Text

GZ: DSB-D213.679/0003-DSB/2018 vom 16.4.2019

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet im Rahmen eines amtswegigen Prüfverfahrens gegen die N*** Bergbahnen GmbH, vertreten durch B*** C*** D*** Rechtsanwälte GmbH, wegen Verletzung im Recht auf Geheimhaltung in Folge unzulässiger Bildverarbeitung wie folgt:

1.    Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass die durch die N*** Bergbahnen GmbH vorgenommene Bildverarbeitung (automatisch betriebene Fotoanlage auf der Sommerrodelbahn) auf Basis einer mit dem Benützungsvertrag untrennbar verbundenen Einwilligungserklärung unrechtmäßig ist.

2.    Die N*** Bergbahnen GmbH wird angewiesen, innerhalb einer Frist von acht Wochen bei sonstiger Exekution die Datenverarbeitung durch die Bildverarbeitungsanlage nur dann zu ermöglichen, wenn entweder

a)    die betroffene Person unabhängig vom Benützungsvertrag ihre Einwilligung zur Datenverarbeitung erteilt hat oder

b)    im Einzelfall überwiegende berechtigte Interessen des Verantwortlichen oder eines Dritten bestehen und die Verhältnismäßigkeit gegeben ist.

3.    Die N*** Bergbahnen GmbH wird angewiesen, die derzeitige Form der Bildverarbeitung (d.h. auf Basis einer mit dem Benützungsvertrag untrennbar verbundenen Einwilligungserklärung) mit sofortiger Wirkung bei sonstiger Exekution zu unterlassen.

Rechtsgrundlagen: §§ 1 Abs. 1, 12 Abs. 1 und 2 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF, sowie Art. 7 und Art. 58 Abs. 1 lit. b und Abs. 2 lit. d und f der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 vom 4.5.2016, S. 1.Rechtsgrundlagen: Paragraphen eins, Absatz eins,, 12 Absatz eins, und 2 des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF, sowie Artikel 7 und Artikel 58, Absatz eins, Litera b und Absatz 2, Litera d, und f der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 vom 4.5.2016, Sitzung 1.

BEGRÜNDUNG

A. Vorbringen und Verfahrensgang

Am 27. Juli 2018 wurde die Datenschutzbehörde durch eine, in weiterer Folge anonym behandelten E-Mail auf die automatische Fotoanlage der N*** Bergbahnen GmbH hingewiesen. Die Fotoanlage würde die Kunden der Sommerrodelbahn während der Fahrt automatisch fotografieren und die Bilder automatisch speichern. Diese Bilder könne man sich nach der Fahrt ansehen und kaufen. Es werde nicht bekannt gegeben, wo und wie lange diese Bilder gespeichert werden. Auch könne man die automatischen Fotoaufnahmen vor Ort nicht ablehnen.

Die N*** Bergbahnen GmbH brachte mit Stellungnahme vom 30. August 2018 zusammengefasst vor, im Streckenverlauf der betriebenen Sommerrodelbahn befinde sich eine sog. Actioncam, mittels dieser automatisch ein Lichtbild der Rodelgäste an einer zuvor hinreichend deutlich und sichtbar markierten Stelle angefertigt werde. Die Anfertigung des Lichtbildes erfolge automatisch, in dem vom Rodelgast mit dem jeweiligen Rodelschlitten eine Lichtschranke durchfahren werde. Im Eingangsbereich der Liftanlage sowie beim Einstieg der Sommerrodelbahn seien zweisprachige Schilder aufgestellt, die auf die Actioncam hinweisen würden. Durch diese Schilder würden die Rodelgäste in sichtbarer Weise darauf hingewiesen werden, dass das Befahren der Sommerrodelbahn sowie die Möglichkeit zum Erwerb eines entsprechenden Erinnerungsfotos der Actioncam einen gemeinsamen und einheitlichen Vertragsgegenstand darstellen würden. Durch den Kauf des Tickets, würden seitens der Rodelgäste wirksame (schlüssig erteilte) Einwilligungen in die Bildaufnahme vorliegen. Im Verlauf der Rodelbahn seien an gut sichtbaren Stellen diverse Schilder angebracht, die den Rodelgast darauf hinweisen würden, in wie viel Meter Entfernung die Actioncam positioniert sei. Für jeden Rodelgast bestehe somit die Möglichkeit, rechtzeitig adäquate Maßnahmen zu ergreifen, um nicht von der Actioncam abgelichtet zu werden. Auch würden die Rodelgäste explizit auf der Homepage auf die Lichtbildaufnahme hingewiesen werden. Gleichzeitig würden potenzielle Rodelgäste darauf hingewiesen werden, dass sich jede Person mit dem Kauf eines Tickets damit einverstanden erklärt, dass ein entsprechendes Erinnerungsbild während der Rodelfahrt angefertigt wird. Die Dauer der Bilderspeicherung würde maximal 14 Stunden betragen, die Lichtbilddaten würden jeden Tag um 23:00 gelöscht werden.

