BVwG W211 2287218-1

Spruch:

W211 2287218-1/3E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA, LL.M., als Vorsitzende und die fachkundigen Laienrichter Mag. Christoph KUNZ und Dr. Ulrich E. ZELLENBERG als Beisitzer über die Beschwerde der XXXX , vertreten durch XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX , zu Recht:

A)

Die Beschwerde wird als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Die Datenschutzbehörde, idF DSB, leitete ein amtswegiges Prüfverfahren (Datenschutzüberprüfung) gegen die XXXX (= Verantwortliche vor der DSB und Beschwerdeführerin vor dem Bundesverwaltungsgericht, idF BF) als Betreiberin von Videokameras in der Stadt XXXX ein.

2. Nach entsprechender Aufforderung zur Stellungnahme gab die BF der DSB am XXXX .2023 bekannt, dass sie eine Auftragsverarbeiterin mit der Errichtung eines videobasierten Personenzählsystems beauftragt habe. Der Zweck sei zunächst die laufende Ermittlung der Besuchermengen am XXXX gewesen und nunmehr die Frequenzmessung. Insgesamt handle es sich um 27 Kameras. Es erfolge keine Speicherung des Bildmaterials, dieses würde durch ein weiteres Unternehmen direkt in Daten umgewandelt. Die Kameras seien nicht gekennzeichnet. Zudem legte die BF ein Projekthandbuch vor, welches Screenshots und Fotos der betriebenen Videokameras beinhaltete.

Mit weiterer Stellungnahme vom XXXX 2023 legte die BF eine Liste der 27 Kameras mit genauer Adresse, der Montageart und den erfassten Aufnahmebereichen vor. Sie führte weiter aus, dass die Datenverarbeitung auf die Rechtsgrundlage der berechtigten Interessen iSd Art. 6 Abs. 1 lit f DSGVO gestützt werde. Die Informationen über Besucherströme bzw. Besucherfrequenzen seien wichtige Indikatoren für die Planung, Organisation und Durchführung von Events. Die Kameras seien insbesondere zur statistischen Besucherstrommessung montiert worden. Es werde mittels Echtzeitmessung (Live-Bild) erfasst und anonymisiert ausgewertet. Die Positionierung der Kameras sei auf die Zutrittsbereiche ausgerichtet. Die Kameras würden digitales Bildmaterial generieren, das an ein spezielles Computersystem ( XXXX ) weitergeleitet und in einer eigenen Analyse-Umgebung durch eine konkret für diesen Zweck abgestimmte Software eines (durch die Auftragsverarbeiterin zu diesem Zweck herangezogenen) Unternehmens in Echtzeit ausgewertet werde. Zu einer Weiterübermittlung oder einer darüberhinausgehenden Speicherung würde es nicht kommen.

Die eingesetzte Plattform bestehe aus zwei Hauptkomponenten; die erste Komponente beinhalte einen virtuellen „ XXXX “, der auf dem Host-System, durch das von der Auftragsverarbeiterin herangezogene Unternehmen für die Technologie zur Echtzeitauswertung von Videostreams, bereitgestellt werde. Dieser Teil analysiere den Inhalt des Videostreams in Echtzeit. Jedes Bild existiere als Datenobjekt nur weniger als 50 Millisekunden bis zur erfolgreichen Auswertung durch die Software. Die analysierten Echtzeitaufnahmen der Kameras würden durch die spezielle Software in Textdaten umgewandelt und im Dashboard des Anwenders visualisiert dargestellt. Sohin finde weder eine Identifizierung von Personen noch eine Analyse von Gesichtsmerkmalen statt.

Die zweite Komponente enthalte das „ XXXX “. Das Livebild könne theoretisch am Videosystem durch die Auftragsverarbeiterin und das herangezogene Unternehmen für die Technologie zur Echtzeitauswertung von Videostreams kontinuierlich betrachtet werden. Der Zugriff sei durch eine Portabschaltung geschützt. Zur Visualisierung müsse der Port aktiviert werden. Eine solche Aktivierung könne nur beim Netzwerkteam der Auftragsverarbeiterin beantragt werden. Alle Zugriffe würden protokolliert werden. Der Zugriff auf das Livebild der Kameras erfolge ausschließlich im Rahmen der Supporttätigkeit, insbesondere um sicherheitsrelevante Aspekte zu berücksichtigen und den Schutz der Daten zu gewährleisten. Der Sendevorgang der Echtzeitaufnahmen an den „ XXXX “ sei dem Stand der Technik entsprechend gegen unzulässige Fremdzugriffe geschützt.

Es würde sich zudem um eine Datenverarbeitung zu statistischen Zwecken gemäß § 7 Abs. 1 DSG handeln. Gemäß § 12 Abs. 3 DSG sei die Bildverarbeitung bei überwiegendem berechtigten Interesse und gegebener Verhältnismäßigkeit zulässig, insbesondere bei privatem Dokumentationsinteresse. Diese Voraussetzungen seien gegeben. Eine Interessensabwägung würde nicht zu einer Beeinträchtigung der Rechte der erfassten Passant:innen führen, da es sich um eine Echtzeitverarbeitung handle, und die Bilddaten nicht gespeichert würden. Die erfassten Personen seien für den:die Anwender:in nicht identifizierbar. Es würden auch sämtliche Voraussetzungen für eine Datenverarbeitung gemäß Art. 6 Abs. 1 lit f DSGVO vorliegen.

Eine Datenschutzfolgeabschätzung gemäß Art. 35 DSGVO sei aufgrund der einschlägigen Ausnahme der Verordnung für Bild-und Akustikverarbeitungen nicht vorzunehmen gewesen.

3. Mit Bescheid vom XXXX .2023 untersagte die DSB mit Spruchpunkt I. der BF die Datenverarbeitung durch die Videokameras in der XXXX (Kameras mit der Bezeichnung 9, 10, 11, 12, 13, 14, 15, 16, 17 und 19), am XXXX (Kameras mit der Bezeichnung 20, 21, 23, 24, 25, 26, 28, 29 und 30) und in XXXX (Kameras mit der Bezeichnung 1, 2, 3, 4, 5, 6, 7, und 8) mit sofortiger Wirkung und bei sonstiger Exekution. Mit Spruchpunkt II. schloss die DSB die aufschiebende Wirkung einer allfällig rechtzeitig eingebrachten und zulässigen Beschwerde nach Art. 130 Abs. 1 Z 1 B-VG aus.

Begründend führte die DSB im Wesentlichen aus, dass es sich bei der BF um die Verantwortliche der gegenständlichen Datenverarbeitungen handle, welche sich einer Auftragsverarbeiterin bedient habe. Bei den durch die Videokameras erfassten Daten handle es sich um personenbezogene Daten; eine Verarbeitung im Sinne der DSGVO bestehe aufgrund der Datenerhebung durch die Kameras sowie die anschließende Versendung an ein spezielles Computersystem, womit der sachliche Anwendungsbereich der DSGVO eröffnet sei. Die verfahrensgegenständlichen 27 Videokameras würden somit personenbezogene Daten von Passant:innen, die gemäß § 1 Abs. 1 DSG einem Geheimhaltungsanspruch unterliegen, erfassen. Der Eingriff in das Grundrecht auf Datenschutz sei anhand § 1 Abs. 2 DSG iVm. Art. 6 Abs. 1 lit f DSGVO zu prüfen.

Das von der BF behaupte berechtigte Interesse an der Erfassung und statistischen Auswertung von Besucherströmen, der Personenzählung sowie der Frequenz, um die erzielten textuellen Ergebnisse abbilden und als Indikatoren zur Planung, Organisation und Umsetzung von Standort-Marketing-Maßnahmen (Veranstaltungen, konzeptionelle Marketingmaßnahmen anhand der Besucherfrequenzen) nützen zu können, sei bereits fraglich, zumal Standort-Marketing-Maßnahmen möglicherweise nicht fortdauernd und lückenlos geplant, organisiert oder umgesetzt würden.

