TV («HbbTV»)-Funktionalität. Diese Konnektivität macht das Smart-TV zu einem wichtigen Element im Internet der Dinge.³

Das Internet der Dinge bringt in der Regel mit sich, dass Daten verarbeitet werden, die bestimmte oder bestimmbare natürliche Personen betreffen und somit als personenbezogene Daten i.S.v. Art. 4 Z. 1 Datenschutz-Grundverordnung (DSGVO)⁴ gelten.⁵ Auch Smart-TVs erfassen mit ihren Sensoren (z.B. Kameras, Mikrofone und Bewegungssensoren) Daten (Bilder, Geräusche, Bewegung), die für eine Reihe von datenschutzrechtlich relevanten Funktionen wie Gesichtserkennung, Spracherkennung und Bewegungssteuerung genützt werden.⁶

Die Nutzung eines Smart-TVs setzt mitunter ein Zusammenwirken mehrerer Akteure, welche unterschiedliche datenschutzrechtliche Rollen innehaben können, voraus. Bei unterschiedlichen Smart-TV-Diensten können Gerätehersteller, HbbTV-Anbieter, Portalbetreiber, App-Store-Betreiber, App-Anbieter oder Betreiber von Personalisierungsdiensten (Empfehlungsdienste) als datenschutzrechtliche Verantwortliche die von Smart-TV erhobenen Daten verarbeiten.⁷ Dies ist im Einzelfall zu prüfen (vgl. Punkt 2.1.1.).

Im Folgenden wird untersucht, auf welche Rechtsgrundlage sich der Verantwortliche bei der Verarbeitung von Bilddaten zum Zwecke der Gesichtserkennung und dieser zeitlich vorgelagerten Bildaufnahmen stützen kann.

Ein Smart-TV kann mit (externer oder eingebauter) Kamera digitale Bilder von Einzelpersonen aufzeichnen und diese Bilddaten zur Gesichtserkennung verwenden. Dadurch kann nicht nur ein Rückschluss auf die Zahl der Zuschauer bei bestimmten Angeboten gezogen werden, vielmehr ermöglicht die Gesichtserkennung in vielen Fällen auch die eindeutige Identifizierung einer Person und ist daher als ein biometrisches System zu betrachten. Ferner ermöglicht die Gesichtserkennung auch etwa die Erstellung von Nutzerprofilen auf der Grundlage von Sehgewohnheiten,⁸ die sich erheblich auf die Privatsphäre und auf das Recht des Einzelnen auf Datenschutz auswirken kann.⁹

Wie nach der Datenschutzrichtlinie (DSRL)¹⁰ können Bilddaten auch nach der Konzeption der DSGVO personenbezogene Daten sein. Dies ist der Fall, wenn auf einem (digitalen) Bild «ein klar sichtbares Gesicht einer Person abgebildet ist, das es ermöglicht, diese Person zu identifizieren».¹¹ Bilder können auch personenbezogene Daten von mehr als einer Person enthalten.¹²

Die DSGVO hat zusätzlich den Begriff der biometrischen Daten eingeführt¹³ und definiert diese als «mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten».¹⁴ Die Verarbeitung von «biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person» ist als Verarbeitung besonderer Kategorien personenbezogener Daten anzusehen und daher nur unter den strengen Voraussetzungen des Art. 9 Abs. 2 DSGVO nicht untersagt (abgestuftes Schutzkonzept).

Die Verarbeitung von Bilddaten ist allerdings «nur dann von der Definition des Begriffs «biometrische Daten» erfasst […], wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen», und eine entsprechende Auswertungsabsicht besteht.¹⁵ Erfasst ist unter anderem die digitale bzw. automatisierte Datengewinnung durch eine Gesichtserkennungssoftware, welche die Identifizierung von abgebildeten Personen ermöglicht.¹⁶ Solche Gesichtserkennungssoftwares werden auch bei Smart-TV-Diensten eingesetzt.¹⁷

Der für die Datenverarbeitung Verantwortliche ist in der Regel der Anbieter des jeweiligen Smart-TV-Dienstes, der die Gesichtserkennungssoftware einsetzt (vgl. Punkt 1.2.).¹⁸ Oft handelt es sich dabei um den App-Anbieter.

