IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde von XXXX vertreten durch nikodem rechtsanwalts Gmbh, 1060 Wien, Mariahilfer Straße 123/3 (mitbeteiligte Partei vor dem Verwaltungsgericht: XXXX gegen Spruchpunkt 1. und 2. des Bescheides der Datenschutzbehörde vom 14.06.2024, GZ XXXX , in nichtöffentlicher Sitzung in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:
A)
Die Beschwerde wird abgewiesen.
B)
Die Revision ist nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Mit Eingabe vom 20.09.2023 erhob die mitbeteiligte Partei (in Folge „MP“) eine Datenschutzbeschwerde an die belangte Behörde und brachte zusammengefasst vor, die Beschwerdeführerin (in Folge „BF“) habe sie an ihrem Arbeitsplatz mit einer Überwachungskamera überwacht bzw beobachtet. Außerdem habe ein Mitarbeiter ohne jeglichen Grund ein von ihr ausgefülltes Formular mit ihrer Adresse durchgelesen.
2. Mit Bescheid vom 14.06.2024 gab die belangte Behörde der Datenschutzbeschwerde statt, und stellte fest, dass die BF die MP im Zeitraum von 18.09.2023 bis 20.09.2023 im Recht auf Geheimhaltung verletzt habe, indem sie von dieser auf ihrem Arbeitsplatz mit einer Videokamera in den Geschäftsräumlichkeiten Bildaufnahmen verarbeitet habe (Spruchpunkt 1.) und trug der BF auf, innerhalb einer Frist von zwei Wochen bei sonstiger Exekution den Aufnahmebereich gemäß Spruchpunkt 1 zeitlich und örtlich dahingehend einzuschränken, dass die Videoüberwachung (das heißt die tatsächliche Bildverarbeitung) lediglich in der Zeit zwischen Betriebsschluss und Betriebsbeginn erfolgt (Spruchpunkt 2.). Im Übrigen wies sie die Beschwerde als unbegründet ab (Spruchpunkt 3.). Begründend führte sie im Wesentlichen aus, dass die Anforderungen an Videoüberwachungen im Beschäftigungskontext besonders streng seien. Die MP habe in die Videoüberwachung nicht eingewilligt und auch sonst liege kein Rechtfertigungsgrund vor, weshalb die Videoüberwachung rechtswidrig sei.
3. Gegen Spruchpunkt 1. und 2. dieses Bescheides richtet sich die gegenständliche Beschwerde der BF vom 15.07.2024. In dieser führte die BF aufs Wesentlichste zusammengefasst aus, dass die BF über die Videoüberwachung informiert wurde und ein Hinweisschild am Eingang angebracht sei. Da sich die MP nicht gegen die Videoüberwachung aussprach, liege eine konkludente Zustimmung vor. Darüber hinaus arbeite die MP nicht mehr bei der BF und die belangte Behörde könne nicht wissen, ob es Vereinbarungen mit den übrigen Mitarbeiter:innen gebe, weshalb der erteilte Leistungsauftrag zu weitgehend sei.
4. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts mit Schriftsatz vom 25.07.2024, hg eingelangt am 30.07.2024, vor und beantragte – unter Verweis auf die Begründung des angefochtenen Bescheids – die Beschwerde abzuweisen.
Beweis wurde erhoben durch Einsichtnahme in den Verwaltungs- und Gerichtsakt.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Die BF betreibt in XXXX ein Unternehmen und beschäftigt an diesem Standort Mitarbeiter:innen. Die BF betreibt in den Geschäftsräumlichkeiten im 1. Stock eine Kamera.
1.2. Die Kamera ist gegenüber vom Hintereingang angebracht und erfasst einen Teil des 1. Stocks in Blickrichtung des Hintereingangs, in dessen Nahbereich sich Arbeitsplätze/Schreibtische, ein Ablagebereich sowie die direkt neben dem Hintereingang liegende Teeküche befinden.
1.3. Primärer Zweck der Videoüberwachung im 1. Stock ist die Überwachung des Hintereingangs und damit verbunden der Eigentumsschutz der BF.
