Spruch
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde von XXXX , vertreten durch CHG Czernich Haidlen Gast Partner Rechtsanwälte GmbH, 6020 Innsbruck, Bozner Platz 4 – Palais Hauser, gegen den Bescheid der Datenschutzbehörde vom 23.05.2024, GZ XXXX , in nichtöffentlicher Sitzung in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:
A) Die Beschwerde wird abgewiesen.
B) Die Revision ist nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:
1. Am 07.03.2024 leitete die belangte Behörde ein amtswegiges Prüfverfahren gegen die Beschwerdeführerin (in Folge „BF“) als Betreiberin von Videoüberwachungskameras im Bereich der XXXX straße, XXXX ein.
2. Mit Bescheid vom 23.05.2024 untersagte die belangte Behörde die Datenverarbeitung im Rahmen der Videoüberwachung des öffentlichen Raums mittels Videoüberwachungskamera mit der Bezeichnung K01 im Bereich der Begegnungszone XXXX straße im Stadtgebiet XXXX , mit sofortiger Wirkung und bei sonstiger Exekution (Spruchpunkt 1.). Darüber hinaus sprach die belangte Behörde eine Warnung dahingehend aus, dass die beabsichtigten Datenverarbeitungsvorgänge im Rahmen der geplanten weiteren Videoüberwachung durch die Videoüberwachungskameras mit den Bezeichnungen K02, K03 und K04 im Bereich der XXXX straße im Stadtgebiet XXXX , voraussichtlich gegen die DSGVO verstoßen (Spruchpunkt 2.) und schloss die aufschiebende Wirkung einer allfällig rechtzeitig eingebrachten und zulässigen Beschwerde aus (Spruchpunkt 3.).
3. Dagegen richtet sich die Beschwerde vom 13.06.2024. In dieser führte die BF aus, dass die Echtzeitanzeige der Kameras ausschließlich von Arbeitsgeräten der Stadtpolizei möglich sei und der Erweiterung der Wahrnehmung der Stadtpolizei diene. Die Datenverarbeitung sei im Rahmen und für Zwecke der Stadtpolizei aufgrund einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt iSd Art 6 Abs 1 lit e DSGVO zulässig. Insbesondere berufe sie sich hierbei auf die Vorbeugung von gefährlichen Angriffen und die Aufrechterhaltung der öffentlichen Ordnung nach §§ 27 Abs 1, 54 Abs 6 SPG. Alternativ sei die Datenverarbeitung zum Schutz des Eigentums der BF, welche im Rahmen der Privatwirtschaftsverwaltung erfolge, nach Art 6 Abs 1 lit f DSGVO aufgrund eines berechtigten Interesses zulässig.
4. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts mit Schriftsatz vom 20.06.2024, hg eingelangt am 26.06.2024 vor und beantragte – unter Verweis auf die Begründung des angefochtenen Bescheids – die Beschwerde abzuweisen.
Beweis wurde erhoben durch Einsichtnahme in den Verwaltungs- und Gerichtsakt.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Zur Entscheidungsfindung:
1.1.1. In der Gemeinderatssitzung der Stadt XXXX vom 12.10.2023 und 14.12.2023 berichtete der Bürgermeister der Stadt XXXX über die zeitnah geplante Installation von Kameras im Stadtgebiet von XXXX .
1.1.2. Am 15.12.2023 beschloss der Stadtrat XXXX eine Budgetumschichtung, um Überwachungskameras anzuschaffen.
1.1.3. Am 20.03.2024 wurde die Kameraüberwachung in der Gemeinderatssitzung der Stadt XXXX diskutiert.
1.1.4. Die BF erarbeitete eine Datenschutz-Folgenabschätzung, in der detaillierte Angaben zu der geplanten Verarbeitung – ua Zweck, Datenkategorien, Speicherdauer, ect – angegeben wurden.
1.2. Zur Videoüberwachung:
1.2.1. Von Mitte Jänner 2024 (vgl OZ 1, S 23) bis zum 23.05.2024 wurde eine Videoüberwachungsanlage bestehend aus einer Videoüberwachungskamera mit der Bezeichnung K01 im Bereich der Begegnungszone XXXX straße im Ortskern XXXX betrieben. Für drei weitere Videoüberwachungskameras, jeweils mit den Bezeichnungen K02, K03 und K04, wurde bereits ein Standort ebenfalls im Bereich der Begegnungszone XXXX straße ausgewählt und eine Inbetriebnahme zeitnahe geplant.
1.2.2. Die Position der Videoüberwachungskameras K01 bis K04 im Bereich der Begegnungszone stellt sich konkret wie folgt dar (Lageplan vorgelegt durch die Verantwortliche, Formatierung nicht 1:1 wiedergegeben):
1.2.3. Bei der Videoüberwachungskamera K01 handelt es sich um ein Modell AXIS Typ P3719-PLE mit einer 360°-Rundblick-Funktion mit vier Aufnahmesektoren. Selbiges Modell soll bei den geplanten Videoüberwachungskameras K02 bis K04 zum Einsatz kommen.
Die Videoüberwachungskamera mit der Bezeichnung K01 ist in vier Metern Höhe an einer Straßenbeleuchtung montiert und erfasst Teile des öffentlichen zentralen Platzes der Begegnungszone XXXX straße im Bereich des Geschäfts XXXX . Der Aufnahmebereich ist in vier Sektoren gegliedert und gestaltet sich wie folgt (Formatierung nicht 1:1 wiedergegeben):
1.2.4. Die Videoüberwachungskamera K01 ist derzeit mit sechs Hinweisschilder entlang der XXXX -straße bzw. an Standorten bevor die XXXX straße betreten wird gekennzeichnet. Die Kennzeichnung soll zukünftig auch für die weiteren geplanten Videoüberwachungskameras gelten.
