Das VG Berlin hat entschieden, kein Auskunftsanspruch nach Art 15 DSGVO hinsichtlich im Rahmen der Videoüberwachung in S-Bahnen gewonnenen Aufzeichnungen besteht, da der Aufwand unverhältnismäßig wäre.
Aus den Entscheidungsgründen: Letztlich kann jedoch offenbleiben, ob die im Rahmen der Videoüberwachung in den S-Bahnen der Klägerin gewonnenen Aufzeichnungen – allgemein bzw. im vorliegenden Sachverhalt – personenbezogene Daten darstellen. Denn der Beigeladene hatte, unter keinem Gesichtspunkt einen Anspruch auf Zurverfügungstellung einer Kopie der Videoaufzeichnungen.
Der insoweit nach dem allgemeinen Günstigkeitsprinzip (vgl. hierzu BVerwG, Urteil vom 27. November 1980 - 2 C 38.79, juris Rn. 39) darlegungsbelastete Beigeladene hat schon nicht nachgewiesen, dass – was von der zuvor aufgeworfenen Frage des Personenbezugs der Daten zu unterscheiden ist – er tatsächlich die „betroffene Person“ i.S.d. Art. 15 DSGVO ist, deren Bilddaten zu dem von ihm angegebenen Zeitraum in dem von ihm benannten Zug der Klägerin gespeichert wurden. Die Klägerin hat in diesem Zusammenhang zu Recht darauf hingewiesen, dass, um die Herausgabe an unberechtigte Dritte ausschließen zu können, eine zweifelsfreie Übereinstimmung der Person des Auskunftsbegehrenden mit der Person des auf den Videos Abgebildeten gewährleistet werden muss. Hierfür reichen aber allein Angaben, wie der Beigeladenen sie gemacht hat (Zeitraum der Beförderung, Zugnummer, äußeres Erscheinungsbild und Verhaltensweise der Person) nicht aus. Denn es erscheint beispielsweise denkbar, dass ein Antragsteller derartige Angaben zu einer anderen Person macht, die ihm etwa deshalb bekannt sind, weil er mit ihr zusammen in einem der Züge der Klägerin gefahren ist, um so an die Videoaufzeichnungen dieser Person zu gelangen. Unabhängig von der Frage, ob überhaupt – und wenn ja auf welche Art und Weise – verlässlich die Identität eines Antragstellers mit einer im Rahmen der Videoaufzeichnung erfassten Person überprüft werden könnte, erscheint dies im vorliegenden Fall ferner schon deshalb ausgeschlossen, weil der Beigeladene seinen eigenen Angaben zufolge anlässlich der Zugfahrt eine Mund-Nasen-Bedeckung trug und seine Gesichtszüge daher nicht erkennbar waren. Auf die von den Beteiligten in diesem Zusammenhang aufgeworfene Frage, ob aus Art. 11 DSGVO abgeleitet werden kann, dass die Klägerin nicht verpflichtet ist, weitere Anstrengungen zu unternehmen, um einen Auskunftsbegehrenden auf den Videoaufzeichnungen zu identifizieren, kommt es damit nicht mehr an.
Hinzu kommt, dass der Klägerin die Auskunftserteilung auch wegen eines dafür zu treibenden unverhältnismäßigen Aufwandes nicht zumutbar war. Hierzu hat das Amtsgericht Pankow in einem Verfahren, in dem der Beigeladene die Klägerin, gestützt auf Art. 82 DSGVO, wegen der Zurückweisung eines weiteren Auskunftsbegehrens auf Zahlung von Schadensersatz in Anspruch genommen hat, Folgendes ausgeführt (Urteil vom 28. März 2022 - 4 C 199/21, juris):
„Hinsichtlich des hierauf basierenden Auskunftsanspruch gemäß Art. 15 DSGVO ist der Beklagten das Erfüllen dieses Auskunftsanspruchs jedoch aufgrund unverhältnismäßigen Aufwands unzumutbar gemäß § 275 Abs. 2 BGB (vgl. Gola/Franck, DS-GVO, Kommentar, 1. Aufl. 2017, Art. 15, Rn. 30). Aufgrund des Ausnahmecharakters von § 275 Abs. 2 BGB und aufgrund der zentralen Bedeutung des Auskunftsanspruchs gemäß Art. 15 DSGVO sind strenge Maßstäbe an die Unverhältnismäßigkeit eines Auskunftsbegehrens anzulegen. Insbesondere besteht ein Verweigerungsrecht nur bei einem groben Missverhältnis zwischen Aufwand und Leistungsinteresse.
Ein solch grobes Missverhältnis besteht jedoch hier. Denn das Transparenzinteresse des Klägers ist äußerst gering. Insbesondere war er sich des Ob, Wie und Was der Datenverarbeitung bewusst (vgl. Gola/Franck, DS-GVO, Kommentar, 1. Aufl. 2017, Art. 15, Rn. 2). Der Kläger wusste genau, dass und in welchem Umfang personenbezogene Daten erhoben werden. Der Normzweck von Art. 15 DSGVO - das Bewusstwerden über die Datenverarbeitung - war daher weitestgehend schon erfüllt. Der hier vorliegende Sachverhalt ist gerade nicht einer Situation vergleichbar, bei der sich ein Auskunftsbegehrender einen Überblick über verarbeitete personenbezogene Daten verschaffen will, die gegebenenfalls länger in der Vergangenheit zurücklegen, oder bei den Daten zu unterschiedlichen Anlässen verarbeitet werden. Die Datenverarbeitung durch die Beklagte ist von vornherein auf 48 Stunden zeitlich und örtlich auf die Züge der Beklagten begrenzt. Dem Kläger und jedem anderen Dritten ist es zumutbar, sich innerhalb des kurzen Zeitraums von 48 Stunden zu erinnern, wann eine Dienstleistung der Beklagten in Anspruch genommen wurde und wann entsprechend eine Verarbeitung personenbezogener Daten stattgefunden hat. Mit Blick auf den sehr kurzen Zeitraum ist der vom Kläger beklagte Kontrollverlust nicht erkennbar. Wie der Kläger selbst darlegt, wurde er zudem von der Beklagten auch über sämtliche von Art. 15 Abs. 1 lit. a - h DSGVO erfassten Aspekte der Datenverarbeitung, einschließlich Verarbeitungszweck, Dauer der Verarbeitung und Beschwerderecht informiert. Auch insoweit ist der Normzweck von Art. 15 DSGVO der Vergewisserung über "Existenz, Zwecke, Absichten und Rechtsfolgen" der Datenverarbeitung erfüllt (vgl. Paal/Pauly Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Aufl. 2021, Art. 15 Rn. 3). Welches darüber hinausgehende Interesse der Kläger an der konkreten Gestalt der Videoaufzeichnung hat, hat er nicht hinreichend dargelegt und erschließt sich nicht. Denn für die Überprüfung der Rechtmäßigkeit der Videoaufzeichnung als einen wesentlichen Zweck von Art. 15 DSGVO bedarf der Kläger der konkreten Gestalt der Videoaufzeichnung nicht. Unabhängig von der konkreten Auflösung der Videoaufzeichnung oder der möglichen Erfassung von biometrischen Daten, steht der Eingriffscharakter der Aufzeichnung im Wesentlichen fest. Entsprechend gering ist das von Art. 15 DSGVO geschützte Vergewisserungsinteresse des Klägers.
Demgegenüber hat die Beklagte substantiiert dargelegt, dass die Erfüllung des Auskunftsanspruchs durch Verhinderung der automatischen Löschung und anschließenden Auskunft an den Kläger einen erheblichen Aufwand an Zeit, Kosten und Arbeitskraft bedeutet. Dass ein solcher Aufwand einem Auskunftsbegehren entgegenstehen kann, ist europarechtlich anerkannt (vgl. EuGH, Urteil v. 19.10.2016 C-582/14). Zum einen verfügt die Beklagte über keine Software zur Gesichtserkennung. Entsprechend komplex wäre es für die Beklagte, den Kläger aufgrund seiner Angaben zu identifizieren. Die Beklagte hat insoweit substantiiert vorgetragen, dass erhebliche Ressourcen zur Identifizierung von Personen nötig wären und dass die datenschutzgerechte Entnahme der Kassetten aufgrund von Anreisezeiten zu den Zügen und Sicherheitsvorkehrungen aufwendig sind. Zum anderen würde die Auskunft an den Kläger erfordern, dass die Beklagte ihre Betriebsvereinbarung mit Hinblick auf die Auswertung der Speicherkassetten anpasst und diese selbst auswertet, bzw. Dritte hiermit beauftragt. Eine Anpassung ihrer Prozesse, zum Beispiel durch die Anschaffung einer Software zur automatisierten Gesichtserkennung oder über eine zentrale Speicherung der Videoaufzeichnungen, bedeuten jedoch ebenso einen erheblichen Aufwand und begegnen darüber hinaus erheblichen datenschutzrechtlichen Bedenken. Die Beklagte hat insoweit dargelegt, dass ihre dezentralisierten Verarbeitungsprozesse gerade dem Datenschutz dienen. Wäre sie zu einer längeren Speicherung aufgrund des Verlangens des Klägers verpflichtet, wären notwendig auch die durch Art. 15 Abs. 4 DSGVO geschützten Interessen von Dritten betroffen. Aufgrund der datenschutzrechtlichen Verpflichtung der Beklagten gegenüber Dritten ist diese Drittbetroffenheit auch im Rahmen der gemäß § 275 Abs. 2 BGB erforderlichen Prüfung des Äquivalenzinteresses von Kläger und Beklagten zu berücksichtigen. Denn selbst wenn die Verpixelung oder anderweitige Unkenntlichmachung von Dritten technisch möglich ist, dürfte diese Identifizierung und Unkenntlichmachung regelmäßig nicht zuverlässig innerhalb von 48 Stunden, gegebenenfalls in sogar noch kürzeren Zeiträumen zu leisten sein. Daher würden bei einer längeren Speicherung nach einem Auskunftsersuchen notwendig die Datenschutzrechte von Dritten beeinträchtigt. Der Kläger verkennt insoweit, dass die von ihm begehrte Auskunft die strengen Löschfristen von § 20 Abs. 5 Bln DSG i. v. m. Art 17 DSGVO gegenüber Dritten und hiermit ein zentrales normatives datenschutzrechtliches Anliegen aufzuweichen droht. Aufgrund dessen tritt mit Blick auf den erheblichen Ressourcenaufwand der Beklagten, sowie Datenschutzrechten von Dritten, der begrenzte Erkenntnisgewinn des Klägers an der konkreten Gestalt der Videoaufzeichnung zurück, weswegen von einem groben Missverhältnis zwischen Leistungsinteresse und Aufwand gemäß § 275 Abs. 2 BGB auszugehen ist.
