TE Dsk BescheidBeschwerde 2019/7/4 DSB-D123.652/0001-DSB/2019

GZ: DSB-D123.652/0001-DSB/2019 vom 4.7.2019

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dr. Paul A*** (Beschwerdeführer) vom 22. Oktober 2018 gegen die N*** Einkaufszentrum Besitz und Betrieb AG (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt:

-    Die Beschwerde wird abgewiesen.

Rechtsgrundlagen: § 1 Abs. 1 und Abs. 2 sowie § 24 Abs. 1 und 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Mit Eingabe vom 22. Oktober 2018 (ha. eingelangt am 24. Oktober 2018) sowie seiner ergänzenden Stellungnahme vom 10. November 2018 (ha. eingelangt am 10. November 2018) behauptete der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung. Zusammengefasst verfüge das Einkaufszentrum N*** über eine Tiefgarage für Kunden und Mitarbeiter, in welcher je nach Tageszeit einige Stunden gratis geparkt werden könne. Seit einigen Wochen werde bei der Ein- und Ausfahrt das Kennzeichen elektronisch gescannt und bei jeder Ein- und Ausfahrt mit dem Datenbestand abgeglichen. Ein Hinweis sei auf einem Stehschild über der die Einfahrtstickets ausgebenden Säule beim Schranken angebracht. Auf diesem Schild seien die Tarife angegeben, ganz unten stehe der Hinweis auf die elektronische Kennzeichenerfassung. Dieses Hinweisschild sei so aufgestellt, dass man es erst lesen könne, wenn man neben der Säule stehe. Zu diesem Zeitpunkt sei die Kennzeichenerfassung aber bereits abgeschlossen. Es bestehe somit keine Möglichkeit, nach Kenntnisnahme des Hinweises die Kennzeichenerfassung abzulehnen, es werde auch keine Zustimmung eingeholt.

2. Mit Stellungnahme vom 20. Dezember 2018 brachte die Beschwerdegegnerin zusammengefasst vor, dass die H*** Garagengesellschaft GmbH & Co KG Auftragsverarbeiter sei und den Garagenbetrieb für die Beschwerdegegnerin abwickle. Die gegenständliche Verarbeitung werde auf berechtigte Interessen gestützt. Bei der Kennzeichenerfassung erfolge eine optische Bildverarbeitung, bei welcher das Kennzeichen in Textzeichen umgewandelt und in der jeweiligen Garagen-Datenbank gespeichert werde. Dies deshalb, weil manche Garagennutzer das Kennzeichen als Parkmedium verwenden. Der Garagennutzer habe den Vorteil, dass sich der Schranken von alleine öffne und keine Parkkarte bzw. kein sonstiges Parkmedium vorgezeigt werden müsse. Es werde ein rasches und effizientes Ein- und Ausfahren gewährleistet. Darüber hinaus diene die Kennzeichenerfassung auch dem Zweck, dass die vertragskonforme Garagennutzung kontrolliert werden könne. Es komme leider vor, dass die kostenlose Parknutzung für einen bestimmten Zeitraum ausgenutzt werde, indem Autos mehrmals knapp hintereinander ein- und ausfahren würden. Darüber hinaus könne mit der Kennzeichenerfassung überprüft werden, ob die Ticketnummer des Fahrzeugs an der Ausfahrt mit dem zugeordneten Kennzeichen übereinstimme. Sofern dies nicht der Fall sei, öffne der Ausfahrtsschranken nicht und es könne der mögliche Diebstahl eines Fahrzeugs verhindert werden. Die Daten würden nur zu den genannten Zwecken verarbeitet und unverzüglich gelöscht werden, sobald die Verarbeitung nicht mehr erforderlich sei. Darüber hinaus seien auch entsprechende technische und organisatorische Maßnahmen getroffen worden, um die Kennzeichen-Daten zu schützen.

