K121.402/0010-DSK/2008 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. KOTSCHY, Dr. BLAHA, Dr. ROSENMAYR-KLEMENZ, Dr. STAUDIGL und Mag. HEILEGGER sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 05. Dezember 2008 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde des Alexander J*** in Wien (Beschwerdeführer) vom 24. Juni 2008 gegen die ÖBB-Infrastruktur Betrieb AG in Wien (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird entschieden:

- Die Beschwerde wird abgewiesen.

Rechtsgrundlagen: § 1 Abs. 3 Z 1, § 4 Z 1 und § 26 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF.

B e g r ü n d u n g:

A. Vorbringen der Parteien

Der Beschwerdeführer behauptet eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin seinem Begehren vom 9. April 2008 auf Auskunft über Daten zu seiner Person aus der im ÖBB-Bahnhof M*** durchgeführten Datenanwendung „Videoüberwachung“ nicht entsprochen habe. Es sei nämlich der „Trick“ angewandt worden zu behaupten, dass die Videoüberwachungsanlagen „zufällig“ nicht funktioniert hätten. Sowohl diese Anfrage als auch seine Anfrage an die ÖBB-Personenverkehr AG sowie die Anfrage eines Bekannten an dieselben Auftraggeber wären auf diese Weise beantwortet worden. Der Betreiber einer Videoüberwachungsanlage müsse wohl den Defekt glaubhaft machen (durch Rechnungen über die Reparatur, das letzte aufgenommene Bild etc.), wenn er sich darauf berufe.

Die damit konfrontierte Beschwerdegegnerin ergänzte ihre Auskunft vom 18. April 2008 mit Schreiben vom 18. August 2008, im welchem im Wesentlichen angegeben wurde, dass am 9. April 2008 in der Verkehrsstation M*** lediglich die Videoüberwachungsanlagen in den Aufzügen, nicht jedoch jene über den Bahnsteigen oder in der Bahnhofshalle in Betrieb gewesen seien, sodass keine Bilder über den Beschwerdeführer aufgezeichnet worden sein können.

Im Parteiengehör führte der Beschwerdeführer aus, dass er in diesen Angaben der Beschwerdegegnerin die Möglichkeit des Versuchs einer Umgehung des § 26 DSG 2000 erblicke. Es müsse den Menschen klar sein, wann sie tatsächlich gefilmt werden. Deshalb müsse es bei nach außen voll funktionsfähigen Anlagen am Betreiber liegen, das Nichtfunktionieren zu beweisen.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin auf das Begehren des Beschwerdeführers vom 9. April 2008 rechtmäßig Auskunft erteilt hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Der Beschwerdeführer ersuchte die Beschwerdegegnerin in seinem Auskunftsbegehren vom 9. April 2008, die verarbeiteten Daten, die Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen für die Datenanwendung bekannt zu geben. Gleichzeit verwies er auf das Löschungsverbot des § 26 Abs. 7 DSG 2000. Seiner Mitwirkung kam er mit Angaben zur Aufenthaltszeit (inkl. Fahrscheinkopie), Beschreibung seines Tuns im Überwachungsbereich sowie zu seinem Aussehen (inkl. Kleidung, Haarfarbe und Körpergröße) nach; eine Lichtbildausweiskopie diente als Identitätsnachweis.

Die Beschwerdegegnerin erteilt mit Schreiben vom 18. April 2008 folgende (wesentliche) Auskunft:

„Am *** wurde der umgebaute Bahnhof M*** neu eröffnet. Richtig ist, dass diese Verkehrsstation mit Videoüberwachungsanlagen ausgestattet wurde. Derzeit sind allerdings noch nicht alle Videoüberwachungsanlagen dieser Verkehrsstation in Betrieb, sodass uns keine Aufzeichnungen über Ihre Anwesenheit im Bahnhof M*** am 9. April 2008 im Zeitraum von 13.00 – 13.15 Uhr vorliegen.

Die Videoüberwachung in öffentlich zugänglichen Bereichen der Verkehrsstationen der ÖBB-Infrastruktur Betrieb AG erfolgt auf Grundlage eines Bescheides der Datenschutzkommission vom 12. April 2007. Die Berechtigung der ÖBB-Infrastruktur Betrieb AG zur Datenermittlung im Wege der Videoüberwachung besteht zur Gewährleistung eines sicheren Betriebes der Eisenbahn sowie zum Schutz von Personen und Sachwerten. Die aufgezeichneten Bilddaten werden nach 48 Stunden automatisch gelöscht, indem die zeitlich am längsten zurückliegenden Aufzeichnungen durch neue Bilddaten überschrieben werden. Eine Verspeicherung erfolgt ausschließlich bei dringendem Verdacht auf Vorliegen eines strafrechtlich relevanten Vorfalles und nur in dem für Beweiszwecke erforderlichen Umfang. Die Weitergabe von Videodaten erfolgt ausnahmslos an Sicherheitsbehörden, Staatsanwaltschaften oder Gerichte. …“

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Vorbringen des Beschwerdeführers in seiner Beschwerde und den Beilagen dazu.