Die verfahrensgegenständliche Datenverarbeitung sei jedoch nicht erforderlich, da ein großer Teil der XXXX , somit öffentlicher Raum, durch Videokameras in Echtzeit erfasst werde. Die Durchführung der dauerhaften Personen- bzw. Frequenzmessung sei zudem nicht das gelindeste Mittel, um Indikatoren (Ergebnisse der Messung im zeitlichen Kontext) für die Planung, Organisation und Umsetzung von Standort-Marketing-Maßnahmen zu erlangen. Die verfahrensgegenständlichen Videokameras seien folglich nicht erforderlich, um die Marketinginteressen der BF zu erreichen.

In diesem Zusammenhang müsse das Grundrecht auf Datenschutz (§ 1 DSG, Art. 8 GRC) und das Recht auf Achtung des Privat- und Familienlebens gemäß Art. 8 EMRK in einer – allfällig – durchzuführenden Interessensabwägung herangezogen werden. Es sei evident, dass die erfassten Personen, darunter auch Kinder, im öffentlichen Bereich der Innenstadt zumindest teilweise ihr Privatleben ausleben. Die kontinuierliche Erfassung weitgehender Teile der Innenstadt, die Erfassung einer großen Anzahl von Passant:innen und dies ohne zeitliche Einschränkung müsse als besonders eingriffsintensiv gewertet werden. Zudem dürfe eine betroffene Person davon ausgehen, dass sie in öffentlich zugänglichen Bereichen nicht überwacht werde, vor allem, wenn diese Bereiche typischerweise Erholungs-, Entspannungs- und Freizeitaktivitäten dienen würden. Demgegenüber stehe das Interesse der Verantwortlichen, durch den Einsatz des verfahrensgegenständlichen Videoüberwachungssystems effizient Marketing betreiben zu können. Es überwiege bei einer solchen Interessensabwägung das Geheimhaltungsinteresse der betroffenen Personen.

In diesem Zusammenhang fehle auch eine Informationserteilung gemäß Art. 13 bzw. Art. 14 DSGVO sowie eine Kennzeichnung der Videokameras.

Vor dem Hintergrund dieser besonders eingriffsintensiven Datenverarbeitung komme nur die Abhilfebefugnis gemäß Art. 58 Abs. 2 lit f DSGVO in Betracht, wonach die DSB eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, verhängen könne. Die Datenverarbeitung habe somit untersagt werden müssen.

Da mit der vorliegenden und sehr eingriffsintensiven Datenverarbeitung erhebliche Risiken für Betroffene verbunden seien, und eine Verarbeitung in Übereinstimmung mit der DSGVO nicht vorliege, habe die DSB die aufschiebende Wirkung einer allfälligen Beschwerde ausschließen müssen, um die berührten öffentlichen Interessen und Interessen anderer Parteien zu schützen.

4. In der rechtzeitig eingebrachten Beschwerde gegen den Bescheid der DSB führte die BF zusammengefasst und soweit verfahrensrelevant aus, dass es sich bei der gegenständlichen Datenverarbeitung nicht um eine Verarbeitung von personenbezogenen Daten handle, und der sachliche Anwendungsbereich der DSGVO nicht eröffnet sei. Die gegenständliche Datenverarbeitung könne aufgrund des besonderen Verfahrens zur Auswertung mittels Software, welche die erzeugten Bilder innerhalb von 50 Millisekunden lösche und in ein Textdokument übersetzte, nicht mit einer klassischen Videoüberwachung verglichen werden. Eine Identifizierbarkeit oder Re-Identifizierbarkeit von Personen müsse somit verneint werden. Die Funktionsweise stehe jener eines Bewegungsmelders am Nächsten. Im Gegensatz zur Annahme der DSB liege ein kontinuierliches und berechtigtes Interesse (Standortmarketing) gemäß Art. 6 Abs. 1 lit f DSGVO an der Erfassung und statistischen Auswertung von Besucherströmen, der Personenzählung und der Frequenz (jeweils in Echtzeit) vor, um die erzielten textuellen Ergebnisse (Personenanzahl / Zeitpunkt) in der Zeitreihe abbilden und als Indikatoren zur Planung, Organisation und Umsetzung von Standortmarketing-Maßnahmen (Veranstaltungen, konzeptionelle Marketingmaßnahmen anhand der Besucherfrequenzen) nutzen zu können. Die Datenverarbeitung sei zudem erforderlich und auf das Notwendigste beschränkt, da sich die Positionierung der Kameras auf die Zutrittsbereiche zur Innenstadt beschränke, und keinesfalls der gesamte Bereich flächendeckend überwacht werde. Es handle sich auch um das gelindeste Mittel, da der erfasste Live-Stream bereits nach 50 Millisekunden (im Arbeitsspeicher) wieder gelöscht, und die hier gegebene Situation somit auch nicht mit jener der Überwachung von Privatgrundstücken zum Zweck des Eigentumsschutzes verglichen werden könne. Zudem würden keine sensiblen Daten verarbeitet. Persönliche Bereiche, wie z.B. Haus- und Geschäftseingänge, seien durch einen implementierten Datenschutzbereich unscharf gestellt bzw. nicht erkennbar. Der Live-Stream könne theoretisch kontinuierlich betrachtet werden, jedoch sei zu diesem Zweck eine Portfreischaltung durch die Auftragsverarbeiterin notwendig, und würde ein solcher Zugriff protokolliert. Vor diesem Hintergrund führe auch die anzustellende Interessenabwägung nicht zu einer relevanten Beeinträchtigung der Rechte der erfassten Passant:innen, weil die Bildinformationen in Echtzeit softwaremäßig ausgewertet, und diese Bilddaten nicht gespeichert würden. Zudem sei nicht davon auszugehen, dass die Bildinformationen der Beobachtung, Überwachung oder Kontrolle von betroffenen Personen dienen. Die gegenständliche Datenverarbeitung stelle keine systematische und umfangreiche Überwachung öffentlicher Bereiche dar.

Ein Eingriff in § 1 DSG sei zudem ausgeschlossen, da ein solcher nicht vorliege, wenn eine Rückführbarkeit nicht (mehr) gegeben sei. Davon müsse aufgrund der kurzen Verarbeitungsdauer von 50 Millisekunden ausgegangen werden. Auch treffe die anwendbare Ausnahmebestimmung des § 7 Abs. 1 Z 3 DSG zu, da eine Datenverarbeitung zu statistischen Zwecken vorliege, welche keine personenbezogenen Ergebnisse zum Ziel habe. Mangels einer konkreten Auseinandersetzung der DSB mit diesem Vorbringen liege ein wesentlicher Verfahrensmangel vor. Eine konkrete Auseinandersetzung mit dem Vorbringen der BF fehle auch hinsichtlich der tatsächlichen Eingriffsintensität im Sinne des Art. 6 Abs. 1 lit f DSGVO.

Das ausgesprochene Verarbeitungsverbot sei zudem überschießend, vielmehr wäre die DSB dazu veranlasst gewesen, auszusprechen, wie ein rechtskonformer Zustand der Datenverarbeitung herzustellen sei.

Es werde beantragt, der Beschwerde Folge zu geben und in der Sache selbst zu erkennen und den Bescheid in der Weise abzuändern, dass das Verfahren eingestellt und der BF als Verantwortliche die Datenverarbeitung durch die Videokameras nicht untersagt werde, in eventu den Bescheid aufzuheben und zur Verfahrensergänzung und neuerlichen Entscheidung an die Behörde zurückzuverweisen.

