GZ: 2021-0.024.862 vom 2. Februar 2021 (Verfahrenszahl: DSB-D485.007)
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen,
Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie
deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt
und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler
wurden korrigiert.]
B E S C H E I D
S P R U C H
Die Datenschutzbehörde entscheidet aufgrund des von der A** Verkehrsbetriebe GmbH
(Verantwortliche), vertreten durch N** Rechtsanwälte GmbH, am 10. Dezember 2020
eingeleiteten Verfahrens gemäß Art. 36 DSGVO betreffend eine beabsichtige
Datenverarbeitung („Testbetrieb Anpralldetektion bei Brücken“) wie folgt:
- Der Antrag auf vorherige Konsultation nach Art. 36 DSGVO wird abgewiesen.
Rechtsgrundlagen: Art. 5, 6, 13, 14, 35 und 36 der Verordnung (EU) 2016/679 (Datenschutz-
Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1;
B E G R Ü N D U N G
A. Vorbringen der Verantwortlichen:
1. Mit Schreiben vom 10. Dezember 2020 leitete die Verantwortliche ein Verfahren gemäß
Art. 36 DSGVO ein und führte dazu wie folgt aus:
Die Verantwortliche beabsichtige eine „Anpralldetektion bei Brücken“ zur Erkennung und
Video-Dokumentation von Schadensfällen - die durch den Zusammenprall eines Fahrzeugs
mit einer Brücke der Verantwortlichen verursacht werden - zu errichten. Die Datenschutz-
Folgenabschätzung komme zu dem Ergebnis, dass hinsichtlich der beurteilten
Verarbeitungstätigkeit ein hohes (Rest-)Risiko verbleibe bzw. nicht ausgeschlossen werden
könne. Dem Antrag war die „Datenschutz-Folgenabschätzung-Testbetrieb Anpralldetektion
bei Brücken“ der Verantwortlichen beigelegt.
2. Die Verantwortliche konkretisierte – über Aufforderung der Datenschutzbehörde – mit
Stellungnahme vom 7. Jänner 2021 ihren Antrag dahingehend, dass sie das hohe Risiko für
die Datenschutzrechte der betroffenen Personen darin erkenne, dass aufgrund der konkreten
Umstände der Verarbeitung zwar eine tragfähige Rechtsgrundlage für die Datenverarbeitung
bestehe, allerdings eine zuverlässige Information der betroffenen Personen über die
Datenverarbeitung nicht sichergestellt werde. Denn die Verantwortliche habe keinen direkten
Kontakt mit den Lenkern und Beifahrern herannahender Fahrzeuge, welche eine Information
sicherstellen könne. Auch gebe es keine empirischen Nachweise, dass die angebrachten
Hinweisschilder von betroffenen Personen „im Vorbeifahren“ auch wahrgenommen werden.
Die Verantwortliche sei zudem nicht Erhalterin der betreffenden Autostraßen, sondern lediglich
der überführenden Eisenbahnbrücken, welches den zur Verfügung stehenden Raum für
Informationsschilder einschränken könne.
Aus den konkreten Umständen der Verarbeitung resultiere daher das Risiko, dass die
betroffenen Personen von der Datenverarbeitung in Form einer Videoüberwachung in ihrem
privaten oder beruflichen Lebensbereich erfasst werden, ohne über die Tatsache der
Verarbeitung und/oder die Identität des Verantwortlichen informiert zu sein. Darin manifestiere
sich ein hohes Risiko für die Datenschutzrechte der betroffenen Personen, insbesondere für
das durch Art. 5 Abs. 1 lit. a DSGVO geschützte Recht, dass personenbezogene Daten nur in
einer für die betroffenen Personen nachvollziehbaren Weise verarbeitet werden.
Die vorliegende Datenschutz-Folgenabschätzung komme daher zu dem Ergebnis, dass die
geplanten technischen und organisatorischen Maßnahmen alleine nicht ausreichen können,
diese Risiken gänzlich auszuschließen.
B. Sachverhaltsfeststellungen
Die Verantwortliche beabsichtigt eine videobasierte „Anpralldetektion bei Brücken“, deren
Erhaltung in ihrem Verantwortungsbereich liegt, zu errichten. Die geplante Anwendung ist als
Teststellung bestehend aus einem Sensor- und Videoaufnahmesystem konzipiert, welches im
Bereich von Eisenbahnbrücken der Verantwortlichen angebracht wird, die über öffentliche
Verkehrsflächen verlaufen. Das System dient der Erkennung und Video-Dokumentation von
Schadensfällen, die durch den Zusammenprall eines Fahrzeugs mit einer Brücke der
Verantwortlichen verursacht werden.
