2022-0.585.764 – Datenschutzbehörde Entscheidung

GZ: 2022-0.585.764 vom 23. August 2022 (Verfahrenszahl: DSB-D550.509)

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

Straferkenntnis

Beschuldigter: A***, geb. am XXX

Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1, idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen:

I. Sie haben als Verantwortlicher im Zeitraum vom 01.06.2020 bis 31.07.2020 insgesamt an drei unterschiedlichen Tagen, jedoch jedenfalls am 24.07.2020, für die Dauer von jeweils neun bis zwölf Stunden über den jeweiligen Tag verteilt (im Folgenden „Tatzeitraum“) in XXX in einer der dort befindlichen (öffentlichen) WC-Anlagen (im Folgenden „Tatort“), unrechtmäßig und ohne einen legitimen Zweck personenbezogene Daten verarbeitet, indem Sie innerhalb einer Toilettenkabine eine (versteckte) Bildbearbeitungsanlage (WiFi-Kamera) montiert und betrieben haben. Dadurch zeichneten Sie betroffene Personen heimlich bei der Nutzung der WC-Anlage auf. Die konkrete Verarbeitung erfolgte ohne Wissen und somit auch ohne Einwilligung der Betroffenen und kann auch auf keinen der sonstigen der im Art. 6 Abs. 1 DSGVO normierten Erlaubnistatbestände gestützt werden.

Sie haben im Ergebnis als Verantwortlicher dadurch folgende Grundsätze der DSGVO verletzt:

 Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise ( „Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“ )

 Grundsatz der Verarbeitung von personenbezogenen Daten für festgelegte, eindeutige und legitime Zwecke ( „Zweckbindung“ )

 Grundsatz der dem Zweck angemessenen und erheblichen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Verarbeitung von personenbezogenen Daten ( „Datenminimierung“ )

II. Sie haben als Verantwortlicher zudem im Tatzeitraum am Tatort gegen Ihre Informationspflicht nach Art. 13 DSGVO verstoßen, indem Sie keine geeignete Kennzeichnung in Bezug auf die gegenständliche Videoüberwachungsanlage am Tatort angebracht haben, welche die Betroffenen zum Zeitpunkt der Erhebung ihrer personenbezogenen Daten über die Bildverarbeitung innerhalb der Toilettenkabine im Sinne der Art. 12 und 13 DSGVO informiert hätte.

Sie haben im Ergebnis als Verantwortlicher dadurch folgenden Grundsatz der DSGVO verletzt:

 Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise ( „Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“ )

Verwaltungsübertretungen nach:

Ad. I.: Art. 5 Abs. 1 lit. a, b und c sowie Art. 6 Abs. 1 lit. f iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Ad. II.: Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretungen wird folgende Strafe verhängt:

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:

2.500,-

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

27.500,- Euro

Zahlungsfrist:

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto BAWAG P.S.K., Georg-Coch-Platz 2, 1018 Wien, IBAN: AT460100000005490031, BIC: BAWAATWW, lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden .

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.

Begründung:

1. Zum Verfahrensgang:

1.1. Die Landespolizeidirektion XXX (im Folgenden „LPD“) brachte am 17.05.2021 per E-Mail eine Sachverhaltsdarstellung bei der Datenschutzbehörde ein (GZ: XXX). Die LPD teilte der Datenschutzbehörde (im Folgenden „DSB“) mit, dass der Sachverhalt zunächst an die Staatsanwaltschaft XXX (im Folgenden „StA“) wegen Verdacht auf pornografische Darstellung Minderjähriger übermittelt wurde. Die StA hätte das Verfahren jedoch eingestellt, da kein Tatbestand nach dem StGB erfüllt wurde. Die StA hätte der LPD mitgeteilt, dass der Sachverhalt der DSB übermittelt werden sollte, da der Verdacht einer Verwaltungsübertretung vorliege. Dem Schreiben der LPD wurde ein Anlass-Bericht, Abschluss-Bericht, die Einvernahme des Beschuldigten bei der LPD vom 07.01.2021 sowie eine Lichtbildbeilage angehängt. Die Lichtbildbeilage enthielt Bilder von beispielhaften Aufzeichnungen der Anlage. Die LPD teilte der DSB zudem mit, dass der Bezirksdatensicherer ungefähr 600 Videos vom letzten Einsatz der Anlage sicherstellen konnte. Diese könnten bei Bedarf der DSB übermittelt werden.

1.2. Die DSB leitete daraufhin ein Verwaltungsstrafverfahren gegen den Beschuldigten ein und forderte ihn mit Schreiben vom 17.06.2021 zur Rechtfertigung und Offenlegung seiner Einkommens- und Vermögensverhältnisse auf.

1.3. Der - zu diesem Zeitpunkt anwaltlich vertretene - Beschuldigte brachte in Reaktion darauf mit E-Mail vom 15.07.2021 eine schriftliche Rechtfertigung bei der DSB ein und führte im Wesentlichen ins Treffen, dass die DSGVO nicht zur Anwendung gelange, da die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO einschlägig sei, weil die Aufnahmen ausschließlich für den „ persönlichen Gebrauch des Beschuldigten “ angefertigt wurden. Die Aufnahme hätte er danach gelöscht und jedenfalls nicht gegenüber Dritten offengelegt. Darüber hinaus seien keine personenbezogenen Daten vom Beschuldigten verarbeitet worden, da anhand der Bildaufnahmen keine natürliche Person identifiziert werden kann. Daher gelange die DSGVO ebenfalls nicht zur Anwendung. Der Beschuldigte beantragte die Einstellung des Verwaltungsstrafverfahrens.

1.4. Mangels Bekanntgabe der Einkommens- und Vermögensverhältnisse sowie allfällige Sorgepflichten fordert die DSB den Beschuldigten mit Schreiben vom 12.05.2022 erneut auf, diese Informationen bekanntzugeben. Die DSB forderte den Beschuldigten zudem mit Schreiben vom 12.05.2022 zu einer ergänzenden Stellungnahme betreffend Anzahl sowie Zeiträume im Zusammenhang mit den Einsätzen der Anlage auf. Darüber hinaus wurde ein Amtshilfeersuchen an die LPD übermittelt, um sämtliche vom Bezirksdatensicherer sichergestellten Videos (circa 600) vom letzten Einsatz der Anlage am 24.07.2020 zu erhalten. Die LPD teilte der DSB daraufhin mit, dass der Amtshilfeantrag an die StA zu übermitteln sei, da diese die Videos aufbewahren würden bzw. der LPD die Anweisung zur Übermittlung der Videos an die DSB erteilen können. Daraufhin stellte die DSB einen Antrag auf Amtshilfe an die StA und ersuchte zusätzlich um Information, ob gegen den Beschuldigten im Hinblick auf § 63 DSG noch ein Strafverfahren geführt wird, da das Verwaltungsstrafverfahren nur subsidiär anwendbar ist. Die StA teilte der DSB mit Schreiben vom 31.05.2022 mit, dass das Strafverfahren gegen den Beschuldigten gemäß § 190 Z 2 StPO eingestellt wurde, da kein tatsächlicher Grund zur weiteren Verfolgung bestand und ersuchte die LPD zeitgleich um Übermittlung der vorhandenen Sicherungskopien der Videos an die DSB.