1.2.5. Die Echtzeitanzeige der Videoaufnahmen ist ausschließlich von Arbeitsgeräten der Stadtpolizei XXXX möglich und diese werden für 48 Stunden gespeichert. Die Speicherdauer kann ausnahmenweise länger erfolgen, sofern die Aufnahmen als Beweismittel in straf- oder zivilrechtlichen Verfahren erforderlich sind.
1.2.6. Den Zweck der Videoüberwachung legte die die BF mit der Stärkung des subjektiven Sicherheitsgefühls der Bewohner:innen der Stadtgemeinde sowie dem vorbeugende Schutz von Personen oder Sachen, wie des Eigentums der BF (Sitzgelegenheiten und Möbel) und die Dokumentation straf- oder zivilrechtlich relevanter Delikten fest.
1.2.7. Zwischen 2017 und Mitte 2024 wurden im Gebiet der BF 46 strafbare Handlungen zur Anzeige gebracht, darunter 11 Sachbeschädigungen.
Aus dem Eigentum der BF wurde ein Mistkübel beschädigt, zwei Straßenlaternen umgefahren sowie ein Gestaltungselement aus Beton und ein Mistkübel mit einem Graffiti beschmiert.
2. Beweiswürdigung:
2.1. Zur Entscheidungsfindung:
2.1.1. Die Feststellungen zu den Berichten des Bürgermeisters in den Gemeinderatssitzungen ergeben sich aus den jeweiligen Protokollen (vgl Niederschrift der Sitzung des Gemeinderates XXXX vom 12.10.2023, S 6 und 14.12.2023, S 8).
2.1.2. Die Feststellung zur Budgetumschichtung ergibt sich aus dem vorgelegten, unbedenklichen Protokollauszug (vgl OZ 4, Protokollauszug der 18. Sitzung des Stadtrates vom 15.12.2023, Punkt 7.2.).
2.1.3. Die Feststellung zur Diskussion hinsichtlich der Kameraüberwachung ergibt sich aus dem Protokoll der Gemeinderatssitzung (vgl Niederschrift der Sitzung des Gemeinderates XXXX vom 20.03.2024, S 8 f, 29) sowie der vorgelegten und in diesem Zusammenhang gestellten Anfrage der XXXX Grünen bzw späterer Beantwortung (vgl OZ 4, Anfrage der XXXX Grünen vom 18.03.2024 samt Anfragebeantwortung vom 25.06.2024 betreffend die Kameraüberwachung).
2.1.4. Die Feststellung, dass die BF eine Datenschutzfolgenabschätzung vorgenommen und darin diverse Angaben zur geplanten Verarbeitung gemacht hat, ergibt sich aus der dem Verwaltungsakt beiliegenden Datenschutzfolgenabschätzung, welche die BF im Rahmen ihrer Stellungnahme vom 22.03.2024 (siehe OZ 1, S 47 ff) sowie in überarbeiteter Form im Rahmen ihrer Bescheidbeschwerde vom 13.06.2024 (siehe OZ 1, S 145 ff) vorlegte.
2.2. Zur Videoüberwachung:
2.2.1. Die Feststellung zur Inbetriebnahme der Videoüberwachung ergibt sich aus den vorgelegten und dem Verwaltungsakt beiliegenden zahlreichen Zeitungsberichten, welche übereinstimmend von einer Installation/Inbetriebnahme der Kameras im Jänner berichten (vgl OZ 1, S 106 f, Bericht von meinbezirk.at vom 15.03.2024; bzw OZ 1, S 23, Transskript Radiointerview Radio XXXX , Interview mit Bürgermeister XXXX ; OZ 1, S 112 ff, Bezirksblätter XXXX 13./14. März 2024; OZ 1, S 20 ff, „Post vom Bürgermeister“ im Stadtmagazin Februar 2024). Dass weitere Kamerastandorte in Planung waren bzw die jeweiligen Überwachungsbereiche ergeben sich aus der nachvollziehbaren Stellungnahme der BF vom 22.03.2024, in für die Kameras K02, K03 und K04 eine Inbetriebnahme in „einigen Wochen“ in Aussicht gestellt wurde und der jeweilige Standort beschrieben wurde (OZ 1, S 44, 46).
2.2.2. Die konkreten Positionierungen der Kameras sind dem vorgelegten Lageplan Videokameras zu entnehmen (OZ 1, S 46).
2.2.3. Die konkrete Modellbezeichnung sowie die Aufnahmefunktion mit Rundblick in vier Sektoren sowie der Standort der Kamera K01 ergeben sich ebenfalls aus der nachvollziehbaren Stellungnahme der BF vom 22.03.2024, in der sie ua auch das Modell konkret bezeichnete, auf die Bedienungsanleitung, deren Funktionsweise und Montage, samt beispielhafter Aufnahmebilder verwies (siehe dazu OZ 1, S 44 f, 56 ff).
2.2.4. Die Feststellungen zu den Hinweisschildern ergibt sich aus dem vorgelegten Lageplan, in dem auch die Hinweisschilder eingezeichnet sind, den zugehörigen und nachvollziehbaren Ausführungen der BF sowie den zugehörigen und vorgelegten Lichtbildern unter denen auch ein Hinweisschild ist (OZ 1, S 45, 46, 59 ff).