Die Datenschutz-Folgenerklärung gestaltet sich auszugsweise wie folgt (Formatierung nicht
1:1 wiedergegeben):
„1. ABSCHNITT: BESCHREIBUNG UND ABGRENZUNG DER
VERARBEITUNGSVORGÄNGE
[…]
1.2 Funktionale Beschreibung der Anwendung
[…]
Detaillierte Darstellung der geplanten Verarbeitungsvorgänge
Im Bereich von ausgewählten Eisenbahnbrücken der Verantwortlichen, welche über
öffentliche Verkehrsflächen verlaufen, werden digitale, fix justierte Videokameras
installiert. Zusätzlich werden im Bereich der Eisenbahnbrücken Laserlichtschranken
als sog. "Anlass-Trigger" installiert, welche anschlagen (triggern), sobald ein Fahrzeug
passiert, welches die zulässige Gesamthöhe überschreitet (Anprallanlass). Für das
Kamerasystem sind zwei verschiedene Kameraperspektiven vorgesehen, welche
jeweils unterschiedliche Aufnahmezwecke erfüllen:
(i) Aufnahme der Tragwerksuntersicht zur Erkennung und Dokumentation von
allfälligen optischen Veränderungen des Tragwerks sowie zur genaueren
Analyse des Aufpralls (Beschaffenheit des Fahrzeugteils, das in Kontakt mit
dem Brückentragwerk gekommen ist, Geschwindigkeit beim Anprall udgl.).
Dabei erfolgt die Ausrichtung der Kameralinse derart, dass keine öffentlichen
Verkehrsflächen (zB Straße, Fußweg, Radweg) erfasst werden.
(ii) Aufnahme der Fahrbahn des herankommenden Straßenverkehrs in
unmittelbarer Nähe zur gesicherten Eisenbahnbrücke zum Zwecke der
Erfassung anprallender Fahrzeuge sowie deren KFZ-Kennzeichen und
gegebenenfalls der Lenker von vorne.
Abhängig von den örtlichen Gegebenheiten wird die Anwendung entweder als
"Anlassaufnahme-System" oder als "Anlassspeicherungs-System" implementiert,
wobei im Sinne der Datenminimierung (Art 5 Abs 1 lit c DSGVO) vorrangig das
Anlassaufnahme-System umzusetzen ist:
(i) Anlassaufnahme-System: Sofern die örtlichen Gegebenheiten im Einzelfall
eine entsprechende Positionierung der Laserlichtschranken auf dem Grund der
Verantwortlichen (nicht auf Fremdgrund) im Vorfeld der gesicherten Brücke
zulassen, erfolgen keine durchgehenden Aufnahmen durch die installierten
Kameras, sondern werden diese erst bei Registrierung eines Anprallanlasses
in Betrieb gesetzt, somit dann, wenn ein Fahrzeug, welches die zulässige
Gesamthöhe überschreitet, eine der installierten Laserlichtschranken passiert
(Anlassaufnahme).
(ii) Anlassspeicherungs-System: In allen anderen Fällen – dh wo kein
geeigneter Grund der Verantwortlichen zur Installation der Laserlichtschranken
im Vorfeld der Brücke zur Verfügung steht – werden die Laserlichtschranken an
der Brücke selbst installiert. Diesfalls wäre es ohne eine gewisse Vorlaufzeit der
Kameraaufnahme nicht möglich, allfällige Schädiger und deren Fahrzeuge
durch reine Anlassaufnahmen zu identifizieren (die technisch notwendige
„Vorlaufzeit“ zum Aktivieren des Kamerasystems kann sonst nicht gewährleistet
werden). Es ist daher ein dauerhafter Betrieb der installierten Videokameras
erforderlich.
Die kontinuierlich aufgenommenen Bilddaten werden allerdings nur temporär
im Rahmen eines Ringspeichers gesichert und tourlich überschrieben. Die
konkrete Speicherdauer hängt von der maximalen zu erwartenden
Annäherungsgeschwindigkeit und der konkret einsehbaren Annäherungslinie
ab. Als maximale Speicherdauer sind 10 Sekunden vorgesehen. Eine
darüberhinausgehende Speicherung von erfassten Bilddaten erfolgt nur bei
Registrierung eines Anprallanlasses, somit dann, wenn ein Fahrzeug, welches
die zulässige Gesamthöhe überschreitet, eine der installierten
Laserlichtschranken passiert. Diesfalls wird die Überschreibung von Bilddaten
im Rahmen des Ringspeichers ausgesetzt bis eine entsprechende
Beweissicherung erfolgt ist (Anlassspeicherung).