3. Der Beschwerdeführer replizierte darauf – nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens – in seiner Stellungnahme vom 2. Jänner 2018 (ha. eingelangt am 4. Jänner 2019) zusammengefasst, dass sich die Beschwerde gegen die Erfassung und Verarbeitung der Kennzeichen zu anderen Zwecken als der Gewährleistung größtmöglicher Sicherheit richte. Nicht für den Sicherheitszweck erforderlich sei die laufende Verarbeitung der Kennzeichendaten samt deren Abgleich bei Ein- und Ausfahrten. Dies diene ausschließlich der Umsetzung des von der Beschwerdegegnerin eingeführten Tarifsystems. Selbst wenn man als Garagennutzer mit einer Sicherheitszwecken dienenden Videoüberwachung rechnen müsse, müsse man noch lange nicht mit einer Erfassung und Verarbeitung der Kennzeichen zwecks Tarifumsetzung rechnen. Die Erfassung und Verarbeitung von Kennzeichen zwecks Tarifumsetzung sei kein allgemein üblicher Standard. Darüber hinaus sei es naheliegend, dass ein Verstoß gegen das Koppelungsverbot gegeben sei.

B. Beschwerdegegenstand

Ausgehend vom Vorbringen des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem sie bei der Einfahrt zu ihrer Parkgarage automatisiert das Kennzeichen des Autos des Beschwerdeführers erfasst und in Folge zwecks Abwicklung des Vertrags zur Garagennutzung verwendet hat.

C. Sachverhaltsfeststellungen

1. Die H*** Garagengesellschaft GmbH & Co KG wickelt im Auftrag der Beschwerdegegnerin den Garagenbetrieb im „N*** Einkaufszentrum“ ab.

2. Bei der Einfahrt in die Parkgarage der Beschwerdegegnerin wird vor Passieren des Einfahrtsschrankens durch eine Kamera automatisiert das Kennzeichen von Autos erfasst. Aufgrund der Perspektive der Kamera kommt es nicht dazu, dass die Windschutzscheibe des jeweiligen Fahrzeugs vom Aufnahmebereich erfasst ist. Erfasst ist lediglich der untere Bereich des Fahrzeugs auf Höhe des Kennzeichens. Darüber hinaus wird das Datum sowie die Uhrzeit der Ein- und Ausfahrt erfasst.

3. Durch diesen Vorgang können Garagenbenutzer das Kennzeichen als Parkmedium verwenden, welches zur Identifizierung bei der Ein- und Ausfahrt dient. Der Schranken öffnet sich somit automatisch, ohne dass ein sonstiges Parkmedium, wie etwa eine Parkkarte, vorgewiesen werden muss. Der Vorgang ermöglicht auch die Kontrolle der vertragskonformen Garagennutzung, insbesondere die Sicherstellung, dass der Gratis-Parkzeitraum nicht überschritten wird. Darüber hinaus kann durch den Vorgang ein möglicher Autodiebstahl verhindert werden, indem der Ausfahrtsschranken dann nicht öffnet, wenn die Ticketnummer des Fahrzeugs an der Ausfahrt mit dem zugeordneten Kennzeichen nicht übereinstimmt.

4. Die erfassten Informationen werden grundsätzlich innerhalb eines Tages gelöscht. Vereinzelt kann es jedoch zu einer längeren Speicherung der Informationen kommen, wie etwa bei der Verfolgung von Rechtsverstößen.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf der Stellungnahme Beschwerdegegnerin vom 20. Dezember 2018, welche vom Beschwerdeführer insofern nicht bestritten wurden.

5. Der Beschwerdeführer nutzte zu einem nicht näher bezeichneten Zeitpunkt im Jahre 2018 die Parkgarage der Beschwerdegegnerin. Die im Rahmen dieser Nutzung erfassten Informationen des Beschwerdeführers, nämlich das Kennzeichen seines Autos sowie Datum und Uhrzeit der Nutzung, wurden lediglich zwecks Abwicklung des Nutzungsvertrags und nicht anderweitig verwendet.