1.5. Der Beschuldigte brachte am 25.05.2022 in Reaktion auf die Aufforderung der DSB vom 12.05.2022 eine schriftliche (ergänzende) Stellungnahme ein und führte aus, dass er die Anlage zuletzt am 24.07.2020 drei Mal über den gesamten Tag verteilt für jeweils drei bis vier Stunden am Tatort eingesetzt hat, weil der Akku ausgetauscht werden musste. Zudem gab er bekannt, dass er als Selbstständiger tätig ist und daraus ein monatliches Einkommen in Höhe von EUR 1.730,- erziele. Er habe kein Vermögen oder Sorgepflichten.

1.6. Die DSB lud den Beschuldigten daraufhin zur Einvernahme per Videokonferenz ein. Der Beschuldige folgte der Ladung und wurde am 14.06.2022 einvernommen. Im Rahmen der Einvernahme räumte der Beschuldigte den Tatvorwurf ein und gab zu seinem Einkommen an, dass ihm nach Abgaben und Steuern monatlich netto EUR 4.000 (12x im Jahr) bleiben würden. Er erziele sein Einkommen aus der Vermietung von XXX und müsse noch Rücklagen betreffend Instandsetzung bilden. Nach Bildung der Rücklagen bleiben ihm im Monat netto EUR 1.730 (14x im Jahr). Der Beschuldigte brachte in diesem Zusammenhang nach seiner Einvernahme schriftlich eine Aufschlüsselung seines Einkommens bei der DSB ein. Die Zahlen betreffen jedoch das Jahr 2020, da er für 2021 noch keinen Abschluss hat. Zu seinem Vermögen gab er bekannt, dass er drei Kraftfahrzeuge sowie eine Eigentumswohnung und einen Bausparvertrag hat (Vermögenswert siehe unten). Schließlich gab der Beschuldigte der DSB gegenüber bekannt, dass er nicht mehr vom ausgewiesenen Beschuldigtenvertreter vertreten wird und die DSB ihm daher sämtliche Schreiben wieder persönlich adressieren soll.

Beweiswürdigung: Die bisher getroffenen Feststellungen zum Verfahrensgang sind unbestritten und ergeben sich darüber hinaus auch aus dem Akteninhalt des gegenständlichen Verwaltungsstrafaktes.

2. Folgender entscheidungsrelevanter Sachverhalt steht fest:

2.1. Der Beschuldigte erwarb die gegenständliche Anlage zunächst zum Zwecke der Aufklärung bestimmter Umstände im Bereich des Wohnsitzes seiner Mutter. Vor dem Wohnobjekt seiner Mutter wurden immer wieder Kot und Urin hinterlassen. Zudem wurden Tomaten und Chilis innerhalb des Treibhauses seiner Mutter aufgegessen. Zum Zwecke der Aufklärung dieser Umstände erwarb der Beschuldigte eine WiFi-Kamera, da diese sowohl mit Anschluss am Stromnetz als auch mittels Akku (kabellos) betrieben werden konnte. Im Zuge dieser Anwendung kam der Beschuldigte schließlich auf die Idee, die Kamera innerhalb von öffentlichen WC-Anlagen am Tatort zu montieren und betreiben.

2.2. Der Beschuldigte montierte und betrieb daraufhin in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls im Zeitraum vom 01.06.2020 bis 31.07.2020, an insgesamt drei unterschiedlichen Tagen, jeweils für die Dauer von neun bis zwölf Stunden über den jeweiligen Tag verteilt, die gegenständliche Bildverarbeitungsanlage innerhalb von zwei unterschiedlichen (öffentlichen) WC-Anlagen am Tatort. Der letzte Einsatz der Kamera in diesem Zeitraum erfolgte jedenfalls am 24.07.2020. Diese letzte Installation wurde schließlich von der Exekutive entdeckt und sichergestellt. Anhand der sichergestellten Videos konnte nachgewiesen werden, dass der Beschuldigte der Betreiber der gegenständlichen Anlage war.

2.3. Die Anlage wurde innerhalb der betroffenen WC-Anlagen an unterschiedlichen Positionen montiert und betrieben. Die Anlage wurde ein Mal unterhalb des Waschbeckens und zwei Mal auf der Fliesenwand unmittelbar hinter der Toilette (circa auf Gesäßhöhe und mittels einer Abdeckung versteckt) montiert. Die unterschiedlichen Aufnahmebereiche der Anlage innerhalb der Toilettenkabinen stellten sich konkret wie folgt dar:

Aufnahmebereich 1:

XXX

Aufnahmebereich 2:

XXX

Aufnahmebereich 3:

XXX

[Anmerkung Bearbeiter/in: Die an dieser Stelle eingefügten Bilddateien, die die Aufnahmebereiche der Kameras zeigen, werden im RIS nicht wiedergegeben.]

Beweiswürdigung: Die bisher getroffenen Feststellungen sind unbestritten und beruhen im Wesentlichen auf die Ausführungen des Beschuldigten im Rahmen seiner Einvernahme (siehe Niederschrift Beschuldigteneinvernahme vom 14.06.2022, Fragen 1 und 2) und der schriftlichen Stellungnahme des Beschuldigten vom 25.05.2022 sowie aus dem Anlass-Bericht der LPD vom 25.11.2020 und Abschluss-Bericht vom 19.01.2021 an die StA samt Lichtbildbeilage.

Die Feststellungen zum konkreten Aufnahmebereich ergeben sich aus der Lichtbildbeilage sowie der vom Bezirksdatensicherer sichergestellten (teils wiederhergestellten) Videos von der Anlage, die der DSB von der LPD übermittelt wurden. Die Videos befinden sich auf einem verschlüsselten USB-Stick, welcher dem Verwaltungsstrafakt beigelegt wurde. Nach Durchsicht der Videos konnte von der DSB festgestellt werden, dass der Beschuldigte als Betreiber der Anlage die oben dargestellten Positionen für die Kamera innerhalb der Toilettenkabinen am Tatort wählte. Es wird an dieser Stelle festgehalten, dass nicht sämtliche 600 sichergestellten Videos von der DSB eingesehen werden konnten, da, wie schon von der LPD in ihrem Anlass-Bericht näher ausgeführt, nicht alle Videos der letzten Installation bzw. des letzten Einsatzes der Anlage (am 24.07.2020) vom Bezirksdatensicherer vollständig wiederhergestellt werden konnten. Die DSB konnte daher nur einen Bruchteil der 600 Videos einsehen. In Folge können nur die oben dargestellten Aufnahmebereiche 1-3 festgestellt/nachgewiesen werden.

