K600.055-001/0002-DVR/2008 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER, Mag. HUTTERER und Dr. STAUDIGL sowie der Schriftführerin Mag. FRITZ in ihrer Sitzung vom 20. Juni 2008 folgenden Beschluss gefasst:

S p r u c h

Unter Zugrundelegung der im Mängelrügeverfahren nach § 20 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, verbesserten Registrierungsmeldung des Schulleiters der Schule G*** vom 27. Februar 2008 betreffend die Datenanwendung „Videoüberwachung zum Zwecke des Eigentumsschutzes bzw. zum Zweck der Vorbeugung strafrechtsrelevanter Tatbestände des/der Schüler und Schülerinnen der Schule G*** mit ausschließlicher Auswertung in dem durch die Zweckbezeichnung definierten Anlassfall“ wird die Registrierung dieser Datenanwendung

I. für den Bereich der im Schulgebäude befindlichen Garderoben gemäß § 7 Abs. 1 DSG 2000 abgelehnt,

II. für den außerhalb des Schulgebäudes befindlichen Fahrradabstellplatz jedoch gemäß § 21 Abs. 2 DSG 2000 für den Zeitraum bis zum 1. Jänner 2011 unter Erteilung folgender Auflagen verfügt:

B e g r ü n d u n g

A. Vorbringen und Sachverhalt:

Der Schulleiter der Schule G*** hat mit Meldung vom 27. Februar 2008 die Registrierung von „Videoüberwachung zum Zwecke des Eigentumsschutzes (bzw. zum Zwecke der Vorbeugung strafrechtsrelevanter Tatbestände des/der Schüler und Schülerinnen der Schule G*** mit ausschließlicher Auswertung in dem durch die Zweckbezeichnung definierten Anlassfall“ beantragt. Es sollen die Schülergarderoben (Garderoben zum An- und Ausziehen von Überkleidung und Schuhen) sowie der Fahrradabstellplatz (für Schülerfahrräder) überwacht werden. Als Begründung für die Notwendigkeit der Einführung von Videoüberwachung wird angegeben, dass an den von der Meldung umfassten Orten immer wieder Vandalismusschäden und Diebstähle verzeichnet worden seien und Videoüberwachung als geeignetes Mittel für die Prävention und Aufklärung solcher Vorkommnisse angesehen werde.

Zur Verbesserung aufgefordert brachte der Antragsteller im Wesentlichen vor, die Garderobe würde gemeinsam mit der Schule H*** genützt. Durch die Ein- und Ausgänge dieser Garderobe könnten schulfremde Personen in diese gelangen. Da es sich dabei um Fluchtwege handle, sei ein Versperren derselben nicht möglich. Überdies erfolge der Zugang zur Schulausspeisung an diesen unversperrten Fluchtwegen vorbei.

Die Kamera im Bereich für jedermann zugänglichen Fahrradabstellplatz sei bereits installiert. Öffentliches Gut sei ca. 6 m entfernt und werde keinesfalls erfasst. Auch werde nicht der gesamte Bereich des Fahrradabstellplatzes erfasst.

Zu Vorfällen befragt, wurde keine Statistik rückgemeldet, sondern Vorfälle, die nach Erinnerung den Schülerinnen und Schülern im Gedächtnis geblieben seien. Es handle sich um Brandstiftungs-, Diebstahls- bzw. Vandalismusfälle.

Die Aufzeichnungsdauer betrage 7 Tage (= 5 Schultage), danach werde automatisch überschrieben. Dies scheine deshalb sinnvoll, weil sich Schülerinnen und Schüler meist nicht sofort melden würden und auch dann noch Zeit gegeben werden müsse, die Umstände genauer zu klären.

Das Vorbringen der Antragsteller wird zum Sachverhalt erhoben.

B. In rechtlicher Hinsicht folgt daraus:

1. Anzuwendende Rechtsvorschriften

Gemäß § 4 Z 4 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, sind „Auftraggeber“ natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten für einen bestimmten Zweck zu verarbeiten (Z 9), und zwar unabhängig davon, ob sie die Verarbeitung selbst durchführen oder hiezu einen anderen heranziehen. Als Auftraggeber gelten die genannten Personen, Personengemeinschaften und Einrichtungen auch dann, wenn sie einem anderen Daten zur Herstellung eines von ihnen aufgetragenen Werkes überlassen und der Auftragnehmer die Entscheidung trifft, diese Daten zu verarbeiten. Wurde jedoch dem Auftragnehmer anläßlich der Auftragserteilung die Verarbeitung der überlassenen Daten ausdrücklich untersagt oder hat der Auftragnehmer die Entscheidung über die Art und Weise der Verwendung, insbesondere die Vornahme einer Verarbeitung der überlassenen Daten, auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß § 6 Abs. 4 eigenverantwortlich zu treffen, so gilt der mit der Herstellung des Werkes Betraute als datenschutzrechtlicher Auftraggeber.