Im Verfahren vor der Datenschutzkommission ergänzte die Beschwerdegegnerin ihre Auskunft mit Schreiben vom 18. August 2008 im Wesentlichen wie folgt:

„… In Ergänzung zu unserem Schreiben vom 18. April 2008 halten wir daher fest, dass die Verkehrsstation M*** am *** nach umfangreichen Renovierungsarbeiten neu eröffnet wurde. Im Zuge dieser Umbauarbeiten wurde die Verkehrsstation auch mit Videoüberwachungsanlagen, welche sich auf den Bahnsteigen, in der Bahnhofshalle sowie in den Aufzügen befinden, ausgestattet. Am 9. April 2008 waren ausschließlich die Videoüberwachungsanlagen in den Aufzügen in Betrieb, welche den Innenbereich dieser Aufzüge filmen, sodass kein Bildmaterial von Ihnen aufgezeichnet werden konnte. …“

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem mit Stellungnahme vom gleichen Tag an die Datenschutzkommission vorgelegten Schreiben selbst.

In einem weiteren Schreiben an den Beschwerdeführer vom 4. September 2008 wurde die Auskunft inhaltlich erneut ergänzt:

„… wir bestätigen den Erhalt Ihres Schreibens vom 21. August 2008 und erlauben uns den Hinweis, dass nach dem Bescheid der Datenschutzkommission vom 12.04.2007, GZ: BKA-K600.038- 002/0002-DVR/2007 die ÖBB-Infrastruktur Betrieb AG zur Datenanwendung „Videoüberwachung der öffentlich zugänglichen Bereiche innerhalb Verkehrsstationen der ÖBB-Infrastruktur Betrieb AG“ unter Beachtung und Einhaltung der darin verfügten Auflagen berechtigt, aber nicht verpflichtet ist.

Darüberhinaus wurde bereits wiederholt ausgeführt, dass die Videoüberwachungsanlagen in der Verkehrsstation M*** nicht „zufällig gerade nicht funktioniert haben“, sondern aufgrund der Neueröffnung dieses Bahnhofes *** noch kein Vollbetrieb der Videoüberwachungsanlagen stattgefunden hat….“

Beweiswürdigung: Das bezogene Schreiben an den Beschwerdeführer wurde der Datenschutzkommission zur Information in Kopie als Beilage zur Stellungnahme vom selben Tag übermittelt.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften:

Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.

§ 6 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Abs. 1 dieser Bestimmung lautet wie folgt:

„Auskunftsrecht

§ 26 . (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.“

§ 4 Z 1 DSG 2000 lautet:

㤠4. Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:

"Daten" ("personenbezogene Daten"): Angaben über Betroffene (Z 3), deren Identität bestimmt oder bestimmbar ist; "nur indirekt personenbezogen" sind Daten für einen Auftraggeber (Z 4), Dienstleister (Z 5) oder Empfänger einer Übermittlung (Z 12) dann, wenn der Personenbezug der Daten derart ist, daß dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;

2. rechtliche Schlussfolgerungen:

Der Beschwerdeführer wendet sich in seiner Beschwerde ausschließlich gegen die fehlende inhaltliche Auskunft über die verarbeiteten Daten. Hingegen ist sein Auskunftsersuchen über Übermittlungsempfänger, Zweck und Rechtsgrundlagen offenbar zu seiner Zufriedenheit beantwortet worden.

Die Behauptung der Beschwerdegegnerin, dass zum Zeitpunkt des Aufenthalts des Beschwerdeführers im Bahnhof M*** die Videoüberwachungsanlage (noch) nicht in Betrieb gewesen sei und dementsprechend keine Daten aufgezeichnet worden wären, wird vom Beschwerdeführer letztlich als nicht vollkommen überzeugend bezeichnet – er befürchtet „einen Trick“, mit dem die Beschwerdegegnerin sich das inhaltliche Eingehen auf die aufgezeichneten Daten ersparen wolle.

