2024-0.195.679 – Datenschutzbehörde Entscheidung

GZ: 2024-0.195.679 vom 11. Februar 2025 (Verfahrenszahl: DSB-D213.2544)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet im Rahmen der Datenschutzüberprüfung gemäß Art. 58 Abs. 1 lit. b DSGVO gegen Dieter A*** (Verantwortlicher der Website https://www.a***-photo.com/****/f***/), I***straße **3, **** P***, wie folgt:

1. Der Verantwortliche verstößt dadurch gegen die DSGVO , indem er Fotos von Kindern und religiösen Weltanschauungen iSd. Art. 9 Abs. 1 DSGVO angefertigt und auf seiner Webseite https://www.a***-photo.com/****/f***/ veröffentlicht hat. Dem Verantwortlichen wird gemäß Art. 58 Abs. 2 lit. g DSGVO aufgetragen, die Fotos gemäß den Punkten C.2. und C.3. der Sachverhaltsfeststellungen dieses Bescheides innerhalb einer Frist von zwei Wochen bei sonstiger Exekution zu löschen.

2. Der Verantwortliche verstößt dadurch gegen die DSGVO , indem er ein Foto, welches derart von oben fotografiert ist, sodass ein großer Teil des Ausschnitts bzw. ein Teil der Brust der betroffenen Frauen sowie der Ansatz ihres BHs ersichtlich sind, angefertigt und auf seiner Webseite https://www.a***-photo.com/****/f***/ veröffentlicht hat. Dem Verantwortlichen wird gemäß Art. 58 Abs. 2 lit. g DSGVO aufgetragen, das Foto „P*** 2017“ (C.4. der Sachverhaltsfeststellungen) innerhalb einer Frist von zwei Wochen bei sonstiger Exekution zu löschen.

3. Der Verantwortliche verstößt dadurch gegen die DSGVO , indem er ein Foto, welches Personen während der Einnahme ihres Essens zeigt, angefertigt und auf seiner Webseite https://www.a***-photo.com/****/f***/ veröffentlicht hat. Dem Verantwortlichen wird gemäß Art. 58 Abs. 2 lit. g DSGVO aufgetragen, das unter C.5 näher dargestellte Foto innerhalb einer Frist von zwei Wochen bei sonstiger Exekution zu löschen.

Rechtsgrundlagen : Art. 8 und Art. 13 der Charta der Grundrechte der EU (EU-GRC), ABl. Nr. C 202 vom 7.6.2016 S. 389; Art. 4, Art. 5 Abs. 1 lit. a und c, Art. 6 Abs. 1 lit. a und lit. f, Art. 7, Art. 8, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. a und lit. h, Art. 58 Abs. 1, Abs. 2 lit. d und lit. g, Art. 77 Abs. 1 sowie Art. 85 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 9 Abs. 2, 18 Abs. 1 des Datenschutzgesetzes – DSG, BGBl. I Nr. 165/1999 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Der Datenschutzbehörde wurde aufgrund einer anonymen Anzeige zur Kenntnis gebracht, dass auf der verfahrensgegenständlichen und vom Verantwortlichen betriebenen Webseite https://www.a***-photo.com/****/f***/color/page/3 Bilder von Personen online hochgeladen worden seien. Es wurde behauptet, dass dies ohne die Einwilligung der Betroffenen geschehen sei. Die Datenschutzbehörde hat daraufhin mit erstmaligem Schreiben vom 20. Dezember 2023 ein amtswegiges Prüfverfahren gemäß Art. 58 Abs. 1 lit. b DSGVO hinsichtlich des Reiters „F***“ eingeleitet.