5. Mit Stellungnahme vom XXXX .2024 legte die DSB den Verwaltungsakt dem Bundesverwaltungsgericht vor, verwies vollinhaltlich auf den bekämpften Bescheid und begehrte die Abweisung der Beschwerde.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die BF ist eine im Firmenbuch eingetragene Gesellschaft mit beschränkter Haftung mit der Firmenbuchnummer XXXX . Der Unternehmensgegenstand ist die Stärkung XXXX als zentraler Wirtschafts-, Arbeits- und Lebensraum des XXXX die Erhöhung der nationalen und internationalen Standortattraktivität XXXX im Allgemeinen, die Belebung der Innenstadt und der Stadtteile im Besonderen, die weitere Profilierung und Positionierung der Stadt durch die Entwicklung sowie die Umsetzung von PR-, Werbe-, Verkaufsförderungs- und Veranstaltungsmaßnahmen und die Begleitung des Markenbildungsprozesses.

1.2. Gesellschafter:innen der BF sind die XXXX , XXXX , der XXXX und seine XXXX sowie der XXXX .

1.3. Die BF hat die XXXX (Auftragsverarbeiterin) mit der Errichtung eines videobasierten Personenzählsystems zur laufenden Ermittlung der Besuchermengen auf den XXXX beauftragt. Die Personenzählung wurde in weiterer Folge zu einer Frequenzmessung umgebaut.

Die BF betrieb von zumindest Ende XXXX bis zur Untersagung mit Bescheid vom XXXX 2023 die verfahrensgegenständlichen 27 Kameras in der Stadt XXXX .

Zwischen der BF und der Auftragsverarbeiterin wurde am XXXX ein Auftragsverarbeitungsvertrag mit dem Gegenstand der Erhebung von Bilddaten im Auftrag der BF, der Übermittlung dieser Bilddaten an ein weiteres Unternehmen ( XXXX ) zur Erstellung einer Besucherstromanalyse sowie der Übermittlung der Bilddaten an XXXX zur Erstellung eines Dashboards zur Besucherstromanalyse getroffen.

1.4. Von der Auftragsverarbeiterin wurden die XXXX für die Technologie zur Echtzeitauswertung von Videostreams und die XXXX als Datenmanagement- und Visualisierungslösung herangezogen.

1.5. Die Kameras nahmen im Betriebszeitraum in Echtzeit auf und generierten digitales Bildmaterial, das als Videostream jeder einzelnen Kamera an einen „ XXXX “ ( XXXX ) übermittelt wurde. Das digitale Bildmaterial wurde in der XXXX Umgebung durch das herangezogene Unternehmen für die Technologie zur Echtzeitauswertung von Videostreams bzw. deren Software analysiert und in textuelle Daten umgewandelt. Jedes Bild existierte als Datenobjekt bis zu 50 Millisekunden und wurde nach Auswertung im Arbeitsspeicher gelöscht. Es erfolgte keine darüberhinausgehende Speicherung des Bildmaterials.

1.6. Durch die 27 Videokameras wurden 24 Stunden am Tag Bilddaten im öffentlichen Raum von Passant:innen erfasst, erhoben und übermittelt.

Die Livebilder der verfahrensgegenständlichen Kameras konnten sowohl bei der Auftragsverarbeiterin, als auch im „ XXXX “ kontinuierlich betrachtet werden. Zugriffe erfolgten im Rahmen von Supporttätigkeiten. Um auf die Livebilder zuzugreifen, musste ein entsprechender Port aktiviert werden und dies zusätzlich bei der Auftragsverarbeiterin beantragt werden. Ein solcher Zugriff wurde protokolliert.

1.7. Ziel der durch die Videokameras ausgewerteten Analysen war es, Besucherstromanalysen bzw. Frequenzanalysen durchzuführen und die gewonnenen Informationen für die Bewertung von Auslastungen und als Indikatoren für die Planung, Organisation und Durchführung von Events bzw. Veranstaltungen und sonstigen Aktivitäten zu verwenden, die für das Standortmarketing relevant sind.

1.8. Zu den Kameras:

Von den insgesamt 27 Kameras sind acht Kameras in der XXXX (Kameras mit der Bezeichnung 1, 2, 3, 4, 5, 6, 7, und 8), zehn Kameras in der XXXX (Kameras mit der Bezeichnung 9, 10, 11, 12, 13, 14, 15, 16, 17 und 19) und neun Kameras am XXXX (Kameras mit der Bezeichnung 20, 21, 23, 24, 25, 26, 28, 29 und 30) montiert.

Die Kameras sind in den Zutrittsbereichen zu diesen drei Orten positioniert, um die Besucherströme bzw. die Besucherfrequenz zu erfassen.

- XXXX :

Die Kameras 1 und 2 befinden sich im Bereich der Hausnummer XXXX auf einem Lichtmast, die Kameras 3 und 4 im Bereich der Hausnummer XXXX auf einer Laterne, die Kamera 5 im Bereich der Hausnummer XXXX auf einem Lichtmast sowie die Kameras 6, 7 und 8 jeweils auf einem Lichtmast im Bereich der Hausnummern XXXX und XXXX .

Bei dem erfassten Bereich in der XXXX handelt es sich im Wesentlichen um einen Straßenzug mit zwei Zugängen. Die Kameras 1, 2, 3, 4 und 5 decken den unteren Zugang ( XXXX ) ab, während die Kameras 6, 7 und 8 den oberen Zugang ( XXXX ) erfassen. Ergänzend ist der Zugang zu diesem Teil der XXXX durch eine Unterführung bzw. einen Tunnel in der Geschäftefront ( XXXX ) möglich, welcher von Kamera 4 erfasst wird.

Die Kameras 1, 2 und 5 erfassen im unteren Teil der XXXX das gesamte Pflaster der Fußgängerzone zwischen den links und rechts befindlichen Wohn- und Geschäftsfronten. Kamera 4 erfasst lückenlos den Zugang für Passant:innen durch eine Unterführung bzw. einen Tunnel in der Gebäudefront. Kamera 3 überblickt das gesamte Areal.

Die Kameras 6, 7 und 8 erfassen im oberen Teil der XXXX das gesamte Pflaster der Fußgängerzone zwischen den links und rechts befindlichen Wohn- und Geschäftsfronten.

Die Kameras 1, 2, 3, 5, 6, 7 und 8 verfügen über einen eingerichteten Datenschutzbereich, welcher erfasste Wohn- und Geschäftefronten unkenntlich macht. Dies trifft nicht auf Kamera 4 zu.

Ein Betreten, Verlassen oder der Aufenthalt in diesem Teil der XXXX ist nicht möglich, ohne von den Kameras der BF dabei wahrgenommen bzw. von Kamera 3 dauerhaft erfasst zu werden.

- XXXX

Kamera 9 befindet sich in der XXXX auf der Gebäudefassade, Kamera 10 in der XXXX auf einem Regenrohr, und Kamera 11 in der XXXX ebenfalls auf einem Regenrohr. Die Kameras 12 und 13 befinden sich auf einem Regenrohr in unmittelbarer Nähe XXXX . Kamera 14 ist auf einem Laternenmast im Kreuzungsbereich XXXX montiert, und Kamera 15 in der XXXX auf einer Lampenkonstruktion. Kamera 16 ist in der XXXX montiert und ist, wie die Kameras 17 und 19 in der XXXX , an der Gebäudefassade bzw. den Regenrohren angebracht.