[…]
Die im Rahmen der Anlassaufnahme oder Anlassspeicherung gesicherten Bilddaten
werden unverzüglich – jedenfalls aber innerhalb von 96 Stunden – von da zu
berechtigten Personen der Verantwortlichen analysiert und bewertet. Diese Vorgänge
werden protokolliert. Die weitere Verwendung und Speicherdauer der Bilddaten im
Einzelfall ergibt sich sodann aus den ausgewiesenen Dokumentationszwecken unter
Berücksichtigung der Grundsätze der Datenminimierung (Art 5 Abs 1 lit c DSGVO) und
Speicherbegrenzung (Art 5 Abs 1 lit e DSGVO).
[…]
Die verfolgten berechtigten Interessen (wenn Art 6 Abs 1 lit f DSGVO als
Rechtsgrundlage verwendet wird)
Die von der Verantwortlichen durch die Anwendung verfolgten berechtigten Interessen
lassen sich wie folgt zusammenfassen:
• Erkennung und Analyse von Anprallvorfällen, um die Sicherheit und
Funktionsfähigkeit der geschützten Infrastruktur gewährleisten zu können und
allenfalls geeignete Abhilfemaßnahmen zu ergreifen (zB notwendige
Reparaturarbeiten an von einem Anprall betroffenen Brückenteilen oder Sperre
von Gleisen);
• Informationsgewinnung zur laufenden Erfüllung der Instandhaltungs-
und Verkehrssicherungspflichten der Verantwortlichen hinsichtlich ihrer
Eisenbahnbrücken, insbesondere durch die bessere Erkennung und
Einschätzung von Gefahrenlagen und deren pro-aktive Beseitigung bzw.
Entschärfung;
• Aufklärung von Anprallvorfällen einschließlich der Identifizierung des
Verursachers und entsprechende Beweissicherung, wodurch insbesondere die
Einleitung allfälliger (Verwaltungs-) Strafverfahren ermöglicht und die effektive
Durchsetzung zivilrechtlicher Ansprüche der Verantwortlichen sichergestellt
werden soll.
Dass die Videodokumentation von Schadensfällen im öffentlichen Straßenverkehr per
se einem berechtigten Interesse des Verantwortlichen entspricht, ist unstrittig (vgl etwa
VwGH Ro 2015/04/0011).
Die Verarbeitung ist zur Wahrung dieses berechtigten Interesses auch erforderlich,
denn es besteht kein gelinderes Mittel, um die Lenker eines anprallenden Fahrzeuges
zu identifizieren bzw. das KFZ-Kennzeichen und damit einen Rückschluss auf den
Zulassungsinhaber zu eruieren. Die Erfassung per Video-Aufnahme ist zu diesem
Zweck daher erforderlich, wobei von der Verantwortlichen (wie umseits beschrieben)
umfangreiche Maßnahmen ergriffen werden, um das Ausmaß der Verarbeitung auf ein
notwendiges Minimum zu beschränken.
Schließlich stehen der Verarbeitung auch keine überwiegenden Interessen der
betroffenen Personen entgegen. Denn zunächst beschränkt sich die Verarbeitung auf
eine wenige Sekunden dauernde Sequenz, in welcher betroffene Personen als
Teilnehmer am öffentlichen Straßenverkehr bildlich erfasst werden können.
Insbesondere werden keine höchstpersönlichen Lebensbereiche erfasst oder sensible
Daten im Sinne von Art 9 DSGVO verarbeitet. Die Verarbeitung weist daher im
Vergleich zu anderen Bildverarbeitungen eine relativ geringe Eingriffsintensität auf. Die
Bildaufnahme erfasst ein öffentlich wahrnehmbares Verhalten der betroffenen
Personen.
Vor allem aber ist im Rahmen dieser Interessenabwägung nach Erwägungsgrund 47
DSGVO auf die vernünftigen Erwartungen der betroffenen Personen abzustellen (vgl
DSB-D550.084/0002-DSB/2018). In diesem Sinne ist für die gegenständliche
Anwendung davon auszugehen, dass die betroffenen Verkehrsteilnehmer
vernünftigerweise absehen können, dass im Bereich kritischer Infrastrukturen wie etwa
auch Eisenbahnbrücken möglicherweise Bildaufnahmen erfolgen. So sind
Videoüberwachungen in Österreich bereits auf gefährlichen Kreuzungen, in Tunnels,
auf Autobahnen und Freilandstraßen sowie Rastplätzen, Bahnhöfen, Flughäfen, etc.
weit verbreitet.
[…]
Laut DSB können Dashcams demnach insbesondere dann zulässig sein, wenn
folgende Parameter eingehalten werden:
• Die Datenverarbeitung erfolgt zum ausschließlichen Zweck der
Dokumentation eines Unfallherganges. Die gegenständliche Anwendung erfüllt
dieses Kriterium einwandfrei, da ausschließlich die ausgewiesenen
Dokumentationszwecke verfolgt werden.