6. Über der die Einfahrtstickets ausgebenden Säule beim Schranken befand sich jedenfalls zu diesem Zeitpunkt ein Stehschild, auf dem u.a. folgende Information abgebildet war (Formatierung nicht 1:1 wiedergegeben):

„Zu Ihrer Sicherheit wird die Garage videoüberwacht und alle Ein- und Ausfahrten werden mittels elektronischer Kennzeichenerfassung kontrolliert!“.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf der Eingabe des Beschwerdeführers vom 22. Oktober 2018 und auf dessen weiterer Stellungnahme vom 10. November 2018. Gleichwohl der Beschwerdeführer nicht ausdrücklich vorbringt, dass das Kennzeichen seines Autos erfasst und in Folge zwecks Abwicklung des Nutzungsvertrags verwendet wurde, ergibt sich diese Feststellung daraus, dass der Beschwerdeführer ein Foto (Nahaufnahme) der die Einfahrtstickets ausgebenden Säule sowie des darüber befindlichen Informationsschilds vorgelegt hat. Somit ist davon auszugehen, dass der Beschwerdeführer die Parkgarage der Beschwerdegegnerin zumindest einmal genutzt hat. Die Feststellung, dass die erfassten Informationen des Beschwerdeführers im konkreten Fall lediglich zwecks Abwicklung des Nutzungsvertrags verwendet wurden, ergibt sich aus den Umstand, dass der Beschwerdeführer zu keinem Zeitpunkt das Gegenteil behauptet hat und auch keine entsprechenden Anhaltspunkte dafür vorliegen.

D. In rechtlicher Hinsicht folgt daraus:

1. Zur datenschutzrechtlichen Rolle der Beschwerdegegnerin

Im gegenständlichen Fall brachte der Beschwerdeführer vor, dass die H*** Garagengesellschaft GmbH & Co KG die Garage des „N*** Einkaufszentrum“ betreibe. In weiterer Folge stellte sich jedoch heraus, dass die H*** Garagengesellschaft GmbH & Co KG die Garage (und somit auch die damit notwendigerweise verbundene Verarbeitung personenbezogener Daten, insbesondere der Garagenbenutzer) im Auftrag der Beschwerdegegnerin betreibt und daher als Auftragsverarbeiter nach Art. 4 Z 8 DSGVO zu qualifizieren ist.

Vor diesem Hintergrund war das Beschwerdeverfahren in Folge gegen die Beschwerdegegnerin als datenschutzrechtlicher Verantwortlicher nach Art. 4 Z 7 DSGVO zu führen, dem das Verhalten des Auftragsverarbeiters zugerechnet wird.

2. Zum Verhältnis zwischen Recht auf Geheimhaltung und DSGVO

Festzuhalten ist, dass im gegenständlichen Fall eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG zu überprüfen ist und sich Beschränkungen dieses Anspruchs aus Abs. 2 leg. cit., allerdings nicht aus Art. 6 Abs. 1 (bzw. Art. 9 Abs. 2 DSGVO) ergeben. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).

3. Zum schutzwürdigen Geheimhaltungsinteresse

Eine Verletzung im Recht auf Geheimhaltung setzt nach § 1 Abs. 1 DSG grundlegend voraus, dass ein schutzwürdiges Interesse an der Geheimhaltung personenbezogener Daten besteht, wobei ein solches Interesse ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Bei einem (Auto-) Kennzeichen handelt es sich nach § 49 Abs. 1 KFG 1967 um eine öffentliche Urkunde, welche nach Abs. 6 leg. cit. vollständig sichtbar am Fahrzeug angebracht sein muss. Allerdings kann im gegenständlichen Fall nicht von einem allgemein verfügbaren Datum ausgegangen werden:

Sofern solch öffentliche Daten nicht bloß reproduziert werden, sondern ein neues Element mit diesen Daten verknüpft wird – wie etwa gegenständlich die Verknüpfung des Kennzeichens mit der Uhrzeit und dem Datum, wann der Beschwerdeführer in die Parkgarage der Beschwerdegegnerin ein – und ausgefahren ist – handelt es sich bei dieser Verknüpfung um eine neue Verwendung (bzw. in der Terminologie der DSGVO: Verarbeitung gemäß Art. 4 Z 2) von Daten. Eine solche Verknüpfung bedarf stets eines Erlaubnistatbestandes (vgl. den Bescheid der DSB vom 23. April 2019, GZ DSB-D123.626/0006-DSB/2018 mwN).