2. Mit Eingabe vom 8. März 2024 brachte der rechtsfreundlich vertretene Verantwortliche der verfahrensgegenständlichen Webseite zusammengefasst vor, dass er keine Einwilligung von den identifizierbaren Personen auf dem gegenständlichen Foto (Seite 5 unter F*** G*** 2015) eingeholt habe. Der Verantwortliche übe überwiegend das Genre der Straßenfotografie aus und verfolge künstlerische Zwecke. Eine Einwilligung zur Herstellung und Verbreitung der Fotos sei grundsätzlich aber nicht erforderlich, weil es das Genre der Straßenfotografie verunmöglichen würde. Die datenschutzrechtliche Einwilligung als Grundlage der Kunstfotografie sei ungeeignet, weil eine solche von der betroffenen Person ja jederzeit widerrufen werden könne.

Auf die Frage der Datenschutzbehörde, wie die Einhaltung der Modalitäten für die Betroffenenrechten, insbesondere Art. 15 DSGVO (Recht auf Auskunft), Art. 17 DSGVO (Recht auf Löschung) und Art. 21 DSGVO (Recht auf Widerspruch), gemäß Art. 12 ff DSGVO gewährleistet wird, antwortete der Verantwortliche, dass er über die Betroffenenrechte nach Möglichkeit nach Herstellung des Fotos informiere.

Auf die Frage der Datenschutzbehörde hinsichtlich der Rechtsgrundlage, berief sich der Verantwortliche auf eine fallbezogene Abwägung auf Basis von § 9 Abs. 2 DSG.

3. Mit Erledigung vom 11. März 2024 forderte die Datenschutzbehörde den Verantwortlichen erneut auf, bekannt zu geben, ob die Betroffenen (insbesondere die Erziehungsberechtigten der Kinder) (im Nachhinein) iSd Art. 13 und 14 DSGVO informiert worden seien, (insbesondere) darüber, dass die Fotos auf der gegenständlichen Webseite veröffentlicht würden.

4. Mit Eingabe vom 25. März 2024 brachte der Verantwortliche vor, dass die bisher von ihm abgebildeten Personen über die mögliche Verbreitung und die Art der möglichen Verbreitung der von ihm im öffentlichen Raum hergestellten Fotos mündlich in Kenntnis gesetzt worden seien, wenn sich die Gelegenheit dazu ergeben habe. Die nur gelegentliche Informationserteilung habe zum einen mit der durchaus flüchtigen Ausnahmesituation (Passanten kommen und gehen) und zum anderen mit der Tätigkeit des Verantwortlichen im fremdsprachigen Ausland zu tun. Hinkünftig werde der Verantwortliche durch die Überlassung seiner Visitenkarte mit Website-Info an die von ihm fotografierten Personen oder deren mutmaßlichen Erziehungsberechtigten ihnen die Möglichkeit einräumen, auf die Datenschutzinformationen seiner Website zuzugreifen.

B. Verfahrensgegenstand

Verfahrensgegenstand ist die Frage, ob die Verarbeitung personenbezogener Daten in Form von Bildaufnahmen auf der Webseite https://www.a***-photo.com unter dem Link „F***“, rechtmäßig erfolgt.

C. Sachverhaltsfeststellungen

1. Dieter A*** betreibt als Verantwortlicher die Webseite https://www.a***-photo.com, auf welcher er (verfahrensgegenständlich) insbesondere Fotos von Personen, welche er im öffentlichen Raum fotografiert hat, unter „F***“ (https://www.a***-photo.com/****/f***/) veröffentlicht. Die gegenständliche Webseite ist für jeden zugänglich.

Der Verantwortliche hat die abgelichteten Personen gelegentlich informiert und gelegentlich eine (mündliche) Einwilligung eingeholt. Bis zum 25. März 2024 hat der Verantwortliche nicht seine Visitenkarte mit Website-Info an die fotografierten Personen oder deren mutmaßliche Erziehungsberechtigten übergeben.