• Die Aufnahme des öffentlichen Raumes (=Straße) wird auf das
erforderliche Ausmaß beschränkt. Die umseits beschriebenen
Datenminimierungsmaßnahmen der Verantwortlichen stellen auch die Erfüllung
dieses Kriteriums sicher.
• Im Falle einer Speicherung werden Daten nur im unbedingt
erforderlichen zeitlichen Ausmaß gespeichert (Die konkrete Speicherdauer
hängt von der maximalen zu erwartenden Annäherungsgeschwindigkeit und der
konkret einsehbaren Annäherungslinie ab. Als maximale Speicherdauer sind 10
sek vor dem Unfallgeschehen bis wenige Sekunden danach vorgesehen, vgl
Skizze1). Daten werden kontinuierlich überschrieben soweit es zu keinem
Unfall gekommen ist. Die von der Verantwortlichen vorgesehene Kombination
aus Ringspeicher und Anlass-Trigger durch Laserlichtschranken erfüllt auch
diese Anforderung.
• Wenn die dauerhafte Speicherung von Bilddaten (=Stopp der
Überschreibung im Ringspeicher) von einer willentlichen Handlung des
Verantwortlichen abhängig ist (z.B. Knopfdruck), wird im Zweifel die
Unzulässigkeit der Verarbeitung anzunehmen sein. Zulässig ist hingegen die
ausschließlich automatische Speicherung von Bilddaten (=Stopp des
Überschreibungsprozesses) durch vordefinierte Impulse, ohne Möglichkeit
einer manuellen Speicherung. Im Rahmen der gegenständlichen Anwendung
wird der Überschreibungsprozess ausschließlich durch einen Anschlag des
Laserlichtschrankens ausgesetzt bzw. im Falle der Anlassaufnahme die
Videoaufnahme überhaupt erst in Betrieb gesetzt.
• Gewährleistung von Integrität und Vertraulichkeit durch den Einsatz von
Verschlüsselungstechniken und Zugriffsbeschränkungen. Auch dieser
Anforderung wird die gegenständliche Anwendung der Verantwortlichen
gerecht (siehe zu den implementierten Maßnahmen Punkt 5 unten).
Auch unter Berücksichtigung jener Kriterien, die die DSB zumindest im Falle der
Bildverarbeitung durch Dashcams für maßgeblich erachtet hat, ist die Zulässigkeit der
gegenständlichen Anwendung gemäß Art 6 Abs 1 lit f DSGVO daher zu bejahen. Dabei
ist zusätzlich zu berücksichtigen, dass die Verwendung von Dashcams eine
vergleichsweise sogar höhere Eingriffsintensität aufweist. Denn im Gegensatz zur
gegenständlichen Überwachung von kritischer Infrastruktur entspricht es gerade nicht
den vernünftigen Erwartungen der betroffenen Personen, dass diese mittels Dashcam
von anderen Verkehrsteilnehmern gefilmt werden (vgl in diesem Sinne DSB-
D550.084/0002-DSB/2018). Zudem handelt es sich bei der gegenständlichen
Verarbeitungstätigkeit um eine stationäre Bildaufnahme, welche einen immer gleichen
Bereich einer potentiellen Gefahrenstelle im Straßenverkehr erfasst und zudem im
Gegensatz zu einer „beweglichen“, in einem Fahrzeug befindlichen Dashcam sichtbar
gekennzeichnet werden kann.
[…]
3. ABSCHNITT: BEWERTUNG DER NOTWENDIGKEIT UND
VERHÄLTNISMÄSSIGKEIT DER VERARBEITUNGSVORGÄNGE IN BEZUG AUF
DEN ZWECK
[…]
3.2 Angaben über die getroffenen bzw geplanten Maßnahmen zur Einhaltung der
DSGVO insbesondere jener zur Gewährleistung der Notwendigkeit und
Verhältnismäßigkeit
Zweckbindungsgrundsatz (Art 5 Abs 1 lit b: Erhebung für festgelegte, eindeutige und
legitime Zwecke; Weiterverwendung?)
Die Datenverarbeitung erfolgt ausschließlich für die ausgewiesenen
Dokumentationszwecke. Eine Datenverarbeitung zu anderen Zwecken findet nicht
statt. Dies wird durch interne Schulungen und Richtlinien sichergestellt. Ferner wurden
alle mit der gegenständlichen Verarbeitungstätigkeit befassten Mitarbeiter der
Verantwortlichen mittels einer gesonderten Erklärung zur Einhaltung des
Datengeheimnisses gemäß § 6 DSG und der geltenden internen Bestimmungen zum
Datenschutz und zur Informationssicherheit verpflichtet.
Grundsatz der Datenminimierung (Art 5 Abs 1 lit c: Wie wird sichergestellt, dass nur die
jeweils erforderlichen Daten verarbeitet werden?)
