DSB 2025-0.811.087

GZ: 2025-0.811.087 vom 27. Oktober 2025 (Verfahrenszahl: DSB-D550.1224)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

Straferkenntnis

Beschuldigte: Liane B***, geb. am **.**.197*

Sie haben als Verantwortliche im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen:

I. Sie haben im Zeitraum vom 01.02.2024 bis zum 16.09.2025 (in der Folge „Tatzeitraum I“) an der Adresse „C***-Gasse *7, **** A***dorf“ (im Folgenden „Tatort“) durch die Videokamera 3 - der von Ihnen zum Schutz Ihres Eigentums betriebenen Videoüberwachungsanlage - unrechtmäßig personenbezogene Daten von Passanten und Passantinnen (in der Folge „Betroffene“) verarbeitet, indem Sie in den Öffnungszeiten (Montag bis Freitag von 07:00 Uhr bis 20:00 Uhr sowie Samstag, Sonntag & Feiertag zwischen 09:00 Uhr und 18:00 Uhr) Ihres Blumenladens mit der Bezeichnung „Blumen ***“ entgegen dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO unter anderem die öffentlich zugängliche Gehsteigfläche am Tatort erfassten. Videokamera 3 erfasste im Tatzeitraum I somit regelmäßig - entgegen dem der Anlage immanenten Zweck - Betroffene, ohne dass eine die Verarbeitung rechtfertigende Bedingung im Sinne der Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 DSGVO vorlag.

II. Sie haben darüber hinaus zwei Lichtbildaufnahmen der Aufzeichnungen Ihrer Videoüberwachungsanlage, konkret Lichtbildaufnahmen der Videokamera 2 und der Videokamera 3, welche dieselbe Person (in der Folge „Betroffener“) mit weißem T-Shirt und blauer Hose - einmal vor und einmal in Ihrem Blumenladen am Tatort - zeigen, zweckwidrig weiterverarbeitet, indem Sie diese am 16.07.2025 um 20:31 Uhr über Ihr von jedermann abrufbares V***net-Profil „Blumen ***“ mit nachstehendem Begleittext veröffentlicht und bis zum 04.09.2025 (in der Folge „Tatzeitraum II“) öffentlich gehalten haben:

„ACHTUNG

Wir bitte um eure Hilfe, wir suchen diesen Mann, wegen Diebstahl in A***dorf. Am DIENSTAG 15.7. 2025 um 14:55 betrat dieser Mann mit deutschem Akzent den Laden in A***dorf und entwendete privates Eigentum…

Bei der Polizei wurde Anzeige erstattet.

Wenn jemand was gesehen hat oder diesen Mann kennt bitte der Polizei melden

DANKE“

Die Weiterverarbeitung gemäß Art. 6 Abs. 4 DSGVO erfolgte somit ohne einschlägige Rechtsgrundlage nach Art. 5 Abs. 1 lit. a DSGVO sowie Art. 6 Abs. 1 DSGVO iVm Art. 10 DSGVO.

III. Der gegen Sie im Rahmen der Aufforderung zur Rechtfertigung vom 07.08.2025, GZ: D550.1224; 2025-0.580.509 erhobene Tatvorwurf, dass Sie in Ihrer Rolle als Verantwortliche gegen Ihre Informationspflicht gemäß Art. 13 DSGVO verstoßen, indem Sie in den oben angeführten Tatzeiträumen und am oben angeführten Tatort keine geeignete Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den Betroffenen vorgenommen haben, um sie über eine Verarbeitung durch die Videoüberwachungsanlage zu informieren, wird gemäß § 45 Abs. 1 Z 1 (erster Fall) VStG eingestellt.

Verwaltungsübertretungen nach:

Ad. I: Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 lit. f sowie Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Ad. II: Art. 5 Abs. 1 lit. a sowie Art. 6 Abs. 1 lit. f iVm Art. 10 sowie Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretungen wird folgende Strafe verhängt:

​

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 - VStG zu zahlen:

150

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

1.650

Euro

Zahlungsfrist:

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt], lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.