Tatsächlich ist nicht mit Sicherheit erwiesen, dass die beschwerdegegenständliche Videoüberwachung zum fraglichen Zeitpunkt nicht funktionsfähig war. Doch kann diese Frage dahingestellt bleiben, da die Datenschutzkommission davon ausgeht, dass ein inhaltliches Auskunftsrecht von Personen, die möglicherweise von einer Videoüberwachung betroffen waren, nur im Hinblick auf die im Falle einer allfälligen Auswertung von Videobildern aufgezeichneten Daten besteht. Dies aus folgenden Gründen:

Videoaufzeichnungen enthalten zunächst Daten über Personen, welchen vom Auftraggeber noch keine Identität (im Sinne eines bestimmten Namens, Geburtsdatums, etc.) zugeordnet ist. Es handelt sich um nur „bestimm bare “ Daten im Sinne des § 4 Z 1, erster Satz DSG 2000.

Hinzu kommt ein weiteres besonderes und datenschutzrechtlich äußerst relevantes Element: Solange der Auftraggeber die Videoaufzeichnungen nicht ausgewertet hat, kennt er nicht einmal die nur „bestimmbaren“ Daten – er hat sie zwar ermittelt und speichert sie in seinem „Herrschaftsbereich“ und ist daher „Auftraggeber“, darf jedoch von ihnen keine Kenntnis nehmen, es sei denn, dass ein Auswertungsanlass tatsächlich eingetreten ist, der im Registrierungsverfahren als Fall des Vorliegens eines überwiegenden berechtigten Auswertungsinteresses anerkannt wurde.

Dies ist eine außergewöhnliche Fallkonstellation, die von dem Normalfall der gemäß § 26 Abs. 1 zu beauskunftenden Datenanwendungen wesentlich verschieden ist: Der Auftraggeber einer Videoaufzeichnung weiss nicht, „zu wessen Person“ Daten gespeichert sind, und darf es auch – außer im Auswertungsanlassfall – nicht in Erfahrung bringen. Dieses Verbot steht im Konflikt zur Auskunftserteilung, da diese eine Durchsuchung der Aufzeichnungen voraussetzt, ohne dass der als „vorrangig“ anerkannte Anlass vorliegt.

Der Gesetzgeber hat in einem anderem Zusammenhang, in dem die Identität der von seiner Datenanwendung Betroffenen dem Auftraggeber ebenfalls unbekannt ist und auch nicht in Erfahrung gebracht werden darf, das Bestehen eines Auskunftsrechts verneint, und zwar im Zusammenhang mit „indirekt personenbezogenen Daten“ (§ 4 Z 1, zweiter Satz DSG 2000). „Indirekt personenbezogene Daten“ sind eine spezielle Art „bestimmbarer Daten“, bei welchen anstelle der Identifikation ein dem Auftraggeber unbekanntes Pseudonym verwendet wird und jeder Versuch einer Identifikation verboten ist. Dieses Verbot ist eine besondere Schutzmaßnahme für die Betroffenen, deren Verletzung unter Strafe gestellt ist. Den Auftraggeber durch ein Auskunftsersuchen zu zwingen, entgegen dem Sinn der Verwendung indirekt personenbezogener Daten zu versuchen – insbesondere durch Kontaktnahme mit jenem Auftraggeber, der die Daten in direkt personenbezogener Form (mit Namen) hat –, einen Datensatz einem namentlich bestimmten Betroffenen zuzuordnen und dadurch das zum Schutz des Betroffenen bestehende Identifizierungsverbot zu unterlaufen, wurde vom Gesetzgeber als so widersinnig angesehen, dass er das Bestehen eines Auskunftsrechts ausdrücklich verneint hat (siehe § 29 DSG 2000).

Die Datenschutzkommission ist der Auffassung, dass das Bestehen eines Auskunftsrechts aus nicht ausgewerteten Videoaufzeichnungen in gleicher Weise zu beurteilen ist wie dies § 29 DSG 2000 für indirekt personenbezogene Daten vornimmt:

Videoüberwachung als systematische Speicherung von Daten über Betroffene, die in einer weit überwiegenden Zahl der Fälle keinen Anlass zur Ermittlung ihrer Daten gegeben haben, da sie kein rechtswidriges Verhalten gesetzt haben, kann überhaupt nur dann als datenschutzrechtlich „erträglich“ angesehen werden, wenn gesichert ist, dass die ermittelten Daten nur ausnahmsweise benutzt und damit im Normalfall der Kenntnisnahme durch den Auftraggeber durch Auswertung der Daten nicht zugänglich gemacht werden . Das wesentlichste Schutzelement für die von einer Videoüberwachung Betroffenen liegt also darin, dass die Überwachungsdaten möglichst bald wieder gelöscht werden und im Übrigen eine Auswertung nur in jenen relativ seltenen Fällen stattfindet, die als Anlass der Auswertung von vornherein definiert und im Zuge des Registrierungsverfahrens als „überwiegend“ gegenüber den Datenschutzinteressen allfälliger Betroffener zugelassen wurden.

