[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
(Ersatz )B E S C H E I D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. SOUHRADA-KIRCHMAYER, Dr. ROSENMAYR-KLEMENZ, Mag. HEILEGGER, Dr. BLAHA und Dr. GUNDACKER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 6. September 2013 folgenden Beschluss gefasst:
S p r u c h
Über die Beschwerde des Egon H*** in Wien (Beschwerdeführer) vom 24. Februar 2010 (ha. eingelangt am 1. März 2010), gegen die ÖBB Personenverkehr AG in Wien (Beschwerdegegnerin), wegen Verletzung im Recht auf Auskunft wird nach Aufhebung des Bescheids der Datenschutzkommission vom 30. Juli 2010, GZ: K121.605/0014-DSK/2010, durch Erkenntnis des Verwaltungsgerichtshofs vom 25. Juni 2013, Zl. 2010/17/0186, neuerlich entschieden:
Rechtsgrundlagen: § 1 Abs. 3 Z 1, § 26, § 50e und § 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF.
B e g r ü n d u n g :
A. Verfahrensgang und Vorbringen der Parteien
1. Der Beschwerdeführer behauptet eine Verletzung im Recht auf Auskunft nach § 1 Abs. 3 Z 1 iVm § 26 und § 50e DSG 2000 dadurch, dass seinem Auskunftsbegehren vom 18. Jänner 2010 (0:18 Uhr) betreffend die Datenanwendung „Videoüberwachung“ nicht ordnungsgemäß nachgekommen worden sei. Der Beschwerdeführer begehrt daher, dass die Datenschutzkommission über die Verletzung seines Auskunftsrechts erkennt und der Beschwerdegegnerin die Erteilung der Auskunft aufträgt. Außerdem begehrt er, die Datenschutzkommission möge eine Strafe nach § 52 DSG 2000 bei der zuständigen Bezirksverwaltungsbehörde anregen.
2. Die mit den Vorwürfen konfrontierte Beschwerdegegnerin bestritt einerseits mit Verweis auf die Judikatur der Datenschutzkommission zum DSG 2000 in der Fassung vor der Novelle BGBl I Nr. 133/2009 das Bestehen eines Auskunftsanspruchs (wie auch schon gegenüber dem Beschwerdeführer), andererseits sei das Auskunftsbegehren auch mangels unverzüglicher Weiterleitung von der „Ticketline Wien“, an die der Beschwerdeführer das Auskunftsbegehren gerichtet habe, verspätet bei der zuständigen Rechtsabteilung eingelangt. Es seien daher interne Maßnahmen eingeleitet worden (die nicht näher spezifiziert werden), damit zukünftig derartige Auskunftsbegehren unverzüglich an die zuständige Abteilung weitergeleitet würden. Es wird daher beantragt, die Beschwerde mangels Bestehen eines Auskunftsrechts abzuweisen und kein Strafverfahren gegen die Beschwerdegegnerin anzuregen.
3. Im dazu gewährten Parteiengehör meinte der Beschwerdeführer , die Beschwerdegegnerin biete auf ihrer Website weder eine direkte E-Mail-Adresse für Fragen der Videoüberwachung noch eine E-Mail-Adresse der Rechtsabteilung an, weshalb es ihm nur möglich war, die im Impressum genannte Adresse service@pv.oebb.at zu verwenden. Diese Adresse scheine auch zum Zeitpunkt des Parteiengehörs (März 2010) auf der Website der Beschwerdegegnerin auf. Ihre Behauptung, das Auskunftsbegehren wäre an eine „Ticketline Wien“ geschickt worden, sei daher nicht richtig. Die Beschwerdegegnerin habe auch nicht bestritten, dass prinzipiell Daten aufgezeichnet worden seien. Sein Begehren bleibe daher aufrecht.
4. Zum Vorhalt der Übermittlung des Auskunftsbegehrens an die E-Mail-Adresse service@pv.oebb.at bestätigte die Beschwerdegegnerin , am 18. Jänner 2010 das Auskunftsbegehren des Beschwerdeführers tatsächlich an diese E-Mail-Adresse erhalten zu haben. Die elektronische Korrespondenz an diese E-Mail-Adresse werde automatisch an wien.ticketline@pv.oebb.at geroutet, weshalb fälschlicherweise von einem Auskunftsbegehren an die Ticketline Wien ausgegangen worden sei. Rechtlich hielt die Beschwerdegegnerin an ihrer Meinung fest.