2.2.5. Die Feststellungen zur Echtzeitanzeige und zur Speicherdauer legte die BF glaubhaft in ihrer Bescheidbeschwerde dar, in der sie insbesondere auf die reduzierte Speicherdauer und die Abrufbarkeit seitens der Stadtpolizei verwies. Es kamen keine Anhaltspunkte hervor an diesen Angaben zu zweifeln, zumal die BF sich kooperativ zeigte und zu erkennen war, dass die BF an einer datenschutzkonformen Ausgestaltung interessiert ist. Darüber hinaus stimmen diese Angaben mit der überarbeiteten Datenschutz-Folgenabschätzung überein, in der ebenfalls die reduzierte Speicherdauer, sowie die Abrufbarkeit der Echtzeitbilder durch die Stadtpolizei ersichtlich ist (vgl OZ 1, S 133, 147 f).
2.2.6. Die Feststellungen zu den Zwecken der Datenverarbeitung ergeben sich aus den vorgelegten Protokollen und Unterlagen im Verwaltungsakt:
Der Zweck der Stärkung des subjektiven Sicherheitsgefühls der Bewohner:innen XXXX geht bereits eindeutig aus der Sachverhaltsbeschreibung hinsichtlich des Beschlusses zur Budgetumschichtung des Stadtrates hervor. Hier wird dazu sogar näher ausgeführt, dass dies besonders in der dunklen Jahreszeit sehr wichtig sei (siehe OZ 4, Protokollauszug der 18. Sitzung des Stadtrates vom 15.12.2023, Punkt 7.2.). Auch in der „Post vom Bürgermeister“ im Stadtmagazin wird explizit angegeben, dass das subjektive Sicherheitsgefühl in den Abendstunden vor allem bei Frauen, älteren Menschen und Kindern durch die Kameras gestärkt werden soll. Darin wird der Bürgermeister sogar wie folgt zitiert: „Wir wollen dadurch das subjektive Sicherheitsgefühl der XXXX Bevölkerung stärken! Dafür bin ich als Bürgermeister angetreten und deshalb ist es nur logisch die benötigten Maßnahmen zu treffen“ (OZ 1, S 209, 211, Stadtmagazin 02/2024). Selbst in einem Radiointerview verwies der Bürgermeister erneut auf das subjektive Sicherheitsgefühl (siehe OZ 1, S 23, Radiosender XXXX Radiointerview/BGM XXXX vom 13.02.2024). Für den erkennenden Senat bestehen aufgrund der mehrfachen und expliziten Erwähnung der Stärkung des Sicherheitsgefühls innerhalb der Bevölkerung durch den Bürgermeister selbst, als auch im Beschluss des Stadtrats keine Zweifel, dass dies einer der wesentlichen Zwecke war, um die Videoüberwachungsanlage zu installieren und in Betrieb zu nehmen.
Der Zweck des vorbeugenden Schutzes von Personen oder Sachen sowie die Dokumentation straf- oder zivilrechtlich relevanter Delikte ergibt sich aus einer Zusammenschau der Medienberichte (hierbei wird genannt, dass diese „dabei helfen, andere Straftaten wie Körperverletzungen oder Ladendiebstähle rascher aufzuklären“; OZ 1, S 22) mit den Angaben der BF. In Ihrer Stellungnahme vom 22.03.2024 gab diese ua an, dass die Videoüberwachung dem „vorbeugenden Schutz von Personen und Sachen“ diene. Dies stimmt auch mit den Angaben in der Datenschutz-Folgenabschätzung – so auch in der angepassten Version – der BF überein, wonach die Verarbeitung „zum Zwecke des vorbeugenden Schutzes von Personen oder Sachen und zur Dokumentation straf- oder zivilrechtlich relevanter Delikte“ diene (OZ 1, S 49, 185). Vor dem Hintergrund, dass die BF in ihrer Bescheidbeschwerde auch eine Übersicht von Straftaten im Stadtgebiet bzw diesbezügliche Lichtbilder vorlegte, war dies auch nachvollziehbar (vgl OZ 1, S 174 ff, 179 ff).
2.2.7. Die Feststellungen zur den angezeigten strafbaren Handlungen im Gemeindegebiet der BF ergeben sich aus der von der BF im Rahmen der Bescheidbeschwerde vom 13.06.2024 vorgelegten „Übersicht aller Angriffe im Gebiet der Beschwerdeführerin seit 2017“. Selbst wenn in dieser Auflistung konkrete Datumsangaben fehlen, so war aufgrund des detaillierungsgrades, so wie der offensichtlichen Zusammenarbeit der BF mit der Stadtpolizei XXXX (vgl die nunmehrige explizite Anführung der Stadtpolizei in der Datenschutz-Folgenabschätzung) dennoch davon auszugehen, dass diese vollständig ist. Die Beschädigungen am Eigentum der BF ergeben sich ua aus den unbedenklichen vorgelegten Lichtbildern, in Zusammenschau mit den Angaben in der Datenschutz-Folgenabschätzung (OZ 1, S 136 ff, 145 ff).
3. Rechtliche Beurteilung:
Zu A)
Die zulässige Beschwerde ist nicht berechtigt.
