2021-0.717.031 – Datenschutzbehörde Entscheidung

GZ: 2021-0.717.031 vom 19. Oktober 2021 (Verfahrenszahl: DSB-D124.3120)

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Anita A*** (Beschwerdeführerin) aus **** O***wald, vertreten durch Mag. Dieter D***, Rechtsanwalt und Verteidiger in Strafsachen in **** G***stadt, vom 12. Oktober 2020 (in der Fassung des Mangelbehebungsschriftsatzes vom 29. Oktober 2020) gegen Neidhart N*** (Beschwerdegegner) aus **** H****bad, vertreten durch Mag. a Johanna F***, Rechtsanwältin in **** R***tal, wegen Verletzung im Recht auf Geheimhaltung wie folgt:

1. Die Beschwerde wird abgewiesen .

2. Der Antrag der Beschwerdeführerin, eine Strafe gegen den Beschwerdegegner zu verhängen , wird zurückgewiesen .

Rechtsgrundlagen : Art. 4 Z. 1, Z. 7 und Z. 18, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S.1; § 18 Abs. 1 sowie § 24 Abs. 1, Abs. 2 Z. 2, Abs. 4 und 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF, und § 25 Abs. 1 des Verwaltungsstrafgesetzes 1991 (VStG), BGBl. Nr. 52/1991 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. In ihrer vom 12. Oktober 2020 datierenden, am 15. Oktober 2020 erstmals bei der Datenschutzbehörde eingelangten und am 29. Oktober 2020 ergänzten Beschwerde hat die anwaltlich vertretene Beschwerdeführerin wie folgt vorgebracht: Der Beschwerdegegner sei der Geschäftsführer der ehemaligen Dienstgeberin der Beschwerdeführerin, der U***Ges.m.b.H., und habe sie betreffende personenbezogene Daten, nämlich Bildaufnahmen der Beschwerdeführerin an ihrem früheren Arbeitsplatz als Kellnerin, dem Gasthof „T***stuben“ in **** H****bad, in einem gegen die Beschwerdeführerin wegen Veruntreuung (§ 133 Abs. 1 StGB) geführten Strafverfahren vor dem Bezirksgericht G***stadt, Aktenzeichen *3 U *54/20j, durch Rechtsanwältin der U***Ges.m.b.H. als Privatbeteiligten als Beweismittel auf einem USB-Stick vorlegen lassen. Das Strafverfahren gegen die Beschwerdeführerin habe der Beschwerdegegner nach deren Entlassung durch eine Strafanzeige selbst in Gang gesetzt. Die den Bildern zugrundeliegende Datenverarbeitung (Videoaufnahmen) sei unrechtmäßig, entgegen § 12 Abs. 4 Z 4 DSG, ohne ihre Einwilligung, unter Eingriff in ihr Geheimhaltungsrecht und entgegen den Bestimmungen der DSGVO erfolgt. Die Bildaufnahmen wären daher eigentlich zu löschen gewesen und hätten nicht als Beweismittel vorgelegt werden dürfen. Die Beschwerdeführerin hat beantragt, die Verletzung ihrer Rechte auf Geheimhaltung und Löschung festzustellen, dem Beschwerdegegner die Löschung der entsprechenden Daten aufzutragen sowie eine Strafe gegen den Beschwerdegegner zu verhängen.

2. Das Beschwerdeverfahren wegen der behaupteten Verletzung des Löschungsrechts der Beschwerdeführerin wurde getrennt zur Verfahrenszahl DSB-D124.3234 geführt und mit Mitteilung der Datenschutzbehörde vom 8. April 2021, GZ: 2020-0.803.476, gemäß § 24 Abs. 6 DSG formlos eingestellt .