5. Da mit dieser Stellungnahme der Beschwerdegegnerin zum Sachverhalt die Behauptungen des Beschwerdeführers lediglich bestätigt wurden, erübrigte sich das Parteiengehör.
6. Mit Bescheid vom 30. Juli 2010, GZ: K121.605/0014-DSK/2010, wies die Datenschutzkommission die Beschwerde zur Gänze als unbegründet ab. Dagegen wurde vom Beschwerdeführer Beschwerde an den Verwaltungsgerichtshof erhoben.
7. Mit Erkenntnis vom 25. Juni 2013, Zl. 2010/17/0186, hat der Verwaltungsgerichtshof den Bescheid vom 20. Jänner 2010 wegen Rechtswidrigkeit infolge Unzuständigkeit der belangten Behörde aufgehoben . Dabei nahm der Verwaltungsgerichtshof Bezug auf das Urteil des Gerichtshofs der Europäischen Union vom 16. Oktober 2012 in der Rechtssache C-614/10, wonach die Republik Österreich dadurch gegen ihre Verpflichtungen aus Art 28 Abs. 1 Unterabsatz 2 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Warenverkehr verstoßen habe, dass sie nicht alle Vorschriften erlassen habe, die erforderlich seien, damit die in Österreich bestehende Rechtslage in Bezug auf die Datenschutzkommission dem Kriterium der Unabhängigkeit genüge, und zwar im Einzelnen dadurch, dass sie eine Regelung eingeführt habe, wonach
Daraus zog der Verwaltungsgerichtshof den Schluss, dass die Republik Österreich die in Art 28 Abs. 1 Unterabsatz 2 der Richtlinie 95/46/EG angeordnete Einführung einer Stelle, die die zugewiesenen Aufgaben „in völliger Unabhängigkeit“ wahrzunehmen hat, auch nach Ablauf der dreijährigen Umsetzungsfrist (der Richtlinie in innerstaatliches Recht) nicht (ausreichend) nachgekommen ist und sich daher die belangte Behörde, die im Entscheidungszeitpunkt jedenfalls den Vorgaben der Richtlinie nicht entsprochen hat, als unzuständig erweist.
8. Damit war die Verwaltungssache erneut zu entscheiden. Da der Sachverhalt bereits im ersten Rechtsgang vollständig ermittelt wurde, hat ein fortgesetztes Ermittlungsverfahren nicht stattgefunden.
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin auf das Begehren des Beschwerdeführers vom 18. Jänner 2010 rechtmäßig iSd DSG 2000 reagiert hat.
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:
Der Beschwerdeführer stellte am 18. Jänner 2010 mit der Behauptung, er sei am 17. Jänner 2010 von der zu DVR 2111135 registrierten Videoüberwachungsanlage der Beschwerdegegnerin erfasst worden, jeweils von seiner E-Mail-Adresse [E-Mail] um 00:07 Uhr per Mail an die Adresse service@pv.oebb.at sowie um 00:18 Uhr per Mail an die Adressen infra.kommunikation@oebb.at, info@bau.oebb.at sowie immo.service@oebb.at folgendes Auskunftsbegehren:
„Guten Tag!
Ich sende Ihnen hiermit ein Auskunftsersuchen nach § 26 iVm § 50e DSG. (Siehe PDF im Anhang) Ich möchte damit eine Kopie der von Ihnen Angefertigten Videoaufzeichnungen aus dem besagten Zug. Bitte beachten Sie, dass die Aufzeichnungen rechtzeitig vor der automatischen Löschung gesichtet werden müssen. Sollte dieses Auskunftsersuchen nicht positiv abgeschlossen werden kann eine Strafe von bis zu € 25.000 auferlegt werden.
MfG
[Beschwerdeführer]“
Diesem Mail war eine Beilage mit im Wesentlichen folgendem Inhalt angehängt:
„Anfrage nach Auskunft gemäß § 26 iVm. § 50e
DSG
Sehr geehrte Damen und Herren,
Ich wurde heute von Ihrer Datenanwendung „Videoüberwachung“ erfasst und fordere als Betroffener daher folgende Informationen von Ihnen:
Ich bitte Sie, mir besagte Informationen an obige Adresse innerhalb der gesetzlichen Frist zuzusenden. Eine solche Auskunft hat einmal pro Jahr kostenlos zu erfolgen.
