¶ ile paragrafa bağlantı verin veya alıntıyı künyesiyle kopyalayın. Üretilen bağlantı kimlikleri resmî paragraf numarası değildir.
-2–
Rechtsgrundlagen: Art. 5, Art. 6, Art. 9, Art. 27, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. d, f
und g sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im
Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des
Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
B E G R Ü N D U N G
A. Vorbringen der Parteien und Verfahrensgang
A.1. Mit Eingabe vom 27. Mai 2021 brachte der Beschwerdeführer bei der Datenschutzbehörde eine
Beschwerde gegen die Beschwerdegegnerin ein und brachte zusammengefasst Folgendes vor:
Die Beschwerdegegnerin sei ein Unternehmen mit Sitz in den USA, gegründet 2017. Das einzige
Produkt des Unternehmens sei eine Gesichtserkennungsplattform, die es Nutzern ermögliche, Fotos
von Personen mit online gefundenen Bildern von ihnen abzugleichen.
Ihre Plattform umfasse die größte bekannte Datenbank mit mehr als 3 Milliarden Gesichtsbildern, die
aus öffentlich zugänglichen Webquellen stammen, darunter Nachrichtenmedien, Mugshot-Websites,
öffentliche soziale Medien und andere offene Quellen.
Nach der Untersuchung des Beschwerdeführers und der Analyse öffentlich zugänglicher Quellen, gehe
der Beschwerdeführer davon aus, dass die von der Beschwerdegegnerin für ihre
Gesichtserkennungsplattform erstellte Bilddatenbank in vier Schritten befüllt werde:
1. Automatischer Bildscraper
2. Speichern von Bildern und Metadaten
3. Extraktion von Gesichtsmerkmalen durch bildverarbeitende neuronale Netzwerke
4. Speichern der Gesichtsmerkmale und Indizierung/Hashing
Der fünfte und letzte Schritt im Produktlebenszyklus sei der Abgleich. Dieser Schritt erfolge nach der
soeben beschriebenen vierstufigen Befüllung der Datenbank. Er werde durchgeführt, wenn ein
Benutzer der Beschwerdegegnerin eine Person identifizieren möchte, dazu ein Bild seiner Zielperson
hochlade und eine Suche durchführe.
Die Beschwerdegegnerin analysiere dann das Bild und extrahiere einen Vektor des Zielgesichts, der
dann gehasht und mit allen zuvor in seiner Datenbank gespeicherten gehashten Vektoren verglichen
werde. Abschließend ziehe das Tool der Beschwerdegegnerin alle übereinstimmenden Bilder aus der
Vektordatenbank und zeige sie dem Benutzer als Suchergebnisse an, zusammen mit allen zugehörigen
-3–
Metadaten, so dass der Benutzer die ursprüngliche Quellseite der übereinstimmenden Bilder sehen
könne.
Zusammengefasst verwies der Beschwerdeführer sodann auf Medienartikel, auf vor Gerichten und
Datenschutzbehörden in diversen Ländern anhängige Verfahren betreffend die Beschwerdegegnerin
sowie auf eine Bewertung des Europäischen Datenschutzausschusses.
Der Beschwerdeführer habe via Email am 28. April 2021 ein Auskunftsverlangen bei der
Beschwerdegegnerin gestellt. Er habe ein Profilfoto und ein geschwärztes Foto seines nationalen
Personalausweises zur Verfügung gestellt.
Am 29. April 2021 habe die Beschwerdegegnerin per Email auf das Auskunftsverlangen mit einer PDF-
Datei, die fünf Suchergebnisse zum Profil des Beschwerdeführers in der Datenbank von Clearview
gezeigt habe, geantwortet.
Die Beschwerdegegnerin habe keine Hauptniederlassung in der EU im Sinne des Art. 4 Z 16 lit. a
DSGVO. Der Beschwerdeführer sei in Österreich wohnhaft. Folglich sei die Datenschutzbehörde die
gemäß Art. 55 Abs. 1 DSGVO zuständige Behörde für diese Beschwerde.
Die Beschwerdegegnerin verstoße unbeschadet weiterer Verstöße gegen die DSGVO wie folgt:
i. Fehlen einer Rechtsgrundlage gemäß Artikel 6 Abs. 1 DSGVO
ii. Fehlen einer Rechtmäßigkeitsbedingung gemäß Artikel 9 Abs. 2 DSGVO
iii. Verstoß gegen Artikel 5 Abs. 1 lit. a DSGVO, Grundsatz von Rechtmäßigkeit,
Verarbeitung nach Treu und Glauben, Transparenz
iv. Verstoß gegen Artikel 5 Abs. 1 lit. b DSGVO, Grundsatz der Zweckbindung
v. Verstoß gegen Artikel 27 Abs. 2 DSGVO, Benennen eines Vertreters in der Union
Die Verarbeitung der Beschwerdegegnerin unterfalle jedenfalls dem Anwendungsbereich gemäß Art. 3
Abs. 2 lit. b DSGVO.
Insbesondere erfasse die DSGVO jede Form der Verfolgung im Internet, die ihrer Intensität nach einer
„Überwachung” der Betroffenen gleichkomme.
Art. 3 Abs. 2 lit. b DSGVO sei technologieneutral und breit formuliert. Die Anwendbarkeit der DSGVO
würde auch von anderen Aufsichtsbehörden geteilt, so etwa vom Hamburgischen
Datenschutzbeauftragten.
Auch eine frühere Version der Datenschutzrichtlinie der Beschwerdegegnerin habe gezeigt, dass sie
sich offen der Zuständigkeit der Datenschutzbehörde des EWR unterworfen habe. Diese sei im März
-4–
2021 durch eine Version ersetzt worden, die darauf achte, sich nicht auf Bewohner des EWR oder die
europäische Gesetzgebung zu beziehen.
Die Beschwerdegegnerin verarbeite personenbezogene Daten und besondere Kategorien von
personenbezogenen Daten.
Erstens seien die Fotos, die die Beschwerdegegnerin aus öffentlich zugänglichen Internetquellen
sammle, personenbezogene Daten. Fotos würden unter die Definition personenbezogener Daten nach
Art. 4 Abs. 1 DSGVO, insbesondere bei Auslegung mit Hilfe von Erwägungsgrund 26 DSGVO, fallen.
Eine solche Schlussfolgerung stehe auch im Einklang mit der Rechtsprechung des Gerichtshofs der
Europäischen Union (EuGH).
Das Scannen jedes Gesichts, die Extraktion seiner eindeutig identifizierenden Gesichtsmerkmale und
die Übersetzung dieser Merkmale in Vektoren sei eine Verarbeitung mit „speziellen technischen Mitteln,
die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen”, wie in
Art. 4 Z 14 DSGVO definiert.
Darüber hinaus können die gesammelten, gespeicherten und mit Gesichtsbildern verknüpften
Metadaten personenbezogene Daten enthalten, die „rassische und ethnische Herkunft, politische
Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit”
offenbaren. Hierbei handle es sich um Daten aus speziellen Kategorien. Zum Beispiel können
Gesichtsbilder auf der Website eines Kirchenverbands oder auf der Website eines
Gewerkschaftsmitglieds gefunden werden, wodurch eindeutig identifizierbare Personen solchen
Merkmalen zugeordnet würden.
Die einzige Rechtsgrundlage, auf die sich die Beschwerdegegnerin überhaupt theoretisch stützen
könnte, um die Erhebung der Fotos und die anschließende biometrische Verarbeitung und Aufnahme
ihrer Datenbank zu rechtfertigen, seien „berechtigte Interessen” gemäß Art. 6 Abs. 1 lit. f DSGVO. Dies
ergebe sich aus der offensichtlichen Nichtanwendbarkeit anderer Rechtsgrundlagen und der Tatsache,
dass sich die Beschwerdegegnerin in der alten Version ihrer Datenschutzrichtlinie ausdrücklich auf eine
solche Grundlage gestützt habe.
Nach einer umfangreich dargelegten Interessenabwägung kam der Beschwerdeführer zum Ergebnis,
dass keine gültige Rechtgrundlage nach Art. 6 Abs. 1 lit. f DSGVO vorliege.
Des Weiteren liege keine Rechtmäßigkeitsbedingung gemäß Art. 9 Abs. 2 DSGVO vor.
Angesichts der Anwendbarkeit von Art. 3 Abs. 2 lit. b DSGVO sei die Beschwerdegegnerin auch
verpflichtet, einen Vertreter in der EU gemäß Art. 27 Abs. 1 DSGVO zu benennen, da keine der
Ausnahmen gemäß Abs. 2 leg. cit. gelte.
-5–
Die Beschwerdegegnerin verstoße gegen den Grundsatz von Rechtmäßigkeit, Verarbeitung nach Treu
und Glauben und Transparenz. Transparenz sei ein zentraler Bestandteil des Art. 5 Abs. 1 lit. a DSGVO
und werde durch das Informationsrecht in den Art. 13 und 14 DSGVO unterstützt.
Der Beschwerdeführer beantragte, dass der Beschwerdegegnerin verboten werde, die
personenbezogenen Daten des Beschwerdeführers zu verarbeiten und die personenbezogenen Daten
von betroffenen Personen innerhalb der EU zu verarbeiten.
Weiters rege der Beschwerdeführer an, gemäß Art. 58 Abs. 2 lit. i in Verbindung mit Art. 83 Abs. 5 lit. b
DSGVO, eine wirksame, angemessene und abschreckende Geldstrafe gegen die Beschwerdegegnerin
zu verhängen.
