[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
B E S C H E I D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. SOUHRADA-KIRCHMAYER, Mag. MAITZ-STRASSNIG, Mag. ZIMMER und Dr. HEISSENBERGER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 19. Juli 2013 folgenden Beschluss gefasst:
S p r u c h
Über die Beschwerde des Jakob S***in Wien (Beschwerdeführer) vom 2. Februar 2011, gegen die Wiener Linien Ges.m.b.H Co KG in Wien (Beschwerdegegnerin), wegen Verletzung im Recht auf Auskunft wird entschieden:
Rechtsgrundlagen:
§ 1 Abs. 3 Z 1, § 26, § 50e und § 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF.
B e g r ü n d u n g:
A. Verfahrensgang und Vorbringen der Parteien
1. Der Beschwerdeführer behauptet eine Verletzung im Recht auf Auskunft nach § 1 Abs. 3 Z 1 iVm § 26 iVm § 50e DSG 2000 dadurch, dass ihm auf sein Auskunftsbegehren vom 7. bzw. 11. Dezember 2010 in der Auskunft der Beschwerdegegnerin vom 14. Jänner 2011 mitgeteilt worden sei, dass keine Auswertung der Daten erfolgt sei (gemeint: aus der Videoüberwachung in den Fahrzeugen der Beschwerdegegnerin), er dies aber nicht für glaubwürdig halte, weil es zum Zeitpunkt seiner Beförderung in den Fahrzeugen der Beschwerdegegnerin zu einem (in der Beschwerde näher beschriebenen) Raufhandel zwischen zwei Personen gekommen sei, in Zuge dessen eine Person verletzt worden sei, und auch die Sicherheitsbehörden verständigt worden seien. Im Übrigen halte er die Ausführungen der Beschwerdegegnerin in der Auskunft zur Auslegung des § 50e DSG 2000 (wobei die Beschwerdegegnerin auf die Rechtsprechung der Datenschutzkommission Bezug genommen hat) mit näherer Begründung für nicht nachvollziehbar. Der Beschwerdeführer begehrt daher, der Beschwerdegegnerin die vollständige und gesetzeskonforme Auskunftserteilung aufzutragen.
Der Beschwerde waren Auskunftsbegehren, Auskunftsschreiben sowie sonstiger Schriftverkehr zwischen Beschwerdeführer und Beschwerdegegnerin angeschlossen.
2. Die mit den Vorwürfen konfrontierte Beschwerdegegnerin betonte (unter Vorlage des Protokolls über die Verwendungsvorgänge) erneut, dass im gegenständlichen Zeitraum keine Videoauswertung erfolgt sei, der beschriebene Vorfall werde aber bestätigt. Zu dessen Klärung wäre im konkreten Fall aus betrieblicher Sicht eine Videoauswertung nicht notwendig gewesen. Des Weiteren wird auf die bereits in der Auskunft vom 14. Jänner 2011 geäußerte Rechtsmeinung verwiesen.
3. Im dazu gewährten Parteiengehör nahm der Beschwerdeführer die Stellungnahme zur Kenntnis und führte rechtlich aus, warum seiner Ansicht nach ein Auskunftsanspruch auch hinsichtlich nicht-ausgewerteter Videobilder bestehe.
4. Die Datenschutzkommission wies die Beschwerde mit Bescheid vom 18. Mai 2011, GZ K121.698/0011-DSK/2011, ab.
5. Mit Erkenntnis vom 24. April 2013, Zl 2011/17/0156, hob der Verwaltungsgerichtshof nach Beschwerde des Beschwerdeführers den Bescheid vom 18. Mai 2011, GZ K121.698/0011-DSK/2011, wegen Rechtswidrigkeit infolge Unzuständigkeit der belangten Behörde auf. Dabei nahm der Verwaltungsgerichtshof Bezug auf das Urteil des Gerichtshofs der Europäischen Union vom 16. Oktober 2012 in der Rechtssache C-614/10, wonach die Republik Österreich dadurch gegen ihre Verpflichtungen aus Art 28 Abs. 1 Unterabsatz 2 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Warenverkehr verstoßen habe, dass sie nicht alle Vorschriften erlassen habe, die erforderlich seien, damit die in Österreich bestehende Rechtslage in Bezug auf die Datenschutzkommission dem Kriterium der Unabhängigkeit genüge, und zwar im Einzelnen dadurch, dass sie eine Regelung eingeführt habe, wonach
Daraus zog der Verwaltungsgerichtshof den Schluss, dass die Republik Österreich die in Art 28 Abs. 1 Unterabsatz 2 der Richtlinie 95/46/EG angeordnete Einführung einer Stelle, die die zugewiesenen Aufgaben „in völliger Unabhängigkeit“ wahrzunehmen hat, auch nach Ablauf der dreijährigen Umsetzungsfrist (der Richtlinie in innerstaatliches Recht) nicht (ausreichend) nachgekommen ist und sich daher die belangte Behörde, die im Entscheidungszeitpunkt jedenfalls den Vorgaben der Richtlinie nicht entsprochen hat, als unzuständig erweist.
