BVwG W211 2210458-1

Spruch:

W211 2210458-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Mag.a Gerda HEILEGGER und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde des XXXX , vertreten durch XXXX , gegen das Straferkenntnis der Datenschutzbehörde vom XXXX , nach Durchführung einer mündlichen Verhandlung zu Recht:

A)

I. Der Beschwerde wird hinsichtlich des Ausspruches über die verhängte Strafe teilweise stattgegeben, und die verhängte Geldstrafe wird auf gesamt 1.500 € (Ersatzfreiheitsstrafe 4 Tage) reduziert; korrespondierend dazu reduziert sich der Beitrag zu den Kosten des Strafverfahrens vor der belangten Behörde gemäß § 64 VStG auf 150 €.

II. Die verletzten Verwaltungsvorschriften lauten:

Zu 1): Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 der DSGVO

Zu 2):

a) § 50b Abs. 2 DSG 2000 (für den Zeitraum vor dem 25. Mai 2018)

b) Art. 5 Abs. 1 lit. e und Art. 6 Abs. 1 lit f DSGVO (für den Zeitraum ab dem 25. Mai 2018)

Zu 3):

a) § 50d Abs. 1 DSG 2000 (für den Zeitraum vor dem 25. Mai 2018)

b) Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 DSGVO (für den Zeitraum ab dem 25. Mai 2018)

III. Die verletzten Strafnormen lauten:

Zu 1): Art. 83 Abs. 5 lit. a DSGVO

Zu 2a): § 52 Abs. 2 Z 7 DSG 2000 iVm § 69 Abs. 5 DSG

Zu 2b): Art. 83 Abs. 5 lit. a DSGVO

Zu 3a): § 52 Abs. 2 Z 4 DSG 2000 iVm § 69 Abs. 5 DSG

Zu 3b): Art. 83 Abs. 5 lit. a DSGVO

iVm § 16 VStG

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

ENTSCHEIDUNGSGRÜNDE

I. Verfahrensgang

1. Mit Beschwerde vom XXXX .2018 gaben S.Z., Inhaberin eines Kebab-Standes, und der Beschwerdeführer, ein Mitarbeiter, bei der BH

XXXX zu Protokoll, dass sie von einem näher genannten Polizeiinspektor schikaniert würden. Zur Unterstützung der Beschwerde wurden zwei Videos vorgelegt, die Einsätze des Polizeiinspektors zeigen sollten. Es sei auch angegeben worden, dass um 2.500 € eine Kamera installiert worden sei, um zu beweisen, was jener Polizeiinspektor treibe.

Aus einer Sachverhaltsdarstellung der LPD XXXX vom XXXX 2018 geht hervor, dass S.Z. als Inhaberin eines Kebab Standes eine Videokamera an einem Container installiert habe, die nicht gemeldet und auch nicht gekennzeichnet sei.

Aus einer weiteren Sachverhaltsdarstellung vom XXXX 2018 geht außerdem hervor, dass bei einer Überprüfung am XXXX 2018 eine Videoanlage in Betrieb gewesen sei, die im Jänner 2018 vom Beschwerdeführer gekauft und montiert worden sei. Die Echtzeitaufnahmen würden auf einer Festplatte aufgezeichnet und nach 15 Tagen gelöscht werden. Eine Kamera weise eine Einstellung auf, die über die XXXX bis zu einer Tankstelle reichen würde. Hinweisschilder seien keine angebracht gewesen. Der Sachverhaltsdarstellung waren Fotos beigelegt.

Am XXXX 2018 führte die BH XXXX eine Zeugenvernehmung des Polizeiinspektors XXXX durch, der zusammengefasst und soweit wesentlich angab, dass es beim Kebab Stand drei Kameras gebe, zwei seien im Innenraum und eine an einem Lagercontainer installiert. In dem Container befinde sich auch ein PC, auf dem die Bilder der Kameras in Echtzeit angezeigt und nach Angaben des Beschwerdeführers bis zu 16 Tage gespeichert würden. Die Kamera draußen filme bis zur Waschanlage der Tankstelle, während die anderen beiden Kameras nur den Innenbereich der Durchreiche ins Vorzelt und den Arbeitsbereich abdecken würden. Hinweisschilder auf die Videoüberwachung seien weder innen noch außen angebracht. Der Beschwerdeführer habe wiederholt gesagt, dass er die Anlage und Kamera selbst gekauft und mit einem Freund installiert habe. Als Grund seien die Dokumentation und Überwachung sowie Speicherung der Amtshandlungen des Polizeiinspektors angegeben worden.

2. Mit XXXX 2018 wurde das Verfahren an die nunmehr zuständige Datenschutzbehörde (DSB) weitergeleitet.

Die DSB richtete daraufhin am XXXX .2018 eine Aufforderung zur Rechtfertigung an den Beschwerdeführer und führte darin aus, dass dem Beschwerdeführer zur Last gelegt werde, folgende Verwaltungsübertretung(en) begangen zu haben: Er stehe in Verdacht als Verantwortliche(r) im Sinne des Art. 4 Z 7 Datenschutz-Grundverordnung (DSGVO) einer Bildverarbeitung (Videoüberwachung) am Standort eines Containers im Bereich des Imbisslokals (Kebab-Stand) in XXXX , zumindest ab dem XXXX .2018 verantworten zu müssen, dass

a) Verarbeitungsvorgänge im Zusammenhang mit der gegenständlichen Videoüberwachung nicht protokolliert würden;

b) aufgenommene personenbezogene Daten nicht gelöscht würden, wenn diese für den Zweck, für den sie ermittelt worden seien, nicht mehr benötigt würden und keine gesetzlich vorgesehene Aufbewahrungspflicht bestehe (Hinweis: eine länger als 72 Stunden andauernde Aufbewahrung müsse verhältnismäßig sein und sei gesondert zu begründen und zu dokumentieren);

c) die Videoüberwachung nicht (geeignet) gekennzeichnet würde; sowie

d) die Videoüberwachung eine öffentliche Straße und eine XXXX Tankstelle erfasse - somit nicht auf Bereiche beschränkt sei, welche in der ausschließlichen Verfügungsbefugnis des Verantwortlichen stehen würden - sie daher nicht dem Zweck angemessen und nicht auf das notwendige Maß beschränkt sei.

Es bestehe daher der Verdacht, dass der Beschwerdeführer durch den Betrieb der gegenständlichen Videoüberwachungsanlage seine Pflichten gemäß der §§ 50a ff DSG 2000 und §§ 12 und 13 DSG zumindest unter Außerachtlassung der gebotenen Sorgfalt nicht erfüllt habe.

Mit Rechtfertigung vom XXXX .2018 gab der Beschwerdeführer, anwaltlich vertreten, bekannt, dass selbstverständlich Protokolle der Videoüberwachung geführt worden seien. Aufgrund eines Rechtsirrtums seien die Daten und Bilder der Überwachung bis zu 14 Tagen gespeichert worden. Der Beschwerdeführer habe unverzüglich veranlasst, dass ein Techniker die Anlage so umprogrammiere, dass nach längstens 72 Stunden eine Löschung der Daten erfolge. Unrichtig sei weiter, dass die Videoüberwachung nicht entsprechend gekennzeichnet gewesen wäre: Sowohl auf der Lagertür als auch auf der Tür und dem Fenster des Verkaufswagens seien entsprechende, sehr gut wahrnehmbare Hinweisschilder angebracht. Unrichtig sei weiter, dass die Videoüberwachung eine öffentliche Straße und eine Tankstelle erfassen würde. Das einzige, was man sehe, sei jener Bereich, welcher in der ausschließlichen Verfügungsbefugnis des Verantwortlichen stehe, und zwar bis zum Rand der öffentlichen Straße. Zusammengefasst ergebe sich sohin, dass dem Beschuldigten keinerlei Verwaltungsvergehen angelastet waren könnten.

3. Daraufhin erließ die Datenschutzbehörde das gegenständlich angefochtene Straferkenntnis vom XXXX 2018 und legte dem Beschwerdeführer folgende Übertretungen zur Last:

"Sie betreiben zumindest ab dem XXXX .2018 von 0 bis 24 Uhr in XXXX (Bereich Imbisslokal/Kebab-Stand) als Verantwortlicher im Sinne des Art. 4 Z 7 Datenschutz-Grundverordnung (DSGVO) eine Bildverarbeitungsanlage (Videoüberwachung).

1) Die gegenständliche Videoüberwachung erfasst durch eine Kamera, welche auf einem am Grundstück befindlichen Container installiert ist, öffentlichen Raum (konkret eine öffentliche Straße) sowie eine benachbarte Tankstelle. Sie ist somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige Maß beschränkt.

2) Es findet keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden statt. Eine diesbezüglich gesonderte Protokollierung liegt nicht vor. Eine Begründung für eine verlängerte Speicherdauer fehlt.

3) Die Videoüberwachung ist nicht geeignet gekennzeichnet.

4) Hinsichtlich des Tatvorwurfs des Verstoßes gegen die Protokollierungspflicht gemäß § 50b Abs. 1 DSG 2000 sowie § 13 Abs. 2 DSG wird das Verwaltungsstrafverfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt.

Sie haben dadurch folgende Rechtsvorschriften verletzt:

Zu 1): Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 der DSGVO

Zu 2):

c) § 50b Abs. 2 DSG 2000 (für den Zeitraum vor dem 25. Mai 2018)

d) § 13 Abs. 3 DSG (für den Zeitraum ab dem 25. Mai 2018)

Zu 3):

c) § 50d Abs. 1 DSG 2000 (für den Zeitraum vor dem 25. Mai 2018)

d) § 13 Abs. 5 DSG (für den Zeitraum ab dem 25. Mai 2018)

Wegen dieser Verwaltungsübertretungen wird über Sie folgende Strafe verhängt:

​

Allfällige weitere Aussprüche (zB über die Anrechnung der Vorhaft, über den Verfall oder über privatrechtliche Ansprüche):

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 - VStG zu zahlen:

XXXX Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro (ein Tag Freiheitsstrafe gleich 100 Euro);

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

XXXX Euro"

Die belangte Behörde begründete das Straferkenntnis zusammengefasst wie folgt: Der Beschwerdeführer sei zumindest seit dem XXXX .2018 datenschutzrechtlich Verantwortlicher der Bildverarbeitung durch eine aus drei Kameras bestehende Videoüberwachungsanlage am Betriebsstandort eines Imbisslokals. Die gegenständliche Videoüberwachungsanlage sei vom Beschuldigten angeschafft und montiert worden und werde von diesem zum Zweck des Aufzeichnens von Polizeikontrollen betrieben. Von der Videoüberwachungsanlage erzeugte Bilddaten seien in Form zweier Videos, auf welchen eine Polizeikontrolle zu sehen sei, durch den Beschuldigten im Zuge einer Vorsprache vor der BH XXXX vorgelegt worden. Unbeschadet dessen sei S.Z. Gewerbeinhaberin der Betriebsanlage. Zwei der insgesamt drei Kameras seien im Innenbereich des Imbissstandes montiert und würden den Arbeitsbereich sowie den Innenraum erfassen, eine dritte Kamera sei auf einem am Grundstück befindlichen Container montiert; von letzterer werden sowohl der Kebabstand selbst als auch weite Bereiche des öffentlichen Raums (konkret eine öffentliche Straße) und eine benachbarte Tankstelle erfasst. Die Videoüberwachungsanlage sei nicht geeignet gekennzeichnet. Von der Videoüberwachungsanlage aufgezeichnete Bilddaten würden auf einem digitalen Speichermedium innerhalb des Containers gespeichert, wobei eine Speicherung der Bilddaten bis zu 14 Tage lang möglich sei.

