TE Bvwg Erkenntnis 2019/11/25 W211 2210458-1

W211 2210458-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Mag.a Gerda HEILEGGER und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde des XXXX , vertreten durch XXXX , gegen das Straferkenntnis der Datenschutzbehörde vom XXXX , nach Durchführung einer mündlichen Verhandlung zu Recht:

A)

I. Der Beschwerde wird hinsichtlich des Ausspruches über die verhängte Strafe teilweise stattgegeben, und die verhängte Geldstrafe wird auf gesamt 1.500 € (Ersatzfreiheitsstrafe 4 Tage) reduziert; korrespondierend dazu reduziert sich der Beitrag zu den Kosten des Strafverfahrens vor der belangten Behörde gemäß § 64 VStG auf 150 €.

II. Die verletzten Verwaltungsvorschriften lauten:

Zu 1): Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 der DSGVO

Zu 2):

a) § 50b Abs. 2 DSG 2000 (für den Zeitraum vor dem 25. Mai 2018)

b) Art. 5 Abs. 1 lit. e und Art. 6 Abs. 1 lit f DSGVO (für den Zeitraum ab dem 25. Mai 2018)

Zu 3):

a) § 50d Abs. 1 DSG 2000 (für den Zeitraum vor dem 25. Mai 2018)

b) Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 DSGVO (für den Zeitraum ab dem 25. Mai 2018)

III. Die verletzten Strafnormen lauten:

Zu 1): Art. 83 Abs. 5 lit. a DSGVO

Zu 2a): § 52 Abs. 2 Z 7 DSG 2000 iVm § 69 Abs. 5 DSG

Zu 2b): Art. 83 Abs. 5 lit. a DSGVO

Zu 3a): § 52 Abs. 2 Z 4 DSG 2000 iVm § 69 Abs. 5 DSG

Zu 3b): Art. 83 Abs. 5 lit. a DSGVO

iVm § 16 VStG

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

ENTSCHEIDUNGSGRÜNDE

I. Verfahrensgang

1. Mit Beschwerde vom XXXX .2018 gaben S.Z., Inhaberin eines Kebab-Standes, und der Beschwerdeführer, ein Mitarbeiter, bei der BH

XXXX zu Protokoll, dass sie von einem näher genannten Polizeiinspektor schikaniert würden. Zur Unterstützung der Beschwerde wurden zwei Videos vorgelegt, die Einsätze des Polizeiinspektors zeigen sollten. Es sei auch angegeben worden, dass um 2.500 € eine Kamera installiert worden sei, um zu beweisen, was jener Polizeiinspektor treibe.

Aus einer Sachverhaltsdarstellung der LPD XXXX vom XXXX 2018 geht hervor, dass S.Z. als Inhaberin eines Kebab Standes eine Videokamera an einem Container installiert habe, die nicht gemeldet und auch nicht gekennzeichnet sei.

Aus einer weiteren Sachverhaltsdarstellung vom XXXX 2018 geht außerdem hervor, dass bei einer Überprüfung am XXXX 2018 eine Videoanlage in Betrieb gewesen sei, die im Jänner 2018 vom Beschwerdeführer gekauft und montiert worden sei. Die Echtzeitaufnahmen würden auf einer Festplatte aufgezeichnet und nach 15 Tagen gelöscht werden. Eine Kamera weise eine Einstellung auf, die über die XXXX bis zu einer Tankstelle reichen würde. Hinweisschilder seien keine angebracht gewesen. Der Sachverhaltsdarstellung waren Fotos beigelegt.

Am XXXX 2018 führte die BH XXXX eine Zeugenvernehmung des Polizeiinspektors XXXX durch, der zusammengefasst und soweit wesentlich angab, dass es beim Kebab Stand drei Kameras gebe, zwei seien im Innenraum und eine an einem Lagercontainer installiert. In dem Container befinde sich auch ein PC, auf dem die Bilder der Kameras in Echtzeit angezeigt und nach Angaben des Beschwerdeführers bis zu 16 Tage gespeichert würden. Die Kamera draußen filme bis zur Waschanlage der Tankstelle, während die anderen beiden Kameras nur den Innenbereich der Durchreiche ins Vorzelt und den Arbeitsbereich abdecken würden. Hinweisschilder auf die Videoüberwachung seien weder innen noch außen angebracht. Der Beschwerdeführer habe wiederholt gesagt, dass er die Anlage und Kamera selbst gekauft und mit einem Freund installiert habe. Als Grund seien die Dokumentation und Überwachung sowie Speicherung der Amtshandlungen des Polizeiinspektors angegeben worden.

2. Mit XXXX 2018 wurde das Verfahren an die nunmehr zuständige Datenschutzbehörde (DSB) weitergeleitet.

Die DSB richtete daraufhin am XXXX .2018 eine Aufforderung zur Rechtfertigung an den Beschwerdeführer und führte darin aus, dass dem Beschwerdeführer zur Last gelegt werde, folgende Verwaltungsübertretung(en) begangen zu haben: Er stehe in Verdacht als Verantwortliche(r) im Sinne des Art. 4 Z 7 Datenschutz-Grundverordnung (DSGVO) einer Bildverarbeitung (Videoüberwachung) am Standort eines Containers im Bereich des Imbisslokals (Kebab-Stand) in XXXX , zumindest ab dem XXXX .2018 verantworten zu müssen, dass

a) Verarbeitungsvorgänge im Zusammenhang mit der gegenständlichen Videoüberwachung nicht protokolliert würden;

b) aufgenommene personenbezogene Daten nicht gelöscht würden, wenn diese für den Zweck, für den sie ermittelt worden seien, nicht mehr benötigt würden und keine gesetzlich vorgesehene Aufbewahrungspflicht bestehe (Hinweis: eine länger als 72 Stunden andauernde Aufbewahrung müsse verhältnismäßig sein und sei gesondert zu begründen und zu dokumentieren);

c) die Videoüberwachung nicht (geeignet) gekennzeichnet würde; sowie

d) die Videoüberwachung eine öffentliche Straße und eine XXXX Tankstelle erfasse - somit nicht auf Bereiche beschränkt sei, welche in der ausschließlichen Verfügungsbefugnis des Verantwortlichen stehen würden - sie daher nicht dem Zweck angemessen und nicht auf das notwendige Maß beschränkt sei.