Im Sinne der Datenminimierung erfolgt die Kameraausrichtung der
Fahrbahnperspektive derart, dass ausschließlich die Fahrzeuge auf der Fahrbahn des
herannahenden Verkehrs und zudem nur die relevanten Bereiche der herannahenden
Fahrzeuge (Fahrer-und Beifahrersitz und KFZ -Kennzeichen) erfasst werden.
Die Dauer der aufgenommenen Sequenz und Kamerawinkel wird so gewählt, dass bei
durchschnittlicher Geschwindigkeit ein anprallender LKW das Bild ausfüllt und daher
möglichst keine anderen Verkehrsteilnehmer erfasst werden.
Die Ausrichtung der Tragwerkuntersicht erfolgt derart, dass durch diese
Kameraaufnahmen überhaupt keine personenbezogenen Daten verarbeitet werden.
Insbesondere werden Rad- oder Fußwege unterhalb des Tragwerks nicht erfasst.
Zusätzlich werden für die Zweckerreichung nicht relevante Aufnahmebereiche mit
statischen Schwärzungen (digital masking) versehen (z.B. die Randbereiche, in denen
Fußgänger erfasst werden könnten oder der sich von der Brücke entfernende
Gegenverkehr). Die Schwärzung wird dabei fix in die Kameraansichten
einprogrammiert, sodass der durch die Maske erfasste Bereich gar nicht aufgenommen
wird, dh in den betreffenden Bereichen werden keine Bildpixel verarbeitet.
Durch den Einsatz des Laserlichtschrankens, welcher je nach Umsetzung entweder die
Kamera erst in Betrieb setzt (Anlassaufnahme) oder die kontinuierliche Überschreibung
vorhandener Aufnahmen im Rahmen des Ringspeichers aussetzt (Anlassspeicherung)
wird der Zeitraum der Aufnahme auf ein zur Zweckerreichung notwendiges
Mindestmaß reduziert. Wo die örtlichen Gegebenheiten dies zulassen wird stets das
Anlassaufnahme-System implementiert.
Durch einen Anprallanlass werden jeweils nur jene Kameras in Betrieb gesetzt, die auf
jene Fahrbahn gerichtet sind, auf welcher sich das anprallende Fahrzeug befindet.
Grundsatz der Speicherbegrenzung (Art 5 Abs 1 lit e: Speicherungsdauer nur solange
als für den Zweck erforderlich)
Im Rahmen des Anlassaufnahme-Systems werden Daten nur im Falle eines
Anprallanlasses aufgenommen und gespeichert.
Im Rahmen des Anlassspeicherungs-Systems werden die kontinuierlich erfassten
Bilddaten in einem Ringspeicher temporär gesichert und jeweils bereits nach Ablauf
von wenigen Sekunden überschrieben und damit irreversibel gelöscht (Die konkrete
Speicherdauer hängt von der maximalen zu erwartenden Annäherungsgeschwindigkeit
und der konkret einsehbaren Annäherungslinie ab. Als maximale Speicherdauer sind
10 Sekunden vorgesehen). Eine darüber hinausgehende Speicherung von erfassten
Bilddaten erfolgt nur bei Registrierung eines Anprallanlasses.
Die an einen Anprallanlass anschließende Datenspeicherung erfolgt jeweils so lange,
wie dies für die ausgewiesenen Verarbeitungszwecke im Einzelfall erforderlich ist (Art
5 Abs 1 lit e DSGVO). Liegt kein legitimer Speicherungszweck vor – insbesondere
wenn es zu keinem für die Verantwortliche nachteiligen Anprall gekommen ist – werden
die Daten unverzüglich, jedenfalls aber nach Ablauf von 96 Stunden nach der
Aufnahme gelöscht. Gleiches gilt für nicht relevante Bildsequenzen einer
gespeicherten Aufnahme (z.B. die Erfassung unbeteiligter Verkehrsteilnehmer).
Angaben über die Einhaltung der Vorgaben der Datenübermittlung an Drittländer (oder
internationale Organisationen)
Die Bildaufnahmen werden auf einem Server im Inland gespeichert. Es erfolgt keine
Übermittlung an Drittländer oder internationale Organisationen.
[…]
3.3 Angaben über die getroffenen bzw geplanten Maßnahmen zur
Berücksichtigung der Rechte der betroffenen Personen
Gewährleistung der Transparenz- und Informationspflichten (Art 12-14)
Die Aufnahmetätigkeit wird gut sichtbar im Bereich der gesicherten Brücken durch
entsprechende Hinweisschilder gekennzeichnet. Wo die örtlichen Gegebenheiten dies
zulassen, dh wenn entsprechender Grund der Verantwortlichen (nicht Fremdgrund)
vorhanden ist, wird die Kennzeichnung für den herannahenden Verkehr gut sichtbar im
Vorfeld der Brücke angebracht.