Die Feststellungen zum Tatzeitraum und Tatort ergeben sich insbesondere aus den eigenen Ausführungen des Beschuldigten und sind somit unbestritten. In der schriftlichen Stellungnahme vom 25.05.2022 stellte der Beschuldigte den Ablauf einer Installation näher dar. Der Beschuldigte führte hierzu aus, dass er die Anlage bei einem Einsatz über den gesamten Tag verteilt insgesamt drei Mal für jeweils drei bis vier Stunden betrieb, da der Akku zwischenzeitlich zwei Mal im Laufe des Tages ausgetauscht werden musste (Akkulaufzeit der Anlage betrug laut Angaben des Beschuldigten drei bis vier Stunden). Somit wurde die Anlage bei einem Einsatz insgesamt neun bis zwölf Stunden über den jeweiligen Tag verteilt betrieben. Im Rahmen der Einvernahme des Beschuldigten am 14.06.2022 bei der DSB führte der Beschuldigte auf Nachfrage der DSB (siehe Niederschrift der Beschuldigteneinvernahme, Frage 2) aus, dass sich seine Stellungnahme vom 25.05.2022 auf die von der Exekutive zuletzt gefundenen Installation vom 24.07.2020 bezog. Der Beschuldigte hat die Kamera darüber hinaus noch zwei Mal in einer WC-Anlage am Tatort installiert und betrieben. Somit setzte der Beschuldigte die gegenständliche Anlage im Zeitraum Juni bis Juli 2020 an insgesamt drei unterschiedlichen Tagen für die Dauer von jeweils mehreren Stunden ein. Seine letzte Installation der Kamera vom 24.07.2020 war jene, die von der Exekutive entdeckt und sichergestellt wurde. Seitdem hätte er keine weiteren Einsätze vorgenommen.

Der konkrete Zeitraum bzw. die konkreten Tage der zwei anderen Einsätze konnten nicht festgestellt werden. Der Beschuldigte führte hierzu nur aus, dass er die Anlage neben seiner letzten Installation vom 24.07.2020 noch zwei weitere Male betrieb. Auf Nachfrage gab der Beschuldigte den Zeitraum Juni bis Juli 2020 an. An die konkreten Tage konnte sich der Beschuldigte weder während seiner Einvernahme bei der LPD noch bei der DSB erinnern. Auch aus den sichergestellten Videos konnte der konkrete Zeitraum der zwei anderen Einsätze nicht entnommen werden, da diese vom Beschuldigten bereits gelöscht wurden. Der Beschuldigte löschte die Videos nach jedem Einsatz vom Speichermedium, sobald er sich die Videos ansah.

Die Feststellung, dass die gegenständliche Anlage nicht dauerhaft über den gesamten Tag, sondern für die Dauer von neun bis zwölf Stunden über den jeweiligen Tag der Installation verteilt, betrieben wurde, da der Akku der Anlage zwischenzeitlich getauscht werden musste, ergibt sich ebenfalls aus den eigenen Ausführungen des Beschuldigten (siehe Stellungnahme des Beschuldigten vom 22.05.2022, wo er den Ablauf eines Einsatzes anhand seiner letzten Installation vom 24.07.202 näher darstellte).

2.4. Die gegenständliche Anlage war mit einem Bewegungssensor ausgestattet und zeichnete daher nicht durchgehend auf. Die Anlage wurde vom Beschuldigten auf „ Aufnahme durch Bewegungserkennung “ eingestellt. Sobald eine Person den Aufnahmebereich betrat, löste die Anlage daher eine Aufzeichnung auf.

2.5. Die Anlage wurde bei jedem Einsatz mittels einer Abdeckung versteckt betrieben. Die Betroffenen wurden über den Einsatz der Anlage innerhalb der öffentlichen Toilettenkabinen bzw. WC-Anlagen am Tatort nicht informiert. Eine Kennzeichnung der Anlage am Tatort fehlte zur Gänze.

2.6. Die Aufzeichnungen der Anlage wurden innerhalb des integrierten Speichermediums so lange aufbewahrt, bis der Beschuldigte diese einsah. Danach löschte der Beschuldigte die Aufzeichnungen vom Speichermedium der Anlage.

2.7. Der Beschuldigte verfolgte mit den Installationen innerhalb der Kabinen ein „ technisches Interesse “. Die Entscheidung, die Kamera innerhalb von öffentlichen WC-Anlage zu testen, traf der Beschuldigte, weil es einen „ gewissen Reiz des Unerlaubten “ hatte.

Beweiswürdigung: Die bisher getroffenen Feststellungen sind ebenfalls unbestritten und ergeben sich aus dem Anlass-Bericht der LPD vom 25.11.2020 sowie aus den eigenen Ausführungen des Beschuldigten im Rahmen seiner Einvernahme vom 07.01.2021 bei der LPD sowie vom 14.06.2022 bei der DSB.

Die Feststellung, dass die Anlage vom Beschuldigten auf „Aufnahme durch Bewegungserkennung“ eingestellt wurde und daher nicht durchgehend aufzeichnete, ergibt sich aus der Stellungnahem des Beschuldigten vom 25.05.2022.

Die Feststellung, dass die Betroffenen mangels Kennzeichnung nicht über die Verarbeitung informiert wurden, ergibt sich schon aus dem Umstand, dass die Anlage durch eine Abdeckung versteckt betrieben wurde und aus der Intention des Beschuldigten, die Anlage innerhalb der öffentlichen WC-Anlagen versteckt zu betreiben. Die Feststellung, dass die Anlage mittels einer Abdeckung versteckt betrieben wurde ergibt sich aus dem Anlass-Bericht der LPD vom 25.11.2020

2.8. Unter den Betroffenen befand sich jedenfalls auch eine minderjährige Person, wobei nicht festgestellt werden kann, ob sich die minderjährige Person im Aufnahmebereich der Anlage auszog bzw. die Kleidung wechselte.

Beweiswürdigung: Die Feststellung in Bezug auf die Aufzeichnung einer minderjährigen Person stützt sich auf eine der sichergestellten Videos, die von der DSB von Amts wegen angesehen wurde. Das Video befindet sich auf einem verschlüsselten USB-Stick und liegt dem gegenständlichen Verwaltungsstrafakt bei. Im Video ist jedoch nur der abschließende Teil des Toilettenbesuchs ersichtlich. Es ist jedenfalls eine minderjährige und eine (begleitende) erwachsene Person zu sehen. Die minderjährige Person befindet sich beim Waschbecken, währenddessen betätigt die erwachsene Person die Spülung der Toilette (das Geräusch der Spülung ist akustisch gut wahrnehmbar). Danach verlassen beide Personen die WC-Anlage. Auf dem Video ist jedenfalls nicht ersichtlich, dass sich einer der Betroffenen vor dem Aufnahmebereich auszog. Die Aufzeichnung, die den Zutritt und weiteren Aufenthalt der Betroffenen innerhalb der WC-Anlage darstellt, konnte offensichtlich nicht wiederhergestellt werden bzw. konnte diese Aufzeichnung von der DSB nicht wiedergegeben werden. Daher konnte nicht festgestellt werden, ob sich einer der Betroffenen vor dem Aufnahmebereich auszog, wobei die Betätigung der Spüle ein Indiz hierfür darstellen könnte.

2.9. Bei der gegenständlichen Bildverarbeitungsanlage handelte es sich um eine WiFi-Kamera, die mithilfe eines Akkus auch kabellos bzw. ohne Anschluss am Stromnetz für die Dauer von drei bis vier Stunden (Akkulaufzeit) betrieben werden konnte. In der Kamera war zudem ein Speichermedium integriert, damit die ausgelösten Aufzeichnungen gespeichert werden konnten. Nach einem Einsatz der Anlage demontierte der Beschuldigte die Kamera und sah sich die Aufzeichnungen an. Danach löschte der Beschuldigte die Aufzeichnungen und bereitete die nächste Installation an einem anderen Tag vor.