Beweiswürdigung : Die getroffenen Feststellungen beruhen auf dem Vorbringen des Verantwortlichen im gegenständlichen Verfahren sowie den amtswegigen Recherchen der Datenschutzbehörde (https://www.a***-photo.com/****/f***/, zuletzt abgerufen 11. Februar 2025). Die Feststellung, dass der Verantwortliche bis zum 25. März 2024 nicht seine Visitenkarte mit den Webseiteninformationen übergeben hat, ergibt sich insbesondere aus der Stellungnahme vom 25. März 2024, in welcher er vorbrachte, dass er „hinkünftig“, also nur in Zukunft, seine Visitenkarte und Webseiteninfo überlassen werde sowie dass er (in der Vergangenheit) nur gelegentlich „mündlich“ informiert habe.

2. Kinder: Auf der Webseite werden Kinder abgebildet, welche vom Verantwortlichen vor dem 25. März 2024 fotografiert wurden.

2.a. P*** 2 2019: Auf diesem Foto geht unzweifelhaft auch die (jüdische) Religionszugehörigkeit der beiden dargestellten Personen und insbesondere des dargestellten Kindes, z.B. aufgrund der Frisur und der Kippa (jüdische Kopfbedeckung), hervor.

[Anmerkung Bearbeiter/in: Die hier und in weiterer Folge wiedergegebenen fünf digitalen Lichtbilder können nicht sinnvoll pseudonymisiert werden und wurden daher aus Gründen des Datenschutzes und des Urheberrechts entfernt.]

2.b. P*** 2018

[Anmerkung: wie zuletzt]

2.c. F***portrait – U*** 2018 - K***

[Anmerkung: wie zuletzt]

2.d. P*** 2018

[Anmerkung: wie zuletzt]

2.e. F***portrait - U*** 2018- K***

[Anmerkung: wie zuletzt]

Beweiswürdigung : Die getroffenen Feststellungen zu C.2. beruhen auf dem Vorbringen des Verantwortlichen im gegenständlichen Verfahren sowie den amtswegigen Recherchen der Datenschutzbehörde (https://www.a***-photo.com/****/f***/, zuletzt abgerufen 11. Februar 2025)

3. Kinder (siehe unten): Der Verantwortliche hat keine Einwilligung von den Kindern bzw. deren Erziehungsberechtigten für das folgende Foto eingeholt, auf welchem sich Kinder befinden. Das Foto hat sich zumindest bis 11. März 2024 auf Seite 5 der verfahrensgegenständlichen Webseite unter „F***“ befunden und ist mittlerweile auf Seite 8 der verfahrensgegenständlichen Webseite unter „F***“ zu finden. (Auszug, Formatierung nicht 1:1 widergegeben, Markierung durch die Datenschutzbehörde)

3.a. G*** 2015:

[Anmerkung Bearbeiter/in: Die hier wiedergegebenen beiden digitalen Lichtbilder können nicht sinnvoll pseudonymisiert werden und wurden daher aus Gründen des Datenschutzes und des Urheberrechts entfernt.]

Beweiswürdigung : Die getroffenen Feststellungen zu C.3. beruhen insbesondere auf dem Vorbringen des Verantwortlichen vom 8. März 2024 aufgrund der expliziten Frage der Datenschutzbehörde in der Erledigung vom 20. Dezember 2023, ob er eine Einwilligung für das Foto „G*** 2015“ eingeholt habe, sowie der amtswegigen Recherche der Datenschutzbehörde (abgerufen am 11. März 2024 und zuletzt abgerufen am 11. Februar 2025).

4. Der Verantwortliche hat das folgende Foto auf seiner Webseite veröffentlicht. Ursprünglich hat sich das Foto zumindest bis 11. März 2024 auf Seite 3 der verfahrensgegenständlichen Webseite unter „F***“ befunden und befindet sich nun auf Seite 4. Der Verantwortliche konnte keine Einwilligung für das gegenständliche Foto vorlegen und hat nur „gelegentlich“ über die Veröffentlichung auf der Webseite informiert.

P*** 2017

[Anmerkung Bearbeiter/in: Die hier wiedergegebenen beiden digitalen Lichtbilder können nicht sinnvoll pseudonymisiert werden und wurden daher aus Gründen des Datenschutzes und des Urheberrechts entfernt.]