Bei den erfassten Bereichen der XXXX handelt es sich um XXXX , die in einem großen Rechteck angeordnet sind, wobei dieses Rechteck einmalig durch die XXXX durchbrochen wird. Zu diesen Straßenzügen bestehen insgesamt sechs verschiedene Zugangspunkte. Kamera 9 erfasst den Zugangspunkt im rechten unteren Eck, während die Kameras 17 und 19 das linke untere Eck des Rechteckes wahrnehmen. Das rechte obere Eck ( XXXX ) wird durch die Kameras 12 und 13 erfasst, während Kamera 14 den Zugang im linken oberen Eck abdeckt. Kamera 15 nimmt Passant:innen wahr, die sich von der oberen linken Ecke Richtung untere linke Ecke bewegen. Die Kameras 10 und 15 nehmen die zwei weiteren Zugangspunkte zu diesem Rechteck auf der Höhe der XXXX wahr. Kamera 11 erfasst die XXXX an sich.

Alle Kameras verfügen über einen eingerichteten Datenschutzbereich, der Wohn- und Geschäftsfronten großteils unkenntlich macht. Aufgrund der engen Gassen in der XXXX erfasst jede der Kameras das gesamte Pflaster zwischen den links und rechts befindlichen Wohn- und Gebäudefronten bzw. den jeweiligen Kreuzungsbereich.

Ein Betreten oder Verlassen der XXXX ist nicht möglich, ohne von den Kameras der BF erfasst zu werden.

- XXXX :

Beim XXXX handelt es sich um ein großes, freies und XXXX , welche direkt an den „ XXXX “ grenzt und durch die Straßen „ XXXX “ und „ XXXX “ begrenzt wird, wobei der Bereich der Tiefgarage nicht durch die Kameras der BF erfasst wird. Die Kameras befinden sich entlang aller Zugänge zu diesem Areal, wobei die Kameras überwiegend direkt auf XXXX gerichtet sind. Als Montageorte wurden hauptsächlich Licht- /Strom- und sonstige Masten gewählt.

Kamera 28 erfasst den Zugang zu diesem Areal im Bereich der XXXX , während die Kameras 24, 25, 26, 30 die Zugänge über die Straße „ XXXX “ abdecken. Die Kameras 20, 21, 23 und 29 decken die Zugangspunkte entlang der Straße „ XXXX “ ab.

Die Kameras 20, 21, 23, 25, 26, 28 und 29 nehmen in ihrer Gesamtheit das vollständige XXXX wahr, während die übrigen Kameras ausschließlich das unmittelbare Pflaster im Zugangsbereich erfassen. Bis auf Kamera 20 wurden Datenschutzbereiche für über den XXXX hinausgehende öffentliche Flächen bzw. Gebäude eingerichtet.

Ein Betreten, Verlassen oder der Aufenthalt auf dem XXXX ist nicht möglich, ohne von den Kameras der BF wahrgenommen bzw. dauerhaft erfasst zu werden.

1.9. Durch die Kameras sind an den unter 1.8. genannten Orten Passant:innen, ein Fahrzeug mit Wagennummer (Polizeiauto), weitere Fahrzeuge, Baufahrzeuge, Fahrräder sowie Menschen beim Spazierengehen, Fahrradfahren bzw. Spielen mit Hunden und darüber hinaus insbesondere das Zusammentreffen von Jugendlichen zu erkennen (Screenshots).

1.10. Bei den installierten Kameras handelt es sich um den Typ XXXX Dome Camera.

1.11. Keine der 27 Videokameras ist gekennzeichnet, und es wird auch sonst nicht auf die vorgenommene Bildverarbeitung hingewiesen. Es wurde bei jedem Standort die Wandfarbe bzw. die Farbe des Montageorts bestimmt, um die Kameras weniger auffällig zu gestalten.

1.12. Die Visualisierung der Personenzählung vor dem Umbau zu einer Frequenzmessung war derart ausgestaltet, dass über eine allgemein zugängliche Internetseite XXXX die minutenaktuelle Auslastung der XXXX und XXXX in Prozent bzw. Worten abgerufen werden konnte. Im Hintergrund war auch die Historie der Besucherzahlen über die letzten 7 Tage, der zeitliche Verlauf der Besucherzahlen sowie der individuelle Verlauf für jede Kamera auslesbar. Eine Personenzählung am Standort XXXX war nur mit „künstlich geschaffenen Zugängen“ möglich.

Die aktuelle und nunmehr untersagte Visualisierung bzw. Aufbereitung der Daten der Frequenzzählung in der XXXX konnte von der BF über ein Dashboard betrachtet werden und spiegelt die Ein- und Austritte der letzten sieben Tage, das vorherrschende Wetter, die prozentuelle Auslastung und die absoluten Personenzahlen wieder.

1.13. Als mögliche Methoden der Frequenzzählung sind neben den stichprobenartigen Handzählungen und Kamerasystemen auch andere automatisierte Techniken ohne Videoaufnahmen denkbar, wie zB Funk-Tracker (vgl. https://www.ihk.de/hagen/servicemarken/branchen/hal/passantenfrequenzzahlung-6187544 abgerufen am 4.9.2024) und Laserscanner (vgl. Stuttgarter Nachrichten v. 29.07.2018 https://www.stuttgarter-nachrichten.de/inhalt.einzelhandel-in-stuttgart-besucher-der-koenigstrasse-werden-mit-lasern-erfasst.1286f3fc-533e-40f8-9e43-f80a8926d789.html abgerufen am 4.9.2024).

2. Beweiswürdigung:

Die getroffenen Feststellungen ergeben sich aus dem Verwaltungs- und Gerichtakt.

2.1. Die Feststellung 1.1. ergibt sich aus der Stellungnahme der BF vom XXXX 2023, der dieser Stellungnahme angeschlossenen Beilage 4 und dem aktenkundigen Firmenbuchauszug.

2.2. Die Feststellung 1.2. ergibt sich aus der Stellungnahme der BF vom XXXX .2023.

2.3. Die Feststellung 1.3. ergibt sich aus der Stellungnahme der BF vom XXXX 2023, insbesondere den dieser Stellungnahme angeschlossenen Beilagen 1 und 2, dem Projektzeitplan sowie der aktenkundigen Mitteilung der BF vom XXXX 2023, wonach die Datenverarbeitung eingestellt wurde.

2.4. Die Feststellungen 1.4., 1.5., 1.6. und 1.7. gründen sich auf die Stellungnahme der BF vom XXXX .2023, insbesondere der dieser Stellungnahme angeschlossenen Beilage 1. Insoweit die DSB im angefochtenen Bescheid festhält, dass es eine „darüberhinausgehende Speicherung des Bildmaterials“ gibt (vgl. S 5 des angefochtenen Bescheids), findet diese Feststellung der DSB keine Deckung im durch die Beilage 1 bestätigten und nachvollziehbaren Vorbringen der BF im Laufe des Verfahrens und auch der Beschwerde. Es war daher unter 1.5. die Feststellung zu treffen, dass es zu einer darüberhinausgehenden Speicherung des Bildmaterials eben nicht kommt.

2.5. Die Feststellungen zu den Kameras unter 1.8. ergeben sich aus der Stellungnahme der BF vom XXXX .2023, insbesondere der dieser Stellungnahme angeschlossenen Beilage 1 und der Durchsicht aller in dieser Stellungnahme und ihren Beilagen befindlichen Lichtbilder und Screenshots.

2.6. Die Feststellung unter 1.9. ergibt sich aus einer Durchsicht aller von der BF vorgelegten Screenshots der 27 Kameras.

2.7. Die Feststellung unter 1.10. zum konkreten Typ der eingesetzten Kamera ergibt sich aus der Stellungnahme der BF vom XXXX .2023, insbesondere der dieser Stellungnahme angeschlossenen Beilage 1.