Das Hinweisschild enthält Hinweise auf die Höhenkontrolle, ein Piktogramm für
Videoüberwachung, einen Hinweis auf die Verantwortliche sowie einen Link samt QR
Code mit Verweis auf weiterführende Informationen in der Datenschutzerklärung der
Verantwortlichen. Die Kennzeichnung entspricht im Wesentlichen Skizze 2.
In die Datenschutzerklärung der Verantwortlichen wird eine detaillierte Beschreibung
der Verarbeitungstätigkeit gemäß Art 13 DSGVO aufgenommen. Die
Datenschutzerklärung ist jederzeit auf der Website der Verantwortlichen abrufbar und
kann am Firmensitz angefordert werden.
[…]
4. ABSCHNITT: IDENTIFIZIERUNG UND BEWERTUNG DER RISIKEN FÜR DIE
RECHTE UND FREIHEITEN DER BETROFFENEN PERSONEN
[…]
[…]
5. ABSCHNITT: IDENTIFIZIERUNG VON ABHILFEMASSNAHMEN
5.1 Kontrolle 1: Technische und organisatorische Maßnahmen
[…]
Geeignete Kennzeichnung der Anwendung
Die Aufnahmetätigkeit wird gut sichtbar im Bereich der gesicherten Brücken durch
entsprechende Hinweisschilder gekennzeichnet. Wo die örtlichen Gegebenheiten dies
zulassen, dh wenn entsprechender Grund der Verantwortlichen (nicht Fremdgrund)
vorhanden ist, wird die Kennzeichnung für den herannahenden Verkehr gut sichtbar im
Vorfeld der Brücke angebracht.
Abhängig von den örtlichen Gegebenheiten kann dabei nicht in jedem Fall
sichergestellt werden, dass die Informationserteilung durch diese Kennzeichnungen
derart erfolgt, dass die potentiell betroffenen Personen der Anwendung noch durch das
Wählen einer anderen Route ausweichen können. Aber sie können in der Regel noch
vor der Brücke anhalten.
Dies ist aber kein zwingendes gesetzliches Erfordernis (vgl etwa
DSB-D550.084/0002-DSB/2018, wonach die Möglichkeit des Ausweichens "tunlichst"
bestehen soll). So werden etwa auch Dashcams als nicht per se unzulässig qualifiziert,
obwohl bei diesen die Möglichkeiten der Informationserteilung sogar noch stärker bzw.
zumindest in vergleichbarer Weise eingeschränkt sind (vgl VwGH Ro 2015/04/0011
oder Newsletter 1/2020 der DSB).
Zusätzlich wird in die Datenschutzerklärung der Verantwortlichen eine detaillierte
Beschreibung der Verarbeitungstätigkeit gemäß Art 13 DSGVO aufgenommen. Die
Datenschutzerklärung ist jederzeit auf der Webseite der Verantwortlichen abrufbar.
Diese Kontrolle verringert das beschriebene Risiko, kann es jedoch nicht gänzlich
beseitigen. Es verbleibt ein Restrisiko.
[…]
6. ABSCHNITT: DOKUMENTATION DER LÖSUNG UND DES RESTRISIKOS
[…]
“
Die im Anhang 4 befindliche Skizze (SKIZZE 2) stellt sich wie folgt dar (Formatierung nicht 1:1
übernommen):
[Anmerkung Bearbeiter: die an dieser Stelle als grafische Datei (Screenshot) wiedergegebene
Abbildung kann mit vertretbarem Aufwand nicht pseudonymisiert werden.]
Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem
verfahrenseinleitenden Antrag, dessen Beilage und ergänzender Stellungnahme.
C. In rechtlicher Hinsicht folgt daraus:
C.1. Allgemeines
Gemäß Art. 36 Abs. 1 DSGVO konsultiert der Verantwortliche vor der Verarbeitung die
Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung gemäß Art. 35 leg. cit.
hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche
keine Maßnahmen zur Eindämmung des Risikos trifft.
Eine abschließende Definition des „hohen Risikos“ lässt sich der DSGVO nicht entnehmen.
Allerdings ergibt sich aus ErwGr 89, dass zu Verarbeitungsvorgängen, die „hohe Risiken“ mit
sich bringen, insbesondere solche gehören, bei denen neue Technologien eingesetzt werden
oder die neuartig sind und bei denen der Verantwortliche noch keine Datenschutz-
Folgenabschätzung durchgeführt hat (König in Gantschacher†/Jelinek/Schmidl/Spanberger,
Kommentar zur DSGVO [2017], Art. 36 Anm. 1).
Als Risikoquellen kommen sowohl interne als auch externe, potentielle wie tatsächliche
Risiken infrage. Bei der Identifizierung aller potentiellen Risiken ist nicht weniger als eine Art
„Streifzug durch die Anforderungen des Datenschutzrechts“ erforderlich (Trieb in Knyrim,
DatKomm Art 35 DSGVO, Rz 113). Im Zuge der vom Verantwortlichen durchgeführten
Risikoanalyse sind daher neben rein „technischen“ Risiken, all jene Risiken der
Datenverarbeitung aufzugreifen, welche möglicherweise negative Auswirkungen auf eine
betroffene Person haben können und sie sohin in ihrem durch die DSGVO vorgesehenen
Schutzbereich beeinträchtigen. Hierzu zählt folglich auch die Rechtmäßigkeit der Verarbeitung
im Sinne des Art. 6 DSGVO sowie die Einhaltung aller Grundsätze nach Art. 5 DSGVO.
Zur Eindämmung des Risikos nennt die DSGVO beispielhaft drei verschiedene Arten von
Abhilfemaßnahmen, nämlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die
der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird,
dass die DSGVO eingehalten wird. Maßgeblich sind somit technische, organisatorische wie
juristische, insbesondere vertragliche Maßnahmen, die Abhilfe schaffen sollen (Trieb in
Knyrim, DatKomm Art 35 DSGVO, Rz 116).
C.2. In der Sache
1. Die Verantwortliche führt aus, dass ein hohes Risiko in Bezug auf die Erteilung der
zuverlässigen Information an die betroffenen Personen über die Datenverarbeitung
dahingehend gegeben ist, dass die betroffenen Personen von der Datenverarbeitung in Form
einer Videoüberwachung in ihrem privaten oder beruflichen Lebensbereich erfasst werden,
ohne über die Tatsache der Verarbeitung und/oder die Identität des Verantwortlichen informiert
zu sein. Konkret definiert die Verantwortliche das Risiko im Rahmen ihrer Datenschutz-
Folgenabschätzung als „Risik[o] für die Effektivität der Erfüllung der Informationspflichten
durch Kennzeichnung“. Es handelt sich hierbei – in Hinblick auf die zuvor festgehaltenen
Überlegungen – um ein „Risiko“ iSd Art. 35 DSGVO.
Da lediglich jene Verarbeitungen – die auch nach Vorsehen der im Zuge der Datenschutz-
Folgenabschätzung definierten Abhilfemaßnahmen weiterhin hohe Risiken für natürliche
Personen bergen – dem Konsultationsmechanismus unterzogen werden sollen (Trieb in
Knyrim, Art 35, Rz 28 ff; Trieb in Knyrim, Art. 36 Rz 1), ist in einem nächsten Schritt zu prüfen,
ob die Verantwortliche geeignete Maßnahmen zur Eindämmung des identifizierten Risikos
getroffen hat.
2. Wie festgestellt, sieht die Verantwortliche eine „Kennzeichnung der Anwendung“ vor. Der
überwachte Bereich soll hierbei gut sichtbar in der Nähe der gesicherten Brücken durch
entsprechende Hinweisschilder (SKIZZE 2) gekennzeichnet werden. Das Hinweisschild
enthält neben einem Piktogramm, welches eine Videokamera darstellt, einen QR-Code,
welcher auf die – ebenso auf dem Hinweisschild angeführte – Webseite, auf welcher die
Datenschutzerklärung der Verantwortlichen abzurufen ist, verweist. Wenn entsprechender
Grund der Verantwortlichen vorhanden ist, soll die Kennzeichnung für den herannahenden
Verkehr gut sichtbar im Vorfeld der Brücke angebracht werden.
Bei Bildverarbeitungen sehen die Leitlinien 3/2019 des Europäischen
Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte
hinsichtlich der zu erteilenden Information ein Zwei-Stufen Modell vor.
Demnach soll die Information erster Ebene durch ein aussagekräftiges Hinweisschild erfolgen.
Diese Informationen sollten so angebracht sein, dass die betroffene Person die Umstände der
Überwachung leicht erkennen kann, bevor sie den überwachten Bereich betritt (etwa in
Augenhöhe). Die Position der Kamera selbst muss nicht offengelegt werden, solange kein
Zweifel daran besteht, welche Bereiche erfasst werden und die Umstände der Überwachung
eindeutig beschrieben werden. Die betroffene Person muss in der Lage sein, einzuschätzen,
welcher Bereich von einer Kamera erfasst wird, damit sie der Überwachung ausweichen oder
ihr Verhalten erforderlichenfalls anpassen kann (vgl. dazu Rz 113).