Der Beschwerde wurden folgende Unterlagen angeschlossen:
- Statuten des Vereins „NOYB – Europäisches Zentrum für digitale Rechte“
- Vollmacht des Beschwerdeführers
- Auskunftsbegehren des Beschwerdeführers an die Beschwerdegegnerin vom 28. April 2021
- Antwort der Beschwerdegegnerin vom 29. April 2021 und „Face Search Results“ betreffend den
Beschwerdeführer
- alte Datenschutzerklärung der Beschwerdegegnerin
- neue Datenschutzerklärung der Beschwerdegegnerin
A.2. Mit Stellungnahme vom 30. November 2021 führte die Beschwerdegegnerin zusammenfasst aus
wie folgt:
Die DSGVO finde auf sie keine Anwendung und sei jedes Verwaltungshandeln wegen fehlender
Zuständigkeit unzulässig.
Es sei unbestritten, dass die Beschwerdegegnerin nicht in der EU niedergelassen sei. Unternehmen,
die nicht in der EU niedergelassen seien, würden nur dann der DSGVO unterliegen, wenn die
Voraussetzungen nach Art. 3 Abs. 2 DSGVO vorlägen. Im vorliegenden Fall sei Art. 3 Abs. 2 lit. a
DSGVO nicht anwendbar, da die Beschwerdegegnerin offenkundig betroffenen Personen der EU keine
Waren oder Dienstleistungen anbiete. Tatsächlich sei der Zugriff auf die Bildsuchmaschine der
Beschwerdegegnerin für IP-Adressen aus der EU gesperrt. Die Geschäftstätigkeit der
Beschwerdegegnerin bestehe vielmehr darin, Kunden außerhalb der EU eine Bildersuchmaschine
anzubieten.
Die Software der Beschwerdegegnerin sei nicht dazu geeignet, eine Person über einen bestimmten
Zeitraum hinweg zu beobachten. Der Begriff „Beobachtung“ werde in der DSGVO nicht definiert, aber
der Wortlaut selbst sowie der Telos von Art. 3 DSGVO würden deutlich machen, dass die Beobachtung
-6–
einer Person über einen bestimmten Zeitraum erfordere. Die Beschwerdegegnerin verweist in diesem
Zusammenhang auch auf ErwGr 24 Satz 2 DSGVO.
Der Europäische Datenschussausschuss (EDSA) sei nicht der Ansicht, dass „jede Online-Erhebung
oder -Analyse personenbezogener Daten von Personen in der EU automatisch als „Beobachtung“ gilt“.
Die Suchergebnisse der Beschwerdegegnerin würden nur eine Momentaufnahme mit einigen Fotos
bilden, die zu dem Zeitpunkt, zu dem ein Kunde aus dem Bereich der Strafverfolgung eine Suche
durchführe, im Internet verfügbar seien. Die Beschwerdegegnerin liefere oder sammle keine
Informationen über den Standort, den Browserverlauf, die kommerziellen Aktivitäten oder das Verhalten
einer Person, die in den Suchergebnissen erscheine, und führe auch keine
Verhaltensmodellierung, -vorhersage oder -analyse durch. Die Informationen, die man durch eine
Clearview-Suche über eine Person erhalten könne, seien voraussichtlich geringer als jene, die man mit
einer Google-Suche nach dem Namen dieser Person erhalten könnte. Man werde nicht behaupten
können, dass eine bloße Google-Suche nach dem Namen dieser Person eine „Verhaltensbeobachtung“
im Sinne der DSGVO darstelle. Entscheidend sei, dass die Informationen über eine Person, die durch
eine Clearview-Suche erlangt werden könnten, nur von einer Webseite Dritter stammen könnten, die
nicht der Kontrolle der Beschwerdegegnerin unterliege.
Bei einer einfachen Google-Suche des Beschwerdeführers nach dem Namen des Beschwerdeführers,
würde man ebenfalls Fotos des Beschwerdeführers erhalten, die er im Internet öffentlich zugänglich
macht. Das Google-Suchergebnis liefere sogar noch mehr Treffer, da es z.B. auch gezeichnete Bilder
finde und weitere Suchbegriffe vorschlage.
Es sei eindeutig, dass die Google-Suchmaschine keine Personen über einen längeren Zeitraum
„beobachte“. Vielmehr handle es sich um einen Algorithmus, der erforderlich sei, um Informationen im
Internet zugänglich zu machen. Er liefere eine Momentaufnahme der relevanten „Treffer“ für eine
bestimmte Suche zum Zeitpunkt der Suche. Dies sei auch bei den Suchergebnissen der Suchmaschine
der Beschwerdegegnerin der Fall.
Der Beschwerdeführer liege auch falsch, wenn er argumentiere, dass die Technologie der
Beschwerdegegnerin selbst einem Tracking der betroffenen Person durch die Verwendung von
Cookies, Tags und Pixeln gleichkomme. Webtracking finde statt, wenn ein bestimmter Nutzer über
einen längeren Zeitraum und gegebenenfalls über verschieden Geräte hinweg verfolgt werde. Beim
Webtracking würden die Nutzer mit einer Kennung, wie z.B. einer Nutzer-ID, markiert, um das
Surfverhalten des jeweiligen Nutzers verfolgen zu können. Das Ergebnis sei ein Clickstream, der
anzeige, welche Websites dieser Nutzer besucht habe und wie er/sie sich auf den Websites bewegt
habe.
-7–
Die Beschwerdegegnerin biete hingegen nur eine Technologie an, die helfe, Ähnlichkeiten zwischen
einem vom Kunden hochgeladenen Bild und statischen Bildern im Internet zu finden. Das Ergebnis sei
gegebenenfalls ein Link zu den Websites, auf denen Bilder angezeigt würden, die dem gesuchten Bild
ähnlich sein könnten oder auch nicht. Es liefere keine Historie von Website-Besuchern einer natürlichen
Person über eine gewisse Zeit. Entgegen der Behauptung des Beschwerdeführers gleiche die
Beschwerdegegnerin die Suchergebnisse auch nicht mit Kontext-Daten ab. Die Suchergebnisse, d.h.
der Link zum Bild, könnten die Quelle des Bildes anzeigen, da die URL normalerweise diese Art von
Informationen enthalte. Dies stelle jedoch keinen Abgleich dar, da es sich um Informationen handle,
die automatisch bereitgestellt würden, um technisch auf die Quelle zu verweisen. Auch dies sei
vergleichbar mit den Informationen, die ein Google-Suchergebnis liefere.
Darüber hinaus argumentiere der Beschwerdeführer, dass eine nachfolgende Verwendung der Daten
zur Profilerstellung durch einen Dritten die Qualifikation der Verarbeitung als „Beobachtung“
beeinflussen könne. Dabei übersehe er zum einen, dass dies ein vorheriges Tracking voraussetze.
Entscheidend sei die fortlaufende Verfolgung der Person über Zeit, nicht die Erstellung von Profilen.
Die Beschwerdegegnerin verweist in diesem Zusammenhang erneut auf Erwägungsgrund 24 Satz 2
DSGVO. Der darin enthaltene Begriff „einschließlich“ deute darauf hin, dass es zunächst eine
Nachverfolgung geben müsse, auf die anschließend Techniken zur Verarbeitung personenbezogener
Daten angewandt werden, die ein Profiling beinhalten. Mit der Technologie der Beschwerdegegnerin
würden Personen hingegen nicht über Zeit verfolgt.
Zweitens müssten, wie auch der Begriff „einschließlich“ zeige, die für das Profiling angewandten
Datenverarbeitungstechniken mit dem Verarbeitungsvorgang des Tracking verknüpft sein. Die von
Clearview durchgeführten Verarbeitungen würden jedoch mit dem Suchergebnis enden. Eine
nachfolgende Nutzung des Suchergebnisses durch den Kunden stehe nicht mit den Verarbeitungen
der Suchmaschine in Verbindung.
Drittens erfolge die Verarbeitung des Suchergebnisses nicht automatisch, sondern durch manuelles
Anklicken der Suchergebnisse. Dies sei jedoch nicht das, was „Profiling“ kennzeichne. Es liege auf der
Hand, dass es immer ein Mensch sein werde, der entscheidet, ob ein Suchergebnis hilfreich ist. Zudem
könnten Rückschlüsse auf das Verhalten der natürlichen Person, wenn überhaupt, nicht aus dem
Suchergebnis gezogen werden.
Viertens gebe es keine Beweise, dass die Daten des Beschwerdeführers oder einer anderen in
Österreich ansässigen Person jemals weiterwendet wurden. Der Beschwerdegegnerin sei kein Fall
bekannt, in dem einer ihrer Kunden nach einem Foto einer in Österreich anwesenden Person gesucht
habe. Soweit es der Beschwerdegegnerin bekannt sei, seien die einzigen Suchvorgänge, die den
Beschwerdeführer oder anderen in Österreich ansässige Personen betroffen hätten und auf der
Plattform von der Beschwerdegegnerin stattgefunden hätten, Suchvorgänge zur freiwilligen
-8–
Beantwortung von Datenauskunftsanfragen, die vom Beschwerdeführer und anderen in Österreich
ansässigen Personen gestellt wurden, gewesen.
Schließlich seien die Kunden der Beschwerdegegnerin die alleinigen Verantwortlichen für die
Suchanfragen. Sie würden entscheiden, welches Mittel sie für welchen Zweck verwende. Wenn sie sich
entscheiden würden, die Software der Beschwerdegegnerin für ihre Suche zu verwenden, könnten sie
eine Suche auslösen, indem sie ein Bild hochladen. Sobald sie Suchergebnisse erhielten, würden sie
ihre eigenen Schlussfolgerungen ziehen und geeignete nächste Schritte prüfen. Der
Beschwerdegegnerin eine bestimmte Intention zuzurechnen, die der Kunde beim Umgang mit den
Suchergebnissen verfolge, widerspreche dem Konzept der Verantwortlichkeit.