3. Der Beschwerdegegner , von der Datenschutzbehörde mit Verfahrensanordnungen vom 13. November 2020, GZ: 2020-0.704.485, und vom 1. Juni 2021, GZ: 2021-0.362.508, zur Stellungnahme aufgefordert, hat diesem Vorbringen, anwaltlich vertreten, in seiner Stellungnahme vom 15. Juni 2021 Folgendes entgegengehalten: Es sei richtig, dass im Zeitraum vom 2. November 2019 mittags bis zum 3. November 2019 abends im Schankraum des Gasthauses „T***stuben“ eine Kamera installiert gewesen sei, und Bildaufnahmen der Beschwerdeführerin angefertigt worden seien. Grund dafür sei der begründet bestehende Verdacht gewesen, die Beschwerdeführerin würde kassierte Geldbeträge teils nicht abrechnen, sondern selbst einbehalten. Die Beschwerdeführerin sei, dem Verarbeitungszweck entsprechend, weder informiert, noch sei der überwachte Bereich gekennzeichnet worden. Man habe die Beschwerdeführerin durch diese Vorgehensweise auch mehrerer Veruntreuungen überführen können, ihre Entlassung ausgesprochen und den Sachverhalt bei der Polizei zur Anzeige gebracht. Danach sei die Bildverarbeitung beendet und die Kamera entfernt worden. Der Umfang der Bildverarbeitung (Aufnahmebereich) sei aus den von der Beschwerdeführerin vorgelegten Beweismitteln ersichtlich. Die gespeicherten relevanten Bilddaten seien am 10. Juni 2020 dem Bezirksgericht G***stadt, vor dem sich die Beschwerdeführerin wegen Veruntreuung zu verantworten hatte, als Beweismittel auf einem USB-Stick vorgelegt worden. Erst angesichts dieses Beweismittels habe die Beschwerdeführerin ein Diversionsangebot von Gericht und Anklagebehörde angenommen, um einer Vorstrafe zu entgehen. Die Verarbeitung dieser Daten sei jedenfalls aus überwiegenden berechtigten Interessen des Beschwerdegegners und der U***Ges.m.b.H. zulässig gewesen. Der Beschwerdegegner legte auch eine Reihe von Dokumenten, insbesondere aus dem gegen die Beschwerdeführerin geführten Strafverfahren und den Akten der kriminalpolizeilichen Ermittlungen, darunter auch Bilddaten der Videoüberwachung, als Beweismittel vor (tw. bereits von der Beschwerdeführerin vorgelegt).

4. Die Beschwerdeführerin hat dem, nach Parteiengehör durch Verfahrensanordnung der Datenschutzbehörde vom 16. Juni 2021, GZ: 2021-0.427.090, in ihrer Stellungnahme vom 16. Juli 2021 Folgendes entgegengehalten: Die Videoüberwachung sei jedenfalls in ihrem Umfang überschießend gewesen, wobei hier auch über einem längeren Zeitraum als ab dem 2. November 2019 Aufnahmen angefertigt wurden, wie sich aus dem Protokoll der Hauptverhandlung vor dem Bezirksgericht G***stadt ergebe. Auf diesen Videoaufnahmen seien nicht nur die Beschwerdeführerin, sondern auch andere Mitarbeiter, Kunden etc., zu sehen. Auch wurde der Ton mit aufgenommen. Auch sei davon auszugehen, dass hier nicht nur die einzelnen sekundenlangen Ausschnitte aufgenommen wurden, sondern eine dauernde Videoüberwachung vorlag, und die auf dem USB-Stick geschnittenen Videos nur einen Teil davon darstellten. Festgehalten werde auch, dass auf Teilen der Videos der Lebensgefährte der Beschwerdeführerin zu sehen sei, und dass auch die zwischen den Lebensgefährten stattgefundenen Gespräche hier offensichtlich aufgenommen worden seien. Die Beschwerde werde daher aufrechterhalten.

5. Die Datenschutzbehörde hat beiden Parteien nach amtswegigen Recherchen im Firmenbuch und im GISA mit Verfahrensanordnung vom 21. Juli 2021, GZ: 2021-0.511.888, nochmals Parteiengehör eingeräumt (dem Beschwerdegegner auch zum Vorbringen der Beschwerdeführerin in der Stellungnahme vom 16. Juli 2021).

6. Der Beschwerdegegner hat dazu in seiner Stellungnahme vom 2. August 2021 vorgebracht, er verweise auf sein bisheriges Vorbringen und bringe darüber hinaus vor, das Recht zur Geltendmachung eines Eingriffs in das Recht auf Geheimhaltung sei, gerechnet ab der Beweismittelvorlage vom 10. Juni 2020, durch welche die Beschwerdeführerin von der Verarbeitung von Bilddaten Kenntnis erlangt habe, bereits erloschen gewesen. Er bekräftige weiters sein Vorbringen hinsichtlich der Dauer der Bildverarbeitung, das Vorbringen der Privatbeteiligtenvertreterin in der Hauptverhandlung vor dem Bezirksgericht G***stadt am 10. Juni 2020, wonach „in den letzten Tagen vor dem 03.11.2019“ Bilddaten verarbeitet worden seien, sei unpräzise; es seien nur am 2. und 3. November 2019 Daten verarbeitet worden.