6. Damit war die Verwaltungssache erneut zu entscheiden. Da der Sachverhalt unstrittig ist, hat ein fortgesetztes Ermittlungsverfahren nicht stattgefunden.
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin auf das Begehren des Beschwerdeführers vom
7. bzw. 11. Dezember 2010 rechtmäßig iSd DSG 2000 reagiert hat.
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:
Der Beschwerdeführer stellte am 7. Dezember 2010 zunächst per Mail, nach Urgenz seitens der Beschwerdegegnerin am 11. Dezember 2010 gleichlautend postalisch, unter Hinweis auf § 26 Abs. 7 DSG 2000 an die Beschwerdegegnerin (im Wesentlichen) folgendes Auskunftsbegehren:
„Sehr geehrte Damen! Sehr geehrte Herren!
Sie führen personenbezogene Datenverarbeitung(en) und Datenanwendungen.
Ich ersuche Sie unter Hinweis auf § 1 DSG 2000 und alle weiteren anwendbaren Bestimmungen des DSG 2000 um Beantwortung der folgenden Fragen:
Sie werden ersucht, auch alle anfallenden Daten zu beauskunften, die sich in anderen Dateien befinden, jedoch über Schlüssel-, Such- und Referenzbegriffe mit meinen personenbezogenen Daten direkt oder indirekt verknüpft werden können (§ 4 DSG 2000).
Da ich im Zeitraum vom 07.12.2010 ungefähr 20:30 bis 07.12.2010 ungefähr 21:00 von einer ihrer Videoüberwachungen betroffen war, ersuche ich sie gemäß § 50e DSG 2000 um die Übersendung einer Kopie der zu meiner Person verarbeiteten Daten. Im Sinne der Mitarbeit gebe ich Ihnen folgende Angaben bekannt durch welche es möglich ist meine Person zu identifizieren:
Ich befand mich während der genannten Zeit in einem neuen (durchgängigen) U-bahn Zug der Linie U4, Fahrtrichtung Hütteldorf, welcher in dem Zeitraum in der Station Spittelau stand. Innerhalb des Zuges befand ich mich hauptsächlich im Eingangsbereich der vierten Türen – vom Zugende gezählt. Ich war bekleidet mit braunen Lederhalbschuhen, einer anthrazitfarbenen Hose, einem braunen Pullover sowie einer grünen Jacke. Meine Haarfarbe ist braun.
…
Als … Nachweis meiner Identität lege ich eine Kopie des Führerscheins bei.
…“
Dem Auskunftsbegehren war eine Kopie des Führerscheins des Beschwerdeführers angeschlossen.
Beweiswürdigung: Diese Feststellungen ergeben sich aus den Beilagen zur Beschwerde und wurden von der Beschwerdegegnerin auch nicht bestritten.
Die Beschwerdegegnerin reagierte mit folgendem Schreiben vom 14. Jänner 2011 auf das Auskunftsbegehren des Beschwerdeführers (wesentliche Inhalte):
„Auskunft gemäß § 26 DSG
…
Der Stichtag für die Abfrage ist der 10.01.2011.
Ihre Identität haben Sie mit Schreiben vom 07.12.2010
nachgewiesen.
…
Betreffend Ihre Anfrage gemäß § 50e DSG 2000 und Ihre Bitte um Übermittlung einer Kopie der Videoüberwachungsaufnahmen teilen wir Ihnen mit wie folgt:
Bei der Videoüberwachung in den Stationen und Fahrzeugen der [Beschwerdegegnerin] kommen zwei angemeldete und bewilligte Datenverarbeitungen zur Anwendung:
1) Videoüberwachung in den Fahrzeugen der [Beschwerdegegnerin] zum Zwecke der Eindämmung von Vandalismusschäden sowie Erhöhung des Schutzes von MitarbeiterInnen und Fahrgästen
Registrierung vom 26.09.2008
2) Videoüberwachung der Stationen der [Beschwerdegegnerin] zum Zwecke der Erhöhung des Schutzes von MitarbeiterInnen und Fahrgästen, der Eindämmung von Schadensfällen, sowie zur Optimierung sicherheitstechnischer und betrieblicher Abläufe
Registrierung vom 30.09.2009
Bei beiden Datenanwendungen erfolgt die – zeitlich befristete – Aufzeichnung zu dem schon aus dem Titel der Anwendungen ersichtlichen Zweck. Die gespeicherten Bilddaten werden, soweit keine Auswertung zu einem der zulässigen Zwecke erfolgt, ohne angesehen zu werden, nach 48 Stunden automatisch überschrieben und somit gelöscht.
Die Aufzeichnung erfolgt des Weiteren in verschlüsselter Form. Das bedeutet, dass die Daten nur mit einer speziellen Software ausgewertet werden können.