2.10. Die Aufzeichnungen der Anlage mit dem Aufnahmebereich 1 (siehe oben) bzw. die Bilddaten per se ermöglichten die Identifizierung einer natürlichen Person. Der Aufnahmebereich erfasste den gesamten Körper und somit auch das Gesicht der betroffenen Person. Bei Aufnahmebereich 2 und 3 war eine Identifizierung nur dann möglich, wenn sich die betroffene Person bückte, da das Gesicht der Person im Aufnahmebereich im Regelfall nicht ersichtlich war.

Beweiswürdigung: Die Feststellungen beruhen im Wesentlichen auf folgende Beweismittel: (1) Anlass-Bericht der LPD vom 25.11.2020 samt Lichtbildbeilage, (2) Abschluss-Bericht der LPD vom 19.01.2021, (3) Niederschrift Beschuldigteneinvernahme bei der LPD vom 07.01.2021 sowie (4) Niederschrift Beschuldigteneinvernahme bei der DSB vom 14.06.2022 (siehe Frage 2 und 3) und insbesondere die sichergestellten Videos, die der DSB übermittelt wurden.

Der Beschuldigte brachte in seiner schriftlichen Rechtfertigung vom 15.07.2021 unter anderem vor, dass keine Verarbeitung von personenbezogenen Daten vom Beschuldigten vorgenommen wurde, da sich die Informationen aus den Aufzeichnungen auf keine identifizierte oder identifizierbare Person beziehen. Dieses Vorbringen des Beschuldigten wird als eine reine Schutzbehauptung qualifiziert und kann insbesondere durch die vom Bezirksdatensicherer sichergestellten Videos widerlegt werden. Die DSB konnte nach Durchsicht der Videos, die wiedergegeben werden konnten, feststellen, dass jedenfalls die Aufzeichnungen mit dem Aufnahmebereich 1 eine Identifizierung von natürlichen Personen anhand der Bilddaten ermöglichten. Die Aufzeichnungen mussten von der DSB zwar zu einem anderen Dateiformat mit geringerer Auflösung konvertiert werden, damit diese abgespielt werden konnten, jedoch war auch mit der verringerten Auflösung weiterhin eine Identifizierung der betroffenen Person anhand der Bilddaten möglich. Auch aus der Lichtbildbeilage der LPD vom 25.11.2020 ist ersichtlich, dass der Beschuldigte im Wesentlichen drei unterschiedliche Aufnahmebereiche wählte. Beim Aufnahmebereich 2 und 3 wurde überwiegend der intime Bereich der Betroffenen erfasst. Nur bei vereinzelten Aufzeichnungen bückte sich eine Person (die für den Hygieneplan der WC-Anlangen zuständige Putzfrau), um die Toilette zu reinigen. Auf den Lichtbildern mit der Nr. 13 bis 15 ist der Aufnahmebereich 1 ersichtlich. Bereits anhand dieser Lichtbilder ist zu erkennen, dass der gesamte Körper und somit auch das Gesicht einer betroffenen Person beim Zutritt der WC-Anlage erfasst wurde. Es ist bei diesen Lichtbildern in Bezug auf die Auflösung zu berücksichtigen, dass diese mittels einem anderen Endgerät aufgenommen wurden (die Beamten der LPD haben offensichtlich keine Screenshots angefertigt, sondern den Bildschirm, wo eine Aufzeichnung der Anlage wiedergegeben wurde, fotografiert). Die Aufzeichnungen per se zeigen ein schärferes Bild.

Die restlichen getroffenen Feststellungen sind unbestritten.

2.11. Der Beschuldigte zeigte sich im Rahmen seiner Einvernahme bei der DSB am 14.06.2022 reuig und schämte sich für sein Verhalten. Der Beschuldigte räumte die Tathandlung ein. Er gab gegenüber der DSB an, dass er künftig von solchen Installationen absehen wird und dass es nach der von der Exekutive zuletzt gefundenen Installation keine weiteren mehr gab. Auch gegenüber der LPD gab der Beschuldigte an, dass er seinem technischen Interesse nur mehr auf „ legalem Wege nachgehen “ werde.

Beweiswürdigung: Die Feststellungen beruhen auf die eigenen Ausführungen des Beschuldigten im Rahmen seiner Einvernahme vom 14.06.2022 bei der DSB sowie vom 07.01.2021 bei der LPD und sind somit unbestritten.

2.12. Der Beschuldigte erzielt aus der Vermietung von XXX ein monatliches Nettoeinkommen in der Höhe von EUR 3.970,- (12x im Jahr, Jahreseinkommen netto EUR 47.640,-). Für die Instandsetzung der XXX bildete der Beschuldigte für das Jahr 2020 Rücklagen in der Höhe von insgesamt EUR 23.426,-. Der Beschuldigte brachte vor, dass er nach Abzug der Rücklagen ein monatliches Nettoeinkommen in der Höhe von EUR 2.018,- (12x im Jahr) beziehe.

2.13. Der Beschuldigte hat keine Schulden und auch keine Sorgepflichten.

2.14. Der Beschuldigte gab zu seinem Vermögen an, dass er mehrere Kraftfahrzeuge hat, darunter zwei XXX mit einem Wert von jeweils EUR 40.000. Darüber hinaus hat der Beschuldigte eine Eigentumswohnung mit einem Wert von (nach seinen eigenen Angaben) ungefähr EUR 120.000 und einen Bausparvertrag in der Höhe von EUR 7.000.

Beweiswürdigung: Die Feststellungen beruhen auf die eigenen Ausführungen des Beschuldigten im Rahmen seiner Einvernahme vom 14.06.2022 bei der DSB und der nachträglichen Übermittlung (mit E-Mail vom 15.06.2022) des aufgeschlüsselten monatlichen Einkommens. Die getroffenen Feststellungen sind somit unbestritten.

3. Rechtlich folgt daraus:

3.1. Zum Anwendungsbereich der DSGVO und Zuständigkeit der DSB

3.1.1. Sowohl der sachliche als auch der räumliche Anwendungsbereich der DSGVO im Sinne von Art. 2 und 3 DSGVO gelangen im gegenständlichen Fall zur Anwendung. Der Beschuldigte brachte in diesem Zusammenhang vor, dass der sachliche Anwendungsbereich nicht gegeben sei, weil die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO einschlägig sei. Der Beschuldigte hätte die Aufzeichnung nur für persönliche Interessen aufgenommen und angesehen und danach gelöscht („ persönlichen Gebrauch des Beschuldigten “). Eine Offenlegung gegenüber Dritten hätte nicht stattgefunden (siehe schriftliche Rechtfertigung vom 15.07.2021).

3.1.2. Die Ansicht des Beschuldigten in Bezug auf die Haushaltsausnahme wird von der DSB nicht vertreten. Der Beschuldigte montierte und betrieb die Anlage innerhalb einer öffentlichen WC-Anlage, die von mehreren Betroffenen sowohl für die Verrichtung ihrer Notdurft als auch für das Wechseln der Kleidung verwendet wurde. Der Aufnahmebereich der Anlage erfasste somit öffentlichen Raum und zeichnete die Betroffenen während eines sehr intimen Momentes auf.

