2025-0.682.666 – Datenschutzbehörde Entscheidung

GZ: 2025-0.682.666 vom 29. September 2025 (Verfahrenszahl: DSB-D550.929)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

Straferkenntnis

Beschuldigter: Edward D***, geb. am **.**.2003

Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen:

I. Sie verarbeiten jedenfalls seit 09.03.2023 bis dato (im Folgenden „ Tatzeitraum “), innerhalb des Bundesgebietes Österreich (im Folgenden „ Tatort “) regelmäßig unrechtmäßig personenbezogene Daten , indem Sie ausgehend von einem von Ihnen genutzten Kraftfahrzeug (M***Car Typ *V, mit dem behördlichen Kennzeichen *Ü-*2*7*L; in der Folge „ M***Car “) eine Videoüberwachungsanlage , bestehend aus sieben im M***Car verbauten Kameras, mit aktivierter Dashcam sowie aktiviertem Watchdog***-Mode mit kamerabasierter Erkennung ohne entsprechender Kennzeichnung samt vorheriger Mitteilung des berechtigten Interesses (siehe hierzu sogleich Spruchpunkt II ) betreiben , um während der Fahrt Unfallhergänge und beim Parken Sicherheitsereignisse zu dokumentieren und dabei den unmittelbaren Nahbereich des M***Cars und somit den öffentlichen Bereich in Form einer Echtzeitüberwachung erfassen und die Aufzeichnungen während der Fahrt durch manuelles Antippen des Dashcam-Symbols sowie beim Hupen - losgelöst von einem Sicherheitsvorfall - speichern können und während des Parkens und bei verriegeltem Fahrzeug automatisch bei verdächtigen Aktivitäten rund um das Auto - ohne physische Bedrohung des Fahrzeuges - Aufnahmen über ein angeschlossenes USB-Laufwerk speichern .

Der Aufnahmebereich der betreffenden Anlage umfasst über den eigentlichen Zweck hinaus somit unabhängig von einem Unfall oder sonstigen Sicherheitsvorfällen sowohl während der Fahrt als auch im geparkten und versperrten Zustand des Fahrzeugs stets sich im unmittelbaren - öffentlich zugänglichen - Nahbereich befindliche Personen (im Folgenden „ Betroffene “), was dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO widerspricht. Die Verarbeitung erfolgt entgegen der Verpflichtung zur Transparenz und ohne eine rechtfertigende Grundlage im Sinne der Art. 5 Abs. 1 lit. a und 6 DSGVO. Zudem werden die durch die Videoüberwachungsanlage gespeicherten Daten entgegen dem Grundsatz der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e DSGVO über einen Zeitraum von einem Monat aufbewahrt.

II. Sie haben im Zusammenhang mit der oben genannten Verarbeitung gegen Ihre Informationspflicht gemäß Art. 13 DSGVO verstoßen , indem Sie zur Tatzeit, keine geeignete Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den Betroffenen vornahmen. Dadurch wurden die Betroffenen bei der Erhebung ihrer personenbezogenen Daten im Aufnahmebereich der Anlage nicht über die Verarbeitung im Sinne der Art. 12 und 13 DSGVO informiert.

Verwaltungsübertretungen nach:

Ad.I: Art. 5 Abs. 1 lit. a, c und e sowie Art. 6 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Ad.II: Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretungen wird gemäß Art. 83 DSGVO folgende Strafe verhängt:

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:

60,-

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

660,-

Euro

Zahlungsfrist:

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt] , lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden .

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.

Begründung:

1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest:

1.1. Zum Verfahrensgang und mangelnder Mitwirkung des Beschuldigten

Am 13.12.2023 wurde der Datenschutzbehörde (im Folgenden: „ DSB “) mittels Anzeige zur Kenntnis gebracht, dass der Beschuldigte in seinem Kraftfahrzeug der Type „ M***Car Typ *V “ eine Kamera besitze, welche jederzeit alles aufzeichne und abspeichere.

Der Anzeige war ein Schriftstück vom 05.04.2023 aus dem PAD-Akt der Polizeiinspektion O***platz mit dem Betreff „ Verkehrsunfall mit Sachschaden – Fahrerflucht “ beigelegt. Aus der Anzeige ist zu entnehmen, dass der Beschuldigte einen am 09.03.2023 stattgefundenen Verkehrsunfall mit anschließender Fahrerflucht gemeldet hat. Zudem ergibt sich aus der Beilage, dass sein Kraftfahrzeug eine Kamera besitze, welche jederzeit alles aufzeichne und abspeichere und er die Aufzeichnungen einmal im Monat sichte und diese sofern keine Auffälligkeiten bestehen, wieder lösche.