Es bestehe daher der Verdacht, dass der Beschwerdeführer durch den Betrieb der gegenständlichen Videoüberwachungsanlage seine Pflichten gemäß der §§ 50a ff DSG 2000 und §§ 12 und 13 DSG zumindest unter Außerachtlassung der gebotenen Sorgfalt nicht erfüllt habe.

Mit Rechtfertigung vom XXXX .2018 gab der Beschwerdeführer, anwaltlich vertreten, bekannt, dass selbstverständlich Protokolle der Videoüberwachung geführt worden seien. Aufgrund eines Rechtsirrtums seien die Daten und Bilder der Überwachung bis zu 14 Tagen gespeichert worden. Der Beschwerdeführer habe unverzüglich veranlasst, dass ein Techniker die Anlage so umprogrammiere, dass nach längstens 72 Stunden eine Löschung der Daten erfolge. Unrichtig sei weiter, dass die Videoüberwachung nicht entsprechend gekennzeichnet gewesen wäre: Sowohl auf der Lagertür als auch auf der Tür und dem Fenster des Verkaufswagens seien entsprechende, sehr gut wahrnehmbare Hinweisschilder angebracht. Unrichtig sei weiter, dass die Videoüberwachung eine öffentliche Straße und eine Tankstelle erfassen würde. Das einzige, was man sehe, sei jener Bereich, welcher in der ausschließlichen Verfügungsbefugnis des Verantwortlichen stehe, und zwar bis zum Rand der öffentlichen Straße. Zusammengefasst ergebe sich sohin, dass dem Beschuldigten keinerlei Verwaltungsvergehen angelastet waren könnten.

3. Daraufhin erließ die Datenschutzbehörde das gegenständlich angefochtene Straferkenntnis vom XXXX 2018 und legte dem Beschwerdeführer folgende Übertretungen zur Last:

"Sie betreiben zumindest ab dem XXXX .2018 von 0 bis 24 Uhr in XXXX (Bereich Imbisslokal/Kebab-Stand) als Verantwortlicher im Sinne des Art. 4 Z 7 Datenschutz-Grundverordnung (DSGVO) eine Bildverarbeitungsanlage (Videoüberwachung).

1) Die gegenständliche Videoüberwachung erfasst durch eine Kamera, welche auf einem am Grundstück befindlichen Container installiert ist, öffentlichen Raum (konkret eine öffentliche Straße) sowie eine benachbarte Tankstelle. Sie ist somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige Maß beschränkt.

2) Es findet keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden statt. Eine diesbezüglich gesonderte Protokollierung liegt nicht vor. Eine Begründung für eine verlängerte Speicherdauer fehlt.

3) Die Videoüberwachung ist nicht geeignet gekennzeichnet.

4) Hinsichtlich des Tatvorwurfs des Verstoßes gegen die Protokollierungspflicht gemäß § 50b Abs. 1 DSG 2000 sowie § 13 Abs. 2 DSG wird das Verwaltungsstrafverfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt.

Sie haben dadurch folgende Rechtsvorschriften verletzt:

Zu 1): Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 der DSGVO

Zu 2):

c) § 50b Abs. 2 DSG 2000 (für den Zeitraum vor dem 25. Mai 2018)

d) § 13 Abs. 3 DSG (für den Zeitraum ab dem 25. Mai 2018)

Zu 3):

c) § 50d Abs. 1 DSG 2000 (für den Zeitraum vor dem 25. Mai 2018)

d) § 13 Abs. 5 DSG (für den Zeitraum ab dem 25. Mai 2018)

Wegen dieser Verwaltungsübertretungen wird über Sie folgende Strafe verhängt:

Geldstrafe von Euro

falls diese uneinbringlich ist, Ersatzfreiheitsstrafe von

Freiheitsstrafe von

gemäß

Zu 1): € 1.200,00 Zu 2): € 300,00 Zu 3): € 300,00 . . . In Summe: € 1.800

Zu 1): 3 Tagen Zu 2): 1 Tag Zu 3): 1 Tag . . . In Summe: 5 Tagen

-

Zu 1): Art. 83 Abs. 5 lit. a DSGVO Zu 2a): § 52 Abs. 2 Z 7 DSG 2000 iVm § 69 Abs. 5 DSG Zu 2b): § 62 Abs. 1 Z 4 DSG Zu 3a): § 52 Abs. 2 Z 4 DSG 2000 iVm § 69 Abs. 5 DSG Zu 3b): § 62 Abs. 1 Z 4 DSG iVm § 16 VStG

Allfällige weitere Aussprüche (zB über die Anrechnung der Vorhaft, über den Verfall oder über privatrechtliche Ansprüche):

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 - VStG zu zahlen:

XXXX Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro (ein Tag Freiheitsstrafe gleich 100 Euro);

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

XXXX Euro"

Die belangte Behörde begründete das Straferkenntnis zusammengefasst wie folgt: Der Beschwerdeführer sei zumindest seit dem XXXX .2018 datenschutzrechtlich Verantwortlicher der Bildverarbeitung durch eine aus drei Kameras bestehende Videoüberwachungsanlage am Betriebsstandort eines Imbisslokals. Die gegenständliche Videoüberwachungsanlage sei vom Beschuldigten angeschafft und montiert worden und werde von diesem zum Zweck des Aufzeichnens von Polizeikontrollen betrieben. Von der Videoüberwachungsanlage erzeugte Bilddaten seien in Form zweier Videos, auf welchen eine Polizeikontrolle zu sehen sei, durch den Beschuldigten im Zuge einer Vorsprache vor der BH XXXX vorgelegt worden. Unbeschadet dessen sei S.Z. Gewerbeinhaberin der Betriebsanlage. Zwei der insgesamt drei Kameras seien im Innenbereich des Imbissstandes montiert und würden den Arbeitsbereich sowie den Innenraum erfassen, eine dritte Kamera sei auf einem am Grundstück befindlichen Container montiert; von letzterer werden sowohl der Kebabstand selbst als auch weite Bereiche des öffentlichen Raums (konkret eine öffentliche Straße) und eine benachbarte Tankstelle erfasst. Die Videoüberwachungsanlage sei nicht geeignet gekennzeichnet. Von der Videoüberwachungsanlage aufgezeichnete Bilddaten würden auf einem digitalen Speichermedium innerhalb des Containers gespeichert, wobei eine Speicherung der Bilddaten bis zu 14 Tage lang möglich sei.