Bei § 50e Abs. 1 Datenschutzgesetz (DSG) 2000 handelt es sich nicht um eine völlig neue Art der Auskunft, sondern lediglich um eine Ergänzung bzw. Adaptierung des § 26 DSG 2000. Daraus folgt, dass nur ein Auskunftsrecht aus aufgezeichneten Bilddaten nach § 50e DSG 2000 besteht, wenn ein solches nicht bereits nach § 26 DSG 2000 ausgeschlossen ist. Die Anwendbarkeit von § 50e DSG 2000 setzt also voraus, dass überhaupt ein Auskunftsanspruch besteht, was iS der derzeitigen Rechtsprechung der Datenschutzkommission (DSK) nur hinsichtlich ausgewerteter Videoaufzeichnungen der Fall ist.
Die rasche Löschung und das Verbot der Auswertung, außer in den im Registrierungsverfahren zugelassenen Fällen, stellt das wesentlichste Schutzelement für die von einer Videoüberwachung Betroffenen dar.
In allen anderen Fällen besteht ein Verbot der Auswertung und damit ein Verbot der Identifizierung der Betroffenen. Wie bereits erwähnt, stellt dies auch den wichtigsten Schutz der Betroffenen dar.
Die DSK vertritt auch nach der Novelle des DSG 2010 die Meinung, dass es widersinnig wäre den Auftraggeber (AG) einer Videoüberwachung durch ein Auskunftsbegehren zur Identifizierung der gefilmten Personen und damit zur Umgehung seiner datenschutzrechtlichen Verpflichtungen zu zwingen. Ein solcher Wertungswiderspruch kann dem Gesetzgeber nicht zugesonnen werden.
Begründet wird die Verneinung eines Auskunftsrechts aus nicht ausgewerteten Daten damit, dass es sich bei Daten von Videoaufzeichnungen lediglich um „bestimmbare“ Daten handelt, solange die Videoaufzeichnungen nicht ausgewertet sind. Diese nur „bestimmbaren“ Daten sind dem AG nicht bekannt und darf er von diesen auch nur Kenntnis nehmen, wenn ein Auswertungsanlass eingetreten ist, der im Registrierungsverfahren als Fall des Vorliegens eines überwiegenden berechtigten Auswertungsinteresses anerkannt wurde. Die DSK ist der Auffassung, dass das Bestehen eines Auskunftsrechts aus nicht ausgewerteten Videoaufzeichnungen in gleicher Weise zu beurteilen ist wie jenes für indirekt personenbezogene Daten gemäß § 29 DSG 2000. Auch hier darf der AG die Identität der Betroffenen nicht in Erfahrung bringen.
Ein weiterer wichtiger Punkt der zu diesem Ergebnis führt ist, dass auch die Datenschutzrechte sämtlicher anderer Fahrgäste, die eventuell auch auf den Bilddaten ersichtlich wären, unverhältnismäßig beeinträchtigen würden. Es kommt zwar prinzipiell nicht zur Identifizierung sämtlicher gefilmter Personen, aber kann es zu Zufallserkennungen kommen. Bis zur Auswertung wären auch diese Daten dem AG nur potentiell, nicht aber tatsächlich bekannt.
(vgl. hierzu: Entscheidungen der DSK vom 30.7.2010, GZ K121.605/0014-DSK/2010 und vom 5.12.2008, GZ: K121.385/0007- DSK/2008).
Zusammenfassend müssen wir Ihnen daher mitteilen, dass im gegenständlichen Fall keine Auswertung der Videodaten erfolgte und daher keine Auskunft erteilt werden kann. Auf Grund der automatischen Überschreibung wurden sämtliche Daten bereits gelöscht und haben wir nie Kenntnis der aufgezeichneten Daten erlangt. Eine Übermittlung der Daten an Dritte erfolgte ebenfalls nicht und wurden auch keine Dienstleister im Rahmen der Datenanwendung eingesetzt. Ein Auskunftsrecht aus nicht ausgewerteten Daten ist auch nach Meinung der Datenschutzkommission zu verneinen.
Der Vollständigkeit halber möchten wir darauf hinweisen, dass aufgrund der dezentralen Datenträger in Fahrzeugen und Stationen die Beschaffung der Daten und die Auswertung mit hohem Aufwand und hohen Kosten verbunden ist. Wir dürfen Sie daher ersuchen, die Auskunft über Videodaten auf diejenigen Fälle zu beschränken, deren Zweck die Videoüberwachung dient. …“
Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Schreiben selbst.
Die Bildaufzeichnung der Videoüberwachung in den Stationen der Beschwerdegegnerin wurde für den gegenständlichen Ort und Zeitraum (Station Spittelau; 7. Dezember 2010, 20.30 bis 21.00 Uhr) nicht ausgewertet.
Die Bildaufzeichnung der Videoüberwachung in den Fahrzeugen der Beschwerdegegnerin wurde ebenfalls für den gegenständlichen Ort und Zeitraum (U-Bahnzug der Linie U4, Fahrtrichtung Hütteldorf, Bereich der vierten Türe (vom Zugende aus gezählt); 7. Dezember 2010, 20.30 bis 21.00 Uhr) nicht ausgewertet.