Die DSB leitete in der Folge mit Erledigung vom 24.01.2024 (GZ: D550.929; 2023-0.921.508) ein Verwaltungsstrafverfahren ein und forderte den Beschuldigten zur Rechtfertigung auf. Das Schreiben wurde mittels RSa-Brief an den Hauptwohnsitz des Beschuldigten per Adresse „ O***platz *8, **** J***stadt“ versandt.

Nach einem erfolglosen Zustellversuch am 02.02.2024 durch Organe der Post wurde das Schreiben in der „ Abholfiliale: Post Geschäftsstelle ***5 J***stadt“ ab 05.02.2024 zur Abholung bereitgehalten.

Die Sendung wurde am 29.02.2024 als „ nicht behoben “ retourniert.

Mit Erledigung vom 21.11.2024 (GZ: D550.929; 2024-0.167.029) wurde der Beschuldigte mit Frist bis zum 18.12.2024 neuerlich zur Abgabe einer schriftlichen oder wahlweisen mündlichen Rechtfertigung in Bezug auf nachstehende Verwaltungsübertretungen aufgefordert (Formatierungen nicht 1:1 übernommen):

I. Aufgrund einer Sachverhaltsdarstellung der Landespolizeidirektion F*** stehen Sie im Verdacht, in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls vom 09. März 2023 bis dato (im Folgenden „Tatzeitraum“), innerhalb des Bundesgebietes Österreich unrechtmäßig personenbezogene Daten verarbeitet zu haben, indem Sie ausgehend von einem von Ihnen genutzten Kraftfahrzeug aus (M***Car Typ *V, mit dem behördlichen Kennzeichen *Ü-*2*7*L) eine Bildverarbeitungsanlage in Form einer „Dash-Cam“ betrieben haben. Der Aufnahmebereich der gegenständlichen Anlage umfasste jedenfalls den öffentlichen Straßenverkehr vor dem Fahrzeug. Somit erfasste die Videoüberwachung öffentlichen Raum und war daher nicht auf Bereiche beschränkt, die in der ausschließlichen Verfügungsbefugnis des Verantwortlichen stehen. Zudem werden die durch die Bildverarbeitungsanlage gespeicherten Daten über die Dauer von 72 Stunden aufbewahrt und waren ebenso lange auch ohne konkreten Anlassfall abrufbar. Daher besteht in diesem Zusammenhang der Verdacht, dass die Verarbeitung nicht auf eine einschlägige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO gestützt werden konnte und darüber hinaus in Missachtung des Grundsatzes der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO erfolgte, weil die konkrete Verarbeitung nicht dem Zweck angemessen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt war.

II. Darüber hinaus besteht der Verdacht, dass Sie im Zusammenhang mit der oben genannten Verarbeitung gegen Ihre Informationspflicht gemäß Art. 13 DSGVO verstoßen haben, indem Sie zur Tatzeit, keine geeignete Kennzeichnung der Bildverarbeitungsanlage oder eine sonstige Informationserteilung gegenüber den Betroffenen vornahmen. Dadurch wurden die Betroffenen bei der Erhebung ihrer personenbezogenen Daten im Aufnahmebereich der Anlage nicht über die Verarbeitung im Sinne der Art. 12 und 13 DSGVO informiert.

Im Rahmen dieses Schreibens wurde ausdrücklich darauf hingewiesen, dass das Strafverfahren ohne Anhörung des Beschuldigten durchgeführt wird, wenn die Aufforderung zur Rechtfertigung nicht befolgt wird.

Der Aufforderung zur Rechtfertigung wurde eine Beilage betreffend die Bekanntgabe der Einkommens- und Vermögensverhältnisse sowie Sorgepflichten angeschlossen. Die Beilage enthält folgenden Hinweis (Formatierung nicht 1:1 übernommen):

„Mit der beiliegenden Aufforderung zur Rechtfertigung wurde gegen Sie als Beschuldigter einVerwaltungsstrafverfahren eingeleitet. Gemäß § 19 Abs. 2 letzter Satz, Verwaltungsstrafgesetz 1991 - VStG sind bei der Bemessung von Geldstrafen die Einkommens- und Vermögensverhältnisse sowie allfällige Sorgepflichten des Beschuldigten zu berücksichtigen.

Wir fordern Sie daher auf, den nachstehenden Fragebogen auszufüllen und an uns zurückzuschicken. Falls sie den Fragebogen nicht bzw. nicht rechtzeitig (bis zu dem in der beiliegenden Aufforderung zur Rechtfertigung angegebenen Zeitpunkt) an uns übermitteln, sind wir gezwungen, die Bemessung einer allfälligen Geldstrafe im Zuge des Verwaltungsstrafverfahrens unter Einschätzung dieser Verhältnisse vorzunehmen.

