Seit einiger Zeit werden regelmäßig die Fußballspiele des örtlichen Vereins mittels privater Videokamera aufgezeichnet. Ob dies aus Gründen der Beweisaufzeichnung, zur Verbesserung der eigenen Mannschaft oder zur Demonstration einer dauerhaften Benachteiligung eines Schiedsrichters erfolgt, sei vorerst dahingestellt. Der Laie würde einmal behaupten, dass dies aus datenschutzrechtlichen Gründen sicher nicht zulässig sein kann, da die Zuschauer ja gar nicht zugestimmt haben. Doch stimmt das überhaupt? Verbietet die DSGVO tatsächlich sämtliche Datenverarbeitungen personenbezogener Daten? Vom Aufruf des Namens beim Arzt, über Anonymisierung der Klingelschilder bis hin zur Videoaufzeichnung eines Fußballspiels?
Nein! Natürlich nicht! Die DSGVO ist in der Tat nicht das Schreckgespenst, wie es in vielen Medien dargestellt wird. Vielmehr ist es die inhaltlich in weiten Teilen unveränderte Regelung, wie wir sie bereits seit dem Jahr 2000 kennen, mit dem Unterschied, dass viele Verpflichtungen vom Staat an den einzelnen Verantwortlichen übertragen werden.
Die am 25.5.2018 in Geltung getretene Datenschutzgrundverordnung soll das Datenschutzrecht als EU-Verordnung europaweit vereinheitlichen. Dieses Ziel ist durch insgesamt 69 Öffnungsklauseln aber definitiv verfehlt worden, da es den Mitgliedstaaten dadurch ermöglicht wird, in einzelnen Bereichen nationale Bestimmungen, detailliertere Formulierungen oder speziellere Regeln zu normieren, weswegen man auch von einer hinkenden Verordnung spricht.
Das Datenschutzrecht ist eine Verbotsnorm mit Erlaubnisvorbehalt und bedeutet, dass jegliche Datenverarbeitung personenbezogener Daten verboten ist, außer es liegt ein Erlaubnistatbestand des Artikel 6 DSGVO (bzw. bei Daten besonderer Kategorien iSd Art 9 und bei Daten über strafrechtliche Verurteilungen und Straftaten iSd Art 10) vor.
Der oft fälschlicherweise verbreiteten Meinung, dass immer eine Einwilligung des Betroffenen eingeholt werden muss, kann entgegengehalten werden, dass die DSGVO noch fünf weitere Tatbestände kennt, die eine Datenverarbeitung erlauben. Neben der Zustimmung (Art 6 Abs 1 lit a) ist eine Verarbeitung auch dann möglich, wenn diese für die Erfüllung eines Vertrags (Art 6 Abs 1 lit b) oder zur Erfüllung einer rechtlichen Verpflichtung (Art 6 Abs 1 lit c) erforderlich ist. Weiters liegt eine gültige Rechtsgrundlage vor, wenn die Verarbeitung erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (Art 6 Abs 1 lit d) oder wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art 6 Abs 1 lit e). Letztendlich ist die Verarbeitung iSd Art 6 Abs 1 lit f auch dann zulässig, wenn diese zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Die Zustimmung des Betroffenen ist auch immer die schwächste Rechtsgrundlage, da sie jederzeit widerrufbar ist und eine künftige Verarbeitung dann nicht mehr zulassen würde. Demnach sollten sich Verantwortliche immer im Klaren sein, ob sie tatsächlich ihre Kunden, Mitarbeiter oder andere Betroffene (natürliche Personen) um eine Zustimmung bitten müssen, oder ob es nicht auch eine bessere Alternative gibt, die nicht so einfach widerrufbar ist.
Um sich der datenschutzrechtlichen Zulässigkeit widmen zu können, sind vorab zwei wichtige Begriffe zu definieren. Die DSGVO ist sachlich immer dann anwendbar, wenn personenbezogene Daten ganz oder teilweise automatisiert verarbeitet oder nicht automatisiert in einem Dateisystem gespeichert werden.
Die DSGVO definiert im Art 4 Z 2 den Begriff der Verarbeitung und versteht darunter jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Vereinfacht gesprochen ist damit jeder Vorgang gemeint, der mit Hilfe eines PCs, Tablet oder Smartphone oder anderem technischen Gerät vorgenommen wird.
Personenbezogene Daten sind iSd Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ist also durch die verarbeitete Information ein Rückschluss auf eine natürliche Person möglich, liegen personenbezogene Daten vor.
Eine Verarbeitung von personenbezogenen Daten findet also sowohl bei der Erfassung von Name und E-Mail-Adresse für die Teilnahme an einem Gewinnspiel statt, wie auch beim Zukauf von Daten durch einen Adressverlag iSd § 151 GewO, durch die private Videoaufzeichnung einer Überwachungskamera beim Hauseingang, bei der Installation von WhatsApp am Smartphone, bei der Gesprächsaufzeichnung von Telefonanrufen oder beispielsweise auch bei der Videoaufnahme eines Fußballspiels eines örtlichen Fußballvereins.