3.1. Zur Verantwortlichkeit:
Nach Art 4 Z 7 DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Wie festgestellt, haben die Organe der BF (insbesondere der Bürgermeister und der Stadtrat) Zweck und Mittel der Videoüberwachung bestimmt. Diesbezüglich erstattete der Bürgermeister regelmäßig Bericht in den Gemeinderatssitzungen, der auch diesbezügliche Diskussionen folgten. Der Stadtrat stellte im Rahmen einer Budgetumschichtung die notwendigen Geldmittel zur Verfügung, die Zwecke, Speicherdauer ect wurden im Namen der BF in der Datenschutz-Folgenabschätzung erarbeitet und der Bürgermeister berichtete regelmäßig über den Fortschritt des Projekts. Es zeigt sich somit klar, dass unterschiedliche Gemeindeorgane in die Festlegung von Zweck und Mitteln eingebunden waren. Diese Organe waren daher – wie von der belangten Behörde im Ergebnis zutreffend angenommen – XXXX , somit der BF, zuzurechnen, weshalb diese auch als „Verantwortliche“ iSd Art 4 Z 7 DSGVO zu qualifizieren war.
Sofern die BF nun in ihrer Bescheidbeschwerde vorbringt, dass die Stadtpolizei XXXX für die Verarbeitung verantwortlich sei, da nur diese Zugriff auf die Echtzeitbilder und Aufzeichnungen habe (OZ 1, S 171) übersieht die BF, dass eine Einrichtung, wenn sie die in Art 4 Z 7 der DSGVO aufgestellte Voraussetzung erfüllt, nicht nur für jedwede Verarbeitung personenbezogener Daten verantwortlich ist, die durch sie selbst erfolgt, sondern auch für jedwede Verarbeitung, die in ihrem Namen erfolgt (EuGH 05.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rz 36). Insbesondere ist es auch nicht erforderlich, dass die BF tatsächlich Zugang zu den betreffenden personenbezogenen Daten hat (vgl EuGH 05.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rz 42; hier im Zusammenhang mit der gemeinsamen Verantwortlichkeit, wobei nicht erkennbar ist, weshalb dies bei einer nicht-gemeinsamen Verantwortlichkeit anders zu beurteilen wäre). Vor dem Hintergrund, dass keine Anhaltspunkte hervorkamen, dass die Stadtpolizei oder gar die Stadtwerke XXXX auch nur in irgendeiner Weise eine tragende Rolle bei der tatsächlichen Festlegung von Zweck und Mittel gespielt hätten, geht die diesbezügliche Argumentation der BF ins Leere. Da die datenschutzrechtliche Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 87), kann das (nachträgliche) hinzufügen von „Stelle „Stadtpolizei XXXX ““ in der Datenschutz-Folgenabschätzung keinen Einfluss auf die Qualifikation der BF als Verantwortliche haben.
3.2. Zur Anwendbarkeit der DSGVO:
Im Hinblick auf das Vorbringen der BF, wonach die Videoüberwachung einen dem vorbeugenden Schutz von Personen oder Sachen und zur Dokumentation straf- oder zivilrechtlich relevanter Delikte dienen soll (OZ 1, S 185), war zu prüfen, ob die DSGVO überhaupt anwendbar ist.
Gemäß Art 2 Abs 2 lit d DSGVO findet diese nämlich keine Anwendung auf die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.
Für die Ausnahme des Art 2 Abs 2 lit d DSGVO müssen zwei Voraussetzungen erfüllt sein, damit eine Datenverarbeitung unter die dort vorgesehene Ausnahme fällt. Während die erste von ihnen die Zwecke der Verarbeitung – Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit – betrifft, geht es in der zweiten Voraussetzung um den Urheber der Verarbeitung, bei dem es sich um eine „zuständige Behörde“ im Sinne dieser Bestimmung handeln muss. Verarbeitungen durch Privatpersonen zu den in Art 2 Abs 2 lit d DSGVO genannten Zwecken fallen somit in den Anwendungsbereich der DSGVO (vgl EuGH 21.06.2022, C-817/19, Ligue des droits humains, Rz 67). Fraglich ist daher, ob die BF überhaupt „zuständige Behörde“ ist.
Die BF brachte diesbezüglich vor, dass die Stadtpolizei XXXX als Teil der BF mit Verordnung des Sicherheitsdirektors für das Bundesland XXXX vom 01.07.2005 der Bezirkshauptmannschaft XXXX unterstellt worden sei und daher berechtigt sei, den sicherheitspolizeilichen Exekutivdienst zu versehen (OZ 1, S 170, 185).
Grundsätzlich ist die oberste Sicherheitsbehörde der Bundesminister für Inneres. Ihm sind die Landespolizeidirektionen, ihnen wiederum die Bezirksverwaltungsbehörden als Sicherheitsbehörden nachgeordnet (vgl Art 78a B-VG). Dem entsprechend sieht § 9 Abs 1 SPG vor, dass sofern bundesgesetzlich nichts anderes bestimmt ist, die Sicherheitsverwaltung außerhalb des Gebietes jener Gemeinden, in dem eine Landespolizeidirektion zugleich Sicherheitsbehörde erster Instanz ist, den Bezirksverwaltungsbehörden obliegt, denen hiefür die Bezirks- und Stadtpolizeikommanden und deren Polizeiinspektionen unterstellt sind.
Es zeigt sich somit klar, dass im Stadtgebiet der BF die BH XXXX zuständige Sicherheitsbehörde ist und nicht die Stadtpolizei XXXX . Diese ist der BH XXXX lediglich unterstellt (vgl auch OZ 1, S 191 ff). Entgegen der Annahme der BF wird die Stadtpolizei durch diese Unterstellung jedoch nicht selbst zur zuständigen Sicherheitsbehörde. Deren Eigenschaft als Gemeindewachkörper ändert daran ebenso nichts.
Da die BF bzw die Stadtpolizei nicht die „zuständige Behörde“ für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder Strafvollstreckung sind, ist die DSGVO anwendbar.
