Videoüberwachung mit neun Außen- und Innenkameras führt zu einer Geldstrafe von EUR 1.500.000,-- (nicht rechtskräftig) - ein Highlight aus dem DSB-Newsletter

Strafe wegen Videoüberwachung - neun Außen- und Innenkameras führen zu einer Geldstrafe von EUR 1.500.000,— 

Die Kameraanlage (neun Außen- und Innenkameras) wurde in einem stark von Fußgänger:innen frequentierten Bereich innerhalb von Wien betrieben, sodass es sich mE um die Überwachung einer öffentlichen Fläche, die nicht in der Verfügungsmacht des Verantwortlichen stand handelt. Die DSB reagiert bei derartigen Videoüberwachungen von öffentlichen Bereichen sehr sensibel!

Der Umsatz des “Unternehmens” ist maßgebend laut Aussage der DSB maßgebend; im konkreten Fall ging die DSB (siehe Datenschutzbericht 2024) von einer überdurchschnittlichen Unternehmensgröße (Umsatz mehr als EUR 500.000.000,--) aus und verhängte lt. Ansicht der DSB eine verhältnismäßige Geldstrafe (von errechnet 0,3% des Umsatzes, bei einer Strafdrohung von bis zu 4%). 

Die Kameraanlage wurde in einem stark von Fußgänger:innen frequentierten Bereich innerhalb von Wien betrieben

Hier der Auszug aus dem Newsletter der DSB:

DSB-D550.761 (2023-0.680.196), Straferkenntnis: unrechtmäßige Verarbeitung durch den Betrieb einer Videoüberwachungsanlage

Die Datenschutzbehörde hat mit Straferkenntnis vom 16.08.2024 eine Verwaltungsübertretung durch unrechtmäßigen Betrieb einer Videoüberwachungsanlage (bestehend aus neun Außen- und Innenkameras) festgestellt und eine Geldbuße gegen eine juristische Person, die einem Unternehmen im Sinne des Art. 101 und 102 AEUV angehört, in Höhe von EUR 1,5 Millionen verhängt (Verwaltungsübertretung nach Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO).

Der EuGH stellte in einer wegweisenden Entscheidung zuletzt fest, dass Aufsichtsbehörden bei der Berechnung einer Geldbuße nach Art. 83 DSGVO verpflichtet sind, den Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV auszulegen, wenn die Verantwortliche einer sogenannten wirtschaftlichen Einheit, die auch aus mehreren juristischen Personen bestehen kann, angehört.

Nur dadurch kann letztlich sichergestellt werden, dass eine Geldbuße, deren Höhe anhand der tatsächlichen Leistungsfähigkeit des Adressaten festgesetzt wird, die drei in Art. 83 Abs. 1 DSGVO zentralen Voraussetzungen einer Geldbuße (wirksam, abschreckend und verhältnismäßig) erfüllt (vgl. EuGH 05.12.2023, Rn 56 bis 59).

Im Zuge der Strafbemessung wurden die Leitlinien des Europäischen Datenschutzausschusses zur Berechnung von Geldbußen nach Art. 83 DSGVO zur Anwendung gebracht (vgl. Leitlinien 04/2022, Version 2.1, angenommen am 24.05.2023) und dabei sowohl einerseits die Unternehmensgröße und überdurchschnittliche Leistungsfähigkeit des Unternehmens, aber andererseits auch insbesondere die Verhältnismäßigkeit der Geldbuße berücksichtigt. Durch die Anwendung dieser Leitlinien soll eine einheitliche Anwendung und Durchsetzung der DSGVO innerhalb der Europäischen Union sichergestellt und das gemeinsame Verständnis der europäischen Aufsichtsbehörden zu Art. 83 DSGVO zum Ausdruck gebracht werden.

Die Leitlinien wurden in rezenten Entscheidungen des Bundesverwaltungsgerichts ebenfalls zur Anwendung gebracht (vgl. BVwG 27.03.2024, W214 2243436-1; 07.06.2024, W256 2246230-1).

Dieses Straferkenntnis ist nicht rechtskräftig.

Aus dem Datenschutzbericht der DSB über das Jahr 2024 ergibt sich, dass die "Unternehmensgröße als ein wesentlicher Faktor herangezogen wird. Die DSB hat im vorliegenden Fall zwar die überdurchschnittliche Unternehmensgröße (mehr als EUR 500 Mio. Jahr berücksichtigt, aber insbesondere auch auf die Verhältnismäßigkeit geachtet."