1.4. Im Zeitraum vom 18.09.2023 bis zum 20.09.2023 befand sich ua der Arbeitsplatz der MP im Aufnahmebereich. Die MP wurde in diesem Zeitraum auf ihrem Arbeitsplatz/Schreibtisch, als auch beim Kaffeeholen in der Teeküche von der Kamera gefilmt. Die MP arbeitet nicht mehr bei der BF.
1.5. Die MP hat nicht aktiv in die Videoüberwachung eingewilligt.
1.6. Die übrigen Angestellten der BF haben nicht aktiv in die Videoüberwachung eingewilligt.
2. Beweiswürdigung:
2.1. Die Feststellung, dass die BF ein Unternehmen betreibt, ergibt sich zweifelsfrei aus den Ausführungen der BF und der MP. Dass die BF Mitarbeiter:innen beschäftigt ergibt sich sowohl aus dem diesbezüglichen Vorbringen der Parteien, der vorgelegten Vereinbarung zur Arbeitserprobung mit der MP (siehe OZ 1, S 101) sowie den vorgelegten „DSGVO-Verträgen“ mit weiteren bei der BF beschäftigten Personen (vgl OZ 4, Beilage ./A).
Dass die BF eine Kamera im 1. Stock betreibt wurde im Verfahrensverlauf nicht bestritten. Darüber hinaus legte die MP ein Foto vor, auf dem ein Mitarbeiter der BF zu sehen ist, wie er die Aufnahmen sichtet. Die BF legte im Rahmen ihrer Stellungnahme vom 26.12.2023 ebenfalls Screenshots der bei ihr vorhandenen Videokameras vor, wobei für das gegenständliche Verfahren nur die Kamera im 1. Stock gegenüber des Hintereingangs („3: Hinterausgang“) relevant ist (siehe OZ 1, S 104). In der Bescheidbeschwerde gab die BF an, dass sie die Geschäftsräumlichkeiten verändert habe, nicht jedoch, dass sie die Kamera im 1. Stock demontiert bzw außer Betrieb genommen haben (vgl OZ 1, S 207). Es war daher festzustellen, dass die BF eine Überwachungskamera im 1. Stock ihres Geschäftslokals betreibt.
2.2. Der Montageort der verfahrensgegenständlichen Videokamera ergibt sich eindeutig aus den vorgelegten Screenshots der Kamera selbst (siehe OZ 1, S 104, 106). Aus diesen ist auch der Aufnahmebereich, in dem sich links hinten der Hintereingang, davor ein Ablageort, rechts hinten die Teeküche, sowie vorne links und rechts jeweils ein Arbeitsplatz mit Bildschirmen und Schreibtischsessel befinden, eindeutig zu erkennen. Dieser Aufnahmebereich deckt sich mit dem von der MP vorgelegten Bild (siehe OZ 1, S 185). Vor dem Hintergrund, dass die BF in ihrer Bescheidbeschwerde angab, dass sie die Geschäftsräumlichkeiten verändert habe und der Arbeitsplatz der MP nicht mehr existiere (OZ 1, S 207), war „nur“ festzustellen, dass sich Arbeitsplätze im Nahbereich des von der Kamera erfassten Bereichs befinden und nicht, dass diese direkt erfasst werden. Da anhand der unterschiedlichen im Verwaltungsakt befindlichen Aufnahmen, aus jeweils unterschiedlichen Perspektiven jedoch ersichtlich ist, dass die Platzverhältnisse im 1. Stock der Geschäftsräumlichkeiten der BF begrenzt sind, war weiterhin vom Vorhandensein von Schreibtischen im unmittelbaren Nahbereich des von der Kamera erfassten Bereichs auszugehen. Diese Annahme wird auch dadurch bestätigt, dass auf den Aufnahmen, neben dem mittlerweile veränderten Schreibtisch der MP, ein weiterer Arbeitsplatz samt Arbeitsmittel ersichtlich ist, diesbezüglich aber keinerlei Veränderung vorgebracht wurde (OZ 1, S 104). Außerdem brachte die BF selbst vor, dass der Arbeitsplatz der MP nicht der einzige sei, der auf den Aufnahmen ersichtlich ist (OZ 1, S 128).
2.3. Die Feststellungen zum primären Zweck der Videoüberwachung im 1. Stock ergeben sich aus dem diesbezüglich glaubhaften Vorbringen des BF in seiner Bescheidbeschwerde, wonach er mit der Filmtätigkeit sein Eigentum schützen möchte. Da die Kamera genau gegenüber von dem Hintereingang angebracht ist, war dieses Vorbringen plausibel.