Der Kunde könne frei entscheiden, welches Tool er für die Bildsuche einsetze. Die
Beschwerdegegnerin hingegen werde von seinen Kunden nur dafür bezahlt, dass der Kunde Zugang
zum Suchtool erhalte, nicht aber für das Suchergebnis oder dafür, was der Kunde mit Suchergebnissen
mache. Die Suchergebnisse würden von der Beschwerdegegnerin nicht für ihre Geschäftszwecke
weiterverarbeitet, sondern von den Kunden für deren eigene Geschäftszwecke.
Es sei daher die Aufgabe eines Kunden, zu bestimmen, ob und wie er die Suchmaschinentechnologie
von der Beschwerdegegnerin nutzen könne. Dies erkläre auch, warum die schwedische und die
finnische Datenschutzbehörde Verfahren gegen ihre örtlichen Strafverfolgungsbehörden und nicht
gegen die Beschwerdegegnerin eingeleitet hätten.
Testkonten von einigen Strafverfolgungsbehörden in der EU seien Auslöser für das vom
Beschwerdeführer erwähnte Auskunftsersuchen gewesen. Anfang 2020 seien alle EU-Testkonten
geschlossen worden. Dies sei Teil einer generellen Geschäftsentscheidung gewesen, derzeit nicht in
der EU geschäftlich tätig zu werden. Die Beschwerdegegnerin habe nie einen Kunden oder Nutzer
eines Testkontos aus Österreich gehabt. Außerdem habe sie IP-Adressen aus der EU für die
Anmeldung zur Software gesperrt.
Selbst wenn festgestellt würde, dass die DSGVO auf die Beschwerdegegnerin anwendbar sei, was
nicht der Fall sei, sei die Verarbeitung der Daten des Beschwerdeführers als rechtmäßig anzusehen
und der Beschwerdeführer nicht in seinen Rechten verletzt worden.
3. Mit Schreiben vom 30. Dezember 2021 führte der Beschwerdeführer aus, die Beschwerdegegnerin
verkenne, dass die Software weit mehr als eine Suchmaschine für ein bestimmtes, einzelnes Foto sei.
Tatsächlich nehme die Beschwerdegegnerin ein Foto einer Person und erzeuge mit dem berechneten
biometrischen Profil des Fotos einen Index-ähnlichen Hash. Dieser Wert erlaube es der
Beschwerdegegnerin, verschiedene Fotos miteinander zu vergleichen und, sofern die jeweiligen Werte
ähnlich genug seien, zu verknüpfen. Darüber hinaus würden auch aus dem Kontext der Bilder weitere
-9–
personenbezogene Daten generiert, welche auf das Verhalten des Betroffenen schließen lassen
würden.
Schon allein die Serie verknüpfter Fotos sei, auch wenn die Fotos für sich genommen jeweils
Schnappschüsse seien, nichts Anderes als eine Beobachtung dieser Person. So seien sogar
Filmaufnahmen, wie z.B. von Überwachungskameras, nichts Anderes als eine Serie statischer
Einzelbilder und damit aneinander gereihte Momentaufnahmen. Es sei dem Art. 3 Abs. 2 lit. b DSGVO
nicht zu entnehmen, dass erst ab einer gewissen Anzahl von aneinandergereihten Schnappschüssen
eine Anwendbarkeit der DSGVO vorgesehen sei.
Auch bei einer Überwachungskamera, die kontinuierlich eine Stelle überwache und etwa jede Sekunde
ein Einzelbild speichere, würden am Ende nur ein paar wenige Einzelbilder zu einem Betroffenen
übrigbleiben. Ähnlich scheine die Beschwerdegegnerin das gesamte Netz nach Bildern zu durchsuchen
und eine gewisse Anzahl von Bildern zum Betroffenen zu verarbeiten.
Der einzige Unterschied zwischen der Technologie der Beschwerdegegnerin und einer
Überwachungskamera sei, dass eine Überwachungskamera manchmal in Echtzeit ausgewertet werde
– aber nicht immer. Es gebe zahlreiche Überwachungskameras, deren Aufnahmen erst gesichtet
werden, nachdem die aufgenommenen Aktivitäten aufgezeichnet worden seien. Eine nachträgliche
Auswertung von Aufzeichnungen sei aber ebenso eine Beobachtungmaßnahme wie die Auswertung in
Echtzeit, weil auch durch nachträgliche Auswertungen ein „Bild“ der beobachteten Person entstehe.
Die Beschwerdegegnerin „grase“ kontinuierlich das Internes für neue Fotos „ab“. Sobald ein neues Foto
gefunden werde, werde es gespeichert, biometrisch verarbeitet und in die Datenbank eingepflegt. Die
Datenbank spiegle daher unweigerlich Veränderungen im Verhalten der Personen wider – und sei
damit eine Beobachtung mit Profilerstellung.
Der Vergleich zwischen der Textsuche nach dem Namen des Beschwerdeführers bei Google und die
Suche bei der Beschwerdegegnerin hinke, weil die Beschwerdegegnerin als Suchparameter einen
biometrischen Wert verwende. Dieser biometrische Wert sei der Natur nach eindeutig und solle
ausschließlich Ergebnisse des Beschwerdeführers liefern.
Daher liefere eine Suche nach dem Namen des Beschwerdeführers auch Ergebnisse, die nichts mit
dem Beschwerdeführer zu tun hätten, während eine Suche mit dem biometrischen Profil des
Beschwerdeführers nur das Gesicht des Beschwerdeführers und die verknüpften Quelldaten liefere.
Die Software der Beschwerdegegnerin sei daher durchaus geeignet, um das Verhalten einer Person
zu beobachten.
4. Die Beschwerdegegnerin führte mit weiterer Stellungnahme vom 23. März 2022 zunächst aus, sie
habe Zweifel an der Fairness und Rechtmäßigkeit eines förmlichen Verfahrens, indem sie
- 10 –
fremdsprachige Eingaben über normale und unverschlüsselte E-Mails erhalte. Ihre Möglichkeiten sich
gegen eine Verwaltungsentscheidung in einer Rechtordnung zu wehren, in der sie nicht tätig sei, seien
offensichtlich begrenzt.
Die Beschwerdegegnerin widerspreche jeder weiteren Zuleitung von amtlichen Dokumenten an eine
ihrer E-Mail-Adressen.
Die App der Beschwerdegegnerin führe keine Verhaltensüberwachung oder irgendeine Form der
Überwachung durch. Sie durchsuche lediglich öffentliche Bilder, die der Welt über eine Suchmaschine
im Internet zur Verfügung stünden, gleiche sie mit Bildern ab, die ähnliche Gesichter enthielten, und
stelle Kopien der abgerufenen Bilder und deren URLs für ihre Kunden aus dem Bereich der
Strafverfolgung bereit.
Eine Sammlung von mehreren Fotos einer Person sei sicherlich kein „Profil einer natürlichen Person“
in irgendeinem Sinne und stelle keine Verhaltensüberwachung im Sinne der DSGVO dar.
Die Beschwerdegegnerin identifiziere nicht die Namen oder Standorte von Personen, die in einer
Sammlung öffentlicher Bilder zu finden seien und sie organisiere oder überprüfe sie nicht, außer als
Reaktion auf die Bereitstellung des Pilotbildes durch ihre staatlichen Kunden, um sie bei
Ermittlungstätigkeiten zu unterstützen.
Der staatliche Kunde habe von der App der Beschwerdegegnerin nur die zusätzlichen öffentlichen
Bilder und die öffentlich zugänglichen URLs, die es der Strafverfolgungsbehörde ermöglichen würde,
diese Bilder in Verbindung mit einer autorisierten, rechtmäßigen und staatlichen Untersuchung
anzusehen.
Die vom Beschwerdeführer angeführten Dokumente würden den Standpunkt der Beschwerdegegnerin
stützen.
Der Beschwerdeführer gehe nicht hinreichend auf den maßgeblichen Wortlaut von Art. 4 Abs. 4
DSGVO und Erwägungsgrund 24 DSGVO ein.
Es sei unbestritten, dass der Beschwerdeführer selbst nicht überwacht oder profiliert worden sei. Die
Aufsichtsbehörde führe kein eigenständiges Kontrollverfahren, sodass die App der
Beschwerdegegnerin nicht als solche untersucht werde, sondern ausschließlich die Verarbeitung der
spezifischen personenbezogenen Daten des Beschwerdeführers. Das Verfahren werde somit durch
den Gegenstand der eingereichten Beschwerde und die zu Unrecht erhobene Behauptung, dass die
Verarbeitung gegen die DSGVO verstoße, eingegrenzt.
Die Beschwerdegegnerin führt weiter aus, dass zumindest zwei andere Aufsichtsbehörden zum
Schluss gekommen seien, dass sie international nicht zuständig seien und verweist dabei auf einen
Blogbeitrag (https://ulrics.blog/2020/04/16/datenschutz-ldi-zu-clearview-ai-gesichtserkennung/).
- 11 –
5. Der Beschwerdeführer brachte mit Eingabe vom 12. April 2022 eine weitere Stellungnahme ein:
Es werde auf die jüngsten Pressemitteilungen zur Beschwerdegegnerin verwiesen, wonach die
Beschwerdegegnerin Investoren gegenüber erkläre, dass bis Jahresende 100 Milliarden Fotos in ihrer
Datenbank vorhanden sein würden, womit „fast jeder Mensch auf der Welt […] identifizierbar sein“
werde.
Entgegen der Ansicht der Beschwerdegegnerin sei in der letzten Stellungnahme nicht eingeräumt
worden, dass ein einzelnes Foto keine Beobachtung darstellen könne. Die Argumentation des
Beschwerdeführers zu einer Bilderreihe sei lediglich ein Beispiel gewesen, weswegen eine
Beobachtung durch die Beschwerdegegnerin zu bejahen sei.