Beweiswürdigung : Die getroffenen Feststellungen zu. C.4. beruhen auf dem Vorbringen des Verantwortlichen im gegenständlichen Verfahren sowie den amtswegigen Recherchen der Datenschutzbehörde (https://www.a***-photo.com/****/f***/, (zuletzt abgerufen am 11. Februar 2025)

5. Der Verantwortliche fotografierte und veröffentlichte auf seiner Webseite diese Personen beim Essen in Restaurants.

[Anmerkung Bearbeiter/in: Das hier wiedergegebene digitale Lichtbild kann nicht sinnvoll pseudonymisiert werden und wurde daher aus Gründen des Datenschutzes und des Urheberrechts entfernt.]

Beweiswürdigung : Die getroffenen Feststellungen beruhen auf dem Vorbringen des Verantwortlichen im gegenständlichen Verfahren sowie den amtswegigen Recherchen der Datenschutzbehörde (https://www.a***-photo.com/****/f***/, zuletzt abgerufen 11. Februar 2025).

D. In rechtlicher Hinsicht folgt daraus:

1. Zum Verhältnis des Datenschutzes zur künstlerischen Freiheit

Gemäß Art. 8 Abs. 1 EU-GRC – bzw. gemäß § 1 DSG auf verfassungsgesetzlicher Ebene – hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

Gemäß Art. 13 EU-GRC – bzw. gemäß Art. 17a StGG auf verfassungsgesetzlicher Ebene – sind Kunst und Forschung frei. Die akademische Freiheit wird geachtet.

Bei der gegenständlichen Datenverarbeitung beruft sich der Beschwerdeführer auf sein primär- und verfassungsgesetzlich gewährleistetes Recht auf künstlerische Freiheit.

Gemäß Art. 85 Abs. 1 DSGVO bringen die Mitgliedstaaten durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten gemäß dieser Verordnung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang.

Art. 85 Abs. 2 DSGVO legt fest, dass für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, die Mitgliedstaaten Abweichungen oder Ausnahmen von Kapitel II (Grundsätze) , Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) vorsehen, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.

§ 9 Abs. 2 DSG legt fest, dass soweit dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen, von der DSGVO die Kapitel II (Grundsätze), mit Ausnahme des Art. 5 , Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), mit Ausnahme der Art. 28, 29 und 32, Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) auf die Verarbeitung, die zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, keine Anwendung finden. Von den Bestimmungen dieses Bundesgesetzes ist in solchen Fällen § 6 DSG (Datengeheimnis) anzuwenden.

In den Erläuterungen zum Datenschutz-Anpassungsgesetz 2018 (ErläutRV 1664, AB 1761, BlgNR 25) hat der Gesetzgeber das Folgende konkretisiert (Hervorhebungen durch Datenschutzbehörde):

„Hinsichtlich der Anwendbarkeit der datenschutzrechtlichen Regelungen für Verarbeitungen zu derartigen Zwecken sollen im Rahmen der Vorgaben des Art. 85 DSGVO entsprechende Ausnahmen geschaffen werden. Anwendbar bleiben jedoch die Vorgaben der DSGVO zu den Grundsätzen für die Verarbeitung personenbezogener Daten (Art. 5 DSGVO) , zum Auftragsverarbeiter (Art. 28 und 29 DSGVO), zur Sicherheit der Verarbeitung (Art. 32 DSGVO) sowie allgemein jene Kapitel der DSGVO, von denen Art. 85 DSGVO keine Ausnahmen vorsieht. Inhaltlich sollen damit weitgehend die von § 48 DSG 2000 vorgesehenen Ausnahmen für derartige Verarbeitungen erhalten bleiben.