7. Die Beschwerdeführerin hat keine weitere Stellungnahme abgegeben.

B. Beschwerdegegenstand

8. Aus dem Vorbringen der Parteien ergibt sich, dass Verfahrensgegenstand die Frage ist, ob der Beschwerdegegner als Verantwortlicher durch eine im Herbst, jedenfalls aber am 2. und 3. November 2019, im Gasthaus „T***stuben“ in H****bad vorgenommene Bildverarbeitung die Beschwerdeführerin in ihrem Recht auf Geheimhaltung personenbezogener Daten verletzt hat.

C. Sachverhaltsfeststellungen

9. Die U***Ges.m.b.H., eingetragen im Firmenbuch zu FN 5*32*1r durch das Landesgericht B***, betreibt als Gewerbeinhaberin (GISA-Zahl 8*3*2*20) seit 16. Juni 2009 ein Gastgewerbe in der Betriebsart "Gasthaus" mit der Bezeichnung „Gasthaus T***stuben“ in **** H****bad, I***weg *5. Der Beschwerdegegner ist seit 29. Mai 2009 selbständig vertretungsbefugter unternehmensrechtlicher (Allein-) Geschäftsführer der U***Ges.m.b.H. und seit 20.12.2011 auch gewerberechtlicher Geschäftsführer für den Gasthausbetrieb.

10. Beweiswürdigung : Diese Feststellungen stützen sich auf das offene Firmenbuch und das Gewerbeinformationssystem Austria (GISA) des Bundesministeriums für Digitalisierung und Wirtschaftsstandort (Firmenbuch- und GISA-Auszug vom 21.7.2021, einliegend in GZ: 2021-0.511.888) sowie (hinsichtlich der Betriebsbezeichnung) auf das übereinstimmende Vorbringen beider Parteien.

11. Die Beschwerdeführerin war vom 29. Juli 2018 bis 4. November 2019 im Gasthausbetrieb der U***Ges.m.b.H. als Kellnerin beschäftigt, zuletzt in Vollzeit. Im Herbst 2019 wurde die Beschwerdeführerin nach Unstimmigkeiten zwischen Lagerbeständen und Abrechnungen der Veruntreuung (fehlerhaften Abrechnung zu eigenen Gunsten) von eingenommenen Geldbeträgen verdächtigt. Die U***Ges.m.b.H. traf durch den Beschwerdegegner die Entscheidung, eine verdeckte Bildverarbeitung (Videoüberwachung) einzurichten, um den Verdacht zu überprüfen. Dies erfolgte dadurch, dass im Zeitraum vom 2. November 2019 mittags bis zum 3. November 2019 abends im Schankraum des Gasthauses „T***stuben“ eine Kamera samt digitalem Aufzeichnungsgerät installiert war. Die Auswertung der Bilddaten bestätigte den bestehenden Verdacht, sodass am 4. November 2019 die Entlassung der Beschwerdeführerin aus dem Dienstverhältnis ausgesprochen und eine Strafanzeige bei der Polizei erstattet wurde. Nach einem kriminalpolizeilichen Ermittlungsverfahren wurde durch die Staatsanwaltschaft B*** durch Strafantrag vom 31. März 2020, GZ: *4 BAZ *54/20z-3, Anklage wegen Veruntreuung gemäß § 133 Abs. 1 StGB gegen die Beschwerdeführerin erhoben. Die Hauptverhandlung vor dem Bezirksgericht G***stadt in der folgenden Strafsache gegen die Beschwerdeführerin, Aktenzeichen *3 U *54/20j, wurde am 10. Juni 2020 eröffnet. Die U***Ges.m.b.H. schloss sich in der Hauptverhandlung dem Strafverfahren mit einer Schadenersatzforderung gegen die Beschwerdeführerin in Höhe von € 427,50 als Privatbeteiligte an und legte als Beweismittel für ihren Anspruch auf einem USB-Stick gespeicherte Bilddaten aus der oben beschriebenen Bildverarbeitung vor. Spätestens durch diese Beweismittelvorlage erlangte die Beschwerdeführerin Kenntnis von der beschwerdegegenständlichen Bildverarbeitung.