Der normative Mehrwert der Einstufung von biometrischen Daten als besondere Kategorie personenbezogener Daten liegt in der Nichtanwendbarkeit des Art. 6 Abs. 1 DSGVO, insbesondere der Interessenabwägung mit berechtigten Interessen des Verantwortlichen oder eines Dritten (lit. f).¹⁹ Des Weiteren ist die Verarbeitung auf vertraglicher Basis (lit. b) grundsätzlich ausgeschlossen.²⁰

Da weder die Interessenabwägung noch die Vertragserfüllung als Rechtsgrundlage der Verarbeitung von biometrischen Daten im Rahmen der Smart-TV-Dienste in Frage kommen, kann die Gesichtserkennung durch ein Smart-TV in der Praxis – wie auch sonst die Verarbeitung von besonderen Datenkategorien im Internet der Dinge – nur auf die ausdrückliche (also nicht bloß konkludente) Einwilligung der betroffenen Person gem. Art. 9 Abs. 2 lit. a DSGVO gestützt werden.²¹

Die Mitgliedstaaten sind zwar nicht berechtigt, weitere Ausnahmen vom Verarbeitungsverbot gem. Art. 9 Abs. 1 DSGVO zu schaffen, dürfen hingegen aber «zusätzliche Bedingungen, einschließlich Beschränkungen» für die Verarbeitung von biometrischen Daten in spezifizierten Konstellationen «einführen oder aufrechterhalten».²² Die Regelung der Art. 9 DSGVO stellt daher ein europarechtliches Mindestschutzniveau dar, das durch nationales Recht nicht unterschritten werden darf.²³

Zu prüfen ist im nächsten Schritt, ob das österreichische Datenschutzrecht weitere Verschärfungen enthält, die sich auf die Gesichtserkennung im Rahmen der Smart-TV-Dienste auswirken (können).

Die DSGVO enthält keine besonderen Bestimmungen zur Zulässigkeit der Verarbeitung von Bilddaten, die nicht als biometrische Daten zu qualifizieren sind, bot allerdings den Anlass für den nationalen Gesetzgeber die Bestimmungen über die Bildverarbeitung (vormals Videoüberwachung) grundlegend zu überarbeiten.²⁴

Nach der Einschätzung des österreichischen Gesetzgebers hat sich die Regelung zur Videoüberwachung im DSG 2000 grundsätzlich bewährt. Im DSG ist die «Bildaufnahme» daher weiterhin als besondere Datenverarbeitung geregelt, wobei sich der Gesetzgeber bei der Erlassung bzw. Aufrechterhaltung der Regelung, die nunmehr in §§ 12 f DSG enthalten ist, auf Art. 6 Abs. 2 und 3 sowie Art. 23 DSGVO und Kap IX DSGVO iVm ErwGr 10 gestützt hat.²⁵ Da in der DSGVO keine spezifische Öffnungsklausel für Bildverarbeitung vorgesehen ist, ist bereits fraglich, ob die Mitgliedstaaten überhaupt befugt sind, eine nationale Norm zur Videoüberwachung für private, nicht hoheitliche Zwecke zu erlassen.²⁶

Die Bilderfassung ist Grundvoraussetzung für die Gesichtserkennung.²⁷ Die Zulässigkeit der Aufnahme digitaler Bilder von Einzelpersonen durch einen Smart-TV wird daher im Folgenden aus der Sicht der neuen Regelungen der Bildverarbeitung beleuchtet. Vor allem wird untersucht, ob sich daraus weitere Einschränkungen für die Gesichtserkennung ergeben.

Es ist darauf hinzuweisen, dass Smart-TV-Dienste auch zu anderen Zwecken als der Gesichtserkennung Bilder aufnehmen und daher die nachstehenden Ausführungen auch bei sonstigen Bildverarbeitungen zu beachten sind (z.B. Erkennung der Anzahl der Zuschauer bei bestimmten Angeboten zum Zweck der Optimierung des Empfehlungsdienstes).