Zurück zum aktuellen Fall: Ein Funktionär des örtlichen Fußballvereins filmt seit einiger Zeit sämtliche Spiele, solange bis ein Zuseher ihm entgegenhält, dass er keine Videoaufnahmen machen dürfe, da er nicht die Zustimmung der Spieler und auch nicht der Zuseher habe.
Aber braucht man tatsächlich die Zustimmung aller am Video ersichtlichen Personen? Spaßeshalber darf ich an dieser Stelle die Frage stellen: „Wie holt der ORF von sämtlichen Spielern, Ordnern, Funktionären und Zusehern im Station eines Länderspiels ein, wenn er dieses zur PrimeTime im ORFeins überträgt?“
Die richtige Antwort ist: „Gar nicht“. Denn die Zustimmung ist jedenfalls die falsche Rechtsgrundlage für diese Verarbeitung. Wie bereits oben erwähnt, ist eine Datenverarbeitung auch dann zulässig, wenn keine Zustimmung der betroffenen Personen vorliegt, aber eine andere Rechtsgrundlage iSd Art 6 Abs 1 DSGVO greift.
Das berechtigte Interesse des Verantwortlichen oder eines Dritten ist hierbei immer im Detail zu prüfen, wobei im Einzelfall immer folgende Punkte geprüft werden müssen:
- Vorliegen eines berechtigten Interesses
- Ist die Verarbeitung für die Erreichung des Ziels erforderlich (Erforderlichkeit)
- Interessenabwägung
- werden Grundrechte und Grundfreiheiten des Betroffenen beeinträchtigt
- Kann der Betroffene mit der Datenverarbeitung rechnen, wurde er informiert und ist die Verarbeitung absehbar
- Handelt es sich bei den Betroffenen um Kinder
- Welche Folgen hat die Verarbeitung für die Betroffenen (Wahrscheinlichkeit, Schwere, Art der Daten, Art und Weise der Verarbeitung, …)
- Wurden Schutzmaßnahmen initiiert (TOMs, Privacy by Design, Privacy by Default)
- Transparenz (Wurden die Betroffenen entsprechend informiert)
- Kein Widerspruch (Allgemeiner Widerspruch, Widerspruch gegen Direktwerbung)
Ob und unter welchen Voraussetzungen ein berechtigtes Interesse vorliegt, habe ich kürzlich in einem Praxis-Leitfaden auf Basis der Stellungnahme der Art-29-Datenschutzgruppe zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gem Art 7 der Richtlinie 95/46/EG (WP 217) zusammengefasst. Es ist jedenfalls immer im Einzelfall zu prüfen, ob man sich für die Verarbeitung auf die Rechtsgrundlage des berechtigten Interesses stützen kann.
Wird nun ein Fußballspiel mit einer Videokamera aufgezeichnet, stellt sich die Frage, ob dafür ein berechtigtes Interesse vorliegt. Vorweg ist zu klären, ob überhaupt ein Interesse für die Aufzeichnung vorliegt. Ein Interesse ist das Bestreben, das ein für die Verarbeitung Verantwortlicher an dieser Verarbeitung haben kann. Ebenso kann es sich auch um einen Nutzen handeln, den er aus der Verarbeitung zieht. Damit das Interesse auch berechtigt sein kann, muss es
- rechtmäßig und
- hinreichend klar formuliert sein, und
- ein gegenwärtiges Interesse darstellen.
Der Verein hat also im ersten Schritt zu definieren, aus welchen Grund er die Videoaufnahmen macht und dies entsprechend zu dokumentieren. Rechtmäßig ist ein Interesse immer dann, wenn es rechtlich zulässig ist. Um es einer Interessenabwägung zuführen zu können, muss es auch hinreichend klar formuliert sein. Weiters muss das Interesse ein real vorhandenes Interesse darstellen. Liegt der Zweck der Aufnahme beispielsweise in der Beweissicherung bei Fehlentscheidungen des Schiedsrichters oder aber auch in der Analyse zur Verbesserung der Spielleistung, liegt jedenfalls ein berechtigtes Interesse des Vereins vor. Es bedeutet an dieser Stelle aber noch nicht, dass bei Vorliegen eines rechtmäßigen, hinreichend klar formulierten und tatsächlichen Interesses bereits die Voraussetzungen des Art 6 Abs 1 lit f DSGVO erfüllt sind!
Vielmehr ist im nächsten Schritt zu prüfen, ob die Datenverarbeitung für die Erreichung des Zwecks erforderlich ist. Erforderlich ist eine Verarbeitung immer dann, wenn die jeweilige Aufgabe ohne der konkreten Verarbeitung nicht oder nicht vollständig erfüllt werden kann. Darunter fällt auch, dass die Aufgabe auf andere Weise nur
- mit unverhältnismäßig großen Schwierigkeiten oder
- mit unvertretbar höheren Aufwand oder
- verspätet erfüllt werden könnte.
Geht es also darum, dem Verband aufzuzeigen, dass das im Spielbericht genannte gefährliche Spiel mit gestrecktem Bein mit anschließender roter Karte in Wirklichkeit ein Zusammenstoß zweier Spieler ohne Fouls war, liegt datenschutzrechtlich jedenfalls ein berechtigtes Interesse vor, das für die Erreichung des Zwecks erforderlich ist. Denn ohne diesen „Videobeweis“ würde die Unrichtigkeit des Spielberichts bzw. die subjektive Einschätzung des Schiedsrichters nicht bzw. nur mit unverhältnismäßig großen Schwierigkeiten widerlegt werden können.
Im Zuge der Interessenabwägung ist diesbezüglich natürlich auch zu berücksichtigen, dass bei der Videoaufnahme sowohl die eigenen als auch die gegnerischen Spieler sowie auch teilweise Zuseher gefilmt werden. Es ist zu prüfen, ob in die Grundrechte und Grundfreiheiten der Betroffenen eingegriffen wird. Dies wird bei den Spielern ggf. anders zu beurteilen sein, als bei den Zusehern. Fraglich ist aber, ob sich überhaupt Folgen aus der Datenverarbeitung ergeben. Allen voran geht es um den Schweregrad und um die Eintrittswahrscheinlichkeit der Folgen sowie der Beurteilung ob bzw. in welche Grundrechte oder Grundfreiheiten eingegriffen wird. Inwieweit in die Grundrechte und Grundfreiheiten eingegriffen wird, ist abhängig davon, in welcher Art und Weise die Videoaufnahmen verarbeitet werden. Nachdem die Videoaufnahmen lediglich zur „Beweissicherung“ gegenüber dem Verband bzw. zur Analyse des Spiels innerhalb des Vereins und in der Folge zur Verbesserung der Trainingsmaßnahmen verwendet werden und in diesem Zuge das „öffentliche Fußballspiel“ aufgezeichnet wird, ist der Eingriff in das Grundrecht auf Geheimhaltung der Daten relativ gering. Auch kann die gegnerische Mannschaft damit rechnen, dass ein unabhängiger Schiedsrichter, sowie Zuseher (ob vor Ort im Stadion oder vor den Fernsehbildschirmen) das Spiel verfolgen und analysieren werden.
Bezüglich Zuseher eines Fußballspiels darf noch ausgeführt werden, dass (zumindest aus datenschutzrechtlicher Sicht) eine Videoaufzeichnung nicht mehr in die Grundrechte der Betroffenen eingreift, als dies durch die Beobachtung durch andere Personen vor Ort geschieht.
Es werden bei genauer Prüfung, nach einer Interessenabwägung und Dokumentation des Vorliegens eines berechtigten Interesses iSd Art 6 Abs 1 lit f DSGVO sowohl bei den eigenen und gegnerischen Spielern als auch bei den Zusehern das Interesse bzw. die Grundrechte und Grundfreiheiten der Betroffenen nicht überwiegen, weswegen von einer Zulässigkeit der Videoaufnahme iSd Art 6 Abs 1 lit f DSGVO ausgegangen werden kann. Eine Zustimmung der Beteiligten ist deswegen nicht notwendig.
Ergänzend muss noch auf die Möglichkeit des Widerspruchsrechts hingewiesen werden, wonach der Betroffene beim Verantwortlichen iSd Art 21 DSGVO Widerspruch erheben kann, dass die personenbezogenen Daten
- gem Abs 1 bei allen Verarbeitungen, die sich auf Art 6 Abs 1 lit f DSGVO (=berechtigtes Interesse) stützten, bzw.
- gem Abs 2 bei Verarbeitungen zu Direktmarketingzwecken bzw.
- gem Abs 6 bei allen Verarbeitungen, die sich aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gem Art 89 Abs 1 erfolgt
nicht weiter verarbeiten dürfen. Bei diesem allgemeinen Widerspruchsrecht gem Abs 1 hat der Verantwortliche sein überwiegendes berechtigtes Interesse darzulegen und trägt somit die Beweislast für das Vorliegen eines berechtigten Interesses iSd Art 6 Abs 1 lit f DSGVO.
Filmt also ein Vereinsmitglied für Zwecke der Beweissicherung gegenüber dem Verband bzw. zur Verbesserung der Trainingsmethoden ein Fußballspiel, auf dem sowohl eigene und gegnerische Spieler sowie auch Zuseher zu sehen und erkennen sind, wird dies wohl iSd Art 6 Abs 1 lit f DSGVO als berechtigtes Interesse für den Verein datenschutzrechtlich zulässig sein. Unter der Einhaltung der Grundsätze der Datenverarbeitung iSd Art 5 DSGVO spricht also nichts gegen eine Videoaufnahme des Spiels. Lediglich bei einer allfälligen Geltendmachung eines Widerspruchsrechts iSd Art 21 Abs 1 DSGVO hat der Verein nachzuweisen, dass die Interessen für die „Beweissicherung“ bzw. für die Verbesserung der Trainingsmethoden überwiegen, was im Zweifelsfall gelingen wird.
Die Aussage, dass eine private Videoaufzeichnung des örtlichen Fußballspiels aufgrund der DSGVO unzulässig ist, wird demnach ebenso als Mythos wie „die Anonymisierung der Klingelschilder“ zurückzuweisen sein.