Beweiswürdigend berief sich die belangte Behörde auf den Inhalt des Strafaktes der zuständigen BH, auf den Inhalt der Rechtfertigung des Beschuldigten sowie auf amtswegige Abfragen im Gewerberechtsinformationssystem. Die Feststellungen in Bezug auf die Installation, den Zweck und den Erfassungsbereich der Kameras würden sich auf Feststellungen durch Polizeibeamte, wobei an deren Wahrheitsgehalt insbesondere im Hinblick auf die dienst- und disziplinarrechtliche Verantwortlichkeit von Polizeibeamten keinerlei Zweifel bestehen würden, beziehen; andererseits habe der Beschuldigte anlässlich einer Vorsprache bei der BH selbst angegeben, dass er die Kameras im Jänner 2018 gekauft, mithilfe eines Freundes montiert habe und zum Zweck der Aufzeichnung von Polizeikontrollen betreibe. Im Rahmen seiner Rechtfertigung räume der Beschuldigte im Hinblick auf den Tatvorwurf ein, dass die gesetzlich zulässige Speicherdauer von 72 Stunden nicht eingehalten worden sei, er diese jedoch fortan einhalten werde. Das weitere Vorbringen des Beschuldigten in der Rechtfertigung, dass öffentlicher Raum nicht erfasst sei und eine Kennzeichnung bestehe, sei jedoch durch keinerlei Beweise belegt worden, weshalb dieses Vorbringen von der belangten Behörde weitestgehend als nicht geeignet angesehen werde, die erhobenen Tatvorwürfe zu entkräften. Lediglich in Bezug auf die Einhaltung der Protokollierungspflicht gehe die belangte Behörde - im Zweifel für den Beschuldigten - vom Vorliegen einer ordnungsgemäßen Protokollierung aus.

Rechtlich folge daraus - soweit wesentlich -, dass im vorliegenden Fall unbestritten eine Bildaufnahme im Sinne des § 12 Abs. 1 DSG vorliege. Durch das Erheben und Speichern der Bilddaten sei der sachliche Anwendungsbereich des Art. 2 DSGVO eröffnet. Die aufgezeichneten Bilddaten würden jedenfalls personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO darstellen; aufgrund des Erhebens und Speicherns derselben sei jedenfalls auch eine Verarbeitung im Sinne des Art. 4 Z 2 DSGVO gegeben. Der Beschuldigte sei dabei als Verantwortlicher für die vorliegende Datenverarbeitung im Sinne des Art. 4 Z 7 DSGVO zu qualifizieren, da dieser - und nicht die Gewerbeinhaberin - die Kameras angeschafft und zum Zweck der Aufzeichnung von Polizeikontrollen betrieben habe.

Der Aufnahmebereich der Bildaufnahmen erstrecke sich neben dem Innenbereich des Kebab-Standes und Vorzeltes auch auf weite Bereiche des öffentlichen Raums und auf ein Nachbargrundstück, konkret auf öffentliche Verkehrsflächen bis hin zu einer angrenzenden Tankstelle. Da von der Bildaufnahme ein maßgeblicher Bereich des außerhalb der gegenständlichen Betriebsanlage liegenden Raums erfasst werde und zufällig dort vorbeikommende Verkehrsteilnehmer - bei welchen es sich naturgemäß nicht ausschließlich um Kunden des Kebab-Standes handeln müsse - vernünftigerweise nicht damit rechnen müssen, aufgenommen zu werden, verstoße der Betrieb der Bildaufnahme gegen die in Art. 5 DSGVO normierten Grundsätze. Eine die Rechtmäßigkeit der Datenverarbeitung tragende Rechtsgrundlage im Sinne des Art. 6 Abs. 1 DSGVO sei nicht ersichtlich und sei vom Beschuldigten auch nicht vorgebracht worden. Insbesondere werde von der Datenschutzbehörde im Hinblick auf den räumlichen Erfassungsbereich der gegenständlichen Bildaufnahme kein berechtigtes Interesse am Betrieb der Bildaufnahme erkannt, vielmehr überwiege im vorliegenden Fall das grundrechtlich geschützte Recht auf Geheimhaltung der zufällig im Aufnahmebereich vorbeikommenden Verkehrsteilnehmer ein allfälliges Interesse am Betrieb der gegenständlichen Bildaufnahme.

Die Nichterfüllung der Löschungs- und Protokollierungspflicht verstoße im vorliegenden Fall gegen § 13 Abs. 3 iVm § 62 Abs. 1 Z 4 DSG und für den Zeitraum vor dem 25. Mai 2018 gegen § 52 Abs. 2 Z 7 iVm § 50b Abs. 2 DSG 2000.

Gemäß § 13 Abs. 5 DSG habe der Verantwortliche eine Bildaufnahme geeignet zu kennzeichnen. Aus der Kennzeichnung habe jedenfalls der Verantwortliche hervorzugehen, es sei denn, dieser sei den betroffenen Personen nach den Umständen des Falles bereits bekannt. Eine ähnliche Anordnung habe auch § 50d Abs. 1 DSG 2000 vorgesehen. Dies sei im vorliegenden Fall nicht möglich, da, wie oben festgestellt worden sei, keinerlei Hinweisschilder im Außenbereich der Betriebsanlage angebracht seien. Die Verwendung von Schriftzügen wie "Achtung Videoüberwachung", deren Vorhandensein vom Beschuldigten im Rahmen seiner Rechtfertigung ohne Nachweis behauptet worden sei, stelle im vorliegenden Fall keine geeignete Kennzeichnung dar, da diese keine Informationen in Bezug auf den datenschutzrechtlich Verantwortlichen bieten würden und auf dessen Identität auch nicht nach den Umständen des Falls geschlossen werden könnte. Dies deshalb nicht, weil die Bildverarbeitung nicht von der Gewerbeinhaberin selbst betrieben werde.

Daher komme die belangte Behörde zum Ergebnis, dass der Verantwortliche die verfahrensgegenständlichen Bildaufzeichnungen ausschließlich unter Einhaltung der Vorgaben im Hinblick auf die Zweck- und Rechtmäßigkeit der Datenverarbeitung im Sinne der Art. 5 und 6 DSGVO sowie unter Einhaltung der in § 13 DSG normierten Verpflichtungen betreiben hätte dürfen. Vor diesem Hintergrund habe der Beschuldigte als Verantwortlicher gemäß Art. 4 Z 7 DSGVO die objektive Tatseite der ihm zur Last gelegten Verwaltungsübertretung des Art. 83 Abs. 5 lit a DSGVO sowie des § 62 Abs. 1 Z 4 DSG bzw. des § 52 Abs. 2 Z 4 und Z 7 DSG 2000 zu verantworten.

Gegenständlich seien die allgemein gehaltenen Behauptungen des Beschuldigten insbesondere betreffend den Erfassungsbereich der Kameras nicht geeignet gewesen, das Nichtvorliegen eines Verschuldens iSd § 5 Abs. 1 VStG glaubhaft zu machen. Hinsichtlich des geäußerten Rechtsirrtums zur Speicherdauer werde angeführt, dass sich der Beschuldigte vor Inbetriebnahme der Videoüberwachungsanlage mit den rechtlichen Rahmenbedingungen für deren Betrieb vertraut hätte machen müssen.

Hingegen sei im Zweifel betreffend die Einhaltung der Protokollierungspflicht diese auf Basis des Tatsachenvorbringens des Beschuldigten als erfüllt anzusehen und das Verfahren diesbezüglich einzustellen.

Zur Strafbemessung sei festzuhalten, dass im konkreten Fall der festgestellte unzulässige Betrieb der Bildaufnahme potenziell geeignet sei, eine große Zahl an Betroffenen, zufällig in den Erfassungsbereich der gegenständlichen Kamera gelangende Verkehrsteilnehmer, in deren grundrechtlich geschützten Rechten zu verletzen. Aufgrund des hohen Unrechtsgehalts sowie aufgrund des Umstandes, dass es sich um eine systematische Verletzung der Verpflichtung des Verantwortlichen handle, sei der gegenständliche Verstoß als schwer zu werten. Schließlich sei die Bildaufnahme im gegenständlichen Fall systematisch zur Aufzeichnung von Polizeikontrollen eingesetzt und über einen relativ langen Zeitraum nicht gelöscht worden, was erschwerend zu berücksichtigen gewesen sei. Die Intensität des Eingriffs, die auch eine unbeschränkte Anzahl an Passanten und TeilnehmerInnen am öffentlichen Straßenverkehr erfasst habe, habe sich insbesondere in Hinblick auf Spruchpunkt I. in der Höhe der Strafe niedergeschlagen. Die Dauer des Verstoßes von zumindest mehreren Monaten sei ebenfalls als erschwerend zu werten. Es werde weiter von jedenfalls fahrlässigem Verhalten ausgegangen. Deswegen, und um den Beschuldigten von weiteren strafbaren Handlungen gleicher Art abzuhalten, sei die Verhängung einer Strafe gegenständlich erforderlich. Mildernd werde berücksichtigt, dass sich der Beschuldigte am Verfahren beteiligt habe und bei der Behörde keine einschlägigen Vorstrafen vermerkt seien.

4. Gegen das Straferkenntnis wurde am XXXX 2018 Beschwerde eingebracht und darin zusammengefasst vorgebracht, dass die Auffassung der belangten Behörde, der Beschwerdeführer sei Verantwortlicher im Sinne des Art 4 Z 7 DSGVO, verfehlt sei:

Geschäftsführerin des Imbissstandes sei S.Z.; der Beschwerdeführer sei lediglich Mitarbeiter des Imbissstandes und habe als solcher Weisungen der Geschäftsführerin zu folgen. Wer die Videoüberwachungsanlage konkret montiert habe, sei für die verwaltungsstrafrechtliche Verantwortung ohne Belang, wenn dies in Entsprechung einer Weisung erfolgt sei.

Weiter erfasse die Videoüberwachung nur einen Teil der Zufahrtsstraße, und stelle die Tankstelle keinen öffentlichen Raum dar. Außerdem verkenne die belangte Behörde die Sach- und Rechtslage, wenn sie meine, dass gegenständlich keine Angemessenheit vorliege und der Erfassungsraum der Kamera nicht auf das notwendige Maß beschränkt sei. Es sei technisch aufgrund der örtlichen Gegebenheiten nicht möglich, die für die betrieblichen Zwecke erforderliche Videoüberwachung so einzustellen, dass nicht doch ein Teil der öffentlichen Straße erkennbar sei.

