Durchsucht man die DSGVO nach „Bildverarbeitung“, „Videoüberwachung“, „Foto-Aufnahmen“, oder ähnlichen Begriffen, kommt man schnell zum Ergebnis, dass die Datenschutz-Grundverordnung keine speziellen Regelungen dafür kennt und sich die Rechtmäßigkeit auch bei der Bildverarbeitung nach Art 6 DSGVO richten soll.
Eine Datenverarbeitung kann iSd Art 6 DSGVO immer dann zulässig sein, wenn
- eine Einwilligung des Betroffenen vorliegt ODER
- die Datenverarbeitung zur Erfüllung eines Vertrags erforderlich ist ODER
- die Datenverarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist ODER
- die Datenverarbeitung erforderlich ist, um lebenswichtige Interessen des Betroffenen oder einer anderen natürlichen Person zu schützen ODER
- die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt ODER
- die Datenverarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen überwiegen.
Für die Bildverarbeitung kommt wohl meist nur das berechtigte Interesse in Betracht (Art 6 Abs 1 lit f DSGVO).
Wäre da nicht das österreichische Datenschutzgesetz, welches im 3. Abschnitt die Bildverarbeitung regelt. § 12 normiert die Zulässigkeit einer Bildverarbeitung und § 13 die besondere Datensicherheitsmaßnahmen und Kennzeichnung. Es stellt sich nun die Frage, ob das österreichische DSG überhaupt spezielle Regeln für die Bildverarbeitung aufstellen darf?
Die DSGVO und ihre 69 Öffnungsklauseln
Wie der Name schon verrät, handelt es sich bei der Datenschutz-Grundverordnung um eine „Grundverordnung“. Das Ziel ein in der EU einheitliches Datenschutzrecht zu schaffen, wurde definitiv verfehlt, da aufgrund der zahlreichen Öffnungsklauseln jeder Mitgliedsstaat in bestimmten Bereichen eigene/speziellere/andere Regeln schaffen kann. So wird zB. das Alter für die Einwilligungen von Kindern in der DSGVO mit 16 Jahren festgelegt, entsprechend der Öffnungsklausel in Art 8 können die Mitgliedstaaten aber eine individuelle Altersgrenze zwischen 13 und 16 Jahren festlegen.
Man spricht von einer sog. hinkenden Verordnung. Die DSGVO regelt zwar einen einheitlichen Rahmen, es gibt aber weiterhin 28 bzw. bald nur mehr 27 unterschiedliche Datenschutzgesetze in der EU.
Eine der wichtigsten Öffnungsklauseln ergibt sich wohl aus Art 6 Abs 1 lit c, in dem es heißt, dass eine Datenverarbeitung personenbezogener Daten immer dann zulässig ist, wenn diese aufgrund nationaler Rechtsvorschriften erforderlich ist. Gibt es nun in Österreich beispielsweise ein Kontenregister- und Einschaugesetz[1], sind Kreditinstitute in Österreich dazu verpflichtet entsprechende Daten an das Kontenregister zu übermitteln. Die Zulässigkeit ergibt sich aus Art 6 Abs 1 lit c DSGVO. In anderen Ländern wird eine ähnliche Datenübermittlung aufgrund fehlender nationaler Bestimmungen wahrscheinlich nicht zulässig sein.
Fraglich ist nun, ob die DSGVO den Mitgliedstaaten auch im Bereich der Bildverarbeitung eine individuelle Regelung erlaubt. Zweifel gab es bereits vonseiten der europäischen Kommission im August 2018.[2]
Bildverarbeitung als Öffnungsklausel der DSGVO?
Mag.aLisa Wallner und Mag. Lukas Wieser haben in der jusIT 2019/25 einen umfassenden Beitrag mit dem Titel „§§ 12 f DSG – Kein Spielraum für Beharrlichkeit“ verfasst, der die Unionsrechtskonformität der §§ 12 f DSG vor dem Hintergrund der DS-GVO auf den Prüfstand stellt. Die Autoren kommen zur Conclusio, dass die Sonderbestimmungen zur Bildverarbeitung gem §§ 12 f DSG zu großen Teilen unionsrechtswidrig seien, da sich der Gesetzgeber nicht im Rahmen des mitgliedstaatlichen Regelungsspielraum bewegt. Zusammenfassend bedeutet das also, dass der österreichische Gesetzgeber eine Spezialregelung für eine Thematik geschaffen hat, für die der EU-Gesetzgeber gar keine Erlaubnis iSe Öffnungsklausel gibt.
Wie auch im Newsletter 1/2020 der DSB berichtet, gibt es zwei Entscheidungen des BVwG[3], nach denen die §§ 12, 13 DSG nicht anzuwenden sind.
Darf man überhaupt noch Bilder und Videos mit personenbezogenen Daten verarbeiten?
Die Rechtmäßigkeit der Bildverarbeitung richtet sich somit auch, wie bei allen anderen Verarbeitungen (nicht sensibler) personenbezogener Daten nach Art 6 DSGVO. Dass eine Bildverarbeitung auf Art 6 Abs 1 lit f DSGVO gestützt werden kann, hat der EuGH auch in einem Urteil bestätigt.[4]
Ob und inwieweit diese Auslegung des BVwG auch die vorläufige Rechtsmeinung der Datenschutzbehörde zum Thema Dashcams ändert, bleibt abzuwarten. Dass Dashcams jedenfalls nicht per se unzulässig sind, habe ich bereits in einem Blog-Artikel „Dashcams/Crashcams – per se verboten? ausführlich beschrieben.
Zusammenfassung
Nach Auffassung des BVwG, entsprechend einer Stellungnahme der EU-Kommission sowie nach Auffassung der Autoren des og. Berichts in der jusIT, sind die §§ 12, 13 DSG, die spezielle Regeln für die Bildverarbeitung normieren unionsrechtswidrig und nicht anwendbar.
Die DSGVO kennt zwar 69 Öffnungsklauseln, welche es den einzelnen Mitgliedstaaten erlauben, spezielle Regeln in bestimmten Bereichen vorzunehmen, von denen Österreich in vielen Fällen auch Gebrauch gemacht hat. Eine individuelle Regelung für die Bildverarbeitung sieht sie aber nicht vor. Wenngleich auch der österreichische Gesetzgeber die vermeintlich 70. Öffnungsklausel genutzt hat, stellt sich nun die Frage, ob die bereits auf die gem. § 12 DSG gestützten Bildverarbeitungen (zB. private Videoüberwachungen, Videoüberwachung in der Straßenbahn, Fotoaufnahmen der Firmenfeier, etc.) weiterhin zulässig sein werden.
Ist dies der Anfang vom Ende oder das Ende vom Anfang? Wer
weiß? …
[1] Bundesgesetz über die Einrichtung eines Kontenregisters und die Konteneinschau (Kontenregister- und Konteneinschaugesetz – KontRegG) BGBl. I Nr. 116/2015.
[2] Vgl. den der parlamentarischen Anfragebeantwortung 966/AB XXVI. GP angehängten Brief der Kommissarin Jourová (https://www.parlament.gv.at/PAKT/VHG/XXVI/AB/AB_0966_imfname_706447.pdf)
[3] Siehe BVwG, Beschluss vom 20.11.2019, W256 2214855-1 und BVwG, Erkenntnis vom 25.11.2019, W211 2210458-1.
[4] Vgl. EuGH, Urteil vom 11.12.2019, C-708/18.