Beruf: ............................................................................................................................................

Monatliches Nettoeinkommen: ................................................................................................

Vermögen: ............................................................................................................................

Sorgepflichten: .............................................................................................................“

Das Schreiben wurde samt Beilage mittels RSa-Brief an den Hauptwohnsitz des Beschuldigten per Adresse „ O***platz *8, **** J***stadt “ versandt. Das Schreiben wurde vom Beschuldigten am 27.11.2024 übernommen.

Der Beschuldigte rechtfertigte sich weder mündlich noch schriftlich bis zum Abschluss des Verfahrens vor der DSB.

1.2. Zur gegenständlichen Videoüberwachungsanlage

Das vom Beschuldigten genutzte Fahrzeug der Type „ M***Car Typ *V “ verfügt über eine Videoüberwachungsanlage, bestehend aus sieben Kameras. Eine Kamera ist oberhalb des hinteren Kennzeichens montiert, jeweils eine Kamera ist in jeder Türsäule montiert, zwei Kameras sind an der Windschutzscheibe oberhalb des Rückspiegels montiert und jeweils eine Kamera ist an beiden Vorderkotflügeln montiert.

Die Videoüberwachungsanlage ist nicht gekennzeichnet.

Die Funktion „ Dashcam “ zeichnet während der Fahrt Videobilder von der Umgebung des Fahrzeugs in Echtzeit auf. Ungespeicherte Aufnahmen werden kontinuierlich überschrieben.

Im Hinblick auf die Speicherung der Dashcam Aufnahmen bestehen drei Optionen:

- Auto: Wenn ein sicherheitskritisches Ereignis wie einen Aufprall oder das Auslösen eines Airbags registriert wird, speichert die Dashcam automatisch eine Aufnahme auf dem USB-Laufwerk.

- Manuell: Das Dashcam-Symbol muss manuell berührt werden, um die Aufzeichnungen der letzten zehn Minuten zu speichern.

- Beim Hupen: Bei Betätigen der Hupe, speichert die Dashcam die in den letzten zehn Minuten aufgenommenen Videos.

Das Kraftfahrzeug verfügt überdies über die Funktion „ Watchdog***-Mode “, hierfür muss die Dashcam aktiviert werden. Wenn diese Funktion aktiviert ist, bleiben die Kameras des Fahrzeugs eingeschaltet und bereit zur Aufzeichnung verdächtiger Aktivitäten rund um das Fahrzeug, während dieses geparkt und verriegelt ist. Wenn die kamerabasierte Erkennung aktiviert ist, verwendet der Watchdog***-Mode zusätzlich zu den Fahrzeugsensoren die externen Kameras des Fahrzeugs, um ein Sicherheitsereignis ohne physische Bedrohung des Fahrzeuges zu erkennen, während das Fahrzeug geparkt ist.

Damit die Aufzeichnungen gespeichert und abgespielt werden können ist ein USB-Laufwerk vonnöten, das in den USB-Anschluss des Fahrzeuges eingesteckt ist.

Der Beschuldigte hat die Videoüberwachungsanlage seines Fahrzeuges jedenfalls seit dem 09.03.2023 bis dato (in der Folge „ Tatzeitraum “) innerhalb des Bundesgebiets Österreich (in der Folge „ Tatort “) derart eingeschaltet, dass diese rund um die Uhr aufzeichnet, was um das Fahrzeug geschieht und die Aufnahmen abspeichert. Der Beschuldigte hat daher sowohl die „ Dashcam “ als auch den „ Watchdog***-Mode “ samt kamerabasierter Erkennung aktiviert und nimmt eine Speicherung der Aufnahmen vor. Die Aufnahmen erfassen hierbei regelmäßig Personen, die sich im öffentlichen Bereich des unmittelbaren Nahbereichs des Fahrzeuges aufhalten, zB beim Autofahren, Fahrradfahren oder auch als Fußgänger (in der Folge „ Betroffene “).

Der Beschuldigte sichtet einmal im Monat die Aufzeichnungen und löscht diese, sofern diese keine Auffälligkeiten enthalten.

1.3. Zu den Einkommens- und Vermögensverhältnissen des Beschuldigten

Der Beschuldigte verfügt über durchschnittliche Einkommens- und Vermögensverhältnisse.

2. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen:

2.1. Die Feststellungen zu Punkt 1.1. ergeben sich unzweifelhaft aus der Ersteingabe vom 13.12.2023 und dem beiliegenden PAD-Akt der Polizeiinspektion O***platz mit der GZ: PAD/23/*5*0*4*1/001/VW sowie dem gegenständlichen Verwaltungsstrafakt.