Beweiswürdigung: Diese Feststellungen ergeben sich aus den Ausführungen der Beschwerdegegnerin sowohl im Auskunftsschreiben vom 14. Jänner 2011 an den Beschwerdeführer, als auch in der Stellungnahme vom 15. Februar 2011. Dieser war das nach § 50b Abs. 1 DSG 2000 verpflichtend zu führende Protokoll über jeden Verwendungsvorgang (wozu insbesondere auch Auswertungen (Einschau) aus den gespeicherten Daten zählen) der Videoüberwachung in den Stationen beigelegt. Aus dem Protokoll (Zeitraum 3.12. bis 8.12.) ergibt sich, dass die Bildaufzeichnungen wegen verschiedener Vorfälle betreffend strafrechtlich relevanter Delikte (zB. Taschendiebstahl) vom 7. Dezember 2010 ausgewertet wurden, dies betraf aber in keinem Fall einen Raufhandel in der Station Spittelau. Dies wurde vom Beschwerdeführer im Parteiengehör so auch zur Kenntnis genommen.
Hinsichtlich der Videoüberwachung in den Fahrzeugen der Beschwerdegegnerin wurde kein Protokoll vorgelegt. Dies ist (amtsbekannt und auch Inhalt der Stellungnahme) so zu erklären, dass die Speicherung der Videodaten dezentral in den Fahrzeugen selbst erfolgt. Eine Auswertung erfolgt dabei entweder durch Setzen eines „Markers“ auf dem Datenträger, bei Auslösen der Notruf- oder Notstoppeinrichtung im Fahrgastraum durch einen Fahrgast oder einen Mitarbeiter der Beschwerdegegnerin, bzw. durch Entnahme des Datenträgers. Für die weitere Entschlüsselung und Auswertung müssen die Datenträger ausgebaut und an die entsprechende Abteilung weitergegeben werden. Dafür gibt es stets einen Übergabeschein. Ein solcher liegt nicht vor, weshalb die Kassette nicht ausgebaut wurde und die gespeicherten Daten automatisch überschrieben wurden. Die Datenschutzkommission hält diese Ausführungen, soweit sie den konkreten Fall betreffen, für glaubwürdig. Auch der Beschwerdeführer hat die Ausführungen so zur Kenntnis genommen.
D. In rechtlicher Hinsicht folgt daraus:
1. anzuwendende Rechtsvorschriften
Die Verfassungsbestimmung des § 1 DSG 2000 lautet auszugsweise:
„ § 1 . (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;
2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.
…“
§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Er lautet im Wesentlichen wie folgt:
„ Auskunftsrecht
§ 26 . (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.
(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Auskunftswerbers aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.
Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit
1. des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich oder
(3) Der Auskunftswerber hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.
(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.
…“
§ 50a Abs. 1 DSG 2000 lautet unter der Überschrift „9a.
Abschnitt Videoüberwachung Allgemeines“:
„ § 50a . (1) Videoüberwachung im Sinne dieses Abschnittes bezeichnet die systematische, insbesondere fortlaufende Feststellung von Ereignissen, die ein bestimmtes Objekt (überwachtes Objekt) oder eine bestimmte Person (überwachte Person) betreffen, durch technische Bildaufnahme- oder Bildübertragungsgeräte. Für derartige Überwachungen gelten die folgenden Absätze, sofern nicht durch andere Gesetze Besonderes bestimmt ist.“
§ 50e DSG 2000 lautet:
„ § 50e . (1) Abweichend von § 26 Abs. 1 ist dem Auskunftswerber, nachdem dieser den Zeitraum, in dem er möglicherweise von der Überwachung betroffen war, und den Ort möglichst genau benannt und seine Identität in geeigneter Form nachgewiesen hat, Auskunft über die zu seiner Person verarbeiteten Daten durch Übersendung einer Kopie der zu seiner Person verarbeiteten Daten in einem üblichen technischen Format zu gewähren. Alternativ kann der Auskunftswerber eine Einsichtnahme auf Lesegeräten des Auftraggebers verlangen, wobei ihm auch in diesem Fall die Ausfolgung einer Kopie zusteht. Die übrigen Bestandteile der Auskunft (verfügbare Informationen über die Herkunft, Empfänger oder Empfängerkreise von Übermittlungen, Zweck, Rechtsgrundlagen sowie allenfalls Dienstleister) sind auch im Fall der Überwachung schriftlich zu erteilen, wenn nicht der Auskunftswerber einer mündlichen Auskunftserteilung zustimmt.
(2) § 26 Abs. 2 ist mit der Maßgabe anzuwenden, dass in dem Fall, dass eine Auskunft wegen überwiegender berechtigter Interessen Dritter oder des Auftraggebers nicht in der in Abs. 1 geregelten Form erteilt werden kann, der Auskunftswerber Anspruch auf eine schriftliche Beschreibung seines von der Überwachung verarbeiteten Verhaltens oder auf eine Auskunft unter Unkenntlichmachung der anderen Personen hat.
(3) In Fällen der Echtzeitüberwachung ist ein Auskunftsrecht ausgeschlossen.“
Die §§ 37f und 60 Abs. 6a DSG 2000 idF der DSG-Novelle 2013, BGBl. I Nr. 57/2013, lauten, soweit wesentlich, wie folgt:
„ Weisungsfreiheit der Datenschutzkommission
§ 37 . (1) Die Mitglieder der Datenschutzkommission sind in Ausübung ihres Amtes unabhängig und an keine Weisungen gebunden.