3.1.3. Der Europäische Gerichtshof (im Folgenden „EuGH“) hielt in diesem Zusammenhang bereits fest, dass der Betrieb eines von einer natürlichen Person an ihrem Einfamilienhaus zum Schutz von Eigentum, Gesundheit und Leben der Besitzer des Hauses angebrachten Videoüberwachungsanlage, das Videos von Personen auf einer Speichervorrichtung wie einer Festplatte aufzeichnet und dabei auch den öffentlichen Raum überwacht , keine Datenverarbeitung darstellt, die im Sinne der Bestimmung nach Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46/EG zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird (vgl. EuGH 11.12.2014, C-212/13, Rn 33 ff). Die Rechtsprechung zu dieser Richtlinien-Bestimmung kann inhaltsgleich auf die Bestimmung nach Art. 2 Abs. 2 lit. c DSGVO angewendet werden, da diese Bestimmung im Rahmen der DSGVO übernommen wurde. Im vorliegenden Fall ist es daher aufgrund des konkreten Aufnahmebereichs (öffentlicher Raum) ausgeschlossen, dass der Ausnahmetatbestand der Haushaltsausnahme zur Anwendung gelangt .

3.1.4. Art. 83 Abs. 5 lit. a DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Art. 5, 6, 7 und 9 DSGVO Geldbußen von bis zu 20 000 000 Euro oder im Fall eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je nachdem, welcher der Beträge höher ist. Nach § 22 Abs. 5 DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der DSB.

3.1.5. Im Ergebnis gelangt somit die DSGVO für den konkreten Fall zur Anwendung und die DSB ist sowohl sachlich als auch örtlich für das gegenständliche Verwaltungsstrafverfahren zuständig.

3.2. Zum unrechtmäßigen Betrieb der Bildverarbeitungsanlage (Spruchpunkt I.)

3.2.1. Nach der Begriffsbestimmung gemäß Art. 4 Z 1 DSGVO sind personenbezogen Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

3.2.2. Nach der Rechtsprechung des VwGH zu § 4 Z 1 DSG 2000 sind Bilddaten wie etwa Videoaufnahmen grundsätzlich vom Begriff der personenbezogenen Daten umfasst, da eine Bestimmbarkeit im Regelfall gegeben ist. Keine Bestimmbarkeit und somit keine personenbezogenen Daten liegen nur dann vor, wenn die technische Auflösung des Bildes eine Identifizierung nicht zulässt (vgl. VwGH 12.09.2016, Ro 2015/04/0011). Auch der EuGH hat sich bereits zum Personenbezug bei Bilddaten geäußert und zur Definition nach Art. 2 lit. a der Richtlinie 95/46/EG festgehalten, dass das von einer Kamera aufgezeichnete Bild einer Person unter den Begriff personenbezogene Daten fällt, sofern es die Identifikation der betroffenen Person ermöglicht (vgl. EuGH 11.12.2014, C-212/13, Rn 22).

3.2.3. Die DSB hat im vorliegenden Fall im Rahmen des Ermittlungsverfahrens bzw. nach Durchsicht der sichergestellten Videos festgestellt, dass die Bilddaten vom Aufnahmebereich 1 jedenfalls eine Identifizierung der Betroffenen ermöglichten. Somit handelt es sich bei den Bilddaten im Rahmen der Aufzeichnungen der Anlage im Sinne der obigen Ausführungen um personenbezogene Daten gemäß Art. 4 Z 1 DSGVO.

3.2.4. Die DSGVO definiert den Begriff Verarbeitung in Art. 4 Z 2 DSGVO durch die Aufzählung einer Reihe von möglichen Nutzungsvorgängen. Mitumfasst sind dabei das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

3.2.5. Die im vorliegenden Fall erfolgten Aufzeichnungen durch die Bildverarbeitungsanlage, die im Tatzeitraum durch Bewegungsmelder ausgelöst wurden, stellen demnach jedenfalls eine Verarbeitung personenbezogener Daten im Sinne des Art 4 Z 2 DSGVO dar.

3.2.6. Der Beschuldigte ist für die konkrete Datenverarbeitung auch als Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO zu qualifizieren, da er alleine die Entscheidung getroffen hat, die Anlage innerhalb der WC-Anlagen am Tatort zu montieren und betreiben. Ein dahingehendes Vorbringen des Beschuldigten, wonach er kein Verantwortlicher wäre, wurde im gesamten Verfahren nicht vorgebracht. Der Beschuldigte räumte viel mehr ein, dass er die Anlage aus einem „ gewissen Reiz des Unerlaubten “ innerhalb der WC-Anlagen montierte und in Betrieb nahm.

3.3. Zur Beurteilung der gegenständlichen Verarbeitung im Lichte der Grundsätze nach Art. 5 DSGVO

3.3.1. Für die Beurteilung der gegenständlichen Verarbeitung kann zunächst grundlegend festgehalten werden, dass Art. 5 DSGVO die Grundsätze für die Verarbeitung personenbezogener Daten festlegt. Der Grundsatz nach Art. 5 Abs. 1 lit. a DSGVO normiert in diesem Zusammenhang, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffenen nachvollziehbaren Weise verarbeitet werden müssen („ Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz “). Die Anforderungen für eine rechtmäßige Verarbeitung (nicht sensibler Daten) sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung - kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr , Datenschutz-Grundverordnung, Kommentar², Art 5 Rz 8f).

3.3.2. Der Grundsatz nach Art. 5 Abs. 1 lit. b DSGVO normiert, dass die verarbeiteten Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen („ Zweckbindung “). Darüber hinaus normiert der Grundsatz nach Art. 5 Abs. 1 lit. c DSGVO , dass die jeweilige Verarbeitung dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss („ Datenminimierung “). Der Beschuldigte hat im konkreten Fall gegen alle obengenannten Grundsätze im Zuge der Datenverarbeitung verstoßen .

3.3.3. Der Beschuldigte führte in Bezug auf die Rechtmäßigkeit der Verarbeitung lediglich ins Treffen, dass er damit ein „ technisches Interesse “ verfolgte ( Art. 6 Abs. 1 lit. f DSGVO ). Darüber hinaus führte der Beschuldigte keine weiteren Rechtfertigungsgrundlagen für die Verarbeitung ins Treffen.

3.3.4. Eine Verarbeitung aufgrund einer Einwilligung der Betroffenen (Art. 6 Abs. 1 lit. a DSGVO) kommt schon deshalb nicht in Betracht, weil die Verarbeitung, wie festgestellt, heimlich bzw. ohne Information an die Betroffenen erfolgte. Somit konnten die Betroffenen auch denklogisch keine Einwilligung zu der Datenverarbeitung erteilen. Es ist auch nicht davon auszugehen, dass die Betroffenen je einer solchen Verarbeitung zugestimmt hätten, betrifft die Verarbeitung doch einen der intimsten Momente einer Person.