Begründung:

1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest:

1.1. Die Beschuldigte ist Einzelunternehmerin und betreibt einen Blumenladen mit der Bezeichnung „Blumen ***“ (in der Folge „Blumenladen“) an der Adresse „C***-Gasse *7, **** A***dorf“ (im Folgenden „Tatort“). Die Beschuldigte übt seit 01.08.2002 das Gewerbe der „Blumenbinder (Floristen)“ aus und hat seit 15.04.2005 überdies ein Handelsgewerbe.

Der Blumenladen ist von Montag bis Freitag von 07:00 Uhr bis 20:00 Uhr sowie Samstag, Sonntag & Feiertag zwischen 09:00 Uhr und 18:00 Uhr geöffnet (in der Folge „Öffnungszeiten“). Von Montag bis Freitag zwischen 09:00 Uhr und 13:00 Uhr ist Personal der Beschuldigten bzw. die Beschuldigte zugegen, über diese Zeiträume ist der Blumenladen in Form der Selbstbedienung geöffnet.

1.2. Die Beschuldigte hat seit Jänner 2024 zum Schutz ihres Eigentums vor Beschädigung, Diebstahl und Einbruch sowie sonstigem schädigenden Verhalten eine Videoüberwachungsanlage bestehend aus drei Videokameras der Marke „Cam***link Wifi ** Kamera“ in Betrieb. Hierbei befinden sich zwei Videokameras im Innen- (Videokamera 1 und Videokamera 2) und eine Videokamera im Außenbereich (Videokamera 3) und des Blumenladens.

Die Beschuldigte hat die Videokamera 3 am 16.09.2025 - nach Einleitung des gegenständlichen Verwaltungsstrafverfahrens - deaktiviert.

1.3. Der Beschuldigten ist der Zugriff auf die Videoüberwachungsanlage jederzeit mittels ihres Mobiltelefons möglich. Die Videoüberwachungsanlage ist innerhalb der Öffnungszeiten des Blumenladens aktiviert. Die Aufzeichnungen werden für 72 Stunden gespeichert.

1.4. Die Aufnahmebereiche der Videoüberwachungsanlage im Innenbereich stellen sich wie folgt dar (Formatierung nicht 1:1 übernommen):

[Anmerkung Bearbeiter/in: das an dieser Stelle im Original wiedergegebene digitale Lichtbild in einem grafischen Format wurde aus Pseudonymisierungsgründen entfernt.]

(Abbildung 1; Videokamera 1)

Videokamera 1 umfasst den Verkaufsbereich des Blumenladens. An der rechten Seite des Aufnahmebereichs befindet sich die Eingangstür. Personen werden bei Betreten des Blumenladens vom Aufnahmebereich erfasst. Personen, die den Blumenladen noch nicht betreten haben, werden nicht erfasst.

[Anmerkung Bearbeiter/in: das an dieser Stelle im Original wiedergegebene digitale Lichtbild in einem grafischen Format wurde aus Pseudonymisierungsgründen entfernt.]

(Abbildung 2; Videokamera 2)

Videokamera 2 umfasst den Kassenbereich des Blumenladens. Im Kassenbereich befindet sich eine Möglichkeit zur Bezahlung der Ware mit Karte. Kunden sowie Kundinnen werden bei Bezahlung der Ware erfasst.

1.5. Der Aufnahmebereich der Videoüberwachungsanlage im Außenbereich stellte sich jedenfalls im Zeitraum vom 01.02.2024 bis zum 16.09.2025 (in der Folge „Tatzeitraum I“) wie folgt dar (Formatierung nicht 1:1 übernommen):

[Anmerkung Bearbeiter/in: das an dieser Stelle im Original wiedergegebene digitale Lichtbild in einem grafischen Format wurde aus Pseudonymisierungsgründen entfernt.]

(Abbildung 3; Videokamera 3)

Videokamera 3 umfasste die Gehsteigfläche vor dem Blumenladen. Der Aufnahmebereich erfasste daher im Tatzeitraum I regelmäßig Passanten und Passantinnen (in der Folge „Betroffene“).

1.6. Die Videoüberwachungsanlage ist an der Eingangstüre wie folgt gekennzeichnet (Formatierung nicht 1:1 übernommen):

[Anmerkung Bearbeiter/in: das an dieser Stelle im Original wiedergegebene digitale Lichtbild in einem grafischen Format wurde aus Pseudonymisierungsgründen entfernt.]