Ich möchte Sie auch darauf hinweisen, dass nach einem Auskunftsbegehren ein löschen der Daten innerhalb von 4 Monaten verboten ist (§ 26 Abs. 7).
Würden Sie die Daten einer automatischen Löschung aussetzen, ist nach § 51 Abs. 1 mit bis zu €25.000 Strafe zu rechnen.
…
Meiner Mitwirkungspflicht sowie dem Nachweis meiner Identität komme ich mit den Informationen im Anhang nach. Dieses Schreiben wurde an Sie per E-Mail und per Fax übermittelt.
…“
Der Anhang lautet wie folgt:
„Informationen nach § 26 Abs. 4 iVm. § 50e Abs. 1
Ich bin am Sonntag (17.1.2010) um ca. 22:21 beim Bahnhof „Meidling“ in den einen von Ihnen betriebenen Zug (Wagennummer: ***) der Linie S1 eingestiegen. Ich bin bei der hintersten Türe eingestiegen und habe mir dann einen Sitzplatz gesucht.
Ich bin dann weiter bis zum Bahnhof „Praterstern“ gefahren wo ich den Zug wieder bei der vordersten Türe verlassen habe.
Zur Identifizierung sende ich Ihnen mit meiner gesendeten E-Mail ein Foto mit.
Ich habe folgende Kleidung getragen: Jeans, schwarze Jacke, Turnschuhe
Weiters möchte ich Ihnen zur Identifizierung auf den Bändern noch mitteilen, dass ich ca. 185cm groß bin und dunkelblonde, aufgestellte Haare habe.
Falls Sie noch weitere Infos benötigen können Sie mich unter [E-Mail] oder [Telefonnummer] jederzeit kontaktieren.
Hier noch eine Kopie meines Reisepasses als Identifikationsnachweis, sowie ein Foto um mich zu identifizieren.
[Es folgt eine Kopie des Reisepasses, Seite mit Lichtbild, sowie zwei Ganzkörperfotos des Beschwerdeführers, die ihn von hinten bzw. von links vorne mit der oben angeführten Kleidung zeigen]“
Beweiswürdigung: Diese Feststellungen ergeben sich aus den Beilagen zur Beschwerde bzw. zum Parteiengehör (E-Mail an service@pv.oebb.at) und wurden von der Beschwerdegegnerin auch nicht bestritten.
Die Beschwerdegegnerin reagierte mit folgendem Schreiben auf das Auskunftsbegehren des Beschwerdeführers (wesentliche Inhalte):
„Auskunft gemäß § 26 iVm § 50e DSG; Ihr Schreiben vom 17.01.2010
Sehr geehrter [Beschwerdeführer],
betreffend Ihres Auskunftsbegehrens gemäß § 26 iVm § 50e Datenschutzgesetz 2000 geben wir Ihnen bekannt, dass die Videoüberwachung in den Nahverkehrs-Triebwagen des Typs „Talent“ der ÖBB-Personenverkehr AG auf der Grundlage eines Bescheides der Datenschutzkommission vom 30.09.2009 erfolgt.
Der Zweck der Videoüberwachung ist der Schutz des Eigentums der ÖBB-Personenverkehr AG, insbesondere gegen Vandalismus, sowie der Schutz von Mitarbeitern und Personen, denen gegenüber die ÖBB-Personenverkehr AG gesetzlich zu besonderer Verantwortung verpflichtet ist, das sind insbesondere Fahrgäste.
Es werden ausschließlich Bilddaten der in den Nahverkehrstriebwagen des Typs „Talent“ befindlichen Personen gespeichert. Eine Auswertung der Videodaten erfolgt nur im Falle von Vandalismusschäden bzw. bei Verdacht von strafrechtlich relevanten Vorfällen und nur in dem für die Beweiszecke erforderlichen Umfang. Die Bilddaten werden ausschließlich an Sicherheitsbehörden, Gerichte oder Staatsanwaltschaften übermittelt.