Die Informationen der ersten Ebene (Hinweisschild) sollten in der Regel die wichtigsten
Informationen enthalten, z. B. Angaben zu den Zwecken der Verarbeitung, zur Identität des
Verantwortlichen und zum Bestehen der Rechte der betroffenen Person sowie weitere
Informationen mit hoher Bedeutung. Dazu können beispielsweise die berechtigten Interessen
des Verantwortlichen (oder eines Dritten) und (gegebenenfalls) die Kontaktdaten des
Datenschutzbeauftragten gehören. Sie müssen ferner auf die detailliertere zweite
Informationsebene verweisen sowie darauf hinweisen, wo und wie sie zu finden ist (ebd.
Rz 114).
Informationen der zweiten Ebene müssen ebenfalls an einem für die betroffene Person leicht
zugänglichen Ort zur Verfügung gestellt werden, z. B. als vollständiges Informationsblatt an
einer zentralen Stelle (z. B. Informationsschalter, Empfang oder Kasse) oder auf einem leicht
zugänglichen Plakat. Wie bereits erwähnt, muss der Warnhinweis der ersten Ebene eindeutig
auf die Informationen der zweiten Ebene verweisen. Darüber hinaus ist es am besten, wenn
die Informationen der ersten Ebene auf eine digitale Quelle (z. B. QR-Code oder
Internetadresse) der zweiten Ebene verweisen. Die Informationen müssen jedoch auch auf
nicht digitalem Wege leicht verfügbar sein. Es sollte möglich sein, auf die Informationen der
zweiten Ebene zuzugreifen, ohne sich in den überwachten Bereich zu begeben, insbesondere
wenn die Informationen digital bereitgestellt werden (beispielsweise über einen Link). Ein
anderes geeignetes Mittel könnte eine Telefonnummer sein, die angerufen werden kann. Die
Informationen müssen jedoch alle Angaben enthalten, die nach Art. 13 DSGVO obligatorisch
sind (ebd. Rz 117).
3. Die von der Verantwortlichen vorgesehene Kennzeichnung ist sowohl von der geplanten
örtlichen Positionierung als auch vom Inhalt her eine geeignete Maßnahme, um das
identifizierte Risiko zu minimieren. Sie entspricht dem Modell, welches in den oben genannten
Leitlinien empfohlen wird. Dem Argument der Verantwortlichen, dass es nicht in jedem Fall –
aufgrund örtlicher Gegebenheiten – möglich ist, die gewählte Maßnahme in gleicher Weise
umzusetzen und das identifizierte Risiko in gleicher Weise zu minimieren und daher ein hohes
Restrisiko verbleibe, ist zu entgegnen, dass nicht ausschließlich die - in der durch die
Verantwortliche im Zuge der Datenschutz-Folgenabschätzung speziell dem identifizierten
Risiko zugeordnete - Maßnahme, das konkrete Risiko auch hinreichend zu minimieren hat.
Vielmehr hat die Bestimmung eines womöglich verbleibenden hohen Restrisikos unter
Berücksichtigung aller für die gewünschte Verarbeitung vorgesehenen
Eindämmungsmaßnahmen zu erfolgen. Bei der Beurteilung des verbleibenden Restrisikos
sind daher alle geplanten Maßnahmen zur Gewährleistung einer DSGVO-konformen
Verarbeitung miteinzubeziehen.
Begründen lässt sich dies durch einen Verweis auf den Wortlaut des Art. 35 DSGVO, welcher
sich in Bezug auf das Risiko „auf die Rechte und Freiheiten der betroffenen Person“ bezieht.
Dementsprechend hat auch für die Beurteilung des verbleibenden Risikos eine
Gesamtschau aller getroffenen Maßnahmen und Vorkehrungen – im Sinne einer
allumfassenden Interessensabwägung im Sinne des Art. 5 iVm Art. 6 DSGVO – zu
erfolgen.
4. Aufgrund der von der Verantwortlichen in der Datenschutz-Folgenabschätzung
vorgenommenen Beurteilung ist die Zulässigkeit der gegenständlichen Datenverarbeitung zu
bejahen und hat die Datenschutzbehörde der Interessensabwägung der Verantwortlichen
nichts entgegenzusetzen.
Das von der Verantwortlichen aufgeworfene „hohe Restrisiko“ wird jedenfalls durch die
geplanten Aufnahme-, Auswertungs- und Löschmodalitäten derart stark reduziert, dass im
Ergebnis kein hohes Restrisiko für Betroffene erkannt werden kann.
Entgegen der Ansicht der Verantwortlichen hat sie daher insgesamt unter Zusammenschau
der dargelegten Maßnahmen nach Art. 35 Abs. 7 lit. d DSGVO das bestehende Risiko
hinreichend eingedämmt.
Die Voraussetzungen für eine vorherige Konsultation gemäß Art. 36 DSGVO sind daher
mangels hohem Risiko nicht gegeben und es war sohin spruchgemäß zu entscheiden.