(Abbildung 4; Kennzeichnung der Videoüberwachungsanlage)

1.7. Die Beschuldigte hat Ausschnitte der Aufzeichnung der Videoüberwachungsanlage, konkret von Videokamera 2 sowie von Videokamera 3, angefertigt und diese am 16.07.2025, um 20:31 Uhr (in der Folge „Beginn Tatzeitraum II“) über das ihr zuzurechnende und von jedermann abrufbare V***net-Profil „Blumen ***“ in einem Beitrag veröffentlicht.

Die veröffentlichten Lichtbilder zeigen jeweils dieselbe Person mit weißem T-Shirt und blauer kurzer Hose (in der Folge „Betroffener“), einmal vor und einmal im Blumenladen am Tatort.

Der zugehörige V***net – Beitrag gestaltet sich konkret wie folgt (Formatierung nicht 1:1 übernommen):

[Anmerkung Bearbeiter/in: Das an dieser Stelle in zwei Teilen als Screenshots in einem grafischen Format dargestellten Social-Media-Posting wurden aus Pseudonymisierungsgründen (enthalten sind u.a. zwei Lichtbilder einer betroffenen Person mit dem Vermerk „Bitte ganz oft teilen“) entfernt. Es enthält den im Punkt II des Spruchs wiedergegebenen Text.]

(Abbildung 5; V***net-Beitrag)

Die Beschuldigte hat den Beitrag am 04.09.2025 (in der Folge „Ende Tatzeitraum II“) - nach Erhalt der Aufforderung zur Rechtfertigung vom 07.08.2025 - gelöscht.

1.8. Die Beschuldigte erwirtschaftete im Jahr 2024 durch den Blumenladen einen Umsatz in Höhe von EUR 114.***.**. [Anmerkung Bearbeiter/in: genauer Betrag aus Pseudonymisierungsgründen entfernt.]

2. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen:

2.1. Die Feststellungen zum Einzelunternehmen der Beschuldigten in Punkt 1.1. ergeben sich aus einer amtswegigen Abfrage des Unternehmensregisters unter der Kennziffer: *56*T*23W. Die getroffenen Feststellungen zu den Gewerben ergeben sich aus einer amtswegigen Abfrage des Gewerbeinformationssystem Austria unter der GISA-Zahl *4*00*1*1 sowie der GISA-Zahl *7*10*6*3.

Die getroffenen Feststellungen zu den Öffnungszeiten ergeben sich für die Datenschutzbehörde aus einer amtswegigen Abfrage über der Webseite der Beschuldigten (https://www.blumen-***.at/, zuletzt abgerufen am 23.10.2025) sowie den Angaben der Beschuldigten im Rahmen ihrer Rechtfertigung vom 16.09.2025. Die Feststellung, dass in gewissen Zeiträumen Personal der Beschuldigten oder die Beschuldigte selbst zugegen ist, ergibt sich aus dem auf der Webseite der Beschuldigten befindlichen Hinweis „Öffnungszeiten (Hier helfen wir Dir gerne auch persönlich weiter) Montag bis Freitag: 9.00-13.00 Uhr“.

2.2. Die getroffenen Feststellungen zu Punkt 1.2. ergeben sich aus der Rechtfertigung der Beschuldigten vom 16.09.2025, in welcher diese ausführt, die Videoüberwachungsanlage seit Jänner 2024 zu haben sowie aus der ergänzenden Stellungnahme vom 07.10.2025, in welcher die Beschuldigte angab, dass es sich bei den Videokameras um Kameras der Marke „Cam***link Wifi ** Kamera“ handle. Die Anzahl der Videokameras ergibt sich aus einer Zusammenschau der vorliegenden Lichtbilder, insbesondere der von der Beschuldigten vorgelegten Aufnahmebereiche der Videokamera 1 und Videokamera 2, des Lichtbildes von der Position der Videokamera 3 sowie dem der Ersteingabe beigelegten Screenshot des V***net-Beitrages.

Die Feststellung hinsichtlich der Deaktivierung der Videokamera 3 ergibt sich aus der Rechtfertigung der Beschuldigten vom 16.09.2025 sowie der im Rahmen der ergänzenden Stellungnahme vom 07.10.2025 vorgelegten Lichtbilddokumentation, welche zeigt, dass die Außenkamera nunmehr gänzlich vom Strom genommen und folglich auch nicht mehr aufzeichnungsfähig ist.