Eine inhaltliche Auskunft hinsichtlich der Videodaten müssen wir jedoch ablehnen, da wir in dem von Ihnen genannten Zeitraum keine Auswertungen von Videodaten bei der von Ihnen angeführten Nahverkehrs-Garnitur durchgeführt haben. Wie auch die Datenschutzkommission in ihrem Bescheid vom 5.12.2008 (K121.401/0009-DSK/2008) festgestellt hat, besteht ein Auskunftsrecht im Zusammenhang mit Videodaten nur in denjenigen Fällen, in denen bereits eine Auswertung der Videoaufzeichnungen vorgenommen wurde.
…“
Nach Urgenz der Aushändigung der Bilddaten mit Schreiben des Beschwerdeführers vom 18. Februar 2010 teilte die Beschwerdegegnerin jenem mit Schreiben vom 24. Februar 2010 mit, dass die neue Rechtslage nichts an der genannten Rechtsprechung der Datenschutzkommission ändern würde. Eine vorsätzliche Löschung von etwaig vorhandenen Videodaten wird in Abrede gestellt:
„… Da das diesbezügliche Auskunftsbegehren erst nach Ablauf der Aufzeichnungsdauer bei der zuständigen Abteilung einlangte, waren die Videodaten des angegebenen Zeitraums bereits gelöscht. …“
Beweiswürdigung: Diese Feststellungen ergeben sich aus den jeweiligen Schreiben selbst. Die Beschwerdeparteien haben insbesondere den jeweiligen Zugang der Schreiben nicht bestritten.
D. In rechtlicher Hinsicht folgt daraus
1. anzuwendende Rechtsvorschriften
Die Verfassungsbestimmung des § 1 DSG 2000 lautet auszugsweise:
„Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;
2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.
…“
§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Er lautet im Wesentlichen wie folgt:
„Auskunftsrecht
§ 26. (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.
(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Auskunftswerbers aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.
Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit
1. des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich oder
2. der Sicherung der Einsatzbereitschaft des Bundesheeres oder
3. der Sicherung der Interessen der umfassenden Landesverteidigung oder
4. des Schutzes wichtiger außenpolitischer, wirtschaftlicher oder finanzieller Interessen der Republik Österreich oder der Europäischen Union oder
5. der Vorbeugung, Verhinderung oder Verfolgung von Straftaten
ergeben. Die Zulässigkeit der Auskunftsverweigerung aus den Gründen der Z 1 bis 5 unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission gemäß § 31 Abs. 4.
(3) Der Auskunftswerber hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.
(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.
…“
§ 50a Abs. 1 DSG 2000 lautet unter der Überschrift „9a.
Abschnitt Videoüberwachung Allgemeines“:
„§ 50a. (1) Videoüberwachung im Sinne dieses Abschnittes bezeichnet die systematische, insbesondere fortlaufende Feststellung von Ereignissen, die ein bestimmtes Objekt (überwachtes Objekt) oder eine bestimmte Person (überwachte Person) betreffen, durch technische Bildaufnahme- oder Bildübertragungsgeräte. Für derartige Überwachungen gelten die folgenden Absätze, sofern nicht durch andere Gesetze Besonderes bestimmt ist.“
§ 50e DSG 2000 lautet:
„Auskunftsrecht
§ 50e. (1) Abweichend von § 26 Abs. 1 ist dem Auskunftswerber, nachdem dieser den Zeitraum, in dem er möglicherweise von der Überwachung betroffen war, und den Ort möglichst genau benannt und seine Identität in geeigneter Form nachgewiesen hat, Auskunft über die zu seiner Person verarbeiteten Daten durch Übersendung einer Kopie der zu seiner Person verarbeiteten Daten in einem üblichen technischen Format zu gewähren. Alternativ kann der Auskunftswerber eine Einsichtnahme auf Lesegeräten des Auftraggebers verlangen, wobei ihm auch in diesem Fall die Ausfolgung einer Kopie zusteht. Die übrigen Bestandteile der Auskunft (verfügbare Informationen über die Herkunft, Empfänger oder Empfängerkreise von Übermittlungen, Zweck, Rechtsgrundlagen sowie allenfalls Dienstleister) sind auch im Fall der Überwachung schriftlich zu erteilen, wenn nicht der Auskunftswerber einer mündlichen Auskunftserteilung zustimmt.
(2) § 26 Abs. 2 ist mit der Maßgabe anzuwenden, dass in dem Fall, dass eine Auskunft wegen überwiegender berechtigter Interessen Dritter oder des Auftraggebers nicht in der in Abs. 1 geregelten Form erteilt werden kann, der Auskunftswerber Anspruch auf eine schriftliche Beschreibung seines von der Überwachung verarbeiteten Verhaltens oder auf eine Auskunft unter Unkenntlichmachung der anderen Personen hat.