Die Feststellungen zu den Zustellvorgängen der Erledigungen vom 24.01.2024 (GZ: D550.929; 2023-0.921.508) und vom 21.11.2024 (GZ: D550.929; 2024-0.167.029) beruhen jeweils auf den unbedenklichen und gut lesbaren Rückscheinen.

2.2. Die Feststellungen zu Punkt 1.2. ergeben sich im Wesentlichen auf den in der Ersteingabe vom 13.12.2023 übermittelten Informationen, insbesondere aufgrund des Schriftstückes aus dem PAD-Akt der Polizeiinspektion O***platz mit der GZ: PAD/23/*5*0*4*1/001/VW mit dem Betreff „Verkehrsunfall mit Sachschaden – Fahrerflucht“. So hat der Beschuldigte entsprechend der darin enthaltenen Sachverhaltsdarstellung selbst angegeben, dass sein Fahrzeug eine Kamera besitze, welche jederzeit alles aufzeichne und abspeichere und er einmal im Monat die Aufzeichnungen sichte, um - sofern keine Auffälligkeiten vorliegen - eine Löschung durchzuführen.

Die Feststellungen zu den Kameras, zur Funktion und den technischen Begebenheiten zur „Dashcam“ sowie zum „Watchdog***-Mode“ stützen sich auf die Informationen des Herstellers vom fallrelevanten Fahrzeug, insbesondere dem „Owner’s Manual“ zum Typ *V, online abrufbar unter: https://www.m***car.com/manual/***/typ*v/de***, zuletzt abgerufen am 22.09.2025.

Der Beschuldigte hat sich trotz zweimalig ordnungsgemäß zugestellter Aufforderungen zur Rechtfertigung vom 24.01.2024 (GZ: D550.929; 2023-0.921.508) und vom 21.11.2024 (GZ: D550.929; 2024-0.167.029) zu den Tatvorwürfen nicht geäußert.

2.3. Die Feststellungen zu den Einkommens- und Vermögensverhältnissen fußen auf einer Schätzung der DSB mangels Angabe des Beschuldigten.

3. Rechtlich folgt daraus:

3.1. Zur objektiven Tatseite

Die im vorliegenden Fall durch die Videoüberwachungsanlage aufgezeichneten (Bild-)Daten der Betroffenen stellen zweifelsfrei personenbezogene Daten im Sinne von Art. 4 Z 1 DSGVO dar (vgl. EuGH 11.12.2014, C-212/13, Rz 2) und wurde durch den Einsatz der gegenständlichen Videoüberwachungsanlage eine automatisierte Verarbeitung personenbezogener Daten im Sinne von Art. 4 Z 2 DSGVO in Form der „ Erhebung “ und „ Speicherung“ vorgenommen (vgl. hierzu EuGH vom 11.12.2029, C-708/18, Rz 34f; BVwG vom 25.07.2025, GZ: W258 2299744-1/28E, vgl. überdies BVwG vom 27.03.2023, GZ: W214 2259197-1/14E in welchem sich das BVwG ebenso mit der Verarbeitung personenbezogenen Daten durch einen aktivierten „ Watchdog***-Mode “ beschäftigte).

Im Lichte des als erwiesen angenommenen Sachverhalts ist der Beschuldigte als Verantwortlicher gemäß Art. 4 Z 7 DSGVO zu qualifizieren, da er letztendlich die Entscheidung getroffen hat, die Videoaufzeichnung bzw. Datenverarbeitung mit den zur Verfügung stehenden Funktionen in dem von ihm genutzten Kraftfahrzeug vorzunehmen. Die Rolle als Verantwortlicher wurde von dem Beschuldigten auch zu keinem Zeitpunkt bestritten. Als Verantwortlicher ist der Beschuldigte Adressat der einschlägigen (strafbewehrten) Pflichten der DSGVO, die im Folgenden näher beleuchtet werden.

3.1.1. Zur Rechtmäßigkeit der Videoaufzeichnung ( Spruchpunkt I )

Nach der gefestigten Rechtsprechung des EuGH muss eine Datenverarbeitung, um rechtmäßig im Sinne der DSGVO zu sein, allen in Art. 5 Abs. 1 DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand bzw. Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO gestützt werden können (siehe bspw. EuGH vom 04.05.2023, C-60/22, Rz 56 und 57 sowie EuGH vom 21.12.2023, C-667/21, Rz 78).

In Betracht kommt gegenständlich letztendlich nur das Vorliegen berechtigter Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Weitere Rechtfertigungsgründe sind nicht ersichtlich und wurden vom Beschuldigten mangels Rechtfertigung auch nicht vorgebracht.