§ 7 Abs. 1 DSG 2000 lautet unter der Überschrift „Zulässigkeit der Verwendung von Daten“:

„§ 7. (1) Daten dürfen nur verarbeitet werden, soweit Zweck und Inhalt der Datenanwendung von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des jeweiligen Auftraggebers gedeckt sind und die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nicht verletzen.“

§ 17 Abs. 1 DSG 2000, lautet unter der Überschrift „Meldepflicht des Auftraggebers“:

„§ 17. (1) Jeder Auftraggeber hat, soweit in den Abs. 2 und 3 nicht anderes bestimmt ist, vor Aufnahme einer Datenanwendung eine Meldung an die Datenschutzkommission mit dem in § 19 festgelegten Inhalt zum Zweck der Registrierung im Datenverarbeitungsregister zu erstatten. Diese Meldepflicht gilt auch für Umstände, die nachträglich die Unrichtigkeit und Unvollständigkeit einer Meldung bewirken.“

Die §§ 20 und 21 DSG 2000 lauten wie folgt:

„Prüfungs- und Verbesserungsverfahren

§ 20. (1) Die Datenschutzkommission hat alle Meldungen binnen zwei Monaten zu prüfen. Kommt sie hiebei zur Auffassung, daß eine Meldung im Sinne des § 19 Abs. 3 mangelhaft ist, so ist dem Auftraggeber längstens innerhalb von zwei Monaten nach Einlangen der Meldung die Verbesserung des Mangels unter Setzung einer Frist aufzutragen.

(2) Liegt wegen wesentlicher Gefährdung schutzwürdiger Geheimhaltungsinteressen der Betroffenen durch die gemeldete Datenanwendung Gefahr im Verzug vor, so hat die Datenschutzkommission die Weiterführung der Datenanwendung mit Bescheid gemäß § 57 Abs. 1 AVG vorläufig zu untersagen.

(3) Bei Datenanwendungen, die gemäß § 18 Abs. 2 der Vorabkontrolle unterliegen, ist gleichzeitig mit einem allfälligen Auftrag zur Verbesserung darüber abzusprechen, ob die Verarbeitung bereits aufgenommen werden darf oder ob dies mangels Nachweises ausreichender Rechtsgrundlagen für die gemeldete Datenanwendung nicht zulässig ist.

(4) Wird einem Verbesserungsauftrag nicht fristgerecht entsprochen, so hat die Datenschutzkommission die Registrierung mit Bescheid abzulehnen; andernfalls gilt die Meldung als ursprünglich richtig eingebracht.

(5) Wird innerhalb von zwei Monaten nach Erstattung der Meldung kein Auftrag zur Verbesserung erteilt, gilt die Meldepflicht als erfüllt. Bei Datenanwendungen, die der Vorabkontrolle gemäß § 18 Abs. 2 unterliegen, darf die Verarbeitung aufgenommen werden.

(6) Im Registrierungsverfahren haben Auftraggeber des öffentlichen Bereichs auch hinsichtlich der Datenanwendungen, die sie in Vollziehung der Gesetze durchführen, Parteistellung.

Registrierung

§ 21. (1) Meldungen gemäß § 19 sind in das Datenverarbeitungsregister einzutragen, wenn

1. das Prüfungsverfahren die Zulässigkeit der Registrierung ergeben hat oder

2. zwei Monate nach Einlangung der Meldung bei der Datenschutzkommission verstrichen sind, ohne daß ein Verbesserungsauftrag gemäß § 20 Abs. 1 erteilt wurde oder

3. der Auftraggeber die verlangten Verbesserungen fristgerecht vorgenommen hat.

Die in der Meldung enthaltenen Angaben über Datensicherheitsmaßnahmen sind im Register nicht ersichtlich zu machen.