Beweiswürdigend berief sich die belangte Behörde auf den Inhalt des Strafaktes der zuständigen BH, auf den Inhalt der Rechtfertigung des Beschuldigten sowie auf amtswegige Abfragen im Gewerberechtsinformationssystem. Die Feststellungen in Bezug auf die Installation, den Zweck und den Erfassungsbereich der Kameras würden sich auf Feststellungen durch Polizeibeamte, wobei an deren Wahrheitsgehalt insbesondere im Hinblick auf die dienst- und disziplinarrechtliche Verantwortlichkeit von Polizeibeamten keinerlei Zweifel bestehen würden, beziehen; andererseits habe der Beschuldigte anlässlich einer Vorsprache bei der BH selbst angegeben, dass er die Kameras im Jänner 2018 gekauft, mithilfe eines Freundes montiert habe und zum Zweck der Aufzeichnung von Polizeikontrollen betreibe. Im Rahmen seiner Rechtfertigung räume der Beschuldigte im Hinblick auf den Tatvorwurf ein, dass die gesetzlich zulässige Speicherdauer von 72 Stunden nicht eingehalten worden sei, er diese jedoch fortan einhalten werde. Das weitere Vorbringen des Beschuldigten in der Rechtfertigung, dass öffentlicher Raum nicht erfasst sei und eine Kennzeichnung bestehe, sei jedoch durch keinerlei Beweise belegt worden, weshalb dieses Vorbringen von der belangten Behörde weitestgehend als nicht geeignet angesehen werde, die erhobenen Tatvorwürfe zu entkräften. Lediglich in Bezug auf die Einhaltung der Protokollierungspflicht gehe die belangte Behörde - im Zweifel für den Beschuldigten - vom Vorliegen einer ordnungsgemäßen Protokollierung aus.

Rechtlich folge daraus - soweit wesentlich -, dass im vorliegenden Fall unbestritten eine Bildaufnahme im Sinne des § 12 Abs. 1 DSG vorliege. Durch das Erheben und Speichern der Bilddaten sei der sachliche Anwendungsbereich des Art. 2 DSGVO eröffnet. Die aufgezeichneten Bilddaten würden jedenfalls personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO darstellen; aufgrund des Erhebens und Speicherns derselben sei jedenfalls auch eine Verarbeitung im Sinne des Art. 4 Z 2 DSGVO gegeben. Der Beschuldigte sei dabei als Verantwortlicher für die vorliegende Datenverarbeitung im Sinne des Art. 4 Z 7 DSGVO zu qualifizieren, da dieser - und nicht die Gewerbeinhaberin - die Kameras angeschafft und zum Zweck der Aufzeichnung von Polizeikontrollen betrieben habe.

Der Aufnahmebereich der Bildaufnahmen erstrecke sich neben dem Innenbereich des Kebab-Standes und Vorzeltes auch auf weite Bereiche des öffentlichen Raums und auf ein Nachbargrundstück, konkret auf öffentliche Verkehrsflächen bis hin zu einer angrenzenden Tankstelle. Da von der Bildaufnahme ein maßgeblicher Bereich des außerhalb der gegenständlichen Betriebsanlage liegenden Raums erfasst werde und zufällig dort vorbeikommende Verkehrsteilnehmer - bei welchen es sich naturgemäß nicht ausschließlich um Kunden des Kebab-Standes handeln müsse - vernünftigerweise nicht damit rechnen müssen, aufgenommen zu werden, verstoße der Betrieb der Bildaufnahme gegen die in Art. 5 DSGVO normierten Grundsätze. Eine die Rechtmäßigkeit der Datenverarbeitung tragende Rechtsgrundlage im Sinne des Art. 6 Abs. 1 DSGVO sei nicht ersichtlich und sei vom Beschuldigten auch nicht vorgebracht worden. Insbesondere werde von der Datenschutzbehörde im Hinblick auf den räumlichen Erfassungsbereich der gegenständlichen Bildaufnahme kein berechtigtes Interesse am Betrieb der Bildaufnahme erkannt, vielmehr überwiege im vorliegenden Fall das grundrechtlich geschützte Recht auf Geheimhaltung der zufällig im Aufnahmebereich vorbeikommenden Verkehrsteilnehmer ein allfälliges Interesse am Betrieb der gegenständlichen Bildaufnahme.

Die Nichterfüllung der Löschungs- und Protokollierungspflicht verstoße im vorliegenden Fall gegen § 13 Abs. 3 iVm § 62 Abs. 1 Z 4 DSG und für den Zeitraum vor dem 25. Mai 2018 gegen § 52 Abs. 2 Z 7 iVm § 50b Abs. 2 DSG 2000.