B. Verfahrensgegenstand

Verfahrensgegenstand ist die Frage, ob die Rodelgäste in Bezug auf die Bildverarbeitung angehalten werden, eine Einwilligung abzugeben, die nicht den Anforderungen der DSGVO entspricht, und dadurch im Recht auf Geheimhaltung verletzt werden.

Eine andere Rechtsgrundlage wurde seitens der N*** Bergbahnen GmbH nicht vorgebracht.

Nicht Gegenstand dieses Prüfverfahrens ist daher die Frage, ob die gegenständliche Bildverarbeitung auf einen sonstigen Eingriffstatbestand gemäß Art. 6 DSGVO bzw. § 12 Abs. 2 DSG gestützt werden kann.Nicht Gegenstand dieses Prüfverfahrens ist daher die Frage, ob die gegenständliche Bildverarbeitung auf einen sonstigen Eingriffstatbestand gemäß Artikel 6, DSGVO bzw. Paragraph 12, Absatz 2, DSG gestützt werden kann.

C. Sachverhaltsfeststellungen

Die N*** Bergbahnen GmbH betreibt an der Adresse E***-Weg *7, ***3 N***, eine Sommerrodelbahn. Im Streckenverlauf der betriebenen Sommerrodelbahn befindet sich eine sog. „Actioncam“ des Modells Aixis P1357-E.

Auf der Website der N*** Bergbahnen GmbH findet sich folgender Hinweis (Rechtschreibung wie im Original):

„Jeder Gast erklärt sich mit dem Ticketerwerb, bzw. durchschreiten des Drehkreuzes damit einverstanden, dass die N*** Bergbahnen GmbH während der Abfahrt mit der Sommerrodelbahn Actionfotos von Erwachsenen und deren zugehörigen Kindern für 24 Stunden zum Zwecke des späteren Verkaufs an die Rodler/innen speichert/veröffentlicht. Eine Verwendung für jeglichen anderen Zweck ist ausgeschlossen und bedarf einer gesonderten schriftlichen Einwilligung des/der Kunden/in.“

Im Verlauf der Rodelbahn sind an gut sichtbaren Stellen diverse Schilder angebracht, die den Rodelgast darauf hinweisen, in wie vielen Metern Entfernung die Actioncam positioniert ist. Um nicht von der Actioncam aufgenommen zu werden besteht beispielsweise nur die Möglichkeiten das Gesicht zu verdecken oder sich zur Seite zu drehen. Die Actioncam wurde von der N*** Bergbahnen GmbH am 08.08.2018 vorläufig außer Betrieb genommen.

Beweiswürdigung: Die getroffenen Feststellungen stützen sich auf das Vorbringen der N*** Bergbahnen GmbH vom 30.08.2018 sowie auf die Angaben auf der Homepage (https://e***berg.n***-info/; zuletzt abgerufen am 15. April 2019).

D. In rechtlicher Hinsicht folgt daraus:

1. Gemäß § 12 Abs. 2 DSG ist eine Bildverarbeitung u.a. dann zulässig, wenn die betroffene Person zur Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. 1. Gemäß Paragraph 12, Absatz 2, DSG ist eine Bildverarbeitung u.a. dann zulässig, wenn die betroffene Person zur Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.

