Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser sowie die Hofräte Dr. Mayr und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der I GmbH, vertreten durch Dr. Erik R. Kroker, LL.M., Dr. Simon Tonini und Dr. Fabian Höss, Rechtsanwälte in Innsbruck, gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 5. September 2024, Zl. W211 2287218 1/3E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; weitere Partei: Bundesministerin für Justiz), den Beschluss gefasst:
Die Revision wird zurückgewiesen.
1 1. Mit Bescheid vom 22. Dezember 2023 untersagte die Datenschutzbehörde (belangte Behörde) der I GmbH (Revisionswerberin) gemäß Art. 58 Abs. 1 lit. b DSGVO in einem von Amts wegen eingeleiteten Prüfverfahren mit sofortiger Wirkung die Datenverarbeitung durch Videokameras (an näher bezeichneten Orten) in I. Gegenstand des Prüfverfahrens sei die Frage, ob das Videoüberwachungssystem der Verantwortlichen (Revisionswerberin) in der Innenstand von I rechtmäßig betrieben werde.
2 2. Mit dem angefochtenen Erkenntnis vom 5. September 2024 wies das Bundesverwaltungsgericht (BVwG) die dagegen erhobene Beschwerde der Revisionswerberin als unbegründet ab. Die Revision erklärte das BVwG gemäß Art. 133 Abs. 4 B VG für nicht zulässig.
3 2.1. Das BVwG legte seiner Entscheidung im Wesentlichen folgende Feststellungen zugrunde: Unternehmensgegenstand der Revisionswerberin sei (ua.) die Erhöhung der Standortattraktivität und die Belebung (insbesondere der Innenstadt) von I. Die Revisionswerberin habe ein näher bezeichnetes Unternehmen als Auftragsverarbeiterin mit der Errichtung eines videobasierten Personenzählsystems (später umgebaut zu einem Frequenzmessungssystem) zur laufenden Ermittlung der Besuchermengen auf näher bezeichneten Märkten beauftragt. Ziel der Auswertung sei es gewesen, Besucherstromanalysen für die Planung, Organisation und Durchführung von Events zu erhalten. Die Revisionswerberin betreibe dafür 27 Kameras, die kontinuierlich Bilddaten von Passant/innen erfassten und übermittelten. Die Videokameras seien nicht gekennzeichnet. Die Auftragsverarbeiterin habe ein weiteres Unternehmen (S GmbH) für die Technologie mit der Echtzeitauswertung der Videostreams beauftragt. Das aufgenommene Bildmaterial werde durch eine spezielle Software analysiert und in Textdateien umgewandelt. Jedes Bild existiere als Datenobjekt bis zu 50 Millisekunden und werde nach der Auswertung gelöscht. Die Livebilder könnten am Videosystem der Auftragsverarbeiterin sowie der S GmbH kontinuierlich betrachtet werden. Ein Zugriff auf die Livebilder müsse bei der Auftragsverarbeiterin beantragt werden. Dies werde protokolliert.
4 2.2. In seiner rechtlichen Beurteilung legte das BVwG zunächst dar, dass gegenständlich eine Verarbeitung (in Form der Erhebung bzw. Erfassung und Übermittlung) personenbezogener Daten vorliege. Auch im Fall einer Echtzeitübertragung, auf der identifizierbare Passant/innen durch Videokameras kontinuierlich erfasst würden bzw. erkennbar seien, lägen personenbezogene Daten vor. Der Personenbezug sei bereits über die Abbildung des äußeren Erscheinungsbildes einer erkennbaren Person hergestellt. Es sei auch unerheblich, ob die Echtzeitaufnahmen permanent oder nur gelegentlich zu Wartungs und Supportzwecken betrachtet würden. Der sachliche Anwendungsbereich der DSGVO sei daher eröffnet. Zudem sei die Revisionswerberin als datenschutzrechtlich Verantwortliche der gegenständlichen Datenverarbeitung gemäß Art. 4 Z 7 DSGVO anzusehen.