2.4. Die Feststellung, wonach sich der Arbeitsplatz der MP im Aufnahmebereich befand und sie während ihrer Tätigkeit bei der BF von der Kamera gefilmt wurde, ergibt sich eindeutig aus dem von der MP vorgelegten Foto, auf dem ersichtlich ist, dass die MP auf ihrem Schreibtisch von der Überwachungskamera im 1. Stock gefilmt wurde. Die BF selbst bestätigte, dass die MP ua dabei gefilmt wurde, wie sie sich einen Kaffee holt und anschließend auf ihrem Arbeitsplatz sitzt (vgl OZ 1, S 185, 128). Dass die MP nicht mehr bei der BF arbeitet ist unstrittig (siehe auch OZ 1, S 207).
2.5. Dass die MP nicht aktiv in die Videoüberwachung eingewilligt hat, ergibt sich bereits aus dem Vorbringen der BF. Insbesondere in der Bescheidbeschwerde verwies die BF zwar mehrfach darauf, dass sie die MP über die Videoüberwachung „informiert“ habe bzw dass am Eingang ein Hinweisschild angebracht war, allerdings behauptete sie zu keinem Zeitpunkt, dass die MP aktiv in die Videoüberwachung eingewilligt habe. Vielmehr berief sich die BF auf eine „konkludente Zustimmung“ der MP (diese habe von der Videoüberwachung gewusst und ihr nicht aktiv widersprochen). Vor dem Hintergrund, dass die BF diesbezüglich die Beweislast trifft (siehe EuGH 11.11.2020, C-61/19, Orange Romania, Rz 42), die MP in ihrer Bescheidbeschwerde vorbrachte: „[…] ich möchte nicht von Mitarbeitern überwacht werden […]“ und auch sonst keinerlei Hinweise hervorkamen, dass die BF aktiv in die Videoüberwachung eingewilligt hat, war die entsprechende Feststellung zu treffen.
2.6. Die Feststellung, dass auch die übrigen Mitarbeiter:innen der BF nicht aktiv in die Videoüberwachung durch die BF eingewilligt haben, ergibt sich aus einer Zusammenschau des Vorbringens der BF. In ihrer Bescheidbeschwerde brachte die BF noch vor, dass die Datenschutzbehörde nicht wissen könne, ob es Vereinbarungen mit den übrigen Mitarbeitern betreffend die Datenverarbeitung gibt bzw wie diese ausgestaltet sind. Nach einer diesbezüglichen Aufforderung legte die BF sogenannte „DSGVO-Verträge“ vor, die sie mit ihren Angestellten abgeschlossen hat. Diese „DSGVO-Verträge“ enthalten keinerlei aktive Zustimmung der Angestellten, sondern nur Bestimmungen „zur Information von Mitarbeitern und Praktikanten über Kameraaufzeichnungen in Betrieb“ bzw eine Klausel, wonach sich die BF damit einverstanden erklärt die DSGVO einzuhalten. Es wird an dieser Stelle nicht übersehen, dass die BF die „DSGVO-Verträge“ während dem Verfahren vor der belangten Behörde abgeschlossen hat und damit wohl weitere datenschutzrechtliche Probleme im Zusammenhang mit Videoaufzeichnungen vermeiden wollte. Allerdings ist diesen Verträgen keine aktive Einwilligung bzw Zustimmung zu entnehmen, sondern lediglich (spärliche) Informationen zur Kameraaufzeichnung bzw Absichtserklärungen der BF Mitarbeiter:innen zu informieren. Da die anwaltlich vertretene BF explizit dazu aufgefordert wurde etwaige Vereinbarungen mit ihren Angestellten vorzulegen, sie bezüglich der Einwilligungen die Beweislast trifft (siehe EuGH 11.11.2020, C-61/19, Orange Romania, Rz 42) und abgesehen von den „DSGVO-Verträgen“ keine weiteren Dokumente vorgelegt wurden, war nicht davon auszugehen, dass weitere diesbezügliche Dokumente oder Absprachen vorliegen. Es waren daher die entsprechenden Feststellungen zu treffen (vgl zu alledem OZ 1, S 207; OZ 4, Beilage ./A).