Art. 6 Abs. 1 lit. f DSGVO ermöglicht die Verarbeitung personenbezogener Daten in „ Gleichordnungsverhältnissen “ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten (vgl. Art. 4 Z 10 DSGVO) erforderlich ist. Diese berechtigten Interessen per se stellen jedoch dann keine ausreichende Begründung für die Rechtmäßigkeit der Verarbeitung dar, wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Der EuGH hat bereits zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Art. 7 lit. f DS-RL) ein „ Prüfschema “ vorgegeben sowie in seiner Rechtsprechung kontinuierlich weiterentwickelt. Danach ist die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist, das auch von der DSB, dem VwGH sowie dem OGH in deren Entscheidungspraxis herangezogen wird (vgl. EuGH vom 11.12.2019, Rs C-708/18, Rz 36 mwN, vgl. überdies zuletzt EuGH, 09.11.2025, C-394/23, Rz 64):

(i) Wahrnehmung und Mitteilung eines berechtigten Interesses,

(ii) Erforderlichkeit der Verarbeitung und

(iii) kein Überwiegen der Rechte und Freiheiten anderer.

Zu Punkt i) Vorliegen und Mitteilung des berechtigten Interesses

In Ermangelung einer Definition des Begriffs „ berechtigtes Interesse “ durch die DSGVO kann ein breites Spektrum von Interessen als berechtigt gelten (vgl. EuGH, 09.11.2025, C-394/23, Rz 46), die Erwägungsgründe 47ff enthalten einige Beispiele. Auch Art. 9 Abs. 2 DSGVO enthält in einigen Tatbeständen berechtigte Interessen, die im Sinne eines Größenschlusses auch die Verarbeitung nicht sensibler Daten rechtfertigen können.

Der Schutz und die Sicherheit des Eigentums stellen jedenfalls berechtigte Interessen dar (siehe dazu das Urteil des EuGH vom 11.12.2019, C-708/18, noch zu Art. 7 lit. f der RL 95/46/EG).

Zudem ist darauf hinzuweisen, dass Verantwortliche bei der Verarbeitung personenbezogener Daten aufgrund von berechtigten Interessen entsprechenden Transparenzverpflichtungen nachkommen müssen (vgl. Leitlinien 1/2024 zur Verarbeitung personenbezogener Daten auf der Grundlage von Art. 6 Abs. 1 lit. f DSGVO, angenommen am 08.10.2024).

Eine unterlassene Information kann die Willensbildung der betroffenen Person beeinträchtigenund sind sowohl die Datenerhebung als auch die anschließende Datenverarbeitung ohne Information als unrechtmäßig anzusehen, wenn die Datenerhebung vom Willen der betroffenen Person abhängt, wie etwa wenn die betroffene Person berechtigt ist, sich faktisch der Datenerhebung zu entziehen, beispielsweise in Bezug auf eine Videoüberwachung im öffentlichen Raum, der sich die betroffene Person bei entsprechender Information über die Videoüberwachung entziehen kann, indem sie den überwachten Ort nicht betritt (vgl. VwGH vom 09.05.2023, Ro 2020/04/0037).

Konkret obliegt es dem Verantwortlichen nach Art. 13 Abs. 1 lit. d DSGVO jedenfalls betroffenen Personen zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht (vgl. EuGH, 09.11.2025, C-394/23, Rz 46), andernfalls die Erhebung personenbezogener Daten nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann (vgl. EuGH 09.11.2025, C-394/23, Rz 52; siehe auch BVwG vom 11.06.2025, GZ: W211 2308914-1/9E und vom 28.07.2025, GZ: W211 2301653-1).

Gegenständlich ergibt sich aus den im Rahmen der Anzeige vorgelegten Sachverhaltsdarstellungen des Beschuldigten sinngemäß, dass dieser die Videoüberwachungsanlage zum Schutz des geparkten Fahrzeuges sowie zur Dokumentation eines Unfallherganges betreibt, zumal dieser auch ein Verkehrsschaden samt Fahrerflucht vom 09.03.2023 angezeigt hat.

Wie den Feststellungen jedoch zu entnehmen ist, wurden Betroffene vor Erhebung ihrer Daten nicht über die berechtigten Interessen informiert. Auch müssen Personen, die am Straßenverkehr teilnehmen vernünftigerweise nicht damit rechnen von einer Videoüberwachungsanlage eines Kraftfahrzeuges erfasst zu werden, zumal nicht behauptet werden kann, dass diese Verarbeitung heutzutage der gängigen Praxis im Straßenverkehr entspricht (vgl. hierzu auch die Warnung der DSB vom 09.07.2018, GZ: DSB-D485.000/0001-DSB/2018 sowie das Straferkenntnis der DSB vom 27.09.2018, GZ: DSB-D550.084/0002-DSB/2018, vgl. im Ergebnis auch OGH 27.02.2013, 6 Ob 256/12h).