Von den Bestimmungen dieses Bundesgesetzes ist nur § 6 (Datengeheimnis) anzuwenden; davon unberührt bleibt die Anwendung des verfassungsrechtlich verankerten Grundrechts auf Datenschutz gemäß § 1.“

Die Materialien verweisen daher darauf, dass die Anwendung des verfassungsrechtlich verankerten Grundrechts auf Datenschutz gemäß § 1 DSG unberührt bleibt und bei der Verarbeitung nach § 9 Abs. 2 DSG insbesondere die Grundsätze für die Verarbeitung personenbezogener Daten, so auch der Grundsatz der Datenminimierung des Art. 5 Abs. 1 lit. c DSGVO, wie auch der Grundsatz der Rechtmäßigkeit Verarbeitung nach Treu und Glauben, Transparenz des Art. 5 Abs. 1 lit. a DSGVO anwendbar bleiben.

Die Anwendbarkeit von Art. 5 DSGVO in Bereichen des § 9 Abs. 2 DSG bedeutet, dass die dort geregelten Grundsätze uneingeschränkte Geltung bei der Verarbeitung zu künstlerischen Zwecken haben (vgl. Rohner in Knyrim , DatKomm Art 85 DSGVO, Rz 47).

Da die DSGVO in Art. 85 Abs. 2 Ausnahmen zugunsten der künstlerischen Freiheit anerkennt und die Freiheit der Kunst darüber hinaus in Art. 13 EU-GRC primärrechtlich verankert ist, bedarf es einer Interessenabwägung im Einzelfall , um das Grundrecht auf Datenschutz nach Art. 8 EU-GRC (bzw. § 1 DSG) mit dem Grundrecht auf Freiheit der Kunst in Einklang zu bringen.

2. Zur Zulässigkeit der Bildverarbeitung

Das Anfertigen (Fotografieren) einerseits und die darauffolgende Veröffentlichung der verfahrensgegenständlichen Lichtbilder andererseits sind unstrittig als jeweils eine Verarbeitung iSd Art. 4 Z 2 DSGVO anzusehen (vgl. hierzu EuGH 14.02.2019, C-345/17, Rz 37ff).

Herr Dieter A*** hat sich selbst als Verantwortlicher für die gegenständliche Webseite und die gegenständlichen Bildverarbeitungen deklariert und ist auf Grund seines Vorbringens auch derjenige, der über die Zwecke und Mittel der gegenständlichen Bildverarbeitung iSv. Art. 4 Z 7 DSGVO entscheidet.

Gemäß Art. 5 Abs. 1 lit. a DSGVO, welcher nach § 9 Abs. 2 DSG ausdrücklich für anwendbar erklärt wird, muss jede Datenverarbeitung auf rechtmäßige Weise, nach Treu und Glauben und einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ( Grundsatz der Rechtmäßigkeit , Verarbeitung nach Treu und Glauben, Transparenz).

Demzufolge muss jede Datenverarbeitung auf eine Rechtsgrundlage gestützt werden können, wobei im gegenständlichen Fall Art. 13 EU-GRC iVm Art. 85 Abs. 2 DSGVO iVm § 9 Abs. 2 DSG in Betracht kommt.

3. Zur Interessensabwägung im Allgemeinen

Auch bildliche bzw. fotografische Abbildungen einer lebenden, erkennbaren natürlichen Person sind personenbezogene Daten (vgl. OGH 27.11.2019, 6 Ob 150/19 f).

Dadurch, dass die Gesichter der betroffenen Personen auf den Fotos eindeutig ersichtlich sind, sind die betroffenen Personen identifizierbar und es handelt sich somit um personenbezogene Daten iSd. Art. 4 Z 1 DSGVO.