2.3. Die Feststellungen zu Punkt 1.3. fußen auf der Rechtfertigung der Beschuldigten vom 16.09.2025, in welcher diese ausführte, dass der Zugriff über ihr Mobiltelefon erfolgen könne und diese auf Nachfrage ausführte, dass diese auch Live- Aufnahmen ansehen könne. Die Feststellung betreffend den Zeitraum, in welchem die Videoüberwachungsanlage aktiviert ist, ergibt sich ebenso aus der Rechtfertigung der Beschuldigten vom 16.09.2025. Die Feststellung hinsichtlich der Speicherdauer ergibt sich aus den Ausführungen der Beschuldigten in ihrer ergänzenden Stellungnahme vom 07.10.2025.

2.4. Die Feststellungen zu den Aufnahmebereichen in Punkt 1.4. ergeben sich aus den im Rahmen der Rechtfertigung der Beschuldigten vom 16.09.2025 vorgelegten Lichtbildern.

2.5. Die Feststellung zu Punkt 1.5. ergibt sich aus dem der Ersteingabe vom 18.07.2025 beigelegten Screenshot.

2.6. Die Feststellung betreffend die Kennzeichnung in Punkt 1.6. ergibt sich aus der Rechtfertigung der Beschuldigten vom 16.09.2025, in welcher diese ein Lichtbild der Kennzeichnung übermittelte.

2.7. Die Feststellungen zu Punkt 1.7. ergeben sich aus dem im Rahmen der Ersteingabe übermittelten Screenshot sowie einer amtswegigen Recherche der Datenschutzbehörde über das öffentliche V***net-Profil der Beschuldigten am 07.08.2025. Der Zeitpunkt der Löschung ergibt sich aus der ergänzenden Stellungnahme der Beschuldigten vom 07.10.2025, in welcher diese ausführte, den Beitrag am 04.09.2025 gelöscht zu haben. Auch ergab eine neuerliche Recherche der Datenschutzbehörde am 23.10.2025 über das V***net-Profil der Beschuldigten, dass der Beitrag nicht mehr abrufbar ist.

2.8. Die getroffene Feststellung zu Punkt 1.8. betreffend den Umsatz des Blumenladens im Jahr 2024 ergibt sich aus der ergänzenden Stellungnahme der Beschuldigten vom 07.10.2025.

3. Rechtlich folgt daraus:

3.1. Zur objektiven Tatseite

Die im vorliegenden Fall durch die Videoüberwachungsanlage aufgezeichneten (Bild-)Daten der Betroffenen stellen zweifelsfrei personenbezogene Daten im Sinne von Art. 4 Z 1 DSGVO dar (vgl. EuGH 11.12.2014, C-212/13, Rz 2) und wurde durch den Einsatz der gegenständlichen Videoüberwachungsanlage eine automatisierte Verarbeitung personenbezogener Daten im Sinne von Art. 4 Z 2 DSGVO in Form der „Erhebung“ und „Speicherung“ (siehe hierzu Näheres unter 3.1.1.) sowie „Offenlegung“ (siehe hierzu Näheres unter 3.1.2.) vorgenommen (vgl. hierzu EuGH vom 11.12.2029, C-708/18, Rz 34f; BVwG vom 25.07.2025, GZ: W258 2299744-1/28E).

Im Lichte des als erwiesen angenommenen Sachverhalts ist die Beschuldigte als Verantwortliche gemäß Art. 4 Z 7 DSGVO zu qualifizieren, da sie letztendlich die Entscheidung getroffen hat, die konkreten Datenverarbeitungen vorzunehmen. Die Rolle als Verantwortliche wurde von der Beschuldigten auch zu keinem Zeitpunkt bestritten. Als Verantwortliche ist die Beschuldigte Adressatin der einschlägigen (strafbewehrten) Pflichten der DSGVO, die im Folgenden näher beleuchtet werden.