3.3. Zur Rechtmäßigkeit der Verarbeitung:
Nach der Rechtsprechung des EuGH muss jede Verarbeitung personenbezogener Daten mit den in Art 5 Abs 1 DSGVO aufgestellten Grundsätzen im Einklang stehen, die in Art 6 DSGVO aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen und die in Art 7 bis 11 DSGVO, genannten Bestimmungen einhalten (vgl EuGH 04.05.2023, C-60/22, Bundesrepublik Deutschland, Rz 57 f).
Hinsichtlich der Voraussetzungen für die Rechtmäßigkeit der Verarbeitung enthält Art 6 Abs 1 DSGVO eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (vgl EuGH 12.09.2024, C-17/22 und C-18/22, HTB Neunte Immobilien Portfolio, Rz 34).
3.3.1. Zur Wahrnehmung einer Aufgabe im öffentlichen Interesse und in Ausübung öffentlicher Gewalt gemäß Art 6 Abs 1 lit e DSGVO:
In ihrer Bescheidbeschwerde brachte die BF vor, dass ihr eine Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt zukomme. Sie stützte sich hierbei auf die gesetzliche Ermächtigung zur Verarbeitung von personenbezogenen Daten zur Vorbeugung von gefährlichen Angriffen gegen Leben, Gesundheit oder Eigentum von Menschen nach § 54 Abs 6 SPG in Verbindung mit der Verpflichtung zur Aufrechterhaltung der öffentlichen Ordnung nach § 27 Abs 1 SPG. Nach dieser Bestimmung sei die Verarbeitung zulässig, wenn aufgrund bestimmter Tatsachen, insbesondere vorangegangener Angriffe zu befürchten ist, dass es an öffentlichen Orten zu solchen Angriffen kommen wird. Diesbezüglich legte sie eine Historie solcher Angriffe vor (vgl OZ 1, S 171, 174 ff).
Die Aufgabe der Vorbeugung gefährlicher Angriffe iSd § 54 Abs 6 SPG bzw die Verpflichtung zur Aufrechthaltung der öffentlichen Ordnung nach § 27 Abs 1 SPG kommt– wie die belangte Behörde bereits zutreffend ausführte – jeweils nur den zuständigen Sicherheitsbehörden zu (vgl in § 54 Abs 6 SPG, „dürfen die Sicherheitsbehörden“; bzw in § 27 Abs 1 SPG, „Den Sicherheitsbehörden obliegt“).
Für den vorliegenden Fall bedeutet das:
Wie bereits unter Punkt 3.2. ausgeführt, ist weder die BF noch die Stadtpolizei XXXX zuständige Sicherheitsbehörde im Stadtgebiet der BF. Die von der BF genannten Aufgaben kommen daher ausschließlich der BH XXXX , der LPD XXXX (bzw dem Bundesminister für Inneres) zu. Wie bereits dargestellt, wurde die Stadtpolizei für diverse Angelegenheiten der BH XXXX unterstellt. Die tatsächliche Zuständigkeit zur Wahrnehmung dieser Angelegenheiten verbleibt dennoch bei der BH.
Die BF kann sich somit mangels Zuständigkeit zur Wahrnehmung dieser Aufgaben nicht darauf berufen, da ihr diese nicht iSd Art 6 Abs 1 lit e DSGVO übertragen wurden. Der Rechtmäßigkeitstatbestand nach Art 6 Abs 1 lit e DSGVO ist daher bereits deshalb nicht auf die vorliegende Verarbeitung für die Zwecke der Stärkung des subjektiven Sicherheitsgefühls der Bewohner:innen XXXX sowie des vorbeugenden Schutzes von Personen oder Sachen und die Dokumentation straf- oder zivilrechtlich relevanter Delikte anwendbar. Die BF ist somit auch nicht für die Verfolgung/Prävention bezüglich der von ihr aufgezählten Delikte, wie Raub, gefährliche Drohung, Raufhandel, Körperverletzung, Belästigung, Suchtmittelvergehen zuständig (vgl OZ 1, S 187). Hierbei ist insbesondere zu berücksichtigen, dass die Aufrechterhaltung der öffentlichen Sicherheit (§ 20 SPG), die Gefahrenabwehr (§ 21 SPG) und der vorbeugende Schutz von Rechtsgütern (§ 22 SPG) jeweils den Sicherheitsbehörden obliegt. Die BF kann sich daher nicht auf diese Zwecke stützen.
Sofern sich die BF in ihrer Datenschutz-Folgenabschätzung auch auf die polizeiliche Aufklärung von Ordnungswidrigkeiten stützt (OZ 1, S 189) und damit allenfalls auch Aufgaben der örtlichen Sicherheitspolizei (Wahrung des öffentlichen Anstandes und die Abwehr ungebührlicherweise hervorgerufenen störenden Lärmes; vgl Art 15 Abs 2 B-VG) meint, so konnte sie keine diesbezügliche Rechtsgrundlage iSd Art 6 Abs 3 DSGVO vorweisen und war eine solche auch sonst nicht ersichtlich. Der ortspolizeilichen Verordnung XXXX ist ebenso keine Bestimmung zu entnehmen, die eine Videoüberwachung zur Einhaltung der dortigen Regelungen vorsehen würden (der Vollständigkeit halber sei angemerkt, dass die Erforderlichkeit einer derart umfangreichen Videoüberwachung, wie der gegenständlichen, im Hinblick auf die Erfordernisse der Erforderlichkeit und dem angemessenen Verhältnis iSd Art 6 Abs 3 DSGVO, für die Einhaltung einer ortspolizeilichen Verordnung XXXX , welche ua den Schutz von Parkanlagen, öffentlichen Sitzbänken, Verunreinigungen bzw ein Taubenfütterungsverbot regelt, fraglich erscheint.)
Die BF kann ihre Verarbeitung daher nicht auf Art 6 Abs 1 lit e DSGVO stützen.
3.3.2. Zur Wahrung berechtigten Interessen der BF gemäß Art 6 Abs 1 lit f DSGVO:
Alternativ brachte die BF in ihrer Bescheidbeschwerde vor, dass sie die Verarbeitung auf Art 6 Abs 1 lit f DSGVO stütze. Die Videoüberwachung diene ua dem Zweck des Schutzes ihres Eigentums, wie Sitzgelegenheiten und Möbel. Dies sei keine hoheitliche Aufgabe, sondern erfolge im Rahmen der Privatwirtschaftsverwaltung. Die BF sei daher diesbezüglich nicht als Behörde zu qualifizieren, weshalb sie sich – entgegen der Ansicht der belangten Behörde – auf Art 6 Abs 1 lit f DSGVO stützen könne (vgl OZ 1, S 172).
Gemäß Art 6 Abs 1 lit f DSGVO ist eine Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Art 6 Abs 1 lit f DSGVO gilt allerdings nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung
Die Verarbeitung personenbezogener Daten nach Art 6 Abs 1 lit f DSGVO ist unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen. Dabei sind ua die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen. (vgl EuGH 04.10.2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond, Rz 37 f, 54).
Angewendet auf den vorliegenden Fall bedeutet das:
Wie von der belangten Behörde zutreffend ausgeführt, wäre die BF hinsichtlich der angeführten Zwecke der Stärkung des subjektiven Sicherheitsgefühls der Bewohner:innen, der Dokumentation von straf- oder zivilrechtlich relevanter Delikte bzw eines allgemeinen vorbeugenden Schutzes von Personen oder Sachen jedenfalls als Behörde zu qualifizieren, weshalb sie sich diesbezüglich nicht auf Art 6 Abs 1 lit f DSGVO berufen kann. Selbst wenn man davon ausgehen würde, dass die BF diesbezüglich nicht als Behörde zu qualifizieren wäre, so läge nach der Rechtsprechung des EuGH kein „berechtigten Interesse“ vor (vgl EuGH 04.10.2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond, Rz 40, wonach das berechtigte Interesse jedenfalls rechtmäßig sein muss). Da die BF – wie unter Punkt 3.2. und 3.3.1. ausgeführt – nicht die zuständige Sicherheitsbehörde ist, wäre eine diesbezügliche Aufgabenwahrnehmung unrechtmäßig, weshalb die Berufung auf ein berechtigtes Interesse auch daran scheitert.
Sofern die BF aber nunmehr vorbringt, dass sie mit der gegenständlichen Videoüberwachung ihr zivilrechtliches Eigentum, wie Sitzgelegenheiten und Möbel schützen möchte (vgl dazu auch die vorgelegten Lichtbilder; OZ 1, S 141 ff), wäre ein diesbezügliches, rein auf den Schutz des Eigentums der BF beschränktes (Sitzgelegenheiten bzw Möbel), Handeln im Rahmen der Privatwirtschaftsverwaltung zumindest denkbar:
Zum berechtigten Interesse:
Der Schutz des Eigentums der BF mit einer Videoüberwachungsanlage stellt grundsätzlich ein berechtigtes Interesse dar (vgl dazu EuGH 11.12.2019, C-708/18, Asociaţia de Proprietari bloc M5A-ScaraA, Rz 42, 45; wo auch der von der BF mit Lichtbildern dokumentierte Vandalismus genannt wird).
Zur Erforderlichkeit:
Hinsichtlich der Voraussetzung der Erforderlichkeit ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen. In diesem Zusammenhang ist auch darauf hinzuweisen, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der „Datenminimierung“ zu prüfen ist, der in Art 5 Abs 1 lit c DSGVO verankert ist und verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind (vgl EuGH 04.10.2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond, Rz 42 f).
Die pauschale Argumentation der BF in ihrer Bescheidbeschwerde, wonach „kein gelinderes Mittel zum selben Erfolg führt“ ist nicht überzeugend (siehe OZ 1, S 134).
Hinsichtlich der öffentlichen Sitzgelegenheiten und deren Beschädigungen/Verunstaltungen durch Graffitis stehen der BF beispielsweise Anti-Graffiti Anstriche/Beschichtungen, verstärkte Öffentlichkeitsarbeit, Erhöhung der Frequenz der Überwachung durch die Stadtpolizei bzw deren personelle oder zeitliche Aufstockung zur Verfügung. Sofern die BF in der Datenschutz-Folgenabschätzung diesbezüglich vorbringt, dass die Beauftragung eines Sicherheitsdienstes, oder die dauerhafte Abstellung von Personal der Stadtpolizei mit hohen Kosten verbunden wäre, so übersieht sie hierbei, dass die Anschaffung der Kameras sowie die Einsichtnahme in die Aufzeichnungen und die Echtzeitanzeige (wie von der BF ausgeführt, durch die Stadtpolizei) ebenso Kosten verursacht bzw Personal der Stadtpolizei bindet (vgl OZ 1, S 148 f). Die bloße Berufung auf hohe Kosten erscheint daher nicht überzeugend.
