GZ: DSB-D485.001/0003-DSB/2018 vom 18.12.2018
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet aufgrund des von der A***. **** Landes-Wirtschaftsförderungs GmbH (Verantwortliche), vertreten durch P*** S*** Rechtsanwälte OG, am 30. Oktober 2018 eingeleiteten Verfahrens gemäß Art. 36 DSGVO betreffend eine beabsichtigte Datenverarbeitung (Betreibung von zwölf Videokameras im „A*** Wirtschaftspark B***stadt“ mit Ausrichtung auf Straßen des öffentlichen Verkehrs) wie folgt:
- Der Antrag auf vorherige Konsultation nach Art. 36 DSGVO wird zurückgewiesen .
Rechtsgrundlagen : Art. 35, 36 Abs. 1 und 58 Abs. 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1.
BEGRÜNDUNG
A. Vorbringen der Verantwortlichen:
1. Mit Schreiben vom 30. Oktober 2018 konsultierte die Verantwortliche die Datenschutzbehörde gemäß Art. 36 DSGVO.
Die Verantwortliche beabsichtige im „A*** Wirtschaftspark B***stadt“ zwölf Videokameras mit Ausrichtung auf die Straßeneingangsbereiche des Wirtschaftsparks sowie auf untergeordnete Feldwege einzurichten. Dies zum Zweck des Eigentums- und Objektschutzes sowie zum Schutz der im Wirtschaftspark tätigen Arbeitnehmer, da es in der Vergangenheit wiederholt zu Einbrüchen und Diebstählen gekommen sei.
Aus der durchgeführten Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO gehe zwar hervor, dass die identifizierten Risiken aufgrund der zu treffenden Abhilfemaßnahmen als sehr gering eingeschätzt werden, jedoch sei die Überwachung von Straßen des öffentlichen Verkehrs ungeachtet der getroffenen Maßnahmen generell mit einem hohen Risiko verbunden und sei daher eine vorherige Konsultation der Datenschutzbehörde erforderlich, damit sichergestellt werden könne, dass die Datenschutzbehörde die Auffassung teile, dass die geplante Verarbeitung das Risiko ausreichend reduziere und die Verantwortliche im Sinne der DSGVO handle.
2. Die Verantwortliche brachte – über Aufforderung der Datenschutzbehörde – mit Stellungnahme vom 14. Dezember 2018 ergänzend vor, dass die Verantwortliche zwar Maßnahmen ergriffen habe, um das Risiko einzudämmen, weshalb der Anwendungsbereich des Art. 36 Abs. 1 DSGVO grundsätzlich nicht eröffnet sei, jedoch sei weiterhin fraglich, ob die Maßnahmen auch geeignet seien, um das Risiko auf ein akzeptables Maß einzuschränken. Dies insbesondere vor dem Hintergrund, dass die geplante Videoüberwachung mit einem erheblichen Zeit- und Kostenaufwand verbunden sei.
B. Sachverhaltsfeststellungen:
Die Verantwortliche beabsichtigt im „A*** Wirtschaftspark B***stadt“ die Einrichtung von zwölf Videoüberwachungskameras.
Die von der Verantwortlichen durchgeführte Datenschutz-Folgeabschätzung ergab, dass durch die geplante Datenverarbeitung geringe bis hohe Risiken für betroffene Personen vorliegen. Ein hohes Risiko ist konkret nur bei der Überwachung von Besuchern auf den Zufahrtsstraßen gegeben, da es sich hierbei um die Überwachung von Straßen des öffentlichen Verkehrs handelt.
Aufgrund der in der Datenschutz-Folgenabschätzung geplanten Abhilfemaßnahmen können jedoch sämtliche identifizierten Risiken letztendlich als sehr gering eingestuft werden.
Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem verfahrensleitenden Antrag.
C. In rechtlicher Hinsicht folgt daraus:
Gemäß Art. 36 Abs. 1 DSGVO konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung gemäß Art. 35 leg. cit. hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft .
Wie festgestellt, ergab die Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO zwar, dass grundsätzlich ein hohes Risiko bei der Überwachung von Besuchern auf Zufahrtsstraßen gegeben ist, jedoch wurde dieses Risiko von der Verantwortlichen aufgrund der zu treffenden Abhilfemaßnahmen letztlich als sehr gering eingestuft.
Wenn die Verantwortliche im Rahmen des Konsultationsverfahrens eine Bestätigung der Datenschutzbehörde sucht, dass die von ihr getroffenen Maßnahme tatsächlich als geeignet anzusehen sind, um die identifizierten Risiken einzudämmen, so verkennt sie, dass dies nicht Gegenstand eines Verfahrens nach Art. 36 DSGVO ist. Eine solche Einschätzung der getroffenen Abhilfemaßnahmen obliegt allein der Verantwortlichen selbst und kommt eine Konsultation der Datenschutzbehörde nach Art. 36 DSGVO nur in jenen Fällen zur Anwendung, in denen es der Verantwortlichen nicht gelingt, die ermittelten Risiken hinreichend einzudämmen (vgl. die Leitlinien der Datenschutzgruppe nach Artikel 29 zur Datenschutz-Folgenabschätzung (DSFA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 „wahrscheinlich ein hohes Risiko mit sich bringt“, WP 248 Rev.01, S. 23; sowie Erwägungsgrund 94 der DSGVO).
Mit anderen Worten: Nur in Fällen, in denen der Verantwortliche keine hinreichenden Maßnahmen bestimmen kann, mit denen sich die Risiken auf ein vertretbares Maß reduzieren lassen (d. h. es bestehen weiterhin hohe Restrisiken), ist eine Konsultation der Aufsichtsbehörde erforderlich (vgl. dazu nochmals die zitierten Leitlinien, S. 23 mwN).
Die Voraussetzungen für eine vorherige Konsultation gemäß Art. 36 DSGVO sind daher nicht gegeben und es war sohin spruchgemäß zu entscheiden.
MITTEILUNG
Mit der Zustellung der Erledigung Ihrer Konsultation gemäß § 36 DSGVO ist eine Gebührenschuld nach dem Gebührengesetz 1957 (GebG), BGBl Nr. 267/1957 idgF, entstanden (vgl. wiederum § 1 und § 11 Abs. 1 Z 1 iVm § 14 TP 6 GebG).
Die feste Gebühr beträgt im vorliegenden Fall 14,30 EURO.
Bei Nichtbezahlung der Gebühr ist die Datenschutzbehörde gemäß § 34 Abs. 1 GebG verpflichtet, den Sachverhalt dem zuständigen Finanzamt zwecks Einleitung des abgabenrechtlichen Verfahrens anzuzeigen. In diesem Verfahren kann ein Säumniszuschlag wegen verspäteter Bezahlung vorgeschrieben werden.
Sie werden ersucht, die Gebühr binnen zwei Wochen nach Zustellung dieser Erledigung auf das Konto BAWAG P.S.K., Georg-Coch-Platz 2, 1018 Wien, IBAN: AT460100000005490031, BIC: BAWAATWW, lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.
Rückverweise