3.1.1. Zur Rechtmäßigkeit der Videoaufzeichnung (Spruchpunkt I)

Nach der gefestigten Rechtsprechung des EuGH muss eine Datenverarbeitung, um rechtmäßig im Sinne der DSGVO zu sein, allen in Art. 5 Abs. 1 DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand bzw. eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO gestützt werden können (siehe bspw. EuGH vom 04.05.2023, C-60/22, Rz 56 und 57 sowie EuGH vom 21.12.2023, C-667/21, Rz 78).

In Betracht kommt gegenständlich das Vorliegen berechtigter Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO. Weitere Rechtfertigungsgründe sind nicht ersichtlich und wurden von der Beschuldigten auch nicht vorgebracht.

Art. 6 Abs. 1 lit. f DSGVO ermöglicht die Verarbeitung personenbezogener Daten in „Gleichordnungsverhältnissen“ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten (vgl. Art. 4 Z 10 DSGVO) erforderlich ist. Diese berechtigten Interessen per se stellen jedoch dann keine ausreichende Begründung für die Rechtmäßigkeit der Verarbeitung dar, wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Der EuGH hat bereits zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Art. 7 lit. f DS-RL) ein „Prüfschema“ vorgegeben sowie in seiner Rechtsprechung kontinuierlich weiterentwickelt. Danach ist die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig (vgl. EuGH vom 11.12.2019, Rs C-708/18, Rz 36 mwN, vgl. überdies zuletzt EuGH, 09.11.2025, C-394/23, Rz 64):

(i) Wahrnehmung und Mitteilung eines berechtigten Interesses,

(ii) Erforderlichkeit der Verarbeitung und

(iii) kein Überwiegen der Rechte und Freiheiten anderer.

Zu Punkt i) Vorliegen und Mitteilung des berechtigten Interesses

In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann ein breites Spektrum von Interessen als berechtigt gelten (vgl. EuGH, 09.11.2025, C-394/23, Rz 46), die Erwägungsgründe 47ff enthalten einige Beispiele. Auch Art. 9 Abs. 2 DSGVO enthält in einigen Tatbeständen berechtigte Interessen, die im Sinne eines Größenschlusses auch die Verarbeitung nicht sensibler Daten rechtfertigen können.

Der Schutz und die Sicherheit des Eigentums stellen jedenfalls berechtigte Interessen dar (siehe dazu das Urteil des EuGH vom 11.12.2019, C-708/18, noch zu Art. 7 lit. f der RL 95/46/EG ) und hat die Beschuldigte die Betroffenen feststellungsgemäß über die Verarbeitung anhand einer Kennzeichnung informiert, weshalb das erste Kriterium als gegeben betrachtet werden kann.

Zu Punkt ii) Erforderlichkeit

Der Begriff der „Erforderlichkeit“ hat im Unionsrecht eine eigenständige Bedeutung und ist in einer Weise auszulegen, der den Zielen des Datenschutzrechtes in vollem Umfang Rechnung trägt. Bei der Beurteilung, was „erforderlich“ ist, ist zu prüfen, ob die verfolgten berechtigten Interessen der Datenverarbeitung in der Praxis nicht mit anderen Mitteln, die die Grundrechte und Grundfreiheiten der betroffenen Person weniger einschränken, ebenso wirksam erreicht werden können (vgl. das Urteil des EuGH vom 04.05.2017, C-13/16 sowie vom 09.11.2010, C-92/09 und C-93/09).

Das Kriterium der Erforderlichkeit ist eng mit dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) verbunden. Selbst wenn beispielsweise eine Videoüberwachung unbedingt erforderlich erscheint, müssen Maßnahmen zur Einschränkung des Aufnahmebereichs, wie das Anbringen einer physischen Blende, oder das Verpixeln nicht relevanter Bereiche, getroffen werden (vgl. Europäischer Datenschutzausschuss (EDSA) Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.1., Rz 25-27, vgl. auch OGH in 6Ob115/17f vom 21.11.2017, siehe aber auch 8 Ob 125/11g).

Im Hinblick auf die Videokamera 1 und Videokamera 2 ist der Aufnahmebereich nicht zu beanstanden, zumal dieser derart ausgestaltet ist, dass ausschließlich Personen, welche sich im Innenbereich des Blumenladens aufhalten erfasst werden und in der Regel auch kein Personal bzw. die Beschuldigte selbst zugegen ist, zumal es sich den überwiegenden Zeitraum um einen Selbstbedienungsladen handelt.