Die Speicherdauer von 14 Tagen habe auf einem Rechtsirrtum des Beschuldigten beruht. Nach Kenntnis der rechtlichen Bestimmungen habe der Beschuldigte in Zusammenarbeit mit der Geschäftsführerin sofort dafür Sorge getragen, dass ein von der Geschäftsführerin beauftragter Techniker die Anlage so umprogrammiere, dass die Bilddaten innerhalb von 72 Stunden gelöscht würden.

Schließlich würden die Lagertüre sowie die Türe und das Fenster des Verkaufsstandes deutlich wahrnehmbare Hinweisschilder aufweisen.

Das Straferkenntnis sei aus all diesen Gründen zu Unrecht ergangen und werde beantragt, eine Beschwerdeverhandlung anzuberaumen und das angefochtene Straferkenntnis letztlich aufzuheben und das Verwaltungsstrafverfahren einzustellen.

5. Mit Schreiben vom XXXX 2018 legte die belangte Behörde die Beschwerde und den Verwaltungsakt vor und führte außerdem aus, dass der datenschutzrechtlich Verantwortliche nach der DSGVO unionsrechtlich definiert und die juristische und natürliche Person sei, die die Mittel und den Zweck der Verarbeitung bestimme; sie falle nicht notwendigerweise mit der Verantwortung für eine allfällige Einhaltung nationaler Rechtsvorschriften zusammen. Eine nachträgliche Änderung der Speicherdauer könne an der vorhergehenden Verwirklichung des Delikts nichts ändern. Die fehlende Kennzeichnung zumindest zum Zeitpunkt der Polizeikontrollen sei durch die Polizeifotos nachgewiesen worden und ginge aus der Sachverhaltsdarstellung der Polizei hervor.

6. Am XXXX 2019 fand am Bundesverwaltungsgericht eine mündliche Beschwerdeverhandlung statt, an der der Beschwerdeführer, seine Vertretung, Vertreter der belangten Behörde sowie eine Zeugin und ein Dolmetscher für die türkische Sprache teilnahmen.

In der mündlichen Verhandlung gab der Beschwerdeführer im Wesentlichen an, beim Imbissstand Geschäftsführer gewesen zu sein; seit dem XXXX 2018 würde er nun gemeinsam mit seiner Frau den Stand führen. Er habe aber keine Gewerbeberechtigung; die hatte früher S.Z. und nunmehr seine Frau. Die Kameras habe der Beschwerdeführer gekauft, bezahlt hätte sie die Firma. Sie seien eine Bedingung der Versicherung gewesen. Ein Kollege habe sie installiert, und eine Kennzeichnung habe es gegeben, seitdem die Kameras montiert worden seien. Die Entscheidung, die Videoanlage zu montieren und zu installieren, sei vom Beschwerdeführer und der S.Z., eher von letzterer getroffen worden. Die Zeugin S.Z. (nunmehr S.T.Y.) gab zusammengefasst an, vor dem XXXX 2018 Eigentümerin des Kebab-Standes gewesen zu sein, nunmehr arbeite sie nur mehr dort. Der Beschwerdeführer sei ein Mitarbeiter dort gewesen. Da ihre Deutschkenntnisse nicht ausgereicht hätten, habe sie den Beschwerdeführer gebeten, ihr zu helfen und zB den Einkauf, die Löhne und Organisatorisches zu erledigen. Die Videoanlage sei ihre Idee gewesen; sie habe die Entscheidung getroffen, die Kameras zu kaufen. Die Kameras seien von einem türkischen Landsmann montiert und installiert worden. Sie habe dem Beschwerdeführer mitgeteilt, was sie benötige und ihn um Hilfe gebeten. Er habe dann die erforderlichen Sachen erledigt. Eine Kennzeichnung habe es seit dem Zeitpunkt der Montage gegeben. Es habe keinen anderen geeigneten Platz für die Montage der Kamera am Container gegeben.

7. Mit Schreiben vom XXXX 2019 wurden seitens des Vertreters des Beschwerdeführers in der Beschwerdeverhandlung aufgetragene Unterlagen vorgelegt, die der belangten Behörde zum Parteiengehör zugeschickt wurden.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen

Zum vorliegenden entscheidungswesentlichen Sachverhalt ist hinsichtlich des Verfahrensgangs auf die unter I. getroffenen Ausführungen zu verweisen.

Aufgrund des von der belangten Behörde und vom Bundesverwaltungsgericht durchgeführten Ermittlungsverfahrens steht folgender entscheidungswesentlicher Sachverhalt fest:

1.1. An der Adresse XXXX , befindet sich ein Imbissstand. Dort wurden drei Kameras gekauft und montiert, wobei zwei dieser Kameras das Innere des Imbissstandes abdecken, während eine dritte Kamera auf einem Lagercontainer und so montiert wurde, dass sie öffentlichen Straßenbereich bis hin zu einer gegenüber liegenden Tankstelle filmte. Diese Kameras waren zumindest ab dem XXXX .2018 in Betrieb.

1.2. Der Beschwerdeführer hat die Videoüberwachung in Form dreier Kameras gekauft und betreut. Mit Hilfe einer weiteren Person wurde sie montiert und installiert. Der Beschwerdeführer war weiter in der Lage, Aufzeichnungen der Videoüberwachung selbständig abzurufen. Der Beschwerdeführer traf die Entscheidungen über die Anschaffung der konkreten Videoanlage, über die Montage und Installation sowie über den relevanten Betrieb. Er wählte die weitere Person aus, die die Montage und Installation vornahm und die IT-Arbeiten dazu durchführte. Er ist im Sinne des Art. 4 Z 7 DSGVO Verantwortlicher für die Bildverarbeitung.

1.3. Die Videoaufnahmen wurden auf einem Computer bis zu 14 Tage gespeichert.

1.4. Die Videoüberwachungsanlage war nicht geeignet gekennzeichnet.

1.5. Die Einstellung der Kameras am XXXX 2019 zeigte keine Aufnahme der Tankstelle und weiterer Teile der öffentlichen Straße mehr.

Nach Benachrichtigung durch den Rechtsanwalt des Beschwerdeführers wurde die Speicherdauer der Bildaufnahmen auf 72 Stunden reduziert. Wann genau die Speicherdauer reduziert wurde, kann nicht festgestellt werden.

Am XXXX 2019 zeigen zwei Türen, darunter die Türe des Lagercontainers, Aufkleber mit dem Vermerk "Achtung, Videoüberwachung".

1.6. Vorbringen zum Einkommen des Beschwerdeführers wurde keines erstattet.

2. Beweiswürdigung

2.1. Die Feststellungen zum Imbissstand und zu seiner Adresse ergeben sich aus dem Verwaltungsakt, einem Auszug aus dem GISA vom XXXX 2019 und sind darüber hinaus nicht strittig.

Dass insgesamt drei Kameras montiert und installiert wurden, deren Bilder auf einem Computer auch gespeichert wurden, wurde ebenfalls von den Parteien nicht bestritten.

Dass zwei dieser Kameras den Innenbereich (im weiteren Sinne) des Imbissstandes abdecken, bzw. filmen, ergibt sich einerseits aus den vorgelegten Fotos als Lichtbildbeilage durch die PI XXXX (im Akt befindlich, datiert mit XXXX 2018, vgl. zB Bild 5, 6 und 7), aber auch aus den Angaben des Beschwerdeführers im Rahmen der mündlichen Verhandlung (vgl. S. 6 des Verhandlungsprotokolls).

Dass eine dritte Kamera am Lagercontainer montiert war und einen weiteren Teil der öffentlichen Straße sowie eine gegenüber liegende Tankstelle erfasste, ergibt sich ebenfalls aus der Lichtbildbeilage der PI XXXX vom XXXX 2018 (im Akt befindlich, vgl. Bild 5, 6 und 7). Auch gaben der Beschwerdeführer und die Zeugin im Rahmen der mündlichen Verhandlung an, dass die Kamera nicht hätte anders montiert werden können; man würde die Straße automatisch sehen (vgl. Angabe des Beschwerdeführers auf S. 6 des Verhandlungsprotokolls;

vgl. Angaben der Zeugin auf S. 15 des Verhandlungsprotokolls). Der Beschwerdeführer gab in der mündlichen Verhandlung weiter an, man habe es (gemeint: den Bildausschnitt) später wieder anders gemacht;

sie hätten nicht gewusst, dass man so viel draußen nicht sehen dürfe (vgl. S. 7 des Verhandlungsprotokolls). Aus diesen Angaben des Beschwerdeführers und der Zeugin kann daher auch abgeleitet werden, dass die Kamera am Lagercontainer eben den erweiterten Bereich (öffentliche Straße und Tankstelle) erfasste.

Diesen Angaben sowie den Lichtbildern vom XXXX 2018 setzt der Beschwerdeführer in seiner Rechtfertigung vom XXXX .2018 nur die Behauptung entgegen, dass die fraglichen Kameras nur Bereiche erfassen würden, die im Verfügungsbereich des Beschuldigten stehen würden. Diese Behauptung kann jedoch die Aussagekraft der Lichtbilder wie auch der Aussagen des Beschuldigten selbst sowie der Zeugin nicht entkräften.

Insoweit in der Beschwerde angeführt wird, dass von der Videoüberwachung nur ein Teil der Zufahrtsstraße erfasst sei und die benachbarte Tankstelle keinen öffentlichen Raum darstelle, ist erneut auf die Lichtbildbeilage zu verweisen, die einen weiten Teil öffentlichen Raums zeigt, wobei es gegenständlich darauf ankommt, inwieweit auch Verkehrsteilnehmer_innen, die nicht damit rechnen müssen, durch eine Videoüberwachung des Imbissstandes erfasst zu werden, erfasst werden können, was sich gerade bei der Tankstelle als entsprechend wahrscheinlich erweist.

Zum Beginn der Tatzeit ist zu sagen, dass die Wahrnehmung der Videokamera und des Erfassungsbereichs insbesondere der Kamera im Außenbereich (am Lagercontainer) zumindest seit der Überprüfung der Anlage durch die PI XXXX dokumentiert ist. Dem Bericht der Überprüfung am XXXX .2018, wobei der Bericht mit dem XXXX 2018 datiert, sind außerdem jene Lichtbilder angefügt, die einerseits die Kamera am Lagercontainer, aber auch den Erfassungsbereich der Kameras am Bildschirm für die Echtzeitüberwachung festgehalten haben.

2.2. Die Feststellungen zum Beschwerdeführer beruhen teilweise auf seinen eigenen Angaben, auf jenen der Zeugin sowie auf dem Akteninhalt.

Dass der Beschuldigte tatsächlich auch jene Person gewesen ist, die Verfügungs- und relevante Entscheidungsgewalt im Zusammenhang mit der Montage, Ausrichtung und Betrieb der Videoanlage über hatte, ergibt sich aus einer ganzheitlicher Sicht der Ergebnisse des Ermittlungsverfahrens:

Der Beschwerdeführer gab selbst im Rahmen der mündlichen Beschwerdeverhandlung an, eine Art Geschäftsführer des Imbissstandes gewesen zu sein, als dieser noch S.Z. gehört habe, was bis XXXX 2018 der Fall gewesen sei. Er habe keine Gewerbeberechtigung gehabt, habe das Einkaufen erledigt, habe mitgeholfen und mitgearbeitet, auch mal im Verkauf. S.Z. habe nicht gut Deutsch gekonnt, weshalb der Beschwerdeführer ihr in der Führung des Imbissstandes geholfen habe (vgl. Verhandlungsprotokoll S 4f).