Gemäß Art. 7 DSGVO sowie unter Berücksichtigung von Art. 4 Z 11 sowie ErwGr 43 DSGVO muss eine Einwilligung freiwillig erfolgen und darf nicht an die Erfüllung eines Vertrages gekoppelt sein, obwohl die Einwilligung zur Erfüllung dieses Vertrags nicht erforderlich ist. Unfreiwillig ist eine Einwilligung dann, wenn bei Nichtabgabe der Einwilligung ein Nachteil zu erwarten ist. Gemäß Artikel 7, DSGVO sowie unter Berücksichtigung von Artikel 4, Ziffer 11, sowie ErwGr 43 DSGVO muss eine Einwilligung freiwillig erfolgen und darf nicht an die Erfüllung eines Vertrages gekoppelt sein, obwohl die Einwilligung zur Erfüllung dieses Vertrags nicht erforderlich ist. Unfreiwillig ist eine Einwilligung dann, wenn bei Nichtabgabe der Einwilligung ein Nachteil zu erwarten ist.

Die ehemalige Art. 29-Datenschutzgruppe hat sich in ihren Leitlinien mit dem Begriff der „Einwilligung“ beschäftigt und eine gründliche Analyse des Begriffes vorgenommen (vgl. Art. 29-Datenschutzgruppe, Leitlinien in Bezug auf die Einwilligung gemäß Verordnung 2016/679, WP 259, rev. 01).Die ehemalige Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, hat sich in ihren Leitlinien mit dem Begriff der „Einwilligung“ beschäftigt und eine gründliche Analyse des Begriffes vorgenommen vergleiche Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e,, Leitlinien in Bezug auf die Einwilligung gemäß Verordnung 2016/679, WP 259, rev. 01).

Das Element „frei“ impliziert, dass die betroffenen Personen eine echte Wahl und die Kontrolle haben. Im Allgemeinen schreibt die DSGVO vor, dass eine Einwilligung nicht gültig ist, wenn die betroffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss, wenn sie nicht einwilligt. Wenn die Einwilligung ein nicht verhandelbarer Teil von Geschäftsbedingungen ist, wird angenommen, dass die Einwilligung nicht freiwillig erteilt wurde. Art. 7 Abs. 4 der DSGVO weist unter anderem darauf hin, dass eine Situation, in der die Einwilligung mit der Annahme von Vertragsbedingungen „gebündelt“ wird oder die Erfüllung eines Vertrags oder die Erbringung einer Dienstleistung mit dem Ersuchen um Einwilligung in eine Verarbeitung von personenbezogenen Daten „verknüpft“ wird, die für die Erfüllung des Vertrags nicht erforderlich sind, als in höchstem Maße unerwünscht angesehen wird. Wird die Einwilligung in einer solchen Situation erteilt, gilt sie als nicht freiwillig erteilt (vgl. ErwGr 43 DSGVO).Das Element „frei“ impliziert, dass die betroffenen Personen eine echte Wahl und die Kontrolle haben. Im Allgemeinen schreibt die DSGVO vor, dass eine Einwilligung nicht gültig ist, wenn die betroffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss, wenn sie nicht einwilligt. Wenn die Einwilligung ein nicht verhandelbarer Teil von Geschäftsbedingungen ist, wird angenommen, dass die Einwilligung nicht freiwillig erteilt wurde. Artikel 7, Absatz 4, der DSGVO weist unter anderem darauf hin, dass eine Situation, in der die Einwilligung mit der Annahme von Vertragsbedingungen „gebündelt“ wird oder die Erfüllung eines Vertrags oder die Erbringung einer Dienstleistung mit dem Ersuchen um Einwilligung in eine Verarbeitung von personenbezogenen Daten „verknüpft“ wird, die für die Erfüllung des Vertrags nicht erforderlich sind, als in höchstem Maße unerwünscht angesehen wird. Wird die Einwilligung in einer solchen Situation erteilt, gilt sie als nicht freiwillig erteilt vergleiche ErwGr 43 DSGVO).

Wenn der Verantwortliche die Erfüllung eines Vertrags mit dem Ersuchen um Einwilligung verknüpft, geht eine betroffene Person, die dem Verantwortlichen ihre personenbezogenen Daten nicht für die Verarbeitung zur Verfügung stellen möchte, folglich das Risiko ein, dass ihr Leistungen verwehrt werden, um die sie ersucht hat.