Gemäß § 13 Abs. 5 DSG habe der Verantwortliche eine Bildaufnahme geeignet zu kennzeichnen. Aus der Kennzeichnung habe jedenfalls der Verantwortliche hervorzugehen, es sei denn, dieser sei den betroffenen Personen nach den Umständen des Falles bereits bekannt. Eine ähnliche Anordnung habe auch § 50d Abs. 1 DSG 2000 vorgesehen. Dies sei im vorliegenden Fall nicht möglich, da, wie oben festgestellt worden sei, keinerlei Hinweisschilder im Außenbereich der Betriebsanlage angebracht seien. Die Verwendung von Schriftzügen wie "Achtung Videoüberwachung", deren Vorhandensein vom Beschuldigten im Rahmen seiner Rechtfertigung ohne Nachweis behauptet worden sei, stelle im vorliegenden Fall keine geeignete Kennzeichnung dar, da diese keine Informationen in Bezug auf den datenschutzrechtlich Verantwortlichen bieten würden und auf dessen Identität auch nicht nach den Umständen des Falls geschlossen werden könnte. Dies deshalb nicht, weil die Bildverarbeitung nicht von der Gewerbeinhaberin selbst betrieben werde.

Daher komme die belangte Behörde zum Ergebnis, dass der Verantwortliche die verfahrensgegenständlichen Bildaufzeichnungen ausschließlich unter Einhaltung der Vorgaben im Hinblick auf die Zweck- und Rechtmäßigkeit der Datenverarbeitung im Sinne der Art. 5 und 6 DSGVO sowie unter Einhaltung der in § 13 DSG normierten Verpflichtungen betreiben hätte dürfen. Vor diesem Hintergrund habe der Beschuldigte als Verantwortlicher gemäß Art. 4 Z 7 DSGVO die objektive Tatseite der ihm zur Last gelegten Verwaltungsübertretung des Art. 83 Abs. 5 lit a DSGVO sowie des § 62 Abs. 1 Z 4 DSG bzw. des § 52 Abs. 2 Z 4 und Z 7 DSG 2000 zu verantworten.

Gegenständlich seien die allgemein gehaltenen Behauptungen des Beschuldigten insbesondere betreffend den Erfassungsbereich der Kameras nicht geeignet gewesen, das Nichtvorliegen eines Verschuldens iSd § 5 Abs. 1 VStG glaubhaft zu machen. Hinsichtlich des geäußerten Rechtsirrtums zur Speicherdauer werde angeführt, dass sich der Beschuldigte vor Inbetriebnahme der Videoüberwachungsanlage mit den rechtlichen Rahmenbedingungen für deren Betrieb vertraut hätte machen müssen.

Hingegen sei im Zweifel betreffend die Einhaltung der Protokollierungspflicht diese auf Basis des Tatsachenvorbringens des Beschuldigten als erfüllt anzusehen und das Verfahren diesbezüglich einzustellen.

Zur Strafbemessung sei festzuhalten, dass im konkreten Fall der festgestellte unzulässige Betrieb der Bildaufnahme potenziell geeignet sei, eine große Zahl an Betroffenen, zufällig in den Erfassungsbereich der gegenständlichen Kamera gelangende Verkehrsteilnehmer, in deren grundrechtlich geschützten Rechten zu verletzen. Aufgrund des hohen Unrechtsgehalts sowie aufgrund des Umstandes, dass es sich um eine systematische Verletzung der Verpflichtung des Verantwortlichen handle, sei der gegenständliche Verstoß als schwer zu werten. Schließlich sei die Bildaufnahme im gegenständlichen Fall systematisch zur Aufzeichnung von Polizeikontrollen eingesetzt und über einen relativ langen Zeitraum nicht gelöscht worden, was erschwerend zu berücksichtigen gewesen sei. Die Intensität des Eingriffs, die auch eine unbeschränkte Anzahl an Passanten und TeilnehmerInnen am öffentlichen Straßenverkehr erfasst habe, habe sich insbesondere in Hinblick auf Spruchpunkt I. in der Höhe der Strafe niedergeschlagen. Die Dauer des Verstoßes von zumindest mehreren Monaten sei ebenfalls als erschwerend zu werten. Es werde weiter von jedenfalls fahrlässigem Verhalten ausgegangen. Deswegen, und um den Beschuldigten von weiteren strafbaren Handlungen gleicher Art abzuhalten, sei die Verhängung einer Strafe gegenständlich erforderlich. Mildernd werde berücksichtigt, dass sich der Beschuldigte am Verfahren beteiligt habe und bei der Behörde keine einschlägigen Vorstrafen vermerkt seien.

4. Gegen das Straferkenntnis wurde am XXXX 2018 Beschwerde eingebracht und darin zusammengefasst vorgebracht, dass die Auffassung der belangten Behörde, der Beschwerdeführer sei Verantwortlicher im Sinne des Art 4 Z 7 DSGVO, verfehlt sei:

Geschäftsführerin des Imbissstandes sei S.Z.; der Beschwerdeführer sei lediglich Mitarbeiter des Imbissstandes und habe als solcher Weisungen der Geschäftsführerin zu folgen. Wer die Videoüberwachungsanlage konkret montiert habe, sei für die verwaltungsstrafrechtliche Verantwortung ohne Belang, wenn dies in Entsprechung einer Weisung erfolgt sei.

Weiter erfasse die Videoüberwachung nur einen Teil der Zufahrtsstraße, und stelle die Tankstelle keinen öffentlichen Raum dar. Außerdem verkenne die belangte Behörde die Sach- und Rechtslage, wenn sie meine, dass gegenständlich keine Angemessenheit vorliege und der Erfassungsraum der Kamera nicht auf das notwendige Maß beschränkt sei. Es sei technisch aufgrund der örtlichen Gegebenheiten nicht möglich, die für die betrieblichen Zwecke erforderliche Videoüberwachung so einzustellen, dass nicht doch ein Teil der öffentlichen Straße erkennbar sei.

Die Speicherdauer von 14 Tagen habe auf einem Rechtsirrtum des Beschuldigten beruht. Nach Kenntnis der rechtlichen Bestimmungen habe der Beschuldigte in Zusammenarbeit mit der Geschäftsführerin sofort dafür Sorge getragen, dass ein von der Geschäftsführerin beauftragter Techniker die Anlage so umprogrammiere, dass die Bilddaten innerhalb von 72 Stunden gelöscht würden.