(3) In Fällen der Echtzeitüberwachung ist ein Auskunftsrecht ausgeschlossen.“
2. Rechtliche Schlussfolgerungen:
a. zur Zuständigkeit der Datenschutzkommission
Der Verwaltungsgerichtshof hat mit Erkenntnis vom 25. Juni 2013, Zl. 2010/17/0186, die Datenschutzkommission als im Zeitpunkt der Entscheidung über die vorliegende Beschwerde im ersten Rechtsgang, dem 30. Juli 2010, unzuständige Behörde eingestuft und demzufolge den Bescheid GZ: K121.605/0014- DSK/2010 wegen Rechtswidrigkeit infolge Unzuständigkeit der belangten Behörde aufgehoben. Gemäß § 63 Abs. 3 VwGG ist die Datenschutzkommission verpflichtet, den der Rechtsansicht des Höchstgerichts entsprechenden Zustand herzustellen. Daher ist zunächst zu prüfen, ob die vom Verwaltungsgerichtshof festgestellte Unzuständigkeit der Datenschutzkommission weiterhin gegeben ist.
Mit der DSG-Novelle 2013, BGBl. I Nr. 57/2013, hat die Republik Österreich in Reaktion auf das EuGH-Urteil vom 16. Oktober 2012, Rs C-614/10, im Datenschutzgesetz 2000 vorgesehen, dass die Datenschutzkommission selbst Dienstbehörde und Personalstelle ist, die Bediensteten der Geschäftsstelle nur den Weisungen des Vorsitzenden der Datenschutzkommission unterstehen und der Vorsitzende der Datenschutzkommission die Diensthoheit über die Bediensteten in der Geschäftsstelle ausübt (§ 37 Abs. 2 DSG 2000). Überdies wurde das Unterrichtungsrecht des Bundeskanzlers nach § 38 Abs. 2 DSG 2000 dahingehend eingeschränkt, dass der Vorsitzende der Datenschutzkommission dem Unterrichtungsrecht nur insoweit zu entsprechen hat, als dies nicht der völligen Unabhängigkeit der Kontrollstelle im Sinne von Art. 28 Abs. 1 UAbs. 2 der Datenschutz-Richtlinie widerspricht.
Die DSG-Novelle 2013 trat mit 1. Mai 2013 in Kraft, sodass die Schlussfolgerung des Verwaltungsgerichtshofes, die Datenschutzkommission sei zur Entscheidung über die vorliegende Beschwerde unzuständig gewesen, weil sie nach den Vorgaben der Richtlinie 95/46/EG nicht „völlig unabhängig“ sei, jedenfalls mit jenem Datum nicht mehr zutreffend ist. Die Datenschutzkommission ist seit 1. Mai 2013 daher zur Entscheidung über die vorliegende Beschwerde zuständig. Daher ist die Beschwerde in weiterer Folge meritorisch zu prüfen, wobei hier keine für die Datenschutzkommission präjudizielle Rechtsansicht des Höchstgerichts vorliegt.
b. in der Sache selbst
Die noch nach der Rechtslage vor Inkrafttreten der DSG-Novelle 2010 (BGBl. I Nr. 133/2009) nach Bescheid der Datenschutzkommission vom 30. September 2009, GZ K600.037- 002/0003-DVR/2009, zu DVR 2111135 (DAN 002) – schließlich unbefristet – für die Beschwerdegegnerin registrierte Videoüberwachung erfüllt unzweifelhaft den Videoüberwachungsbegriff des § 50a Abs. 1 DSG 2000, sodass – neben den allgemeinen Bestimmungen des DSG 2000 – auch die Bestimmungen des Abschnittes 9a. des DSG 2000 zur Anwendung gelangen.
§ 50e Abs. 1 DSG 2000 bezieht sich zum Recht auf Auskunft ausdrücklich auf § 26 DSG 2000 in der Weise, dass die Form der Auskunftserteilung „abweichend von § 26 Abs. 1“ geregelt wird:
Und zwar ist Auskunft – in erster Linie – durch Zurverfügungsstellung einer Kopie der Videobildaufzeichnungen über den Auskunftswerber zu erteilen.
Aus dem Umstand, dass § 50e nur Abweichungen von § 26 DSG 2000 regelt, ist aber zu schließen, dass er keine völlig neue und eigenständige Art der Auskunft regeln will, sondern das bereits gemäß § 26 DSG 2000 bestehende Auskunftsrecht für aufgezeichnete Bilddaten ergänzen und anpassen will.
Hieraus folgt, dass dann, wenn ein Auskunftsanspruch schon gemäß § 26 DSG 2000 bzw. den sonstigen Regelungen des DSG 2000 ausgeschlossen wäre, auch kein Auskunftsrecht aus aufgezeichneten Bilddaten nach § 50e bestünde.
Die Datenschutzkommission hat auf Basis der Rechtslage vor Inkrafttreten der DSG-Novelle 2010 zum Auskunftsanspruch aus aufgezeichneten Bilddaten für den Fall, dass keine Auswertung aus diesen Bilddaten stattgefunden hat, Folgendes wiederholt ausgeführt (vgl. für viele den Bescheid vom 5. Dezember 2008, GZ K121.385/0007-DSK/2008):
„Videoaufzeichnungen enthalten zunächst Daten über Personen, welchen vom Auftraggeber noch keine Identität (im Sinne eines bestimmten Namens, Geburtsdatums, etc.) zugeordnet ist. Es handelt sich um nur „bestimmbare“ Daten im Sinne des § 4 Z 1 erster Satz DSG 2000.
Hinzu kommt ein weiteres besonderes und datenschutzrechtlich äußerst relevantes Element: Solange der Auftraggeber die Videoaufzeichnungen nicht ausgewertet hat, kennt er nicht einmal die nur „bestimmbaren“ Daten – er hat sie zwar ermittelt und speichert sie in seinem „Herrschaftsbereich“ und ist daher Auftraggeber iSd § 4 Z 4 DSG 2000, darf jedoch regelmäßig von ihnen keine Kenntnis nehmen, es sei denn, dass ein Auswertungsanlass tatsächlich eingetreten ist, der im Registrierungsverfahren als Fall des Vorliegens eines überwiegenden berechtigten Auswertungsinteresses anerkannt wurde.
Dies ist eine außergewöhnliche Fallkonstellation, die von dem Normalfall der gemäß § 26 Abs. 1 zu beauskunftenden Datenanwendungen wesentlich verschieden ist: Der Auftraggeber einer Videoaufzeichnung weiß nicht, „zu wessen Person“ Daten gespeichert sind, und darf es auch – außer im Auswertungsanlassfall – nicht in Erfahrung bringen. Dieses Verbot steht im Konflikt zur Auskunftserteilung, da diese eine Durchsuchung der Aufzeichnungen voraussetzt, ohne dass der als „vorrangig“ anerkannte Anlass vorliegt.
Der Gesetzgeber hat in einem anderen Zusammenhang, in dem die Identität der von seiner Datenanwendung Betroffenen dem Auftraggeber ebenfalls unbekannt ist und auch nicht in Erfahrung gebracht werden darf, das Bestehen eines Auskunftsrechts verneint, und zwar im Zusammenhang mit indirekt personenbezogenen Daten (§ 4 Z 1 zweiter Satz DSG 2000). Indirekt personenbezogene Daten sind eine spezielle Art „bestimmbarer Daten“, bei welchen anstelle der Identifikation ein dem Auftraggeber unbekanntes Pseudonym verwendet wird und jeder Versuch einer Identifikation verboten ist. Dieses Verbot ist eine besondere Schutzmaßnahme für die Betroffenen, deren Verletzung unter Strafe gestellt ist. Den Auftraggeber durch ein Auskunftsersuchen zu zwingen, entgegen dem Sinn der Verwendung indirekt personenbezogener Daten zu versuchen – insbesondere durch Kontaktnahme mit jenem Auftraggeber, der die Daten in direkt personenbezogener Form (mit Namen) hat – einen Datensatz einem namentlich bestimmten Betroffenen zuzuordnen und dadurch das zum Schutz des Betroffenen bestehende Identifizierungsverbot zu unterlaufen, wurde vom Gesetzgeber als so widersinnig angesehen, dass er das Bestehen eines Auskunftsrechts ausdrücklich verneint hat (siehe § 29 DSG 2000).
Die Datenschutzkommission ist der Auffassung, dass das Bestehen eines Auskunftsrechts aus nicht ausgewerteten Videoaufzeichnungen in gleicher Weise zu beurteilen ist wie dies § 29 DSG 2000 für indirekt personenbezogene Daten vornimmt:
Videoüberwachung als systematische Speicherung von Daten über Betroffene, die in einer weit überwiegenden Zahl der Fälle keinen Anlass zur Ermittlung ihrer Daten gegeben haben, da sie kein rechtswidriges Verhalten gesetzt haben, kann überhaupt nur dann als datenschutzrechtlich „erträglich“ angesehen werden, wenn gesichert ist, dass die ermittelten Daten nur ausnahmsweise benutzt und damit im Normalfall der Kenntnisnahme durch den Auftraggeber durch Auswertung der Daten nicht zugänglich gemacht werden. Das wesentlichste Schutzelement für die von einer Videoüberwachung Betroffenen liegt also darin, dass die Überwachungsdaten möglichst bald wieder gelöscht werden und im Übrigen eine Auswertung nur in jenen relativ seltenen Fällen stattfindet, die als Anlass der Auswertung von vornherein definiert und im Zuge des Registrierungsverfahrens als „überwiegend“ gegenüber den Datenschutzinteressen allfälliger Betroffener zugelassen wurden.
Es besteht somit – so wie bei der Verwendung indirekt personenbezogener Daten – ein Verbot der Identifizierung (hier: außerhalb des Auswertungsanlassfalls), das essentiell für die Zulässigkeit der Verwendung derartiger Daten ist. Ohne dieses Verbot wäre weder die Verwendung von indirekt personenbezogenen Daten noch die Vornahme von Videoüberwachung mit dem Grundrecht auf Datenschutz überhaupt vereinbar.
Angesichts dieses Verbotes, das den wichtigsten Schutz gegen den durch Videoüberwachung bewirkten erheblichen Eingriff in das Grundrecht auf Datenschutz aller Betroffenen darstellt, wäre es widersinnig anzunehmen, dass der Auftraggeber einer Videoüberwachung durch ein Auskunftsbegehren zur Umgehung seiner Verpflichtung, keine Identifizierung der gefilmten Personen vorzunehmen bzw. zu versuchen, gezwungen sein sollte. Das Bestehen einer Pflicht zur Auskunftserteilung würde in diesem Fall einen Wertungswiderspruch offenlegen, der dem Gesetzgeber nicht zugesonnen werden kann – und zwar umso mehr, als er in dem nicht unähnlich gelagerten Fall der indirekt personenbezogenen Daten diesen Widerspruch dadurch ausdrücklich ausgeschlossen hat, dass er das Bestehen eines Auskunftsrechts verneint hat.
Hinzu kommt im Fall der Videoaufzeichnungen, dass die Annahme des Bestehens eines Auskunftsrechts aus nicht ausgewerteten Videoaufzeichnungen die Datenschutzrechte der übrigen Personen, die von der Aufzeichnung betroffen sind, unverhältnismäßig beeinträchtigen würde:
Bei einer Auskunft darüber, ob der Auskunftswerber Gegenstand von bestimmten Videoaufzeichnungen ist, kommt es zwar nicht notwendig zur Identifizierung aller Personen, die auf den Videobildern zu sehen sind, doch kann es zu Zufallserkennungen und Zufallsfunden kommen, die bei einer Beschränkung der Bildauswertung auf die im Rahmen des Überwachungszwecks definierten Anlassfälle nicht erfolgt wären, da ein „Anlassfall“ innerhalb der jeweiligen Löschfrist vielleicht nicht aufgetreten wäre. D. h., dass die Auswertung des Bildmaterials für Zwecke der Auskunftserteilung eine datenschutzrechtliche „Gefahr“ für alle in den Aufzeichnungen enthaltenen Personen darstellt, weil ihre Verhaltensweise erst durch die Auswertung der Videoaufzeichnungen dem Auftraggeber bekannt wird.