(2) Bei Datenanwendungen, die gemäß § 18 Abs. 2 der Vorabkontrolle unterliegen, können auf Grund der Ergebnisse des Prüfungsverfahrens dem Auftraggeber Auflagen für die Vornahme der Datenanwendung durch Bescheid erteilt werden, soweit dies zur Wahrung der durch dieses Bundesgesetz geschützten Interessen der Betroffenen notwendig ist.

(3) Dem Auftraggeber ist die Durchführung der Registrierung schriftlich in Form eines Registerauszuges mitzuteilen.

(4) Jedem Auftraggeber ist bei der erstmaligen Registrierung eine Registernummer zuzuteilen.“

§ 51 Schulunterrichtsgesetz (SchUG), BGBl. Nr. 472/1986 idgF, lautet wie folgt:

„§ 51. (1) Der Lehrer hat das Recht und die Pflicht, an der Gestaltung des Schullebens mitzuwirken. Seine Hauptaufgabe ist die dem § 17 entsprechende Unterrichts- und Erziehungsarbeit. Er hat den Unterricht sorgfältig vorzubereiten.

(2) Außer den ihm obliegenden unterrichtlichen, erzieherischen und administrativen Aufgaben hat der Lehrer erforderlichenfalls die Funktionen eines Klassenvorstandes, Werkstätten- oder Bauhofleiters, Kustos, Fachkoordinators sowie eines Mitgliedes einer Prüfungskommission zu übernehmen, an den Lehrerkonferenzen teilzunehmen und erforderliche Fort- und Weiterbildungsangebote zu besuchen.

(3) Der Lehrer hat nach der jeweiligen Diensteinteilung die Schüler in der Schule auch 15 Minuten vor Beginn des Unterrichtes, in den Unterrichtspausen - ausgenommen die zwischen dem Vormittags- und dem Nachmittagsunterricht liegende Zeit - und unmittelbar nach Beendigung des Unterrichtes beim Verlassen der Schule sowie bei allen Schulveranstaltungen und schulbezogenen Veranstaltungen innerhalb und außerhalb des Schulhauses zu beaufsichtigen, soweit dies nach dem Alter und der geistigen Reife der Schüler erforderlich ist. Hiebei hat er insbesondere auf die körperliche Sicherheit und auf die Gesundheit der Schüler zu achten und Gefahren nach Kräften abzuwehren. Dies gilt sinngemäß für den Betreuungsteil an ganztägigen Schulformen, wobei an die Stelle des Unterrichtes der Betreuungsteil tritt.“

2. rechtliche Schlussfolgerungen

a. Allgemeines:

a.1 Die Datenschutzkommission geht in ständiger Entscheidungspraxis davon aus, dass Videoüberwachung für hoheitliche Zwecke ausschließlich aufgrund einer ausdrücklichen, hinreichend determinierten gesetzlichen Ermächtigung zulässig ist. Videoüberwachung öffentlicher Stellen im Rahmen privatwirtschaftlicher Tätigkeiten für Zwecke des Eigenschutzes oder Verantwortungsschutzes ist hingegen u.U. auch ohne ausdrückliche gesetzliche Ermächtigung zulässig, wenn sie als Antwort auf spezielle Gefährdungssituationen vom Hausrechtsberechtigten unter Beachtung des Verhältnismäßigkeitsgrundsatzes vorgenommen wird. Die Beschränkung auf spezielle Gefährdungssituationen ergibt sich aus der Abwägung, die zwischen den Interessen der Zutrittsberechtigten am nicht überwachten Zutritt (Grundrecht auf Datenschutz) und des Hausrechtsberechtigten an der Verhinderung von Straftaten wie Vandalismus oder Diebstahl vorzunehmen war: Ist an einem Ort eine spezielle Gefährdungssituation gegeben, so ist ein überwiegendes berechtigtes Interesse an Überwachung anzuerkennen, das auch die Einrichtung von Videoüberwachung umfasst, sofern dieses Mittel in concreto zum Schutz vor der Gefährdung geeignet und verhältnismäßig ist.

a.2 Die Hintanhaltung von Gefährdung der Schüler durch andere Schüler innerhalb der Schule ist Teil der Aufsichtspflicht, die den Lehrkräften durch § 51 Abs. 3 Schulunterrichtsgesetz (SchUG) übertragen und Teil der von den Schulen zu leistenden Erziehungsarbeit ist.