Art. 3 Abs. 2 lit. b DSGVO sei weder vom Wortlaut, noch vom Sinn her zu entnehmen, dass erst ab
einer gewissen Anzahl von aneinandergereihten Schnappschüssen oder Momentaufnahmen eine
Beobachtung vorliege.
Als Richtschnur für die Auslegung des Begriffs „Beobachtung“ könne Erwägungsgrund 24 S. 2 DSGVO
herangezogen werden, welcher als Beispiel für eine Beobachtung das Nachvollziehen der
Internetaktivitäten von betroffenen Personen nenne.
Sinn und Zweck des Dienstes der Beschwerdegegnerin sei es, unmittelbar über die erhobenen
Profilfotos Informationen über Personen zu gewinnen. Die Clearview-Datenbank wäre sinnlos, wenn
lediglich die Profilbilder ohne Quelle und ohne Bildnamen als Suchergebnis präsentiert würden.
Ein grenzübergreifender Eingriff in Rechte von europäischen Bürgern von einem Verantwortlichen in
den USA durch die Verarbeitung von personenbezogenen Daten europäischer Bürger sei keine
„unangebrachte“ Gesetzesauslegung, sondern eine Konsequenz des grenzübergreifenden Eingriffs
und der Verarbeitungstätigkeit, die sich auf europäischem Raum auswirke.
Es sei interessant, dass die Beschwerdegegnerin eine „Zuleitung von amtlichen Dokumenten“ wegen
Sicherheitsbedenken per Email widerspreche, obgleich eine Transportverschlüsselung sicherlich
ausreichende Sicherheit gewährleiste. Die Beschwerdegegnerin habe die Möglichkeit und auch die
Pflicht, nach Art. 27 DSGVO eine Vertretung in der Union zu benennen. Gleiches gelte für ihre
Vorbemerkungen, dass das Verfahren für sie als in den USA ansässiges Unternehmen nicht fair sei.
B. Beschwerdegegenstand
Ausgehend vom Vorbringen des Beschwerdeführers ergibt sich als Beschwerdegegenstand die Frage,
ob die Beschwerdegegnerin personenbezogene Daten des Beschwerdeführers entgegen den
Bestimmungen des Art. 5 Abs. 1 lit. a und b DSGVO sowie ohne Rechtsgrundlage gemäß Art. 6 Abs. 1
bzw. Art. 9 DSGVO verarbeitet hat.
- 12 –
Zusätzlich ist zu prüfen, ob die Beschwerdegegnerin verpflichtet ist, einen Vertreter im Unionsgebiet zu
benennen.
C. Sachverhaltsfeststellungen
C.1. Die Beschwerdegegnerin ist ein Unternehmen mit Sitz in New York City, New York, USA. Die
Beschwerdegegnerin verfügt über keine Niederlassung in der Europäischen Union.
C.2. Die Beschwerdegegnerin betreibt eine Gesichtserkennungsplattform, die es ihren Kunden
ermöglicht, Fotos von Personen mit online gefundenen Bildern abzugleichen.
C.3. Das Unternehmen sammelt Bilder von Webseiten, auf denen öffentlich zugängliche Fotos von
menschlichen Gesichtern vorhanden sind. Bilder werden auch von Videos extrahiert. Es werden dabei
auch die Metadaten, die mit diesen Bildern verbunden sind, gesammelt, wie z.B. der Bild- und der
Webseitentitel und der Quelllink.
C.4. Diese Bilder werden auf den Servern der Beschwerdegegnerin auf unbestimmte Zeit gespeichert,
d.h. etwa auch nachdem ein zuvor gesammeltes Foto oder eine Hosting-Webseite entfernt wurde. Die
Datenbank der Beschwerdegegnerin umfasst derzeit über 30 Milliarden Fotos.
C.5. Die Gesichter auf den Fotos werden von der Beschwerdegegnerin in numerische Darstellungen
übersetzt. Diese sog. Vektoren, die die einzigartigen Linien eines Gesichts darstellen, bestehen aus
ca. 512 Datenpunkten.
C.6. Die Beschwerdegegnerin bietet den Zugang zu ihrer Plattform gegen Entgelt an. Kunden der
Beschwerdegegnerin benutzen die Software der Beschwerdegegnerin, um eine Person zu
identifizieren oder um mehr über eine Person herauszufinden. Hierfür lädt man zuvor ein Referenzfoto
eines Gesichts hoch, um ein entsprechendes Suchergebnis zu erhalten.
C.7. Wenn die Software eine Übereinstimmung identifiziert, werden alle zugehörigen Bilder aus der
Datenbank extrahiert und dem Kunden des Dienstes als Ergebnis der Suche zusammen mit den
zugehörigen Metadaten und Links präsentiert, sodass jede einzelne Quellseite verfolgt werden kann.
C.8. Auf diese Weise kann der Kunde Informationen über die Identität, die Eigenschaften, den Standort,
die Bewegungen und das Verhalten der Personen erhalten, deren Bilder im Probebild und/oder in den
Suchergebnissen enthalten sind.
Beweiswürdigung: In ihren Eingaben an die Datenschutzbehörde machte die Beschwerdegegnerin
keine Ausführungen über die von ihr vorgenommenen Datenverarbeitungen. Diese Feststellungen
ergeben sich daher insbesondere aus dem Vorbringen des Beschwerdeführers in seiner Beschwerde
vom 27. Mai 2021 und den Angaben der Beschwerdegegnerin auf ihrer Webseite, insbesondere in ihrer
Datenschutzerklärung. Dass die Datenbank der Beschwerdegegnerin derzeit über 30 Milliarden Bilder
- 13 –
umfasst, ergibt sich aus den Angaben der Beschwerdegegnerin auf ihrer Webseite
(https://www.clearview.ai/).
C.9. Die Beschwerdegegnerin speicherte am 29. April 2021 folgende Fotos des Beschwerdeführers in
ihrer Datenbank und verarbeitet diese bis zum aktuellen Zeitpunkt.
Beweiswürdigung: Diese Feststellung ergibt sich aus der von der Beschwerdegegnerin dem
Beschwerdeführer mit Schreiben vom 29. April 2021 erteilten Auskunft, die der Beschwerde beigelegt
wurde. Da die Beschwerdegegnerin zu keinem Zeitpunkt vorgebracht hat, die Daten des
Beschwerdeführers gelöscht zu haben, ist davon auszugehen, dass diese nach wie vor verarbeitet
werden.
C.10. Die Beschwerdegegnerin hat den Beschwerdeführer nicht darüber informiert, dass sie dessen
personenbezogenen Daten verarbeitet.
Beweiswürdigung: Diese Feststellung ergibt sich aus dem glaubhaften Vorbringen des
Beschwerdeführers. Die Beschwerdegegnerin hat nie behauptet, den Beschwerdeführer über die von
ihr vorgenommene Datenverarbeitung informiert zu haben.
- 14 –
C.11. Die Beschwerdegegnerin hat keinen Vertreter in der Europäischen Union gemäß Art. 27 DSGVO.
Beweiswürdigung: Diese Feststellung ergibt sich aus dem Vorbringen der Beschwerdegegnerin.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Zum räumlichen Anwendungsbereich der DSGVO
Zunächst stellt sich die Frage, ob die Verarbeitungstätigkeiten der Beschwerdegegnerin, welche nicht
in der Union niedergelassen ist, vom räumlichen Anwendungsbereich der DSGVO erfasst sind.
Es ist daher zu prüfen, ob die Tatbestände Art. 3 Abs. 2 lit. a oder b DSGVO einschlägig sind.
Da die Verarbeitungstätigkeiten der Beschwerdegegnerin nicht damit im Zusammenhang stehen,
betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, kommt lit. a leg. cit.
gegenständlich nicht in Frage.
Gemäß Abs. 2 lit. b leg. cit. findet die DSGVO Anwendung auf die Verarbeitung personenbezogener
Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union
niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im
Zusammenhang damit steht, das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten
in der Union erfolgt.
Erwägungsgrund 23 zweiter Satz DSGVO hält in diesem Zusammenhang fest: „Ob eine
Verarbeitungstätigkeit der Beobachtung des Verhaltens von betroffenen Personen gilt, sollte daran
festgemacht werden, ob ihre Internetaktivitäten nachvollzogen werden, einschließlich der möglichen
nachfolgenden Verwendung von Techniken zur Verarbeitung personenbezogener Daten, durch die von
einer natürlichen Person ein Profil erstellt wird, das insbesondere die Grundlage für sie betreffende
Entscheidungen bildet oder anhand dessen ihre persönlichen Vorlieben, Verhaltensweisen oder
Gepflogenheiten analysiert oder vorausgesagt werden sollen.“
Ziel des unionsrechtlichen Gesetzgebers war es, betroffene Personen in der EU umfassend vor einer
Beobachtung ihres Verhaltens durch nicht in der Union niedergelassene Verantwortliche zu schützen
(vgl. Zerdick in Ehmann/Selmayr, Art. 3, Datenschutz-Grundverordnung, Rz 1-4).
Damit Art. 3 Abs. 2 lit. b leg. cit. erfüllt ist, muss die Datenverarbeitung nicht dem alleinigen Zweck
dienen, das Verhalten betroffener Personen zu beobachten, sondern lediglich im Zusammenhang
(„related to“, „sont liées“) damit stehen. Es ist daher von einem weiten Verständnis dieses Tatbestandes
auszugehen.
Der Europäische Datenschutzausschuss (EDSA) vertritt die Ansicht, dass es erforderlich ist, den vom
Verantwortlichen mit der Verarbeitung der Daten verfolgten Zweck zu betrachten, insbesondere jede
- 15 –
spätere Verhaltensanalyse oder Anwendung von Profiling-Techniken unter Verwendung dieser Daten
(vgl. Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO (Artikel 3), S. 23).