4. Zur Beschränkung des Geheimhaltungsanspruchs

Nach § 1 Abs. 2 DSG sind Beschränkungen des Geheimhaltungsanspruchs nur zulässig, wenn die Verwendung personenbezogener Daten im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, bei überwiegenden berechtigten Interessen eines anderen oder bei Vorhandensein einer qualifizierten gesetzlichen Grundlage.

Im gegenständlichen Fall liegen zweifelsfrei keine lebenswichtigen Interessen des Beschwerdeführers vor.

Die Beschwerdegegnerin hat sich auch nicht auf eine Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung gemäß Art. 4 Z 11) als Erlaubnistatbestand berufen, weshalb auf das Vorbringen des Beschwerdeführers, wonach ein Verstoß gegen die in Art. 7 DSGVO postulierten Vorgaben für eine solche Zustimmung gegeben sein könnte, nicht einzugehen ist.

Die Beschwerdegegnerin stützte sich als Erlaubnistatbestand zur verfahrensgegenständlichen Verarbeitung jedoch auf berechtigte Interessen nach Art. 6 Abs. 1 lit f DSGVO, welche eine Verarbeitung auch nach § 1 Abs. 2 DSG rechtfertigen können:

5. Interessenabwägung

Es hat in weiterer Folge eine Bewertung der berechtigten Interessen des Beschwerdeführers zu erfolgen und sind diese den berechtigten Interessen der Beschwerdegegnerin sowie Dritter gegenüberzustellen. Im Rahmen dieser Interessenabwägung ist zu berücksichtigen, dass zwei kumulative Voraussetzungen gegeben sein müssen, damit sich die Beschwerdegegnerin auf diesen Erlaubnistatbestand stützen kann:

Zum einen muss die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein, zum anderen dürfen Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen (vgl. zu Art. 7 lit. f der Richtlinie 95/46/EG das Urteil des EuGH vom 24. November 2011, C-468/10 und C-469/10 [ASNEF und FECEMD] Rz. 38).

a) Interessen des Beschwerdeführers

Der Beschwerdeführer hat im vorliegenden Fall allgemein darauf abgestellt, dass die Beschwerdegegnerin sich der gegenständlichen Verarbeitung bediene, um ihre geänderten Tarifbestimmungen umzusetzen. Nähere Geheimhaltungsinteressen hat der Beschwerdeführer nicht dargelegt.

Nach Ansicht der Datenschutzbehörde ist grundsätzlich zu berücksichtigen, dass durch die automatisierte Abwicklung des Nutzungsvertrags zumindest kurzfristig die Information gespeichert war, zu welchem Datum und zu welcher Uhrzeit der Beschwerdeführer die Parkgarage der Beschwerdegegnerin benutzt hat. Allerdings wurde nicht behauptet und liegen auch keine Anhaltspunkte dafür vor, dass diese Informationen zu einem anderen Zweck als zur Abwicklung des Nutzungsvertrags verwendet worden sind.

In diesem Zusammenhang ist festzuhalten, dass die Beschwerdegegnerin entsprechende technische und organisatorische Maßnahmen getroffen, um etwaige negative Folgen der Verarbeitung auszuschließen. So beschränkt sich die gegenständliche Verarbeitung auf das notwendige zeitliche Ausmaß und wird lediglich der untere Bereich eines Fahrzeugs auf Kennzeichenhöhe aufgenommen (vgl. Art. 29-Datenschutzgruppe, Stellungnahme 06/2014 zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gemäß Artikel 7 der Richtlinie 95/46/EG, WP 217, 844/14/EN S. 43, wonach die Implementierung von Schutzmaßnahmen für eine betroffene Person dazu beitragen können, dass eine Interessenabwägung zugunsten des Verantwortlichen ausfällt).

Der Beschwerdeführer bringt in weiterer Folge vor, dass das Stehschild über der die Einfahrtstickets ausgebenden Säule, mit dem u.a. (teils) über die Verarbeitungszwecke informiert werde, erst gelesen werden könne, wenn die Kennzeichenerfassung bereits stattfinde.