3.3.5. Im vorliegenden Fall kommt nach einer amtswegigen Prüfung lediglich, wie auch schon vom Beschuldigten vorgebracht, der Rechtfertigungstatbestand nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Daher war das Vorliegen berechtigter Interessen des Beschuldigten bzw. von Dritten im Sinne von Art. 6 Abs. 1 lit. f DSGVO zu prüfen.

3.3.6. Zur Rechtmäßigkeit von Verarbeitungsvorgängen im Hinblick auf Art. 6 Abs. 1 lit. f DSGVO führt Erwägungsgrund 47 der DSGVO unter anderem erläuternd aus, dass diese durch die berechtigten Interessen eines Verantwortlichen begründet sein kann, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen ; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Auf jeden Fall ist das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, werden die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen .

3.3.7. Art. 6 Abs. 1 lit. f der DSGVO gestattet die Verarbeitung demnach unter drei kumulativen Voraussetzungen: (i) Wahrnehmung eines berechtigten Interesses; (ii) Erforderlichkeit der Verarbeitung und (iii) kein Überwiegen der Rechte und Freiheiten anderer (vgl. Urteil des EuGH vom 11.12.2019, Rs C-708/18, Rz 36 mwN).

3.3.8. Im konkreten Fall ist schon in Bezug auf die erste Voraussetzung (Wahrnehmung eines berechtigten Interesses) fraglich, ob das vom Beschuldigten ins Treffen geführte „ technische Interesse “ überhaupt ein berechtigtes Interesse darstellen kann. Selbst wenn man im Hinblick auf Art. 6 Abs. 1 lit. f DSGVO annehmen würde, dass der Beschuldigte im Tatzeitraum ein berechtigtes Interesse hatte, ist für den Beschuldigten dennoch nichts gewonnen, da die Verarbeitung im Sinne der obigen Ausführungen jedenfalls nicht erforderlich (nicht das gelindeste Mittel) war und die Rechte und Freiheiten der Betroffenen das technische Interesse des Beschuldigten bei weitem überwiegen .

3.3.9. Die technischen Interessen hätte der Beschuldigte jedenfalls auf einer anderen Weise gewährleisten können, ohne dabei derart gravierend in das Recht auf Geheimhaltung der Betroffenen einzugreifen. Ein wiederholtes Aufzeichnen von zahlreichen Betroffenen innerhalb einer öffentlichen WC-Anlage zur Gewährleistung von technischen Interessen an einer Bildverarbeitungsanlage stellt jedenfalls einen Verstoß gegen den Datenminimierungsgrundsatz nach Art. 5 Abs. 1 lit. c DSGVO dar. Die gegenständliche Verarbeitung war nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt und ist für die DSB in keinster Weise nachvollziehbar. Die Erforderlichkeit der Verarbeitung im konkreten Fall kann daher unter keinen Umständen angenommen werden.

3.3.10. Demnach bedarf es keiner Interessenabwägung, da schon aufgrund mangelnder Erforderlichkeit eine Verarbeitung gemäß Art. 6 Abs. 1 lit. f DSGVO nicht in Betracht gezogen werden kann. Es wird an dieser Stelle jedoch (ohne im Detail darauf einzugehen) festgehalten, dass man auch nach Durchführung einer Interessenabwägung im konkreten Fall nur zum Ergebnis kommen kann, dass die Geheimhaltungsinteressen der Betroffenen das technische Interesse des Beschuldigten bei weitem überwiegen . Darüber hinaus war die Anlage nicht gekennzeichnet bzw. wurde sie heimlich betrieben und die Betroffenen mussten daher nicht mit einer Verarbeitung ihrer personenbezogenen Daten in dieser Form rechnen .

3.3.11. Außerdem missachtete der Beschuldigte auch den Grundsatz der Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO . Der Grundsatz der Zweckbindung ist grundrechtlich geboten. Art. 8 Abs. 2 S. 1 EU-GRC gewährleistet den betroffenen Personen, dass ihre personenbezogenen Daten nur „ für festgelegte Zwecke […] oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden “ dürfen. Ein im vornhinein (vor Beginn der Datenverarbeitung) eindeutig festgelegter Zweck muss daher auch legitim sein. Der Zweck ist dann legitim, wenn die betroffene Person ihn durch ihre informierte und freie Einwilligung nach Art. 7 DSGVO gebilligt hat oder, wenn er – auch gegen den Willen der betroffenen Personen – durch Gesetz gebilligt worden ist (vgl. Roßnagel in Simitis/Hornung/Spicker, Datenschutzrecht, Kommentar, Artikel 5 Rz 63 f).

3.3.12. Die DSB stellte in einem ähnlich gelagerten Fall fest, dass das heimliche Anfertigen von Bildaufnahmen in der Damenumkleidekabine nicht für legitime Zwecke im Sinne des Art. 5 Abs. 1 lit. b DSGVO erfolgte (vgl. DSB 11.07.2019, D550.185/0002-DSB/2019). Das BVwG hielt in Bezug auf eine Videoüberwachung vor einem Glücksspiellokal zum Zwecke der Identifizierung und Kategorisierung von Personen als „Finanzpolizei“ und „Spieler“ fest, dass darin kein legitimer Zweck erkannt werden kann (vgl. BVwG 02.06.2021, W211 2232587-1).

3.3.13. Gemessen daran kann man auch im konkreten Fall zu keinem anderen Ergebnis gelangen. Der vom Beschuldigten ins Treffen geführte Zweck ist weder gesetzlich vorgesehen oder gedeckt , noch haben die Betroffenen in die Verarbeitung eingewilligt. Die heimliche/geheime Anfertigung von Aufzeichnungen zahlreicher Betroffener während eines sehr intimen Momentes, um technische Interessen in Bezug auf die Bildverarbeitungsanlage zu gewährleisten, kann nach Ansicht der DSB unter keinen Umständen einen legitimen Zweck im Sinne des Art. 5 Abs. 1 lit. b DSGVO darstellen . Darüber war sich der Beschuldigte zur Tatzeit offenkundig auch bewusst, da er, wie festgestellt, gegenüber der LPD während seiner Einvernahme angab, dass er die Entscheidung, die Kamera innerhalb öffentlicher Toilettenkabinen zu testen, traf, weil er einen „ gewissen Reiz des Unerlaubten “ verspürte.

3.3.14. Im Ergebnis ist die Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO für die konkrete Verarbeitung nicht einschlägig . Eine sonstige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO kommt nach einer amtswegigen Prüfung ebenfalls nicht in Betracht . Die Verarbeitung der personenbezogenen Bilddaten erfolgte somit unrechtmäßig und in Missachtung der Grundsätze der Datenminimierung und Zweckbindung.

3.4. Zur mangelnden Kennzeichnung der Bildverarbeitungsanlage (Spruchpunkt II)

3.4.1. Der Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO wird durch Art. 12, 13 und 14 DSGVO konkretisiert (siehe auch ErwGr 39 und 58 DSGVO). Demnach muss für betroffene Personen in Bezug auf eine Bildverarbeitungsanlage erkennbar sein, dass ihre personenbezogenen Daten verarbeitet werden, welche Daten konkret verarbeitet werden und für welche Zwecke sie verarbeitet werden. Auch die Identität des Verantwortlichen muss den Betroffenen bekanntgegeben werden, damit sie wissen, durch wen/wem ihre Daten verarbeitet werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht liegt insbesondere in ihrer Funktion als notwendige Voraussetzung für die Ausübung der Betroffenenrechte: Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt, und/oder nicht bekannt, wer diese durchführt, kann er seine diesbezüglichen Rechte nach Art 15-21 DSGVO nicht geltend machen“ (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim , DatKomm Art 5 DSGVO, Rz 18f).