Beispiele für Beobachtungstätigkeiten sind nach Ansicht des EDSA etwa verhaltensbezogene
Werbung, Online-Tracking durch Verwendung von Cookies oder Videoüberwachungen.
Nach Klar fallen sowohl Maßnahmen des „Profilings“ als auch des (diesem vorgelagerten) „Trackings“
unter die Vorschrift (vgl. Klar in Kühling/Büchner, Art. 3 DSGVO, Rz 92)
Dem Beschwerdeführer ist beizupflichten, wenn er ausführt, dass eine Verfolgung betroffener Personen
im Internet durch das Abgleichen von biometrischen Daten, wie von der Beschwerdegegnerin
praktiziert, den Anwendungsbereich von Art. 3 Abs. 2 lit. b DSGVO eröffnet:
Die Verarbeitungstätigkeit der Beschwerdegegnerin besteht vereinfacht ausgedrückt darin, dass sie im
Internet veröffentlichte Lichtbilder und dazugehörige Metadaten sammelt, sie in einen eindeutigen
Rechenwert („Hash“) umwandelt und diese Daten ihren Kunden in Form einer Datenbank bereitstellt.
Die von der Beschwerdegegnerin in ihrer Datenbank gespeicherten Lichtbilder betreffen jedenfalls auch
Personen in der Europäischen Union. So gibt die Beschwerdegegnerin selbst auf ihrer Webseite an,
dass sie über die weltweit größte Datenbank mit mehr als 30 Milliarden Fotos verfüge und dass diese
Plattform den Strafverfolgungsbehörden genau und schnell dabei hilft, Verdächtige zu identifizieren und
Verbrechen aufzuklären.
Es ist geradezu das Ziel der Beschwerdegegnerin, eindeutige Profile über möglichst viele Personen
weltweit und damit auch aus der Europäischen Union zu erstellen, damit Nutzer der Software der
Beschwerdegegnerin im Falle einer Abfrage möglichst umfassende Informationen über eine Person
erhalten.
Die Software der Beschwerdegegnerin macht es möglich, mit nur einem Referenzfoto einer Person,
welches gezielt bearbeitet wird, um eindeutige Merkmale herauszufiltern, ein Suchergebnis, das alle
Fotos mit einem ähnlichen biometrischen Muster aufweist, zu erhalten. Das Suchergebnis besteht nicht
nur aus Fotos, sondern auch aus den URLs von den Webseiten, in welchen die Fotos aufgefunden
wurden.
Auf diese Weise ist es möglich, viele verschiedene Informationen einer Person zusammenzutragen und
mehr über ihre persönlichen Vorlieben, Verhaltensweisen oder Gepflogenheiten herauszufinden, vor
allem, wenn man bedenkt, dass auch Fotos aus sozialen Medien in der Datenbank der
Beschwerdegegnerin gespeichert werden.
Die Tatsache, dass auch die Metadaten (wie URLs und Standortdaten), die mit den Bildern verbunden
sind, von der Beschwerdegegnerin gesammelt werden, spricht umso mehr dafür, dass iSd ErwGr. 23
DSGVO Internetaktivitäten betroffener Personen nachvollzogen werden können.
- 16 –
Der Beschwerdegegnerin ist nicht zu folgen, wenn sie vorbringt, dass ihre Software nicht für die
„Beobachtung“ geeignet ist. Sie führte in diesem Zusammenhang aus, dass die Beobachtung einer
Person über einen bestimmten Zeitpunkt erforderlich sei.
Die Beschwerdegegnerin verkennt jedoch, dass sie zu betroffenen Personen Hashwerte abspeichert,
die sich aus biometrischen Merkmalen ergeben. Dieser Wert erlaubt es der Beschwerdegegnerin,
verschiedene Fotos miteinander zu verknüpfen, sofern sie sich ähnlich genug sind und ein
umfassendes Profil zu erstellen.
Der EuGH hat bereits in seinem Urteil vom 13. Mai 2014, C-131/12, ausgesprochen, dass eine
Tätigkeit, die darin besteht, „von Dritten ins Internet gestellte oder dort veröffentlichte Informationen zu
finden, automatisch zu indexieren, vorübergehend zu speichern und schließlich den Internetnutzern in
einer bestimmten Rangfolge zur Verfügung zu stellen, sofern die Informationen personenbezogene
Daten enthalten, als Verarbeitung personenbezogener Daten einzustufen ist und dass der Betreiber
dieser Suchmaschine als für diese Verarbeitung Verantwortlicher anzusehen ist“ (Rz 41).
Nichts Anderes kann, aufgrund des oben beschriebenen Prozesses, für die Beschwerdegegnerin
gelten:
Somit stellt auch dieser Prozess eine „Verarbeitung“ gemäß Art. 4 Z 2 DSGVO dar und die
Beschwerdegegnerin ist als „Verantwortliche“ nach Art. 4 Z 7 DSGVO anzusehen.
Weiters hat der EuGH im genannten Urteil ebenfalls festgehalten, dass im Hinblick auf das Ziel der
Richtlinie 95/46 (nunmehr DSGVO), nämlich bei der Verarbeitung personenbezogener Daten einen
wirksamen und umfassenden Schutz der Grundfreiheiten und Grundrechte natürlicher Personen,
insbesondere des Rechts auf Privatleben, zu gewährleisten, die Bestimmungen hinsichtlich des
Anwendungsbereiches nicht eng ausgelegt werden können (Rz 53).
Vor diesem Hintergrund kann kein Zweifel daran bestehen, dass Art. 3 Abs. 2 lit. b DSGVO in Bezug
auf die Verarbeitungstätigkeiten der Beschwerdegegnerin erfüllt und die DSGVO somit anwendbar ist.
D.2. Zur Zuständigkeit der österreichischen Datenschutzbehörde
Die Beschwerdegegnerin bestreitet, dass die österreichische Datenschutzbehörde für den
gegenständlichen Fall zuständig ist. Eine Behörde könne nur in ihrem Hoheitsgebiet vollstreckbare
Maßnahmen ergreifen.
Gemäß Art. 55 Abs. 1 DSGVO ist jede Aufsichtsbehörde für die Erfüllung der Aufgaben und die
Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres
eigenen Mitgliedstaats zuständig.
- 17 –
Erwägungsgrund 122 DSGVO hält dazu auszugsweise fest: „Jede Aufsichtsbehörde sollte dafür
zuständig sein, im Hoheitsgebiet ihres Mitgliedstaats die Befugnisse auszuüben und die Aufgaben zu
erfüllen, die ihr mit dieser Verordnung übertragen wurden. Dies sollte insbesondere für Folgendes
gelten: die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung des Verantwortlichen oder
Auftragsverarbeiters im Hoheitsgebiet ihres Mitgliedstaats, die Verarbeitung personenbezogener Daten
durch Behörden oder private Stellen, die im öffentlichen Interesse handeln, Verarbeitungstätigkeiten,
die Auswirkungen auf betroffene Personen in ihrem Hoheitsgebiet haben, oder
Verarbeitungstätigkeiten eines Verantwortlichen oder Auftragsverarbeiters ohne Niederlassung in der
Union, sofern sie auf betroffene Personen mit Wohnsitz in ihrem Hoheitsgebiet ausgerichtet sind. […]“
Der sog. One-Stop Shop-Mechanismus, wie er in Art. 56 iVm Art. 60 DSGVO vorgesehen ist, findet
gegenständlich keine Anwendung, weil die Beschwerdegegnerin über keine Niederlassung in der
Europäischen Union verfügt.
Es ist daher jede Aufsichtsbehörde selbst dafür zuständig die Einhaltung der DSGVO auf ihrem
Hoheitsgebiet zu überwachen.
Da die Beschwerdegegnerin über keine Niederlassung im Unionsgebiet verfügt, ist die österreichische
Datenschutzbehörde daher für die Behandlung der gegenständlichen Beschwerde zuständig und ist ihr
Verwaltungshandeln entgegen dem Vorbringen der Beschwerdegegnerin zulässig.
Wenn die Beschwerdegegnerin auf einen Blogpost verweist, aus dem hervorgehe, dass sich die
Aufsichtsbehörde in Nordrhein-Westfalen für unzuständig halte, so handelt es sich hierbei nicht um eine
formelle Entscheidung der genannten Aufsichtsbehörde. Die Person, die den Blog betreibt, hat
augenscheinlich eine unverbindliche Auskunft der Behörde bekommen.
Es lässt sich daraus jedoch keinesfalls schließen, dass bereits mehrere Aufsichtsbehörden zum
Schluss gekommen sind, dass sie für die Beschwerdegegnerin nicht zuständig sind.
Im Gegenteil haben sich schon mehrere Aufsichtsbehörden dafür zuständig erachtet, über die
Verarbeitungstätigkeiten der Beschwerdegegnerin abzusprechen (siehe:
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9751362,
https://www.cnil.fr/en/facial-recognition-20-million-euros-penalty-against-clearview-ai,
https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2022/05/ico-fines-facial-recognition-
database-company-clearview-ai-inc/).
Ungeachtet dessen hat jede Aufsichtsbehörde ihre Zuständig in völliger Unabhängigkeit selbst
wahrzunehmen, sodass etwaig anderslautende Entscheidungen anderer Aufsichtsbehörden darauf
keinen Einfluss haben können.
- 18 –
D.3. Zur Verantwortlichkeit der Beschwerdegegnerin
Wie bereits oben ausgeführt, ist die Beschwerdegegnerin als Verantwortliche anzusehen.
Dies ergibt sich auch aus folgenden Erwägungen:
Gemäß Art. 4 Z 7 DSGVO ist Verantwortlicher die natürliche oder juristische Person, Behörde,
Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der
Verarbeitung personenbezogener Daten entscheidet.
Die Beschwerdegegnerin brachte in ihrer Stellungahme vom 30. November 2021 vor, dass ihre Kunden
die alleinigen Verantwortlichen für die Suchanfragen seien. Sie würden entscheiden, welches Tool sie
für welchen Zwecke verwenden. Die Beschwerdegegnerin werde von ihren Kunden nur dafür bezahlt,
dass der Kunde Zugang zum Suchtool erhalte, nicht aber für das Suchergebnis oder dafür, was der
Kunde mit den Suchergebnissen macht.
Die Beschwerdegegnerin übersieht in diesem Zusammenhang jedoch, dass es im gegenständlichen
Fall nicht nur um Suchanfragen durch Nutzer der Software der Beschwerdegegnerin geht, sondern
auch um den Betrieb der Datenbank generell.
Die Beschwerdegegnerin verarbeitet personenbezogene Daten durch Beschaffung (d. h. durch
Scraping aus dem öffentlich zugänglichen Internet) als auch durch die Speicherung dieser Daten in
Form einzigartiger Rechenwerte („Hashes“) in ihrer Datenbank. Die Beschwerdegegnerin führt diese
Verarbeitung durch, um ihren Kunden ihre Dienste anbieten zu können.
Die Kunden der Beschwerdegegnerin sind am Scraping-Prozess bzw. an der Erstellung der Datenbank
der Beschwerdegegnerin nicht beteiligt. Die Beschwerdegegnerin bekommt von ihren Kunden keinerlei
Anweisungen hinsichtlich der Bilder, die verarbeitet werden sollen und werden die Techniken und
Technologien, die für die Erstellung der Datenbank verwendet werden, ausschließlich von der
Beschwerdegegnerin bestimmt.
Hervorzuheben ist insbesondere, dass die Beschwerdegegnerin nicht lediglich eine Datenbank
betreibt, in welcher andere personenbezogene Informationen abspeichern: Sie führt selbst vielmehr
Tätigkeiten aus (selbständiges Suchen und vor allem Bearbeiten von Lichtbildern, sodass eine
eindeutige Zuordnung möglich ist), die folglich eine Verarbeitungstätigkeit darstellen.
Die Beschwerdegegnerin ist daher jedenfalls Verantwortliche für die Verarbeitung der
personenbezogenen Daten des Beschwerdeführers, indem sie die Lichtbilder des Beschwerdeführers
samt zusätzlicher Informationen aus dem Internet beschafft und in ihrer Datenbank gespeichert hat.
Es ist daher entgegen der Ansicht der Beschwerdegegnerin irrelevant, ob sie in Österreich Kunden hat
bzw. tatsächlich Suchanfragen mit Lichtbildern des Beschwerdeführers getätigt wurden. Schon die
- 19 –
Erstellung der Datenbank samt Lichtbildern des Beschwerdeführers stellt nämlich eine Verarbeitung
personenbezogener Daten dar, für die die Beschwerdegegnerin jedenfalls Verantwortliche ist.
D.4. Zu den Zweifeln der Beschwerdegegnerin an der Fairness und Rechtmäßigkeit des Verfahren und
zum Widerspruch jeder weiteren Übermittlung von E-Mails
Die Beschwerdegegnerin führte in ihrer Stellungnahme vom 23. März 2022 aus, sie habe Zweifel an
der Fairness und Rechtmäßigkeit eines förmlichen Verfahren, indem sie fremdsprachige Eingaben über
normale und unverschlüsselte E-Mails erhalte. Ihre Möglichkeiten sich gegen eine
Verwaltungsentscheidung in einer Rechtsordnung zu wehren, in der sie nicht tätig sei, seien begrenzt.
Die Beschwerdegegnerin widerspreche jeder weiteren Zuleitung von amtlichen Dokumenten an eine
ihrer E-Mail-Adressen.
Wie oben dargelegt, ist die DSGVO auf die Verarbeitungstätigkeiten der Beschwerdegegnerin gemäß
Art. 3 Abs. 2 lit. b DSGVO anwendbar und ist die österreichische Datenschutzbehörde für die
gegenständliche Beschwerde gemäß Art 55 Abs. 1 DSGVO mangels Niederlassung der
Beschwerdegegnerin im Unionsgebiet zuständig.
Die Bedenken an der Fairness und Rechtmäßigkeit des Verfahrens der Beschwerdegegnerin sind
daher unbegründet und hat die Datenschutzbehörde aufgrund der ihr gemäß der DSGVO
zukommenden Kompetenzen rechtmäßig Verfahrensschritte gegen die Beschwerdegegnerin gesetzt.
Die Tatsache, dass diese per E-Mail zu Stellungnahme aufgefordert wurde, ist dem Umstand
geschuldet, dass diese auf die erste Aufforderung zur Stellungnahme vom 20. Juli 2021 per Post nicht
reagiert hat. Darüber hinaus hat es die Beschwerdegegnerin entgegen ihrer Verpflichtung gemäß
Art. 27 DSGVO verabsäumt, einen Vertreter im Unionsgebiet zu benennen.
Die Zustellung der gegenständlichen Entscheidung erfolgt daher an jene E-Mail-Adresse, von welcher
aus die Stellungnahmen der Beschwerdegegnerin der Datenschutzbehörde übermittelt wurden und
darüber hinaus an die auf der Webseite der Beschwerdegegnerin angeführte E-Mail-Adresse für
Datenschutzangelegenheiten.
Abgesehen davon erweckte das oben angeführte, sehr substantiierte Vorbringen der
Beschwerdegegnerin jedenfalls nicht den Eindruck, dass sie sich gegen die gegen sie erhobenen
Vorwürfe nicht ausreichend zur Wehr setzen kann.
Zu Spruchpunkt 1.
D.5. Zur Geltendmachung von Art. 5, Art. 6 und Art. 9 DSGVO im Rahmen eines Beschwerdeverfahrens
Die Datenschutzbehörde hat bereits ausgesprochen, dass die Verletzung der Grundsätze gemäß Art. 5
DSGVO und die Rechtmäßigkeit einer Datenverarbeitung gemäß Art. 6 DSGVO als subjektive Rechte
- 20 –
im Rahmen einer Beschwerde nach Art. 77 Abs. 1 DSGVO geltend gemacht werden können (zuletzt
mit Bescheid vom 24. März 2023, GZ: D124.3816, 2023-0.193.268; vgl. auch den Bescheid der DSB
vom 22. Juli 2022, GZ: D124.3817, 2021-0.584.299).
Demnach ist entscheidend, ob eine betroffene Person durch eine behauptete Rechtsverletzung in einer
individuellen Rechtsposition beeinträchtigt wird und daher ein subjektives Recht auf Abspruch über die
behauptete Rechtsverletzung hat. Die behauptete Rechtsverletzung muss sich daher negativ auf die
betroffene Person auswirken. Dies ist bei den Vorgaben für die Rechtmäßigkeit der Datenverarbeitung
ohne Zweifel anzunehmen.
Nach der ständigen Rechtsprechung des EuGH muss eine Datenverarbeitung, um rechtmäßig zu sein,
zumindest auf einen Eingriffstatbestand nach Art. 6 Abs. 1 DSGVO gestützt werden können und alle
Voraussetzungen nach Art. 5 Abs. 1 DSGVO erfüllen (vgl. dazu bspw. das Urteil vom 2. März 2023,
C-268/21, Rz 43).
Der Verantwortliche ist für die Einhaltung des Art. 5 Abs. 1 DSGVO verantwortlich und muss dessen
Einhaltung nachweisen können (Abs. 2).
Es ist daher zu prüfen, ob diese Voraussetzungen im vorliegenden Fall erfüllt sind.
D.5.1. Zum behaupteten Verstoß gegen Art. 5 Abs. 1 lit. b DSGVO – Grundsatz der Zweckbindung
Dem Beschwerdeführer ist beizupflichten, wenn er ausführt, dass die Verarbeitung durch die
Beschwerdegegnerin einen völlig anderen Zweck gegenüber der ursprünglichen Veröffentlichung der
personenbezogenen Daten (insbesondere der Lichtbilder) des Beschwerdeführers darstellt und es für
die Verarbeitung eine eigene gültige Rechtsgrundlage geben müsste.
Wie noch auszuführen ist, ist eine solche nicht vorhanden. Abgesehen davon war die
Beschwerdegegnerin nicht im Stande, im Sinne des Art. 5 Abs. 2 DSGVO darzulegen, dass sie diesen
Grundsatz erfüllt.
Die Beschwerdegegnerin hat daher bei der Verarbeitung der personenbezogenen Daten des
Beschwerdeführers gegen den Zweckbindungsgrundsatz verstoßen.
D.5.2. Zur behaupteten Verstoß gegen Art. 5 Abs. 1 lit. a DSGVO – Grundsatz von Rechtmäßigkeit,
Verarbeitung nach Treu und Glauben, Transparenz
Gemäß Art. 5 Abs. 1 lit. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach
Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden
(„Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“).
- 21 –
Ausgehend vom Wortlaut des Art. 5 Abs. 1 lit. a DSGVO ist im ersten Schritt zu überprüfen, ob im
Hinblick auf die Datenverarbeitung eine Bedingung des Art. 6 Abs. 1 DSGVO erfüllt ist. Konkret ergibt
sich dies aus den Umstand, dass Art. 5 Abs. 1 lit. a leg. cit. die „Rechtmäßigkeit“ als allerersten
Grundsatz anführt, wobei mit „Rechtmäßigkeit“ nur Art. 6 Abs. 1 leg. cit. (dessen Überschrift
„Rechtmäßigkeit“ lautet) gemeint sein kann. Diese Überlegung steht auch mit der englischen
Sprachfassung der DSGVO („lawfulness“) in Einklang.
In diesem Zusammenhang wird auf die noch folgenden Ausführungen verwiesen. Wie noch darzulegen
sein wird, erfolgt die Datenverarbeitung entgegen Art. 6 und Art. 9 DSGVO und damit unrechtmäßig.