Hingegen war der Aufnahmebereich der Videokamera 3 zu weit gefasst, zumal dieser unter anderem den öffentlichen Gehsteigbereich am Tatort erfasste. Dabei handelt es sich um eine ausufernde Verarbeitung, da kein Grund ersichtlich ist, wieso die Erfassung von Personen, die den Blumenladen bloß passieren für den Schutzzweck erforderlich sein sollte.

Die Videokamera 3 war ab Jänner 2024 in Betrieb und wurde am 16.09.2025 deaktiviert, folglich ergibt sich ein Tatzeitraum vom 01.02.2024 bis zum 16.09.2025 (in der Folge „Tatzeitraum I“).

Im Ergebnis liegt somit ein Verstoß gegen den Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO vor und scheitert die Berufung auf den Rechtfertigungstatbestand des Art. 6 Abs. 1 lit. f DSGVO somit im Hinblick auf die Videokamera 3 an der zweiten Voraussetzung.

Der objektive Tatbestand ist somit erfüllt.

3.1.2. Zur Weiterverarbeitung der Aufzeichnung durch Veröffentlichung (Spruchpunkt II)

Gegenständlich hat die Beschuldigte feststellungsgemäß Aufzeichnungen der Videokamera 2 und Videokamera 3 derart weiterverarbeitet, als diese zwei Lichtbilder, welche einen Betroffenen abbilden, über ihr öffentliches V***net-Profil im Rahmen eines Beitrages geteilt hat.

Beruht die Verarbeitung zu einem anderen Zweck, als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, sind soweit keine Einwilligung der betroffenen Person oder eine Rechtsvorschrift der Mitgliedstaaten vorliegt die Kriterien von Art. 6 Abs. 4 lit. a bis e DSGVO im Rahmen eines Kompatibilitätstests zu berücksichtigen:

- jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

- den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

- die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO verarbeitet werden,

- die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen und

- das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

Der Schutz des Eigentums schließt grundsätzlich auch das Ziel mit ein, den Täter einer Eigentumsverletzung zu ermitteln; hierin liegt zugleich eine Verbindung zur öffentlichen Suche nach dem Täter sowie der Zusammenhang zur Erhebung.

Ferner ist jedoch zu konstatieren, dass der Beitrag Informationen enthält, die eine Person als mutmaßlichen Täter einer Straftat identifizieren. Solche Informationen sind als Strafdaten im Sinne des Art. 10 DSGVO zu qualifizieren.

Zwar liegt es in der Natur der Sache, dass Videoaufzeichnungen, die Personen zeigen, welche in das Eigentum anderer eingreifen, zur Ermittlung etwaiger Straftaten herangezogen werden können. Die Veröffentlichung solcher Aufnahmen über das V***net-Profil der Beschuldigten stellt jedoch eine Form der öffentlichen Fahndung dar, die für die betroffene Person weder nachvollziehbar noch vorhersehbar ist.

Auch die Folgen der beabsichtigten Weiterverarbeitung sind für die betroffene Person nicht zu unterschätzen, zumal sie durch die Veröffentlichung öffentlich angeprangert wurde. Eine Fahndung über soziale Netzwerke kann faktisch zu einer weltweiten Bekanntgabe der Identität führen, da der Inhalt jedem zugänglich ist, der Zugriff auf die jeweilige Plattform hat. Dies erhöht das Risiko eines erheblichen Eingriffs in die Grundrechte der betroffenen Person, insbesondere da die Server häufig in Drittstaaten betrieben werden und die Durchsetzung von Rechten dort erschwert ist. Eine derartige Internetfahndung birgt zudem die Gefahr einer erheblichen Verstärkung des Reputationsverlustes der betroffenen Person.

Weiters liegt für die zweckändernde Weiterverarbeitung weder eine Einwilligung noch eine entsprechende nationale Rechtsgrundlage im Sinne des Art. 6 Abs. 4 DSGVO vor. Vielmehr besteht ausschließlich eine ausdrückliche gesetzliche für Sicherheitsbehörden (vgl. hierzu § 24 iVm § 57 SPG) Die Weiterverarbeitung erweist sich daher als zweckwidrig.