3. Rechtliche Beurteilung:
Zu A)
Die zulässige Beschwerde ist nicht berechtigt.
3.1. Zur Rechtmäßigkeit der Videoüberwachung (Spruchpunkt 1.):
3.1.1. Unter personenbezogenen Daten versteht Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Der EuGH hat bereits festgestellt, dass der Begriff der personenbezogenen Daten nicht nur die „üblichen Daten“ wie Angaben über Personalien wie Vor- und Nachnamen, Geburtsdatum, Staatsangehörigkeit oder Geschlecht umfasst, sondern auch andere Arten von Informationen, wie das von einer Kamera aufgezeichnete Bild einer Person, sofern es die Identifikation der betroffenen Person ermöglicht (EuGH 14.02.2019, C-345/17 (Buivids) Rn 31, EuGH 11.12.2014, C-212/13 (Rynes) Rn 22).
Es ist evident, dass die Aufnahmen der MP durch die von der BF angebrachten Kamera und vor dem Hintergrund, dass die MP auf den Aufnahmen eindeutig identifiziert werden kann, als personenbezogene Daten der MP zu qualifizieren sind.
3.1.2. Gemäß Art. 4 Z 2 DSGVO bezeichnet der Begriff „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Hödl in Knyrim, DatKomm Art 4 DSGVO (Stand 1.12.2018, rdb.at) Rz 34).
Auch bei einer Videoaufzeichnung von Personen auf einer kontinuierlichen Speichervorrichtung handelt es sich um eine Verarbeitung personenbezogener Daten, wobei es unbeachtlich ist, ob eine Aufzeichnung nur ein einziges Mal erfolgt ist, weil „jeder Vorgang“ von Art 4 Z 2 DSGVO erfasst ist (EuGH 27.10. 2022, C-129/21 (Proximus [Annuaires électroniques publics]) Rn 32; EugH 14.02.2019, C-345/17 (Buivids) Rn 36¸EuGH 11.12.2014, C-212/13 (Rynes) Rn 23 und 25).
Die DSGVO unterscheidet weder hinsichtlich der Intensität oder Dauer einer jeweiligen Verarbeitung, noch wird im Zusammenhang mit der für die Verarbeitung eingesetzten Technik eine Differenzierung vorgenommen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 2 DSGVO (Stand 1.12.2020, rdb.at) Rz 5, 18).
Im konkreten Fall stellen die Videoaufzeichnungen der MP durch die gegenständliche Videoüberwachungsanlage der BF zweifelsohne eine Verarbeitung personenbezogener Daten dar (siehe dazu näher das zur vergleichbaren Rechtslage ergangene Urteil des EuGH 11.12.2019, C-708/18, TK/Asociaţia de Proprietari bloc M5A-ScaraA, Rz 34 f).
3.1.3. Nach der Rechtsprechung des EuGH muss jede Verarbeitung personenbezogener Daten mit den in Art 5 Abs 1 DSGVO aufgestellten Grundsätzen im Einklang stehen, die in Art 6 DSGVO aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen und die in Art 7 bis 11 DSGVO, genannten Bestimmungen einhalten (vgl EuGH 04.05.2023, C-60/22, Bundesrepublik Deutschland, Rz 57 f).
Bei der Verarbeitung personenbezogener Daten im Beschäftigungskontext nach Art 88 DSGVO, zu denen im Recht eines Mitgliedstaats „spezifischere Vorschriften“ erlassen wurden, stellen die Regelungen der DSGVO (insbesondere Art 5, 6, 9 DSGVO) das Mindestmaß dar (vgl idS EuGH 19.12.2024, C-65/23, K GmbH (Verarbeitung personenbezogener Daten von Mitarbeitern), Rz 49 f, 56 ff).
Hinsichtlich der Voraussetzungen für die Rechtmäßigkeit der Verarbeitung enthält Art 6 Abs 1 DSGVO eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (vgl EuGH 09.01.2025, C-394/23, Mousse, Rz 25).
3.1.3.1.1. Zur Einwilligung iSd Art 6 Abs 1 lit a DSGVO:
Die Einwilligung nach Art 4 Z 11 DSGVO verlangt eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene“ Willensbekundung in Form einer Erklärung oder einer „eindeutigen bestätigenden Handlung“. „Stillschweigen“ sollte nach ErwGr 32 DSGVO keine Einwilligung darstellen. Es wird somit ausdrücklich eine aktive Einwilligung verlangt (vgl idS EuGH 11.11.2020, C-61/19, Orange Romania, Rz 36 f).
Wie festgestellt, hat die MP in die Videoüberwachung nicht aktiv eingewilligt. Der DSGVO ist eine – wie vom BF in seiner Bescheidbeschwerde vorgebracht – „konkludente Zustimmung“ fremd. Der Umstand, dass die MP nichts gegen die Vorgehensweise gesagt hat (ihr „Stillschweigen“) kann keine gültige Einwilligung darstellen (siehe zum Vorbringen des BF OZ 1, S 206). Auch sonst konnte der BF eine Einwilligung der MP entgegen Art 7 Abs 1 DSGVO, wonach ihn hierfür die Beweislast trifft, nicht nachweisen (siehe EuGH 11.11.2020, C-61/19, Orange Romania, Rz 42). Der BF kann sich somit bezüglich der Datenverarbeitung nicht auf Art 6 Abs 1 lit a DSGVO stützen.
Als Rechtmäßigkeitstatbestand in Frage kommt allenfalls auch die Wahrung berechtigter Interessen nach Art 6 Abs 1 lit f DSGVO.
3.1.3.2. Zur Wahrung berechtigter Interessen iSd Art 6 Abs 1 lit f DSGVO:
Die Verarbeitung personenbezogener Daten nach Art 6 Abs 1 lit f DSGVO ist unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl EuGH 09.01.2025, C-394/23, Mousse, Rz 45 ff).
Im Zusammenhang mit einer Videoüberwachung in einem Gebäude hat der EuGH zur im wesentlichen gleichlautenden Vorgängerbestimmung bereits ausgesprochen, dass ua der Schutz des Eigentums als „berechtigtes Interesse“ im Sinne von Art 7 lit f der Richtlinie 95/46 eingestuft werden kann (vgl EuGH 11.12.2019, C-708/18, Asociaţia de Proprietari bloc M5A-ScaraA, Rz 42). Da der primäre Zweck der Videoüberwachung im 1. Stock die Überwachung des Hintereingangs und damit verbunden der Eigentumsschutz der BF ist, kommt dieser als berechtigtes Interesse in Frage.
Im Hinblick auf die Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist. Die Voraussetzung der Erforderlichkeit ist gemeinsam mit dem Grundsatz der Datenminimierung nach Art 5 Abs 1 lit c DSGVO zu prüfen und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (vgl EuGH 09.01.2025, C-394/23, Mousse, Rz 48 f).
Im Zusammenhang mit Videoüberwachungen hat der EuGH diesbezüglich bereits ausgeführt, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung verlangt, dass der für die Verarbeitung Verantwortliche zB prüfen muss, ob es ausreicht, wenn die Videoüberwachung nur in der Nacht oder außerhalb der normalen Arbeitszeit in Betrieb ist, und Bilder, die in Bereichen aufgezeichnet wurden, in denen die Überwachung nicht erforderlich ist, blockieren oder unscharf einstellen muss (vgl idS EuGH 11.12.2019, C-708/18, Asociaţia de Proprietari bloc M5A-ScaraA, Rz 47-51).
Im vorliegenden Fall wurde die MP sowohl auf ihrem Arbeitsplatz/Schreibtisch, als auch beim Kaffeeholen in der Teeküche von der Kamera gefilmt. Die Kamera hat somit einerseits während der normalen Arbeitszeit, als auch Bereiche (Schreibtisch der MP, Teeküche) aufgezeichnet, die für die Überwachung des Hintereingangs nicht erforderlich sind. Wie die belangte Behörde bereits zutreffend ausführte, kann die BF zum (bloßen) Schutz ihres Eigentums die Videoüberwachung auf die Zeit außerhalb der normalen Arbeitszeit beschränken, schließlich ist die Sicherheit des Geschäftslokals während der Öffnungszeiten durch die physische Anwesenheit ihrer Mitarbeiter:innen gegeben (vgl OZ 1, S 72 f). Die gegenständliche Datenverarbeitung erfüllt somit nicht die Anforderungen an die Erforderlichkeit und kann daher nicht auf Art 6 Abs 1 lit f DSGVO gestützt werden.
Vor dem Hintergrund, dass nicht einmal die allgemeinen Regelungen der DSGVO eingehalten wurden und diese – wie oben ausgeführt – das Mindestmaß darstellen, konnte eine Auseinandersetzung mit etwaigen spezifischen (allenfalls noch strengeren) Regelungen wie § 12 Abs 4 Z 2 DSG bzw § 10 AVRAG unterbleiben (siehe dazu den angefochtenen Bescheid; OZ 1, S 69).
Da keine anderen Rechtfertigungsgründe behauptet wurden bzw sonst hervorkamen, war die Verarbeitung der Bildaufnahmen der MP durch die BF rechtswidrig.
Sofern die BF vorbringt, dass sie, nachdem die MP ihr mitgeteilt habe, dass sie mit der Datenverarbeitung nicht „mehr“ einverstanden sei, diese eingestellt habe, ändert nichts daran, dass die bis dahin stattgefundene Verarbeitung rechtswidrig war. Da sich Spruchpunkt 1. des Bescheides auf den Zeitraum zwischen dem 18.09.2023 und 20.09.2023 beschränkt, konnte eine Auseinandersetzung mit etwaigen danach getroffenen Maßnahmen (bezüglich Spruchpunkt 1.) unterbleiben.
Die belangte Behörde hat zutreffend einen diesbezüglichen Verstoß festgestellt. Die gegen Spruchpunkt 1. gerichtete Bescheidbeschwerde war daher abzuweisen.
3.1. Zum Leistungsauftrag die Videoüberwachung zeitlich einzuschränken (Spruchpunkt 2.):
Ist die Aufsichtsbehörde am Ende ihrer Untersuchung der Ansicht, dass die Verarbeitung nicht den Anforderungen der DSGVO entspricht, so muss sie nach dem Unionsrecht die geeigneten Maßnahmen erlassen, um den festgestellten Verstößen abzuhelfen (vgl EuGH 14.03.2024, C-46/23, Újpesti Polgármesteri Hivatal, Rz 25 ff, 42, 46).
Da die MP nicht mehr im Betrieb der BF arbeitet, war zu prüfen, ob die weiterhin durchgeführte Videoüberwachung hinsichtlich sonstiger bei der BF beschäftigten Personen rechtmäßig ist, oder ob es diesbezüglich eines einschränkenden Leistungsauftrages bedarf.
Wie bereits ausgeführt, muss die BF, um sich auf die Einwilligung nach Art 6 Abs 1 lit a DSGVO zu berufen, eine ausdrückliche und insbesondere aktive Einwilligung der betroffenen Personen (somit ihrer übrigen Arbeitnehmer:innen) nachweisen (siehe dazu abermals EuGH 11.11.2020, C-61/19, Orange Romania, Rz 36 f, 42).
Die übrigen Dienstnehmer der BF haben ebenfalls nicht aktiv in die Videoüberwachung eingewilligt (vgl die diesbezüglichen Feststellungen). Wie in der Beweiswürdigung bereits ausgeführt, enthält der „DSGVO-Vertrag“ an keiner Stelle eine ausdrückliche Zustimmung zur Videoüberwachung bzw eine sonstige ausdrückliche Einwilligung. In diesem Zusammenhang ist der belangten Behörde beizupflichten, dass die Freiwilligkeit der Einwilligungen im Beschäftigungskontext aufgrund des Ungleichgewichts der Macht, sowie des Abhängigkeitsverhältnisses schwer nachzuweisen ist (vgl OZ 1, S 70 f). Wenn nun der vorgelegte „DSGVO-Vertrag“ nicht einmal eine ausdrückliche Einwilligung enthält, dann kann er bei einem – wie hier – vorliegenden Ungleichgewicht der Macht zwischen der BF als Arbeitgeberin und deren Angestellten, erst recht nicht als Nachweis einer gültigen und freiwilligen Einwilligung dienen.
Vor diesem Hintergrund konnte eine weitere Auseinandersetzung mit dem „DSGVO-Vertrag“ und inwiefern dieser der „Information von Mitarbeitern und Praktikanten über Kameraaufzeichnungen im Betrieb“ dient, unterbleiben.