2.8. Die Feststellung unter 1.11. ergibt sich aus der eigenen Stellungnahmen der BF vom XXXX .2023, den angeschlossenen Beilagen, den darin enthaltenen Lichtbildern, der eindeutigen Beschreibung betreffend die Farbwahl der Kameras und den weiteren Plänen der BF, diese in passender Farbe zu lackieren.

2.9. Die Feststellung unter 1.12. gründet sich ebenfalls auf die Stellungnahme der BF vom XXXX .2023, insbesondere auf die dieser Stellungnahme angeschlossene Beilage 1.

Beweiswürdigend ist insgesamt festzuhalten, dass sich für den erkennenden Senat keine Zweifel insbesondere an den von der BF selbst vorgelegten Projektunterlagen, die die Kameras, ihren Standort, ihren Aufnahmebereich, ihre Funktionsweise sowie die Funktionsweise des Projekts an sich betreffen, ergeben haben.

3. Rechtliche Beurteilung:

Zu A)

3.1. Rechtsgrundlagen in Auszügen:

Art. 4 DSGVO – Begriffsbestimmungen:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; […]

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; (…)

Art. 5 DSGVO - Grundsätze für die Verarbeitung personenbezogener Daten:

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können ("Rechenschaftspflicht").

Art. 6 Abs. 1 DSGVO –Rechtmäßigkeit der Verarbeitung:

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

§ 1 Abs. 1 und 2 DSG – Grundrecht auf Datenschutz (Verfassungsbestimmung):

(1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

§ 7 Abs. 1 DSG – Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke:

(1) Für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, die keine personenbezogenen Ergebnisse zum Ziel haben, darf der Verantwortliche alle personenbezogenen Daten verarbeiten, die

1. öffentlich zugänglich sind,

2. er für andere Untersuchungen oder auch andere Zwecke zulässigerweise ermittelt hat oder

3. für ihn pseudonymisierte personenbezogene Daten sind und der Verantwortliche die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann.

3.2. In der Sache:

3.2.1. Zur Frage der Verarbeitung von personenbezogenen Daten:

Das Vorliegen personenbezogener Daten bestimmt den sachlichen Anwendungsbereich der DSGVO. Personenbezogene Daten sind das Schutzziel der Verordnung, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 6 (Stand 1.12.2018, rdb.at)).

Hödl führt im Zusammenhang mit dem Erfordernis der Identifizierbarkeit von Personen in Bild- und Filmmaterial aus, dass im Fall von Bilddaten die abgebildete Person zumindest erkennbar sein muss. Auch wenn die Betroffenen nachträglich bestimmbar sind, kann ein Personenbezug vorliegen, denn Bestimmbarkeit bedeutet, dass ein Datum aufgrund eines oder mehrerer Merkmale letztlich einer bestimmten Person zugeordnet werden kann (ebda, Rz 16).

Mit entsprechendem Zusatzwissen bezüglich des Aussehens zuvor bereits gesehener Personen kann auch eine Abbildung, z.B. des Gesichts einer Person, die durch Wiedererkennung realisierte eindeutige Zuordnung zu einer Identität ermöglichen. Ist dies nicht möglich, könnte eine Identifizierung über die Abbildung des äußeren Erscheinungsbildes einer erkennbaren Person zumindest möglich sein.

Der EuGH hat in den Rechtssachen Novak (20.12.2017, C-434/16 Rz 31) und Breyer (19.10.2016, C-582/14 Rz 43) darauf hingewiesen, dass es für die Frage, ob personenbezogene Daten vorliegen, nicht erforderlich ist, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden. So reicht es für eine Identifizierbarkeit und das Vorliegen personenbezogener Daten bereits aus, dass zwar nicht der:die konkrete Verarbeiter:in (wie etwa der:die Prüfer:in einer [verblindeten] schriftlichen Prüfung in der Rs Novak) einen Personenbezug herstellen kann, sehr wohl aber jemand anderes (z.B. die Prüfungsinstitution). Auch aus ErwGr 26 ergibt sich, dass es für eine Identifizierbarkeit nicht ausschließlich auf die diesbezüglichen Möglichkeiten und Absichten des:der Verantwortlichen, sondern auch einer „anderen Person“ ankommt. Es ist daher von einer objektiven Beurteilung auszugehen. Nach Albrecht/Jotzo ist für die Identifizierbarkeit der sog „absolute Personenbezug“ maßgeblich, da es ausreichend ist, dass irgendjemand – und nicht nur der:die Verantwortliche – einen Personenbezug herstellen kann (Albrecht/Jotzo, Das neue Datenschutzrecht der EU [2017] 58; vgl. Bergauer in Jahnel, Kommentar zur DSGVO Art. 4 Z 1 DSGVO, RZ 16 und 20 (Stand 1.12.2020, rdb.at); im Sinne der vorigen Absätze auch OGH, 27.11.2029, 6 Ob 150/19f).

Die DSGVO definiert den Begriff „Verarbeitung“ gemäß Art. 4 Z 2 DSGVO durch die Aufzählung einer Reihe von möglichen Nutzungsvorgängen.

Zur Begriffsbestimmung „Erheben“: Das Erheben setzt ein aktives Handeln des:der Verantwortlichen voraus. Daten können zum einen gezielt erhoben werden, indem Daten technisch – etwa durch einen Sensor, eine Kamera oder ein anderes Datenaufnahmegerät – erfasst werden. Alternativ kann auch ein Mensch die Daten wahrnehmen und in ein informationstechnisches System eingeben (Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Art 4 Nr. 2 Rn 15).

Zur Begriffsbestimmung „Erfassen“: Der Vorgang des Erfassens steht in einem engen Zusammenhang mit der Erhebung von personenbezogenen Daten und bezeichnet die technische Formgebung der erhobenen Daten. Sie werden in einem bestimmten Format „erfasst“, das die weitere technische Verarbeitung ermöglicht (Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Art 4 Nr. 2 Rn 16).

Zur Begriffsbestimmung „Übermittlung“: Übermittlung iSd DSGVO ist eine Unterform der Offenlegung und ist die Mitteilung an individuell bestimmte Adressaten, sei es mündlich, schriftlich, elektronisch oder auf andere Weise (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 36 (Stand 1.12.2018, rdb.at)).

Gegenständlich liegt demnach zweifelsfrei eine Verarbeitung (in Form der Erhebung bzw. Erfassung und Übermittlung) personenbezogener Daten vor. Auch eine Echtzeitübertragung, auf der identifizierbare Passant:innen durch Videokameras kontinuierlich erfasst bzw. erkennbar sind, stellt idZ personenbezogene Daten dar. Die grundsätzliche Verarbeitungssituation unterscheidet sich im vorliegenden Fall nicht wesentlich von jener einer einfachen Videokamera, die Echtzeitaufnahmen an einen per Internet erreichbaren Monitor - auf dem das Livebild betrachten werden kann - überträgt. Auch in dieser Konstellation findet eine Speicherung des Videomaterials, bis auf die vorübergehende Deponierung der einzelnen Bilder im Arbeitsspeicher der Kamera (für eine äußerst geringe Zeitspanne), nicht statt.

Die BF brachte während des Verfahrens mehrmals vor, dass eine kontinuierliche Betrachtung des Livebildes grundsätzlich jederzeit stattfinden kann. Unerheblich ist in diesem Zusammenhang die Frage, ob die Echtzeitaufnahme tatsächlich 24 Stunden am Tag oder nur gelegentlich zu Wartungs- und Supportzwecken betrachtet wird. Wie oben in den Ausführungen zum Personenbezug dargelegt, ist dieser bereits über die Abbildung des äußeren Erscheinungsbildes einer (aufgrund der unbestritten guten Qualität des Livebildes und der unter 1.9. festgestellten und durch die Kameras eingefangenen Lebenssachverhalte) erkennbaren Person zumindest herstellbar. Das entsprechende Wissen muss nicht bei der BF alleine vorhanden sein. Es reicht in diesem Zusammenhang ein allfälliges Zufallswissen der z.B. mit der Einsichtnahme beauftragten Mitarbeiter:innen der Auftragsverarbeiterin, die auf dem Livebild eine ihnen erinnerliche Person wiedererkennen.

Das Argument der BF, dass unter keinen Umständen eine Identifizierbarkeit der erfassten Passant:innen möglich sei, da das Videomaterial ausschließlich an die „ XXXX “ übermittelt und durch eine Software in Text umgewandelt werde, erweist sich somit als unzutreffend. Auch die idZ in der Beschwerde vorgebrachte Argumentation, dass § 1 Abs. 1 Satz 2 DSG im gegenständlichen Fall die Verletzung eines schutzwürdigen Geheimhaltungsinteresses der betroffenen Personen bei „mangelnder Rückführbarkeit“ ausdrücklich ausschließe, trifft somit nicht zu, da eine Rückführbarkeit im Grundsatz eben nicht ausgeschlossen ist.

Der sachliche Anwendungsbereich der DSGVO ist daher eröffnet.

Darüber hinaus ist der DSB recht zu geben, dass nach gefestigter Rechtsprechung die §§ 12 und 13 DSG mangels Öffnungsklausel der DSGVO nicht anwendbar sind, und eine entsprechende Datenverarbeitung allein anhand Art. 6 Abs. 1 DSGVO zu beurteilen ist (vgl. Erkenntnis des BVwG vom 25.11.2019, GZ: W211 2210458-1).

3.2.2. Zur Frage der Verantwortlichkeit:

Der: die Verantwortliche gilt als Adressat:in der Pflichten aus der DSGVO. Der Begriff dient der Zuweisung von Verantwortlichkeiten. Der:die Verantwortliche ist Adressat:in von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde. Verantwortliche:r ist jede natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle (personenbezogener Aspekt), die allein oder gemeinsam mit anderen (pluralistische Kontrolle), über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden (Entscheidungsfunktion) (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 77, 80 (Stand 1.12.2018, rdb.at)).

Die BF ließ unstrittig – wie festgestellt – die verfahrensgegenständlichen Videokameras unter Zuhilfenahme einer Auftragsverarbeiterin ursprünglich zu Zwecken der Personenzählung (vertraglich) errichten und betrieb diese anschließend zum Zwecken der Frequenzzählung weiter. Die BF ist somit – unstrittig - als Verantwortliche für die verfahrensgegenständliche Verarbeitung gemäß Art. 4 Z 7 DSGVO zu qualifizieren.

3.2.3. Zum Erlaubnistatbestand gemäß Art 6 Abs. 1 lit f DSGVO:

Eine Verarbeitung personenbezogener Daten kann gemäß Art. 6 Abs. 1 lit f DSGVO zulässig sein, wenn sie zur Wahrung berechtigter Interessen des:der Verantwortlichen oder eines:einer Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Im Kern ist eine Abwägung der berührten Interessen (Interessenabwägung) im Einzelfall vorzunehmen, „wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.“ Die Gewichtung hat aus objektiver Sicht und nicht aus der subjektiven Sicht einzelner betroffener Personen zu erfolgen, nicht zu berücksichtigen sind also individuelle Befindlichkeiten (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO Rz 51 (Stand 7.5.2020, rdb.at)).

Im Verfahren gibt die BF dazu an, dass die Verarbeitung auf Basis von berechtigten Interessen an der Erfassung und statistischen Auswertung von Besucherströmen, der Personenzählung sowie der Frequenz, um die erzielten textuellen Ergebnisse abbilden und als Indikatoren zur Planung, Organisation und Umsetzung von Standort-Marketing-Maßnahmen (Veranstaltungen, konzeptionelle Marketingmaßnahmen anhand der Besucherfrequenzen) verwenden zu können, erfolgte.

Die Artikel-29-Datenschutzgruppe hat in einer nicht abschließenden Liste u.a. auch Marketing oder Werbung als berechtigte Interessen iSv Art. 7 lit f DS-RL genannt (Artikel-29-Datenschutzgruppe, Stellungnahme zum Begriff des berechtigten Interesses (WP217) 31 f (zu Art 7 DS-RL)). Aufgrund der inhaltlich weitgehend identischen Textierung des Art 6 Abs. 1 lit f DSGVO können diese Ausführungen auf die aktuelle Rechtlage übertragen werden (Feiler/​Forgó, EU-DSGVO Art. 6 Rz 7). Berechtigte Interessen sind weit zu verstehen, es kann grundsätzlich jedes von der Rechtsordnung gebilligte Interesse sein (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO Rz 54 (Stand 7.5.2020, rdb.at)).

Die von der BF vorgebrachten Marketinginteressen können daher ein solches „berechtigtes Interesse“ im Sinne des Art. 6 Abs. 1 lit f DSGVO darstellen. Dieses muss rechtmäßig sein, hinreichend klar artikuliert bzw. hinreichend spezifisch sein und ein tatsächliches und gegenwärtig vorliegendes Interesse darstellen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO Rz 55 (Stand 7.5.2020, rdb.at)).

Die Verarbeitung von personenbezogenen Daten im Rahmen des Standort-Marketings erfüllt diese Voraussetzungen im Grundsatz, zumal XXXX – wie von der BF in ihrer Beschwerde vorgebracht - als Touristenmagnet und Veranstaltungszentrum kontinuierlich stark frequentiert ist. Die Tatsache, dass der:die für die Verarbeitung Verantwortliche ein solches berechtigtes Interesse an der Verarbeitung bestimmter Daten hat, bedeutet aber nicht, dass er:sie sich zwangsläufig auf (heute) Art. 6 als Rechtsgrundlage für die Verarbeitung berufen kann (Artikel-29-Datenschutzgruppe, Stellungnahme zum Begriff des berechtigten Interesses (WP217, S 32f.): die vorgenommene Datenverarbeitung muss außerdem erforderlich sein zur Verwirklichung des berechtigten Interesses, auch dürfen die Grundrechte und Grundfreiheiten der betroffenen Personen nicht überwiegen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO Rz 51 (Stand 7.5.2020, rdb.at)).

Der erkennende Senat folgt weiter der Rechtsmeinung der DSB im angefochtenen Bescheid, dass die vorgenommene Datenverarbeitung nicht erforderlich war, und diesbezüglich der Datenverarbeitungsgrundsatz des Art. 5 Abs. 1 lit. c DSGVO – Datenminimierung – nicht eingehalten wurde:

Der EuGH führte bereits mehrfach aus, dass eine Verarbeitung nur jene Daten enthalten darf, die auch erforderlich sind, und sich grundsätzlich auf das absolut Notwendige beschränken muss (EuGH 09.11.2010, C-92/09 und C-93/09 (Schecke) Rz 86; 07.11.2013, C-473/12 (IPI) Rz 39; 11.12.2014, C-212/13 (Ryneš) Rz 28). Dabei sind auch Alternativen zu erwägen, und bei gleichem Effekt einer Datenverarbeitung mit anderen analogen Maßnahmen eine solche zu wählen.

Die vorgenommene und hier verfahrensgegenständliche „de facto“ Videoüberwachung stellt sich – insbesondere vor dem Hintergrund des unter 1.6.-1.9. sowie 1.11. festgestellten Umfangs der Datenverarbeitung – als exzessiv und damit jedenfalls unverhältnismäßig sowie für die betroffenen Personen enorm beeinträchtigend dar: das Bestehen von insgesamt 27 kontinuierlich bzw. 24 Stunden am Tag live übertragenden Kameras, womit alle Zu- und Abgänge zu drei zentralen Orten in XXXX ganz bzw. großflächig abgedeckt werden, um die Besucherfrequenz zu ermitteln oder eine Gegenrechnung der für einen bestimmten Bereich hinzukommenden bzw. verlassenden Personen vorzunehmen, führt zu einer lückenlosen Dokumentation des Aufenthalts aller Personen in diesen Bereichen, wobei weder zwischen Kindern, Jugendlichen, Tourist:innen, Anwohner:innen oder sonstigen rechtmäßigen Zufallsanwesenden (z.B. Polizei, Bauarbeiter:innen oder Postzusteller:innen) unterschieden wird. Die besondere Eingriffsintensität ergibt sich hierbei durch das Livebild der Kameras, das sowohl am Videosystem der Auftragsverarbeiterin als auch im „ XXXX “ kontinuierlich betrachtet werden kann.

Hervorzuheben ist in diesem Kontext auch das Fehlen jeglicher Kennzeichnung oder Information über die stattfindende Videoüberwachung sowie die möglichst diskrete Gestaltung der Kameras (farblichen Abstimmung der Videokameras mit dem vorhandenen Hintergrund).

Damit geht die vorgenommene Datenverarbeitung nicht nur über das Erwart- und Zumutbare jeder Person im Aufnahmebereich, sondern auch über das Erforderliche hinaus: der BF stehen auch weniger eingriffsintensive Zähltechniken zur Personen- bzw. Frequenzmessung zur Verfügung, wie zB eine auf Videokameras basierte, die aber tatsächlich kein Livebild ermöglicht, mechanische und/oder analoge Zählmöglichkeiten an Eingangspunkten oder auf Lasertechnologie basierte Systeme, die keine Bilder, wie eine Videokamera, generieren müssen, um einen Besucherstrom und/oder eine Frequenz zählen zu können.

Und schließlich ist der DSB auch bei ihrer Einschätzung recht zu geben, dass die vorgenommene Datenverarbeitung durch 27 im XXXX montierte und nicht ausgewiesene Videokameras unverhältnismäßig ist:

Grundsätzlich ist im Rahmen einer Interessenabwägung zu prüfen, in welchem Verhältnis sich die Interessen der jeweiligen Parteien gegenüberstehen. Als generelle Maxime gilt bei der Prüfung, dass ein geringes und nicht besonders zwingendes Interesse eines:einer Verantwortlichen für gewöhnlich nur dann stärker als die Interessen und Rechte der betroffenen Person zu gewichten ist, wenn die Auswirkungen auf diese Interessen und Rechte der betroffenen Person gering sind. Je wichtiger und zwingender die berechtigten Interessen des:der Verantwortlichen sind, desto massivere Eingriffe in die Interessen und Rechte der betroffenen Person lassen sich dadurch rechtfertigen. Dabei sind auch Schutzmaßnahmen zur Abmilderung von unangemessenen Folgen für betroffene Personen zu berücksichtigen, die eine besondere Rolle in der Abwägung spielen.

Gemäß ErwG 47 Satz 1 DSGVO sind bei dieser Abwägung „[…] die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem:der Verantwortlichen beruhen, zu berücksichtigen.“ In dieselbe Richtung geht auch Satz 4 desselben ErwGr: „Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des:der Verantwortlichen überwiegen.“ Bei der Überlegung, was die vernünftige Erwartungshaltung der betroffenen Person im jeweiligen Verarbeitungszusammenhang umfasst, kommt es darauf an, ob die betroffene Person im Zeitpunkt der Datenerhebung unter Berücksichtigung der Umstände vernünftigerweise damit rechnen konnte, dass eine Datenverarbeitung für einen bestimmten Zweck stattfinden wird. Etwas spezifischer fügen Braun/Hasenauer, Jahrbuch Datenschutzrecht 2018, 34, als weiteres Kriterium hinzu, dass der sachliche Zusammenhang zwischen dem wesentlichen Kern der Beziehung zwischen der betroffenen Person und dem:der Verantwortlichen maßgeblich ist. Je enger und typischer dieser Zusammenhang aufgrund der Umstände ist, desto eher muss die betroffene Person vernünftigerweise mit der Verarbeitung rechnen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO, Rz 77-79 (Stand 1.12.2020, rdb.at); vgl. auch Leitlinien 3/2019 des Europäischen Datenschutzausschusses vom 29. Jänner 2020, „Leitlinien zur Verarbeitung personenbezogener Daten durch Videogeräte“ Rz 38).

Die hier gegenständlichen 27 Videokameras, die in Echtzeit und als Livebild bei der Auftragsverarbeiterin und im „ XXXX “ Bilddaten über das Kommen und Gehen aller Passant:innen an drei zentralen Orten in der XXXX – ohne deren Wissen – erfasst haben, stellen – wie von der DSB richtig angenommen - einen massiven Eingriff in das Grundrecht auf Datenschutz § 1 DSG, Art. 8 GRC und das Recht auf Achtung des Privat- und Familienlebens des Art. 8 EMRK der betroffenen Personen dar. Die erfassten Bereiche liegen in und rund um XXXX . Die vorgelegten Screenshots zeigen auf, dass mit den Aufnahmebereichen durchgehend in Echtzeit tiefgreifende Einblicke in alltägliche Lebenssachverhalte für alle Passant:innen ermöglicht wurden, was für diese weder erwartbar noch in irgendeiner Weise kenntlich gemacht worden war.

Als ihr Interesse stellt die BF dem entgegen, mit dieser Frequenz- und Besuchermessung effizient und gezielt Marketing XXXX leisten zu können.

Es steht für den erkennenden Senat aber außer Verhältnis, für Zwecke des Marketings bzw. Werbungmaßnahmen für XXXX in deren innerstädtischen Bereich eine versteckte, 24 Stunden andauernde Videoüberwachung durchzuführen und dabei in geschützte Bereiche des Privat- und Familienlebens von zufällig anwesenden Personen, zu welchen keinerlei Konnex besteht, einzudringen. So darf ein:e Passant:in etwa davon ausgehen, dass sie in öffentlich zugänglichen Bereichen – insbesondere ohne jegliche anderslautende Kennzeichnung - nicht dauerhaft überwacht wird, vor allem, wenn diese Bereiche typischerweise für Erholungs-, Entspannungs- und Freizeitaktivitäten genutzt werden. Es überwiegt bei einer solchen Gegenüberstellung das Geheimhaltungsinteresse der betroffenen Personen das berechtigte Interesse der BF, das diese außerdem durch weniger eingriffsintensive Maßnahmen immer noch erfüllen kann.

3.2.4. Zur Abhilfebefugnis gemäß Art. 58 Abs. 2 lit f DSGVO:

Vor diesem Hintergrund ist in Bezug auf die gänzliche Untersagung der Datenverarbeitung klarzustellen, dass die Aufzählung der einzelnen Abhilfebefugnisse als eine Art „Eskalationsstufe“ – aufsteigend von der bloßen Warnung (Abs. 2 lit a) bis hin zur Untersagung der Datenverarbeitung (Abs. 2 lit f) – nicht bedeutet, dass die Aufsichtsbehörde nach der DSGVO verpflichtet wäre, mit der mildesten Maßnahme zu beginnen, vielmehr muss die Maßnahme im jeweiligen Einzelfall verhältnismäßig sein (Zavadil in Knyrim, DatKomm Art 58 DSGVO Rz 29 (Stand 1.3.2021, rdb.at)).