Die DSGVO beinhaltet keine Legaldefinition, was unter „Treu und Glauben“ zu verstehen ist. Der
unionsrechtliche Begriff „Treu und Glauben“ ist jedenfalls autonom auszulegen.
Zwar beinhaltet die DSGVO keine entsprechende Legaldefinition, einen Aufschluss gibt jedoch die
englische Sprachfassung, in welcher an eine faire Datenverarbeitung („fairly processed“) angeknüpft
wird.
Der Beschwerdeführer konnte nicht erwarten, dass dessen Lichtbilder von der Beschwerdegegnerin
einer Datenbank hinzugefügt und einer Vielzahl von Kunden (einschließlich Strafverfolgungsbehörden)
zur Verfügung gestellt werden. Der Beschwerdeführer wurde darüber hinaus nicht über die
Verarbeitung informiert.
Die Verarbeitung der personenbezogenen Daten des Beschwerdeführers erfolgte weder nach Treu und
Glauben noch ist sie transparent.
Die Datenverarbeitung erfolgte somit entgegen Art. 5 Abs. 1 lit. a DSGVO.
Ungeachtet dessen stellt die dauerhafte Speicherung personenbezogener Daten auch einen Verstoß
gegen Art. 5 Abs. 1 lit. c DSGVO dar.
Es liegt somit ein Verstoß gegen Art. 5 Abs. 1 DSGVO vor, der, gemessen an der oben zitierten
Judikatur des EuGH, bereits eine Unrechtmäßigkeit der Verarbeitung bewirkt.
Der Vollständigkeit halber wird in Folge noch geprüft, ob – selbst wenn man annehmen wollte, dass
alle Voraussetzungen nach Art. 5 Abs. 1 DSGVO erfüllt seien – die Verarbeitung dennoch rechtmäßig
sein könnte.
Aus systematischen Gründen wird zunächst Art. 9 DSGVO geprüft.
D.5.3. Zum behaupteten Verstoß gegen Art. 9 DSGVO
Der Beschwerdeführer behauptet, dass die Beschwerdegegnerin darüber hinaus gegen Art. 9 DSGVO
verstoßen habe.
- 22 –
Gemäß Art. 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen die rassische
und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder
die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten,
biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder
Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt.
Es stellt sich in diesem Zusammenhang die Frage, ob die Beschwerdegegnerin besondere Kategorien
personenbezogener Daten, konkret biometrische Daten, des Beschwerdeführers verarbeitet.
Nach Art. 4 Z 14 DSGVO sind „biometrische Daten“ mit speziellen technischen Verfahren gewonnene
personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen
einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder
bestätigen, wie Gesichtsbilder oder daktyloskopische Daten.
In Erwägungsgrund 51 Satz 3 DSGVO heißt es, dass die Verarbeitung von Lichtbildern nicht
grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen
werden sollte, da Lichtbilder nur dann von der Definition des Begriffs „biometrische Daten“ erfasst
werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige
Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen.
Vom Vorliegen dieser Daten gemäß Art. 9 Abs. 1 DSGVO ist dann auszugehen, wenn sie speziell
technisch verarbeitet werden, um zur Identifizierung einer Person beizutragen (vgl. dazu die Leitlinien
des EDSA 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Rz 73 ff).
Das Scannen des Gesichts des Beschwerdeführers, die Extraktion seiner eindeutig identifizierenden
Gesichtsmerkmale und die Übersetzung dieser Merkmale in Vektoren stellt nach Ansicht der
Datenschutzbehörde jedenfalls eine solche Verarbeitung mit speziellen technischen Mitteln dar, die die
eindeutige Identifizierung des Beschwerdeführers ermöglichen soll.
Die Möglichkeit der eindeutigen Identifizierung verdeutlicht unter anderem die dem Beschwerdeführer
erteilte Auskunft. Durch die Übermittlung eines Lichtbildes durch den Beschwerdeführer im Rahmen
seines Auskunftsbegehrens, war es der Beschwerdegegnerin aufgrund der den Beschwerdeführer
identifizierenden Merkmale möglich, diesem sämtliche im Internet veröffentlichte Bilder, auf welchem
sein Gesicht zu sehen ist, bereitzustellen.
Es lässt sich daher festhalten, dass gegenständlich das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO
greift.
Art. 9 Abs. 2 leg. cit. regelt Ausnahmen dieses Verarbeitungsverbotes, wobei gegenständlich lediglich
ein Tatbestand in Frage kommt und näher zu prüfen ist.
- 23 –
Gemäß Art. 9 Abs. 2 lit. e leg. cit. gilt dessen Abs. 1 dann nicht, wenn sich die Verarbeitung auf
personenbezogene Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat.
Dieser Tatbestand kommt jedoch schon deshalb nicht in Frage, weil der Beschwerdeführer nicht selbst
seine biometrischen personenbezogenen Daten veröffentlicht hat.
Diese werden nämlich erst durch die sodann von der Beschwerdegegnerin getätigten
Verarbeitungsschritte (Extraktion der Gesichtsmerkmale und Übersetzung in Vektoren) zu besonderen
Kategorien personenbezogener Daten.
Die Beschwerdegegnerin hat daher bei der Verarbeitung der personenbezogenen Daten des
Beschwerdeführers auch gegen Art. 9 DSGVO verstoßen.
Selbst wenn man annehmen wollte, dass Art. 9 DSGVO nicht zur Anwendung gelange oder dessen
Voraussetzungen erfüllt seien, so wäre die Verarbeitung auch im Lichte des Art. 6 Abs. 1 DSGVO
unrechtmäßig:
D.5.4. Zum behaupteten Verstoß gegen Art. 6 Abs. 1 DSGVO
Wie festgestellt, verarbeitet die Beschwerdegegnerin auch personenbezogene Daten des
Beschwerdeführers in ihrer Datenbank.
Es stellt sich die Frage, ob diese Datenverarbeitung rechtmäßig erfolgt.
Die Beschwerdegegnerin hat in ihrer Stellungnahme an die Datenschutzbehörde vom 30. November
2021 lediglich in aller Kürze vorgebracht, dass die von ihr vorgenommene Verarbeitung der Daten des
Beschwerdeführers rechtmäßig ist.
Ansonsten haben sich die Ausführungen der Beschwerdegegnerin auf die vermeintlich nicht gegebene
Anwendbarkeit der DSGVO und die fehlende Zuständigkeit der Datenschutzbehörde beschränkt. Auch
die aktuelle Datenschutzerklärung der Beschwerdegegnerin liefert keine Anhaltspunkte dafür, auf
welche Rechtsgrundlage der DSGVO die Beschwerdegegnerin ihre Datenverarbeitung stützt.
Eine Datenverarbeitung ist dann rechtmäßig, wenn einer der in Art. 6 Abs. 1 lit. a bis f DSGVO gelisteten
Erlaubnistatbestände erfüllt ist.
Für die Verarbeitungstätigkeiten der Beschwerdegegnerin kommt mangels anderweitiger Indikation
lediglich der Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO in Frage.
Demnach ist Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Wahrung der
berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die
Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz
personenbezogener Daten erfordern, überwiegen.
- 24 –
Nach gefestigter Judikatur des EuGH ist die Datenverarbeitung auf Grundlage des
Erlaubnistatbestands „berechtigte Interessen“ unter drei kumulativen Voraussetzungen zulässig:
i) Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten,
ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten
Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz
betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. anstelle vieler das Urteil des
EuGH vom 11. Dezember 2019, C-708/18 Rz 40 mwN).
i) In Frage kommen aufseiten der Beschwerdegegnerin kommerzielle Interessen, da sie ihren Kunden
den Zugang zu ihrer Software entgeltlich anbietet.
Zu den berechtigten Interessen können nicht nur rechtliche, sondern auch tatsächlich, ideelle oder eben
auch wirtschaftliche Interessen zählen (vgl. Buchner/Petri in Kühling/Buchner, Datenschutz-
Grundverordnung, Rz 146).
Es stellt sich die Frage, ob zusätzlich zum wirtschaftlichen Interesse der Beschwerdegegnerin auch
berechtigte Interessen Dritter – nämlich der Kunden der Beschwerdegegnerin – an der Verarbeitung
der personenbezogenen Daten des Beschwerdeführers vorliegen.
Diesbezüglich ist zu beachten, dass es sich bei den Kunden der Beschwerdegegnerin großteils um
Strafverfolgungsbehörden handelt, Art. 6 Abs. 1 lit. f DSGVO jedoch vorsieht, dass die Rechtsgrundlage
der berechtigten Interessen „nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene
Verarbeitung gilt”.
Ein berechtigtes Interesse anderer Kunden, also privater Unternehmen und Einzelpersonen, ist
auszuschließen. Diese sind in Österreich weder mit der Identifizierung von Verdächtigen, der
Aufklärung von Verbrechen oder der Aufrechterhaltung der öffentlichen Sicherheit betraut.
Als Zwischenergebnis lässt sich somit festhalten, dass ein kommerzielles Interesse der
Beschwerdegegnerin an der Verarbeitung der personenbezogenen Daten des Beschwerdeführers und
damit ein berechtigtes Interesse an der Verarbeitung besteht (vgl. dazu im Hinblick auf die
Verarbeitungstätigkeit einer Wirtschaftsauskunftei auch die Ausführungen von Generalanwalt Pikamäe
in seinen Schlussanträgen vom 16. März 2023 in den verbundenen Rechtssachen C-26/22 und
C-64/22, Rz 61 bis 64 sowie 70). Berechtigte Interessen Dritter liegen nicht vor.
ii) Der Betrieb der Datenbank und damit auch die Verarbeitung der personenbezogenen Daten des
Beschwerdeführers durch die Beschwerdegegnerin ist grundsätzlich auch erforderlich, um das
wirtschaftliche Interesse der Beschwerdegegnerin zu verwirklichen.
iii) Es stellt sich im letzten Schritt die Frage, ob die Grundrechte und Grundfreiheiten der vom
Datenschutz betroffenen Person dem Interesse der Beschwerdegegnerin überwiegen.