3.4.2. Auf Grund der Informationsmenge, die einem/einer Betroffenen zukommen soll, kann von einem/einer Verantwortlichen ein "geschichteter Zugang" und eine Kombination aus Mitteln gewählt werden, um dem Transparenzgebot zu entsprechen. Im Rahmen einer Videoüberwachung sollte die wichtigste Information in einem Warnhinweis dargestellt werden, während die notwendigen weiteren Informationen mit anderen Mitteln zur Verfügung gestellt werden können (als zweite Schicht) (vgl. Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, 29.01.2020, S. 28ff, online abrufbar unter: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_de – im Folgenden „Leitlinien“). Die Betroffenen müssen jedenfalls aufgrund der Kennzeichnung rechtzeitig erkennen können, dass sie sich in einen Aufnahmebereich einer Bildverarbeitungsanlage begeben.

3.4.3. Im konkreten Fall hat der Beschuldigte, wie festgestellt, gar keine Kennzeichnung am Tatort in Bezug auf die Bildverarbeitungsanlage angebracht. Dies tat der Beschuldigte auch bewusst, da er die Betroffenen heimlich aufzeichnen wollte . Somit hat der Beschuldigte gegen das Transparenzgebot nach Art. 5 Abs. 1 lit. a DSGVO sowie seine Informationspflicht nach Art. 12 und 13 DSGVO verstoßen, indem er die Betroffenen bei der Erhebung ihrer personenbezogenen Daten nicht im Sinne des Art. 13 DSGVO über die konkrete Datenverarbeitung informierte. Mangels Kennzeichnung bzw. Hinweisschilder mussten die Betroffenen daher nicht damit rechnen, dass sie während eines sehr intimen Momentes sich im Aufnahmebereich der gegenständlichen Anlage befinden und aufgezeichnet werden. Daher konnten sie auch nicht ihre Rechte nach Art 15-21 DSGVO gegenüber dem Beschuldigten geltend machen.

3.4.4. Vor dem Hintergrund des als erwiesen angenommenen Sachverhalts hat der Beschuldigte in seiner Rolle als Verantwortlicher somit unrechtmäßig personenbezogene Daten verarbeitet und gegen seine Informationspflicht verstoßen. Damit ist die objektive Tatseite beider Spruchpunkte erfüllt.

3.5. Zur subjektiven Tatseite

3.5.1. Zur subjektiven Tatseite ist festzuhalten, dass der Beschuldigte die gegenständliche Bildverarbeitungsanlage innerhalb einer öffentlichen WC-Anlage bewusst montierte und in Betrieb nahm, um seinen technischen Interessen nachzukommen. Der Beschuldigte hat sich auch bewusst dazu entschieden, keine Kennzeichnung am Tatort in Bezug auf die Bildbearbeitungsanlage anzubringen bzw. die Betroffenen nicht über die konkrete Datenverarbeitung zu informieren, da er die Anlage heimlich (mittels einer Abdeckung versteckt) betreiben wollte. Der Beschuldigte brachte im gesamten Verfahren auch nichts Gegenteiliges vor, sondern räumte die Tat sowie die bewusste Entscheidung, die Bildbearbeitungsanlage versteckt in einer WC-Anlage zu installieren, ein.

3.5.2. Die DSB geht daher im Ergebnis sowohl in Bezug auf Spruchpunkt I. und II. davon aus, dass der Beschuldigte vorsätzlich gehandelt hat. Es ergaben sich im Laufe des gesamten Verfahrens keine Hinweise darauf, dass dem Beschuldigten an der Verletzung der gegenständlichen Bestimmungen kein Verschulden trifft. Das Vorbringen des Beschuldigten im Rahmen seiner Einvernahme bei der DSB, wonach er die Aufzeichnungen ausschließlich für eigene Zwecke verwendet hat und nicht für die Schädigung oder Erpressung einer Person oder für wirtschaftliche Interessen verwendete, vermag daran nichts zu ändern.

3.5.3. Es liegt somit auf der subjektiven Tatseite Verschulden in Form von Vorsatz im Sinne des Art. 83 Abs. 2 lit. b DSGVO vor.

4. Zur Strafzumessung ist Folgendes festzuhalten:

4.1. Gemäß Art. 83 Abs. 1 DSGVO hat die DSB sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist . Näherhin bestimmt Abs. 2, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall Folgendes gebührend zu berücksichtigen ist:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i) Einhaltung der nach Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

j) […]

k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

4.2. Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung , die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106).

4.3. Gemäß § 19 Abs. 1 VStG sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat . Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen . Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen; dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Art. 83 Abs. 8 DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird.

4.4. Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen .

4.5. Durch Art. 83 Abs. 3 DSGVO wird in Abweichung zu dem mit § 22 Abs. 2 VStG normierten Kumulationsprinzip angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. Somit gilt im Anwendungsbereich der DSGVO – wie im vorliegenden Fall zur Anwendung gebracht – das Absorptionsprinzip des Art. 83 Abs. 3 DSGVO.

4.6. Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 5 DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000,-.

4.7. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt:

 Art, Dauer und Schwere des Verstoßes: Der Beschuldigte hat durch die gegenständliche Verarbeitung in das Grundrecht auf Geheimhaltung von zahlreichen Betroffenen unrechtmäßig eingegriffen. Der Beschuldigte setzte die gegenständliche Bildverarbeitungsanlage insgesamt drei Mal (jeweils für die Dauer von mehreren Stunden über den jeweiligen Tag der Installation verteilt) in einem Zeitraum von zwei Monaten ein. Dabei wurde die Intensität des Eingriffs als besonders erschwerend berücksichtigt, da der Beschuldigte einen äußerst gravierenden Eingriff in die Grundrechte der Betroffenen vornahm. Die öffentlichen WC-Anlagen am Tatort wurden und werden von Betroffenen genutzt, um ihre Notdurft zu verrichten und/oder ihre Kleidung zu wechseln. Die Betroffenen mussten jedenfalls nicht damit rechnen, dass sie während eines sehr intimen Momentes heimlich von einer Bildbearbeitungsanlage erfasst und aufgezeichnet werden und dass die Aufzeichnungen in Folge vom Beschuldigten eingesehen werden. Die Betroffenen wurden dadurch schwer in ihrem Recht auf Geheimhaltung nach § 1 Abs. 1 DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC verletzt. (Art. 83 Abs. 2 lit. a und k DSGVO).

 Kategorien personenbezogener Daten, die vom Verstoß betroffen sind: Im Konkreten Fall waren zwar keine sensiblen Daten per se im Sinne von Art. 9 Abs. 1 DSGVO, jedoch besonders intime Bilddaten von Betroffenen vom Verstoß betroffen (Art. 83 Abs. 2 lit. g DSGVO).