5 Zum Rechtfertigungsgrund des Art. 6 Abs. 1 lit. f DSGVO hielt das BVwG fest, dieser liege vor, wenn die Datenverarbeitung zur Wahrung berechtigter Interessen erforderlich sei, sofern nicht die Interessen der betroffenen Person überwiegen würden. Die von der Revisionswerberin ins Treffen geführten Marketinginteressen könnten zwar ein berechtigtes Interesse im Sinn dieser Bestimmung darstellen. Allerdings sei die konkret erfolgte Datenverarbeitung nicht erforderlich gewesen und der Grundsatz der Datenminimierung nicht eingehalten worden. Gemäß näher zitierter Rechtsprechung des Gerichtshofes der Europäischen Union (EuGH) habe sich die Datenverarbeitung auf das absolut Notwendige zu beschränken. Das Bestehen von 27 kontinuierlich live übertragenden Kameras, mit denen alle Zugänge zu drei zentralen Orten in I großflächig erfasst würden, sei exzessiv. In diesem Zusammenhang sei auch die fehlende Kennzeichnung der bzw. Information über die Videoüberwachung zu beachten. Der Revisionswerberin stünden weniger eingriffsintensive Zähltechniken zur Verfügung. Die Datenverarbeitung sei auch als unverhältnismäßig anzusehen. Die hier gegenständlichen 27 Videokameras, die Livebilder über das Kommen und Gehen aller Passant/innen an drei zentralen Orten in I erfassten, stellten einen massiven Eingriff in das Grundrecht auf Datenschutz dar, zumal damit tiefgreifende Einblicke in alltägliche Lebenssachverhalte ermöglicht würden. Dies sei für die von der Revisionswerberin geltend gemachten Marketingzwecke unverhältnismäßig, zumal Passant/innen davon ausgehen dürften, in öffentlich zugänglichen Bereichen, die für Erholungs und Freizeitaktivitäten genützt würden, nicht dauerhaft überwacht zu werden.
6Im Hinblick auf die erhebliche Eingriffsintensität und die im Vergleich dazu weniger bedeutsamen Nachteile einer Einstellung der Datenverarbeitung sei die Verhängung eines Verarbeitungsverbotes gemäß Art. 58 Abs. 1 lit. f DSGVO gerechtfertigt. Der von der Revisionswerberin geltend gemachten Maßgeblichkeit des § 7 Abs. 1 Z 3 DSG (Privilegierung der Datenverarbeitung für [ua.] statistische Zwecke, wenn die Daten für den datenschutzrechtlich Verantwortlichen pseudonymisierte personenbezogene Daten sind und der Verantwortliche die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann) hielt das BVwG entgegen, dass die verwendeten Daten für die Revisionswerberin durch das Livebild in Echtzeit eben keine pseudonymisierten Daten darstellen könnten, weil bereits durch die Betrachtung des Livebildes eine allfällige Identifizierung durchgeführt werden könnte. Abschließend legte das BVwG dar, eine mündliche Verhandlung habe unterbleiben können, weil der Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde geklärt und nicht ergänzungsbedürftig und ausschließlich über Rechtsfragen abzusprechen gewesen sei.
7 3. Gegen dieses Erkenntnis richtet sich die vorliegende außerordentliche Revision.
8 4. Nach Art. 133 Abs. 4 B VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
9Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Art. 133 Abs. 4 B VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.
10Nach § 34 Abs. 1a VwGG ist die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 BVG vom Verwaltungsgerichtshof im Rahmen der dafür in der Revision vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen.
11 5.1.Die Revisionswerberin bringt zur Zulässigkeit ihrer Revision zum einen vor, es stelle sich die Frage der Tragweite des Ausnahmetatbestandes des § 7 Abs. 1 Z 3 DSG für die Datenverarbeitung zu statistischen Zwecken sowie die Frage, ob „das Tatbestandsmerkmal der Pseudonymisierung (auch) durch eine dem Regelungszweck zumindest gleichkommende unverzügliche Löschung und damit Anonymisierung des für die Auswertung herangezogenen Datenmaterials erfüllt“ werden könne. Zu den Voraussetzungen des § 7 Abs. 1 Z 3 DSG gebe es keine Rechtsprechung des Verwaltungsgerichtshofes.
12 Des Weiteren habe das BVwG die Voraussetzungen der Pseudonymisierung und der Identifizierbarkeit grob unrichtig beurteilt, weil eine Speicherung der Bilddaten gerade nicht stattfinde und auch keine allgemeine Zugänglichkeit zu den Daten aus den Livestreams (abseits der eigens zu beantragenden Freischaltung zu Supportzwecken) gegeben sei.
13 5.2.Vorauszuschicken ist zunächst, dass mit dem bloßen Verweis auf fehlende Rechtsprechung des Verwaltungsgerichtshofes zu einer näher bezeichneten Verwaltungsvorschrift (hier zu § 7 Abs. 1 Z 3 DSG) nicht dargelegt wird, dass eine Rechtsfrage von grundsätzlicher Bedeutung im Rahmen der Entscheidung über die Revision zu lösen wäre (vgl. VwGH 22.11.2022, Ra 2019/04/0003, Rn. 19, mwN).