Diesem Umstand ist insofern Rechnung zu tragen, als gemäß ErwGr 47 erster Satz DSGVO die vernünftige Erwartungshaltung einer betroffenen im Hinblick auf die Verwendung ihrer Daten im Rahmen einer Interessenabwägung als gewichtiger Faktor zu berücksichtigen ist (vgl. Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung Kommentar2 [2018] Art. 6 Rz 28).

Ausgehend vom Sachverhalt ist jedoch festzuhalten, dass die automatisierte Kennzeichenerfassung zwecks Abwicklung eines Nutzungsvertrags bei Parkgaragen, wenngleich man von keinem Branchenstandard ausgeht, zumindest nicht unüblich ist (vgl. den Bescheid der DSB vom 18. März 2019, GZ DSB-D196.007/0005-DSB/2019, mit welchem Verhaltensregeln gemäß Art. 40 Abs. 5 DSGVO betreffend Garagen- und Parkplatzbetriebe in Österreich inhaltlich genehmigt wurden).

a) Interessen der Beschwerdegegnerin

Die Beschwerdegegnerin führte demgegenüber ins Treffen, dass die gegenständliche Verarbeitung für Garagennutzer als Parkmedium diene und sich der Schranken von alleine öffne, ohne zusätzlich eine Parkkarte vorzeigen zu müssen und insofern ein flüssiger Verkehr gewährleistet werde. Weiters könne durch den Vorgang ein möglicher Autodiebstahl verhindert werden, indem der Ausfahrtsschranken dann nicht öffne, wenn die Ticketnummer des Fahrzeugs an der Ausfahrt mit dem zugeordneten Kennzeichen nicht übereinstimmt, wobei dies wohl nur dann der Fall sein kann, wenn die Gratis-Parkzeit überschritten wurde und am Ticketautomat eine Bezahlung notwendig ist.

Die gegenständliche Verarbeitung dient somit in erster Linie den berechtigten Interessen Dritter, wie etwa Kunden und Mitarbeiter, welche die Parkgarage der Beschwerdegegnerin benutzen (vgl. Art. 29-Datenschutzgruppe, WP 217 a.a.O. S. 45, wonach der Umstand dem betreffenden Interesse mehr Gewicht verleiht, wenn ein Verantwortlicher nicht nur im geschäftlichen Interesse handelt, sondern die Verarbeitung auch im Interesse der breiteren Öffentlichkeit liegt).

Darüber hinaus dient die Verarbeitung auch zur automatisierten Abwicklung des Vertrags zur Garagennutzung. Die Beschwerdegegnerin brachte vor, dass die Verarbeitung die Kontrolle der vertragskonformen Garagennutzung, insbesondere die Sicherstellung, dass der Gratis-Parkzeitraum nicht überschritten wird, ermögliche.

Anzuerkennen ist, dass es sich dabei um eine rasche und effiziente Methode handelt, um Kurz- und Dauernutzungsverträge durchzuführen. Zwar sind grundsätzlich Alternativen denkbar, welche mit einem geringeren Eingriff in das Grundrecht auf Geheimhaltung verbunden sind, wie etwa die Kontrolle durch einen Parkwächter, allerdings sind diese vergleichsweise mit höheren Kosten und einer geringeren Effizienz verbunden.

6. Ergebnis

Insgesamt kommt die Datenschutzbehörde daher zu dem Ergebnis, dass aufgrund der durchgeführten Interessenabwägung keine Verletzung im Recht auf Geheimhaltung vorliegt, da die berechtigten Interessen der Beschwerdegegnerin sowie Dritter (von Kunden und Mitarbeiter, welche die Parkgarage benutzen) gegenüber den dargelegten Beeinträchtigungen der berechtigten Interessen des Beschwerdeführers überwiegen iSv § 1 Abs. 2 DSG).

Die gegenständliche Verarbeitung personenbezogener Daten ist daher rechtmäßig und auch notwendig, um den angestrebten Verarbeitungszweck zu erreichen.

Es war somit spruchgemäß zu entscheiden.