(2) Die Datenschutzkommission ist eine Dienstbehörde und Personalstelle. Zur Unterstützung der Datenschutzkommission ist eine Geschäftsstelle eingerichtet. Im Bundesfinanzgesetz ist die notwendige Sach- und Personalausstattung sicherzustellen. Die Bediensteten der Geschäftsstelle unterstehen nur den Weisungen des Vorsitzenden der Datenschutzkommission. Der Vorsitzende der Datenschutzkommission übt die Diensthoheit über die Bediensteten in der Geschäftsstelle aus.
Organisation und Geschäftsführung der Datenschutzkommission
§ 38. (1) (Verfassungsbestimmung) Die Datenschutzkommission hat sich eine Geschäftsordnung zu geben, in der eines ihrer Mitglieder mit der Führung der laufenden Geschäfte zu betrauen ist (geschäftsführendes Mitglied). Diese Betrauung umfaßt auch die Erlassung von verfahrensrechtlichen Bescheiden und von Mandatsbescheiden im Registrierungsverfahren gemäß § 20 Abs. 2 oder § 22 Abs. 3. Inwieweit einzelne fachlich geeignete Bedienstete der Geschäftsstelle der Datenschutzkommission zum Handeln für die Datenschutzkommission oder das geschäftsführende Mitglied ermächtigt werden, bestimmt die Geschäftsordnung.
(2) Der Bundeskanzler kann sich beim Vorsitzenden der Datenschutzkommission über die Gegenstände der Geschäftsführung unterrichten. Dem ist vom Vorsitzenden der Datenschutzkommission nur insoweit zu entsprechen, als dies nicht der völligen Unabhängigkeit der Kontrollstelle im Sinne von Art. 28 Abs. 1 UAbs. 2 der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. Nr. L 281 vom 23.11.1995 S. 31, widerspricht.
...
§ 60. ...
(6a) § 37 Abs. 2, § 38 Abs. 2 und § 61 Abs. 9 in der Fassung des Bundesgesetzes BGBl. I Nr. 57/2013 treten mit 1. Mai 2013 in Kraft.“
2. Rechtliche Schlussfolgerungen:
a. zur Zuständigkeit der Datenschutzkommission
Der Verwaltungsgerichtshof hat mit Erkenntnis vom 24. April 2013, Zl 2011/17/0156, die Datenschutzkommission als im Zeitpunkt der Entscheidung über die vorliegende Beschwerde im ersten Rechtsgang, den 18. Mai 2011, unzuständige Behörde eingestuft und demzufolge den Bescheid GZ K121.698/0011- DSK/2011 wegen Rechtswidrigkeit infolge Unzuständigkeit der belangten Behörde aufgehoben.
Mit der DSG-Novelle 2013, BGBl I Nr. 57/2013, wurde in Reaktion auf das EuGH-Urteil vom 16. Oktober 2012, Rs C- 614/10, im Datenschutzgesetz 2000 vorgesehen, dass die Datenschutzkommission selbst Dienstbehörde und Personalstelle ist, die Bediensteten der Geschäftsstelle nur den Weisungen des Vorsitzenden der Datenschutzkommission unterstehen und der Vorsitzende der Datenschutzkommission die Diensthoheit über die Bediensteten in der Geschäftsstelle ausübt (§ 37 Abs. 2 DSG 2000). Überdies wurde das Unterrichtungsrecht des Bundeskanzlers nach § 38 Abs. 2 DSG 2000 dahingehend eingeschränkt, dass der Vorsitzende der Datenschutzkommission dem Unterrichtungsrecht nur insoweit zu entsprechen hat, als dies nicht der völligen Unabhängigkeit der Kontrollstelle im Sinne von Art. 28 Abs. 1 UAbs. 2 der Datenschutz-Richtlinie widerspricht.
Die DSG-Novelle 2013 trat mit 1. Mai 2013 in Kraft, sodass die Schlussfolgerung des Verwaltungsgerichtshofes, die Datenschutzkommission sei zur Entscheidung über die vorliegende Beschwerde unzuständig gewesen, weil sie nach den Vorgaben der Richtlinie 95/46/EG nicht „völlig unabhängig“ sei, jedenfalls mit jenem Datum nicht mehr zutreffend sind. Die Datenschutzkommission ist seit 1. Mai 2013 daher zur Entscheidung über die vorliegende Beschwerde zuständig.
b. in der Sache selbst
Die noch nach der Rechtslage vor Inkrafttreten der DSG-Novelle 2010 (BGBl. I Nr. 133/2009) nach Bescheiden der Datenschutzkommission vom 26. September 2008, GZ K507.515- 021/0003-DVR/2008, zu DVR 0992739 (DAN 021) (Videoüberwachung in den Fahrzeugen) bzw. vom 30. September 2009, GZ K507.515- 023/0004-DVR/2009, zu DVR 0992739 (DAN 023) (Videoüberwachung in den Stationen) für die Beschwerdegegnerin registrierte Videoüberwachungsanlagen erfüllen jeweils unzweifelhaft den Videoüberwachungsbegriff des § 50a Abs. 1 DSG 2000, sodass – neben den allgemeinen Bestimmungen des DSG 2000 – auch die Bestimmungen des Abschnittes 9a. des DSG 2000 zur Anwendung gelangen.