Der Verantwortliche muss nachweisen, dass es möglich ist, die Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu erleiden. Er muss beispielsweise nachweisen, dass das Verweigern oder Widerrufen der Einwilligung nicht zu Kosten für die betroffene Person führt und folglich zu einem eindeutigen Nachteil. Ferner sollte der Verantwortliche nachweisen, dass die betroffene Person eine echte oder freie Wahl hatte, ob sie einwilligt oder nicht (vgl. ErwGr 42 DSGVO; vgl. weiters den Bescheid vom 30. November 2018, GZ DSB-D122.931/0003-DSB/2018).Der Verantwortliche muss nachweisen, dass es möglich ist, die Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu erleiden. Er muss beispielsweise nachweisen, dass das Verweigern oder Widerrufen der Einwilligung nicht zu Kosten für die betroffene Person führt und folglich zu einem eindeutigen Nachteil. Ferner sollte der Verantwortliche nachweisen, dass die betroffene Person eine echte oder freie Wahl hatte, ob sie einwilligt oder nicht vergleiche ErwGr 42 DSGVO; vergleiche weiters den Bescheid vom 30. November 2018, GZ DSB-D122.931/0003-DSB/2018).

Bei der Koppelung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss ist grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolgt, wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprechen (siehe dazu das Urteil des OGH vom 31. August 2018, GZ 6 Ob 140/18h mwN).

2. Umgelegt auf den vorliegenden Fall bedeutet dies Folgendes:

Im konkreten Fall stellen die Fahrt mit der Sommerrodelbahn und die Abbildung durch die Actioncam nach den Ausführungen der N*** Bergbahnen GmbH einen gemeinsamen und einheitlichen Vertragsgegenstand dar. Die Einwilligung zur Fotoaufnahme und damit in eine Verarbeitung personenbezogener Daten ist an die Erfüllung eines Vertrages und somit an die Benutzung der Sommerrodelbahn „gekoppelt“, obwohl die Einwilligung für die Erfüllung des Vertrages – die Benützung der Sommerrodelbahn gegen Entgelt – nicht notwendig oder erforderlich ist. Eine echte oder freie Wahl, ob man von der Kamera aufgenommen wird, besteht nicht. Gibt eine betroffene Person keine Einwilligung zur Aufnahme ab, so besteht die Konsequenz und der eindeutige Nachteil darin, die Sommerrodelbahn nicht benutzen zu können.

Die Möglichkeit, vor Durchfahren der Lichtschranke das Gesicht zu verdecken oder sich zur Seite zu wenden ändert daran nichts, weil selbst in diesen Fällen personenbezogene Daten vorliegen; Benützer der Rodelbahn können auch diesfalls mit verhältnismäßigem Aufwand identifiziert werden (vgl. zur weiten Auslegung des Begriffs „personenbezogenes Datum“ das Urteil des EuGH vom 19. Oktober 2016, C-582/14).Die Möglichkeit, vor Durchfahren der Lichtschranke das Gesicht zu verdecken oder sich zur Seite zu wenden ändert daran nichts, weil selbst in diesen Fällen personenbezogene Daten vorliegen; Benützer der Rodelbahn können auch diesfalls mit verhältnismäßigem Aufwand identifiziert werden vergleiche zur weiten Auslegung des Begriffs „personenbezogenes Datum“ das Urteil des EuGH vom 19. Oktober 2016, C-582/14).

Der Leistungsauftrag gemäß Spruchpunkt 2 gründet sich auf Art. 58 Abs. 2 lit. d DSGVO, jener gemäß Spruchpunkt 3 auf Art. 58 Abs. 2 lit. f DSGVO. Der Leistungsauftrag gemäß Spruchpunkt 2 gründet sich auf Artikel 58, Absatz 2, Litera d, DSGVO, jener gemäß Spruchpunkt 3 auf Artikel 58, Absatz 2, Litera f, DSGVO.

Eine Frist von acht Wochen scheint angemessen, um dem Leistungsauftrag gemäß Spruchpunkt 2 zu entsprechen.

Eine Untersagung der derzeitigen Form der Datenverarbeitung ist geboten, weil diese als unrechtmäßig einzustufen ist.

Es war daher spruchgemäß zu entscheiden.

European Case Law Identifier

ECLI:AT:DSB:2019:DSB.D213.679.0003.DSB.2018