Wenngleich sich somit eine weitere Prüfung entbehrt - da die Verarbeitung bereits mangels Mitteilung des berechtigten Interesses nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann -, wird im Anschluss der Vollständigkeit halber dargelegt, dass die Rechtmäßigkeit der Verarbeitung ebenso am Kriterium der Erforderlichkeit und Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO samt dem Grundsatz der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e DSGVO scheitert.

Zu Punkt ii) Erforderlichkeit

Der Begriff der „ Erforderlichkeit “ hat im Unionsrecht eine eigenständige Bedeutung und ist in einer Weise auszulegen, der den Zielen des Datenschutzrechtes in vollem Umfang Rechnung trägt . Bei der Beurteilung, was „ erforderlich “ ist, ist zu prüfen, ob die verfolgten berechtigten Interessen der Datenverarbeitung in der Praxis nicht mit anderen Mitteln, die die Grundrechte und Grundfreiheiten der betroffenen Person weniger einschränken, ebenso wirksam erreicht werden können.

So hielt der EuGH in Bezug auf die Erforderlichkeit einer Verarbeitung bereits mehrfach fest, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen (vgl. das Urteil des EuGH vom 04.05.2017, C-13/16 sowie vom 09.11.2010, C-92/09 und C-93/09). Liegen demnach vernünftige ebenso wirksame, aber weniger einschneidende Alternativen vor, kann die Verarbeitung nicht als „ erforderlich“ angesehen werden (vgl. Leitlinien 1/2024 zur Verarbeitung personenbezogener Daten auf der Grundlage von Art. 6 Abs. 1 lit. f DSGVO, angenommen am 08.10.2024). Es sind demnach Alternativen zu erwägen, und bei gleichem Effekt einer Datenverarbeitung mit anderen Maßnahmen ist dieser der Vorzug zu geben (vgl. BVwG vom 11.06.2025, GZ: W211 2308914-1/9E).

Das Kriterium der Erforderlichkeit ist eng mit dem eingangs erwähnten Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) verbunden (vgl. EuGH vom 11.12.2019, C-708/18, Rz 48) und spielt auch der Grundsatz der Speicherbegrenzungmithinein (Art. 5 Abs. 1 lit. e DSGVO). Selbst wenn beispielsweise eine Videoüberwachung unbedingt erforderlich erscheint, müssen Maßnahmen zur Einschränkung des Aufnahmebereichs, wie das Anbringen einer physischen Blende, oder das Verpixeln nicht relevanter Bereiche, getroffen werden (vgl. Europäischer Datenschutzausschuss (EDSA) Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.1., Rz 25-27, vgl. auch OGH in 6 Ob 115/17f vom 21.11.2017, siehe aber auch 8 Ob 125/11g).

Das Erfassen von Bildern von der Straße vor und/oder hinter dem Fahrzeug ist nur im Einzelfall aufgrund spezieller Parameter zulässig, wie beispielsweise, wenn ausschließlich der Unfallhergang dokumentiert wird, Daten nur im unbedingt erforderlichen Ausmaß gespeichert werden und die Speicherung nicht von einer willentlichen Handlung des Verantwortlichen abhängig ist und es nur zu einer automatischen Speicherung durch vordefinierte Impulse (beispielsweise durch Aufprallsensoren) kommt (vgl. hierzu VwGH 12.09.2016, Ro 2015/04/0011; EuGH 11.12.2014, C-2012/13).

Wie festgestellt, betreibt der Beschuldigte jedenfalls eine Videoüberwachungsanlage mit der Funktion Dashcam als auch der Funktion Watchdog***-Mode, die dauerhaft in Form einer Echtzeitüberwachung die Umgebung umfasst und nimmt darüber hinaus eine Speicherung vor.

Während der Fahrt werden bei der Registrierung sicherheitskritischer Ereignisse, wie beispielsweise eines Aufpralls oder dem Auslösen des Airbags, automatisch die Aufnahmen abgespeichert. Zudem werden einerseits im Fall der Berührung des Dashcam-Symbols sowie andererseits beim Hupen die Aufzeichnungen der letzten zehn Minuten gespeichert.

Solange das Fahrzeug geparkt und verriegelt ist , werden die Aufzeichnung verdächtiger Aktivitäten - ohne physische Bedrohung des Fahrzeuges - im Umfeld des Fahrzeugs gespeichert.