Selbst wenn die Weitverarbeitung widererwarten als zweckmäßig zu betrachten wäre, so ist diese unrechtmäßig:

Grundsätzlich gestattet § 4 Abs. 3 Z 2 DSG - über Art. 10 DSGVO hinaus - die Verarbeitung von Strafdaten durch Private, sofern ein berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit. f DSGVO vorliegt (vgl. Erkenntnis des BVwG vom 08.05.2025, W274 2264017-1). Wie bereits zuvor unter Punkt 3.1.1. gilt es somit zu prüfen, ob die Zulässigkeitsvoraussetzungen gegeben sind.

Die Prüfung kann gegenständlich insofern abgekürzt werden, zumal es bereits an Punkt i) scheitert, da keine Information gemäß Art. 13 Abs. 3 DSGVO an den Betroffenen erfolgt ist, dahingehend, dass die erhobenen Bilddaten über das öffentlich zugängliche V***net-Profil veröffentlicht werden. Im Übrigen kann die Verarbeitung im Hinblick auf die Erforderlichkeit nach Kriterium ii) keinesfalls als das gelindeste Mittel zur Erreichung des Zweckes angesehen werden, zumal es zur Ausforschung des Täters bereits ausreichend ist, das entsprechende Videomaterial an die Polizei weiterzugeben. Auch im Hinblick auf Kriterium iii) ist anzumerken, dass jedenfalls die Rechte und Freiheiten des Betroffenen überwiegen, zumal bereits die Folgen der Veröffentlichung als gravierend zu werten sind, und dieser durch die Veröffentlichung in seinem Recht auf Geheimhaltung verletzt worden ist.

Im Ergebnis liegt also kein die Verarbeitung rechtfertigender Tatbestand vor, womit der objektive Tatbestand erfüllt ist.

3.2. Zur subjektiven Tatseite

Der EuGH hat festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68) und dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76). Eine entsprechende Erkundigungspflicht trifft den Beschuldigten jedenfalls dann, wenn er sich über die Rechtslage nicht im Klaren war (VwGH 25.06.2013, 2013/09/0022).

Im Lichte des als erwiesen angenommen Sachverhalts wird von der Datenschutzbehörde im Hinblick auf Spruchpunkt I jedoch keine vorsätzliche Tathandlung durch die Beschuldigte angenommen. Die Beschuldigte hat sich gegenständlich dafür entschieden, die Videoüberwachungsanlage für die festgestellten Zwecke zu betreiben, hat sich jedoch dabei im Hinblick auf Videokamera 3 offenbar nicht ausreichend über die einschlägigen Verwaltungsvorschriften erkundigt. Bereits das Aufrufen der Webseite der Datenschutzbehörde hätte gereicht, um beispielsweise in Erfahrung zu bringen, dass eine Videoüberwachung nur im unbedingt erforderlichen Ausmaß erfolgen darf. Darüber hinaus hat auch der Europäische Datenschutzausschuss Empfehlungen im Rahmen von Leitlinien zur Videoüberwachung sowie zur Verarbeitung von personenbezogenen Daten nach Art. 6 Abs. 1 lit. f DSGVO Informationen auf seiner Webseite veröffentlicht (siehe Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte und Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, Version 1.0, adopted on 08.10.2024).

Im Hinblick auf Spruchpunkt II hätte die Beschuldigte jedenfalls erkennen müssen, dass die von ihr beabsichtigte Weiterverarbeitung der Lichtbildaufnahmen zweckwidrig ist. So ist auch dem klaren Wortlaut des Art. 6 Abs. 4 DSGVO zu entnehmen, unter welchen Kriterien eine Weiterverarbeitung erfolgen kann. Auch hat die Beschuldigte den Beitrag unmittelbar nach Erhalt der Aufforderung zur Rechtfertigung von ihrem V***net-Profil gelöscht.

Dadurch ist auch die subjektive Tatseite in Form erfüllt.