Der Einsatz von technischen Überwachungsmaßnahmen im Rahmen der schulischen Unterrichts- und Erziehungsarbeit wäre als Überwachungsmaßnahme zur gesetzlichen Aufgabenbesorgung vom strengen Gesetzesvorbehalt des § 1 Abs. 2 DSG 2000 für „Eingriffe staatlicher Behörden“ mit umfasst. Der Einsatz von Videoüberwachung ist daher in diesem Bereich nicht zulässig, da eine ausdrückliche gesetzliche Ermächtigung hiezu fehlt.

a.3 Anders wäre freilich Videoüberwachung in Schulen außerhalb der Unterrichtszeit zu beurteilen: Videoüberwachung zum Schutz vor Vandalismus oder Eigentumsdelikten innerhalb des Schulgebäudes etwa während der Nachtstunden wäre als Ausübung des Hausrechts und somit als privatwirtschaftliche Tätigkeit zu werten, die dann keine besonderen datenschutzrechtlichen Probleme aufwirft, wenn im Überwachungszeitraum der Zutritt zum Schulgebäude überhaupt untersagt ist, sodass keine berechtigten Datenschutzinteressen durch Videoüberwachung verletzt werden können (-wobei vorausgesetzt ist, dass die wenigen in diesem Zeitraum dennoch zutrittsberechtigten Personen, wie etwa der Schulwart oder der Direktor, ihrer allfälligen Erfassung durch Videoüberwachung zugestimmt haben).

b. Zum vorliegenden Antrag:

b.1 Zur Auftraggebereigenschaft der Antragsteller:

Die datenschutzrechtliche Auftraggebereigenschaft ergibt sich gemäß § 4 Z 4 erster Satz DSG 2000 aus der Entscheidung, personenbezogene Daten verarbeiten zu wollen – derjenige, der diese Entscheidung trifft, ist Auftraggeber im datenschutzrechtlichen Sinn.

Ob er diese Entscheidung berechtigter maßen trifft, ist eine gesondert zu beurteilende Frage.

Gemäß § 4 Z 4 DSG 2000 ist die Auftraggebereigenschaft im öffentlichen Bereich nicht an die Eigenschaft als juristische Person des öffentlichen Rechts gebunden. Vielmehr können auch alle Organe von Gebietskörperschaften und sogar die Geschäftsapparate solcher Organe die Eigenschaft eines Auftraggebers in Anspruch nehmen. Als „Organ“ einer Gebietskörperschaft kann hiebei jede öffentliche Stelle gesehen werden, die Zurechnungspunkt gesetzlicher Aufgaben ist. Im Bereich der Schulen, die selbst nur unselbständige Anstalten sind, erfüllt diese Voraussetzungen der Schulleiter, der etwa im Schulunterrichtsgesetz 1986 als entscheidungsbefugtes Organ auf Ebene der einzelnen Schule benannt ist.

Der vorliegende Antrag war daher als Antrag des Schulleiters zu sehen.

b.2 Videoüberwachung im Garderobenbereich:

In den Anträgen wurden zahlreiche Vorkommnisse im Bereich der Schülergarderobe als Anlass für die Einführung von Videoüberwachung angeführt – es handelt sich um den Diebstahl von Computerspielen, Kleidungsstücken, Schulsachen, Geldbeträgen etc. und Beschädigungen (Zerschneiden, Anzünden) von Kleidungsstücken etc.

Der Antragsteller hat zu dieser Frage ausgeführt, dass sich im Zusammenhang mit der Schulausspeisung regelmäßig auch zahlreiche schulfremde Personen im Schulgebäude aufhalten, da dieses auch die Schulausspeisung für alle Schüler und Lehrer der G*** und H*** Schule, der Lebenshilfe G***, der Kindergärten und der Mitarbeiter der Gemeinde beherbergt. Weiters befände sich auch der Hort der Stadt G*** im Schulgebäude.

Soweit für die geschilderten Vorkommnisse Schüler verantwortlich sind, ist darauf zu verweisen, dass die Steuerung des in der Schule von Schülern gesetzten Verhaltens Teil der gesetzlichen Aufgabe „Aufsicht“ ist, weshalb der Einsatz von Videoüberwachung ohne ausdrückliche gesetzliche Grundlage nicht zulässig ist.