Im Lichte der erheblichen Eingriffsintensität der gegenständlichen Datenverarbeitung und der im Vergleich weniger bedeutsamen Nachteile der Einstellung der Datenverarbeitung (Verlust von Indikatoren für den Zweck des Standort-Marketings, wobei alternative Lösungsmöglichkeiten vorhanden sind), kann die Verhängung eines Verarbeitungsverbots durch die DSB als verhältnismäßig angesehen werden. Gelindere und dennoch ausreichend zweckentsprechende Abhilfemaßnahmen sind für den erkennenden Senat nicht ersichtlich. Soweit die BF vorbringt, dass eine lediglich teilweise Untersagung der Videoüberwachungsanlage in Verbindung mit Aufträgen zur Herstellung eines rechtskonformen Zustandes die zutreffende Abhilfebefugnis gewesen wäre, ist dem entgegenzuhalten, dass mangels der Erforderlichkeit der Datenverarbeitung mittels Videokameras und Livebild ein solches Vorgehen nicht in Betracht kommen kann. Wie bereits weiter oben erwähnt, stehen der BF weniger eingriffsintensive alternative Maßnahmen zur Personen- und Frequenzmessung zur Verfügung.

3.2.5. Zu § 7 Abs. 1 Z 3 DSG:

§ 7 DSG (als Folge der Öffnungsklausel des Art. 89 Abs. 2 und 3 DSGVO) bezweckt eine Privilegierung der Datenverarbeitung für die im öffentlichen Interesse gelegene wissenschaftliche (inkl. geschichtliche) Forschung, Statistik und Archivierung. Gegenstand der Privilegierung ist die Erlaubnis zur Ermittlung und weiteren Verarbeitung von personenbezogenen Daten für wissenschaftliche Zwecke iSd Bestimmung. Die Verarbeitung nach Abs. 1 stellt auf Zwecke ab, die keine personenbezogenen Ergebnisse zum Ziel haben. Nach ErwGr 162 DSGVO ist unter dem Begriff „statistische Zwecke“ jeder für die Durchführung statistischer Untersuchungen und die Erstellung statistischer Ergebnisse erforderliche Vorgang der Erhebung und Verarbeitung personenbezogener Daten zu verstehen. Eine Veröffentlichung statistischer Daten darf nicht zu einem Rückschluss auf die einzelne betroffene Person führen, um den Zweck zu erfüllen (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 7 Rz 6, 7, 19 (Stand 1.2.2022, rdb.at)).

Die Inanspruchnahme der Privilegierung nach § 7 Abs. 1 DSG betrifft ausschließlich solche Datenverarbeitungen zu wissenschaftlichen Forschungszwecken, die „keine personenbezogenen Ergebnisse zum Ziel haben“. Ausgeschlossen sind daher nur „Ergebnisse“, d.h. personenbezogene Resultate oder die (Er-)Folge der Verarbeitung, nicht hingegen die Verarbeitung während des wissenschaftlichen Forschungsvorhabens an sich. Abs. 1 Z 3 stellt nur auf die Pseudonymisierung der personenbezogenen Daten ab (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 7 Rz 20, 25 (Stand 1.2.2022, rdb.at)).

Die Beschwerdeführerin moniert in ihrer Beschwerde eine unzureichende Auseinandersetzung der DSB mit dem Tatbestand des § 7 Abs. 1 Z 3 DSG: Gemäß § 7 Abs. 1 Z 3 DSG ist eine Verarbeitung von personenbezogenen Daten zu statistischen Zwecken zulässig, wenn diese keine personenbezogenen Daten zum Ziel hat und die verarbeiteten personenbezogenen Daten für den:die Verantwortliche:n – von Anfang an – pseudonymisierte personenbezogene Daten darstellen, und der:die Verantwortliche die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann.

Der Fall der Pseudonymisierung liegt gemäß Art. 4 Z 5 DSGVO vor, wenn die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.

Der Anwendungsfall des § 7 Abs. 1 Z 3 DSG ist jedoch, entgegen den Ausführungen der BF, nicht gegeben, da die verwendeten Daten durch das Livebild in Echtzeit eben nicht pseudonymisierte Daten für die BF darstellen können. Die BF bzw. die ihr zuzurechnende Auftragsverarbeiterin sind bzw. waren in der Lage, durch Betrachtung des Livebildes bereits vor der Umwandlung der einzelnen Lichtbilder in eine Textdatei eine allfällige Identifizierung durchzuführen.

3.3. Zum Spruchpunkt 2:

Die Beschwerde der BF vom XXXX .2024 richtet sich zwar gegen die Spruchpunkte 1. und 2 des angefochtenen Bescheids; zum Thema des Ausschlusses der aufschiebenden Wirkung (gemäß § 13 Abs. 2 VwGVG) wurden allerdings keine näheren Ausführungen gemacht.

Eine rechtzeitig eingebrachte und zulässige Beschwerde gemäß Art 130 Abs. 1 Z 1 B-VG hat aufschiebende Wirkung, die aber gemäß § 13 Abs. 2 VwGVG durch die Behörde mit Bescheid ausgeschlossen werden kann, wenn nach Abwägung der berührten öffentlichen Interessen und Interessen anderer Parteien der vorzeitige Vollzug des angefochtenen Bescheides oder Ausübung der durch den angefochtenen Bescheid eingeräumten Berechtigung wegen Gefahr im Verzug dringend geboten ist. Ein solcher Ausspruch ist tunlichst schon in den über die Hauptsache ergehenden Bescheid aufzunehmen (Goldstein/Neudorfer in Raschauer/Wessely (Hrsg), VwGVG § 13 Rz 3 (Stand 31.3.2018, rdb.at)).

Nach dem Wortlaut des § 13 Abs. 2 VwGVG hat die zuständige Behörde eine Interessenabwägung durchzuführen und darzulegen, worin die Gefahr im Verzug besteht, die einen vorzeitigen Vollzug des Bescheides dringend gebietet. In der Interessenabwägung sind die Interessen des:der BF gegen die berührten öffentlichen Interessen und allfälliger weitere Parteien abzuwägen. Nach der Rechtsprechung reicht das bloße Überwiegen öffentlicher Interessen aber nicht aus, um den Ausschluss der aufschiebenden Wirkung zu rechtfertigen; vielmehr muss dargetan werden, dass die vorzeitige Vollstreckung zur Abwendung eines gravierenden Nachteils notwendig ist. Die Judikatur verlangt dabei eine sachverhaltsbezogene fachliche Begründung der Entscheidung (VwGH 22.03.1988, 87/07/0108), die Gefahr muss konkret bestehen (Hengstschläger/Leeb, AVG § 64 Rz 31-33 (Stand 1.7.2007, rdb.at)).

Die DSB stützt den Ausschluss der aufschiebenden Wirkung im angefochtenen Bescheid auf die sehr eingriffsintensive Datenverarbeitung und die damit verbundenen erheblichen Risiken für die Betroffenen. Diesen Ausführungen zur Ausschluss der aufschiebenden Wirkung tritt die BF in der Beschwerde mangels Vorbringens zu diesem Beschwerdepunkt nicht substantiiert entgegen. Im Lichte des Ergebnisses der auch hier durchgeführten Prüfung (siehe oben unter 3.2.3.) war der Ausspruch der DSB jedoch jedenfalls verhältnismäßig.

3.4. Zum Unterlassen einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Die anwaltlich vertretene BF hat keine mündliche Verhandlung beantragt.

Das Unterbleiben der mündlichen Verhandlung kann insbesondere darauf gestützt werden, dass der Sachverhalt zur Beurteilung der Beschwerde aus der Aktenlage in Verbindung mit der Beschwerde geklärt ist. Weder war der Sachverhalt in wesentlichen Punkten ergänzungsbedürftig, noch erschien er in entscheidenden Punkten als unrichtig. Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 05.09.2002, Appl. Nr. 42057/98, Speil/Österreich). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B 155/12).

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.