Schließlich würden die Lagertüre sowie die Türe und das Fenster des Verkaufsstandes deutlich wahrnehmbare Hinweisschilder aufweisen.

Das Straferkenntnis sei aus all diesen Gründen zu Unrecht ergangen und werde beantragt, eine Beschwerdeverhandlung anzuberaumen und das angefochtene Straferkenntnis letztlich aufzuheben und das Verwaltungsstrafverfahren einzustellen.

5. Mit Schreiben vom XXXX 2018 legte die belangte Behörde die Beschwerde und den Verwaltungsakt vor und führte außerdem aus, dass der datenschutzrechtlich Verantwortliche nach der DSGVO unionsrechtlich definiert und die juristische und natürliche Person sei, die die Mittel und den Zweck der Verarbeitung bestimme; sie falle nicht notwendigerweise mit der Verantwortung für eine allfällige Einhaltung nationaler Rechtsvorschriften zusammen. Eine nachträgliche Änderung der Speicherdauer könne an der vorhergehenden Verwirklichung des Delikts nichts ändern. Die fehlende Kennzeichnung zumindest zum Zeitpunkt der Polizeikontrollen sei durch die Polizeifotos nachgewiesen worden und ginge aus der Sachverhaltsdarstellung der Polizei hervor.

6. Am XXXX 2019 fand am Bundesverwaltungsgericht eine mündliche Beschwerdeverhandlung statt, an der der Beschwerdeführer, seine Vertretung, Vertreter der belangten Behörde sowie eine Zeugin und ein Dolmetscher für die türkische Sprache teilnahmen.

In der mündlichen Verhandlung gab der Beschwerdeführer im Wesentlichen an, beim Imbissstand Geschäftsführer gewesen zu sein; seit dem XXXX 2018 würde er nun gemeinsam mit seiner Frau den Stand führen. Er habe aber keine Gewerbeberechtigung; die hatte früher S.Z. und nunmehr seine Frau. Die Kameras habe der Beschwerdeführer gekauft, bezahlt hätte sie die Firma. Sie seien eine Bedingung der Versicherung gewesen. Ein Kollege habe sie installiert, und eine Kennzeichnung habe es gegeben, seitdem die Kameras montiert worden seien. Die Entscheidung, die Videoanlage zu montieren und zu installieren, sei vom Beschwerdeführer und der S.Z., eher von letzterer getroffen worden. Die Zeugin S.Z. (nunmehr S.T.Y.) gab zusammengefasst an, vor dem XXXX 2018 Eigentümerin des Kebab-Standes gewesen zu sein, nunmehr arbeite sie nur mehr dort. Der Beschwerdeführer sei ein Mitarbeiter dort gewesen. Da ihre Deutschkenntnisse nicht ausgereicht hätten, habe sie den Beschwerdeführer gebeten, ihr zu helfen und zB den Einkauf, die Löhne und Organisatorisches zu erledigen. Die Videoanlage sei ihre Idee gewesen; sie habe die Entscheidung getroffen, die Kameras zu kaufen. Die Kameras seien von einem türkischen Landsmann montiert und installiert worden. Sie habe dem Beschwerdeführer mitgeteilt, was sie benötige und ihn um Hilfe gebeten. Er habe dann die erforderlichen Sachen erledigt. Eine Kennzeichnung habe es seit dem Zeitpunkt der Montage gegeben. Es habe keinen anderen geeigneten Platz für die Montage der Kamera am Container gegeben.

7. Mit Schreiben vom XXXX 2019 wurden seitens des Vertreters des Beschwerdeführers in der Beschwerdeverhandlung aufgetragene Unterlagen vorgelegt, die der belangten Behörde zum Parteiengehör zugeschickt wurden.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen

Zum vorliegenden entscheidungswesentlichen Sachverhalt ist hinsichtlich des Verfahrensgangs auf die unter I. getroffenen Ausführungen zu verweisen.

Aufgrund des von der belangten Behörde und vom Bundesverwaltungsgericht durchgeführten Ermittlungsverfahrens steht folgender entscheidungswesentlicher Sachverhalt fest:

1.1. An der Adresse XXXX , befindet sich ein Imbissstand. Dort wurden drei Kameras gekauft und montiert, wobei zwei dieser Kameras das Innere des Imbissstandes abdecken, während eine dritte Kamera auf einem Lagercontainer und so montiert wurde, dass sie öffentlichen Straßenbereich bis hin zu einer gegenüber liegenden Tankstelle filmte. Diese Kameras waren zumindest ab dem XXXX .2018 in Betrieb.

1.2. Der Beschwerdeführer hat die Videoüberwachung in Form dreier Kameras gekauft und betreut. Mit Hilfe einer weiteren Person wurde sie montiert und installiert. Der Beschwerdeführer war weiter in der Lage, Aufzeichnungen der Videoüberwachung selbständig abzurufen. Der Beschwerdeführer traf die Entscheidungen über die Anschaffung der konkreten Videoanlage, über die Montage und Installation sowie über den relevanten Betrieb. Er wählte die weitere Person aus, die die Montage und Installation vornahm und die IT-Arbeiten dazu durchführte. Er ist im Sinne des Art. 4 Z 7 DSGVO Verantwortlicher für die Bildverarbeitung.

1.3. Die Videoaufnahmen wurden auf einem Computer bis zu 14 Tage gespeichert.

1.4. Die Videoüberwachungsanlage war nicht geeignet gekennzeichnet.

1.5. Die Einstellung der Kameras am XXXX 2019 zeigte keine Aufnahme der Tankstelle und weiterer Teile der öffentlichen Straße mehr.

Nach Benachrichtigung durch den Rechtsanwalt des Beschwerdeführers wurde die Speicherdauer der Bildaufnahmen auf 72 Stunden reduziert. Wann genau die Speicherdauer reduziert wurde, kann nicht festgestellt werden.