12. Beweiswürdigung : Diese Feststellungen gründen sich insbesondere auf von der Beschwerdeführerin selbst vorgelegte Dokumente (Beilagen zum Schriftsatz vom 29. Oktober 2020, Kopie Protokoll der Hauptverhandlung vor dem Bezirksgericht G***stadt am 10. Juni 2020, GZ: *3 U *54/20j-11; Kopie Strafantrag wie oben, Kopie Abschlussbericht samt Beilagen der Polizeiinspektion W***bad an die Staatsanwaltschaft B***, Zeichen PAD/*3/00*5*7*, darin insbesondere die Zeugenaussage des Beschwerdegegners vom 17. Jänner 2020, GZ: PAD/*3/00*5*7*/001/H***). Divergenzen hinsichtlich der festgestellten Tatsachen bestehen zwischen den Parteien nur hinsichtlich der Dauer und des Umfangs der Bildverarbeitung (oder auch Tonverarbeitung), wobei hier den glaubwürdigen und mit den dokumentierten Verfahrensergebnissen gut übereinstimmenden Angaben des Beschwerdegegners gefolgt wird. Wie noch in der rechtlichen Begründung aufzuzeigen sein wird, ist die Frage von Dauer und Umfang der Datenverarbeitung hier auch nicht von entscheidender Bedeutung.

D. In rechtlicher Hinsicht folgt daraus:

D.1. Summe :

13. Die - rechtzeitig eingebrachte und damit zulässige - Beschwerde hat sich als unbegründet erwiesen, weil der Beschwerdegegner nicht der Verantwortliche für die in Beschwerde gezogene Datenverarbeitung ist.

D.2. Einwand der Verfristung (Präklusion) des Beschwerderechts :

14. Der Beschwerdegegner hat der Beschwerde auch entgegengehalten (Stellungnahme vom 2. August 2021, siehe oben, Rz.6), das Beschwerderecht sei bei Einbringung der Beschwerde bereits in Folge Zeitablaufs erloschen gewesen, die Beschwerde daher sinngemäß unzulässig.

15. Gemäß der verfahrensrechtlichen Bestimmung des § 24 Abs. 4 DSG erlischt der Anspruch auf Behandlung einer Beschwerde, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

16. Es liegt keine Feststellung dahingehend vor, dass der Beschwerdeführerin die Tatsache, Betroffene einer Bildverarbeitung gewesen zu sein, bereits vor dem 10. Juni 2020 (Beweismittelvorlage durch die U***Ges.m.b.H. als Privatbeteiligte in der Hauptverhandlung vor dem Bezirksgericht G***stadt, siehe oben Rz. 11) bekannt war. Aber selbst wenn man annähme, dass die Beschwerdeführerin bereits anlässlich ihrer Entlassung am 4. November 2019 etwas darüber erfahren hätte, wäre die am 15. Oktober 2020 bei der Datenschutzbehörde eingelangte Beschwerde unter Anwendung der Jahresfrist gemäß § 24 Abs. 4 erster Fall DSG noch rechtzeitig erhoben worden. Der Einwand einer Präklusion des Beschwerderechts hat sich damit als unbegründet erwiesen.

17. D.3. Gegenstand des Beschwerdeverfahrens, Zurechnung der Datenverarbeitung :

18. Beide Parteien dieses Verfahrens waren von Anbeginn an durch einen Rechtsanwalt bzw. eine Rechtsanwältin vertreten. Es hat daher kein Grund bestanden, die Parteien, insbesondere die Beschwerdeführerin, seitens der Datenschutzbehörde über die Rechtslage aufzuklären oder ihnen gemäß § 13a AVG die zur Vornahme ihrer Verfahrenshandlungen nötigen Anleitungen zu geben.

19. Das datenschutzrechtliche Beschwerdeverfahren gemäß Art. 77 DSGVO und § 24 DSG hat zum Gegenstand und Verfahrensziel, eine Verletzung subjektiver Datenschutzrechte einer betroffenen Person auf deren Antrag (Beschwerde) hin festzustellen (Art. 57 Abs. 1 lit. f DSGVO) und, wenn und wo möglich, die Rechtsverletzung durch eine entsprechende Anweisung an den Verantwortlichen oder Auftragsverarbeiter zu beseitigen (Art. 58 Abs. 2 lit. c DSGVO). Die Verhängung einer Verwaltungsstrafe (Geldbuße gemäß Art. 83 DSGVO) gehört nicht zu diesen Verfahrenszielen, da im Verwaltungsstrafverfahren gemäß § 25 Abs. 1 VStG amtswegig vorzugehen ist, und es kein subjektives Recht (Privatanklagerecht) einer betroffenen Person auf Verhängung einer solchen Strafe gibt (ständige Rechtsprechung der Datenschutzbehörde, siehe dazu etwa den Bescheid vom 26.7.2019, GZ: DSB-D123.921/0005-DSB/2019, RIS).