Es kann insoweit dahinstehen, ob ein Verweigerungsrecht der Beklagten auch aus einer analogen Anwendung von Art. 14 Abs. 5 DSGVO folgt. Ebenso kann dahinstehen, ob die vom Kläger begehrte längere Speicherung der personenbezogenen Daten und anschließender Auskunft hierüber bereits wegen eines Verstoßes gegen § 20 Abs. 5 Bln DSG rechtlich unmöglich ist, § 275 Abs. 1 BGB.“
Diesen Ausführungen schließt sich die Kammer an. Zwar ist in Art. 15 DSGVO keine ausdrückliche Ausnahme wegen unverhältnismäßigen Aufwands vorgesehen. Der durch das Amtsgericht herangezogene § 275 Abs. 2 BGB beinhaltet jedoch einen allgemeinen Rechtsgedanken, der auch in Erwägungsgrund 62 der DSGVO zum Ausdruck kommt. Danach darf eine Leistung verweigert werden, soweit diese einen Aufwand erfordert, der unter Beachtung des Gebots von Treu und Glauben, das nach Art. 8 Abs. 2 Satz 1 der Charta der Grundrechte der Europäischen Union und Art. 5 Abs. 1 lit. a DSGVO über dem gesamten Verarbeitungsvorgang steht, in einem groben Missverhältnis zum Leistungsinteresse des Gläubigers steht (vgl. Franck in: Gola/Heckmann, DSGVO - BDSG, 3. Aufl. 2022, Art. 15 Rn. 51 m.w.N.). Insoweit hat das Amtsgericht deutlich gemacht, dass zwar der Einwand der Klägerin, es sei nicht erkennbar, welchen Zweck der Beigeladene mit seinem Auskunftsanspruch verfolge, nicht unmittelbar verfängt, dass aber jedenfalls mittelbar das offenkundig nur geringe Informationsinteresse des Beigeladenen bei der vorzunehmenden Abwägung zu seinen Lasten zu berücksichtigen ist. Dies gilt gleichermaßen für die durch das Amtsgericht betonte Kollision des vom Beigeladenen geltend gemachten Anspruches mit der nach § 20 Abs. 5 BlnDSG gesetzlich vorgesehenen automatischen Löschung der Daten, die dem Schutz der Interessen aller anderen durch die Videoüberwachung erfassten Personen dient. Dieser ließe sich durch eine Unkenntlichmachung ihrer Gesichter nicht im gleichen Maße gewährleisten wie durch eine vorbehaltlose Löschung der gespeicherten Daten. Diese Unkenntlichmachung wäre, neben dem größeren datenschutzrechtlichen Risiko des Missbrauchs im Vergleich zu einer Löschung, zudem mit einigem Aufwand verbunden.
Schon aus diesem Grund bestand auch kein Anspruch des Beigeladenen auf Verhinderung der automatischen Löschung der Daten. Weder die Regelung in Art. 17 Abs. 3 lit.b) DSGVO noch die Rechte aus Art. 18 Abs. 1 lit. c) DSGVO standen dem entgegen, weil mit den dort angeführten rechtlichen Verpflichtungen der Klägerin bzw. den Rechtsansprüchen des Beigeladenen nicht die Auskunftsrechte i.S.d. Art. 15 DSGVO, sondern außerhalb der DSGVO liegende Rechtsansprüche gemeint sind. Hierfür spricht schon in systematischer Hinsicht, dass die genannten Regelungen ansonsten leerliefen, weil die Möglichkeit der zukünftigen Geltendmachung etwaiger Auskunftsansprüche in jedem Fall einer Löschung entgegenstünde. Im Übrigen spricht auch der Wortlaut des Art. 18 Abs. 1 lit. c) DSGVO gegen die Annahme, dass die Verhinderung der Löschung von Daten verlangt werden darf, nur um einen nach Art. 15 DSGVO bestehenden Auskunftsanspruch über jene Daten zu sichern. Denn danach ist Voraussetzung, dass die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen „benötigt“ werden – diese also nicht unmittelbar bzw. selbst Gegenstand des geltend gemachten Anspruchs sind.
Letztlich wäre, selbst wenn die Klägerin mit der Verweigerung der Auskunftserteilung gegen die Regelungen der DSGVO verstoßen hätte, die deswegen ausgesprochene Verwarnung deshalb rechtswidrig, weil die Beklagte das ihr insoweit nach Art. 58 Abs. 2 lit. b) DSGVO eröffnete Ermessen fehlerhaft ausgeübt hat.
Die Beklagte ist hierbei eigenem Bekunden nach davon ausgegangen, dass im Falle der Feststellung eines Datenschutzverstoßes zumindest eine Verwarnung auszusprechen sei, weil dies die mildeste der in Art. 58 Abs. 2 DSGVO vorgesehenen datenschutzrechtlichen Aufsichtsmaßnahmen darstelle. Dabei hat die Beklagte außer Acht gelassen, dass auch Sachverhaltskonstellationen denkbar sind, in denen sich trotz eines festgestellten Datenschutzverstoßes die Aussprache einer Verwarnung – wegen der Geringfügigkeit des Verstoßes auf der einen und den damit auf der anderen Seite für den Adressaten verbundenen Folgen – als unverhältnismäßig darstellen und damit gegen das rechtsstaatliche Übermaßverbot verstoßen würde. Der Beklagten kommt daher nicht nur ein Auswahlermessen hinsichtlich der Frage zu, wie bzw. mit welchem der in Art. 58 DSGVO vorgesehenen Mittel sie auf einen datenschutzrechtlichen Verstoß reagiert, sondern auch ein Entschließungsermessen dahin, ob sie im Einzelfall von einem Einschreiten absieht. Da die Beklagte dieses ihr eröffnete Ermessen im vorliegenden Fall unstreitig nicht ausgeübt hat, ist der Bescheid wegen Ermessensausfalls rechtswidrig. Es kann daher offenbleiben, ob der Bescheid – angesichts der oben aufgezeigten Diskrepanz zwischen dem geringfügigen Informationsinteresse des Beigeladenen einerseits und dem durch die Klägerin für eine Auskunftserteilung zu betreibenden erheblichen Aufwand andererseits – auch wegen Ermessensüberschreitung rechtswidrig ist.
Das VG Hannover hat entschieden, dass die Videoüberwachung der Sitzbereiche eines Wettbüros weder nach Art. 6 Abs. 1 lit. c DSGVO noch nach Art. 6 Abs. 1 lit. f DSGVO gerichtfertigt und somit rechtswidrig ist.
Aus den Entscheidungsgründen: I. Die Klage ist zulässig. Gemäß § 20 Abs. 1 Satz 1 Bundesdatenschutzgesetz (hiernach: BDSG) ist für Rechtsansprüche aus der der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, hiernach: DS-GVO) nach Artikel 78 Abs. 1 und 2 der DS-GVO der Verwaltungsrechtsweg gegeben. Das Verwaltungsgericht Hannover ist gemäß § 20 Abs. 3 BDSG örtlich zuständig. Die Klage gegen die Verfügungen des Beklagten aus dem Bescheid vom 20. Mai 2020 ist als Anfechtungsklage statthaft.
II. Die Klage ist unbegründet. Der Bescheid des Beklagten vom 20. Mai 2020 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten (§ 113 Abs. 1 Satz 1 VwGO).
1. Die unter Ziffer 1 ausgesprochene Anweisung, die Ausgestaltung der von der Klägerin betriebenen Videoüberwachung so einzurichten, dass die Erhebung von personenbezogenen Daten von Personen in den Sitzbereichen während der Öffnungszeiten ausgeschlossen ist (Kameras 1,3, 4, 5 und 9) und die Überarbeitung der Kameraeinstellungen durch die Übersendung entsprechender Screenshots nachzuweisen, ist rechtmäßig.
a) Die Rechtsgrundlage für diese Anweisung findet sich in Art. 58 Abs. 2 lit. d DS-GVO. Danach verfügt die Aufsichtsbehörde über sämtliche Befugnisse, die es ihr gestatten, den Verantwortlichen anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der DS-GVO zu bringen.
b) Der Bescheid ist in formeller Hinsicht nicht zu beanstanden. Der Beklagte ist für den Erlass des Bescheides zuständig. Dies ergibt sich aus § 40 Abs. 1 des Bundesdatenschutzgesetzes vom 30. Juni 2017 (BDSG), § 22 Satz 1 Nr. 1 des Niedersächsischen Datenschutzgesetzes vom 16. Mai 2018 (NDSG) und Art. 55 f. DS-GVO. Die Klägerin ist vor Erlass des angegriffenen Bescheids angehört worden.
c) Die Anweisung ist auch materiell rechtmäßig. Die Videoüberwachung durch die fünf streitgegenständlichen Kameras steht in ihrer derzeitigen Ausgestaltung nicht in Einklang mit der DS-GVO. Nach Art. 5 Abs. 1 lit. a DS-GVO müssen personenbezogene Daten auf rechtmäßige Weise verarbeitet werden. Die hier in Rede stehende Videoüberwachung, bei der die im Wettbüro der Klägerin installierten Kameras 1, 3, 4, 5 und 9 als "verlängertes Auge" der Beschäftigten genutzt werden, verstößt gegen die DS-GVO, weil sie nicht nach Art. 6 DS-GVO gerechtfertigt ist.
aa. Die DS-GVO ist anwendbar. Nach Art. 2 Abs. 1 DS-GVO gilt diese Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Bei der Beobachtung der Gäste des Wettbüros durch Kameras, die als "verlängertes Auge" der Beschäftigten genutzt werden, handelt es sich um eine Verarbeitung personenbezogener Daten im Sinne des Art. 4 Nr. 1 und Nr. 2 DS-GVO. Nach Art. 4 Nr. 2 DSGVO meint "Verarbeitung" jeden Vorgang, der mit oder ohne Hilfe automatisierter Verfahren im Zusammenhang mit personenbezogenen Daten ausgeführt wird. Die sich an diese Begriffsbestimmung anschließende, ersichtlich umfassende Aufzählung von Vorgängen in Art. 4 Nr. 2 DSGVO zeigt, dass der Begriff der Verarbeitung jeglichen Umgang mit personenbezogenen Daten erfasst (vgl. BVerwG, Urteil vom 27.3.2019 - 6 C 2/18 -, juris Rn. 43). Die Daten sind nach Art. 4 Nr. 1 DS-GVO "personenbezogen", wenn es sich um Informationen handelt, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Die Aufzeichnung des Bildes einer Person durch Kameras ermöglicht es den Betrachtern der Bilder, die erfassten Personen zu identifizieren (vgl. BVerwG, Urteil vom 27.3.2019 - 6 C 2/18 -, juris Rn. 43).
bb. Das hier eingesetzte Kamera-Monitor-System ist in seiner derzeitigen Ausgestaltung gemäß Art. 6 DS-GVO rechtswidrig. Danach ist die Verarbeitung nur rechtmäßig, wenn mindestens eine der unter Art. 6 Abs. 1 lit. a - f genannten Bedingungen erfüllt ist. Dies ist nicht der Fall.
aaa. Zunächst haben die von der Videoüberwachung betroffenen Personen (s. Art. 4 Nr. 1 DS-GVO) nicht nach Art. 6 Abs. 1 lit. a DS-GVO ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben. Eine Einwilligung ist gemäß Art. 4 Nr. 11 DS-GVO jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Damit betroffene Personen in Kenntnis der Sachlage ihre Einwilligung geben können, sollten sie mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen. Es sollte nur dann davon ausgegangen werden, dass sie ihre Einwilligung freiwillig gegeben haben, wenn sie eine echte oder freie Wahl haben und somit in der Lage sind, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden (vgl. Erwägungsgrund Nr. 42 zur DS-GVO). Danach liegt im vorliegenden Fall keine Einwilligung der Gäste vor. Es kann bereits nicht angenommen werden, dass die Gäste beim Betreten des Wettbüros - auch nicht bei deutlich sichtbar angebrachten Hinweisen auf die Beobachtung - den Umfang und die Ausgestaltung der Videoüberwachung sowie deren Zwecke zur Kenntnis nehmen, sodass schon keine Willensbekundung "in informierter Weise" stattfinden kann (vgl. BVerfG, Stattgebender Kammerbeschluss vom 23.2.2007 - 1 BvR 2368.06 -, juris Rn. 40; BVerwG, Urteil vom 27.3.2019 - 6 C 2.18 -, juris Rn. 23). Auch kann im Eintritt in das Wettbüro und den dortigen Aufenthalt ohne ausdrücklichen Protest keine unmissverständliche Willensbekundung erkannt werden (vgl. BVerfG, Stattgebender Kammerbeschluss vom 23.2.2007, a.a.O.). Schließlich haben die Gäste auch keine freie Wahl, ob sie mit der Videoüberwachung der Sitzbereiche während ihres Aufenthaltes in dem Wettbüro einverstanden sind; sie können sich nur zu ihrem Nachteil entscheiden, das Wettbüro gar nicht erst zu betreten.
bbb. Die Videoüberwachung ist auch nicht gemäß Art. 6 Abs. 1 lit. c DS-GVO zur Erfüllung einer rechtlichen Verpflichtung erforderlich, welcher der Verantwortliche unterliegt. Gemeint ist damit die Verpflichtung kraft Rechts der Union oder eines Mitgliedstaates, vgl. Art. 6 Abs. 3 UAbs. 1. Die in einer Vorschrift des objektiven Rechts vorgesehene "rechtliche Verpflichtung" muss sich dabei unmittelbar auf die Datenverarbeitung beziehen; allein der Umstand, dass ein Verantwortlicher, um irgendeine rechtliche Verpflichtung erfüllen zu können, auch personenbezogene Daten verarbeiten muss, reicht nicht aus (Albers/Veit in: BeckOK DatenschutzR, 44. Ed. 1.5.2023, DS-GVO Art. 6 Rn. 48 m.w.N.). Nach diesem Maßstab vermögen die in § 7 Abs. 3 Nr. 1 Spielverordnung genannten Vorgaben, wonach Geld- oder Warenspielgeräte unter anderem dann unverzüglich aus dem Verkehr zu ziehen sind, wenn sie in ihrer ordnungsgemäßen Funktion gestört sind, keine rechtliche Verpflichtung in diesem Sinne zu bieten, weil diese rechtliche Vorgabe keinen unmittelbaren Bezug zu einer irgendwie gearteten Datenverarbeitung herstellt.