Am XXXX 2019 zeigen zwei Türen, darunter die Türe des Lagercontainers, Aufkleber mit dem Vermerk "Achtung, Videoüberwachung".

1.6. Vorbringen zum Einkommen des Beschwerdeführers wurde keines erstattet.

2. Beweiswürdigung

2.1. Die Feststellungen zum Imbissstand und zu seiner Adresse ergeben sich aus dem Verwaltungsakt, einem Auszug aus dem GISA vom XXXX 2019 und sind darüber hinaus nicht strittig.

Dass insgesamt drei Kameras montiert und installiert wurden, deren Bilder auf einem Computer auch gespeichert wurden, wurde ebenfalls von den Parteien nicht bestritten.

Dass zwei dieser Kameras den Innenbereich (im weiteren Sinne) des Imbissstandes abdecken, bzw. filmen, ergibt sich einerseits aus den vorgelegten Fotos als Lichtbildbeilage durch die PI XXXX (im Akt befindlich, datiert mit XXXX 2018, vgl. zB Bild 5, 6 und 7), aber auch aus den Angaben des Beschwerdeführers im Rahmen der mündlichen Verhandlung (vgl. S. 6 des Verhandlungsprotokolls).

Dass eine dritte Kamera am Lagercontainer montiert war und einen weiteren Teil der öffentlichen Straße sowie eine gegenüber liegende Tankstelle erfasste, ergibt sich ebenfalls aus der Lichtbildbeilage der PI XXXX vom XXXX 2018 (im Akt befindlich, vgl. Bild 5, 6 und 7). Auch gaben der Beschwerdeführer und die Zeugin im Rahmen der mündlichen Verhandlung an, dass die Kamera nicht hätte anders montiert werden können; man würde die Straße automatisch sehen (vgl. Angabe des Beschwerdeführers auf S. 6 des Verhandlungsprotokolls;

vgl. Angaben der Zeugin auf S. 15 des Verhandlungsprotokolls). Der Beschwerdeführer gab in der mündlichen Verhandlung weiter an, man habe es (gemeint: den Bildausschnitt) später wieder anders gemacht;

sie hätten nicht gewusst, dass man so viel draußen nicht sehen dürfe (vgl. S. 7 des Verhandlungsprotokolls). Aus diesen Angaben des Beschwerdeführers und der Zeugin kann daher auch abgeleitet werden, dass die Kamera am Lagercontainer eben den erweiterten Bereich (öffentliche Straße und Tankstelle) erfasste.

Diesen Angaben sowie den Lichtbildern vom XXXX 2018 setzt der Beschwerdeführer in seiner Rechtfertigung vom XXXX .2018 nur die Behauptung entgegen, dass die fraglichen Kameras nur Bereiche erfassen würden, die im Verfügungsbereich des Beschuldigten stehen würden. Diese Behauptung kann jedoch die Aussagekraft der Lichtbilder wie auch der Aussagen des Beschuldigten selbst sowie der Zeugin nicht entkräften.

Insoweit in der Beschwerde angeführt wird, dass von der Videoüberwachung nur ein Teil der Zufahrtsstraße erfasst sei und die benachbarte Tankstelle keinen öffentlichen Raum darstelle, ist erneut auf die Lichtbildbeilage zu verweisen, die einen weiten Teil öffentlichen Raums zeigt, wobei es gegenständlich darauf ankommt, inwieweit auch Verkehrsteilnehmer_innen, die nicht damit rechnen müssen, durch eine Videoüberwachung des Imbissstandes erfasst zu werden, erfasst werden können, was sich gerade bei der Tankstelle als entsprechend wahrscheinlich erweist.

Zum Beginn der Tatzeit ist zu sagen, dass die Wahrnehmung der Videokamera und des Erfassungsbereichs insbesondere der Kamera im Außenbereich (am Lagercontainer) zumindest seit der Überprüfung der Anlage durch die PI XXXX dokumentiert ist. Dem Bericht der Überprüfung am XXXX .2018, wobei der Bericht mit dem XXXX 2018 datiert, sind außerdem jene Lichtbilder angefügt, die einerseits die Kamera am Lagercontainer, aber auch den Erfassungsbereich der Kameras am Bildschirm für die Echtzeitüberwachung festgehalten haben.

2.2. Die Feststellungen zum Beschwerdeführer beruhen teilweise auf seinen eigenen Angaben, auf jenen der Zeugin sowie auf dem Akteninhalt.

Dass der Beschuldigte tatsächlich auch jene Person gewesen ist, die Verfügungs- und relevante Entscheidungsgewalt im Zusammenhang mit der Montage, Ausrichtung und Betrieb der Videoanlage über hatte, ergibt sich aus einer ganzheitlicher Sicht der Ergebnisse des Ermittlungsverfahrens:

Der Beschwerdeführer gab selbst im Rahmen der mündlichen Beschwerdeverhandlung an, eine Art Geschäftsführer des Imbissstandes gewesen zu sein, als dieser noch S.Z. gehört habe, was bis XXXX 2018 der Fall gewesen sei. Er habe keine Gewerbeberechtigung gehabt, habe das Einkaufen erledigt, habe mitgeholfen und mitgearbeitet, auch mal im Verkauf. S.Z. habe nicht gut Deutsch gekonnt, weshalb der Beschwerdeführer ihr in der Führung des Imbissstandes geholfen habe (vgl. Verhandlungsprotokoll S 4f).