Aus der Rechtsprechung des EuGH zur Erforderlichkeit geht hervor, dass weniger stark in die Grundrechte eingreifende Mittel zu prüfen und zu bevorzugen sind (vgl EuGH 22.06.2021, C-439/19, Latvijas Republikas Saeima [Strafpunkte], Rz 111; hier im Zusammenhang mit der Erforderlichkeit nach Art 6 Abs 1 lit e DSGVO). Der erkennende Senat geht in diesem Zusammenhang davon aus, dass die Prüfung umso sorgfältiger sein muss, je umfassender und eingriffsintensiver eine Datenverarbeitung ist. Wenn man bedenkt, dass auch die von der BF getroffene Maßnahme (Kamerainstallation) nicht zu vernachlässigende Kosten verursacht hat, hätte die BF, die von ihr selbst aufgezeigten Alternativen, nicht bloß gedanklich prüfen dürfen, sondern hätte diese zumindest zeitweise auch bevorzugt heranziehen und deren Ergebnisse prüfen müssen, bevor sie eine derart umfassende Videoüberwachungsanlage in Betrieb nimmt.
Hinsichtlich der beschädigten bzw augenscheinlich von einem Fahrzeug umgefahrenen Straßenbeleuchtungen ist auszuführen, dass diese von der BF leicht durch Einfriedungen, oder sogar durch einen (insbesondere in der Dunkelheit) gut sichtbaren Anstrich (von aktuell dunkelgrau, auf reflektierende Signalfarben oÄ) vor etwaigen Beschädigungen durch Fahrzeuge geschützt werden können.
Die BF hat entgegen der Rechtsprechung des EuGH auch nicht geprüft, ob es ausreicht, wenn die Videoüberwachung nur in der Nacht, oder außerhalb der normalen Arbeitszeit in Betrieb ist (vgl dazu EuGH 11.12.2019, C-708/18, Asociaţia de Proprietari bloc M5A-ScaraA, Rz 51).
Abgesehen davon, ist nicht ersichtlich, inwiefern eine derart groß angelegte Videoüberwachung, mitten in der Begegnungszone des belebten Ortskerns, mit einer sehr großen Anzahl betroffener Personen, welche rund um die Uhr erfolgt, in einem angemessenen Verhältnis zum Schutz von Laternenmasten bzw Sitzgelegenheiten und Mistkübeln vor Graffitis steht. Die konkreten Modalitäten der Installation und des Betriebs der bereits montierten Kamera K01 sind daher hinsichtlich der Auswirkungen auf die Rechte und Freiheiten der betroffenen Personen jedenfalls überschießend. Dies insbesondere, weil der BF mehrere Alternativen zur Verfügung standen (abwaschbare Anti-Graffiti Anstriche, bauliche Einfriedungen der Laternenmasten, ect). Es mangelt daher bereits an der Erforderlichkeit.
Vor dem Hintergrund, dass es im vorliegenden Fall hinsichtlich der Kamera K01 an der Voraussetzung der Erforderlichkeit mangelt, konnte eine Interessensabwägung unterbleiben.
Die belangte Behörde hat die Videoüberwachung mittels der Kamera K01 durch die BF mangels Rechtfertigungstatbestand daher zutreffend als rechtswidrig beurteilt.
3.4. Zu den ausgeübten Abhilfebefugnissen:
3.4.1. Zum Verbot der Kamera K01 (Spruchpunkt 1.):
Die nationale Aufsichtsbehörde hat gemäß Art 57 Abs 1 lit a DSGVO die Aufgabe, die Anwendung der DSGVO zu überwachen und durchzusetzen. Dazu werden ihr in Art 58 Abs 2 DSGVO diverse Abhilfebefugnisse eingeräumt; ua ist sie gem lit f leg cit berechtigt, ein Verbot der Datenverarbeitung zu verhängen. Eine angeordnete Maßnahme hat dabei – im Hinblick auf die Aufgaben der Aufsichtsbehörde – geeignet, erforderlich und verhältnismäßig zu sein, wobei die Umstände des Einzelfalls zu berücksichtigen sind (ErwGr 129 DSGVO).
Wie unter Punkt 3.3. ausgeführt, hat die BF die Kamera K01 rechtswidrig betrieben.
Ein Verbot der Videoüberwachung des öffentlichen Raums mittels Videoüberwachungskamera mit der Bezeichnung K01 im Bereich der Begegnungszone XXXX straße im Stadtgebiet XXXX ist geeignet um die Einhaltung der DSGVO durchzusetzen. Aufgrund der zahlreichen, der BF zur Verfügung stehenden Alternativen (ua Anti-Graffiti Anstriche/Beschichtungen, bauliche Veränderungen/Einfriedungen von Laternenmasten, Verbesserung der Sichtbarkeit der Laternenmasten) und weil die groß angelegte Videoüberwachung des öffentlichen Raums in einer Begegnungszone in keinem Verhältnis zu den von der BF vorgebrachten Zwecken (Eigentumsschutz von Sitzgelegenheiten, Mistkübeln und Laternenmasten) steht bzw die BF für die übrigen vorgebrachten Zwecke (Vorbeugung gefährlicher Angriffe, Aufrechterhaltung der öffentlichen Sicherheit) nicht einmal die zuständige Behörde ist, war ein gänzliches Verbot auch verhältnismäßig. Unter Berücksichtigung des Umfangs der Verarbeitung ist vorliegend nicht ersichtlich, wie diese (außer durch ein gänzliches Verbot) in Einklang mit der DSGVO zu bringen wäre. Da die BF – wie sich aus der Bescheidbeschwerde bzw der geänderten Datenschutz-Folgenabschätzung ergibt – weiterhin an der Videoüberwachung festhalten möchte, diese aber rechtswidrig ist, war ein Verbot auch erforderlich, um die Anwendung der DSGVO durchzusetzen.
Die belangte Behörde hat die gegenständliche Datenverarbeitung mit der Kamera K01 daher zu Recht iSd Art 58 Abs 2 lit f DSGVO verboten („untersagt“). Die dagegen erhobene Beschwerde war daher abzuweisen.