Nach der Rechtsprechung des OGH, welche im gegenständlichen Fall als Richtschnur herangezogen werden kann, stellt das Recht am eigenen Bild eine besondere Erscheinungsform des allgemeinen Persönlichkeitsrechts dar. Daher kann bereits die Herstellung eines Bildnisses ohne Einwilligung des Abgebildeten einen unzulässigen Eingriff in dessen allgemeines Persönlichkeitsrecht darstellen. Dabei wird das allgemeine Persönlichkeitsrecht des Betroffenen nicht nur dann verletzt, wenn Abbildungen einer Person in deren privatem Bereich angefertigt werden, um diese der Öffentlichkeit zugänglich zu machen. Vielmehr kann auch die Herstellung von Bildnissen einer Person in der Öffentlichkeit zugänglichen Bereichen und ohne Verbreitungsabsicht einen unzulässigen Eingriff in das Persönlichkeitsrecht des Betroffenen darstellen. Schon das damit verbundene fotografische Festhalten einer bestimmten Tätigkeit oder Situation kann vom Abgebildeten als unangenehm empfunden werden und ihn an der freien Entfaltung seiner Persönlichkeit hindern. Dies gilt insbesondere in Anbetracht der Verbreitungs-, aber auch Manipulationsmöglichkeiten durch die moderne (Digital-)Technik, kann der Aufgenommene doch im Vorhinein nie wissen, wie der Fotografierende die Aufnahme in der Folge verwenden wird (OGH 27.02.2013, 6 Ob 256/12h mwN).

Eine Bildverarbeitung durch Private ist im öffentlichen Raum nur unter bestimmten Voraussetzungen möglich (vgl. dazu VwSlg. 19.440 A/2016 noch zur Rechtslage nach dem DSG 2000, wobei die Ausführungen in Rz. 25 dieser Entscheidung auch auf die Rechtslage nach der DSGVO und dem DSG anwendbar sind).

Im Spannungsfeld von Kunstfreiheit und allgemeinem Persönlichkeitsrecht bei der Straßenfotografie muss die Kunstfreiheit ausnahmsweise dann hinter das allgemeine Persönlichkeitsrecht zurücktreten, wenn das Persönlichkeitsrecht des Betroffenen schwerwiegend beeinträchtigt wird (vgl. deutsches BVerfG 13.6.2007, 1 BvR 1783/05).

Umgelegt auf den vorliegenden Fall ergibt sich daraus Folgendes:

4. Zur Interessenabwägung im gegenständlichen Fall

4.a. Zu den Kindern

Bei der gegenständlichen Interessenabwägung ist zu berücksichtigen, dass es sich bei einigen Fotos auch um (unmündige) Minderjährigen handelt und Kinder als vulnerable Betroffene besonders schützenswert sind (siehe ErwGr. 38 DSGVO).

Das Alter der betroffenen Kinder auf den gegenständlichen Fotos (siehe z.B. Fotos C.2. und C.3. der Sachverhaltsfeststellungen) kann nicht festgestellt werden. Es kann jedoch aufgrund der Fotos davon ausgegangen werden, dass es sich um Kinder unter 14 bzw. 16 Jahren handelt.

Auch wenn der Begriff „Kind“ in den Legaldefinitionen des Art. 4 DSGVO nicht definiert wird, ergibt sich unmittelbar aus Art. 8 Abs. 1 DSGVO, dass damit eine Person bis zu einem Alter zwischen dreizehn und sechzehn Jahren verstanden wird. Die DSGVO geht von einer Altersgrenze von sechzehn Jahren aus, die Mitgliedstaaten haben aber aufgrund einer optionalen Öffnungsklausel die Möglichkeit, eine niedrigere Altersgrenze bis zum vollendeten dreizehnten Lebensjahr vorzusehen. Der österreichische Gesetzgeber hat von dieser Möglichkeit Gebrauch gemacht und in § 4 Abs. 4 DSG die Altersgrenze mit der Vollendung des 14. Lebensjahres festgelegt. Dies entspricht der in § 21 iVm § 170 Abs. 1 ABGB normierten Abgrenzung zwischen mündigen und unmündigen Minderjährigen.

„Ein weiteres wichtiges Element des Grundsatzes der Verarbeitung nach Treu und Glauben ist mit dem Gleichgewicht der Kräfte verbunden, da der Grundsatz der Verarbeitung nach Treu und Glauben gemäß Art. 5 Abs. 1 lit. a DSGVO den gesamten Datenschutzrahmen untermauert und darauf abzielt, Machtasymmetrien zwischen den für die Verarbeitung Verantwortlichen und den betroffenen Personen zu beseitigen, um die negativen Auswirkungen solcher Asymmetrien auszugleichen und die wirksame Ausübung der Rechte der betroffenen Personen zu gewährleisten.