Es wird seitens des entscheidenden Senats nicht übersehen, dass der Beschwerdeführer, aber auch die Zeugin (S.Z.) im Rahmen der mündlichen Verhandlung angaben, dass die Entscheidung, die Videoanlage zu montieren, eher von der Zeugin ausgegangen sei; S.Z. sei die "Chefin" gewesen; die Zeugin (S.Z.) habe entschieden, die Kameras zu kaufen (vgl. S. 5ff des Verhandlungsprotokolls). Andererseits gab der Beschwerdeführer auf die Frage, ob er die Entscheidung getroffen habe, die Videoanlage zu montieren, an, dass es sie beide, dann aber eher sie - gemeint die Eigentümerin, S.Z. - gewesen seien (vgl. S 7 des Verhandlungsprotokolls). Später, als ihm vom Behördenvertreter im Zusammenhang mit der Kennzeichnung vorgehalten wurde, dass es Aussagen der Zeugin, der Polizei und Fotos gäbe, wonach es keine Hinweisschilder gegeben habe, meinte der Beschwerdeführer auch, dass die Zeugin nicht viel darüber wisse (vgl. S. 9 des Verhandlungsprotokolls).

In diesem Zusammenhang geht aus dem Verwaltungsakt - und auch aus der Wahrnehmung des Senats in der mündlichen Verhandlung - hervor, dass die damalige Eigentümerin des Imbissstandes, S.Z., über kaum Deutschkenntnisse verfügt (vgl. zB Aktenvermerk vom XXXX 2018, wonach eine Einvernahme der S.Z. nicht stattfinden könne, da diese kein Wort Deutsch spreche, und daher ein Dolmetscher angefragt werden müsse; sowie die Angabe der Zeugin selbst im Rahmen der Verhandlung, vgl. S. 13 des Verhandlungsprotokolls). Die konsistenten Angaben des Beschwerdeführers und der Zeugin dahingehend, dass deswegen der Beschwerdeführer Formalitäten, aber auch das Einkaufen erledigte, im Verkauf tätig war und generell mitgearbeitet hat (vgl. S. 4 des Verhandlungsprotokolls) bzw. auch für die Mitarbeiter, Löhne und Organisatorisches zuständig war (vgl. S 13 des Verhandlungsprotokolls und die diesbezügliche Angabe der Zeugin), ermöglichen die Schlussfolgerung, dass die faktische Leitung des Imbissstandes im Grunde dem Beschwerdeführer zukam.

Der Beschwerdeführer gab schließlich in seiner Einvernahme vor dem Bundesverwaltungsgericht an, die Kameras auf Geheiß der Eigentümerin gekauft zu haben. Weiter habe ein Bekannter sie montiert. Auf die Frage, wer sich denn mit Computern auskenne und Daten speichern und löschen könne, meinte der Beschwerdeführer, sie würden sich mit Computern fast nicht auskennen (vgl. S. 6 des Verhandlungsprotokolls); wenn etwas gewesen sei, habe man jenen Bekannten angerufen; so auch, um die Speicherdauer zu reduzieren (ebda., aber auch S. 8 des Verhandlungsprotokolls). Als es jedoch um die Frage ging, ob jener Bekannte auch angerufen worden sei, wenn es um die Auswertung des Bildmaterials gegangen wäre, meinte der Beschwerdeführer, dass er das selbst gemacht habe, er habe damals den Zugriff getätigt (vgl. S. 9 des Verhandlungsprotokolls). Aus diesen Angaben lässt sich ableiten, dass zwar Hilfe für die Montage der Anlage und eventuell auch für die Einstellung der Reduktion der Speicherdauer in Anspruch genommen wurde, dass aber der Beschwerdeführer dennoch einen Grundumgang mit der EDV, die die Bildaufnahmen speicherte, beherrschte und Bildaufnahmen auch abrufen konnte.

Schließlich hinterlassen die Angaben der Zeugin in der Beschwerdeverhandlung nicht den Eindruck, dass sie nähere Kenntnisse über die Videoanlage mitbringen würde bzw. in die Entscheidungsprozesse tatsächlich aktiv eingebunden gewesen wäre:

Ihre Angaben zur Videoanlage bleiben insgesamt zögerlich und oberflächlich: Auszug aus dem Verhandlungsprotokoll:

" [...] VR: Wer hat denn die Entscheidung getroffen, die Kameras zu kaufen?

Z: Wenn man einen Betrieb gründet, werden Kameras installiert.

VR wiederholt die Frage.

Z: Ich.

VR: Wer hat denn die Kameras montiert oder installiert?

Z: Ein türkischer Landsmann. Sein Name fällt mir im Moment nicht ein, da es schon lange her ist.

VR: Wer hat die Kameras und die Installation bezahlt?

Z: Ich. Ich teilte dem BF mit, was ich benötige und bat ihn um Hilfe. Er erledigte die dafür erforderlichen Sachen.

VR: Wer war denn dann dafür zuständig? Wartung, Computer, etc...

Z: Ich schaute mir die Kameraaufnahmen an. Auch der BF.

VR: Wenn zB eine Kamera kaputt gewesen wäre, wer hätte sich darum gekümmert?

Z: Diesbezüglich gab es überhaupt keine Probleme.

VR: Wie lange wurden die Bilddaten oder Videos gespeichert?

Z: Am Anfang war es für die Dauer von 14 Tagen. Später erfuhren wir, dass das nicht erlaubt sei, woraufhin wir die Dauer auf 72 Stunden reduziert haben.

VR: Können Sie sich erinnern, wann Sie die Speicherdauer auf 72 Stunden reduziert haben?

Z: Ich kann mich an das Datum nicht mehr erinnern. Ich kann mich auch nicht an den Monat erinnern.

VR: Wissen Sie, wer das gemacht hat?

Z: Der türkische Landsmann, der uns seinerzeit diesbezüglich geholfen hat.

VR: Wie ist die Videoanlage gekennzeichnet gewesen?

Z: Beim Lager haben wir die Kamera angebracht. Wir sahen auch den Tankstellenbereich.

VR wiederholt die Frage.

Z: Es gab ein Kamerazeichen dafür. Personen, die vorbeigegangen sind, haben dieses Zeichen gesehen, dass dort Kameras sind.

VR: Seit wann gab es diese Kamerazeichen?

Z: Ab dem Zeitpunkt der Montage.

VR: Wieso richtet sich die Kamera am Container auch auf die Straße und die Tankstelle?