3.4.2. Zur Warnung bezüglich der Kamera K02 bis K04 (Spruchpunkt 2.):
Wie festgestellt, hat die BF bereits konkrete Pläne für die Inbetriebnahme drei weiterer Kameras vorgelegt (K02 bis K04). Da sich die Kameras K02, K03 und K04 im selben Straßenzug wie die Kamera K01 befinden (Begegnungszone XXXX straße) und sich im Wesentlichen auf dieselben Zwecke stützen, war, für den Fall der tatsächlichen Inbetriebnahme dieser Kameras – wie auch bei der Kamera K01 – von einem voraussichtlichen Verstoß auszugehen.
Die belangte Behörde hat daher zu Recht eine Warnung iSd Art 58 Abs 2 lit a DSGVO ausgesprochen. Die dagegen erhobene Beschwerde war daher abzuweisen.
3.5. Zum Ausschluss der aufschiebenden Wirkung (Spruchpunkt 3.):
Die belangte Behörde legte mit Schreiben vom 20.06.2024 die Beschwerde gegen den Bescheid vom 23.05.2024, GZ: XXXX zur Gänze vor und beantrage in der Sache selbst zu entscheiden. Die belangte Behörde hat somit klar erkennbar von der Erlassung einer Beschwerdevorentscheidung abgesehen, weshalb sowohl über die Beschwerde gegen die in der Sache ergangene Entscheidung als auch über die aufschiebende Wirkung zu entscheiden war (vgl § 13 f VwGVG).
Ein konkretes, auf den Ausschluss der aufschiebenden Wirkung bezogenes, Vorbringen erstattete die BF nicht.
Wie die belangte Behörde bereits ausführte, liegt eine sehr eingriffsintensive Datenverarbeitung vor, welche erhebliche Risiken für Betroffene, nämlich sämtliche Passanten der genannten Begegnungszone, birgt. Videoüberwachungen im Allgemeinen sind bereits besonderes Eingriffsintensiv und im gegenständlichen Fall ist aufgrund der Platzierung im belebten Ortskern in der Begegnungszone, dem gewählten Kameramodell (Rundumblick) von einer besonders hohen Anzahl an betroffenen Personen auszugehen. Diesem Interesse steht, als einzig legitimes Interesse der BF, der Schutz des Eigentums der BF, konkret der Schutz von Sitzgelegenheiten und Mistkübeln vor Graffitis und Laternenmasten vor dem Umfahren durch Autos gegenüber.
Die belangte Behörde ist zutreffend davon ausgegangen, dass mangels Rechtmäßigkeit der der vorzeitige Vollzug des Verbots der Videoüberwachung durch die Kamera K01 jedenfalls im öffentlichen Interesse bzw im Interesse der Passanten der gegenständlichen Begegnungszone ist und wegen Gefahr im Verzug (hinsichtlich der damit verbundenen massiven Eingriffe in das Grundrecht auf Datenschutz) auch dringend geboten ist. Hinsichtlich der ausgesprochenen Warnung bezüglich der Kameras K02 bis K04 erscheint der Eingriff in die Interessen der BF nur gering, da keine konkreten (rechtlichen) Auswirkungen dieser Warnung erkennbar sind. Die tatsächliche Inbetriebnahme der geplanten weiteren drei Kameras wäre aber voraussichtlich erneut mit massiven Eingriffen in das Grundrecht auf Datenschutz zahlreicher betroffener Personen einhergegangen, weshalb auch diesbezüglich ein Ausschluss der aufschiebenden Wirkung wegen Gefahr im Verzug dringend geboten war.
Die auch dagegen erhobene Beschwerde war daher abzuweisen.
3.6. Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. In der Beschwerde wurde auch kein dem Ergebnis des behördlichen Ermittlungsverfahrens entgegenstehender bzw darüberhinausgehender relevanter Sachverhalt behauptet (VwGH 24.02.2015, Ra 2014/19/0171).
Der entscheidungsrelevante Sachverhalt war hinsichtlich der verwendeten Kameras, deren Standorte und Funktionsumfang unbestritten, weshalb das Bundesverwaltungsgericht diesbezüglich ausschließlich über eine Rechtsfrage zu erkennen hatte (vgl EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff).
Vor dem Hintergrund, des vorgelegten eindeutigen Beschlusses des Stadtrats war nicht erkennbar, dass eine mündliche Erörterung zu einer weiteren Klärung der Frage der Verantwortlichkeit geführt hätte (vgl dazu VwGH 19.10.2022, Ro 2022/04/0001, RS 5). Dem Entfall der Verhandlung stand auch Art 6 Abs 1 EMRK bzw Art 47 GRC nicht entgegen. Von der mündlichen Verhandlung konnte daher gemäß § 24 Abs 4 VwGVG abgesehen werden.
3.7. Es war daher spruchgemäß zu entscheiden.
Zu B) (Un)Zulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich auf die jeweils zitierte Rechtsprechung des VwGH bzw EuGH berufen. Die zitierten Normen zu den zuständigen Sicherheitsbehörden waren klar und eindeutig. Insbesondere hinsichtlich der Rechtmäßigkeit konnte sich das erkennende Gericht auf die jeweils zitierte Rechtsprechung des EuGH stützen. Die hier vorgenommene, einzelfallbezogene Interessensabwägung hinsichtlich des Ausschlusses der aufschiebenden Wirkung ist nicht reversibel (vgl VwGH 07.02.2020, Ra 2019/03/0143, Rz 28).