Anders als noch bei der Regelung der Videoüberwachung nach DSG 2000, erfasst die neue Regelung «grundsätzlich alle Bildaufnahmen durch Verantwortliche des privaten Bereichs» und hat somit einen deutlich breiteren Anwendungsbereich.²⁸ Umfasst sind daher nicht nur eine systematische oder fortlaufende Feststellung von Ereignissen, sondern auch Einzelaufnahmen, die bspw. mit einem Smartphone gemacht werden.²⁹ Nicht umfasst sind hingegen Bildaufnahmen zur Vollziehung hoheitlicher Aufgaben.³⁰

Das DSG definiert eine Bildaufnahme als «die durch Verwendung technischer Einrichtungen zur Bildverarbeitung vorgenommene Feststellung von Ereignissen im öffentlichen oder nicht-öffentlichen Raum zu privaten Zwecken. Zur Bildaufnahme gehören auch dabei mitverarbeitete akustische Informationen».³¹ Der Begriff Bildaufnahme soll weit ausgelegt werden.³²

Da diese Tatbestandsmerkmale bei der Aufnahme der digitalen Bilder von Einzelpersonen durch die Kamera des Smart-TVs erfüllt sind,³³ ist im nächsten Schritt zu prüfen, auf welche Rechtsgrundlage die Bildverarbeitung durch ein Smart-TV gestützt werden darf.

Das DSG sieht eine Liste von Erlaubnistatbeständen vor. Danach ist eine Bildaufnahme zulässig, wenn (Z 1) sie im lebenswichtigen Interesse einer Person erforderlich ist, (Z 2) die (ausdrückliche oder konkludente) Einwilligung der betroffenen Person vorliegt, (Z 3) sie durch besondere gesetzliche Bestimmungen angeordnet oder erlaubt ist, oder (Z 4) im Einzelfall überwiegende berechtigte Interessen des Verantwortlichen oder eines Dritten bestehen und die Verhältnismäßigkeit gegeben ist.³⁴ In sämtlichen Fällen sind besondere Vorgaben nach § 13 DSG (Protokollierung, Löschungspflicht, Kennzeichnungspflicht und Auskunftspflicht) zu berücksichtigen.

Wie die Vorgängerregelung in § 50a Abs. 5 und 7 DSG 2000 enthält auch § 12 DSG im Abs. 4 eine Liste an Verarbeitungsverboten, die teilweise bei der Bildverarbeitung im Rahmen der Erbringung von Smart-TV-Diensten einschlägig sind. In diesem Zusammenhang ist wiederum fraglich, ob aus der DSGVO die Befugnis des nationalen Gesetzgebers, solche Einschränkungen vorzunehmen, abgeleitet werden kann.³⁵ Für die Zwecke dieses Beitrags wird von der Anwendbarkeit der geltenden nationalen Bestimmungen ausgegangen und deren Einfluss auf die Smart-TV-Dienste untersucht.

Gänzlich verboten hat der österreichische Gesetzgeber «die Auswertung von mittels Bildaufnahmen gewonnenen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) als Auswahlkriterium».³⁶ Diese Bestimmung ist dem § 50a Abs. 7 DSG 2000³⁷ nachgebildet und soll die betroffenen Personen vor Gefahr einer Diskriminierung schützen.³⁸ Die Suche innerhalb der Bilddaten nach besonderen Kategorien der personenbezogenen Daten (z.B. Hautfarbe oder gesundheitlichen Einschränkungen)³⁹ wäre bei einer Zuordnung der (identifizierten) betroffenen Personen zu bestimmten Nutzerkategorien, etwa zum Zwecke der (diskriminierenden) personalisierten Werbung, denkbar (z.B. zusätzliche Werbespots für Subprime-Kredite oder Korrekturbrillen). Hingegen birgt die Durchsuchung von Bilddaten nach einer bestimmten Person im Rahmen der Gesichtserkennung, wenn auch unter Verwendung von biometrischen Daten, (an sich) nicht die Gefahr der Diskriminierung und fällt nicht unter diesen Tatbestand, (zumindest) wenn damit kein verpöntes Motiv verfolgt wird. So sind ausweislich der Materialien auch die «Zutrittskontrollen auf der Basis eines Abgleichs biometrischer Bilddaten» zulässig (siehe dazu sogleich).⁴⁰