Z: Der Grund, dass man den Tankstellenbereich auch sah, lag darin, dass nur jene Stelle infrage kam, wo die Kamera eben montiert war. Es gab sonst keinen anderen geeigneten Platz dafür.

VR: Wieso wurde die Kamera dann nicht so eingestellt, dass man weniger sieht von der Tankstelle?

Z: Man sah sehr wenig vom Tankstellenbereich.

VR: Diese Reduktion der Speicherdauer von 14 Tagen auf 72 Stunden:

Wer hat das veranlasst?

Z: Der BF. [...]"

Aus dem Ermittlungsverfahren ergibt sich daher der Sachverhalt dahingehend, dass die Zeugin S.Z. zwar Gewerbeinhaberin und Eigentümerin des Imbissstandes gewesen ist, als eine Videoanlage gekauft, montiert und betrieben wurde, sie jedoch kaum Deutsch spricht und die faktische Leitung des Imbissstandes sowie die relevanten Entscheidungen zur Videoanlage im wesentlichen Ausmaß vom Beschwerdeführer ausgeübt bzw. getroffen wurden. Der Beschwerdeführer bezeichnet sich selbst als (damaliger) Geschäftsführer des Imbissstandes, er kaufte die Anlage, er ließ sie durch einen Bekannten installieren und er ist selbst in der Lage, Bildaufnahmen auszuwerten. Daher war in weiterer Folge die Feststellung zu treffen, dass der Beschwerdeführer auch Verantwortlicher im Sinne der gegenständlich anzuwendenden Gesetzesbestimmungen war.

2.3. Die Feststellung, dass die Videoaufnahmen bis 14 Tage lang gespeichert wurden, beruht auf den diesbezüglich nicht strittigen Angaben des Beschwerdeführers selbst.

2.4. Dass die Videoanlage im genannten Zeitraum nicht ausreichend gekennzeichnet war, ergibt sich insbesondere aus dem Bericht der PI XXXX vom XXXX 2018, aus der diesbezüglichen Lichtbildbeilage vom selben Tage, und dort aus dem Bild Nr. 4.

Wenn die Beschwerde ausführt, dass es sowohl auf der Lagertüre als auch auf der Tür und dem Fenster des Verkaufsstandes deutlich wahrnehmbare Hinweisschilder gibt, so geht aus der Beschwerde nicht hervor, seit wann diese Hinweisschilder an den bezeichneten Türen und Fenstern angebracht sind. Dass solche Schilder bereits seit der Montage der Kameras bestehen, wie es der Beschwerdeführer und auch die Zeugin in der mündlichen Verhandlung angegeben haben (vgl. S. 7 und S. 15 des Protokolls vom XXXX 2019), steht im Widerspruch zur Lichtbildbeilage vom XXXX 2018. Es muss daher davon ausgegangen werden, dass eine entsprechende Kennzeichnung der Videoüberwachung mit deutlichen Hinweisschildern zum Zeitpunkt der Überprüfung durch die PI XXXX nicht angebracht gewesen ist.

Beweiswürdigend wird festgehalten, dass ein Vergleich der Fotos vom XXXX 2019, die der Beschwerdeführer nach der mündlichen Verhandlung vorlegte, mit der Lichtbildbeilage vom XXXX 2018 den Rückschluss erlaubt, dass auf der tatsächlich erkennbaren Lagercontainertüre am XXXX 2018 keine Kennzeichnung angebracht gewesen ist.

2.5. Nach der mündlichen Verhandlung legte der Beschwerdeführer über seinen Rechtsanwalt Fotos des Bildschirms der Echtzeitüberwachung vor, die mit XXXX 2019 datiert sind und jene weiteren Teile der öffentlichen Straße sowie die Tankstelle nicht mehr abbilden.

Im Laufe des Verfahrens gaben der Beschwerdeführer und seine Vertretung konsistent an, die Speicherdauer der Aufnahmen auf 72 Stunden reduziert zu haben. Hinweise, dass dies nicht passiert sein soll, haben sich im Verfahren nicht ergeben. Allerdings konnten weder der Beschwerdeführer noch die Zeugin angeben, wann diese Reduktion der Speicherdauer stattgefunden haben soll, weshalb dazu keine Feststellung erfolgen konnte.

Schließlich wurden Fotos vom XXXX 2019 vorgelegt, wonach sich auf zwei Türen, eine davon erkennbar (im Vergleich mit der Lichtbildbeilage vom XXXX 2018) die Türe des Lagercontainers, Hinweiskleber mit dem Vermerk "Achtung, Videoüberwachung" finden.

2.6. Zu den Einkommensverhältnissen des Beschwerdeführers wurden keine weiteren Angaben gemacht und die diesbezügliche Einschätzung der Behörde nicht bestritten. Dadurch werden dazu keine gesonderten Feststellungen getroffen und keine gesonderte Beweiswürdigung vorgenommen.

3. Rechtliche Beurteilung

Zu A)

3.1. Gesetzliche Grundlagen

3.1.1. Die gesetzlichen Grundlagen nach der DSGVO lauten auszugsweise wie folgt:

Art. 4 Z 7 DSGVO:

Artikel 4: Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck: [...]

7.-"Verantwortlicher" die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; [...]

Art. 5 Abs. 1 lit. a und c DSGVO:

Artikel 5: Grundsätze für die Verarbeitung personenbezogener Daten

1) Personenbezogene Daten müssen

a)-auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz");

[...]

c)-dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung"); [...]

e)-in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden ("Speicherbegrenzung"); [...]

Art. 6 Abs. 1 DSGVO:

Artikel 6: Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. [...]

Art. 12 und 13 DSGVO:

Artikel 12: Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a)-ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b)-sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.

Artikel 13: Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person

(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

a)-den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b)-gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

c)-die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d)-wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

e)-gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und

f)-gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

a)-die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b)-das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

c)-wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

d)-das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

e)-ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und

f)-das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.

Art. 83 Abs. 5 lit. a DSGVO: