W214 2259197-1/14E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde des XXXX , gegen den Bescheid der Datenschutzbehörde vom 06.07.2022, Zl. D124.0655/22 2022-0.456.377, zu Recht erkannt:
A)
Der Beschwerde wird stattgegeben und der Spruch des angefochtenen Bescheides gemäß § 28 Abs. 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) dahingehend abgeändert, dass dieser wie folgt zu lauten hat:
„Der Beschwerde wird stattgegeben und festgestellt, dass die Beschwerdegegnerin ihre Informationspflicht nach Art. 13 DSGVO gegenüber dem Beschwerdeführer verletzt hat.“
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 27.04.2022 machte XXXX (Beschwerdeführer vor der belangten Behörde und vor dem Bundesverwaltungsgericht) eine Verletzung von Art. 12 und 13 DSGVO sowie einen Verstoß gegen § 13 Abs. 5 DSG geltend. Dazu brachte er zusammengefasst vor, dass am 26.04.2022 in XXXX , XXXX , ein Kfz (Marke XXXX , mit amtlichen Kennzeichen XXXX ) geparkt gewesen sei. Gegen 15:50 Uhr habe der Beschwerdeführer den vor dem Parkplatz vorbeiführenden Gehsteig passiert, als das fallgegenständliche unbesetzte Kfz kurz aufgeblinkt habe. Eine Nachschau durch das Fahrerfenster habe ergeben, dass im Kfz der sogenannte „ XXXX Modus“ aktiviert gewesen sei. Der unter einer näher bezeichneten URL abrufbaren Bedienungsanleitung des Kfz zufolge sei durch dieses eine Videoaufzeichnung von ihm und anderen Passanten angefertigt worden. Am Kfz seien keinerlei Informationen über den Verantwortlichen der Verarbeitung angeführt. Die Ausübung der Betroffenenrechte sei somit nicht möglich. Das Kfz sei unter einer näher bezeichneten URL als Ersatzauto der „[Fa] XXXX “ (Beschwerdegegnerin vor der belangten Behörde, Mitbeteiligte vor dem Bundesverwaltungsgericht) zu finden.
2. Über Aufforderung der belangten Behörde erstattete die Mitbeteiligte im Wege ihrer rechtsanwaltlichen Vertretung eine Stellungnahme, in welcher ausgeführt wurde, dass es richtig sei, wonach das gegenständliche Kfz auf die Mitbeteiligte zugelassen sei. Es sei auch richtig, dass dieses Fahrzeug am 26.04.2022 in XXXX geparkt und zu diesem Zeitpunkt der „ XXXX Modus“ aktiviert gewesen sei. Es sei jedoch unrichtig, dass durch diesen Umstand der Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt worden sei. Insbesondere sei weder vom Beschwerdeführer noch von anderen Passanten eine Videoaufzeichnung angefertigt worden. Beim „ XXXX Modus“ handle es sich um eine Alarmanlage, die bei entsprechender Manipulation am Kfz durch XXXX und entsprechende optische Warnung, auf diesen Umstand hinweise. Es sei zwar richtig, dass das Kfz technisch in der Lage sei, in diesem Fall auch eine Videoaufzeichnung durchzuführen, hierfür seien aber ergänzende Maßnahmen notwendig und sei diese keinesfalls standardmäßig aktiviert. Insbesondere sei es hierfür erforderlich, dass ein USB-Stick mit dem Fahrzeug verbunden sei. Auf diesem würden dann die relevanten Videosequenzen aufgezeichnet. Am Kfz der Mitbeteiligten sei kein solcher USB-Stick verbaut, es sei sohin keine Videoaufzeichnung erfolgt.
3. Die belangte Behörde übermittelte dem Beschwerdeführer am 02.06.2022 die Stellungnahme der Mitbeteiligten und gab ihm ebenfalls Gelegenheit, eine Stellungnahme abzugeben.
4. Der Beschwerdeführer erstattete am 06.06.2022 eine Stellungnahme und führte aus, dass sich seine verfahrenseinleitende Beschwerde auf Art 12 und 13 DSGVO, bzw. § 13 Abs. 5 DSG beziehe. Der in der Stellungnahme der Mitbeteiligten verwendete Begriff „Manipulation“ sei in der Judikatur durchgehend negativ konnotiert und daher zurückzuweisen. Passieren des Fahrzeuges am vorgesehenen am Parkplatz vorbeiführenden Gehsteig könne schwerlich als „Manipulation“ des Fahrzeugs eingeordnet werden. Soweit die Mitbeteiligte ausführe, dass im sog. „ XXXX Modus“ des gegenständlichen Fahrzeuges Videoaufzeichnungen nur möglich wären, wenn ein USB-Stick mit dem Fahrzeug verbunden sei, so sei dies der betreffenden Bedienungsanleitung zufolge korrekt, allerdings werde vom Hersteller mit Nachdruck empfohlen einen USB-Stick im Handschuhfach – und sohin für allfällige Betroffene nicht erkennbar – anzuschließen. Die Darstellung der Mitbeteiligten, dass kein USB-Stick im gegenständlichen Kfz angeschlossen sei, sei infolge des Selbstbelastungsverbotes aber nicht objektiv nachprüfbar. Abgesehen von der lokalen Aufzeichnung biete das betreffende Kfz auch eine Live-Übertragung der Videoaufzeichnung mittels der „ XXXX Mobile App“ auf mobile Endgeräte an. Ob eine Videoaufzeichnung durch das gegenständliche Fahrzeug erfolge oder nicht sei demzufolge für eine datenschutzrechtlich durchschnittlich sensibilisierte Normfigur nicht erkennbar. Im betreffenden Kfz seien laut Bedienungsanleitung XXXX Kameras verbaut. Ob eine Aufzeichnung bzw. eine Live-Übertragung erfolge, sei für allfällige Betroffene nicht erkennbar. Daher seien diese Kameras – unabhängig vom aktiven oder inaktiven Zustand – bzgl. der datenschutzrechtlichen Informationspflichten gegenüber dem Betroffenen wie eine reguläre Videoüberwachung zu kennzeichnen, zumal dies auch für Kameraattrappen zutreffe.
5. Mit dem angefochtenen Bescheid wies die belangte Behörde die Datenschutzbeschwerde des Beschwerdeführers als unbegründet ab.
Begründend führte die belangte Behörde (nach Wiederholung des Vorbringens der Parteien und Darstellung des Verfahrensganges) zunächst aus, dass Beschwerdegegenstand die Frage sei, ob die Mitbeteiligte den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt habe, indem diese das Kfz der Marke XXXX Model XXXX mit dem (im Bescheid genannten) Kennzeichen nicht ausreichend gekennzeichnet habe.
Rechtlich führte die belangte Behörde aus, dass der Beschwerdeführer mit der den Verfahrensgegenstand bildenden Eingabe eine Verletzung im Recht auf Information gemäß Art. 13 DSGVO geltend gemacht habe. Art 13 Abs. 1 DSGVO knüpfe an die „Erhebung“ personenbezogener Daten an. Die Videokameras seien zum Zeitpunkt des Passierens des Beschwerdeführers nicht aktiviert gewesen und sei daher der Beschwerdeführer durch die im Fahrzeug vorhandenen Kameras auch nicht aufgezeichnet worden und seien sohin auch keine Daten des Beschwerdeführers erhoben worden. Eine Informationspflicht der Mitbeteiligten scheide daher bereits aus diesem Aspekt aus.
6. Gegen diesen Bescheid erhob der Beschwerdeführer mit Schriftsatz vom 05.08.2022 eine Beschwerde an das Bundesverwaltungsgericht. Darin wurde ausgeführt, dass die Ansicht der belangten Behörde, wonach die im gegenständlichen Fahrzeug verbauten Kameras zum Zeitpunkt des Vorfalles nicht aktiviert gewesen wären, falsch sei. Laut Hersteller des betreffenden Fahrzeuges seien die Kameras im laufenden sog. „ XXXX Modus“ dauerhaft aktiviert. Es erfolge schon zum Zweck der Bewegungserkennung eine Bild- und somit Datenverarbeitung, womit auch eine Datenerhebung iSd DSGVO gegeben sei. Hinsichtlich dessen, dass eine Datenerhebung ein aktives Tun des Verantwortlichen voraussetze, übersehe die belangte Behörde, dass die Anmeldung zur Zulassung zum Straßenverkehr, bzw. der Betrieb des Fahrzeuges, ob der im Fahrzeug verbauten und dem Verantwortlichen bekannten Überwachungsoptionen eben jenes aktive Tun des Verantwortlichen darstelle. Weiters übernehme die belangte Behörde fälschlicherweise die Darstellung der Mitbeteiligten, wonach eine Videoaufzeichnung nur stattfände, wenn ein USB-Stick mit dem Fahrzeug verbunden wäre. Das Fahrzeug verfüge über einen internen Speicher, der Videoaufzeichnungen auch ohne externes Speichermedium (bspw. ein USB-Stick) verarbeite. Somit ergebe sich zwingend die Notwendigkeit der Entsprechung datenschutzrechtlicher Informationspflichten durch den Verantwortlichen (hier der Fahrzeughalter), da ansonsten die Betroffenenrechte nicht geltend gemacht werden könnten und eine verdeckte Videoüberwachung im öffentlichen Raum durch Private stattfinden würde.
7. Mit Schreiben vom 29.08.2022 (eingelangt am 06.09.2022) legte die belangte Behörde die Beschwerde sowie den Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass das Beschwerdevorbringen zur Gänze bestritten und auf den angefochtenen Bescheid verwiesen werde. Sofern das angerufene Gericht der Ansicht des Beschwerdeführers folge, so habe dieser in seiner Beschwerde selbst darauf hingewiesen, dass es sich beim Verantwortlichen um eine „ XXXX “ handle, und angeführt, zu welchem Zweck sowie auf welche Weise die Aufnahmen sowie erhobenen Daten grundsätzlich verarbeitet werden würden. Da der Beschwerdeführer somit – selbst im Falle einer Datenverarbeitung – bereits über die Informationen im Sinne des Art. 13 Abs. 1 verfüge und gemäß Art. 13 Abs. 4 DSGVO die Bestimmungen des Art. 13 Abs. 1 bis 5 keine Anwendung fänden, soweit die betroffene Person über diese Informationen bereits verfüge, wäre die Beschwerde ohnedies abzuweisen gewesen.
8. Das Bundesverwaltungsgericht brachte mit Schreiben vom 06.04.2023 dem Beschwerdeführer die Stellungnahme der belangten Behörde zur Kenntnis und gab ihm Gelegenheit zur Abgabe einer Stellungnahme. Ebenfalls mit Schreiben vom selben Tag wurde vom Bundesverwaltungsgericht die Beschwerde des Beschwerdeführers sowie die Stellungnahme der belangten Behörde der Mitbeteiligten zur Kenntnis und Abgabe einer allfälligen Stellungnahme übermittelt.
9. Der Beschwerdeführer gab in der Folge eine Stellungnahme ab, die am 17.04.2023 beim Bundesverwaltungsgericht einlangte. Am 21.04.2023 brachte er neuerlich eine gleichlautende Stellungnahme ein. Darin wurde im Wesentlichen ausgeführt, dass die Behauptung der belangten Behörde, er hätte eine „ XXXX “ als Beschwerdegegner genannt, nicht aus dem angefochtenen Bescheid hervorgehe und sei allenfalls die Mitbeteiligte (eine GmbH) gemeint gewesen. Richtig sei, dass ihm der Verantwortliche der gegenständlichen Datenverarbeitung durch eigene Recherchen bekannt geworden sei, gegen den er ja auch am 27.04.2022 Beschwerde erhoben habe. Dass der Verantwortliche aus einer am Fahrzeug angebrachten Werbung erraten werden müsse, sei seiner Ansicht nach niemals ausreichend und widerspreche Art. 12 DSGVO, zumal eine solche Werbeaufschrift ja nicht zwingend dem Fahrzeughalter zuordenbar sein müsse. Weiters ändere der Umstand, dass er den Fahrzeughalter selbst habe recherchieren können, nichts daran, dass dieser seinen Informationspflichten nicht nachgekommen sei. Die Ausführungen in der Aktenvorlage, wonach er bereits über alle Informationen nach Art. 13 DSGVO verfügen würde, seien nicht nachvollziehbar. In der Folge sei die belangte Behörde nicht mehr auf den Umstand der rechtswidrig erfolgten Bildverarbeitung eingegangen.
10. Die Mitbeteiligte erstattete am 20.04.2023 eine Stellungnahme, in welcher sie vorbrachte, dass die vom Beschwerdeführer behauptete Datenschutzverletzung nicht vorliege. Die Beschwerde sei zudem nicht gesetzmäßig ausgeführt, weiters seien generelle Verweise auf Entscheidungen deutscher Gerichte unbeachtlich, dies insbesondere da sie andere Fahrzeughersteller beträfen. Mit seiner Beschwerde entferne sich der Beschwerdeführer vom gegenständlichen Sachverhalt, es gehe lediglich um die Frage, ob die Mitbeteiligte mit ihrem Verhalten gegen datenschutzrechtliche Bestimmungen verstoßen habe, was keinesfalls vorliege. Der Beschwerdeführer habe in seinem ursprünglichen Antrag bereits ausgeführt, dass ihm aufgrund des aktivierten „ XXXX Modus“ der Umstand einer Bildaufnahme bekannt gewesen sei. Zum Antragszeitpunkt sei dem Beschwerdeführer auch der Verantwortliche bereits bekannt gewesen. Selbst wenn daher die Behörde davon ausgegangen wäre, dass eine Aufzeichnung erfolgt sei – was bestritten bleibe -, wäre für den Beschwerdeführer nichts gewonnen. Ein Verstoß gegen § 13 Abs. 5 DSG liege daher bereits aus diesem Grund nicht vor.
11. Am 24.11.2023 ersuchte das Bundesverwaltungsgericht den Beschwerdeführer um Vorlage des in seiner Beschwerde zitierten E-Mails der XXXX vom 01.08.2022.
12. Mit Schreiben vom 25.11.2023 legte der Beschwerdeführer die betreffende E-Mail vor.
13. Hiernach übermittelte das Bundesverwaltungsgericht am 27.11.2023 die betreffende E-Mail der Mitbeteiligten und der belangten Behörde und räumte ihr die Gelegenheit zur Abgabe einer Stellungnahme ein.
14. In ihrer Stellungnahme vom 01.12.2023 führte die Mitbeteiligte aus, dass es sich bei den Ausführungen in der genannten E-Mail nicht um eine offizielle Einschätzung des Herstellers handle. Vielmehr werde im Handbuch des Fahrzeuges Folgendes festgehalten: XXXX schaltet der XXXX Modus die Scheinwerfer ein und aus, XXXX und zeigt eine Meldung XXXX an, die XXXX darauf hinweist, dass die Kameras möglicherweise aufzeichnen. Sie erhalten über die Mobile App eine Benachrichtigung auf Ihr Telefon, und Aufzeichnungen des Ereignisses werden auf dem USB-Laufwerk gespeichert (sofern installiert). XXXX Am Fahrzeug der Mitbeteiligten sei zu keinem Zeitpunkt ein Speichermedium angeschlossen gewesen, sodass auch keine Aufzeichnung erfolgt sei. Es seien auch keine Daten an XXXX oder einen Cloud-Dienst übermittelt worden. Beigefügt wurden Auszüge zum XXXX Modus aus dem XXXX zum gegenständlichen Fahrzeug.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.
1.1. Am 26.04.2022 parkte das auf die Mitbeteiligte zugelassene Fahrzeug der Marke XXXX , Model XXXX , mit dem Kennzeichen XXXX , in XXXX .
Der Beschwerdeführer passierte das gegenständliche Fahrzeug um 15:50 Uhr, als dieses kurz aufblinkte. Beim Fahrzeug war zu diesem Zeitpunkt der „ XXXX Modus“ aktiviert.
1.2. Der „ XXXX Modus“ ist eine Funktion zur Überwachung des Fahrzeugs gegen einen etwaigen Einbruch oder Diebstahl. Wenn diese Funktion aktiviert ist, bleiben die am Fahrzeug angebrachten Kameras und Sensoren eingeschaltet und bereit zur Aufzeichnung verdächtiger Aktivitäten rund um das Fahrzeug, während dieses geparkt und verriegelt ist.
XXXX schaltet der Modus die Scheinwerfer ein und aus, aktiviert XXXX zeigt eine Meldung XXXX an, die XXXX darauf hinweist, dass die Kameras möglicherweise aufzeichnen. Der betreffende Fahrzeughalter erhält über die Mobile App eine Benachrichtigung auf sein Telefon und Aufzeichnungen des Ereignisses werden auf dem USB-Laufwerk gespeichert (sofern installiert). Der „ XXXX Modus“ ist standardmäßig deaktiviert.
Der Modus benötigt ein korrekt formatiertes USB-Laufwerk, das in den USB-Anschluss des Fahrzeugs eingesteckt ist, um Aufnahmen auf dem USB-Stick zu speichern und abzuspielen. Nach der Aktivierung ist die Funktion im Ruhemodus und bereit, bei Auslösung den Alarmton auszugeben und eine Aufzeichnung des sicherheitsrelevanten Ereignisses zu speichern. Wenn der Modus aktiviert ist und ein sicherheitsrelevantes Ereignis registriert wird, während kein USB-Laufwerk mit einem USB-Anschluss verbunden ist, informiert das Fahrzeug den betreffenden Fahrzeughalter über die Mobile App, ohne dass auf dem USB-Stick Aufzeichnungen stattfinden. Abgesehen von der lokalen Aufzeichnung ist auch eine Live-Übertragung der Bilddaten mittels der „ XXXX Mobile App“ auf mobile Endgeräte möglich.
Mit E-Mail vom 01.08.2022 seitens der XXXX wurde der Beschwerdeführer dahingehend informiert, dass die Kameras rund um das Fahrzeug Bewegungen registrieren. Sobald sich etwas zu nahe am Fahrzeug bewegt, wird die Aufnahme gestartet. Das System erkennt, ob sich Pixel im Bild ändern und ob diese zu nahe am Fahrzeug sind, dann beginnt das System mit der Datenverarbeitung.
1.3. Im gegenständlichen Fahrzeug war zum Zeitpunkt des Passierens des Beschwerdeführers kein USB-Laufwerk bzw. Speichermedium mit einem USB-Anschluss verbunden.
Der Beschwerdeführer wurde zum fallbezogenen Zeitpunkt von den am Fahrzeug verbauten Kameras erfasst und damit eine Datenverarbeitung durchgeführt. Durch eine Nachschau durch das Fahrerfenster stellte er fest, dass der XXXX Modus aktiviert war. Es erfolgte keine Aufzeichnung der Daten auf einem USB-Stick.
Die Mitbeteiligten hat den Beschwerdeführer über die Datenverarbeitung nicht informiert und die die Videokameras waren nicht gekennzeichnet.
1.4. Mit Datenschutzbeschwerde vom 27.04.2022 beantragte der Beschwerdeführer auf Basis des gegenständlichen Vorganges, eine Verletzung von Art 12 und 13 DSGVO (bzw. § 13 Abs. 5 DSG) durch die Mitbeteiligte festzustellen.
Die belangte Behörde wies mit dem bekämpften Bescheid diese Datenschutzbeschwerde als unbegründet ab, wogegen der Beschwerdeführer Beschwerde an das Bundesverwaltungsgericht erhob.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem Verwaltungsakt und aus dem Gerichtsakt:
2.1. Hinsichtlich der Umstände, wonach das gegenständliche Fahrzeug am 26.04.2022 in XXXX parkte, der „ XXXX Modus“ darin aktiviert war und der Beschwerdeführer das Fahrzeug gegen 15:50 Uhr passierte, beruhen die getroffenen Feststellungen auf den insoweit übereinstimmenden Ausführungen der Parteien und sind unstrittig.
2.2. Die Feststellungen zur Funktion und den technischen Begebenheiten zum „ XXXX Modus“ stützen sich auf die Informationen des Herstellers vom fallrelevanten Fahrzeug, insbesondere dem „ XXXX “ zum Model XXXX (online abrufbar unter XXXX zuletzt abgerufen am 27.03.2024) sowie der an den Beschwerdeführer gerichteten E-Mail der XXXX vom 01.08.2022.
Aus den zitierten Beschreibungen geht hervor, dass in Zusammenhang mit dem „ XXXX Modus“ im Model XXXX ein korrekt formatiertes USB-Laufwerk vonnöten ist, das in den USB-Anschluss des Fahrzeugs eingesteckt ist, um Aufnahmen zu speichern und abzuspielen. Umgekehrt, wenn der Modus zwar aktiviert ist und ein sicherheitsrelevantes Ereignis registriert wird, aber währenddessen kein USB-Laufwerk mit einem USB-Anschluss verbunden ist, informiert das Fahrzeug den betreffenden Fahrzeuginhaber über die Mobile App, ohne dass durch die Kameras eine Aufzeichnung erfolgt.
Vor diesem Hintergrund brachte die Mitbeteiligte in ihren Stellungnahmen vom 31.05.2022 und 01.12.2023 insoweit schlüssig vor, dass in ihrem Fahrzeug kein USB-Stick angeschlossen gewesen war und sohin diesbezüglich keine Speicherung von Aufzeichnungen erfolgte.
Dennoch ist es der belangten Behörde sowie der Mitbeteiligten mit ihren Ausführungen nicht gelungen, eine Bildverarbeitung des Beschwerdeführers durch die am betreffenden Fahrzeug verbauten Kameras zu widerlegen:
Die belangte Behörde ging in ihren Feststellungen davon aus, dass die betreffenden Kameras nicht aktiviert gewesen wären, wohingegen der Beschwerdeführer schon in seinem verfahrenseinleitenden Antrag plausibel anführte, dass das Fahrzeug kurz aufgeblinkt habe. Sein Vorbringen lässt sich zudem mit den Herstellerinformationen zum „ XXXX Modus“ beim Model XXXX in Einklang bringen, wonach – wie festgestellt – der Modus bei Erkennung einer XXXX unter anderem die Scheinwerfer ein- und ausschaltet, zumal der Beschwerdeführer wohl sonst nicht auf das fallbezogene Fahrzeug aufmerksam geworden wäre. Das Bundesverwaltungsgericht geht insofern davon aus, dass die Kameras zum fallrelevanten Zeitpunkt aktiviert waren und daher eine Bildverarbeitung stattgefunden hat, obwohl im Sinne der oben dargelegten Erläuterungen kein USB-Stick angeschlossen war.
Die Auffassung des erkennenden Gerichts zur erfolgten Bildverarbeitung findet in der technischen Beschreibung des „ XXXX Modus“ im schon oben angeführten XXXX zum Model XXXX eine weitere maßgebliche Stützung. Demgemäß – wie ebenso festgestellt – bleiben im Falle der Aktivierung des Modus die am Fahrzeug angebrachten Kameras und Sensoren eingeschaltet und bereit zur Aufzeichnung verdächtiger Aktivitäten rund um das Fahrzeug, während dieses geparkt und verriegelt ist. Die Kameras registrieren rund um das Fahrzeug Bewegungen, und sobald sich etwas zu nahe am Fahrzeug bewegt, wird die Verarbeitung gestartet. Dementsprechend erkennt das System, ob sich Pixel im Bild ändern und ob diese zu nahe am Fahrzeug sind, dann beginnt das System mit der Datenverarbeitung.
Die Angaben der XXXX in der an den Beschwerdeführer gerichteten E-Mail lassen sich mit den diesbezüglichen Ausführungen im XXXX vereinbaren. Der Einwand der Mitbeteiligten, wonach es sich hierbei um keine offizielle Einschätzung des Herstellers handle, vermag insoweit diese Angaben nicht zu entkräften. Wenn auch keine Speicherung der Aufzeichnungen auf dem USB-Stick erfolgt ist, so verkennt die Mitbeteiligte, dass im Lichte des technischen Vorganges nichtsdestotrotz eine Bildverarbeitung vom Beschwerdeführer durch die am Fahrzeug angebrachten Kameras vonstattenging, da diese – zwecks Registrierung von Bewegungen – notwendigerweise der entsprechenden Auslösung des Modus vorausgeht (vgl. dazu weiter in der rechtlichen Beurteilung).
Der Vollständigkeit halber ist darauf hinzuweisen, dass das Kapitel zum XXXX Modus im genannten XXXX nahelegt, dass das Fahrzeug ohnehin über einen internen Speicher verfügt. Dazu findet sich unter einer „Anmerkung“ folgender Satz: „Wenn der interne Speicher voll ist, XXXX .“ In diesem Zusammenhang bringt auch der Beschwerdeführer vor, dass das gegenständliche Fahrzeug über einen internen Speicher verfüge, der Videoaufzeichnungen auch ohne externes Speichermedium verarbeite. Sohin erlangt auch unter diesem Gesichtspunkt die Beurteilung zur erfolgten Bildverarbeitung jedenfalls eine weitere Untermauerung, wenngleich sich im gegebenen Fall eine Speicherung der Aufzeichnungen durch die Mitbeteiligte nicht feststellen ließ. Gestützt wird das Vorliegen einer Verarbeitung auch durch die XXXX bestehende Möglichkeit einer Kontrolle der Umgebung des Fahrzeugs über ein Smartphone.
2.3. Auf Basis dieser Erwägungen waren daher schließlich auf der einen Seite die Feststellungen zu treffen, wonach zum Zeitpunkt des Passierens des Beschwerdeführers im gegenständlichen Fahrzeug kein USB-Laufwerk angeschlossen war und demnach auf dem USB-Stick keine Aufzeichnungen gespeichert wurden. Andererseits war jedoch festzustellen, dass der Beschwerdeführer zum fallbezogenen Zeitpunkt von den am Fahrzeug verbauten Kameras dennoch erfasst und eine dementsprechende Datenverarbeitung durchgeführt wurde.
3. Rechtliche Beurteilung:
3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles sowie anderer näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.
Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.
3.2. Zu den Prozessvoraussetzungen:
Die Beschwerde wurde gemäß § 7 Abs. 4 VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.
3.3. Zu Spruchteil A)
3.3.1. Rechtslage im gegenständlichen Beschwerdeverfahren:
„Art. 12 DSGVO
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten.2Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. 3Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. 2In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. 2Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. 3Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. 4Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
b) sich weigern, aufgrund des Antrags tätig zu werden.
Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.
(6) bis (8) […]“
Art. 13 DSGVO lautet:
„Artikel 13
Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person
(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
Art. 51 Abs. 1 DSGVO lautet:
„Artikel 51
Aufsichtsbehörde
(1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden „Aufsichtsbehörde“).“
Art. 57 Abs. 1 lit. f DSGVO lautet:
„Artikel 57
Aufgaben
(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet
Art. 77 Abs. 1 DSGVO lautet:
„Artikel 77
Recht auf Beschwerde bei einer Aufsichtsbehörde
(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“
§ 18 Abs. 1 DSG lautet:
„§ 18. (1) Die Datenschutzbehörde wird als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet.“
§ 24 Abs. 1 und 5 DSG lauten:
„§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.“
3.3.2. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes:
3.3.2.1. Zum Prüfungsumfang im verwaltungsgerichtlichen Verfahren:
„Sache“ des Beschwerdeverfahrens ist nur jene Angelegenheit, die den Inhalt des bescheidmäßigen Spruchs der belangten Behörde gebildet hat. Der äußerste Rahmen für die Prüfbefugnis des Verwaltungsgerichts ist daher die „Sache“ des bekämpften Bescheids (vgl. etwa VwGH 18.10.2022, Ra 2022/01/0276, Rn. 19, mwN).
In seinem verfahrenseinleitenden Antrag beantragte der Beschwerdeführer, die belangte Behörde möge die Rechtsverletzung feststellen, dergestalt die Mitbeteiligte ihren Pflichten nach Art. 12 und 13 DSGVO nicht nachgekommen sei, bzw. sie gegen § 13 Abs. 5 DSG verstoßen habe, da das gegenständliche unbesetzte Fahrzeug kurz aufgeblinkt habe, während er es am vorbeiführenden Gehsteig passiert habe. Eine Nachschau habe ergeben, dass in diesem der „ XXXX Modus“ aktiviert gewesen sei, am Fahrzeug seien aber keinerlei Informationen über den Verantwortlichen der Verarbeitung angeführt.
Im Spruch des bekämpften Bescheides wurde explizit festgehalten, dass die belangte Behörde über die Datenschutzbeschwerde des Beschwerdeführers gegen die Mitbeteiligte wegen einer Verletzung im Recht auf Information entscheidet und wurde dahingehend die Beschwerde als unbegründet abgewiesen. Demgegenüber wurde jedoch zum Beschwerdegegenstand ausgeführt, dass sich die Frage stelle, ob die Mitbeteiligte den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt habe, indem diese das Kfz der Marke XXXX , Model XXXX , mit dem (im Bescheid genannten) Kennzeichen, nicht ausreichend gekennzeichnet habe.
„Was Gegenstand eines in Rechtskraft erwachsenen Bescheides einer Behörde ist, bestimmt sich ausschließlich nach dem Inhalt des Spruches des Bescheides. Nur er erlangt rechtliche Geltung (Verbindlichkeit) und legt dadurch die Grenzen der Rechtskraft fest. Die Bescheidbegründung spielt hierfür nur insoweit eine Rolle, als (auch) sie zu der (nach den für Gesetze maßgebenden Regeln vorzunehmenden) Auslegung (Deutung), nicht aber zur Ergänzung eines in sich unklaren Spruches heranzuziehen ist. Nach der Rechtsprechung des Verwaltungsgerichtshofes kommt eine Auslegung des Spruchs eines Bescheides nach dessen Begründung nur in jenen Fällen in Betracht, in denen der Spruch für sich allein Zweifel an seinem Inhalt offen lässt. Dagegen kommt eine Umdeutung (oder auch Ausweitung) eines klar gefassten Spruches anhand der Begründung des Bescheides nicht in Betracht. Ist somit der Spruch des Bescheides eindeutig, dann kommt der Begründung eine den Inhalt des Bescheides modifizierende Wirkung nicht zu (vgl. zu allem VwGH 09.06.2020, Ra 2020/10/0016, mwN)“ (VwGH 15.03.2021, Ra 2021/01/0049).
Wie oben schon angeführt, wurde der Spruch des angefochtenen Bescheides klar gefasst, hinsichtlich der im gegebenen Fall anzuwendenden Rechtsgrundlagen wurde dazu (u. a.) ausdrücklich auf die Art. 12, 13 und 14 DSGVO abgestellt, nicht hingegen auf das Recht auf Geheimhaltung nach § 1 DSG. Überdies wurde einleitend in der rechtlichen Beurteilung des Bescheides in unmissverständlicher Weise darauf hingewiesen, dass der Beschwerdeführer mit der den Verfahrensgegenstand bildenden Eingabe eine Verletzung im „Recht auf Information“ gemäß Art. 13 DSGVO geltend machte. Im Anschluss daran wurden dementsprechend ausschließlich Ausführungen zum „Recht auf Information“ nach Art. 13 DSGVO getroffen (vgl. unter Punkt D.1. des Bescheides).
Vor dem Hintergrund dieser Erwägungen ist daher Prüfungsgegenstand des erkennenden Gerichts einzig die Frage, ob die Mitbeteiligte verpflichtet war den Beschwerdeführer über eine Datenverarbeitung zu informieren oder ob gar keine Datenverarbeitung durch die Mitbeteiligte stattgefunden hat. Einen Leistungsauftrag hat der Beschwerdeführer nicht beantragt und ist auch darauf hinzuweisen, dass er inzwischen – wenngleich aufgrund eigener Recherchen – über die verfahrensgegenständlichen Informationen verfügt.
3.3.2.2. In der Sache:
Zur Transparenz der Ausübung von Betroffenenrechten:
„Basis für die Ausübung der Betroffenenrechte des Kapitel III der DSGVO, insbesondere der Art 15ff. ist, dass der Betroffene zunächst überhaupt erfährt, dass Daten von einem bestimmten Verantwortlichen über ihn verarbeitet werden. Art. 13 und ebenso Art. 14 haben somit eine zentrale Bedeutung für die Ausübung der Betroffenenrechte. Oder, wie es Erwägungsgrund 60 formuliert: Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorganges und seine Zwecke unterrichtet wird“ (Knyrim in Ehmann/Selmayr, Datenschutz-Grundverordnung, 2. Auflage, Art. 13 Rz 1).
„Ab dem Moment, ab dem eine Verarbeitung vorliegt, stehen auch die Betroffenenrechte zu, etwa Art. 12 Abs. 1, der Verantwortliche verpflichtet, Maßnahmen zu treffen, um der betroffenen Person alle Informationen, die sich „auf die Verarbeitung beziehen“, zu übermitteln, oder Art. 15 Abs. 1, der dem Betroffenen das Recht gibt, vom Verantwortlichen eine Bestätigung darüber zu verlangen, „ob sie betreffende personenbezogene Daten verarbeitet werden.“ Da ab dem Zeitpunkt der Erhebung vom Betroffenen somit die Auskunft verlangt werden kann, ob die erhobenen Daten gespeichert wurden bzw. was weiter mit diesen geschehen ist, muss er dem entsprechend vor oder spätestens gleichzeitig mit der Erhebung der Daten die notwendigen Informationen erhalten, um dann seine Betroffenenrechte auszuüben“ (wie oben, Rz 11).
Zur Verarbeitung im Sinne der DSGVO:
„Nach der Legaldefinition des Art. 4 Z 2 DSGVO besteht der Begriff der „Verarbeitung“ aus einer allgemeinen Definition und einer demonstrativen Aufzählung unterschiedlicher Verarbeitungsarten. Verarbeitung ist demnach jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang iZm mit personenbezogenen Daten oder jede solche Vorgangsreihe. Dem Wortlaut nach muss es sich sohin um einen ausgeführten Vorgang oder eine ausgeführte Vorgangsreihe handeln, wobei das Erfordernis der Ausführung auf eine bewusst gesetzte Handlung hindeutet. […] Die Aufzählung der Verarbeitungsvorgänge ist demonstrativ und dient der Konkretisierung der Definition.“ (siehe Hödl in Knyrim, DatKomm Art. 4 DSGVO [Stand 1.12.2018, rdb.at] Rz 27 und 28).
„Der Begriff der „Verarbeitung“ nach Art. 4 Z 2 DSGVO umfasst somit nicht nur das Speichern, sondern bereits das Erheben bzw. Erfassen von personenbezogenen Daten. Die DSGVO unterscheidet weder hinsichtlich der Intensität oder Dauer einer jeweiligen Verarbeitung, noch wird im Zusammenhang mit der für die Verarbeitung eingesetzten Technik eine Differenzierung vorgenommen.“ (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 2 DSGVO [Stand 1.12.2020, rdb.at] Rz 5, 18).
In wissenschaftlichen Kommentaren wird zum Begriff des „Erhebens“ Folgendes ausgeführt:
„Der Begriff des ‚Erhebens‘ wird in der DSGVO nicht eigens definiert. Unter ‚Daten erheben‘ ist laut Duden das Zusammentragen bzw. Sammeln von Daten zu verstehen, also der Beginn eines Datenverarbeitungsvorgangs, der ein aktives Tun des Verantwortlichen voraussetzt. Diese Daten können von der betroffenen Person bewusst und durch ihr eigenes Zutun erlangt werden (z.B. durch Eintrag und Absenden eines Kontaktformulars) oder durch den Verantwortlichen selbst generiert werden. Dabei ist z.B. an Bildaufzeichnungen, alle Arten von Sensoren oder an die Daten zu denken, die beim Abruf von Webseiten am Server gespeichert werden (ebenso WP 260 rev.01, Rz 26). Voraussetzung für die Anwendbarkeit des Art. 13 ist also, dass mit der betroffenen Person in nur irgendeiner erdenklichen Art und Weise Kontakt aufgenommen wurde und dabei personenbezogene Daten erhoben wurden.“ (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 13 DSGVO [Stand 1.12.2020, rdb.at] Rz 2).
„Erheben ist das Beschaffen (in der englischen Übersetzung „collecting“) von Daten über eine betroffene Person. Erheben bezeichnet damit einen Vorgang, durch den die erhebende Stelle Kenntnis von den betreffenden Daten erhält oder die Verfügungsmacht über die Daten begründet. Erheben setzt ein aktives Handeln des Verantwortlichen voraus. Daten können zum einen gezielt erhoben werden, indem Daten technisch – etwa durch einen Sensor, eine Kamera oder ein anderes Datenaufnahmegerät – erfasst werden. Alternativ kann auch ein Mensch die Daten wahrnehmen und in ein informationstechnisches System eingeben.“ (siehe Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Artikel 4 Nr. 2 Rn 15).
„Der Vorgang des Erfassens hängt sehr eng mit der Erhebung von personenbezogenen Daten zusammen und bezeichnet die technische Formgebung erhobener Daten. Sie werden in einem bestimmten Format „erfasst“, das die weitere technische Verarbeitung ermöglicht“ (siehe Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Artikel 4 Nr. 2 Rn 16).
3.3.2.3. Für den vorliegenden Fall bedeutet das daher:
Zunächst ist festzuhalten, dass die Mitbeteiligte, indem sie die Entscheidung traf, den XXXX Modus zu aktivieren, zum Verantwortlichen für die gegenständliche Verarbeitung wurde. Die Mitbeteiligte hat dies auch nicht dem Grundsatz nach in Abrede gestellt, sondern lediglich vorgebracht, dass keine Aufzeichnungen getätigt wurden.
Fallbezogen wurde – wie festgestellt und beweiswürdigend ausgeführt – durch die am gegenständlichen Fahrzeug verbauten Kameras der Beschwerdeführer erfasst. Im Hinblick auf die technische Funktionsweise der betreffenden Kameras konnte davon ausgegangen werden, dass personenbezogene Bilddaten des Beschwerdeführers verarbeitet wurden. Dies deckt sich auch mit der weiten Definition von Art. 4 Z 2 DSGVO, welcher, wie bereits oben festgehalten, auch Vorgangsreihen umfasst.
Anknüpfend daran geht sohin die Argumentation der belangten Behörde, dass die Videokameras zum Zeitpunkt des Passierens des Beschwerdeführers nicht aktiviert gewesen seien und der Beschwerdeführer daher durch die im Fahrzeug vorhandenen Kameras auch nicht aufgezeichnet worden sei und sohin auch keine Daten des Beschwerdeführers erhoben worden seien, ins Leere. Wenn auch nicht festgestellt werden konnte, dass eine Speicherung der Daten durch die Mitbeteiligte erfolgte, fand dessen ungeachtet eine (Bild-)Verarbeitung von Daten des Beschwerdeführers durch die am Fahrzeug angebrachten Kameras statt, welches sich im fallrelevanten Zeitraum im „ XXXX Modus“ befunden hatte.
Insofern trifft aufgrund der erfolgten Bildverarbeitung die Mitbeteiligte auch die Pflicht zur Information bei Erhebung von personenbezogenen Daten nach der DSGVO.
In ihrem Vorlageschreiben vermeint die belangte Behörde für den Fall des Vorliegens einer diesbezüglichen Datenverarbeitung, dass der Beschwerdeführer bereits über die Informationen im Sinne des Art. 13 Abs. 1 verfüge und gemäß Art. 13 Abs. 4 DSGVO die Bestimmungen des Art. 13 Abs. 1 bis 5 keine Anwendung fänden, soweit die betroffene Person über diese Informationen bereits verfüge. Er habe in seiner Beschwerde selbst darauf hingewiesen, dass es sich beim Verantwortlichen um eine XXXX handle und habe auch angeführt, zu welchem Zweck sowie auf welche Weise die Aufnahmen sowie erhobenen Daten grundsätzlich verarbeitet werden würden. Somit wäre die Beschwerde ohnedies abzuweisen gewesen.
Dieser seitens der belangten Behörde vorgetragenen Alternativbegründung ist aus folgenden Erwägungen nicht zu folgen:
Bei der genannten Argumentation übersieht die belangte Behörde, dass der Beschwerdeführer in seiner verfahrenseinleitenden Beschwerde ausschließlich beantragte, eine Rechtsverletzung (der Pflichten nach Art. 12 und 13 DSGVO) durch die Mitbeteiligte festzustellen.
Der Beschwerdeführer begehrte dabei allerdings nicht, etwaige Informationen seitens der Mitbeteiligten nachgereicht zu bekommen. Gemäß § 24 Abs. 2 Z 5 DSG hat die Beschwerde das Begehren zu enthalten, die behauptete Rechtsverletzung festzustellen. Soweit sich eine Beschwerde als berechtigt erweist, ist ihr nach § 24 Abs. 5 erster Satz DSG Folge zu geben. Das Gesetz sieht demnach als Rechtsbehelf im Fall einer datenschutzrechtlichen Rechtsverletzung explizit einen Feststellungsantrag im Rahmen der Beschwerde vor, der gemäß § 24 Abs. 5 DSG Folge zu geben ist, sofern sie sich als berechtigt erweist (vgl. VwGH 19.10.2022, Ro 2022/04/0001; siehe etwa auch VwGH 01.09.2022, Ra 2022/04/0066).
Der Ansicht, dass es sich im gegenständlichen Fall um ein „Leistungsrecht“ – vergleichbar mit dem Recht auf Auskunft, Richtigstellung und Löschung – handelt, ist im Lichte der Rechtsprechung des Verwaltungsgerichtshofes vom 06.03.2024, Ro 2021/04/0030, nicht zu folgen. Im gegebenen Fall hat der Beschwerdeführer zwar die Mitbeteiligte als Verantwortliche identifiziert und ist auch vom Vorliegen einer Datenverarbeitung ausgegangen, allerdings aufgrund seiner eigenen Recherchen. Eine Information des Beschwerdeführers durch die Mitbeteiligte hat nicht stattgefunden.
Der Verwaltungsgerichtshof führt im oben genannten Erkenntnis, in dem es ebenfalls um eine Verletzung der Informationspflicht (in diesem Fall nach Art. 14 DSGVO) ging, u. a. Folgendes aus:
„79 Insofern ist diese Rechtsverletzung in dieser Hinsicht mit der durch das Erkenntnis VwGH Ro 2022/04/0001 klargestellten Rechtslage im Fall der Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG vergleichbar. Auch § 24 Abs. 5 zweiter Satz DSG sieht einen (an Verantwortliche des privaten Bereichs gerichteten) Auftrag nur bezüglich der Anträge des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung vor. Eine nachträgliche Beseitigung der Rechtsverletzung bzw. ein darauf gerichteter Auftrag an den Verantwortlichen im Zusammenhang mit dem Recht auf Erfüllung der Informationspflicht nach Art. 14 DSGVO wird hingegen nicht angesprochen. Somit lässt sich auch aus der von der Zweitrevisionswerberin ins Treffen geführten (noch zum DSG 2000 ergangenen) Rechtsprechung des Verwaltungsgerichtshofes (siehe etwa VwGH 27.9.2007, 2006/06/0330) zu den Rechten auf Auskunft bzw. Löschung für den vorliegenden Fall nichts ableiten.
80 An diesem Ergebnis vermag auch die von den revisionswerbenden Parteien ins Treffen geführte Regelung des Art. 14 Abs. 5 DSGVO, wonach Art. 14 Abs. 1 bis 4 DSGVO keine Anwendung findet, wenn die betroffene Person bereits über die Informationen verfügt, nichts zu ändern. Eine derartige Regelung betreffend eine Ausnahme von einer Informationspflicht kann sich nämlich nur auf den Zeitpunkt beziehen, zu dem die Informationspflicht zu erfüllen gewesen wäre; die betroffene Person muss somit zu dem Zeitpunkt über die Informationen verfügen, zu dem sie der Verantwortliche mitteilen müsste (vgl. zudem dazu, dass Ausnahmen nach [dort: Art. 2] der DSGVO nach der Rechtsprechung des EuGH eng auszulegen sind, EuGH 16.1.2024, C-33/22, Österreichische Datenschutzbehörde, Rn. 37). […]“
Es war daher im Ergebnis der Beschwerde stattzugeben und die im Spruch ersichtliche Feststellung zu treffen.
3.3.2.4. Unter dem Blickwinkel der Abgrenzung von Art. 13 zu Art. 14 DSGVO ist auszuführen, dass im gegenständlichen Fall ein Verstoß gegen die aus Art. 13 DSGVO erwachsene Informationspflicht vorliegt. Wie Jahnel ausführt, können Daten von der betroffenen Person bewusst und durch ihr eigenes Zutun erlangt werden (z.B. durch Eintrag und Absenden eines Kontaktformulars) oder durch den Verantwortlichen selbst generiert werden. Dabei ist z.B. an Bildaufzeichnungen, alle Arten von Sensoren oder an die Daten zu denken, die beim Abruf von Webseiten am Server gespeichert werden (ebenso WP 260 rev.01, Rz 26). Voraussetzung für die Anwendbarkeit des Art 13 ist also, dass mit der betroffenen Person in nur irgendeiner erdenklichen Art und Weise Kontakt aufgenommen wurde und dabei personenbezogene Daten erhoben wurden (siehe Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 13 DSGVO [Stand 1.12.2020, rdb.at] Rz 2). Ebenso geht Illibauer davon aus, dass Voraussetzung für die Anwendbarkeit des Art 13 ist, dass mit der betroffenen Person in nur irgendeiner erdenklichen Art und Weise Kontakt aufgenommen wurde und hierbei personenbezogene Daten erhoben wurden. Als Beispiele können die Verwendung von automatisierten Datenerfassungsvorrichtungen oder Datenerfassungssoftware wie Kameras, Netzwerkausrüstung, WLAN-Verfolgung, RFID oder andere Arten von Sensoren genannt werden (vgl. Illibauer in Knyrim, DatKomm Art. 13 DSGVO Rz 21 [Stand 1.12.2021, rdb.at] mwN).
Auch Bäcker geht davon aus, dass die Voraussetzung, wonach die Informationspflichten aus Art. 13 Abs. 1 und 2 DSGVO eine Erhebung von personenbezogenen Daten bei der betroffenen Person erfordern, mit Blick auf den Normzweck zu interpretieren ist, Datenverarbeitungsprozesse transparent zu gestalten. Da die Informationspflichten aus Abs. 1 und Abs. 2 bei der Datenerhebung zu erfüllen sind, kommt es darauf an, ob es dem Verantwortlichen zu diesem Zeitpunkt grundsätzlich möglich ist, die betroffene Person zu kontaktieren und ihr die gebotenen Informationen zur Verfügung zu stellen. Dies ist prinzipiell der Fall, wenn die betroffene Person selbst als unmittelbare Datenquelle dient, indem der Verantwortliche entweder ihre Erscheinung oder ihr Verhalten synchron wahrnimmt oder mit ihr in einen – auch asynchronen – persönlichen Kontakt tritt. Demgegenüber ist es irrelevant, ob die betroffene Person aktiv an der Datenerhebung mitwirkt, sich ihr entziehen kann oder auch nur von ihr weiß. (vgl. Bäcker in Kühling/Buchner, DS-GVO - BDSG, 3. Auflage, Art. 13 Rz 13, 14 und 15 mwN).
3.4. Zum Entfall einer mündlichen Verhandlung:
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Im gegenständlichen Fall wurde vom Beschwerdeführer keine mündliche Verhandlung beantragt und war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.
Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.).
Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.
3.5. Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es ist daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.
Dass das Erheben von Daten ebenfalls als Verarbeitung im Sinne der DSGVO gilt, ergibt sich bereits aus dem Wortlaut des Art. 4 DSGVO.
Rückverweise
Keine Verweise gefunden