Unzulässig ist weiters «der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten ohne ausdrückliche Einwilligung und für das Erstellen von Persönlichkeitsprofilen mit anderen personenbezogenen Daten».⁴¹ Einerseits ist daher der Vergleich von Bilddaten mit anderen personenbezogenen Daten (nicht nur anderen Bilddaten) für das Erstellen von Persönlichkeitsprofilen – gemeint ist m.E. Profiling i.S.d. Art. 4 Z. 4 DSGVO – generell ausgeschlossen.⁴² Anderseits ist ein Vergleich von Bilddaten zu einem anderen Zweck, etwa bei «Zutrittskontrollen auf der Basis eines Abgleichs biometrischer Bilddaten», nur mit ausdrücklicher Einwilligung der betroffenen Person zulässig.⁴³ Somit dürfen Bilddaten nicht durch die Bewertung der auf den Bildaufnahmen ersichtlichen persönlichen Aspekten (z.B. wahrscheinliches Alter, Geschlecht, Körpergröße, Gewicht, ethnische Herkunft oder sogar Stimmung/Laune der abgebildeten Person) in die Profilbildung einfließen; hingegen ist m.E. die Verwendung von Bilddaten zur Authentifizierung bzw. Verifizierung (anstelle eines Passworts) vom Profilinhaber zulässig.⁴⁴

Ferner sind ohne deren ausdrückliche Einwilligung Bildaufnahmen der betroffenen Person in deren höchstpersönlichen Lebensbereich verboten.⁴⁵ Nach der Judikatur des OGH stellt der höchstpersönliche Lebensbereich «den Kernbereich der geschützten Privatsphäre […]. Dieser höchstpersönliche Kernbereich ist nicht immer eindeutig abgrenzbar, es ist aber davon auszugehen, dass jedenfalls die Gesundheit, das Sexualleben und das Leben in und mit der Familie dazu gehören».⁴⁶ Zum höchstpersönlichen Lebensbereich gehört jedenfalls die Privatwohnung der betroffenen Person, wo ein Smart-TV in der Regel genutzt wird.⁴⁷

Im Ergebnis erfordert die Bildaufnahme durch ein Smart-TV in der Regel eine ausdrückliche Einwilligung der betroffenen Person gem. Art. 9 Abs. 2 lit. a DSGVO.

Werden die Bilddaten nach deren Erhebung nicht ausschließlich im Smart-TV-Gerät verarbeitet, sondern anschließend in einem zweiten Schritt übermittelt (z.B. Speicherung auf dem Cloud Server; Bildverarbeitung durch eine webbasierte Software) ist ferner zu beachten, dass auf diese Übermittlung wiederum die Erlaubnis- und Verbotstatbestände des § 12 Abs. 2 und 4 DSG anzuwenden sind.⁴⁸ Für die Übermittlung von im Wege einer zulässigen Bildaufnahme ermittelten Bilddaten ist daher eine (weitere) ausdrückliche Einwilligung notwendig. Sollten diese Bilddaten in ein Drittland übermittelt werden, ist zusätzlich Kapitel 5 der DSGVO («Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen») zu beachten.

Die Materialien zu § 12 DSG verweisen hinsichtlich des Begriffs der ausdrücklichen Einwilligung auf Art. 9 Abs. 2 lit. a DSGVO und beschreiben diese als «jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass die mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist».⁴⁹ Damit wiederholt der Gesetzgeber die Definition der Einwilligung nach Art. 4 Z. 11 DSGVO, die allerdings auch konkludente Einwilligung umfasst.

Der Begriff «ausdrücklich» bezieht sich darauf, wie die betroffene Person ihre Einwilligung zum Ausdruck bringt.⁵⁰ Eine ausdrückliche Einwilligung muss unmittelbar auf die Verarbeitung besonderer Kategorien personenbezogener Daten (hier biometrischen Daten) und Bilddaten Bezug nehmen.⁵¹ Da eine bestimmte Form der Einwilligung nicht vorgeschrieben wird, kann nach der DSGVO eine ausdrückliche Einwilligung nicht nur durch eine schriftliche (und unterschriebene) Erklärungen, sondern auch etwa durch eine elektronische Erklärung eingeholt werden.⁵² Im digitalen oder Online-Kontext kann eine betroffene Person die erforderliche Erklärung bspw. durch Ausfüllen eines elektronischen Formulars, Senden einer E-Mail, Hochladen eines eingescannten Dokuments, das von der betroffenen Person unterzeichnet wurde oder durch Verwenden einer elektronischen Signatur erteilen.⁵³ Ferner kann ein Verantwortlicher von den Nutzern einer App oder eines Portals auch «eine ausdrückliche Einwilligung erhalten, indem er einen Bildschirm mit «Ja»- oder «Nein»-Auswahlkästchen für das Erteilen einer ausdrücklichen Einwilligung anbietet, vorausgesetzt, in dem Text wird die Einwilligung deutlich gezeigt».⁵⁴

Diese Möglichkeiten stehen auch zur Einholung einer ausdrücklichen Einwilligung in die Verarbeitung von Bilddaten zum Zwecke der Gesichtserkennung und sonstige Bildverarbeitung im Rahmen der Smart-TV-Dienste zur Verfügung. Der Verantwortliche muss dabei sicherstellen, dass ausreichende Informationen bereitstellt werden und die gültige Einwilligung der betroffenen Personen bereits vor der Verarbeitung von Bilddaten vorliegt.⁵⁵

Die ausdrückliche Einwilligung ist von sämtlichen Personen, deren biometrische Daten möglicherweise während der Gesichtserkennung oder sonstigen Bildverarbeitung im Rahmen der Smart-TV-Dienste verarbeitet werden, einzuholen. Dabei handelt es sich nicht nur um registrierte Nutzer, sondern auch um allfällige nicht registrierte Nutzer und Nicht-Nutzer, deren Bilddaten verarbeitet werden (z.B. Personen, die mit dem registrierten Nutzer im gemeinsamen Haushalt leben und Besucher).⁵⁶

Wegen des Verbotes der Bildaufnahmen der betroffenen Person in deren höchstpersönlichen Lebensbereich und des Vergleichs von Bilddaten zu einem anderen Zweck als für das Erstellen von Persönlichkeitsprofilen ohne deren ausdrückliche Einwilligung, können die Verarbeitungsschritte, die notwendig sind, um zu bewerten, ob eine Person (als registrierter Nutzer oder auf andere Weise) seine Einwilligung in die Verarbeitung der Bilddaten erteilt hat oder nicht (Bilderfassung, Gesichtserkennung, Vergleich usw.) und ob somit eine Rechtsgrundlage vorhanden ist («anfängliche Verarbeitung»), anders als nach DSGVO nicht auf die Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten (z.B. eines registrierten Nutzers) gestützt werden.⁵⁷

Besteht bei einem Smart-TV-Dienst keine Möglichkeit, die ausdrückliche Einwilligung von sämtlichen möglicherweise betroffenen Personen (vorab) einzuholen, muss der vollständige Dienst blockiert werden.⁵⁸ Daraus ergibt sich eine nicht unwesentliche (und vom Gesetzgeber wohl unbeabsichtigte) Einschränkung der Zulässigkeit von Smart-TV-Diensten im Vergleich zur Rechtslage nach DSGVO.

Smart-TVs können mit Kameras digitale Bilder von Einzelpersonen aufzeichnen. Im Rahmen der Smart-TV-Dienste werden die aufgenommenen Gesichtsbilder oft mit Gesichtserkennungssoftware verarbeitet, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Die verarbeiteten Bilddaten, die Gesichtsbilder enthalten, sind daher als biometrische Daten zu qualifizieren und dürfen als besondere Kategorie personenbezogener Daten nur mit ausdrücklichen Einwilligung der betroffenen Person verarbeitet werden.⁵⁹

Die Grundvoraussetzung der Gesichtserkennung ist die Bilderfassung.⁶⁰ Die neue Regelung der Bildverarbeitung nach DSG ist bei der Aufnahme der digitalen Bilder von Einzelpersonen durch die Kamera des Smart-TVs anzuwenden. Das DSG enthält allerdings auch mehrere Verarbeitungsverbote, die bei der Erbringung von Smart-TV-Diensten zu beachten sind. So ist der Vergleich von Bilddaten mit anderen personenbezogenen Daten für das Erstellen von Persönlichkeitsprofilen generell unzulässig. Hingegen ist der Vergleich von Bilddaten mit anderen personenbezogenen Daten für andere Zwecke, etwa zur Authentifizierung bzw. Verifizierung der betroffenen Person, bei Einholung der ausdrücklichen Einwilligung zulässig. Diese ist ferner für Bildaufnahme der betroffenen Person in deren höchstpersönlichen Lebensbereich erforderlich.

Die ausdrückliche Einwilligung in die Verarbeitung von Bilddaten zum Zwecke der Gesichtserkennung und sonstige Bildverarbeitung im Rahmen der Smart-TV-Dienste muss unmittelbar auf die Verarbeitung dieser Bilddaten Bezug nehmen. Sie ist von jeder möglicherweise betroffenen Person einzuholen, ansonsten muss der vollständige Dienst blockiert werden.

Artikel-29-Datenschutzgruppe, Stellungnahme 4/2007 zum Begriff «personenbezogene Daten», WP 136 (angenommen am 20. Juni 2007).

Artikel-29-Datenschutzgruppe, Stellungnahme 02/2012 zur Gesichtserkennung bei Online- und Mobilfunkdiensten, WP 192 (angenommen am 22. März 2012).

Artikel-29-Datenschutzgruppe, Stellungnahme 3/2012 zu Entwicklungen im Bereich biometrischer Technologien, WP 193 (angenommen am 27. April 2012).

Artikel-29-Datenschutzgruppe, Stellungnahme 8/2014 zu den jüngsten Entwicklungen im Internet der Dinge, WP 223 (angenommen am 16. September 2014).

Artikel-29-Datenschutzgruppe, Leitlinien in Bezug auf die Einwilligung gemäß Verordnung 2016/679, WP 259 rev.01 (zuletzt überarbeitet und angenommen am 10. April 2018).

Bresich, Ronald/Dopplinger, Lorenz/Dörnhöfer, Stefanie/Kunnert, Gerhard/Riedl, Eckhard, Datenschutzgesetz, Linde Verlag, Wien 2018.

Cappello, Maja (Hrsg.), Smart-TV und Datenschutz, IRIS Spezial 2015-2, Europäische Audiovisuelle Informationsstelle, Straßburg, 2016.

Düsseldorfer Kreis, Orientierungshilfe- Datenschutzanforderungen an Smart-TV-Dienste, 15-16 September 2015.

Ehmann, Eugen/Selmayr, Martin, Datenschutz-Grundverordnung, 2. Auflage, C. H. Beck, München 2018.

Gola, Peter, Datenschutz-Grundverordnung, 2. Auflage, C. H. Beck, München 2018. Grünwald, Andreas/Nüßing, Christoph, Machine-to-Machine (M2M)-Kommunikation – Regulatorische Fragen bei der Kommunikation im Internet der Dinge, MMR 2015, 378.

Jelinek, Andrea/Schmidl, Matthias/Spanberger, Barbara, Datenschutzgesetz, Sigmund Freud University Press, Wien 2018.

Knyrim, Rainer, DatKomm, Praxiskommentar zum Datenschutzrecht, DSGVO und DSG, Manz Verlag, Wien 2018.

Schwaiger, Christina Maria, Biometrische Gesichtserkennung. In Jahnel, Dietmar (Hrsg.), Jahrbuch Datenschutzrecht 2016, NWV Verlag, Wien 2016, S. 193.

Sydow, Gernot, Europäische Datenschutzgrundverordnung, 2. Auflage, MANZ Verlag Wien, Nomos, Dike Verlag Zürich 2018.