… [Dabei geht es nicht nur darum] …, ob [der Auskunftswerber] Daten über andere Betroffene zur Kenntnis bekommt, sondern v. a. auch darum, dass erst durch die Auswertung für Zwecke der Auskunftserteilung der Auftraggeber die Daten der anderen Betroffenen „zur Kenntnis bekommt“, da die Daten erstmals bei der Auswertung von einem Menschen (dem Organ des Auftraggebers) eingesehen werden – bis dahin sind sie dem Auftraggeber nur potentiell, nicht aber tatsächlich bekannt. Hinzu kommt, dass im vorliegenden Fall bei Annahme des Bestehens eines Auskunftsrechts durch die Beantwortung des Auskunftsbegehrens alle Betroffenen – einschließlich des Auskunftswerbers! – der Löschung der Daten nach 48 Stunden verlustig gegangen wären, obwohl die Löschung vor jeder Auswertung bei der Videoüberwachung die beste Gewähr zur Effektuierung von Geheimhaltungsrechten ist.
Anders als im Hinblick auf Daten, die nach einer Auswertung von Videoaufzeichnungen beim Auftraggeber gespeichert sind, ist zusammenfassend festzuhalten, dass im vorliegenden Fall, – in dem die beschwerdegegenständlichen Daten vor ihrer Löschung keiner Auswertung unterzogen wurden, sodass der Auftraggeber von den aufgezeichneten Daten tatsächlich keine Kenntnis erlangte, – ein Auskunftsrecht des Beschwerdeführers nicht entstanden ist, sodass er weder durch die Verweigerung der Übermittlung einer CD oder DVD mit einer Kopie der Bildaufzeichnungen noch durch die Nicht-Verhinderung des Überschreibens nach 48 Stunden in seinem Recht auf Auskunft verletzt sein konnte.“
Im Ergebnis hat die Datenschutzkommission daher das Bestehen eines Auskunftsrechts aus nicht-ausgewerteten Videoaufzeichnungen überhaupt verneint, indem sie eine solche Auskunft gleich einer Auskunft aus indirekt personenbezogenen Daten (§ 29 DSG 2000) gewertet hat. Wenn nun § 50e DSG 2000 keinen weitergehenden Auskunftsanspruch als § 26 DSG 2000 normiert, sondern lediglich die Modalitäten bei der Ausübung des Auskunftsrechts aus Videoüberwachungen näher regelt, also wie die Bilddaten selbst bekannt zu geben sind, sieht die Datenschutzkommission keinen Anlass, von ihrer bisherigen Rechtsprechung abzuweichen, zumal die dort angeführten Argumente für die Ausnahme vom Auskunftsrecht durch die Änderung der Rechtslage mit der DSG-Novelle 2010 nicht entkräftet werden. Für diese Ansicht sprechen auch die EB zur RV (472 d.B., XXIV. GP), wenn dort – wohl in Kenntnis der oben ausführlich zitierten Judikatur der Datenschutzkommission – ausgeführt wird, dass § 50e das Auskunftsrecht für Videoüberwachung lediglich „modifiziert“, also keinen neuen Auskunftsanspruch schaffen soll. Eine andere Auslegung kann dem Gesetzgeber – gerade in Kenntnis der Rechtsprechung der DSK – nicht unterstellt werden. Die Anwendbarkeit von § 50e DSG 2000 setzt also voraus, dass überhaupt ein Auskunftsanspruch besteht, was iS der genannten Rechtsprechung nur hinsichtlich ausgewerteter Videoaufzeichnungen der Fall wäre.
Wenn dagegen allenfalls ins Treffen geführt wird, dass diese Rechtsprechung der Datenschutzkommission mit der dem DSG 2000 zugrunde liegenden Richtlinie 95/46/EG nicht vereinbar sei, so wird auf Art. 13 RL verwiesen, wonach die Mitgliedsstaaten Ausnahmen ua. vom Auskunftsrecht iSd Art. 12 RL vorsehen können, die notwendig sind, um die Rechte und Freiheiten anderer Personen zu wahren (lit. g). Nichts anderes soll die Rechtsprechung der Datenschutzkommission bewirken. Es soll nicht allein aufgrund eines Auskunftsbegehrens dem Auftraggeber die Kenntnis über die erfassten – anderen – Personen gegeben werden.
Da im konkreten Fall eine Auswertung nicht vorgenommen wurde, war die Beschwerde mangels Bestehen eines Auskunftsanspruchs in Bezug auf die Bilddaten selbst, gemäß § 26 DSG 2000 (iVm § 50e DSG 2000) abzuweisen.
Rückverweise
Keine Verweise gefunden