Die Videoüberwachung ist auch nicht zur Erfüllung der Verpflichtung aus § 10c des Niedersächsischen Spielbankgesetzes (NSpielbG) erforderlich. Nach § 10 c Abs. 1 Satz 1 NSpielbG sind zu den dort bestimmten Zwecken die Eingänge, die Ausgänge, die Bereiche, in denen üblicherweise der Transport, die Zählung oder die Aufbewahrung von Bargeld oder Spielmarken erfolgt, sowie die Spielräume der Spielbank, die Spieltische und Glücksspielautomaten der Spielbank mit Videokameras zu überwachen. Die Vorschrift ist bereits nicht anwendbar, weil es sich bei dem Wettbüro der Klägerin nicht um eine im Sinne des § 1 Abs. 1 Satz 1 NSpielbG zugelassene Spielbank handelt. Eine analoge Anwendung der Vorschrift auf das Wettbüro der Klägerin kommt schon deswegen nicht in Betracht, weil die Interessenlage nicht vergleichbar ist. Spielbanken sind Örtlichkeiten, in denen Spiele mit grundsätzlich hoher Manipulationsanfälligkeit und herausragendem Suchtpotenzial angeboten werden, zu denen traditionell Tischspiele mit und ohne Bankhalter wie Roulette, Black Jack und Poker sowie spezielle stationäre Automatenspiele gehören, welche den Einschränkungen des gewerblichen Spiels und des Online-Glücksspiels nicht unterliegen (vgl. Begründung zur Änderung des NSpielbG vom 13.10.2021, Landtag-Drs. 18/10075, S. 17). Derartige Spiele finden im Wettbüro der Klägerin nicht statt; soweit auch in ihren Räumlichkeiten Spielautomaten aufgestellt sind und in dem (der Öffentlichkeit nicht zugänglichen) Bürobereich mit größeren Mengen Bargeld umgegangen wird, hat der Beklagte die Videoüberwachung nicht beanstandet.
Unabhängig davon folgt eine Verpflichtung zu einer Videoüberwachung, wie die Klägerin sie derzeit betreibt, selbst dann nicht aus § 10 c NSpielbG, wenn man die Vorschrift auf den vorliegenden Fall analog anwenden wollte. Unter "Spielräumen" sind solche Bereiche zu verstehen, in denen sich Gäste zum Zwecke der Teilnahme an Spielen aufhalten. Bereiche wie die hier in Rede stehenden, die fast ausschließlich - mit Ausnahme vereinzelter Automaten, an denen Wetten abgegeben werden können - dem Aufenthalt oder dem Verzehr von Getränken dienen, sind dort gerade nicht angesprochen. Der Gesetzgeber hat zuletzt die zu überwachenden Bereiche angepasst und "die gegebenenfalls getrennt von den Eingängen vorhandenen Ausgänge" aufgenommen (vgl. Landtag-Drs. 18/10075, S. 37). Er hat sich also bewusst gegen die Aufnahme von anderen, dem Aufenthalt von Gästen dienenden Bereichen entschieden. Dafür, dass der Gesetzgeber beabsichtigt hat, solche vornehmlich dem Aufenthalt dienenden Bereiche gerade nicht mit der gesetzlichen Verpflichtung zur Videoüberwachung zu belegen, spricht auch, dass die Regelung überhaupt explizit Bereiche nennt, in denen die Videoüberwachung stattzufinden hat. Wäre die Videoüberwachung einschränkungslos auch in Bereichen obligatorisch, in denen keine manipulationsanfälligen Spiele stattfinden, hätte der Gesetzgeber anstelle einer expliziten Aufzählung von Bereichen schlicht die verpflichtende Videoüberwachung für die gesamte Spielbank anordnen können.
ccc. Die Videoüberwachung ist auch nicht nach Art. 6 Abs. 1 lit. f DS-GVO gerechtfertigt. Dies wäre nur dann der Fall, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
(1) Das berechtigte Interesse an der hier noch streitigen Videoüberwachung durch die Kameras 1, 3, 4, 5 und 9 ist anzunehmen.
Als berechtigt darf jedes rechtliche, tatsächliche, wirtschaftliche oder ideelle Interesse des Verantwortlichen angesehen werden, soweit es von der Rechtsordnung nicht missbilligt wird. Das berechtigte Interesse muss auf einen konkreten Verarbeitungs- oder Nutzungszweck gerichtet sein. Aus Art. 5 Abs. 1 lit. b DS-GVO folgt, dass das Interesse nur berechtigt sein kann, wenn die Verarbeitung legitim ist (vgl. Taeger in: Taeger/Gabel, DSGVO-BDSG-TTDSG, 4. Aufl. 2022, Art. 6 Rn. 129). Es muss zum Zeitpunkt der Datenverarbeitung entstanden und vorhanden sein und darf zu diesem Zeitpunkt nicht hypothetisch sein (EuGH, Urteil vom 11.12.2019 - C-708/18 -, juris Rn. 44). Der Verantwortliche hat sein berechtigtes Interesse substantiiert vorzutragen und zu belegen (vgl. Art. 5 Abs. 2 DS-GVO; Taeger in: Taeger/Gabel, DSGVO-BDSG-TTDSG, 4. Aufl. 2022, Art. 6 Rn. 135; vgl. auch EuGH, Urteil vom 24.2.2022 - C-175/20 -, juris Rn. 77; BVerwG, Urteil vom 2.3.2022 - 6 C 7.20 -, juris Rn. 50). Dieser speziellen Substantiierung bedarf es nur dann nicht, wenn eine Situation gegeben ist, die nach allgemeiner Lebenserfahrung typischerweise gefährlich ist und der Überwachung bedarf. Eine solch abstrakte Gefährdungslage kann beispielsweise bei Einkaufszentren und Kaufhäusern anzunehmen sein (vgl. zur alten Rechtslage Nds. OVG, Urteil vom 29.9.2014 - 11 LC 114/13 -, juris Rn. 44; vgl. VG Hannover, Urteil vom 13.3.2023 - 10 A 1443/19 -, juris Rn. 57; vgl. zur Anwendbarkeit dieser Grundsätze auch im Anwendungsbereich der DS-GVO Taeger in: Taeger/Gabel, DSGVO-BDSG-TTDSG, 4. Aufl. 2022, Art. 6 Rn. 135).
Die Verhinderung und Aufklärung von Straftaten stellen grundsätzlich berechtigte Interessen im Sinne von Art. 6 Abs. 1 lit. f DS-GVO dar. Sie können eine Videoüberwachung jedoch nur dann als objektiv begründbar rechtfertigen, wenn eine Gefährdungslage besteht, die über das allgemeine Lebensrisiko hinausgeht. Eine solche Gefährdung kann sich nur aus tatsächlichen Erkenntnissen ergeben; subjektive Befürchtungen oder ein Gefühl der Unsicherheit reichen nicht aus (vgl. zum alten Recht BVerwG, Urteil vom 27.3.2019 - 6 C 2/18 -, juris Rn. 28 m.w.N.). Allerdings kann bei der Beurteilung aller Umstände des jeweiligen Falles nicht zwingend verlangt werden, dass die Sicherheit des Eigentums und der Personen zuvor beeinträchtigt wurde (EuGH, Urteil vom 11.12.2019 - C-708/18 -, juris Rn. 44). Konkrete Vorfälle müssen nicht in jedem Fall beim Überwachenden selbst stattgefunden haben, sondern die Gefahrenlage kann sich auch daraus ergeben, dass vergleichbare Vorfälle oder Übergriffe in der unmittelbaren Nachbarschaft stattgefunden haben (vgl. Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen" der Datenschutzkonferenz - DSK - vom 17. Juli 2020, S. 8 f. m.V.a. Art. 5 Abs. 2 DS-GVO und EuGH, Urteil vom 11.12.2019 - C-708/18 -, juris Rn. 44; Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte des European Data Protection Board vom 29.1.2020, Rn. 18 ff.).
Danach hat die Klägerin - dies hat auch der Beklagte anerkannt - grundsätzlich ein berechtigtes Interesse an der Videoüberwachung ihres Wettbüros dargelegt, um damit Straftaten zu unterbinden und nachzuverfolgen. Sie hat konkrete Straftaten benannt, die sich in den hier in Rede stehenden Räumlichkeiten ereignet haben und durch den Verweis auf Vorkommnisse in anderen Filialen dargelegt, dass (unter anderem) aufgrund der größeren Mengen Bargeld, mit denen in Wettbüros umgegangen wird, ein potentiell hohes Risiko für das Begehen von Straftaten besteht. Dementsprechend hat der Beklagte der Klägerin die Überwachung diverser Bereiche der Liegenschaft zugestanden (Kameras 2, 6, 7 und 8). Dabei hat der Beklagte die Videoüberwachung der Laufwege zugelassen, sodass etwaige Straftäter jedenfalls beim Verlassen der Räumlichkeiten erfasst werden, sowie die Orte, an denen mit Bargeld umgegangen wird (z.B. der Tresor). Außerhalb der Öffnungszeiten dürfen die Videoaufnahmen aufgezeichnet werden, um das unbefugte Betreten der Filiale abzuwenden oder ggf. nachverfolgen zu können.
(2) Die Videoüberwachung ist in ihrer derzeitigen Ausgestaltung zur Wahrung der Interessen der Klägerin aber nicht erforderlich. Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein; sie sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann (vgl. Erwägungsgrund 39 zur DS-GVO).Voraussetzung für die Erforderlichkeit der Videoüberwachung ist also, dass kein milderes, gleich effektives Mittel zur Verfügung steht, um die Interessen des Verantwortlichen zu erreichen (Buchner/Petri in: Kühling/Buchner, 3. Aufl. 2020, DS-GVO Art. 6 Rn. 147a). Die Einschränkungen beim Datenschutz müssen sich "auf das absolut Notwendige" beschränken (vgl. EuGH, Urteil vom 11.12.2019 - C-708/18 -, juris Rn. 46). Eine bloße Zweckdienlichkeit der Datenverarbeitung reicht jedenfalls nicht aus und auch das Ansinnen einer "bestmöglichen Effizienz" macht die Datenverarbeitung noch nicht zu einer erforderlichen. Entsprechend kann die Erforderlichkeit auch nicht allein damit begründet werden, dass es sich bei der beabsichtigten Datenverarbeitung um die aus Sicht des Verantwortlichen wirtschaftlich sinnvollste Alternative handelt (Petri in: Kühling/Buchner/Buchner, 3. Aufl. 2020, DS-GVO Art. 6 Rn. 147a m.w.N.).