Videoüberwachung zum Verantwortungsschutz gegenüber Schulfremden wäre hingegen als Ausübung des Hausrechts durch die Schule bzw. ihre Organe im Rahmen der Privatwirtschaftsverwaltung denkmöglicherweise auch ohne besondere gesetzliche Grundlage zulässig. Da Videoüberwachung in Schulgarderoben jedoch nicht nur gefiltert hinsichtlich der Schulfremden vorgenommen werden kann, sondern auch alle Schüler treffen würde, muss sie – mangels Trennbarkeit – insgesamt als unzulässig gewertet werden. Im Übrigen wäre zu erwägen, ob nicht ein gelinderes Mittel, wie Zutrittssperren zum Garderobebereich für Schulfremde und gesonderte Eingänge zum Schulausspeisungsbereich eingerichtet werden könnten, wenn überhaupt davon auszugehen ist, dass Schulfremde die wesentliche Gefährdungsquelle darstellen.

Die Registrierung für diesen Bereich war somit abzulehnen.

b.3 Videoüberwachung des Fahrradabstellplatzes:

Der Fahrradabstellplatz befindet sich zwar auf dem Schulgelände, ist aber für jedermann vom Straßenbereich aus unmittelbar zugänglich. Angesichts des Umstands, dass somit grundsätzlich jedermann zu diesem Bereich zutrittsberechtigt ist, überwiegt hinsichtlich einer Kontrolle dieses Bereichs die Rolle der Schule als Hausrechtsberechtigter gegenüber der Rolle als Erziehungsinstitution im Sinne des SchuG. Die Videoüberwachung dieses Bereichs wird daher als privatwirtschaftliche Tätigkeit des Hausrechtsberechtigten zu werten sein, deren Zulässigkeit wie oben unter a.1. dargestellt zu beurteilen ist.

Im Antrag wurden mehrere Fälle von Vandalismus, z.T. mit echter Gefährdung der Fahrradbenutzer (Bremsen bei einem Fahrrad beschädigt bzw. in zwei Fällen untauglich gemacht) angeführt. Angesichts dieser Vorkommnisse ist davon auszugehen, dass die Videoüberwachung des Abstellplatzes für Beförderungsmittel durch ein überwiegendes berechtigtes Interesse des Hausrechtsberechtigten im Hinblick auf den ihm obliegenden Verantwortungsschutz gerechtfertigt ist und auch nicht unverhältnismäßig in die Persönlichkeitssphäre der Benutzer dieses Bereichs eingreift, sodass die Registrierung diesbezüglich zu verfügen war.

Es waren allerdings mehrere Auflagen zu erteilen: Für die Überwachung des Fahrradabstellplatzes ist nach Ansicht der Datenschutzkommission eine Aufzeichnungsdauer von 72 Stunden ausreichend. Wenn der Antragsteller meint, damit würden Aufklärungen verhindert werden, so ist dem entgegen zu halten, dass die Vorfälle selbst, derentwegen die Videoüberwachung durchgeführt wird, von dieser Speicherfrist nicht erfasst sind. Entsprechendes Bildmaterial kann zur Klärung und Weitergabe an die Sicherheitsbehörden aufbewahrt werden. Dementsprechend war Auflage 1 zu erteilen.

Zwar gibt der Antragsteller an, mit der Kamera nur nichtöffentliches Gut zu erfassen, doch zeigt ein dem Verbesserungsschreiben beigelegtes Foto, dass neben dem Fahrradabstellplatz auch der Parkplatz der Schule und Teile der öffentlichen Straße (erkennbar im Hintergrund) mit erfasst werden. Im Übrigen wird – durch den Antragsteller bestätigt – gar nicht der gesamte Fahrradabstellplatz erfasst. Somit werden Bereiche aufgezeichnet, für die gar kein Antrag vorliegt – dies lässt sich durch Drehen der Kamera und möglichst ausschließliches Erfassen des Fahrradabstellplatzes beseitigen. So ist Auflage 2 zu verstehen.

Die Auswertung der gespeicherten Daten ist nur in jenen Fällen gestattet, die nach den definierten Zwecken „Eigenschutz“ (betreffend den Antragsteller) und „Verantwortungsschutz“ (betreffend die Schülerinnen und Schüler) relevant sind (Auflage 4). Mit der Auswertung dürfen nur besonders ausgewählte und instruierte Personen beauftragt werden (Auflage 5).

Schließlich wird auf die Informationspflicht des § 24 DSG 2000 hingewiesen.