Wie den Feststellungen entnommen werden kann, erfasst die Videoüberwachungsanlage jederzeit Personen, welche sich im Nahbereich des parkenden Fahrzeuges aufhalten, unabhängig davon, ob diese das Fahrzeug berühren oder tatsächlich ein Unfallhergang eintritt. Sowie werden die Aufnahmen der Betroffenen darüber hinaus regelmäßig bei Vorliegen der zuvor genannten Bedingungen für einen Zeitraum von einem Monat gespeichert.

Zwar kann dem Beschuldigten zugutegehalten werden, dass während der Fahrt bei der Dashcam-Einstellung „ Auto“ eine Speicherung ausschließlich bei einem vordefinierten Impuls zur Dokumentation eines konkreten Unfallgeschehens erfolgt. Jedoch kann der Beschuldigte darüber hinaus jederzeit manuell die letzten zehn Minuten der Fahrt ohne Einschränkungen speichern, was nach der vorgenannten Judikatur des VwGH jedenfalls nicht als das gelindeste Mittel anzusehen ist (vgl VwGH 12.09.2016, Ro 2015/04/0011, Rz 33).

Auch im Hinblick auf die Aktivierung des „ Watchdog***-Modes “ samt kamerabasierter Erkennung kann nicht davon die Rede sein, dass diese in Form des gelindesten Mittels erfolgt. Zumal beim Parken das gesamte Umfeld des Fahrzeuges in Echtzeit erfasst wird und darüber hinaus ohne Berührung des Kraftfahrzeuges bei Bewegungen eine Speicherung stattfindet. Auch ist erwähnenswert, dass der Watchdog***-Mode ebenso ohne kamerabasierter Erkennung genutzt werden kann und in dieser Form durch die ausschließliche Nutzung der Fahrzeugsensoren weder eine Echtzeitüberwachung durch die Kameras erfolgt noch eine Speicherung ohne Berührung des Fahrzeuges stattfindet.

Auch wurden Bilddaten entgegen dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO für einen Zeitraum von einem Monat gespeichert.

Im Ergebnis ist die Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO nicht einschlägig. Die Verarbeitung durch die gegenständliche Videoüberwachungsanlage erfolgt somit unrechtmäßig. Damit ist die objektive Tatseite eines Verstoßes gegen die Grundsätze der Verarbeitung gemäß Art. 5 Abs. 1 lit. a, c und e iVm Art. 6 Abs. 1 DSGVO erfüllt.

3.1.2. Zur Kennzeichnung ( Spruchpunkt II )

Art. 5 Abs. 1 lit. a DSGVO sieht, wie bereits eingangs erwähnt, vor, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen („ Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz “). In der DSGVO wird der Grundsatz der Transparenz durch Art. 13 und 14 DSGVO zur Informationspflicht sowie Art. 12 DSGVO zu den diesbezüglichen Modalitäten konkretisiert.

Diesen Bestimmungen sowie den ErwGr 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden:

Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf. übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein.

Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht liegt insbesondere in ihrer Funktion als notwendige Voraussetzung für die Ausübung der Betroffenenrechte : Ist dem Betroffenen nicht bewusst, dass eine Verarbeitung seiner Daten erfolgt, und/oder nicht bekannt, wer diese durchführt, kann er seine diesbezüglichen Rechte nach Art. 15 bis 21 DSGVO nicht geltend machen (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim , DatKomm Art. 5 DSGVO, Rz 18f).

Auf Grund der Informationsmenge , die einem Betroffenen zukommen soll, kann von einem Verantwortlichen ein " geschichteter Zugang " und eine Kombination aus Mitteln gewählt werden, um dem Transparenzgebot zu entsprechen. Im Rahmen einer Videoüberwachung sollte die wichtigste Information in einem Warnhinweis dargestellt werden, während die notwendigen weiteren Informationen mit anderen Mitteln zur Verfügung gestellt werden können (als zweite Schicht) (vgl. EDSA Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, 29.01.2020, S 28ff).

Der Beschuldigte hat wie den Sachverhaltsfeststellungen entnommen werden kann, keine Kennzeichnung der Datenverarbeitung vorgenommen und sohin die Betroffenen nicht informiert .

Der Beschuldigte hat somit für den gesamten hier einschlägigen Tatzeitraum gegen seine Informationspflichten als Verantwortlicher verstoßen und dadurch die objektive Tatseite betreffend Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 DSGVO erfüllt .

3.2. Zur subjektiven Tatseite

Der EuGH hat festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68).

Der EuGH stellt klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76).