Es wird seitens des entscheidenden Senats nicht übersehen, dass der Beschwerdeführer, aber auch die Zeugin (S.Z.) im Rahmen der mündlichen Verhandlung angaben, dass die Entscheidung, die Videoanlage zu montieren, eher von der Zeugin ausgegangen sei; S.Z. sei die "Chefin" gewesen; die Zeugin (S.Z.) habe entschieden, die Kameras zu kaufen (vgl. S. 5ff des Verhandlungsprotokolls). Andererseits gab der Beschwerdeführer auf die Frage, ob er die Entscheidung getroffen habe, die Videoanlage zu montieren, an, dass es sie beide, dann aber eher sie - gemeint die Eigentümerin, S.Z. - gewesen seien (vgl. S 7 des Verhandlungsprotokolls). Später, als ihm vom Behördenvertreter im Zusammenhang mit der Kennzeichnung vorgehalten wurde, dass es Aussagen der Zeugin, der Polizei und Fotos gäbe, wonach es keine Hinweisschilder gegeben habe, meinte der Beschwerdeführer auch, dass die Zeugin nicht viel darüber wisse (vgl. S. 9 des Verhandlungsprotokolls).

In diesem Zusammenhang geht aus dem Verwaltungsakt - und auch aus der Wahrnehmung des Senats in der mündlichen Verhandlung - hervor, dass die damalige Eigentümerin des Imbissstandes, S.Z., über kaum Deutschkenntnisse verfügt (vgl. zB Aktenvermerk vom XXXX 2018, wonach eine Einvernahme der S.Z. nicht stattfinden könne, da diese kein Wort Deutsch spreche, und daher ein Dolmetscher angefragt werden müsse; sowie die Angabe der Zeugin selbst im Rahmen der Verhandlung, vgl. S. 13 des Verhandlungsprotokolls). Die konsistenten Angaben des Beschwerdeführers und der Zeugin dahingehend, dass deswegen der Beschwerdeführer Formalitäten, aber auch das Einkaufen erledigte, im Verkauf tätig war und generell mitgearbeitet hat (vgl. S. 4 des Verhandlungsprotokolls) bzw. auch für die Mitarbeiter, Löhne und Organisatorisches zuständig war (vgl. S 13 des Verhandlungsprotokolls und die diesbezügliche Angabe der Zeugin), ermöglichen die Schlussfolgerung, dass die faktische Leitung des Imbissstandes im Grunde dem Beschwerdeführer zukam.

Der Beschwerdeführer gab schließlich in seiner Einvernahme vor dem Bundesverwaltungsgericht an, die Kameras auf Geheiß der Eigentümerin gekauft zu haben. Weiter habe ein Bekannter sie montiert. Auf die Frage, wer sich denn mit Computern auskenne und Daten speichern und löschen könne, meinte der Beschwerdeführer, sie würden sich mit Computern fast nicht auskennen (vgl. S. 6 des Verhandlungsprotokolls); wenn etwas gewesen sei, habe man jenen Bekannten angerufen; so auch, um die Speicherdauer zu reduzieren (ebda., aber auch S. 8 des Verhandlungsprotokolls). Als es jedoch um die Frage ging, ob jener Bekannte auch angerufen worden sei, wenn es um die Auswertung des Bildmaterials gegangen wäre, meinte der Beschwerdeführer, dass er das selbst gemacht habe, er habe damals den Zugriff getätigt (vgl. S. 9 des Verhandlungsprotokolls). Aus diesen Angaben lässt sich ableiten, dass zwar Hilfe für die Montage der Anlage und eventuell auch für die Einstellung der Reduktion der Speicherdauer in Anspruch genommen wurde, dass aber der Beschwerdeführer dennoch einen Grundumgang mit der EDV, die die Bildaufnahmen speicherte, beherrschte und Bildaufnahmen auch abrufen konnte.

Schließlich hinterlassen die Angaben der Zeugin in der Beschwerdeverhandlung nicht den Eindruck, dass sie nähere Kenntnisse über die Videoanlage mitbringen würde bzw. in die Entscheidungsprozesse tatsächlich aktiv eingebunden gewesen wäre:

Ihre Angaben zur Videoanlage bleiben insgesamt zögerlich und oberflächlich: Auszug aus dem Verhandlungsprotokoll:

" [...] VR: Wer hat denn die Entscheidung getroffen, die Kameras zu kaufen?

Z: Wenn man einen Betrieb gründet, werden Kameras installiert.

VR wiederholt die Frage.

Z: Ich.

VR: Wer hat denn die Kameras montiert oder installiert?

Z: Ein türkischer Landsmann. Sein Name fällt mir im Moment nicht ein, da es schon lange her ist.

VR: Wer hat die Kameras und die Installation bezahlt?

Z: Ich. Ich teilte dem BF mit, was ich benötige und bat ihn um Hilfe. Er erledigte die dafür erforderlichen Sachen.

VR: Wer war denn dann dafür zuständig? Wartung, Computer, etc...

Z: Ich schaute mir die Kameraaufnahmen an. Auch der BF.

VR: Wenn zB eine Kamera kaputt gewesen wäre, wer hätte sich darum gekümmert?

Z: Diesbezüglich gab es überhaupt keine Probleme.

VR: Wie lange wurden die Bilddaten oder Videos gespeichert?

Z: Am Anfang war es für die Dauer von 14 Tagen. Später erfuhren wir, dass das nicht erlaubt sei, woraufhin wir die Dauer auf 72 Stunden reduziert haben.

VR: Können Sie sich erinnern, wann Sie die Speicherdauer auf 72 Stunden reduziert haben?

Z: Ich kann mich an das Datum nicht mehr erinnern. Ich kann mich auch nicht an den Monat erinnern.

VR: Wissen Sie, wer das gemacht hat?

Z: Der türkische Landsmann, der uns seinerzeit diesbezüglich geholfen hat.

VR: Wie ist die Videoanlage gekennzeichnet gewesen?

Z: Beim Lager haben wir die Kamera angebracht. Wir sahen auch den Tankstellenbereich.

VR wiederholt die Frage.

Z: Es gab ein Kamerazeichen dafür. Personen, die vorbeigegangen sind, haben dieses Zeichen gesehen, dass dort Kameras sind.

VR: Seit wann gab es diese Kamerazeichen?

Z: Ab dem Zeitpunkt der Montage.

VR: Wieso richtet sich die Kamera am Container auch auf die Straße und die Tankstelle?

Z: Der Grund, dass man den Tankstellenbereich auch sah, lag darin, dass nur jene Stelle infrage kam, wo die Kamera eben montiert war. Es gab sonst keinen anderen geeigneten Platz dafür.

VR: Wieso wurde die Kamera dann nicht so eingestellt, dass man weniger sieht von der Tankstelle?

Z: Man sah sehr wenig vom Tankstellenbereich.

VR: Diese Reduktion der Speicherdauer von 14 Tagen auf 72 Stunden:

Wer hat das veranlasst?

Z: Der BF. [...]"

Aus dem Ermittlungsverfahren ergibt sich daher der Sachverhalt dahingehend, dass die Zeugin S.Z. zwar Gewerbeinhaberin und Eigentümerin des Imbissstandes gewesen ist, als eine Videoanlage gekauft, montiert und betrieben wurde, sie jedoch kaum Deutsch spricht und die faktische Leitung des Imbissstandes sowie die relevanten Entscheidungen zur Videoanlage im wesentlichen Ausmaß vom Beschwerdeführer ausgeübt bzw. getroffen wurden. Der Beschwerdeführer bezeichnet sich selbst als (damaliger) Geschäftsführer des Imbissstandes, er kaufte die Anlage, er ließ sie durch einen Bekannten installieren und er ist selbst in der Lage, Bildaufnahmen auszuwerten. Daher war in weiterer Folge die Feststellung zu treffen, dass der Beschwerdeführer auch Verantwortlicher im Sinne der gegenständlich anzuwendenden Gesetzesbestimmungen war.

2.3. Die Feststellung, dass die Videoaufnahmen bis 14 Tage lang gespeichert wurden, beruht auf den diesbezüglich nicht strittigen Angaben des Beschwerdeführers selbst.

2.4. Dass die Videoanlage im genannten Zeitraum nicht ausreichend gekennzeichnet war, ergibt sich insbesondere aus dem Bericht der PI XXXX vom XXXX 2018, aus der diesbezüglichen Lichtbildbeilage vom selben Tage, und dort aus dem Bild Nr. 4.

Wenn die Beschwerde ausführt, dass es sowohl auf der Lagertüre als auch auf der Tür und dem Fenster des Verkaufsstandes deutlich wahrnehmbare Hinweisschilder gibt, so geht aus der Beschwerde nicht hervor, seit wann diese Hinweisschilder an den bezeichneten Türen und Fenstern angebracht sind. Dass solche Schilder bereits seit der Montage der Kameras bestehen, wie es der Beschwerdeführer und auch die Zeugin in der mündlichen Verhandlung angegeben haben (vgl. S. 7 und S. 15 des Protokolls vom XXXX 2019), steht im Widerspruch zur Lichtbildbeilage vom XXXX 2018. Es muss daher davon ausgegangen werden, dass eine entsprechende Kennzeichnung der Videoüberwachung mit deutlichen Hinweisschildern zum Zeitpunkt der Überprüfung durch die PI XXXX nicht angebracht gewesen ist.

Beweiswürdigend wird festgehalten, dass ein Vergleich der Fotos vom XXXX 2019, die der Beschwerdeführer nach der mündlichen Verhandlung vorlegte, mit der Lichtbildbeilage vom XXXX 2018 den Rückschluss erlaubt, dass auf der tatsächlich erkennbaren Lagercontainertüre am XXXX 2018 keine Kennzeichnung angebracht gewesen ist.

2.5. Nach der mündlichen Verhandlung legte der Beschwerdeführer über seinen Rechtsanwalt Fotos des Bildschirms der Echtzeitüberwachung vor, die mit XXXX 2019 datiert sind und jene weiteren Teile der öffentlichen Straße sowie die Tankstelle nicht mehr abbilden.

Im Laufe des Verfahrens gaben der Beschwerdeführer und seine Vertretung konsistent an, die Speicherdauer der Aufnahmen auf 72 Stunden reduziert zu haben. Hinweise, dass dies nicht passiert sein soll, haben sich im Verfahren nicht ergeben. Allerdings konnten weder der Beschwerdeführer noch die Zeugin angeben, wann diese Reduktion der Speicherdauer stattgefunden haben soll, weshalb dazu keine Feststellung erfolgen konnte.

Schließlich wurden Fotos vom XXXX 2019 vorgelegt, wonach sich auf zwei Türen, eine davon erkennbar (im Vergleich mit der Lichtbildbeilage vom XXXX 2018) die Türe des Lagercontainers, Hinweiskleber mit dem Vermerk "Achtung, Videoüberwachung" finden.

2.6. Zu den Einkommensverhältnissen des Beschwerdeführers wurden keine weiteren Angaben gemacht und die diesbezügliche Einschätzung der Behörde nicht bestritten. Dadurch werden dazu keine gesonderten Feststellungen getroffen und keine gesonderte Beweiswürdigung vorgenommen.