Im Hinblick auf eine allfällige Rechtmäßigkeit der Verarbeitung zur Wahrung berechtigter Interessen der BF (Eigentumsschutz) iSd Art 6 Abs 1 lit f DSGVO kann auf die rechtliche Beurteilung unter Punkt II.3.1.2. verwiesen werden, wonach die gegenständliche Videoüberwachung während der normalen Arbeitszeit, sowie von Bereichen (Schreibtische bzw deren Nahbereich, sowie der Teeküche), die für die Überwachung des Hintereingangs nicht erforderlich sind, die Vorgaben des EuGH bezüglich der Erforderlichkeit nicht erfüllt (vgl EuGH 11.12.2019, C-708/18, Asociaţia de Proprietari bloc M5A-ScaraA, Rz 47-51).
Die von der belangten Behörde aufgetragene Einschränkung der Verarbeitungstätigkeit der BF („Die Videoüberwachung (das heißt die tatsächliche Bildverarbeitung) ist lediglich in der Zeit zwischen Betriebsschluss und Betriebsbeginn zulässig“) entspricht der zitierten Rechtsprechung des EuGH. Da während der normalen Arbeitszeiten das Eigentum von der BF bzw deren Angestellten ausreichend geschützt werden kann, erscheint die Einschränkung auf die Zeiten zwischen Betriebsschluss und Betriebsbeginn jedenfalls angemessen. Dadurch werden sowohl die Geheimhaltungsinteressen der Angestellten der BF, als auch das berechtigte Interesse der BF ihr Eigentum zu schützen, gewahrt.
Die belangte Behörde hat der BF daher zu Recht die Einschränkung ihrer Videoverarbeitungstätigkeit iSd Art 58 Abs 2 lit d DSGVO aufgetragen.
Die Frist von zwei Wochen erscheint für die Implementierung einer zeitlichen Beschränkung der Videoüberwachung, mehr als angemessen.
Die auch gegen Spruchpunkt 2. gerichtete Bescheidbeschwerde war daher abzuweisen.
3.2. Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde im Wesentlichen vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. Vor dem Hintergrund, dass die von der BF vorgebrachte „konkludente Zustimmung“ nach der DSGVO nicht zulässig ist, war das Vorbringen der BF, dass sie die MP (bzw allenfalls die übrigen Angestellten) ua mit Hinweisschildern über die Videoaufzeichnungen informiert habe, nicht entscheidungserheblich. Da der Bescheid in Spruchpunkt 1. „nur“ über den Zeitraum bis zum 20.09.2023 abspricht (dies war der Tag an dem die MP ihre Datenschutzbeschwerde einbrachte; selbst wenn man der Argumentation der BF folgen würde, wäre dies der Tag an dem die MP ihren Widerspruch zum Ausdruck gebracht hätte), war das Vorbringen der BF über allfällige Videoaufnahmen von der MP nach diesem Datum nicht entscheidungsrelevant, da der Bescheid darüber auch nicht abspricht. Das diesbezügliche vorbringen war daher auch nicht nachvollziehbar (OZ 1, S 206 f).
Die von der BF in ihrer Bescheidbeschwerde vorgebrachten Veränderungen der Geschäftsräumlichkeiten sowie auch die in Aussicht gestellten „DSGVO-Verträge“ (siehe OZ 4), wurden in der gegenständlichen Entscheidung bereits berücksichtigt. Es war daher nicht erkennbar, inwiefern eine mündliche Erörterung zu einer weiteren Klärung der Rechtssache geführt hätte (vgl dazu VwGH 19.10.2022, Ro 2022/04/0001, RS 5). Dem Entfall der Verhandlung stand auch Art 6 Abs 1 EMRK bzw Art 47 GRC nicht entgegen. Von der mündlichen Verhandlung konnte daher gemäß § 24 Abs 4 VwGVG abgesehen werden.
3.2. Es war daher spruchgemäß zu entscheiden.
Zu B) (Un)Zulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich auf die jeweils zitierte Rechtsprechung des VwGH bzw insbesondere des EuGH bezüglich Videoüberwachungen sowie der Freiwilligkeit von Einwilligungen stützen.
Rückverweise