Kinder verdienen in Bezug auf ihre personenbezogenen Daten einen besonderen Schutz, da sie sich der betreffenden Risiken, Folgen und Garantien sowie ihrer Rechte in Bezug auf die Datenverarbeitung weniger bewusst sein können und sich ihrer Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten weniger bewusst sind.

ErwGr. 75 DSGVO zählt ausdrücklich die Verarbeitung von personenbezogenen Daten, insbesondere von Kindern, zu den Situationen, in denen ein Risiko für die Grundrechte und -freiheiten mit unterschiedlicher Wahrscheinlichkeit und Schweregrad aus der Datenverarbeitung resultieren kann, was zu physischen, materiellen oder immateriellen Schaden führen könnte.

In diesem Sinne können Kinder als besonders „schutzbedürftige“ betroffene Personen gelten, da man davon ausgehen kann, dass sie nicht in der Lage sind, der Verarbeitung ihrer personenbezogenen Daten wissentlich und mit Bedacht zu widersprechen oder zuzustimmen“ (vgl. EDSA, Binding Decision 2/2023 on the dispute submitted by the Irish SA regarding TikTok Technology Limited (Art. 65 GDPR), 2. August 2023, Rz 107).

4.b. Zu C.4. der Sachverhaltsdarstellungen, Foto von weiblichen Ausschnitt bzw. Brustansatz, „P*** 2017“

Wie festgestellt, ist das gegenständliche Foto derart von oben fotografiert, sodass ein großer Teil des Ausschnitts bzw. ein Teil der Brust der betroffenen ersten Frauen, sowie der Ansatz ihres BHs ersichtlich ist. Auch bei der zweiten Frau ist ein großer Teil ihres Ausschnitts/ihrer Brust sichtbar.

Auch wenn es sich dabei nicht um eine „Nacktaufnahme“ handelt (siehe dazu OGH 17.09.1996, 4 Ob 2249/96f), liegt dennoch ein gewichtiger Eingriff in das Recht auf Datenschutz der betroffenen Personen (Abbildung der eigenen Person) vor, da sie in einer Position gezeigt werden, die einer Bloßstellung nahekommt.

Zudem hat der Gesetzgeber eine Wertung vorgenommen, welche ungewollte Bildaufnahmen weiblicher Körperteile – bei Vorliegen der entsprechenden Voraussetzungen – unter Strafe stellt (§ 120a Abs. 1 StGB).

Obgleich es sich gegenständlich nicht um die gesamte weibliche Brust oder um Nacktfotos handelt, kann den Erläuterungen zu § 120a StGB entnommen werden, dass es dem Gesetzgeber ein Anliegen ist, Frauen vor ungewollten (Foto-)Aufnahmen, welche auch nur Teile der Brust sowie den Ansatz ihres BHs („bedeckende Unterwäsche“) umfassen, gesetzlich zu schützen.

Somit unterliegen auch solche Fotos einer höheren Schutzwürdigkeit und daher einem erhöhten Interesse der Betroffenen, dass ihr Bild nicht verarbeitet und insbesondere nicht ohne ihre Einwilligung veröffentlicht wird.

4.c. Zu Art. 9 DSGVO (religiöse Überzeugungen)

Wie unter C.2.a festgestellt, gehen aus dem Foto eindeutig die religiösen Überzeugungen der beiden dargestellten Personen (jüdischer Glauben aufgrund ihres Aussehens) hervor.

Gemäß Art. 9 Abs. 1 DSGVO – welcher im vorliegenden Fall gemäß § 9 Abs. 2 DSG zwar nicht zur Anwendung gelangt, jedoch als Richtschnur für die Interessensabwägung herangezogen werden kann – ist die Verarbeitung personenbezogener Daten, aus denen u.a. religiöse oder weltanschauliche Überzeugungen hervorgehen, untersagt.