3. Rechtliche Beurteilung

Zu A)

3.1. Gesetzliche Grundlagen

3.1.1. Die gesetzlichen Grundlagen nach der DSGVO lauten auszugsweise wie folgt:

Art. 4 Z 7 DSGVO:

Artikel 4: Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck: [...]

7.-"Verantwortlicher" die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; [...]

Art. 5 Abs. 1 lit. a und c DSGVO:

Artikel 5: Grundsätze für die Verarbeitung personenbezogener Daten

1) Personenbezogene Daten müssen

a)-auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz");

[...]

c)-dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung"); [...]

e)-in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden ("Speicherbegrenzung"); [...]

Art. 6 Abs. 1 DSGVO:

Artikel 6: Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. [...]

Art. 12 und 13 DSGVO:

Artikel 12: Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a)-ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b)-sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.

Artikel 13: Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person

(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

a)-den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b)-gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

c)-die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d)-wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

e)-gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und

f)-gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

a)-die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b)-das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

c)-wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

d)-das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

e)-ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und

f)-das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.

Art. 83 Abs. 5 lit. a DSGVO:

Artikel 83: Allgemeine Bedingungen für die Verhängung von Geldbußen

[...]

(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9,

[...]

3.1.2. Die gesetzlichen Grundlagen nach dem DSG 2000 lauten auszugsweise wie folgt:

Videoüberwachung

Allgemeines

§ 50a. (1) Videoüberwachung im Sinne dieses Abschnittes bezeichnet die systematische, insbesondere fortlaufende Feststellung von Ereignissen, die ein bestimmtes Objekt (überwachtes Objekt) oder eine bestimmte Person (überwachte Person) betreffen, durch technische Bildaufnahme- oder Bildübertragungsgeräte. Für derartige Überwachungen gelten die folgenden Absätze, sofern nicht durch andere Gesetze Besonderes bestimmt ist.

Besondere Protokollierungs- und Löschungspflicht

§ 50b. (1) Jeder Verwendungsvorgang einer Videoüberwachung ist zu protokollieren. Dies gilt nicht für Fälle der Echtzeitüberwachung.

(2) Aufgezeichnete Daten sind, sofern sie nicht aus konkretem Anlass für die Verwirklichung der zu Grunde liegenden Schutz- oder Beweissicherungszwecke oder für Zwecke nach § 50a Abs. 6 benötigt werden, spätestens nach 72 Stunden zu löschen. § 33 Abs. 2 AVG gilt. Eine beabsichtigte längere Aufbewahrungsdauer ist in der Meldung anzuführen und zu begründen. In diesem Fall darf die Datenschutzbehörde die Videoüberwachung nur registrieren, wenn dies aus besonderen Gründen zur Zweckerreichung regelmäßig erforderlich ist.

Information durch Kennzeichnung

§ 50d. (1) Der Auftraggeber einer Videoüberwachung hat diese geeignet zu kennzeichnen. Aus der Kennzeichnung hat jedenfalls der Auftraggeber eindeutig hervorzugehen, es sei denn, dieser ist den Betroffenen nach den Umständen des Falles bereits bekannt. Die Kennzeichnung hat örtlich derart zu erfolgen, dass jeder potentiell Betroffene, der sich einem überwachten Objekt oder einer überwachten Person nähert, tunlichst die Möglichkeit hat, der Videoüberwachung auszuweichen.

(2) Keine Kennzeichnungsverpflichtung besteht bei Videoüberwachungen im Rahmen der Vollziehung hoheitlicher Aufgaben, die nach § 17 Abs. 3 von der Meldepflicht ausgenommen sind.

Verwaltungsstrafbestimmung

§ 52. [...]

(2) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 10 000 Euro zu ahnden ist, wer

4. seine Offenlegungs- oder Informationspflichten gemäß den §§ 23, 24, 25 oder 50d verletzt oder

7. Daten nach Ablauf der in § 50b Abs. 2 vorgesehene Löschungsfrist nicht löscht

3.1.3. Die gesetzlichen Grundlagen nach dem VStG lauten:

Schuld

§ 5. (1) Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft.

(1a) Abs. 1 zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.

(2) Unkenntnis der Verwaltungsvorschrift, der der Täter zuwidergehandelt hat, entschuldigt nur dann, wenn sie erwiesenermaßen unverschuldet ist und der Täter das Unerlaubte seines Verhaltens ohne Kenntnis der Verwaltungsvorschrift nicht einsehen konnte.

Strafen

§ 10. (1) Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem Bundesgesetz nicht anderes bestimmt ist.

(2) Soweit für Verwaltungsübertretungen, insbesondere auch für die Übertretung ortspolizeilicher Vorschriften, keine besondere Strafe festgesetzt ist, werden sie mit Geldstrafe bis zu 218 Euro oder mit Freiheitsstrafe bis zu zwei Wochen bestraft.

Ersatzfreiheitsstrafe

§ 16. (1) Wird eine Geldstrafe verhängt, so ist zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen.

(2) Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf § 12 nach den Regeln der Strafbemessung festzusetzen.

Strafbemessung

§ 19. (1) Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.

(2) Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.

3.2. Zum Verfahren vor dem Bundesverwaltungsgericht

Nach § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat unter anderem über Beschwerden gegen Bescheide der Datenschutzbehörde.

3.3. Zu den einzelnen Beschwerdegründen

3.3.1. Erfüllung des objektiven Tatbestands

Die belangte Behörde ging im Rahmen des von ihr festgestellten Sachverhalts davon aus, dass durch den Betrieb der Kameras eine Bildaufnahme iSd § 12 Abs. 1 DSG vorliege und der sachliche Anwendungsbereich von Art. 2 DSGVO eröffnet sei.

Der Aufnahmebereich erstrecke sich auch auf weitere Bereiche des öffentlichen Raumes und auf ein Nachbargrundstück, wodurch ein maßgeblicher Bereich des außerhalb der gegenständlichen Betriebsanlage liegenden Raumes erfasst werde. Zufällig dort vorbeikommende Verkehrsteilnehmer_innen müssten vernünftigerweise nicht damit rechnen, aufgenommen zu werden, weshalb der Betrieb der Bildaufnahme gegen die in Art. 5 DSGVO normierten Grundsätze verstoße. Eine Rechtsgrundlage iSd des Art. 6 Abs. 1 DSGVO, die geeignet sei, die Rechtmäßigkeit der Datenverarbeitung zu begründen, sei nicht ersichtlich und auch nicht vorgebracht worden. Insbesondere werde kein berechtigtes Interesse am Betrieb der Bildaufnahme im Lichte des Erfassungsbereichs erkannt.

Die Nichterfüllung der in den §§ 13 Abs. 3 DSG sowie 50b Abs. 2 DSG 2000 vorgesehenen Löschungsverpflichtung verstoße gegen die §§ 13 Abs. 3 iVm 62 Abs. 1 Z 4 DSG bzw. 52 Abs. 2 Z 7 iVm 50b Abs. 2 DSG 2000.

Und schließlich verstoße die Nichterfüllung der in den §§ 13 Abs. 5 DSG sowie 50d Abs. 1 DSG 2000 vorgesehene Kennzeichnungsverpflichtung gegen die §§ 13 Abs. 5 iVm 62 Abs. 1 Z 4 DSG bzw. 52 Abs. 2 Z 4 iVm 50d DSG 2000.

Der Beschwerdeführer trat der Beurteilung der belangten Behörde entgegen: So verkenne die belangte Behörde die Sach- und Rechtslage, wenn sie vermeine, dass keine Angemessenheit betreffend den Erfassungsbereich vorliege und dieser nicht auf das notwendige Maß beschränkt sei.

Die zu lange Speicherdauer der Daten und Bilder habe auf einem Rechtsirrtum beruht und sei sofort nach Kenntnis von den rechtlichen Bestimmungen geändert worden.

Schließlich seien auf der Lagertüre und auf der Tür und dem Fenster des Verkaufsstandes deutlich wahrnehmbare Hinweisschilder angebracht.

Mit diesem Vorbringen kann der Beschwerdeführer jedoch nicht durchdringen:

1. Tatbestand: Erfassungsbereich der Kamera, die am Lagercontainer montiert ist:

Dass es sich gegenständlich um eine Bildaufnahme handelt, in deren Rahmen (auch) personenbezogene Daten erhoben und gespeichert werden, wird nicht bestritten.

Nach Art. 5 Abs. 1 lit c der DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Datenminimierung).

"Eine Gesamtbetrachtung des Grundsatzes der Datenminimierung inklusive seines Gebots der Beschränkung auf das notwendige Maß ergibt, dass darin die Gebote der Datenvermeidung und Datensparsamkeit enthalten sind, und sich die Anwendung auf zahlreiche Aspekte auffächert, die sich zT mit dem Grundsatz der Zweckbindung und dem Grundsatz der Speicherbegrenzung überschneiden:

Der Grundsatz der Datenminimierung beschränkt generell die Eingriffstiefe und damit die Art der Daten, den Personenbezug der Daten, die Menge der Daten, den Detailgrad der Daten, die Speicherdauer der Daten, die Anzahl der Nutzungen und den Kreis der Zugriffsberechtigten. Die Minimierung der Datenmenge bedeutet sowohl die Minimierung der Anzahl der Betroffenen als auch die Minimierung der Datenmenge pro Betroffenem.77 Vgl Pötters in Gola, DS-GVO Art 6 Rz 22. Die Minimierung des Personenbezugs bedeutet insbesondere zu prüfen, ob der Zweck der Verarbeitung auch mit pseudonymisierten, aggregierten, oder anonymisierten Daten erreicht werden kann. Auch die bloße Anzeige der Daten anstatt ihrer Vervielfältigung ist eine Form der Datenminimierung, wenn dies zur Zweckerreichung ausreicht."

(Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO, RZ 34ff (Stand 1.10.2018, rdb.at)).

Vorangestellt werden muss, dass im Beschwerdevorbringen zur Angemessenheit des eingestellten Erfassungsbereichs keine nähere Begründung vorgebracht wurde. Ob nun also der festgestellte erweiterte Erfassungsbereich der Kamera am Lagercontainer tatsächlich so ausgeformt war, dass er im Sinne einer geforderten Datenminimierung eingerichtet war, muss ganzheitlich geprüft werden.

Als Zweck für die Videoüberwachung wurde seitens des Beschwerdeführers und der Zeugin im Beschwerdeverfahren vorgebracht, dass eine solche eine Bedingung der Versicherung gewesen sei. Weiter wurde durch den Beschwerdeführer, die Zeugin, aber auch die Beschwerde angeführt, dass die Montage, wie sie ursprünglich vorgenommen war, nur in dieser Art technisch möglich gewesen sei.

Dem ist entgegenzuhalten, dass die nunmehr vorgelegten Fotos vom XXXX 2019 den Nachweis erbringen, dass eine entsprechende Einstellung der Kamera am Lagercontainer mit einem eingeschränkteren Erfassungsbereich offenbar faktisch und technisch möglich war und ist. Darauf ist auch immer noch der Imbissstand zu sehen, was einer allfälligen Zweckbindung an eventuelle Vorgaben einer Versicherung noch immer zu entsprechen scheint.