3.3. Zu Spruchpunkt III

Der Vollständigkeit halber darf an dieser Stelle noch darauf hingewiesen werden, dass der im Rahmen der Aufforderung zur Rechtfertigung vom 07.08.2025, GZ: D550.1224; 2025-0.580.509 erhobene Tatvorwurf, dass die Beschuldigte in ihrer Rolle als Verantwortliche gegen ihre Informationspflicht gemäß Art. 13 DSGVO verstoßen hat, indem Sie keine geeignete Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den Betroffenen vorgenommen hat, um sie über eine Verarbeitung durch die Videoüberwachungsanlage zu informieren in Spruchpunkt III gemäß § 45 Abs. 1 Z 1 (erster Fall) VStG eingestellt wurde.

3. Zur Strafzumessung ist Folgendes festzuhalten:

Gegenständlich gelangt in Abweichung zu dem mit § 22 Abs. 2 VStG für die festgestellten Verstöße das Absorptionsprinzip nach Art. 83 Abs. 3 DSGVO zur Anwendung und wird eine Gesamtstrafe für die festgestellten Verstöße (Spruchpunkt I und Spruchpunkt II) verhängt (vgl. VwGH 30.04.2025, Ro 2021/04/0024). Der Strafrahmen ergibt sich dabei aus dem schwerwiegendsten Verstoß. Daher reicht der Strafrahmen im konkreten Fall gemäß Art. 83 Abs. 5 lit. a DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000.

Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt:

 Art und Schwere des Verstoßes: Der unrechtmäßige Betrieb der Videokamera 3 hat jedenfalls über einen längeren Zeitraum hinweg die grundrechtlich geschützten Rechte betroffener Personen (Recht auf Geheimhaltung nach § 1 Abs. 1 DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC) verletzt. Als besonders gravierend sind zudem die potentiellen Folgen der zweckwidrigen Weiterverarbeitung der Aufnahmen zu werten sowie die Intensität des Eingriffes.

 Kategorien personenbezogener Daten: Die Beschuldigte verarbeitete durch den Inhalt des Beitrages Straftaten iSd Art. 10 DSGVO (Art. 83 Abs. 2 lit. g DSGVO).

Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt:

 Gegen die Beschuldigte lagen bis dato bei der Datenschutzbehörde keine einschlägigen Vorstrafen aufgrund von Verstößen gegen die DSGVO oder das DSG vor (Art. 83 Abs. 2 lit. e DSGVO).

 Die Beschuldigte hat im Rahmen des gegenständlichen Ermittlungsverfahrens mitgewirkt und einen Beitrag zur Feststellung des Sachverhalts geleistet. Die Beschuldigte räumte überdies die Verletzung ein (Geständnis) (Art. 83 Abs. 2 lit. k DSGVO).

Eines der wesentlichen Ziele der DSGVO ist gemäß Art. 1 Abs. 2 DSGVO der Schutz von Grundrechten und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten nach Art. 8 EU-GRC. Die Beschuldigte hat die Grundrechte der Betroffenen, wie oben ausgeführt, verletzt. Die Verhängung der konkreten Geldstrafe ist daher im generalpräventiven Sinne erforderlich, um Verantwortliche einerseits für die rechtmäßige Verarbeitung personenbezogener Daten im Rahmen von Videoüberwachungsanlagen zu sensibilisieren und andererseits auf die Unzulässigkeit der Weiterverarbeitung solcher Aufnahmen über V***net-Profile unter Einbeziehung strafrechtlich relevanter Inhalte hinzuweisen.

Die Datenschutzbehörde geht davon aus, dass die Beschuldigte künftig davon absehen wird, derartige Inhalte über ihr V***net-Profil zu veröffentlichen. Zudem hat die Beschuldigte die Verarbeitung mittels der Videokamera 3 eingestellt, weshalb keine spezialpräventiven Gründe für die Verhängung einer weiteren Maßnahme vorliegen.

Die konkret verhängte Strafe in der Höhe von EUR 1.500 erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) sowie unter Berücksichtigung der relevanten Strafbemessungskriterien nach Art. 83 Abs. 2 DSGVO tat- und schuldangemessen und befindet sich aufgrund des erstmaligen Verstoßes am untersten Ende des zur Verfügung stehenden Strafrahmens.

Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen.

Im Ergebnis ist die konkret verhängte Strafe somit für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Art. 83 Abs. 1 DSGVO. Ein (noch) niedrigerer Betrag würde diesen Kriterien einer Geldbuße nicht (mehr) gerecht werden.