14 Soweit die Revisionswerberin mit ihrem Vorbringen zur (ihrer Ansicht nach) grob unrichtigen Beurteilung der Identifizierbarkeit das Vorliegen personenbezogener Daten in Frage stellt, ist dem entgegenzuhalten, dass schon nach der Definition des Art. 4 Z 14 DSGVO Gesichtsbilder als biometrische und damit besondere personenbezogene Daten angesehen werden, welche die eindeutige Identifizierung natürlicher Personen ermöglichen oder bestätigen (vgl. auch EuGH 30.3.2023, C 34/21, Hauptpersonalrat der Lehrerinnen und Lehrer , Rn. 37, wonach die Verarbeitung personenbezogener Daten von Lehrkräften beim [dort gegenständlichen] VideokonferenzLivestream in den sachlichen Anwendungsbereich der DSGVO fällt; vgl. weiters VwGH 12.9.2016, Ro 2015/04/0011, Rn. 14, wonach schon nach dem Konzept des [vormaligen] DSG 2000 auch die [weniger eingriffsintensive] Echtzeitüberwachung eine Datenanwendung darstellte).
15 Zur Pseudonymisierung kann auf die Definition des Art. 4 Z 5 DSGVO verwiesen werden (vgl. auch EuGH 5.12.2023, C 683/21, Nacionalinis visuomenės sveikatos centras, Rn. 58, wonach einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, als Informationen über eine identifizierbare natürliche Person betrachtet werden sollten, für die die Grundsätze des Datenschutzes gelten). Dass die hier gegenständlichen Aufnahmen (im Zeitpunkt der Echtzeitüberwachung) eine Identifizierbarkeit natürlicher Personen ermöglichen, kann nach dem oben Gesagten nicht verneint werden. Dass die Daten nur für einen minimalen Zeitraum gespeichert und dann gelöscht werden, kann zwar für die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO eine Rolle spielen (siehe dazu sogleich Rn. 18), ist aber für das Vorliegen des in § 7 Abs. 1 Z 3 DSG enthaltenen Tatbestandsmerkmals der pseudonymisierten personenbezogenen Daten nicht maßgeblich.
16 6.1. Zum anderen bringt die Revisionswerberin vor, das BVwG habe sich bei der Interessenabwägung gemäß Art. 6 Abs. 1 lit. f DSGVO mit der Frage der Pseudonymisierung sowie dem Umstand, dass der Vorgang bis zur Löschung der Daten weniger als 50 Millisekunden betrage, nicht auseinandergesetzt. Daraus ergebe sich entgegen der Annahme des BVwG eine geringe Eingriffsintensität. Somit erweise sich die Interessenabwägung als grob unrichtig.
17 6.2.Zu diesem Vorbringen genügt folgender Hinweis: Nach Art. 6 Abs. 1 lit. f DSGVO ist die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig: erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (vgl. etwa VwGH 17.5.2024, Ro 2022/04/0026, Rn. 16, mwN).
18Der Verwaltungsgerichtshof hat zwar bereits anerkannt, dass zu den konkreten Umständen der Videoüberwachung, die im Rahmen der Interessenabwägung zu berücksichtigen sind, (ua.) der räumliche und zeitliche Umfang der Videoüberwachung, die Frage, ob die Videoüberwachung auf bestimmte Bereiche begrenzt ist, die Form der Beobachtung (zB Echtzeitüberwachung bzw. Speicherung der Aufnahmen) sowie die Frage der Zugriffsbeschränkungen oder der Speicherdauer zählen (vgl. VwGH 22.10.2025, Ra 2023/04/0075, Rn. 50, mwN).
19 Im vorliegenden Fall hat das BVwG aber bereits das Vorliegen der zweiten Voraussetzung nämlich der Erforderlichkeit mit näherer Begründung verneint. Zu dieser Beurteilung wird im Zulässigkeitsvorbringen keine grundsätzliche Rechtsfrage ins Treffen geführt. Da für eine Rechtfertigung einer Datenverarbeitung gemäß Art. 6 Abs. 1 lit. f DSGVO die drei genannten Voraussetzungen kumulativ vorliegen müssen, kommt es im Fall einer Verneinung der Erforderlichkeit auf die Frage des Überwiegens der Interessen nicht mehr entscheidungswesentlich an. Zur Lösung theoretischer Rechtsfragen ist der Verwaltungsgerichtshof gemäß Art. 133 Abs. 4 BVG aber nicht befugt, sondern nur solcher, von deren Lösung der Erfolg der Revision tatsächlich abhängt (vgl. etwa VwGH 10.12.2025, Ro 2023/04/0021, Rn. 22, mwN).
20 7. In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinn des Art. 133 Abs. 4 B VG grundsätzliche Bedeutung zukäme.
21Die Revision war daher gemäß § 34 Abs. 1 VwGG zurückzuweisen.
Wien, am 11. März 2026
Rückverweise
Keine Ergebnisse gefunden
RIS