Im Umkehrschluss geht daraus aber auch hervor, dass die frühere Einstellung, die eine Straße und die benachbarte Tankstelle umfasste, dem Grundsatz der Verhältnismäßigkeit im engeren Sinne der Angemessenheit nicht genügen kann, da der Erfassungsbereich jedenfalls über den Schutzzweck einer Überwachung des Imbissstandes für eine Versicherung hinausgegangen ist. Auch kann eine Erheblichkeit des weiteren Erfassungsbereichs für Versicherungszwecke nicht erkannt werden und wurde eine solche darüber hinaus auch nicht geltend gemacht.

Dass eine Videoüberwachung mit Speicherung der aufgenommenen Daten grundsätzlich eine Verarbeitung (vgl. Art. 4 Abs. 2 DSGVO) personenbezogener Daten im Anwendungsbereich des Art. 2 Abs. 1 DSGVO darstellt, wurde nicht bestritten und steht auch für den erkennenden Senat nicht in Frage. Auf eine Heranziehung der Rechtsgrundlage des § 12 DSG kommt es dann in weiterer Folge nicht mehr an.

Der belangten Behörde ist weiter dahingehend recht zu geben, wenn sie vermeint, dass im vorliegenden Fall das grundrechtlich geschützte Recht auf Geheimhaltung der zufällig im Aufnahmebereich vorbeikommenden Verkehrsteilnehmer_innen ein allfälliges berechtigtes Interesse iSd Art. 6 Abs. 1 lit f DSGVO am Betrieb der Videoüberwachung (mit dem erweiterten Erfassungsbereich) überwiegt. Einen darüber hinausgehenden Tatbestand für die Rechtmäßigkeit des erweiterten Erfassungsbereichs der Kamera am Lagercontainer (vgl. Art. 6 Abs. 1 lit. a. - e. DSGVO) brachte der Beschwerdeführer nicht vor und ergibt sich auch nicht aus dem Verfahren.

Damit ist der objektive Tatbestand einer Verletzung des Art. 5 Abs. 1 lit c und des Art. 6 Abs. 1 lit f DSGVO erfüllt, da weder dem Grundsatz der Datenminimierung gefolgt wurde, noch ein ausreichendes berechtigtes Interesse des Beschwerdeführers gegeben war.

Die Strafbarkeit dieses Verstoßes gründet sich auf § 83 Abs. 1 und 5

DSGVO.

2. Tatbestand: rechtzeitige Löschung der Daten:

Für den Zeitraum vor dem 25.05. 2018 traf § 50b Abs. 2 DSG 2000 die Regelung, nach der aufgezeichnete Daten, sofern sie nicht aus konkretem Anlass für die Verwirklichung der zu Grunde liegenden Schutz- oder Beweissicherungszwecke oder für Zwecke nach § 50a Abs. 6 benötigt werden, spätestens nach 72 Stunden zu löschen waren. Eine beabsichtigte längere Aufbewahrungsdauer war in der Meldung anzuführen und zu begründen. In diesem Fall durfte die Datenschutzbehörde die Videoüberwachung nur registrieren, wenn dies aus besonderen Gründen zur Zweckerreichung regelmäßig erforderlich war.

Für die Zeit nach dem 25.05.2018 (und damit für den Zeitraum nach Inkrafttreten der DSGVO) sieht Art. 5 Abs. 1 lit e DSGVO vor, dass personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden ("Speicherbegrenzung").

"Der Grundsatz der Speicherbegrenzung konkretisiert den Grundsatz der Datenminimierung in Bezug auf die Speicherdauer. Diese ist auf das unbedingt erforderliche Mindestmaß zu beschränken. Die Frist bzw. die Kriterien, nach denen sich der Zeitpunkt der Löschung bestimmt, müssen auf das für die Verarbeitungszwecke unbedingt erforderliche Mindestmaß beschränkt sein. Die Festlegung der Fristen bzw. Kriterien bedarf daher meist einer Einzelfallbetrachtung, in der die Erforderlichkeit der Aufbewahrung von Daten anhand der Verarbeitungszwecke beurteilt wird." (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO, RZ 49f (Stand 1.10.2018, rdb.at))

Der Beschwerdeführer führte selbst in der Beschwerde und in der Verhandlung an, dass es aufgrund eines Rechtsirrtums eine Einstellung gab, nach der die Bildaufnahmen bis zu 14 Tagen gespeichert wurden. Nachdem der Beschwerdeführer von den rechtlichen Bestimmungen in Kenntnis gesetzt wurde, wurde eine Umprogrammierung der Anlage derart veranlasst, dass personenbezogene Bilddaten innerhalb von 72 Stunden gelöscht werden.

Aus den Feststellungen ergibt sich somit, dass es im Tatzeitraum eine längere Aufbewahrung personenbezogener Daten gegeben hat, nämlich bis zu 14 Tage. Dass diese längere Aufbewahrungsdauer verhältnismäßig gewesen wäre, gesondert protokolliert und begründet worden wäre bzw. einer Meldung unterzogen und begründet worden wäre, kam aus dem Ermittlungsverfahren nicht hervor.

Somit ist der belangten Behörde zuzustimmen, dass die Nichterfüllung der normierten Löschungsverpflichtung für den Zeitraum vor dem 25.05.2018 gegen § 50b Abs. 2 DSG 2000 verstoßen hat.

Betreffend den Zeitraum nach dem 25.05.2019 wird seitens des erkennenden Senats davon ausgegangen, dass für die Anwendung des § 13 DSG mangels entsprechender Öffnungsklausel in der DSGVO kein Raum besteht, dieser daher unangewendet (vgl. EuGH, 09.03.1977, C-106/77) zu bleiben hat:

"Der österreichische Gesetzgeber stützt sich bei der Erlassung von §§ 12 f DSG auf Art 6 Abs. 2 und 3 sowie Art 23 DSGVO und Kap IX DSGVO iVm ErwGr 10. Es sei an dieser Stelle nur angemerkt, dass es mangels einer spezifischen Öffnungsklausel fraglich ist, ob es den Mitgliedstaaten nach der DSGVO überhaupt noch gestattet ist, nationale Normen zur Videoüberwachung einzuführen bzw. beizubehalten. Art 6 Abs. 2 und 3 erlauben es zwar, auf nationaler Ebene spezifischere Regelungen (bei Einhaltungen der weiteren Voraussetzungen) beizubehalten bzw. zu erlassen, allerdings nur für Verarbeitungen auf Basis der Erlaubnistatbestände Art 6 Abs. 1 lit c und lit e (abzustellen wäre wohl iZm Videoüberwachung durch Private auf Art 6 Abs. 1 lit f)" (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO, RZ 79 (Stand 1.10.2018, rdb.at)); vgl. auch Souhrada-Kirchmayer in Jahrbuch Öffentliches Recht 2018, NWV, S. 68; und auch in diesem Sinne zur deutschen Rechtslage betreffend eine Videoüberwachung zu privaten Zwecken: Buchner/Petri in Kühling/Buchner, DS-GVO - BDSG, 2. Auflage, C.H. Beck, Art. 6 DS-GVO, RZ 172, S. 277).

Schließlich führte auch das deutsche Bundesverwaltungsgericht in einer Entscheidung vom 27.03.2019, BVwerG 6 C 2.18, aus wie folgt:

"Daraus folgt, dass die Öffnungsklauseln des Art. 6 Abs. 2 und 3 DSGVO für Verarbeitungen nach Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO Videoüberwachungen privater Verantwortlicher nicht erfassen. Aufgrund dessen ist kein Raum für eine künftige Anwendung des § 4 Abs. 1 Satz 1 des seit 25. Mai 2018 geltenden Bundesdatenschutzgesetzes in der Fassung von Art. 1 des Gesetzes vom 30. Juni 2017 (BGBl. I S. 2097) - BDSG n.F. - als wortgleicher Nachfolgeregelung des § 6b Abs. 1 BDSG a.F. auf Videoüberwachungen privater Verantwortlicher. Diese sind an Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zu messen."

Der erkennende Senat schließt sich dieser Meinung an, weshalb der festgestellte Sachverhalt nur unter die entsprechenden Vorschriften der DSGVO zu subsumieren ist: Die Aufbewahrung der gespeicherten Bilddaten für einen Zeitraum von 14 Tagen verstieß damit gegen den Grundsatz des Art. 5 Abs. 1 lit e DSGVO, da sich im Verfahren keinerlei Hinweise darauf ergeben haben, dass mit der Speicherung der Daten für 14 Tage tatsächlich ein unbedingt erforderliches Mindestmaß eingehalten wurde. Selbst wenn von einer Notwendigkeit der Videoüberwachung für Versicherungszwecke ausgegangen werden soll, kann sich eine derart lange Speicherung aus der Notwendigkeit der Nachvollziehbarkeit eines versicherungsrelevanten Vorfalls nicht ergeben. Damit ist dieser Speicherdauer auch jede Grundlage im Rahmen einer Verhältnismäßigkeitsprüfung des Art. 6 Abs. 1 lit f DSGVO entzogen, da ein derart berechtigtes Interesse des Beschwerdeführers weder vorgebracht wurde, noch sich aus dem angegebenen Zweck für den Betrieb der Videoanlage ergibt. Daher muss gegenständlich auch in Bezug auf die Speicherdauer der Bilddaten bis zu 14 Tage von einem Verstoß gegen Art. 5 Abs. 1 lit e und Art. 6 Abs. 1 lit f DSGVO ausgegangen werden.

Im Lichte der aktuell neuen Situation der Anwendbarkeit der Strafbestimmungen der DSGVO ist an dieser Stelle auf die ausreichende Bestimmtheit der Strafbestimmungen einzugehen:

Der VfGH sprach im Kontext einer Blankettstrafnorm im Güterbeförderungsgesetz aus, dass (Hervorhebungen nicht im Original) "[d]er Verfassungsgerichtshof in ständiger Rechtsprechung (vgl. VfSlg. 12.947/1991 mit zahlreichen Judikaturverweisen) den gesetzestechnischen Vorgang der äußeren Trennung von Tatbild und Strafdrohung, wie er für Blankettstrafnormen kennzeichnend ist, als verfassungsrechtlich unbedenklich erachtet [hat]. Er hat es freilich auch bei Blankettstrafnormen als unerlässlich angesehen, dass der Tatbestand durch das Gesetz mit genügender Klarheit als Verbotsnorm und damit als strafbarer Tatbestand gekennzeichnet ist, dass ferner, wenn der strafbare Tatbestand im Zuwiderhandeln gegen eine Gebotsnorm besteht, der Unrechtsgehalt eines Unterlassens eindeutig erkennbar ist und dass schließlich der Tatbestand einer Blankettstrafnorm mit solcher Deutlichkeit gekennzeichnet sein muss, dass jedermann ihn als solchen zu verstehen vermag (VfSlg. 12.947/1991 mwN). Es darf also auf Grund von Blankettstrafnormen ein unerlaubtes und daher strafbares Verhalten überhaupt nur dann und insoweit angenommen werden, als vom Normadressaten die Abgrenzung des erlaubten vom unerlaubten Verhalten so eindeutig eingesehen werden kann, dass jeder berechtigte Zweifel des Normunterworfenen über den Inhalt seines pflichtgemäßen Verhaltens ausgeschlossen ist (VfSlg. 14.319/1995)." (VfGH, VfSlg. 17479, 04.03.2005).