Nach diesem Maßstab ist die Videoüberwachung der Sitzbereiche durch die Kameras 1,3, 4, 5 und 9 nicht erforderlich. Es ist derzeit nicht ersichtlich, dass die Erhebung der dadurch gewonnenen personenbezogenen Daten überhaupt geeignet - also erheblich - ist, um die von der Klägerin verfolgten Zwecke zu erreichen. Auf Grundlage der bisherigen Unterlagen ist nicht erkennbar, dass die von der Beklagten konkret benannten Straftaten überhaupt im Zusammenhang mit einem Aufenthalt von Gästen in den Sitzbereichen gestanden haben. Die Klägerin stützt sich im Wesentlichen auf befürchtete Straftaten und sonstiges Fehlverhalten, welches in der "Szene" oder dem "Milieu", aus dem die Gäste der Klägerin stammen, üblich sein soll. Die von der Klägerin benannten Straftaten lassen teilweise eindeutig erkennen, dass sich der oder die Täter(in) vor der jeweils begangenen Tat gerade nicht in den Sitzbereichen aufgehalten oder die Tat als solche dort stattgefunden hat; dies gilt für die Öffnung des Tresors, der sich in dem für die Öffentlichkeit nicht zugänglichen Bereich befindet, sowie für die Entwendung von Bargeld durch Beschäftigte der Klägerin, einen Überfall unter Einsatz von Waffengewalt, eingeschmissene Schaufensterscheiben und das unberechtigte Betreten der Geschäftsräume außerhalb der Öffnungszeiten. Die übrigen von der Klägerin genannten Taten und Vorkommnisse lassen nicht erkennen, ob diese in den für Gäste vorgesehenen Sitzbereichen stattgefunden haben; dies gilt für die Angabe "milieubedingte Kriminalität in den Geschäftsräumen, zum Beispiel Übergabe von Drogen gegen Bargeld" und Trickbetrug durch das Erzwingen von Wechselgeldfehlern. Konkrete Vorfälle in der Nachbarschaft hat die Klägerin zwar behauptet, jedoch nicht substantiiert. Soweit sie sich auf die befürchtete Manipulation von Spielgeräten und die ihr glückspielrechtlich obliegende Verpflichtung, manipulierte Geräte unverzüglich aus dem Verkehr zu ziehen, beruft, hat sie derartige Vorfälle weder für die hier in Rede stehende noch für andere Filialen oder Einrichtungen in der Nachbarschaft vorgetragen. Es fehlen auch nähere Angaben dazu, wie "Vorbereitungshandlungen" für eine Manipulation von Spielgeräten konkret aussehen und aus welchem Grund sie befürchtet, dass solche gerade in den Sitzbereichen für Gäste stattfinden könnten. Den Konsum von und Handel mit Rauschgift hat sie bislang nur behauptet, aber nicht belegt. Auch hinsichtlich der weiteren, im Laufe des gerichtlichen Verfahrens genannten Straftaten, die sich im Zeitraum vom 3. August 2016 und dem 9. Oktober 2021 in der hier streitgegenständlichen Filiale ereignet haben sollen, nämlich eine Unterschlagung von Bargeld, ein Diebstahl von Bargeld durch einen Kunden, ein Diebstahl eines Gegenstandes durch einen Kunden und zwei Raubüberfälle, ist nicht erkennbar, dass diese Straftaten im Zusammenhang mit einem Aufenthalt in den Sitzbereichen des Wettbüros standen.
Es ist außerdem nicht erkennbar, dass die Videoüberwachung der Sitzbereiche überhaupt dazu geeignet wäre, die von der Klägerin genannten Straftaten - sowohl die in der Unternehmensgruppe als auch die in der hier in Rede stehenden Filiale begangenen - zu verhindern oder bei der Aufklärung dieser Straftat einen nennenswerten Mehrwert zu bringen. Dies gilt insbesondere für die genannten Raubüberfälle, Einbrüche und Sachbeschädigungen, die - soweit ersichtlich - nicht von Personen begangen worden sind, die sich zuvor in dem Wettbüro aufgehalten haben. Auch diejenigen Straftaten, die von Beschäftigten der Klägerin begangen worden sind, wie zum Beispiel das unberechtigte Betreten der Geschäftsräume außerhalb der Öffnungszeiten, die Unterschlagung von Bargeld oder die Öffnung der Tresore und Entwendung von Bargeld, ließen sich nicht durch eine Überwachung der Sitzbereiche für Gäste verhindern. Einzig denkbar wäre dies bezüglich des genannten Trickbetruges durch das Erzwingen von Wechselgeldfehlern oder den Handel mit sowie Konsum von Rauschgift. Insoweit ist aber fraglich, ob die Beschäftigten in der Lage wären, die Monitore derart aufmerksam zu beobachten, dass ihnen Wechselgeldfehler oder der Konsum von Rauschmitteln überhaupt auffallen könnte.
Die Fortsetzung der Videoüberwachung in ihrer jetzigen Form ist auch nicht deswegen erforderlich, weil andernfalls unzumutbar hohe Betriebskosten entstünden. Bei dem Bestreben, Kosten einzusparen, handelt es sich grundsätzlich um ein berechtigtes Interesse. Allerdings muss der Verantwortliche darlegen, dass er diese Kosten auch durch andere Vorkehrungen, insbesondere durch organisatorische Veränderungen anstelle der Videoüberwachung nicht vermeiden oder in einer hinnehmbaren Größenordnung halten kann. Die Kostenersparnis kann die Erforderlichkeit der Videoüberwachung jedenfalls nur dann begründen, wenn die ansonsten entstehenden Kosten im Verhältnis zu dem Umfang der geschäftlichen Tätigkeit ins Gewicht fallen oder gar deren Wirtschaftlichkeit in Frage stellten (vgl. BVerwG, Urteil vom 27.3.2019 - 6 C 2.18 -, juris Rn. 32). Die Klägerin hat dazu nicht substantiiert vorgetragen. Aus dem von ihr hierzu zitierten Urteil des OVG des Saarlandes vom 14. Dezember 2017 ergibt sich nicht, ob der dortige Kläger substantiierte Angaben dazu gemacht hat, aus welchem Grund ihm der Einsatz von Wachpersonal wirtschaftlich nicht zumutbar ist (Az. 2 A 662/17 -, juris Rn. 47). Zudem ist der dortige Fall auch schon deswegen nicht mit dem hier zu entscheidenden vergleichbar, weil es sich bei dem dortigen Kläger um eine Apotheke gehandelt hat, die - im Gegensatz zu der Klägerin - nicht ohnehin Wachpersonal beschäftigt.
Die Klägerin kann ihrem berechtigten Interesse daran, dass kein Rauschgift in ihrer Filiale gehandelt oder konsumiert wird oder andere Straftaten begangen werden, auch durch mildere und gleich effektive Mittel begegnen. Dem Beklagten dürfte darin zu folgen sein, dass die bereits vorhandenen Beschäftigten in regelmäßigen Abständen die Sitzbereiche begehen könnten. Der Auffassung der Klägerin, die Präsenz von Wachleuten werde von Gästen als deutlich gravierenderer Eingriff wahrgenommen, sodass darin kein milderes Mittel zu sehen sei, kann nicht gefolgt werden. Anders als in der von der Klägerin dazu angeführten Entscheidung des Niedersächsischen Oberverwaltungsgerichts steht hier keine "permanente Beobachtung" der Gäste durch Wachleute in Rede (vgl. Urteil vom 29.9.2014 - 11 LC 114/13 -, juris Rn. 57), sondern gelegentliche Rundgänge von ohnehin anwesendem Personal. Hinsichtlich der von der Klägerin bezweckten Abschreckungswirkung wirken auch nur gelegentlich die Räumlichkeit abschreitende Beschäftigte mindestens ebenso effektiv abschreckend wie die vorhandenen Kameras (vgl. VG Stuttgart, Urteil vom 12.3.2021 - 18 K 8202/19 -, n.v.). Ihre Beschäftigten können sich vor eventuell aggressiv auftretenden Gästen schützen, indem sie die Polizei kontaktieren, anstatt sie selbst anzusprechen oder des Hauses zu verweisen. Für die Beschäftigten dürfte der zeitliche und personelle Aufwand, die fünf streitigen Kameras neben ihren anderen Aufgaben dauerhaft aufmerksam zu beobachten, um die in den Sitzbereichen befürchteten Vorbereitungshandlungen für Straftaten zu entdecken, als ebenso hoch zu bewerten sein wie die Durchführung regelmäßiger Kontrollgänge durch die Sitzbereiche. Der Gefahr von durch Betrug erzwungenen Wechselgeldfehlern könnte die Klägerin begegnen, indem die Gäste ihre Getränke nur noch am Tresen bezahlen, der außerdem von der nicht mehr streitgegenständlichen Kamera 2 erfasst wird.
Aus dem bisherigen Vortrag der Klägerin ist auch nicht nachvollziehbar, aus welchem Grund das von dem Beklagten vorgeschlagene mildere Mittel, die streitigen Kameras mit einer Folie zu versehen oder eine "Privatzonenmaskierung" einzurichten, sodass die sitzenden Gäste nicht mehr identifizierbar sind, nicht ebenso geeignet ist, wie die Videoüberwachung in ihrer derzeitigen Form. Ihr Vortrag, in dem Fall seien Vorbereitungshandlungen für eine Manipulation eines Spielgerätes schwieriger erkennbar, ist ohne konkretere Angaben dazu, wie solche Vorbereitungshandlungen aussehen, nicht nachvollziehbar. Unabhängig davon sind solche Manipulationsversuche offenbar bislang nicht vorgekommen; jedenfalls ist dies nicht vorgetragen worden.
Schließlich führt auch die in § 10 c NSpielbG zum Ausdruck gekommene Wertung des Niedersächsischen Gesetzgebers nicht dazu, die Videoüberwachung für das hier in Rede stehende Wettbüro als erforderlich anzusehen. Insoweit wird auf die obigen Ausführungen verwiesen (s. II. 1. c. bb. bbb.).
(3) Im Übrigen und selbst für den Fall, dass die Verarbeitung der durch die Videokameras 1, 3, 4, 5 und 9 verarbeiteten personenbezogenen Daten zur Wahrung des berechtigten Interesses der Klägerin erforderlich wäre, überwiegen im vorliegenden Fall die Interessen der von der Videoüberwachung betroffenen Personen das Interesse der Klägerin. Ausgangspunkt der Abwägung sind einerseits die Auswirkungen, die eine Datenverarbeitung für die betroffene Person mit sich bringt, und andererseits die Interessen des Verantwortlichen oder Dritten. In diesem Zusammenhang sind Art, Inhalt und Aussagekraft der betroffenen Daten an dem mit der Datenverarbeitung verfolgten Zweck zu messen. Außerdem können die vernünftigen Erwartungen der betroffenen Person einbezogen werden; entscheidend soll sein, ob die betroffene Person zum Zeitpunkt der Datenerhebung angesichts der näheren Umstände "vernünftigerweise absehen kann", dass eine Datenverarbeitung für einen bestimmten Zweck stattfinden wird (vgl. Petri in: Kühling/Buchner/Buchner, 3. Aufl. 2020, DS-GVO Art. 6 Rn. 149 ff.)
Für die von der Videoüberwachung betroffenen Gäste streitet ihr Recht auf Schutz der personenbezogenen Daten nach Art. 8 GRCh sowie ihr Recht auf Achtung des Privat- und Familienlebens nach Art. 7 GRCh und Art. 8 EMRK. Demgegenüber hat die Klägerin ein Interesse an dem Schutz ihres Eigentums, der Verhinderung und Aufklärung von Straftaten sowie an der Gewährleistung der Einhaltung der ihr obliegenden gesetzlichen Verpflichtungen (Jugendschutz, gesperrte Spieler, glücksspielrechtliche Vorgaben bezüglich der Spielautomaten).
Zugunsten der Klägerin ist hier zu berücksichtigen, dass die Videoaufnahmen nicht gespeichert werden und ihr in der Vergangenheit durch begangene Straftaten erhebliche Vermögensschäden entstanden sind. Demgegenüber dienen die Bereiche einem längeren Verweilen von Gästen, die ganz überwiegend keinerlei böse Absichten hegen. Die Überwachung erfolgt anlasslos, regelmäßig und personengenau und betrifft in den allermeisten Fällen Personen, die weder die körperliche Unversehrtheit der Beschäftigten noch dem Eigentum der Klägerin schaden möchten (vgl. VG Stuttgart, Urteil vom 12.3.2021 - 18 K 8202/19 -, S. 23). Eine durchgängige Überwachung auch bei Beschäftigungen, die in keinem Zusammenhang zu der Art des Etablissements stehen, in dem sich die Gäste aufhalten, können sie auch nicht "vernünftigerweise" erwarten.
cc. Der Beklagte hat das ihm gemäß Art. 58 Abs. 2 DS-GVO zustehende Entschließungs- und Auswahlermessen schließlich auch fehlerfrei ausgeübt. Gemäß Art. 58 Abs. 2 DS-GVO verfügt der Beklagte über sämtliche Abhilfebefugnisse, die es ihm gestatten, den Verantwortlichen anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen (Buchstabe d) sowie eine vorübergehende Beschränkung oder Verbot der Verarbeitung zu verhängen (Buchstabe f). Die Aufsichtsbehörde kann von ihrer Abhilfebefugnis Gebrauch machen, wenn sie einen Verstoß gegen Datenschutzbestimmungen festgestellt hat. Bei der Ausübung des ihr dann eingeräumten Ermessens hat sie den Verhältnismäßigkeitsgrundsatz zu beachten. Bei festgestellten Verstößen ist die Aufsichtsbehörde in der Regel gehalten, dagegen mit dem Ziel der Abstellung des Verstoßes vorzugehen. Hinsichtlich des Entschließungsermessens ist daher von einem intendierten Ermessen auszugehen, wenn die Aufsichtsbehörde - wie hier - einen Rechtsverstoß festgestellt hat.
Es ist auch kein Fehler bei der Ausübung des Auswahlermessens zu erkennen. Bei der Auswahl der geeigneten Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO muss die Aufsichtsbehörde den Verhältnismäßigkeitsgrundsatz beachten und insofern auch die Eingriffsintensität berücksichtigen (vgl. VGH Baden-Württemberg, Beschluss vom 22.1.2020 - VGH 1 S 3001/19 -, juris Rn. 61; VG Mainz, Urteil vom 24.9.2020 - 1 K 584/19.MZ -, juris Rn. 51). Das hier ausgesprochene Verbot der Videoüberwachung in den Sitzbereichen ist geeignet, um die beeinträchtigten Rechte der Gäste zu wahren. Es war auch erforderlich. Ein milderes, gleich geeignetes Mittel ist nicht ersichtlich. In Art. 58 Abs. 2 DS-GVO ist kein abgestuftes System dahingehend zu erkennen, dass der Beklagte zuerst eine Verwarnung hätte aussprechen müssen. Eine Verwarnung kommt regelmäßig bei einfachen Verletzungen der DS-GVO in Frage, welche zu keiner erheblichen Gefährdung des Datenschutzgrundrechts geführt haben. Eine Verwarnung wird eine Datenschutz-Aufsichtsbehörde aussprechen, wenn die Schwelle zur Verhängung einer Geldbuße noch nicht erreicht ist; die Verwarnung lässt sich daher auch als "kleine Schwester der Geldbuße" bezeichnen, also als Abhilfemaßnahme, die bei geringfügigen Verstößen gegen die DS-GVO oder sonstigen Gründen der Verhältnismäßigkeit "anstelle einer Geldbuße" (so explizit Erwägungsgrund 148 Satz 2 DS-GVO) verhängt werden kann (Selmayr in: Ehmann/Selmayr, 2. Aufl. 2018, DS-GVO Art. 58 Rn. 20 m.w.N.). Hier steht gerade kein geringfügiger Verstoß in Rede, sondern die Gäste des Wettbüros werden anlasslos und dauerhaft gefilmt und beobachtet. Der Beklagte hat dem Verhältnismäßigkeitsgrundsatz insofern schon im Vorfeld des gerichtlichen Verfahrens Rechnung getragen, als dass er die Videoüberwachung in weiten Teilen des Wettbüros nicht mehr beanstandet.
Das BAG hat entschieden, dass kein Verwertungsverbot im Kündigungsschutzprozess bei offener Videoüberwachung besteht, auch wenn nicht alle datenschutzrechtlichen Vorgaben eingehalten werden
Die Pressemitteilung des Gerichts: Offene Videoüberwachung - Verwertungsverbot
In einem Kündigungsschutzprozess besteht grundsätzlich kein Verwertungsverbot in Bezug auf solche Aufzeichnungen aus einer offenen Videoüberwachung, die vorsätzlich vertragswidriges Verhalten des Arbeitnehmers belegen sollen. Das gilt auch dann, wenn die Überwachungsmaßnahme des Arbeitgebers nicht vollständig im Einklang mit den Vorgaben des Datenschutzrechts steht.
Der Kläger war bei der Beklagten zuletzt als Teamsprecher in der Gießerei beschäftigt. Die Beklagte wirft ihm ua. vor, am 2. Juni 2018 eine sog. Mehrarbeitsschicht in der Absicht nicht geleistet zu haben, sie gleichwohl vergütet zu bekommen. Nach seinem eigenen Vorbringen hat der Kläger zwar an diesem Tag zunächst das Werksgelände betreten. Die auf einen anonymen Hinweis hin erfolgte Auswertung der Aufzeichnungen einer durch ein Piktogramm ausgewiesenen und auch sonst nicht zu übersehenden Videokamera an einem Tor zum Werksgelände ergab nach dem Vortrag der Beklagten aber, dass der Kläger dieses noch vor Schichtbeginn wieder verlassen hat. Die Beklagte kündigte das Arbeitsverhältnis der Parteien außerordentlich, hilfsweise ordentlich.
Mit seiner dagegen erhobenen Klage hat der Kläger ua. geltend gemacht, er habe am 2. Juni 2018 gearbeitet. Die Erkenntnisse aus der Videoüberwachung unterlägen einem Sachvortrags- und Beweisverwertungsverbot und dürften daher im Kündigungsschutzprozess nicht berücksichtigt werden.
Die Vorinstanzen haben der Klage stattgegeben. Die hiergegen gerichtete Revision der Beklagten hatte vor dem Zweiten Senat des Bundesarbeitsgerichts bis auf einen Antrag betreffend ein Zwischenzeugnis Erfolg. Sie führte zur Zurückverweisung der Sache an das Landesarbeitsgericht. Dieses musste nicht nur das Vorbringen der Beklagten zum Verlassen des Werksgeländes durch den Kläger vor Beginn der Mehrarbeitsschicht zu Grunde legen, sondern ggf. auch die betreffende Bildsequenz aus der Videoüberwachung am Tor zum Werksgelände in Augenschein nehmen. Dies folgt aus den einschlägigen Vorschriften des Unionsrechts sowie des nationalen Verfahrens- und Verfassungsrechts. Dabei spielt es keine Rolle, ob die Überwachung in jeder Hinsicht den Vorgaben des Bundesdatenschutzgesetzes bzw. der Datenschutz-Grundverordnung (DSGVO) entsprach. Selbst wenn dies nicht der Fall gewesen sein sollte, wäre eine Verarbeitung der betreffenden personenbezogenen Daten des Klägers durch die Gerichte für Arbeitssachen nach der DSGVO nicht ausgeschlossen. Dies gilt jedenfalls dann, wenn die Datenerhebung wie hier offen erfolgt und vorsätzlich vertragswidriges Verhalten des Arbeitnehmers in Rede steht. In einem solchen Fall ist es grundsätzlich irrelevant, wie lange der Arbeitgeber mit der erstmaligen Einsichtnahme in das Bildmaterial zugewartet und es bis dahin vorgehalten hat. Der Senat konnte offenlassen, ob ausnahmsweise aus Gründen der Generalprävention ein Verwertungsverbot in Bezug auf vorsätzliche Pflichtverstöße in Betracht kommt, wenn die offene Überwachungsmaßnahme eine schwerwiegende Grundrechtsverletzung darstellt. Das war vorliegend nicht der Fall.
Bundesarbeitsgericht, Urteil vom 29. Juni 2023 – 2 AZR 296/22 –
Vorinstanz: Landesarbeitsgericht Niedersachsen, Urteil vom 6. Juli 2022 – 8 Sa 1149/20 –
Das VG Hannover hat entschieden, dass die Speicherdauer von Videoaufzeichnungen einer Tankstelle 72 Stunden nicht überschreiten darf.
Aus den Entscheidungsgründen: 1. Der Bescheid vom 18. Februar 2019 ist rechtmäßig. Die datenschutzrechtliche Beschränkung zur Speicherdauer (a), die Aufforderung zur Bestätigungsanzeige (b) und auch die Zwangsgeldandrohung (c) sind rechtlich nicht zu beanstanden.
a) Die Anordnung der Beklagten, die Aufzeichnungen der klägerischen Videoüberwachung in der Regel auf 72 Stunden zu beschränken, ist rechtmäßig.
aa) Rechtsgrundlage für die streitgegenständliche Beschränkung zur Speicherdauer der Videoaufzeichnungen ist Art. 58 Abs. 2 lit. f) der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; hiernach: DSGVO). Demnach kann die Aufsichtsbehörde eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, verhängen, was die Beklagte mit der Beschränkung der Speicherdauer der Videoaufzeichnung getan hat.
bb) Der Bescheid ist in formeller Hinsicht nicht zu beanstanden. Die Beklagte ist für den Erlass des Bescheides nach §§ 19 Abs. 1, 22 Abs. 1 Nr. 1 Niedersächsisches Datenschutzgesetz (NDSG) zuständig. Die Klägerin wurde vor dessen Erlass zureichend nach § 1 Abs. 1 Niedersächsisches Verwaltungsverfahrensgesetz (NVwVfG) i.V.m. § 28 Abs. 1 Verwaltungsverfahrensgesetz (VwVfG) angehört und der Bescheid ist auch hinreichend bestimmt nach § 1 Abs. 1 NVwVfG i.V.m. § 37 Abs. 1 VwVfG.
Nach § 37 Abs. 1 VwVfG muss ein Verwaltungsakt inhaltlich hinreichend bestimmt sein. Ein Verwaltungsakt ist inhaltlich hinreichend bestimmt, wenn der Inhalt der von der Behörde getroffenen Regelung für die Beteiligten, insbesondere für die Adressatinnen oder Adressaten des Verwaltungsakts, so vollständig, klar und unzweideutig erkennbar ist, dass sie ihr Verhalten danach richten können, und wenn der Bescheid darüber hinaus geeignet ist, Grundlage für Maßnahmen einer zwangsweisen Durchsetzung zu sein (Tegethoff, in: Kopp/Schenke, VwVfG, 23. Auflage, § 37 Rn. 5). Dies ist hier der Fall. Dem Bescheid lässt sich, ausgehend vom Wortlaut unter Berücksichtigung der weiteren Umstände des Einzelfalles und nach Treu und Glauben durch Auslegung entnehmen, dass der Klägerin grundsätzlich untersagt wird, Videoaufzeichnungen länger als 72 Stunden zu speichern.
Anders als die Klägerin meint, ist die Regelung nicht deshalb unbestimmt, da unklar bleibe, in welchen Fällen sie zu einer längeren Speicherung als 72 Stunden berechtigt sei. Dem streitgegenständlichen Bescheid lässt sich dahingehend unzweideutig entnehmen, dass für Fälle von Feiertagsabwesenheiten eine längere Speicherdauer zulässig ist. Auch hat die Beklagte dargelegt, dass eine längere Speicherung in Fällen möglich ist, in denen das Aufzeichnungsmaterial zur Aufklärung von Schadensfällen oder der Durchsetzung etwaiger Ansprüche, die die Klägerin selbst geltend machen möchte oder gegen die sie sich zu wehren hat, notwendig ist.
cc) Der Bescheid ist auch materiell rechtmäßig. Die von der Beklagten beanstandete Datenverarbeitung der Klägerin ist rechtswidrig. Es besteht daher ein Anlass für ein Einschreiten der Beklagten. Sie erfolgte zu dem Zweck, einen datenschutzrechtswidrigen Zustand zu beenden, da die Aufzeichnungen der Videoüberwachung bisher für sechs bis acht Wochen und damit - datenschutzrechtswidrig - zu lang gespeichert wurden.
Die von der Klägerin vorgenommene Videoüberwachung und die Speicherung der dabei gewonnenen Daten unterfällt dem Regelungsregime der DSGVO (1). Die Zwecke, zu denen die Klägerin danach die Videoüberwachung durchführen darf (2), rechtfertigen in der Regel keine längere Speicherdauer als 72 Stunden (3). Die Beklagte hat die datenschutzrechtliche Beschränkung zur Speicherdauer schließlich auch ermessensfehlerfrei angeordnet (4.).
(1) Die von der Klägerin vorgenommene Videoüberwachung und die Speicherung der dabei gewonnenen Daten unterfällt dem Regelungsregime der DSGVO. Anders als die Klägerin meint, kann sie die Videoüberwachung und die Speicherung nicht auf § 4 BDSG stützen. Diese Vorschrift ist unionsrechtswidrig, soweit sie neben öffentlichen auch nichtöffentliche Stellen betrifft. Art. 6 Abs. 1 lit. e) und Abs. 3 DSGVO eröffnet den Mitgliedsstaaten nur insoweit einen Regelungsspielraum, als es sich bei der Videoüberwachung um die Wahrnehmung einer Aufgabe handelt, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt. Damit lässt sich zwar die erste Alternative des § 4 Abs. 1 BDSG (Aufgabenerfüllung öffentlicher Stellen) unter die Öffnungsklausel des Art. 6 Abs. 1 lit. e) und Abs. 3 DSGVO fassen. Darüber hinaus erlaubt aber § 4 Abs. 1 BDSG - unionsrechtswidrig - auch noch die Videoüberwachung zur Wahrnehmung des Hausrechts (Abs. 1 Nr. 2) oder zur Wahrnehmung berechtigter Interessen (Abs. 1 Nr. 3) und dies für öffentliche Stellen ebenso wie für nichtöffentliche Stellen. Damit ist aber der zulässige Grund der Öffnungsklausel verlassen, sodass aufgrund des Vorrangs des EU-Rechts § 4 BDSG hier außer Betracht bleiben muss (so etwa Buchner, in: Kühling/Buchner, DSGVO und BDSG, 3. Auflage, BDSG, § 4 Rn. 3).
Gegen eine Anwendung von § 4 BDSG für die Videoüberwachung durch nichtöffentliche Stellen hat sich auch das Bundesverwaltungsgericht in einem obiter dictum zu einem Urteil vom 27. März 2019 ausgesprochen und festgestellt, dass sich die Videoüberwachung durch private Verantwortliche nach Art. 6 Abs. 1 S. 1 lit. f) DSGVO richtet (- 6 C 2.18 -, juris). Soweit die Klägerin meint, diese Entscheidung sei auf den vorliegenden Fall nicht anzuwenden, weil er sich auf eine veraltete Rechtslage bezieht, so ist dem entgegenzuhalten, dass das Bundesverwaltungsgericht in seiner Entscheidung ausdrücklich auf die für die Zukunft geltende Rechtslage nach Inkrafttreten der DSGVO abgestellt hat (Urt. v. 27.03.2019 - 6 C 2.18 -, juris Rn. 41 ff.). Dem folgend nimmt auch die Datenschutzkonferenz in ihrer Orientierungshilfe zur Videoüberwachung für nichtöffentliche Stellen an, dass § 4 BDSG für die Videoüberwachung durch nichtöffentliche Stellen keine Anwendung findet, sondern Art. 6 Abs. 1 Satz 1 lit. f) DSGVO zum Tragen kommt (abrufbar unter: 20200903_oh_vü_dsk.pdf (datenschutzkonferenz-online.de), S. 7 Fn. 8, zuletzt abgerufen am: 17.03.2023). Soweit die Klägerin meint, § 4 BDSG sei auf sie anzuwenden, weil sie Treibstoff veräußere und damit eine öffentliche Aufgabe im Rahmen der Daseinsvorsorge wahrnehme, so ist dem nicht zuzustimmen. Die Norm ist ausdrücklich nur auf öffentliche Stellen anzuwenden. Die Klägerin ist - selbst wenn sie öffentliche Aufgaben wahrnehmen würde - aber unstreitig ein Privatunternehmen.
Die Klägerin kann die Videoüberwachung und die Speicherung der dabei gewonnenen Daten auch nicht auf § 24 BDSG stützen. Diese Vorschrift erfasst diejenigen Fälle, bei denen zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, Daten verarbeitet werden. Einen solch anderen Zweck hat die Klägerin nicht benannt und er ist auch ansonsten nicht erkennbar.
(2) Nach Art. 6 Abs. 1 lit. f) DSGVO ist die Klägerin zwar zur Videoüberwachung berechtigt, jedoch darf sie diese nicht für alle von ihr vorgetragenen Zwecke durchführen. Soweit sie vorgetragen hat, sie nehme die Videoüberwachung auch zur Durchsetzung bzw. zur Verteidigung gegen zivilrechtliche Ansprüche vor, so ist es ihr nicht gelungen, substantiiert darzulegen und zu belegen, dass sie ein berechtigtes Interesse zur Durchführung der Videoüberwachung zu eben diesem Zweck hat.
Nach Art. 6 Abs. 1 lit. f) DSGVO ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte oder Grundfreiheiten der betroffenen Personen, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Als berechtigt darf jedes rechtliche, tatsächliche, wirtschaftliche oder ideelle Interesse des Verantwortlichen angesehen werden, soweit es von der Rechtsordnung nicht missbilligt wird. Das berechtigte Interesse muss auf einen konkreten Verarbeitungs- oder Nutzungszweck gerichtet sein. Berechtigt ist das Interesse also nur, wenn die Verarbeitung legitim und rechtmäßig ist (Taeger, in Taeger/Gabel, DSGVO - BDSG - TTDSG, 4. Aufl. 2022, Art. 6 Rn. 129). Das berechtigte Interesse des Verantwortlichen ist von diesem substantiiert vorzutragen und zu belegen (Taeger, in Taeger/Gabel, DSGVO - BDSG - TTDSG, 4. Aufl. 2022, Art. 6 Rn. 135; vgl. auch BVerwG, Urt. v. 02.03.2022 - 6 C 7/20 -, juris Rn. 50). Dieser speziellen Substantiierung bedarf es nur dann nicht, wenn eine Situation gegeben ist, die nach allgemeiner Lebenserfahrung typischerweise gefährlich ist und der Überwachung bedarf. Eine solch abstrakte Gefährdungslage wird beispielsweise bei Einkaufszentren und Kaufhäusern angenommen (vgl. zur alten Rechtslage Nds. OVG, Urt. v. 29.09.2014 - 11 LC 114/13 -, NJW 2015, 502, 505 Rn. 44; vgl. zur Anwendbarkeit dieser Grundsätze auch im Anwendungsbereich der DSGVO Taeger, in Taeger/Gabel, DSGVO - BDSG - TTDSG, 4. Aufl. 2022, Art. 6 Rn. 135).
Die Klägerin - dies hat auch die Beklagte anerkannt - ist nach Anwendung dieser Grundsätze berechtigt, die Videoüberwachung zur Unterbindung und Nachverfolgung von Straftaten, insbesondere von Vandalismus und Sachbeschädigungen, durchzuführen. Bei der von der Klägerin betriebenen SB-Tankstelle handelt es sich um eine nach der allgemeinen Lebenserfahrung potentiell stark gefährdete Einrichtung, die typischerweise Opfer von Vandalismus und Sachbeschädigungen wird, sodass die Klägerin ihr berechtigtes Interesse an der Videoaufzeichnung diesbezüglich nicht besonders belegen muss.
Soweit die Klägerin überdies vorgetragen hat, die Videoüberwachung diene auch dazu, sich gegen unberechtigte zivilrechtliche Ansprüche schützen und solche gegebenenfalls selbst durchsetzen zu können, so darf sie die Videoüberwachung zu diesem Zweck nicht durchführen. Sie hat ein berechtigtes Interesse zur Datenerhebung zu diesen Zwecken weder substantiiert dargelegt noch belegt.
Zunächst ist festzuhalten, dass die Durchsetzung des Kaufpreisanspruches und die Verteidigung gegen zivilrechtliche Ansprüche eines etwaigen Tankbetrügers an einer Selbstbedienungstankstelle keine Situation darstellt, bei der nach der allgemeinen Lebenserfahrung davon auszugehen ist, dass sie typischerweise regelmäßig vorkommt. Die Klägerin ist demnach nach den oben geschilderten Grundsätzen diesbezüglich dazu verpflichtet, ihr berechtigtes Interesse an der Datenerhebung und -verarbeitung darzulegen und zu belegen. Dies ist ihr vorliegend nicht gelungen.
Zur Durchsetzung von Kaufpreisansprüchen nach § 433 BGB bedarf es der Videoaufzeichnung schon deswegen nicht, weil bei der von der Klägerin betriebenen SB-Tankstelle Benzin grundsätzlich erst dann ausgegeben wird, wenn die Tanksäule freigeschaltet wurde. Die Freischaltung erfolgt durch die Einführung der akzeptierten Zahlkarten unter Nutzung einer PIN. Sobald die Zapfpistole wieder eingehängt wird, wird die Abbuchung vom Konto des Kunden direkt veranlasst. Kunden können die Tankstelle ohne Initiierung des Zahlvorgangs also grundsätzlich nicht verlassen.
Soweit die Klägerin dargelegt hat, dass an ihrer Tankstelle auch eigens ausgegebene Tankkarten akzeptiert werden, bei denen eine monatliche Abrechnung über ein SEPA-Lastschrift-Verfahren erfolgt, so berechtigt auch dies nicht zur Videoüberwachung. Die Klägerin hat diesbezüglich zwar ausgeführt, dass Kunden dem Einzug des Rechnungsbetrages ohne Angaben von Gründen gegenüber ihrer Bank widersprechen können und die Banken teilweise nach den vertraglichen Vereinbarungen sodann berechtigt seien, den an die Klägerin ausgezahlten Betrag wieder zurück zu buchen. Zur Durchsetzung des Kaufpreisanspruches ist die Klägerin dennoch nicht auf die Aufzeichnungen der Videoüberwachungsanlage angewiesen. Der Nachweis über den (den Kaufvertrag begründenden) Tankvorgang kann sie schließlich bereits dadurch erbringen, dass die personalisierte Tankkarte unter Nutzung einer PIN an ihrer Selbstbedienungstankstelle verwendet wurde. Dies ist über die Abrechnungsbelege nachweisbar. Schließlich hat die Klägerin keinen einzigen Beleg dafür erbracht, dass es in der Vergangenheit zu einem solchen Fall gekommen ist. Das Gericht hat die Klägerin bereits im Vorfeld zur mündlichen Verhandlung zur Vorlage entsprechender Belege aufgefordert. Dem ist die Klägerin - auch im Rahmen der mündlichen Verhandlung - nicht nachgekommen. Soweit der Geschäftsführer der Klägerin diesbezüglich ausgeführt hat, Belege und Nachweise könnten nicht vorgelegt werden, weil in der Vergangenheit entsprechende Fälle immer dadurch hätten aufgeklärt werden können, dass er allein sich die Videoaufzeichnungen angeschaut habe und seinem Gegenüber am Telefon habe versichern können, dass der Tankvorgang stattgefunden habe, so hält die Kammer dies für fernliegend und nicht überzeugend. Es entspricht nicht der allgemeinen Lebenserfahrung, dass etwaige Rechtsansprüche immer ausschließlich nur telefonisch dargelegt und sodann auch telefonisch abschließend geklärt werden können.
Die Klägerin darf die Videoüberwachung auch nicht zum Zweck der Verteidigung gegen zivilrechtliche Ansprüche nach §§ 812 ff. BGB durchführen. Sie hat diesbezüglich behauptet, in der Vergangenheit sei es zu Fällen gekommen, in denen nach einem Tankvorgang die Karte eines Kunden belastet worden sei und der Kunde sodann behauptet habe, sein Fahrzeug nicht bei der Klägerin betankt und deswegen den Kaufpreis zurückgefordert zu haben. Es stünde demnach im Raum, dass die Klägerin den Kaufpreis durch Leistung des Kunden ohne Rechtsgrund erlangt habe. Selbst wenn es in der Vergangenheit zu solchen Fällen gekommen ist, rechtfertigen sie die Videoüberwachung nach Ansicht der Kammer nicht. Nach den zivilrechtlichen Beweislastregeln wäre zunächst grundsätzlich der vermeintliche Kunde für das Fehlen des Rechtsgrundes, also für den Umstand beweisbelastet, dass zwischen ihm und der Klägerin kein Kaufvertrag zustande gekommen ist - sprich, dass kein Tankvorgang vorgenommen wurde (vgl. beispielsweise Wendehorst, in BeckOK BGB, 65. Ed., § 812, Rn. 281f.). Zudem kann die Klägerin auch in solchen Konstellationen grundsätzlich über die Abrechnungen einen Nachweis für den Tankvorgang und damit das Vorliegen eines Rechtsgrundes erbringen. Soweit die Klägerin diesbezüglich ohne Vorlage entsprechender Nachweise pauschal vorgetragen hat, dass auf den Abrechnungen nicht die volle IBAN des Kunden dargestellt werde, so ist die Kammer davon überzeugt, dass die IBAN und demnach die Identität des jeweiligen Kartennutzers sich anhand der auf der Abrechnung vorhandenen Angaben durch Erforschungsmaßnahmen bei der Bank ermitteln lässt. Die Klägerin hat zudem auch für diese vorgetragene Konstellation keinen einzigen Beleg erbracht, dass es in der Vergangenheit zu entsprechenden Fällen tatsächlich gekommen ist. Auch diesbezüglich hält die Kammer es für fernliegend, dass Kunden versuchen, ihre vermeintlichen Rechtsansprüche mündlich durchzusetzen und sodann wegen einer telefonischen Auskunft, die auf der für den Kunden nicht nachvollziehbaren Sichtung des Videomaterials beruht, von der Weiterverfolgung absehen.
Auch für die von der Klägerin vorgetragene Konstellation, Kunden hätten in der Vergangenheit behauptet, ihre Karte samt PIN sei entwendet und zum Tanken verwendet worden, ist die Klägerin zur Videoüberwachung nicht berechtigt. Die Beweislast für das treuwidrige Verhalten Dritter liegt in solchen Konstellationen nicht bei der Klägerin, sondern in der Regel nach §§ 675 v -675 w BGB bei den Kreditinstituten. Bei § 675 v BGB handelt es sich um die zentrale Haftungsnorm im Rechtsverhältnis von Zahlungsdienstleister und Zahlungsdienstnutzer. Sie regelt, welche Partei bei missbräuchlicher Verwendung von Zahlungsdiensten einen durch unberechtigt verfügende Dritte entstandenen Schaden zu tragen hat. Eine Haftung des Zahlungsempfängers ist hier nicht vorgesehen. § 675 w BGB regelt dahingehend die Beweislasten und bezieht sich ebenfalls nicht auf den Zahlungsempfänger. Zudem besteht bei Nutzung einer EC-Karte/Visa-Karte mit PIN - und nur solche sind bei der Klägerin nach ihrem eigenen Vortrag nutzbar - grundsätzlich eine Zahlungsgarantie des Kreditunternehmens. Schließlich ist es der Klägerin auch hinsichtlich dieser behaupteten Konstellation nicht gelungen, eine Gefährdungslage substantiiert darzulegen. Nachweise dafür, dass es zu solchen Fällen in der Vergangenheit gekommen ist, hat sie trotz gerichtlicher Aufforderung nicht erbracht.
Die Klägerin hat weiter vorgetragen, sie sei auf die Videoüberwachung angewiesen, um Fälle aufklären zu können, bei denen Kunden nach einer Fehlbedienung die doppelte Belastung ihrer Karte rügen würden. In der Vergangenheit sei es zu Fällen gekommen, in denen Kunden durch das zentrale Terminal zunächst eine falsche und sodann die richtige Zapfsäule freigeschaltet hätten. Ein anderer Kunde habe sodann an der versehentlich freigeschalteten Zapfsäule auf Kosten dieses Kunden getankt. Auch dieser Vortrag rechtfertigt eine Videoüberwachung nicht. Zunächst ist die Kammer davon überzeugt, dass solchen Fällen durch technische Vorrichtungen begegnet werden kann, sodass sie gar nicht vorkommen müssten. Zudem hat die Klägerin auch hinsichtlich dieser Fallkonstellation keinerlei belastbaren Nachweise dafür vorgebracht, dass sie in der Vergangenheit tatsächlich vorgekommen wären.
Soweit die Klägerin schließlich noch behauptet hat, sie sei auf die Videoüberwachung angewiesen, weil sie sich wegen der vermeintlich falschen Belastung von Zahlungskarten auch gegen strafrechtliche Vorwürfe verteidigen können müsse, so hat sie auch diesbezüglich nicht substantiiert darlegen können, dass in der Vergangenheit tatsächlich strafrechtlich gegen sie ermittelt oder gar ein Strafverfahren eingeleitet wurde. Dass es auch für solche Konstellationen keinerlei schriftliche Nachweise gibt, hält die Kammer für abwegig.
(3) Soweit die Klägerin zur Durchführung der Videoüberwachung berechtigt ist, dürfen die dabei gewonnenen Aufzeichnungen grundsätzlich nicht länger als 72 Stunden gespeichert werden.
Personenbezogene Daten dürfen nach Art. 5 Abs. 1 lit. c) und e) DSGVO nicht länger gespeichert werden, als es für die Zwecke, für die sie verarbeitet wurden, erforderlich ist (Grundsätze der Datenminimierung und der Speicherbegrenzung). Spiegelbildlich bestimmt Art. 17 Abs. 1 lit. a) DSGVO, dass personenbezogene Daten unverzüglich zu löschen sind, wenn sie für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind. Dem kommt die Klägerin gegenwärtig nicht nach.
Zulässiger Zweck der Videoüberwachung ist die Unterbindung und Nachverfolgung von Straftaten, insbesondere von Vandalismus und Sachbeschädigungen. Zu diesem Zweck ist die Klägerin berechtigt, Bildaufnahmen zu erheben und auch zu speichern. Es ist aber nicht notwendig, diese Aufzeichnungen für die Zweckerreichung sechs bis acht Wochen vorzuhalten.
Wann Daten zur Zweckerfüllung nicht mehr notwendig sind, lässt sich nicht pauschal festlegen. Erforderlich ist eine Prüfung im Einzelfall (Herbst, in: Kühling/Buschner, DSGVO und BDSG, 3. Auflage, Art. 17 Rn. 17). Allerdings lassen sich einige allgemeingültige Grundsätze durchaus ausmachen. So sollten unter Berücksichtigung der Grundsätze nach Art. 5 Abs. 1 lit. c) und e) DSGVO die personenbezogenen Daten in den meisten Fällen nach einigen wenigen Tagen automatisch gelöscht werden. Je länger die Speicherfrist ist, desto höher ist der Argumentationsaufwand in Bezug auf die Rechtmäßigkeit des Zwecks und der Erforderlichkeit. Dies gilt insbesondere dann, wenn sie mehr als 72 Stunden beträgt (European Data Protection Board, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, 29.01.2020, S. 30). An diesen Anforderungen gemessen, lässt sich feststellen, dass die sechs- bis achtwöchige Dauer der Speicherung hier nicht notwendig ist.
Es ist ohne weiteres möglich, binnen 72 Stunden festzustellen, ob Vandalismus oder Beschädigungen an der klägerischen Tankstelle aufgetreten sind und sollte dem so sein, das Videomaterial daraufhin zu sichten. Sollte sodann das Videomaterial weiteren Aufschluss zu einem Tatvorgang geben, so ist die Klägerin zur längeren Speicherung berechtigt (vgl. Art. 17 Abs. 3 lit e) DSGVO). Die Klägerin sieht sich demnach, entgegen ihres Vortrags, durch die streitgegenständliche Anordnung auch nicht dem Vorwurf der Strafvereitelung nach § 339 StGB ausgesetzt, abgesehen davon, dass sie schon nicht taugliche Täterin der Strafnorm ist. Dies sind nur Richter, andere Amtsträger (§ 11 Abs. 1 Nr. 2 StGB) oder Schiedsrichter (§ 1025 Zivilprozessordnung (ZPO), § 101 Arbeitsgerichtsgesetz (ArbGG), § 76 Zehntes Buch Sozialgesetzbuch (SGB IX), § 168 Abs. 1 Nr. 5 VwGO). Die Klägerin wird durch die Anordnung der Beklagten zur Speicherdauer auch nicht angehalten, Beweismittel zu vernichten. Im Regelfall sollten ihr Fälle von Sachbeschädigung/Vandalismus innerhalb von 72 Stunden auffallen; sollte sodann das Videomaterial weiteren Aufschluss zu einem Tatvorgang geben, so ist sie zur längeren Speicherung berechtigt. Sollte ausnahmsweise Beweismaterial gelöscht werden, so dürfte es zudem am notwendigen Vorsatz für die Strafvereitelung fehlen.
Die Berechtigung zu einer längeren Speicherdauer lässt sich auch unter Heranziehung der verschiedenen von der Klägerin zitierten Quellen, Guidelines, Orientierungshilfen und Auskünfte nicht begründen.
LAG Niedersachsen
Urteil vom 06.07.2022 8 Sa 1150/20
Das LAG Niedersachsen hat entschieden, dass ein Beweisverwertungsverbot in einem Kündigungsschutzprozess für datenschutzwidrige Aufzeichnungen einer Videoüberwachungsanlage besteht.
Aus den Entscheidungsgründen: Zu Gunsten des Klägers greift zudem ein Beweisverwertungsverbot ein. Hierauf stützt die Kammer ihre Erwägungen im Verhältnis zu den Ausführungen unter aaa) selbstständig und tragend.
Auf die hier streitgegenständliche behauptete Pflichtwidrigkeit vom 02.06.2018 – bezüglich der anderen beiden Pflichtwidrigkeiten stützt sich die Beklagte nicht auf Videoaufzeichnungen - ist das Bundesdatenschutzgesetz in der ab dem 25.05.2018 geltenden Fassung (im Folgenden nur: BDSG) sowie die Datenschutzgrundverordnung der Europäischen Union (EU-Verordnung 2016/679) anzuwenden.
Die Datenschutz-Grundverordnung (im Folgenden nur: DSGVO) ist am 24. Mai 2016 in Kraft getreten. Sie beansprucht seit dem 25.05.2018 in der gesamten Europäischen Union (EU) Geltung und hat die bisherige allgemeine Datenschutz-Richtlinie 95/46/EG ersetzt.
