Videoüberwachung im Mehrparteienhaus – eine datenschutzrechtliche Kurzbetrachtung

Kommentar von RA Dr. Thomas Schweiger, zertifizierter Datenschutzbeauftragter

Mit Geltungsbeginn der DSGVO am 25.05.2018 hat sich die Rechtslage für Videoüberwachungsanlagen in Mehrparteienhäusern in Österreich geändert. Die erste Strafe, die in der EU wegen einer Verletzung der DSGVO verhängt wurde, war eine Geldstrafe wegen einer unzulässigen Videoüberwachung. Der Entscheidungstext ist auf der Website der Datenschutzbehörde veröffentlicht.

Die Aufzeichnung von Bild- und Akustikdaten zum Zweck der (nachträglichen) Identifizierung von Personen, die Sach- oder Personenschäden in den überwachten Bereichen verursachen (= Zweck der Verarbeitung), stellt eine Verarbeitung iSd der DSGVO dar. In den §§ 12 und 13 DSG finden sich Spezialregelungen zur „Bildverarbeitung“.

Kennzeichnung mit Hinweisschild sowie Information gem. Art 13 DSGVO
Die DSGVO schreibt vor, dass jede betroffene Person vor Erhebung von personenbezogenen Daten gem. Art 13 DSGVO in Kenntnis zu setzen ist. Dies geschieht durch ein geeignetes Hinweisschild, das so anzubringen ist, dass vor Betreten des überwachten Bereiches die betroffenen Personen über die Verarbeitung ihrer personenbezogenen Bilddaten informiert werden. Neben dem Hinweisschild muss der Verantwortliche auch alle anderen notwendigen Informationen gem. Art 13 DSGVO zur Verfügung stellen (z. B. durch einen weiteren Aushang in einem zugänglichen noch nicht überwachten Bereich oder Verweis auf eine Datenschutzinformation im Internet).

§ 13 Abs 5 DSG normiert, dass aus der Kennzeichnung jedenfalls der Verantwortliche (= Betreiber der Videoüberwachungsanlage) ersichtlich sein muss, sofern dies nicht aus den Umständen hervorgeht. Wie genau die Kennzeichnung zu erfolgen hat, ist noch nicht im Detail geklärt, aber der Europäische Datenschutzausschuss hat in einem veröffentlichten Vorschlag zu Richtlinien zur Verarbeitung von personenbezogenen Daten durch Videogeräte ein Hinweisschild als Beispiel veröffentlicht:

Rechtsgrundlage der Verarbeitung
Jede Verarbeitung, d. h. auch die Bildverarbeitung im Rahmen einer Videoüberwachung bedarf einer ausreichenden Rechtsgrundlage. Die taugliche Rechtsgrundlage für die Verarbeitung von Bild- und Akustikdaten ist das überwiegend berechtigte Interesse (Art 6 Abs 1 lit f DSGVO iVm § 12 Abs 2 Z 4 DSG) des Verantwortlichen (oder eines Dritten) am Schutz des Eigentums und/oder der Personen im überwachten Bereich.

§ 12 Abs 3 Z 1 und Z 2 DSG legen dazu explizite Möglichkeiten fest, und zwar den vorbeugenden Schutz von Personen oder Sachen auf privaten Liegenschaften, die ausschließlich vom Verantwortlichen genutzt werden, sofern die Videoanlage räumlich nicht über die Liegenschaft hinausreicht, mit Ausnahme einer zur Zweckerreichung allenfalls unvermeidbaren Einbeziehung öffentlicher Verkehrsflächen, oder an öffentlich zugänglichen Orten, die dem Hausrecht des Verantwortlichen unterliegen, sofern die Überwachung aufgrund bereits erfolgter Rechtsverletzungen oder eines in der Natur des Ortes liegenden besonderen Gefährdungspotenzials erforderlich ist. Die erste Möglichkeit scheidet m. E. beim „Mehrparteien-Haus“ regelmäßig aus, da auszuschließen ist, dass diese Liegenschaft nur vom Verantwortlichen (d. h. dem Betreiber der Überwachungsanlage) genutzt wird. Es ist daher notwendig, dass eine besondere Gefährdung des Ortes gegeben ist, damit die Datenerhebung verhältnismäßig und damit zulässig ist.

Der höchstpersönliche Lebensbereich der Hausbewohner
Unzulässig ist nach der Rechtsprechung des OGH sowie auch nach § 12 Abs 4 Z 1 die Videoüberwachung des höchstpersönlichen Lebensbereiches, wozu auch der Eingangsbereich bei der Wohnungstüre oder der Gartentüre zählt.

Öffentliche Bereiche
Die Einbeziehung von öffentlichen Bereichen, z. B. Straßen oder Parkflächen außerhalb der Grundstücksgrenze, ist auf das Notwendigste zu beschränken, wobei sich aus der Datenschutz-Folgenabschätzung Ausnahme-Verordnung ergibt, dass diese räumlich „mit Ausnahme einer zur Zweckerreichung allenfalls unvermeidbaren Einbeziehung öffentlicher Verkehrsflächen im Ausmaß von bis zu einem halben Meter“ die Grundstücksgrenze nicht überschreiten darf.

Datenschutz-Folgenabschätzung (DSFA)
Die Datenschutz-Folgenabschätzung Verordnung (black list) definiert Verarbeitungen, für welche nach Ansicht der Datenschutzbehörde ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht, und daher verpflichtend eine DSFA erforderlich ist. Bei Feststellung eines hohen Risikos für die betroffenen Personen kann die Verarbeitung dennoch zulässigerweise erfolgen, wenn dieses Risiko mit technischen und organisatorischen Maßnahmen abgemildert wird.

Gemäß § 2 Abs 2 Z 3 DSFA-V ist eine DSFA für Verarbeitungen erforderlich, welche die Beobachtung, Überwachung oder Kontrolle von betroffenen Personen insbesondere mittels Bild- und damit verbundenen Akustikdatenverarbeitungen zum Ziel haben,  z. B. wenn dies auf Liegenschaften erfolgt, die zu Wohnzwecken dienen, die nicht ausschließlich vom Verantwortlichen und von allen im gemeinsamen Haushalt lebenden Nutzungsberechtigten genutzt werden. Für Videoüberwachungen in Mehrparteienhäusern ist daher m. E. eine Datenschutz-Folgenabschätzung nötig, um zu dokumentieren, dass sich der Verantwortliche mit dem Risiko und insbes. den Maßnahmen zur Senkung des Risikos (z. B. Verschlüsselung, Zugriff auf die Daten nur in begründeten Anlassfällen mit Protokollierung im Vier-Augen-Prinzip) auseinandergesetzt hat.

Mitarbeiterschutz
Zu beachten ist auch, dass eine Betriebsvereinbarung iSd § 96 Abs 1 Z 3 ArbVG oder bei Verantwortlichen, die über keinen Betriebsrat verfügen, eine Einzelzustimmung iSd § 10 Abs 1 AVRAG notwendig ist, wenn nicht auszuschließen ist, dass sich auch Mitarbeiterinnen und Mitarbeiter des Verantwortlichen im überwachten Bereich aufhalten.

Weitere Informationen zum Datenschutz und auch Videoüberwachung finden Sie auch auf meiner Homepage: www.dataprotect.at