Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Die am 25. Mai 2018 in Geltung getretene Datenschutz-Grundverordnung (DSGVO) bildet die Grundlage des allgemeinen Datenschutzrechts in der EU und in Österreich, ist unmittelbar anzuwenden und wird durch das Datenschutzgesetz (DSG) nur ergänzt. Im Falle der Videoüberwachung als ein Teilaspekt der „Bildaufnahme“ sind beide Rechtsgrundlagen zu berücksichtigen, wobei spezifische Regelung ausschließlich das Datenschutzgesetz trifft.

Gemäß § 12 DSG bezeichnet eine „Bildaufnahme“ die durch Verwendung technischer Einrichtungen zur Bildverarbeitung vorgenommene Feststellung von Ereignissen im öffentlichen oder nicht-öffentlichen Raum zu privaten Zwecken inklusive allfälliger akustischer Informationen.

Eine Bildaufnahme und damit auch eine Videoüberwachung ist dann zulässig, wenn

• sie im lebenswichtigen Interesse einer Person erforderlich ist,
• die betroffene Person zur Verarbeitung ihrer personenbezogenen Daten eingewilligt hat,
• sie durch besondere gesetzliche Bestimmungen angeordnet oder erlaubt ist, oder
• im Einzelfall überwiegende berechtigte Interessen des Verantwortlichen (jenem, der Bildaufnahmen durchführt) oder eines Dritten bestehen und die Verhältnismäßigkeit gegeben ist.

Wann besteht berechtigtes Interesse an einer Videoüberwachung?

Bei der Frage der Zulässigkeit der Videoüberwachung hat sich durch die Datenschutz-Grundverordnung und die erfolgten Anpassungen im Datenschutzgesetz im Wesentlichen nichts geändert. Für Gemeinden, die an bestimmten Orten Videoüberwachungen durchführen, ist vor allem der letzte Punkt (überwiegende berechtigte Interessen) von Bedeutung.

Nach wie vor spielt der Grundsatz der Verhältnismäßigkeit eine entscheidende Rolle. Da die Videoüberwachung, wie jede Datenverarbeitung, in einem Spannungsfeld zwischen dem Grundrecht des Betroffenen auf Datenschutz (bzw. dem schutzwürdigen Geheimhaltungsinteresse) und dem Interesse am Schutz von Leib, Leben oder Eigentum desjenigen steht, der Überwachungen durchführt (Verantwortliche), ist bei der Frage des überwiegenden berechtigten Interesses bzw. der Frage der Zulässigkeit eine Interessenabwägung vorzunehmen.

Videoüberwachung darf nur im erforderlichen Ausmaß erfolgen

Zudem muss die Videoüberwachung für den Zweck, den sie verfolgt (etwa Schutz des Eigentums), wesentlich sein und darf nur im erforderlichen Ausmaß erfolgen. Darüber hinaus ist die Videoüberwachung nur dann zulässig, wenn kein gelinderes Mittel zur Verfügung steht. Letzteres ist nicht mehr explizit im Gesetz festgeschrieben, ergibt sich aber aus dem Grundsatz der Datenminimierung und dem Verhältnismäßigkeitsgrundsatz.

Das eigene Haus darf überwacht werden

Wie schon bisher regelt das Datenschutzrecht Fälle, bei denen die Interessensabwägung bereits auf gesetzlicher Ebene vorgenommen wird. So bestimmt § 12 Abs. 3 DSG, dass eine Bildaufnahme insbesondere dann zulässig ist, wenn es etwa um die Überwachung des eigenen Einfamilienhauses geht oder um Bildaufnahmen, die dem vorbeugenden Schutz von Personen oder Sachen an öffentlich zugänglichen Orten, die dem Hausrecht des Verantwortlichen unterliegen, aufgrund bereits erfolgter Rechtsverletzungen oder eines in der Natur des Ortes liegenden besonderen Gefährdungspotenzials erforderlich ist.

Damit („in der Natur des Ortes“) sollen insbesondere auch die in der seit 25. Mai 2018 außer Kraft getretenen Standard- und Muster-Verordnung enthaltenen Videoüberwachungen (Standardanwendung „SA032 Videoüberwachung“) erfasst sein, so etwa Trafiken, Juweliere aber auch Eingangsbereiche von Verwaltungsgebäuden öffentlicher Rechtsträger. Bei all diesen Einrichtungen wird von vornherein davon ausgegangen, dass Videoüberwachungen zulässig sind und daher eine Interessensabwägung unterbleiben kann.

Bei Altstoffsammelzentren ist der Einzelfall zu prüfen

Da Müllinseln oder Altstoffsammelzentren nicht unter die Standard- und Musterverordnung fallen (fielen), ist weiterhin von Fall zu Fall die Zulässigkeit zu prüfen.

Sollte eine Videoüberwachung ausschließlich zu Zeiten erfolgen, in denen kein Zutrittsrecht gewährt wird (nachts bzw. außerhalb der Öffnungszeiten), so kann man davon ausgehen, dass diese zulässig ist – letztlich kommt jemandem, der verbotenerweise Müllinseln und dergleichen aufsucht, kein schutzwürdiges Geheimhaltungsinteresse zu. Die Verhältnismäßigkeit ist daher zu bejahen.

Ebenso zulässig wird eine durchgehende Videoüberwachung sein, wenn es in der Vergangenheit bereits zu Vandalismus, illegalen Ablagerungen und dergleichen gekommen ist und keine gelinderen Mittel zur Verfügung stehen (Absperrungen, alternative Zutrittskontrollsysteme).

Aufnahme zum Zweck der Kontrolle von Arbeitnehmern ist unzulässig

Neben Regelungen, die bestimmen, wann eine Bildaufnahme zulässig ist, regelt das DSG auch, wann eine Bildaufnahme jedenfalls unzulässig ist. So ist die Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern ebenso unzulässig wie eine Bildaufnahme ohne ausdrückliche Zustimmung der betroffenen Personen in deren höchstpersönlichen Lebensbereichen (§ 12 Abs. 4 DSG).

Darüber hinaus fordert das Datenschutzgesetz geeignete Datensicherheitsmaßnahmen, damit etwa der Zugang zur Bildaufnahme durch Unbefugte ausgeschlossen ist. Der Verantwortliche unterliegt zudem wie schon bisher Protokollierungs- (außer bei Echtzeitüberwachung) und Kennzeichnungspflichten. Demnach muss die Bildaufnahme gekennzeichnet werden und aus dieser eindeutig der Verantwortliche hervorgehen.

Wann ist eine Datenschutz-Folgenabschätzung durchzuführen?

In welchen Fällen der Videoüberwachung eine sogenannte Datenschutz-Folgenabschätzung (DSFA) durchzuführen ist, war bis dato nicht klar. Dabei handelt es sich um eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten.

Eine DSFA hat zumindest eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken sowie die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen zu enthalten.

Gemäß Art. 35 Abs. 3 DSGVO ist eine DSFA unter anderem im Falle einer „systematischen umfangreichen Überwachung“ öffentlich zugänglicher Bereich erforderlich. Im Erwägungsgrund 91 der DSGVO wird hierzu erläutert, dass eine DSFA „für die weiträumige Überwachung öffentlich zugänglicher Bereiche“ erforderlich ist oder „für alle anderen Vorgänge, bei denen nach Auffassung der zuständigen Aufsichtsbehörde die Verarbeitung wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt“.

Die Aufsichtsbehörde (Datenschutzbehörde) hat in zwei Verordnungen spezifische Regelungen getroffen, wann eine DSFA durchzuführen ist und wann eine unterbleiben kann.

Keine Folgenabschätzung erforderlich, wenn Datenanwendung vor dem 25.5.2018 registriert wurde

Gemäß der ersten Verordnung ist keine DSFA erforderlich, wenn eine Datenanwendung (daher auch Videoüberwachung) bereits im Wege einer Vorabkontrolle (Prüfverfahren) vor dem 25. Mai 2018 im Datenverarbeitungsregister (DVR) registriert wurde oder aber (damals) einer Standardanwendung im Sinne der Standard- und Muster-Verordnung entsprach und zudem die Vorgaben der DSGVO erfüllt werden. Nachdem die Videoüberwachung etwa des Eingangsbereiches von Verwaltungsgebäuden öffentlicher Rechtsträger (SA032) unter die Standard- und Muster-Verordnung fiel, sind all jene Videoüberwachungen von einer DSFA befreit, die vor dem 25. Mai 2018 in Betrieb genommen wurden.