§ 50e Abs. 1 DSG 2000 bezieht sich zum Recht auf Auskunft ausdrücklich auf § 26 DSG 2000 in der Weise, dass die Form der Auskunftserteilung „abweichend von § 26 Abs. 1“ geregelt wird:
Und zwar ist Auskunft – in erster Linie – durch Zurverfügungsstellung einer Kopie der Videobildaufzeichnungen über den Auskunftswerber zu erteilen.
Aus dem Umstand, dass § 50 e nur Abweichungen von § 26 DSG 2000 regelt, ist aber zu schließen, dass er keine völlig neue und eigenständige Art der Auskunft regeln will, sondern das bereits gemäß § 26 DSG 2000 bestehende Auskunftsrecht für aufgezeichnete Bilddaten ergänzen und anpassen will. Hieraus folgt, dass dann, wenn ein Auskunftsanspruch schon gemäß § 26 DSG 2000 bzw. den sonstigen Regelungen des DSG 2000 ausgeschlossen wäre, auch kein Auskunftsrecht aus aufgezeichneten Bilddaten nach § 50e bestünde.
Die Datenschutzkommission hat auf Basis der Rechtslage vor Inkrafttreten der DSG-Novelle 2010 zum Auskunftsanspruch aus aufgezeichneten Bilddaten für den Fall, dass keine Auswertung aus diesen Bilddaten stattgefunden hat, Folgendes wiederholt ausgeführt (vgl. für viele den Bescheid vom 5. Dezember 2008, GZ K121.385/0007-DSK/2008):
„Videoaufzeichnungen enthalten zunächst Daten über Personen, welchen vom Auftraggeber noch keine Identität (im Sinne eines bestimmten Namens, Geburtsdatums, etc.) zugeordnet ist. Es handelt sich um nur „bestimmbare“ Daten im Sinne des § 4 Z 1 erster Satz DSG 2000.
Hinzu kommt ein weiteres besonderes und datenschutzrechtlich äußerst relevantes Element: Solange der Auftraggeber die Videoaufzeichnungen nicht ausgewertet hat, kennt er nicht einmal die nur „bestimmbaren“ Daten – er hat sie zwar ermittelt und speichert sie in seinem „Herrschaftsbereich“ und ist daher Auftraggeber iSd § 4 Z 4 DSG 2000, darf jedoch regelmäßig von ihnen keine Kenntnis nehmen, es sei denn, dass ein Auswertungsanlass tatsächlich eingetreten ist, der im Registrierungsverfahren als Fall des Vorliegens eines überwiegenden berechtigten Auswertungsinteresses anerkannt wurde.
Dies ist eine außergewöhnliche Fallkonstellation, die von dem Normalfall der gemäß § 26 Abs. 1 zu beauskunftenden Datenanwendungen wesentlich verschieden ist: Der Auftraggeber einer Videoaufzeichnung weiß nicht, „zu wessen Person“ Daten gespeichert sind, und darf es auch – außer im Auswertungsanlassfall – nicht in Erfahrung bringen. Dieses Verbot steht im Konflikt zur Auskunftserteilung, da diese eine Durchsuchung der Aufzeichnungen voraussetzt, ohne dass der als „vorrangig“ anerkannte Anlass vorliegt.
Der Gesetzgeber hat in einem anderem Zusammenhang, in dem die Identität der von seiner Datenanwendung Betroffenen dem Auftraggeber ebenfalls unbekannt ist und auch nicht in Erfahrung gebracht werden darf, das Bestehen eines Auskunftsrechts verneint, und zwar im Zusammenhang mit indirekt personenbezogenen Daten (§ 4 Z 1 zweiter Satz DSG 2000). Indirekt personenbezogene Daten sind eine spezielle Art „bestimmbarer Daten“, bei welchen anstelle der Identifikation ein dem Auftraggeber unbekanntes Pseudonym verwendet wird und jeder Versuch einer Identifikation verboten ist. Dieses Verbot ist eine besondere Schutzmaßnahme für die Betroffenen, deren Verletzung unter Strafe gestellt ist. Den Auftraggeber durch ein Auskunftsersuchen zu zwingen, entgegen dem Sinn der Verwendung indirekt personenbezogener Daten zu versuchen – insbesondere durch Kontaktnahme mit jenem Auftraggeber, der die Daten in direkt personenbezogener Form (mit Namen) hat – einen Datensatz einem namentlich bestimmten Betroffenen zuzuordnen und dadurch das zum Schutz des Betroffenen bestehende Identifizierungsverbot zu unterlaufen, wurde vom Gesetzgeber als so widersinnig angesehen, dass er das Bestehen eines Auskunftsrechts ausdrücklich verneint hat (siehe § 29 DSG 2000).