20. Nach § 24 Abs. 2 Z 2 DSG ist der Beschwerdegegner vom Beschwerdeführer zu benennen. Der Datenschutzbehörde steht es nicht zu, eine solche ausdrückliche Bezeichnung zu ändern und die Partei, mit der sich der Beschwerdeführer in das Verfahren einlassen will, gegen eine andere, von ihm nicht bezeichneten, auszutauschen (vgl. dazu das Erkenntnis des Bundesverwaltungsgerichts vom 19. Jänner 2017, Zl. W214 2117066-1, RIS, mwN). Einer durch einen Rechtsanwalt vertretenen Partei war die Benennung des Beschwerdegegners hier auch zumutbar, da es sich bei der Zurechnung einer Datenverarbeitung um eine Rechtsfrage handelt, und Identität und Rolle der auf der Gegenseite beteiligten Personen (Beschwerdegegner, U***Ges.m.b.H.) der Beschwerdeführerin bekannt waren.

21. Aus den Sachverhaltsfeststellungen geht hervor, dass die Beschwerdeführerin im Teilunternehmen „Gasthaus T***stuben“ der U***Ges.m.b.H. beschäftigt war. Diese Gesellschaft mit beschränkter Haftung war daher der Unternehmensträger bzw. das Unternehmen gemäß Art. 4 Z 18 DSGVO, auf dessen Entscheidung hin und für dessen Zwecke (Aufklärung von Straftaten gegen das Vermögen des Unternehmens, Gewinnung von Beweismitteln für Rückforderungsansprüche) Bilddaten der Beschwerdeführerin verarbeitet worden sind .

22. Die U***Ges.m.b.H. war daher hier gemäß Art. 4 Z 7 DSGVO die für die Verarbeitung der Bilddaten der Beschwerdeführerin Verantwortliche. Der Beschwerdegegner wiederum war hier als Geschäftsführer nur das willensbildende und ausführende Organ der U***Ges.m.b.H. , wobei es in der Natur einer Gesellschaft mit beschränkter Haftung liegt, dass diese als juristische Person zur Willensbildung auf Menschen als ihre Organe angewiesen ist.

23. Dies ändert aber nichts daran, dass Unternehmen bzw. Unternehmensträgern durch die Unionsgesetzgeber die Fähigkeit zugeschrieben wird, im eigenen Namen und unter eigener Verantwortung Entscheidungen zu treffen (arg: „die natürliche oder juristische Person […], die […] über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“ , Art. 4 Z 7 DSGVO, Definition des Begriffs des „Verantwortlichen“).

24. Diese Auslegung der DSGVO wird noch dadurch unterstrichen, dass die unionsrechtlichen Strafbestimmungen des Art. 83 DSGVO iVm § 30 DSG einen der bisher wenigen Fälle im österreichischen Verwaltungsstrafrecht bilden, in dem Strafen (Geldbußen) gegen eine juristische Person verhängt werden können, wobei deren Organe (und andere Verantwortliche gemäß § 9 VStG) in diesem Fall gemäß § 30 Abs. 3 DSG nur subsidiär verwaltungsstrafrechtlich haften.

D.4. Schlussfolgerungen :

25. Die Entscheidung, am 2. und 3. November 2019 Bilddaten der Beschwerdeführerin zu verarbeiten, wobei in deren Geheimhaltungsrecht eingegriffen worden ist - ob berechtigt oder unberechtigt kann an dieser Stelle dahingestellt bleiben -, ist daher der U***Ges.m.b.H. zuzurechnen. Der Beschwerdegegner hat keinen entsprechenden Eingriff zu verantworten.

26. Die Beschwerde war daher gemäß Spruchpunkt 1. als unbegründet abzuweisen.

27. Der Antrag der Beschwerdeführerin, eine Strafe gegen den Beschwerdegegner zu verhängen, war, wie oben bereits unter Rz. 19 dargelegt, gemäß Spruchpunkt 2. als unzulässig zurückzuweisen.