Gegenständlich geht der erkennende Senat davon aus, dass Art. 5 Abs. 1 lit e der DSGVO das Erfordernis der ausreichenden Bestimmtheit dahingehend erfüllt, als dass das Erfordernis der Speicherdauerreduktion auf ein Mindestmaß und in direktem Bezug auf eine Zweckbindung ausreichend klar aus der Regelung hervorgeht. Während anerkannt wird, dass Art. 5 Abs. 1 lit e DSGVO keine erlaubte Höchstdauer der Speicherung (vgl. früher 72 Stunden) beinhaltet, so geht andererseits aus den Verfahrensergebnissen nicht hervor, dass betreffend eine Speicherdauerminimierung auf ein notwendige Mindestmaß seitens des Beschwerdeführers überhaupt nachvollziehbare Überlegungen angestellt wurden. Die Frage nach einer allfälligen Angemessenheit einer implementierten Speicherreduktion im konkreten Einzelfall stellt sich daher gegenständlich nicht.

Die Strafbarkeit dieser Verstöße gründet sich auf § 52 Abs. 2 Z 7 DSG 2000 (für den Zeitraum vor dem 25.05.2018) und auf § 83 Abs. 1 und 5 DSGVO.

3. Tatbestand: geeignete Kennzeichnung:

Für den Zeitraum vor dem 25.05.2018 traf § 50d Abs. 1 DSG 2000 die Regelung, nach der der Auftraggeber einer Videoüberwachung diese geeignet zu kennzeichnen hat. Aus der Kennzeichnung hat jedenfalls der Auftraggeber eindeutig hervorzugehen, es sei denn, dieser ist den Betroffenen nach den Umständen des Falles bereits bekannt. Die Kennzeichnung hat örtlich derart zu erfolgen, dass jeder potentiell Betroffene, der sich einem überwachten Objekt oder einer überwachten Person nähert, tunlichst die Möglichkeit hat, der Videoüberwachung auszuweichen.

Für die Zeit nach dem 25.05.2018 (und damit für den Zeitraum nach Inkrafttreten der DSGVO) sieht Art. 5 Abs. 1 lit a DSGVO vor, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen:

"Der Grundsatz der Transparenz war in der DS-RL und im DSG 2000 nicht ausdrücklich erwähnt, aber implizit in Form der Bestimmungen zur Informationspflicht enthalten. In der DSGVO wird der Grundsatz der Transparenz durch Art 13 und 14 zur Informationspflicht sowie Art 12 zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den ErwGr 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht liegt insbesondere in ihrer Funktion als notwendige Voraussetzung für die Ausübung der Betroffenenrechte: Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt, und/oder nicht bekannt, wer diese durchführt, kann er seine diesbezüglichen Rechte nach Art 15-21 nicht geltend machen."

Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO, RZ 18f (Stand 1.10.2018, rdb.at))

Es ist auch in Bezug auf diesen Tatbestand die ausreichende Bestimmtheit der Strafbestimmung zu prüfen (siehe dazu auch oben):

während gegenständlich anerkannt wird, dass die genannte Bestimmung der DSGVO Grundsätze der Datenverwendung aufstellt und konkret zu einer Kennzeichnung der Videoanlage keine genaueren Aussagen macht, muss dennoch ganzheitlich gesehen werden, dass es dem europäischen Datenschutzrecht bereits lange innewohnt, dass Betroffene über eine Videoüberwachung informiert sein müssen. Sie sollten detailliert über die Orte Kenntnis haben, die überwacht werden. Im Rahmen der DSGVO sind die Anforderungen an die Transparenz und Informationsverpflichtung in den Art. 12ff angeführt. Insbesondere Art. 13 DSGVO ist anzuwenden, wenn personenbezogene Daten ua durch Videoüberwachung verarbeitet werden. Aufgrund der Informationsmenge, die einem/einer Betroffenen zukommen soll, kann von einem/einer Verantwortlichen ein "geschichteter Zugang" und eine Kombination aus Mitteln gewählt werden, um dem Transparenzgebot zu entsprechen. Im Rahmen einer Videoüberwachung sollte die wichtigste Information in einem Warnhinweis dargestellt werden, während die notwendigen weiteren Informationen mit anderen Mitteln zur Verfügung gestellt werden können (als zweite Schicht) (vgl. European Data Protection Board, Leitlinien, Guidelines 3/2019 on processing of personal data through video devices, 10.07.2019, S. 21ff, online abrufbar unter https://edpb.europa.eu/our-work-tools/general-guidance/gdpr-guidelines-recommendations-best-practices_de ).

Der VfGH verwies in seiner oben zitierten Entscheidung in Bezug auf das Güterbeförderungsgesetz darauf, dass es sich bei den anwendbaren Bestimmungen um Vorschriften des Primärrechts oder um unmittelbar anwendbare Verordnungsbestimmungen handeln würde, und die Strafbestimmungen an die "Lenker" gerichtet gewesen seien, die als solche ohnehin verpflichtet seien, sich über die für ihre Berufsausübung geltenden innerstaatlichen und gemeinschaftsrechtlichen Vorschriften Kenntnis zu verschaffen. (vgl. VfGH, VfSlg. 17479, 04.03.2005).

In diesem Sinne erscheint es daher unbedenklich, die hier Normunterworfenen darauf zu verweisen, dass sie dazu aufgerufen sind, sich mit der Möglichkeit der konkreten Ausgestaltung des Transparenzprinzips im Lichte der bisher in Geltung gestandenen Regelungen (vgl. § 50d Abs. 1 DSG 2000) bzw. im Lichte der bisherigen Praxis einer Kennzeichnung einer Videoüberwachung vertraut zu machen und diese geeignet umzusetzen. An der nötigen Bestimmtheit der Strafnorm des Art. 5 Abs. 1 lit a iVm Art. 12 und Art. 13 DSGVO bestehen daher keine Zweifel.

Aus den Ermittlungsergebnissen des Beschwerdeverfahrens geht nun hervor, dass eine solche geeignete Kennzeichnung zum Zeitpunkt der Überprüfung durch die XXXX nicht angebracht war. Damit hat die Nichterfüllung der Kennzeichnungspflicht für den Zeitraum vor dem 25.05.2018 gegen § 50d DSG 2000 verstoßen.

In Bezug auf den Sachverhalt nach dem 25.05.2018 verweist der erkennende Senat auf die oben ausgeführte Erklärung dazu, dass die Rechtsgrundlage des § 13 Abs. 5 DSG unangewendet zu bleiben hat, und der festgestellte Sachverhalt unter die entsprechenden Vorschriften der DSGVO zu subsumieren ist: Demnach nahm der Beschwerdeführer keine Kennzeichnung seiner Videoüberwachung vor und verstieß damit gegen das Transparenzverbot des Art. 5 Abs. 1 lit a iVm Art. 12 und Art. 13 DSGVO.

Die Strafbarkeit dieses Verstoßes gründet sich auf § 52 Abs. 2 Z 4 DSG 2000 (für den Zeitraum vor dem 25.05.2018) und auf § 83 Abs. 1 und 5 DSGVO.

3.3.2. Strafrechtliche Verantwortlichkeit und Verschulden des Beschwerdeführers

Die belangte Behörde stellte im angefochtenen Straferkenntnis fest, dass der Beschwerdeführer zumindest seit dem XXXX .2018 datenschutzrechtlich Verantwortlicher der Bildverarbeitung durch eine Videoüberwachungsanlage am Betriebsstandort eines Imbisslokals sei. Unbeschadet dessen war S.Z. Gewerbeinhaberin der Betriebsanlage. Vor dem Hintergrund des von der belangten Behörde festgestellten Sachverhalts habe der Beschwerdeführer als Verantwortlicher gemäß Art. 4 Z 7 DSGVO die objektive Tatseite der ihm zur Last gelegten Verwaltungsübertretung des Art. 83 Abs. 5 lit a DSGVO sowie des § 62 Abs. 1 Z 4 DSG bzw. des § 52 Abs. 2 Z 4 und Z 7 DSG 2000 zu verantworten. Weiter verwies die belangte Behörde auf § 5 Abs. 1 VStG, wonach bei Ungehorsamsdelikten Strafbarkeit angenommen werde, wenn der Täter nicht glaubhaft mache, dass ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden treffe. Es obliege dem Beschuldigten glaubhaft zu machen, dass ihm die Einhaltung der Verwaltungsvorschriften ohne sein Verschulden unmöglich gewesen sei.

Der Beschwerdeführer brachte insbesondere vor, dass im fraglichen Zeitraum S.Z. Geschäftsführerin des Imbissstandes gewesen sei. Der Beschwerdeführer sei nicht die Person gewesen, die alleine oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entschieden habe. Er sei lediglich Mitarbeiter des Standes gewesen und habe Weisungen der Geschäftsführerin befolgt.

Zur Verantwortlichkeit:

Nach Art. 4 Z 7 DSGVO ist "Verantwortlicher" die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

"Die Verantwortung wird dem übertragen, der die Entscheidungsmacht hat. Entscheidend für die Zuweisung der Verantwortlichkeit ist daher, wer über die wesentlichen Aspekte der Mittel der Verarbeitung entscheidet. Für die Zuschreibung der Verantwortlichen-Eigenschaft ist es nicht erforderlich, dass der Verantwortliche selbst Daten verarbeitet, sich im Besitz der verarbeiteten Daten befindet oder über die physische Herrschaft verfügt. Trifft er die Entscheidung, dass Daten zu verarbeiten sind, sind ihm sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw. Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane). Bei der Ausrichtung der Definition als Verantwortlicher als jene Person oder Stelle, die über Zweck(e) und Mittel der Verarbeitung entscheidet, handelt es sich um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird.110 Artikel-29-Datenschutzgruppe, Stellungnahme vom 1. 6. 2012 zum Cloud Computing (WP196) 12. Hierfür kann eine explizite Rechtsgrundlage vorliegen, in diesem Fall ist die Zuweisung des Verantwortlichen und des Zwecks samt Datenkategorien und Datenempfänger meist klar identifizierbar. Wenn eine Rechtsnorm allerdings nur implizite rechtliche Verpflichtungen vorsieht, ist als Verantwortlicher jene Person oder Stelle anzusehen, die diese rechtliche Verpflichtung trifft und dafür personenbezogene Daten verarbeitet. Die Verantwortung kann sich zudem auch aus der faktischen Entscheidungsvorwegnahme ergeben. Trifft ein Akteur tatsächlich und faktisch die Entscheidung für die Aufnahme einer Datenverarbeitung, ist dieser als Verantwortlicher iSd DSGVO anzusehen. Ausschlaggebend ist, wer entscheidet und nicht wer rechtmäßig entscheidet. So kann ein Auftragsverarbeiter zum Verantwortlichen werden, wenn er ohne dafür legitimiert zu sein dennoch Verarbeitungszwecke und Verarbeitungsmittel selbst bestimmt." (Hödl in Knyrim, DatKomm Art 4 DSGVO, RZ 83ff (Stand 1.12.2018, rdb.at))

Damit stellt die DSGVO bei der Definition des Verantwortlichen auf eine faktische Entscheidungshoheit über die Aufnahme einer Datenverarbeitung ab. Im gegenständlichen Verfahren hat sich ergeben, dass der Beschwerdeführer - anders als in der Beschwerde vorgebracht - sehr wohl die faktische Entscheidungshoheit über die Anschaffung, Montage und den Betrieb der Videoüberwachungsanlage hatte. Während er formell zwar nicht Eigentümer des Imbissstandes und auch nicht gewerbeberechtigt war, bezeichnete er sich selbst als Geschäftsführer, übernahm organisatorische und administrative Aufgaben und Leitungsfunktionen, dies auch bzw. vor allem deshalb, weil die formelle Eigentümerin des Imbissstandes nicht genug Deutsch konnte, um diese Aufgaben zu erledigen. Im Gesamten ergibt sich damit das Bild, dass die wesentlichen Entscheidungen über die Anschaffung, die Montage und den Betrieb der Videoanlage nicht von der Eigentümerin und Gewerbeberechtigungsinhaberin, sondern vom Beschwerdeführer getroffen wurden, weshalb auch ihm die Stellung des Verantwortlichen nach Art. 4 Z 7 DSGVO zukommt.