Die Datenschutzkommission ist der Auffassung, dass das Bestehen eines Auskunftsrechts aus nicht ausgewerteten Videoaufzeichnungen in gleicher Weise zu beurteilen ist, wie dies § 29 DSG 2000 für indirekt personenbezogene Daten vornimmt:
Videoüberwachung als systematische Speicherung von Daten über Betroffene, die in einer weit überwiegenden Zahl der Fälle keinen Anlass zur Ermittlung ihrer Daten gegeben haben, da sie kein rechtswidriges Verhalten gesetzt haben, kann überhaupt nur dann als datenschutzrechtlich „erträglich“ angesehen werden, wenn gesichert ist, dass die ermittelten Daten nur ausnahmsweise benutzt und damit im Normalfall der Kenntnisnahme durch den Auftraggeber durch Auswertung der Daten nicht zugänglich gemacht werden. Das wesentlichste Schutzelement für die von einer Videoüberwachung Betroffenen liegt also darin, dass die Überwachungsdaten möglichst bald wieder gelöscht werden und im Übrigen eine Auswertung nur in jenen relativ seltenen Fällen stattfindet, die als Anlass der Auswertung von vornherein definiert und im Zuge des Registrierungsverfahrens als „überwiegend“ gegenüber den Datenschutzinteressen allfälliger Betroffener zugelassen wurden.
Es besteht somit – so wie bei der Verwendung indirekt personenbezogener Daten – ein Verbot der Identifizierung (hier: außerhalb des Auswertungsanlassfalls), das essentiell für die Zulässigkeit der Verwendung derartiger Daten ist. Ohne dieses Verbot wäre weder die Verwendung von indirekt personenbezogenen Daten noch die Vornahme von Videoüberwachung mit dem Grundrecht auf Datenschutz überhaupt vereinbar.
Angesichts dieses Verbotes, das den wichtigsten Schutz gegen den durch Videoüberwachung bewirkten erheblichen Eingriff in das Grundrecht auf Datenschutz aller Betroffenen darstellt, wäre es widersinnig anzunehmen, dass der Auftraggeber einer Videoüberwachung durch ein Auskunftsbegehren zur Umgehung seiner Verpflichtung, keine Identifizierung der gefilmten Personen vorzunehmen bzw. zu versuchen, gezwungen sein sollte. Das Bestehen einer Pflicht zur Auskunftserteilung würde in diesem Fall einen Wertungswiderspruch offenlegen, der dem Gesetzgeber nicht zugesonnen werden kann – und zwar umso mehr, als er in dem nicht unähnlich gelagerten Fall der indirekt personenbezogenen Daten diesen Widerspruch dadurch ausdrücklich ausgeschlossen hat, dass er das Bestehen eines Auskunftsrechts verneint hat.
Hinzu kommt im Fall der Videoaufzeichnungen, dass die Annahme des Bestehens eines Auskunftsrechts aus nicht ausgewerteten Videoaufzeichnungen die Datenschutzrechte der übrigen Personen, die von der Aufzeichnung betroffen sind, unverhältnismäßig beeinträchtigen würde:
Bei einer Auskunft darüber, ob der Auskunftswerber Gegenstand von bestimmten Videoaufzeichnungen ist, kommt es zwar nicht notwendig zur Identifizierung aller Personen, die auf den Videobildern zu sehen sind, doch kann es zu Zufallserkennungen und Zufallsfunden kommen, die bei einer Beschränkung der Bildauswertung auf die im Rahmen des Überwachungszwecks definierten Anlassfälle nicht erfolgt wären, da ein „Anlassfall“ innerhalb der jeweiligen Löschfrist vielleicht nicht aufgetreten wäre. D. h., dass die Auswertung des Bildmaterials für Zwecke der Auskunftserteilung eine datenschutzrechtliche „Gefahr“ für alle in den Aufzeichnungen enthaltenen Personen darstellt, weil ihre Verhaltensweise erst durch die Auswertung der Videoaufzeichnungen dem Auftraggeber bekannt wird.
… [Dabei geht es nicht nur darum] …, ob [der Auskunftswerber] Daten über andere Betroffene zur Kenntnis bekommt, sondern v. a. auch darum, dass erst durch die Auswertung für Zwecke der Auskunftserteilung der Auftraggeber die Daten der anderen Betroffenen „zur Kenntnis bekommt“, da die Daten erstmals bei der Auswertung von einem Menschen (dem Organ des Auftraggebers) eingesehen werden – bis dahin sind sie dem Auftraggeber nur potentiell, nicht aber tatsächlich bekannt. Hinzu kommt, dass im vorliegenden Fall bei Annahme des Bestehens eines Auskunftsrechts durch die Beantwortung des Auskunftsbegehrens alle Betroffenen – einschließlich des Auskunftswerbers! – der Löschung der Daten nach 48 Stunden verlustig gegangen wären, obwohl die Löschung vor jeder Auswertung bei der Videoüberwachung die beste Gewähr zur Effektuierung von Geheimhaltungsrechten ist.