In seinem Urteil vom 1. 8. 2022, C-184/20, hat der EuGH entschieden, dass der Anwendungsbereich von Art. 9 Abs. 1 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten) weit auszulegen ist. Demnach ist der Geltungsbereich der Vorschrift bereits eröffnet, wenn sich diese Datenkategorien nur mittelbar aus den Informationen ableiten lassen.

Somit unterliegen auch diese Fotos einer höheren Schutzwürdigkeit und daher einem erhöhten Interesse der Betroffenen, dass ihr Bild nicht verarbeitet und insbesondere nicht ohne ihre Einwilligung veröffentlicht wird, zumal gerade Angehörige des jüdischen Glaubens erhöhten Bedrohungen ausgesetzt sein können.

4.d. Zum Bild gemäß Punkt C.5

Verfahrensgegenständlich wurden die Betroffenen (wie etwa in C.5. der Sachverhaltsdarstellungen) während des Essens in einer Situation „des Sich-Gehen-Lassens außerhalb der Einbindung in die Pflichten des Berufs und Alltags“ erfasst.

Der EDSA ist der Ansicht, dass betroffene Personen davon ausgehen können, dass sie in öffentlich zugänglichen Bereichen nicht überwacht werden, vor allem, wenn diese Bereiche typischerweise für Erholungs-, Entspannungs- und Freizeitaktivitäten genutzt werden, sowie an Orten, an denen sich Personen aufhalten und/oder kommunizieren, wie z. B. Sitzbereiche, Tische in Restaurants , Parks, Kinos und Fitnesseinrichtungen. Hier überwiegen häufig die Interessen oder Rechte und Freiheiten der betroffenen Person die berechtigten Interessen des Verantwortlichen (vgl. EDSA, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Rz. 38).

Daher unterliegen auch dieses Foto einer höheren Schutzwürdigkeit und daher einem erhöhten Interesse der Betroffenen, dass ihr Bild nicht verarbeitet und insbesondere nicht ohne ihre Einwilligung veröffentlicht wird.

5. Ergebnis

In Summe überwiegen insbesondere hinsichtlich

 der Kinder,

 der Darstellung von weiblichen Körperteilen in exponierter Weise,

 religiöser Überzeugungen sowie

 des Fotografierens während des Essens

die Interessen der betroffenen Personen gegenüber den berechtigten Interessen der Kunstfreiheit des Verantwortlichen.

Wie unter Hinweis auf die Rechtsprechung des OGH ausgeführt, kann bereits die Herstellung eines Bildnisses ohne Einwilligung des Abgebildeten einen unzulässigen Eingriff in dessen allgemeines Persönlichkeitsrecht darstellen.

Die Datenschutzbehörde verkennt nicht, dass die Einholung einer Einwilligung vor der Anfertigung des Bildes die Kunstform der Straßenfotographie weitgehend verunmöglichen würde, weil diese in erster Linie auf Spontaneität und beruht und darauf, dass die abgebildeten Personen unbemerkt fotografiert werden.

Dennoch wäre es dem Verantwortlichen zumutbar gewesen, gerade in diesen Fällen zumindest im Nachhinein eine Einwilligung einzuholen, was die Rechtsgrundlage der Datenverarbeitung auf Basis der Freiheit der Kunst zweifellos verstärkt hätte.

Wenn aber bereits der Verarbeitungsschritt der Herstellung des Bildnisses unrechtmäßig ist, muss dies umso mehr für die darauffolgende und einen eigenen Verarbeitungsschritt darstellende Veröffentlichung der Bilder gelten.

Daher war dem Verantwortlichen iSd. Art. 58 Abs. 2 lit. g DSGVO aufzutragen, innerhalb einer Frist von zwei Wochen die genannten Fotos zu löschen.

Die Frist ist angemessen und verhältnismäßig.