- 25 –
Gemäß Erwägungsgrund 47 DSGVO sind dabei die vernünftigen Erwartungen betroffener Personen
zu berücksichtigen. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet
werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung
rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des
Verantwortlichen überwiegen.
Nach Ansicht der Datenschutzbehörde kann eine betroffene Person nicht in vernünftiger Weise
erwarten, dass ihre im Internet abrufbaren Bilddaten von einem Unternehmen bearbeitet und in einer
Datenbank abgespeichert werden, deren Zweck es ist, ein Profil der der betroffenen Person zu erstellen
und die es ermöglicht, Personen durch Hochladen eines Lichtbilds eindeutig zu identifizieren.
Es bestand zwischen dem Beschwerdeführer und der Beschwerdegegnerin weder eine geschäftliche
Beziehung, noch wurde der Beschwerdeführer über die Verarbeitung seiner personenbezogenen
Daten im Vorhinein informiert.
Darüber hinaus ist dem Beschwerdeführer beizupflichten, wenn er ausführt, dass auch Informationen,
die online öffentlich zugänglich sind, einen Schutz der Privatsphäre genießen, viele Online-Fotos nicht
von der betroffenen Person selbst geteilt werden und einmal gesammelte Fotos auf unbestimmte Zeit
in der Datenbank der Beschwerdegegnerin gespeichert werden, ohne Rücksicht darauf, ob die Fotos
zu einem bestimmten Zeitpunkt noch öffentlich zugänglich sind.
Nach Ansicht der Datenschutzbehörde überwiegen aufgrund des schwerwiegenden Eingriffes in seine
Privatsphäre die Interessen des Beschwerdeführers klar gegenüber den rein kommerziellen Interessen
der Beschwerdegegnerin.
Zu Spruchpunkt 2
D.6. Zum Löschauftrag
Da die Verarbeitung der personenbezogenen Daten des Beschwerdeführers unrechtmäßig erfolgt, war
zur Herstellung des rechtmäßigen Zustandes die Löschung dieser Daten gemäß Art. 17 Abs. 1 lit. d
iVm Art. 58 Abs. 2 lit. g DSGVO aufzutragen.
- 26 –
Zu Spruchpunkt 3.
D.7. Zum Antrag des Beschwerdeführers auf Verhängung eines Verbots der Verarbeitung seiner
personenbezogenen Daten sowie zum Antrag des Beschwerdeführers auf Verhängung eines Verbots
der Verarbeitung personenbezogener Daten von Personen innerhalb der EU
Zunächst ist festzuhalten, dass eine Aufsichtsbehörde zwar verpflichtet ist, im Falle eines festgestellten
Verstoßes geeignete Abhilfemaßnahmen zu treffen, die konkrete Auswahl der Abhilfebefugnisse
dennoch der Aufsichtsbehörde und nicht der betroffenen Person obliegt (vgl. das Urteil des EuGH vom
16. Juli 2020 a.a.O. Rz 112).
Im konkreten Fall erachtet es die Datenschutzbehörde zur Herstellung des rechtmäßigen Zustandes
für zweckmäßiger, die Löschung der personenbezogenen Daten des Beschwerdeführers anzuordnen.
Für ein (zusätzliches) Verbot der Datenverarbeitung nach Art. 58 Abs. 2 lit. f DSGVO – bezogen auf
den Beschwerdeführer – bleibt somit kein Raum.
Darüber hinaus war auch über den Antrag des Beschwerdeführers abzusprechen, über die
Beschwerdegegnerin ein Verbot der Verarbeitung personenbezogener Daten von Personen innerhalb
der EU zu verhängen.
Diesbezüglich ist festzuhalten, dass aus dem Wortlaut von Art. 58 Abs. 2 lit. f DSGVO nicht abgeleitet
werden kann, dass einer betroffenen Person ein subjektives Recht zukommt, dass eine
Aufsichtsbehörde ein generelles Verarbeitungsverbot verhängt.
Zwar wird der Beschwerdeführer von einer Organisation nach Art. 80 Abs. 1 DSGVO vertreten. Der
letztgenannte Antrag wäre allerdings nur im Rahmen von Art. 80 Abs. 2 DSGVO möglich, der jedoch
nicht in österreichisches Recht umgesetzt wurde. Die nicht erfolgte Umsetzung von Art. 80 Abs. 2
DSGVO kann nicht durch ein Beschwerdeverfahren nach Art. 77 DSGVO kompensiert werden.
Die Anträge waren daher zurückzuweisen.
Zur Vollständigkeit ist an dieser Stelle auszuführen, dass die Datenschutzbehörde die
Inanspruchnahme ihrer amtswegigen Abhilfebefugnisse einer Datenschutzüberprüfung hinsichtlich
betroffener Personen auf österreichischem Staatsgebiet gegen die Beschwerdegegnerin prüft.
Zu Spruchpunkt 4.
Zum behaupteten Verstoß gegen Art. 27 DSGVO
Gemäß Art. 27 Abs. 1 DSGVO hat der Verantwortliche in den Fällen gemäß Art. 3 Abs. 2 leg. cit.
schriftlich einen Vertreter zu benennen.
- 27 –
Wie unter Punkt D.1. schon eingehend behandelt, findet die DSGVO auf die Verarbeitungstätigkeiten
der Beschwerdegegnerin gemäß Art. 3 Abs. 2 lit. b DSGVO Anwendung und geht die
Beschwerdegegnerin fälschlicherweise vom fehlenden räumlichen Anwendungsbereich aus.
Es liegt gegenständlich keine Ausnahme gemäß Art. 27 Abs. 2 leg. cit. vor.
Die Beschwerdegegnerin hat selbst angegeben, über keinen Vertreter gemäß Art. 27 DSGVO zu
verfügen und war sie daher gemäß Art. 58 Abs. 2 lit. d DSGVO amtswegig anzuweisen, einen Vertreter
iSd Art. 27 DSGVO zu benennen.
R E C H T S M I T T E L B E L E H R U N G
Gegen diesen Bescheid kann innerhalb von vier Wochen nach Zustellung schriftlich eine Beschwerde
an das Bundesverwaltungsgericht erhoben werden. Die Beschwerde ist bei der Datenschutzbehörde
einzubringen und muss
- die Bezeichnung des angefochtenen Bescheides (GZ, Betreff)
- die Bezeichnung der belangten Behörde,
- die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
- das Begehren sowie
- die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist,
enthalten.
Die Datenschutzbehörde hat die Möglichkeit, innerhalb von zwei Monaten entweder durch
Beschwerdevorentscheidung ihren Bescheid abzuändern oder die Beschwerde mit den Akten des
Verfahrens dem Bundesverwaltungsgericht vorzulegen.
Die Beschwerde gegen diesen Bescheid ist gebührenpflichtig. Die feste Gebühr für eine
entsprechende Eingabe samt Beilagen beträgt 30 Euro. Die Gebühr ist unter Angabe des
Verwendungszwecks auf das Konto des Finanzamtes Österreich zu entrichten.
Die Gebühr ist grundsätzlich elektronisch mit der Funktion „Finanzamtszahlung“ zu überweisen. Als
Empfänger ist das Finanzamt Österreich - Dienststelle Sonderzuständigkeiten anzugeben oder
auszuwählen (IBAN: ). Weiters sind die
Steuernummer/Abgabenkontonummer , die Abgabenart „EEE -Beschwerdegebühr“, das
Datum des Bescheides als Zeitraum und der Betrag anzugeben.
Sofern das e-banking-System Ihres Kreditinstituts nicht über die Funktion „Finanzamtszahlung“ verfügt,
kann das eps-Verfahren in FinanzOnline genutzt werden. Von einer elektronischen Überweisung kann
nur dann abgesehen werden, wenn bisher kein e-banking-System genutzt wurde (selbst wenn der
Steuerpflichtige über einen Internetanschluss verfügt). Dann muss die Zahlung mittels
Zahlungsanweisung erfolgen, wobei auf die richtige Zuordnung zu achten ist. Weitere Informationen
- 28 –
erhalten Sie beim Finanzamt und im Handbuch „Elektronische Zahlung und Meldung zur Zahlung von
Selbstbemessungsabgaben“.
Die Entrichtung der Gebühr ist bei Einbringung der Beschwerde gegenüber der
Datenschutzbehörde durch einen der Eingabe anzuschließenden Zahlungsbeleg oder einen
Ausdruck über die erfolgte Erteilung einer Zahlungsanweisung nachzuweisen. Wird die Gebühr nicht
oder nicht vollständig entrichtet, ergeht eine Meldung an das zuständige Finanzamt.
Eine rechtzeitig eingebrachte und zulässige Beschwerde an das Bundesverwaltungsgericht hat
aufschiebende Wirkung. Die aufschiebende Wirkung kann im Spruch des Bescheids ausgeschlossen
worden sein oder durch einen eigenen Bescheid ausgeschlossen werden.
9. Mai 2023
Für die Leiterin der Datenschutzbehörde:
Unterzeichner serialNumber= ,CN=Datenschutzbehörde,C=AT
Datum/Zeit 2023-05-10T09:36:53+02:00
Informationen zur Prüfung des elektronischen Siegels bzw. der
elektronischen Signatur finden Sie unter:
Prüfinformation https://www.signaturpruefung.gv.at
Informationen zur Prüfung des Ausdrucks finden Sie unter:
https://www.dsb.gv.at/-/amtssignatur
Hinweis Dieses Dokument wurde amtssigniert.