Anders als im Hinblick auf Daten, die nach einer Auswertung von Videoaufzeichnungen beim Auftraggeber gespeichert sind, ist zusammenfassend festzuhalten, dass im vorliegenden Fall, – in dem die beschwerdegegenständlichen Daten vor ihrer Löschung keiner Auswertung unterzogen wurden, sodass der Auftraggeber von den aufgezeichneten Daten tatsächlich keine Kenntnis erlangte, – ein Auskunftsrecht des Beschwerdeführers nicht entstanden ist, sodass er weder durch die Verweigerung der Übermittlung einer CD oder DVD mit einer Kopie der Bildaufzeichnungen noch durch die Nicht-Verhinderung des Überschreibens nach 48 Stunden in seinem Recht auf Auskunft verletzt sein konnte.“
Im Ergebnis hat die Datenschutzkommission daher das Bestehen eines Auskunftsrechts aus nicht-ausgewerteten Videoaufzeichnungen überhaupt verneint, indem sie eine solche Auskunft gleich einer Auskunft aus indirekt personenbezogenen Daten (§ 29 DSG 2000) gewertet hat. Wenn nun § 50e DSG 2000 keinen weitergehenden Auskunftsanspruch als § 26 DSG 2000 normiert, sondern lediglich die Modalitäten bei der Ausübung des Auskunftsrechts aus Videoüberwachungen näher regelt, also wie die Bilddaten selbst bekannt zu geben sind, sieht die Datenschutzkommission keinen Anlass, von ihrer bisherigen Rechtsprechung abzuweichen, zumal die dort angeführten Argumente für die Ausnahme vom Auskunftsrecht durch die Änderung der Rechtslage mit der DSG-Novelle 2010 nicht entkräftet werden. Für diese Ansicht sprechen auch die EB zur RV (472 d.B., XXIV. GP), wenn dort – wohl in Kenntnis der oben ausführlich zitierten Judikatur der Datenschutzkommission – ausgeführt wird, dass § 50e das Auskunftsrecht für Videoüberwachung lediglich „modifiziert“, also keinen neuen Auskunftsanspruch schaffen soll. Eine andere Auslegung kann dem Gesetzgeber – gerade in Kenntnis der Rechtssprechung der DSK – nicht unterstellt werden. Die Anwendbarkeit von § 50e DSG 2000 setzt also voraus, dass überhaupt ein Auskunftsanspruch besteht, was iS der genannten Rechtsprechung nur hinsichtlich ausgewerteter Videoaufzeichnungen der Fall wäre.
Wenn dagegen allenfalls ins Treffen geführt wird, dass diese Rechtsprechung der Datenschutzkommission mit der dem DSG 2000 zugrunde liegenden Richtlinie 95/46/EG nicht vereinbar sei, so wird auf Art. 13 RL verwiesen, wonach die Mitgliedsstaaten Ausnahmen ua. vom Auskunftsrecht iSd Art. 12 RL vorsehen können, die notwendig sind, um die Rechte und Freiheiten anderer Personen zu wahren (lit. g). Nichts anderes soll die Rechtsprechung der Datenschutzkommission bewirken. Es soll nicht allein aufgrund eines Auskunftsbegehrens dem Auftraggeber die Kenntnis über die erfassten – anderen – Personen gegeben werden (vgl. zu den bisherigen Ausführungen auch den Bescheid der Datenschutzkommission vom 30. Juli 2010, GZ K121.605/0014-DSK/2010).
Da im konkreten Fall eine Auswertung (wie festgestellt) nicht vorgenommen wurde, war die Beschwerde mangels Bestehen eines Auskunftsanspruchs gemäß § 26 DSG 2000 (iVm § 50e DSG 2000) abzuweisen.
Im Übrigen ist noch auszuführen, dass sämtliche den drei vom Beschwerdeführer im Parteiengehör zitierten Szenarien (Geltendmachung von zivilrechtlichen Ansprüchen gegen den Betreiber bzw. Dritte; Beweis zu einer bestimmten Zeit an einem bestimmten Ort gewesen zu sein) zugrunde liegenden Sachverhalte keine zulässigen Auswertungsfälle darstellen. In sämtlichen Fällen liegt kein gerichtlich strafbarer Tatbestand vor – nur solche würden überhaupt zur Auswertung berechtigen, Szenario 2 und 3 wären überhaupt als Fremdschutz zu werten (für dessen Zwecke prinzipiell nicht ausgewertet werden darf). Nach dzt. Rechtslage (§ 50a DSG 2000) wäre eine Auswertung nur wegen „gefährlicher Angriffe“ iSd § 50a Abs. 4 Z 1 DSG 2000 zulässig. „Gefährliche Angriffe“ iSd Bestimmung sind gerichtlich strafbare Vorsatztaten, Angriffe auf Betriebs- oder Geschäftsgeheimnisse sowie allenfalls grobe Verwaltungsübertretungen. Die geschilderten Szenarien entsprechen nicht diesen Auswertungsvoraussetzungen.
Rückverweise