 Der Verstoß wurde vom Beschuldigten vorsätzlich begangen. Als besonders Erschwerend wurde der Umstand gewertet, dass der Beschuldige wissentlich und willentlich mehrmals die Entscheidung getroffen hat, seinem technischen Interesse durch die Anbringung der Kamera in einer öffentlichen WC-Anlage nachzukommen, weil es einen „ gewissen Reiz des Unerlaubten “ hatte (Art. 83 Abs. 2 lit. b DSGVO).

4.8. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt:

 Gegen den Beschuldigten lagen bis dato bei der DSB keine einschlägigen Vorstrafen aufgrund von Verstößen gegen die DSGVO oder des DSG vor.

 Mitwirkung im Verwaltungsstrafverfahren: Der Beschuldigte hat auf die Aufforderungen der DSB im Verwaltungsstrafverfahren fristgerecht reagiert und kam der Ladung zur Einvernahme per Videokonferenz nach. Dadurch hat er im Ermittlungsverfahren der DSB mitgewirkt und einen Beitrag zur Wahrheitsfindung geleistet. Dies wurde als strafmildernd berücksichtigt.

 Der Beschuldigte räumte gegenüber der DSB die heimliche Aufzeichnung innerhalb der WC-Anlagen ein (Geständnis) und gab zudem mehrmals an, dass er es künftig unterlassen wird, eine derartige Verarbeitung vorzunehmen („ es war ein einmaliger Blödsinn “). Bei seiner Einvernahme am 14.06.2022 zeigte sich der Beschuldigte reuig und erweckte den Eindruck, dass er seine Taten bereut und mit diesem Kapitel abschließen möchte. Diese Umstände wurden ebenfalls als strafmildernd berücksichtigt.

4.9. Das Vorbringen des Beschuldigten, wonach es keine geschädigten Personen gab und dies ebenfalls als strafmildernd zu berücksichtigen sei, kann von der DSB nicht nachvollzogen werden. Der Eingriff des Beschuldigten in das Grundrecht auf Geheimhaltung der Betroffenen wurde von der DSB, wie oben ausgeführt, als gravierend bewertet und die Geheimhaltungsinteressen der Betroffene wurden vom Beschuldigten schwer verletzt. Außerdem kommt ein mangelnder Schaden nach der Rechtsprechung des VwGH bei einem Ungehorsamsdelikt im Sinne des § 5 Abs. 1 zweiter Satz VStG nicht als Milderungsgrund in Betracht (vgl. VwGH 31.03.2000, 99/02/0352; 16.12.1998, 98/03/0222). Aus dem Vorbringen, wonach der Beschuldigte die Aufzeichnungen nur persönlichen einsah und diese nicht für Schädigung oder Erpressung einer Person oder für wirtschaftliche Interessen verwendete, kann für den Beschuldigten daher nach Ansicht der DSB ebenfalls keine Strafmilderung gewonnen werden.

4.10. In Bezug auf das Einkommen des Beschuldigten ging die DSB von einem monatlichen Nettoeinkommen in der Höhe von EUR 3.979,- (12x im Jahr) aus. Die Ansicht des Beschuldigten, wonach bei der Festlegung seines Einkommens die von ihm für die Instandhaltung der XXX zu bildenden Rücklagen abzuziehen seien und somit ein monatliches Nettoeinkommen in der Höhe von EUR 2.018 (12x im Jahr) als Grundlage für die Berechnung der Geldstrafe heranzuziehen sei, wird von der DSB nicht vertreten.

4.11. In diesem Zusammenhang ist eingangs darauf hinzuweisen, dass nach der Rechtsprechung des VwGH der im § 19 Abs. 2 VStG verwendete Begriff des Einkommens nicht mit dem Begriff des steuerpflichtigen Einkommens nach dem des Einkommenssteuergesetzes (EStG 1988) ident ist (vgl. VwGH 21.02.1989, 88/05/0222). Verbindlichkeiten wie beispielsweise Leasing-Raten für ein Kraftfahrzeug (vgl. OLG Wien 28.06.1988, 23 Bs 287/88) oder die Kreditraten für eine Eigentumswohnung (vgl. Wessely in Rauscher/Wessely , VStG 2 § 19, Rz 21c mit Verweis auf OGH ZVR 1989/164) haben daher außer Betracht zu bleiben. Nichts Anderes kann für die vom Beschuldigten ins Treffen geführten Rücklagen für die Instandsetzungsarbeiten in Bezug auf seine vermieteten XXX gelten. An dieser Stelle kann vollständigkeitshalber auch auf die ständige Rechtsprechung des VwGH zur Verhängung von Geldstrafen verwiesen werden, wonach auch über Personen, die kein oder nur ein geringes Einkommen beziehen, Geldstrafen verhängt werden können. Die Geldstrafe ist insofern auch dann zulässig, wenn die Vermögens- und Einkommensverhältnisse des Bestraften es wahrscheinlich erscheinen lassen, dass er nicht in der Lage sein wird, sie zu bezahlen (vgl. VwGH 30.1.2014, 2013/03/0129 ). Ferner bedeutet das Vorliegen ungünstiger Einkommens- und Vermögensverhältnisse nicht, dass ein Anspruch auf Verhängung der Mindeststrafe besteht (vgl. VwGH 1.10.2014, Ra 2014/09/0022 mit Hinweis auf VwGH 16.9.2009, 2009/09/0150 ).

4.12. Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Die Aufsichtsbehörden müssen zudem nach Art. 83 Abs. 1 DSGVO sicherstellen, dass die Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sind.

4.13. Eines der wesentlichen Ziele der DSGVO ist gemäß Art. 1 Abs. 2 DSGVO der Schutz von Grundrechten und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten nach Art. 8 EU-GRC. Der Beschuldigte hat die Grundrechte der Betroffenen, wie oben ausgeführt, schwer verletzt. Die Verhängung der konkreten Geldstrafe ist daher jedenfalls im generalpräventiven Sinne erforderlich , um Verantwortliche, die eine Bildverarbeitungsanlage betreiben, in diesem Zusammenhang zu sensibilisieren, insbesondere dahingehend, dass eine derartige Verarbeitung zum Zwecke der Gewährleistung von technischen Interessen keine Deckung in der Rechtfertigungsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO findet.

4.14. Die DSB geht davon aus, dass der Beschuldigte es künftig unterlassen wird, derartige Aufzeichnungen vorzunehmen. Der Beschuldigte gab gegenüber der DSB jedenfalls mehrmals an, dass er künftig von solchen Aufzeichnungen Abstand nehmen wird. Daher liegen nach Ansicht der DSB keine spezialpräventiven Gründe vor.

4.15. Die konkret verhängte Geldstrafe in Höhe von EUR 25.000,- erscheint daher im Lichte der oben angeführten Strafbemessungsgründe, vor allem dem großen Unrechtsgehalt der Tat, aus generalpräventiven Gründen und dem groben Verschulden des Beschuldigten sowie unter Berücksichtigung der Einkommens- und Vermögensverhältnisse des Beschuldigten und des zur Verfügung stehenden Strafrahmens des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) im Ergebnis tat- und schuldangemessen .