Im Lichte des als erwiesen angenommen Sachverhalts wird von der DSB jedoch keine vorsätzliche Tathandlung durch den Beschuldigten angenommen. Der Beschuldigte hat sich gegenständlich dafür entschieden, die Verarbeitung für die festgestellten Zwecke zu betreiben und diese nicht entsprechend zu kennzeichnen, hat sich jedoch dabei vorab offenbar über die einschlägigen Verwaltungsvorschriften nicht ausreichend erkundigt .

Bereits das Aufrufen der Website der DSB hätte gereicht, um beispielsweise in Erfahrung zu bringen, dass eine Videoüberwachung nur im unbedingt erforderlichen Ausmaß erfolgen darf und welche Informationen zu erteilen sind.

Darüber hinaus hat auch der Europäische Datenschutzausschuss Empfehlungen im Rahmen von Leitlinien zur Videoüberwachung sowie zur Verarbeitung von personenbezogenen Daten nach Art. 6 Abs. 1 lit. f DSGVO Informationen auf seiner Website veröffentlicht (siehe Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte und Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, Version 1.0, adopted on 08.10.2024).

Dadurch ist die subjektive Tatseite ebenfalls erfüllt und es liegt Verschulden in Form von Fahrlässigkeit vor.

4. Zur Strafzumessung ist Folgendes festzuhalten:

Gegenständlich gelangt in Abweichung zu dem mit § 22 Abs. 2 VStG für die festgestellten Verstöße das Absorptionsprinzip nach Art. 83 Abs. 3 DSGVO zur Anwendung und wird eine Gesamtstrafe für die festgestellten Verstöße ( Spruchpunkt I und Spruchpunkt II) verhängt (vgl. VwGH 30.04.2025, Ro 2021/04/0024). Der Strafrahmen ergibt sich dabei aus dem schwerwiegendsten Verstoß. Daher reicht der Strafrahmen im konkreten Fall gemäß Art. 83 Abs. 5 lit. a DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000.

Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt:

 Art, Dauer und Schwere des Verstoßes: Die unrechtmäßige Verarbeitung, konkret die Videoüberwachung hat die grundrechtlich geschützten Rechte aufgrund der „mobilen“ Überwachung des öffentlichen Bereiches einer nicht unerheblichen Anzahl von Betroffenen (Recht auf Geheimhaltung nach § 1 Abs. 1 DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC) verletzt (Art. 83 Abs. 2 lit. a DSGVO).

Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt:

 Gegen den Beschuldigten lagen bis dato bei der DSB keine einschlägigen Vorstrafenaufgrund von Verstößen gegen die DSGVO oder das DSG vor (Art. 83 Abs. 2 lit. e DSGVO).

Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.05.1990, 89/02/0093, VwGH 22.04.1997, 96/04/0253, VwGH 29.01.1991, 89/04/0061).

Die Verhängung der konkreten Geldstrafe war bereits im Sinne der Spezialprävention notwendig, um den Beschuldigten in Bezug auf seine Pflichten als Verantwortliche, insbesondere die Pflicht auf rechtmäßigen Verarbeitung personenbezogenen Daten, zu sensibilisieren und von der Begehung weiterer strafbarer Handlungen gleicher Art abzuhalten. Hierbei gelangt überdies auch ins Gewicht, dass dieser trotz ordnungsgemäßer Zustellung, die erhalte Aufforderung zur Rechtfertigung unbeantwortet lies und sich scheinbar auch nach Einleitung des verwaltungsstrafrechtlichen Verfahrens vor der DSB nicht mit der Einhaltung datenschutzrechtlicher Regelungen befasste.

Die Verhängung der Geldstrafe war darüber hinaus auch im Sinne der Generalprävention erforderlich, um Verantwortliche im Hinblick auf die festgestellten Verstöße bzw. den Einsatz einer Videoüberwachungsanlage in Kraftfahrzeugen zu sensibilisieren.

Die Einkommens- und Vermögensverhältnisse konnten mangels Bekanntgabe des Beschuldigten nicht festgestellt werden, daher musste eine Schätzung in diesem Zusammenhang von der Behörde vorgenommen werden. Mangels anderer Ermittlungsergebnisse wird im vorliegenden Fall von einem durchschnittlichen Einkommen ausgegangen.

Die konkret verhängte Strafe in der Höhe von EUR 600,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) sowie unter Berücksichtigung der relevanten Strafbemessungskriterien nach Art. 83 Abs. 2 DSGVO tat- und schuldangemessen und befindet sich aufgrund des erstmaligen Verstoßes am untersten Ende des zur Verfügung stehenden Strafrahmens .

Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen.

Im Ergebnis ist die konkret verhängte Strafe für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Art. 83 Abs. 1 DSGVO. Ein (noch) niedrigerer Betrag würde diesen Kriterien einer Geldbuße nicht (mehr) gerecht werden.