Es besteht somit – so wie bei der Verwendung indirekt personenbezogener Daten – ein Verbot der Identifizierung (hier: außerhalb des Auswertungsanlassfalls), das essentiell für die Zulässigkeit der Verwendung derartiger Daten ist. Ohne dieses Verbot wäre weder die Verwendung von indirekt personenbezogenen Daten noch die Vornahme von Videoüberwachung mit dem Grundrecht auf Datenschutz überhaupt vereinbar.

Angesichts dieses Verbotes, das den wichtigsten Schutz gegen den durch Videoüberwachung bewirkten erheblichen Eingriff in das Grundrecht auf Datenschutz aller Betroffenen darstellt, wäre es widersinnig anzunehmen, dass der Auftraggeber einer Videoüberwachung durch ein Auskunftsbegehren zur Umgehung seiner Verpflichtung, keine Identifizierung der gefilmten Personen vorzunehmen bzw. zu versuchen, gezwungen sein sollte. Das Bestehen einer Pflicht zur Auskunftserteilung würde in diesem Fall einen Wertungswiderspruch offenlegen, der dem Gesetzgeber nicht zugesonnen werden kann – und zwar umso mehr als er in dem nicht unähnlich gelagerten Fall der indirekt personenbezogenen Daten diesen Widerspruch dadurch ausdrücklich ausgeschlossen hat, dass er das Bestehen eines Auskunftsrechts verneint hat.

Hinzu kommt im Fall der Videoaufzeichnungen, dass die Annahme des Bestehens eines Auskunftsrechts aus nicht ausgewerteten Videoaufzeichnungen die Datenschutzrechte der übrigen Personen, die von der Aufzeichnung betroffen sind, unverhältnismäßig beeinträchtigen würde:

Bei einer Auskunft darüber, ob der Auskunftswerber Gegenstand von bestimmten Videoaufzeichnungen ist, kommt es zwar nicht notwendig zur Identifizierung aller Personen, die auf den Videobildern zu sehen sind, doch kann es zu Zufallserkennungen und Zufallsfunden kommen, die bei einer Beschränkung der Bildauswertung auf die im Rahmen des Überwachungszwecks definierten Anlassfälle nicht erfolgt wären, da ein „Anlassfall“ innerhalb der jeweiligen Löschfrist vielleicht nicht aufgetreten wäre. D. h., dass die Auswertung des Bildmaterials für Zwecke der Auskunftserteilung eine datenschutzrechtliche „Gefahr“ für alle in den Aufzeichnungen enthaltenen Personen darstellt, weil ihre Verhaltensweise erst durch die Auswertung der Videoaufzeichnungen dem Auftraggeber bekannt wird.

Auch eine Bearbeitung der Videoaufzeichnungen vor Einsichtnahme durch den Auskunftswerber in der Form, dass etwa die Gesichter der anderen Betroffenen unkenntlich gemacht werden, könnte das Problem nicht umfassend lösen, da es nicht nur darum geht, ob der Auskunftswerber Daten über andere Betroffene zur Kenntnis bekommt, sondern v.a. auch darum, dass erst durch die Auswertung für Zwecke der Auskunftserteilung der Auftraggeber die Daten der anderen Betroffenen „zur Kenntnis bekommt“ – diese Daten werden erstmals bei der Auswertung von einem Menschen (dem Organ des Auftraggebers) eingesehen und sind bis dahin dem Auftraggeber nur potentiell , nicht aber tatsächlich bekannt. Hinzu kommt, dass im vorliegenden Fall bei Annahme des Bestehens eines Auskunftsrechts durch die Beantwortung des Auskunftsbegehrens alle Betroffenen – einschließlich des Auskunftswerbers! – der Löschung der Daten nach 48 Stunden verlustig gegangen wären, obwohl die Löschung vor jeder Auswertung bei der Videoüberwachung die beste Gewähr zur Effektuierung von Geheimhaltungsrechten ist.

Die Vornahme einer Auswertung von Videoaufzeichnungen im vorliegenden Fall wurde aber weder vom Beschwerdeführer behauptet noch ist sie sonst im Zuge des Ermittlungsverfahrens hervorgekommen. Die Beschwerde war daher mangels Bestehen eines Auskunftsrechts in der beschwerdegegenständlichen Sachverhaltskonstellation abzuweisen.