Darüber hinaus muss eine DSFA bei bestimmten, in der Verordnung aufgezählten Datenanwendungen nicht durchgeführt werden, darunter befinden sich auch Videoüberwachungen an „allgemein zugänglichen Örtlichkeiten, die dem Hausrecht des Verantwortlichen unterliegen“. Beispielshaft werden in den Erläuterungen Videoüberwachungen im Hinblick auf Vereinsräumlichkeiten, Sportstätten, Freizeiteinrichtungen, Kultureinrichtungen aber auch allgemein zugängliche Bereiche der Geschäftsräumlichkeiten und des Betriebsgeländes von Unternehmen genannt. Ob darunter auch Müllinseln oder Altstoffsammelzentren fallen, ist nicht gänzlich geklärt, wohl aber allein aus einem Größenschluss zu bejahen („wenn sogar Freizeiteinrichtungen von der DSFA ausgenommen sind, dann umso eher Müllinseln bzw. Altstoffsammelzentren“).

Zudem kann davon ausgegangen werden, dass derartige Einrichtungen „allgemein zugängliche Bereiche des Betriebsgeländes“ sind. Einziger Unsicherheitsfaktor ist die Ausnahme von der Ausnahme, da die Verordnung auch festlegt, dass die Ausnahme von der DSFA keine Anwendung auf Örtlichkeiten findet, welche aufgrund eines bestehenden Kontrahierungszwangs oder aufgrund des öffentlichen Interesses von jedermann betreten werden dürfen. Ob in dieser Hinsicht ein Kontrahierungszwang besteht und/oder derartige Einrichtungen Örtlichkeiten sind, die von jedermann betreten werden dürfen, ist nicht eindeutig.

Unter die Ausnahmen von der DSFA fallen zudem neben Banken, Juweliere, Trafiken auch „öffentliche Verwaltungsgebäude mit gültiger Zustimmung der Personalvertretung“. Auch hier stellt sich die Frage, ob ein öffentliches Verwaltungsgebäude eine Örtlichkeit ist, welche aufgrund eines bestehenden Kontrahierungszwanges oder aufgrund des öffentlichen Interesses von jedermann betreten werden darf. Als Beispiele hierfür werden in den Erläuterungen „Verkehrseinrichtungen und Spitäler etc.“ genannt.

Folgenabschätzung bei bestimmten Örtlichkeit erforderlich

In der zweiten Verordnung der Datenschutzbehörde wird festgelegt, bei welchen Verarbeitungsvorgängen eine DSFA durchzuführen ist. Demnach ist eine DSFA unter anderem bei Verarbeitungsvorgängen (Videoüberwachung) erforderlich, welche die Beobachtung, Überwachung oder Kontrolle von betroffenen Personen zum Ziel haben und Örtlichkeiten erfassen, die aufgrund eines „Kontrahierungszwanges“ oder aufgrund des „öffentlichen Interesses“ von jedermann betreten werden dürfen. Als Beispiele hierfür werden neben Verkehrsbetrieben und Spitälern nunmehr auch Ämter und Behörden genannt.

Nachdem sich daraus der Schluss ziehen lässt, dass jede Videoüberwachung, die nach dem 24. Mai 2018 erstmals im Eingangsbereich des Gemeindeamtes (öffentliches Verwaltungsgebäude) durchgeführt wird, einer DSFA bedarf, wurde eine Anfrage an die Datenschutzbehörde gestellt, die rasch geantwortet hat.

Hervorzuheben ist jener Passus der Anfragebeantwortung, wonach es sich bei jenen „Örtlichkeiten, welche aufgrund eines bestehenden Kontrahierungszwanges oder aufgrund des öffentlichen Interesses von jedermann betreten werden dürfen“ nicht um öffentliche Verwaltungsgebäude sondern um öffentliche Verkehrsmittel und Spitäler handelt. Demgemäß werden wohl auch Müllinseln und Abfallsammelzentren nicht zu jenen Örtlichkeiten im Sinne dieser Verordnung(en) zu zählen sein, welche aufgrund eines bestehenden Kontrahierungszwanges oder aufgrund des öffentlichen Interesses von jedermann betreten werden dürfen. Eine DSFA wäre daher nicht erforderlich.