Zum Verschulden:

Ist nichts Abweichendes normiert, genügt zur Strafbarkeit gemäß § 5 Abs. 1 erster Satz VStG fahrlässiges Verhalten. Die anzuwendenden Bestimmungen des DSG oder der DSGVO normieren nichts Abweichendes. Für Ungehorsamsdelikte sieht § 5 Abs. 1 zweiter Satz VStG die - widerlegliche - Vermutung der fahrlässigen Tatbegehung vor. Da bei Ungehorsamsdelikten das Vorliegen von Fahrlässigkeit gesetzlich vermutet wird, muss der Beschuldigte glaubhaft machen, dass ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft (VwGH 30.10.1991, 91/09/0132).

Diese Bestimmung ist jedoch nicht anzuwenden, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50.000 €

bedroht ist (§ 5 Abs. 1a VStG). Der Verwaltungsgerichtshof hat in seiner jüngsten Judikatur zu § 5 VStG jedoch festgehalten, dass diese Rechtsänderung nicht dem Günstigkeitsprinzip des § 1 Abs. 2 VStG unterliegt (VwGH, 21.05.2019, Ra 2019/03/0009).

Es ergaben sich im Laufe des Verfahrens keine Hinweise darauf, dass den Beschwerdeführer an der Verletzung der gegenständlich anzuwendenden Verwaltungsvorschriften kein Verschulden trifft. Insoweit der Beschwerdeführer vorbringt, er habe die einschlägigen Rechtsvorschriften nicht gekannt, ist er darauf zu verweisen, dass ihn eine Verpflichtung trifft, sich mit einschlägigen Normen seines Betätigungsfeldes ausreichend vertraut zu machen (vgl. zB in Bezug auf ein Gewerbe VwGH, 22.12.1992, 91/04/0019). Eine solche Erkundigungspflicht trifft den Beschwerdeführer jedenfalls dann, wenn er sich über die Rechtslage nicht im Klaren war (vgl. VwGH, 25.06.2013, 2013/09/0022). Der Beschwerdeführer brachte nicht vor, rechtzeitig Erkundigungen eingeholt und durch diese verwirrt worden zu sein. Von einem entschuldbaren Irrtum kann daher nicht ausgegangen werden.

Damit handelte der Beschwerdeführer objektiv sorgfaltswidrig, und wäre ihm die Einhaltung der nötigen Sorgfalt auch subjektiv zuzumuten gewesen. Es liegt damit auch eine subjektive Vorwerfbarkeit der Tatvorwürfe vor.

3.3.3. Strafbemessung

Der Beschwerdeführer machte zu seinem Einkommen keine Angaben und bestritt die Einkommensschätzung durch die belangte Behörde nicht. Damit werden der Strafbemessung die diesbezüglichen Überlegungen der belangten Behörde zugrunde gelegt.

Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (VwGH 05.09.2013, 2013/09/0106).

Der Strafrahmen reicht gemäß § 52 Abs. 2 DSG 2000 bis zu 10.000 €

und gemäß Art. 83 Abs. 5 DSGVO bis zu einem Betrag von 20.000.000 €.

Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (§ 19 Abs. 1 VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (§ 19 Abs. 2 VStG).

Art. 83 Abs. 2 DSGVO sieht im Rahmen der Strafbemessung die folgenden Kriterien vor:

Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a)-Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b)-Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c)-jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d)-Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e)-etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f)-Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g)-Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h)-Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i)-Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

j)-Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und

k)-jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

Der belangten Behörde ist dahingehend beizupflichten, dass insbesondere beim Verstoß gegen den ersten Tatbestand (Erfassungsbereich der Kamera am Lagercontainer) von einer potentiellen Vielzahl an Betroffenen ausgegangen werden muss, die sich zufällig in den unrechtmäßigen und unverhältnismäßigen Erfassungsbereich dieser Kamera begeben können. Damit ist dieser Verstoß als schwer zu werten. Auch kann der belangten Behörde dahingehend gefolgt werden, dass dieser Verstoß schwerer ist als jene Verstöße betreffend die Speicherdauer und die Kennzeichnung der Videoüberwachung.

Der belangten Behörde ist weiter zu folgen, dass die Verstöße jeweils über einen längeren Zeitraum, über zumindest mehrere Monate, vollzogen wurden.

Die Verstöße beruhten weiter auf Fahrlässigkeit.

Mildernd wurden von der belangten Behörde die Mitarbeit des Beschwerdeführers am Verfahren und fehlende frühere einschlägige Verstöße gewertet. Erschwerend wurden von der belangten Behörde die Dauer des Verstoßes und Intensität des Eingriffs durch den Betrieb einer unzulässigen und nicht verhältnismäßigen Bildverarbeitung wegen des erweiterten Erfassungsbereichs der Kamera am Lagercontainer gewertet.

Art. 83 Abs. 1 DSGVO sieht vor, dass Geldstrafen nach dieser Bestimmung wirksam, verhältnismäßig und abschreckend sein sollen. Demnach kann ein gänzliches Absehen einer Bestrafung nicht in Betracht kommen.

Mildernd soll im Beschwerdeverfahren außerdem berücksichtigt werden, dass der Beschwerdeführer vorbrachte, nach Kenntnis des Rechtsirrtums betreffend die Speicherdauer diese entsprechend reduziert zu haben, wobei der genaue Zeitpunkt, an dem das passiert sein soll, nicht feststellbar war. Außerdem legte er mit den Fotos vom XXXX 2019 Hinweise darauf vor, der ihm obliegenden Kennzeichnungspflicht (zumindest teilweise) nachkommen zu wollen. In Bezug auf die Strafen zum 2. und 3. Tatbestand sind diese Faktoren (vgl. Art. 83 Abs. 2 lit f DSGVO und § 34 Abs. 1 Z 15 StGB) miteinzubeziehen und waren die Strafen entsprechend zu vermindern.

Hingegen muss weiter anerkannt werden, dass es in Bezug auf den Erfassungsbereich der Kamera am Lagercontainer über einen längeren Zeitraum keine Einsicht und damit keine solchen zeitnahen Bemühungen einer Reduktion des Erfassungsbereichs gegeben hat, weshalb eine Reduktion der Strafe in diesem Bereich nicht in Frage kommt.

Besondere general- oder spezialpräventive Faktoren liegen nicht vor.

Damit führen diese Erwägungen zum folgenden Ergebnis:

In Bezug auf den 1. Tatbestand ist die von der belangten Behörde vorgesehene Strafe von 1.200 € im Lichte der Vermögensverhältnisse des Beschwerdeführers, seiner bisherigen Unbescholtenheit, jedoch auch im Lichte des Unrechtsgehalts des Verstoßes und der Strafdrohung angemessen.

In Bezug auf den 2. Tatbestand wird die Strafe auf 150 €

herabgesetzt und damit die Schadens- und Folgenminderung bzw. die Herstellung des rechtmäßigen Zustandes mildernd sowie die geringere Strafdrohung des § 52 Abs. 2 DSG 2000 berücksichtigt.

In Bezug auf den 3. Tatbestand wird die Strafe auch auf 150 €

herabgesetzt und damit ebenfalls die Schadens- und Folgenminderung bzw. der Versuch der Herstellung des rechtmäßigen Zustandes mildernd sowie die geringere Strafdrohung des § 52 Abs. 2 DSG 2000 berücksichtigt.

Damit wird gegenständlich die Strafe mit gesamt 1.500 € festgesetzt.

Wird eine Geldstrafe verhängt, so ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafen und, wenn keine Freiheitsstrafe angedroht und nichts anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf § 12 VStG nach den Regeln der Strafbemessung festzusetzen.

Zur Bemessung von Ersatzfreiheitsstrafen sprach der Verwaltungsgerichtshof aus, dass die Höhe der Ersatzfreiheitsstrafe entsprechend der Schuld des Täters unter Berücksichtigung der Erschwerungsgründe und Milderungsgründe zu bemessen ist; hingegen sind - so wie hier - die persönlichen Verhältnisse und die wirtschaftliche Leistungsfähigkeit des Täters nur bei der Bemessung der Geldstrafe, nicht aber der Ersatzfreiheitsstrafe maßgebend (VwGH 28.05.2013, 2012/17/0567).

Die Festlegung der Ersatzfreiheitsstrafe wurde bereits zutreffend von der belangten Behörde - korrespondierend zur verhängten Geldstrafe - mit nur drei Tagen bzw. einem Tag am unteren Rand orientiert und war daher nicht zu beanstanden, sie ist jedoch betreffend die Festsetzung zu den Tatbeständen 2 und 3 anzupassen, da dort die Geldstrafe herabgesetzt wurde: Daher wird für den 1. Tatbestand eine Ersatzfreiheitstrafe von 3 Tagen bestätigt, für den

2. und 3. Tatbestand jeweils eine Ersatzfreiheitstrafe von 12 Stunden festgesetzt.

3.3.4. Ergebnis

Aus den vorgenannten Gründen war der Beschwerde hinsichtlich des Ausspruches über die verhängte Strafe teilweise Folge zu geben. Außerdem waren die anzuwendenden Gesetzesbestimmungen richtigzustellen (vgl. VwGH, 20.05.2015, Ra 2014/09/0033).

Die Kosten des Beschwerdeverfahrens vor dem Bundesverwaltungsgericht waren dem Beschwerdeführer gemäß § 52 Abs. 8 VStG nicht aufzuerlegen, weil seiner Beschwerde teilweise Folge gegeben wurde.

Zu B) Zulässigkeit der Revision

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt und es dazu keine Rechtsprechung des Verwaltungsgerichtshofs gibt: so stellt sich gegenständlich die Frage nach der Unionsrechtskonformität und damit nach der Anwendbarkeit der §§ 12 ff DSG sowie in weiterer Folge nach den materiellen Rechtsgrundlagen für das gegenständliche Strafverfahren und deren Bestimmtheit.