Die hier streitgegenständlichen Vorgänge bezieht sich auf einen Tattag, der zeitlich nach dem 25.05.2018 gelegen ist. Die Beklagte hatte bei dem Einsatz der Videoüberwachungsanlage an den betreffenden Tagen die Bestimmungen der DSGVO und des BDSG in der ab dem 25.05.2018 geltenden Fassung zu beachten.
ccc) Für ein Beweisverwertungsverbot kommt es auf die Frage an, ob ein Eingriff in das Recht des Klägers auf informationelle Selbstbestimmung vorliegt und ob dieser Eingriff zulässig ist. Sofern die Datenerhebung und -verwertung nach den Bestimmungen des BDSG erfolgen durfte, kommt ein Beweisverwertungsverbot nicht in Betracht. Ist dies nicht der Fall, muss im Einzelfall geprüft werden, ob die Verwertung der so gewonnenen Beweismittel durch das Gericht im Einzelfall einen Grundrechtsverstoß darstellt. Dies entspricht der Rechtsprechung des Zweiten Senats des Bundesarbeitsgerichts (vgl. BAG 23. August 2018 - 2 AZR 133/18 - BAGE 163, 239), der das erkennende Gericht sich anschließt.
(1) Weder die Zivilprozessordnung noch das Arbeitsgerichtsgesetz enthalten Bestimmungen, die die Verwertbarkeit von Erkenntnissen oder Beweismitteln einschränken, die eine Arbeitsvertragspartei rechtswidrig erlangt hat. Ein Verwertungsverbot kann sich allerdings aus einer verfassungskonformen Auslegung des Verfahrensrechts ergeben. Da der Anspruch auf rechtliches Gehör aus Art. 103 Abs. 1 GG aber grundsätzlich gebietet, den Sachvortrag der Parteien und die von ihnen angebotenen Beweise zu berücksichtigen, kommt ein „verfassungsrechtliches Verwertungsverbot“ dann in Betracht, wenn dies wegen einer grundrechtlich geschützten Position einer Prozesspartei zwingend geboten ist (BAG 23. August 2018 - 2 AZR 133/18 - Rn. 14 mwN, BAGE 163, 239). Dies setzt in aller Regel voraus, dass die betroffenen Schutzzwecke des verletzten Grundrechts der Verwertung der Erkenntnis oder des Beweismittels im Rechtsstreit entgegenstehen. Die prozessuale Verwertung muss selbst einen Grundrechtsverstoß darstellen. Das ist der Fall, wenn das nach Art. 1 Abs. 3 GG unmittelbar an die Grundrechte gebundene Gericht ohne Rechtfertigung in eine verfassungsrechtlich geschützte Position einer Prozesspartei eingriffe, indem es eine Persönlichkeitsrechtsverletzung durch einen Privaten perpetuierte oder vertiefte. Insofern kommt die Funktion der Grundrechte als Abwehrrechte gegen den Staat zum Tragen. Auf eine nicht gerechtfertigte Beeinträchtigung des Persönlichkeitsrechts durch einen Privaten darf kein verfassungswidriger Grundrechtseingriff durch ein Staatsorgan „aufgesattelt“ werden.
(2) Obgleich die Vorschriften des BDSG nicht die Zulässigkeit von Parteivorbringen und seine Verwertung im Verfahren vor den Gerichten für Arbeitssachen begrenzen, und obwohl es für das Eingreifen eines Verwertungsverbots darauf ankommt, ob bei der Erkenntnis- oder Beweisgewinnung das allgemeine Persönlichkeitsrecht verletzt worden ist, sind die einfachrechtlichen Vorgaben insofern nicht ohne Bedeutung. Die Bestimmungen des BDSG über die Anforderungen an eine zulässige Datenerhebung, -verarbeitung und -nutzung konkretisieren und aktualisieren für den Einzelnen den Schutz seines Rechts auf informationelle Selbstbestimmung und am eigenen Bild (vgl. vor allem die in §§ 32 ff. BDSG n.F. geregelten Rechte der betroffenen Person). Sie regeln, in welchem Umfang im Anwendungsbereich des Gesetzes Eingriffe durch öffentliche oder nicht-öffentliche Stellen in diese Rechtspositionen erlaubt sind (BAG 23. August 2018 - 2 AZR 133/18 - Rn. 15 mwN, BAGE 163, 239 zum BDSG a.F.).
(3) § 26 Abs. 1 Satz 1 BDSG stellt für die Verarbeitung und Nutzung von personenbezogenen Daten eines Beschäftigten, die der Arbeitgeber durch eine Videoüberwachung öffentlich zugänglicher Räume erlangt hat, eine eigenständige, von den Voraussetzungen des § 4 BDSG unabhängige Erlaubnisnorm dar. Ist danach eine bestimmte Datenverarbeitung oder -nutzung rechtmäßig, kommt es im Verhältnis zu den betroffenen Arbeitnehmern nicht darauf an, ob die Anforderungen gemäß § 4 BDSG erfüllt sind. Die für die Überwachung im öffentlichen Raum geltende Bestimmung schließt eine eigenständige Rechtfertigung der Datenverarbeitung nach § 26 BDSG nicht aus. Diese Vorschrift dient speziell dem Ausgleich der Interessen von Arbeitgebern und Arbeitnehmern in Bezug auf den Beschäftigtendatenschutz (BT-Drs. 16/13657 S. 20 f.). Dagegen soll § 4 BDSG - unabhängig von den aufgrund der engeren schuldrechtlichen Bindungen im Rahmen eines Dauerschuldverhältnisses bestehenden Interessen - den Schutz der Allgemeinheit vor einem Ausufern der Videoüberwachung im öffentlichen Raum gewährleisten. Für die Eigenständigkeit der Erlaubnistatbestände des § 26 BDSG spricht auch, dass die Videoüberwachung nicht öffentlich zugänglicher (Arbeits-)Räume im BDSG nicht gesondert geregelt ist. Ihre Zulässigkeit richtet sich daher, soweit Arbeitnehmer betroffen sind, allein nach § 26 BDSG. Es erschiene aber wenig plausibel, wenn bezogen auf den Beschäftigtendatenschutz von Arbeitnehmern, die in öffentlich zugänglichen Räumen arbeiten, andere Maßstäbe gelten sollten als für Arbeitnehmer, die dies nicht tun (vgl. zu alledem - noch zum BDSG a.F. - BAG 23. August 2018 – 2 AZR 133/18 –, BAGE 163, 239; BAG 22. September 2016 - 2 AZR 848/15 - Rn. 43, BAGE 156, 370).
(4) Die Verarbeitung und Nutzung von rechtmäßig erhobenen personenbezogenen Daten nach § 26 Abs. 1 Satz 1 BDSG muss „erforderlich“ sein. Es hat eine „volle“ Verhältnismäßigkeitsprüfung zu erfolgen (vgl. BAG 17. November 2016 - 2 AZR 730/15 - Rn. 30). Die Verarbeitung und die Nutzung der personenbezogenen Daten müssen geeignet, erforderlich und unter Berücksichtigung der gewährleisteten Freiheitsrechte angemessen sein, um den erstrebten Zweck zu erreichen. Es dürfen keine anderen, zur Zielerreichung gleich wirksamen und das Persönlichkeitsrecht der Betroffenen weniger einschränkenden Mittel zur Verfügung stehen. Die Verhältnismäßigkeit im engeren Sinne (Angemessenheit) ist gewahrt, wenn die Schwere des Eingriffs bei einer Gesamtabwägung nicht außer Verhältnis zu dem Gewicht der ihn rechtfertigenden Gründe steht. Die Datenverarbeitung und -nutzung darf keine übermäßige Belastung für die Betroffenen darstellen und muss der Bedeutung des Informationsinteresses des Arbeitgebers entsprechen (BAG 27. Juli 2017 - 2 AZR 681/16 - Rn. 30, BAGE 159, 380). Dies beurteilt sich ggf. für jedes personenbezogene Datum gesondert.
(5) War die betreffende Maßnahme nach den Vorschriften des BDSG zulässig, liegt insoweit keine Verletzung des allgemeinen Persönlichkeitsrechts in Gestalt des Rechts auf informationelle Selbstbestimmung und am eigenen Bild vor. Ein Verwertungsverbot scheidet von vornherein aus. So liegt es namentlich, wenn die umfassende Abwägung der widerstreitenden Interessen und Grundrechtspositionen im Rahmen der Generalklauseln des § 32 Abs. 1 BDSG aF (jetzt: § 26 Abs. 1 BDSG) zugunsten des Arbeitgebers ausfällt (BAG 23. August 2018 - 2 AZR 133/18 - Rn. 15, BAGE 163, 239).
(6) War die fragliche Maßnahme nach den Bestimmungen des BDSG nicht erlaubt, muss gesondert geprüft werden, ob die Verwertung von im Zuge dieser Maßnahme gewonnenen Erkenntnissen oder Beweismitteln durch das Gericht einen Grundrechtsverstoß darstellen würde. Daran kann es zum einen fehlen, wenn die Unzulässigkeit der vom Arbeitgeber durchgeführten Maßnahme allein aus der (Grund-)Rechtswidrigkeit der Datenerhebung(en) gegenüber anderen Beschäftigten resultiert oder die verletzte einfachrechtliche Norm keinen eigenen „Grundrechtsgehalt“ hat. Zum anderen kann es sein, dass die gerichtliche Verwertung weder einen ungerechtfertigten Grundrechtseingriff darstellt noch aufgrund einer verfassungsrechtlichen Schutzpflicht zu unterlassen ist, weil durch sie die ungerechtfertigte „vorprozessuale“ Verletzung des allgemeinen Persönlichkeitsrechts einer Prozesspartei nicht perpetuiert oder vertieft würde und der Verwertung auch Gründe der Generalprävention nicht entgegenstehen (BAG 23. August 2018 - 2 AZR 133/18 - Rn. 15 mwN, BAGE 163, 239).
(7) Sofern danach ein Beweisverwertungsverbot wegen eines Verstoßes gegen das allgemeine Persönlichkeitsrecht besteht, erfasst dieses nicht allein das unrechtmäßig erlangte Beweismittel selbst, sondern steht auch einer mittelbaren Verwertung, wie der Vernehmung von Zeugen über den Inhalt des Beweismittels, entgegen (vgl. BVerfG 31. Juli 2001 - 1 BvR 304/01 - zu II 1 b bb der Gründe; BAG 20. Oktober 2016 - 2 AZR 395/15 - Rn. 19, BAGE 157, 69). In solchen Fällen darf folgerichtig weder eine Inaugenscheinnahme der Videoaufnahmen erfolgen, noch darf das Gericht dem weiteren Beweisangebot der Beklagten auf Vernehmung der mit der Auswertung der Aufnahmen betrauten Personen als Zeugen nachgehen.
ddd) Die Heranziehung, Betrachtung und Auswertung der Videoaufzeichnungen der an den Toreingängen zum Betriebsgelände der Beklagten installierten Kameras zum Zwecke der Prüfung, ob der Kläger am 02.06.2018 das Betriebsgelände betreten und verlassen hat, stellt eine Verarbeitung personenbezogener Daten von Beschäftigten iSd. § 26 Abs. 1 BDSG dar. Sie ist vorliegend weder für die Durchführung noch für die Beendigung des Beschäftigungsverhältnisses (Satz 1) noch für die Aufdeckung einer Straftat (Satz 2) erforderlich.
(1) Es fehlt bereits an der grundsätzlichen – abstrakten - Geeignetheit des eingesetzten Mittels der Videoüberwachung, um den hier von der Beklagten erstrebten Zweck der Überprüfung eines vertragsgemäßen Verhaltens sowie des Nachweises eines Arbeitszeitbetruges zu führen. Die Aufzeichnungen der Videokameras dokumentieren lediglich den Zutritt der Arbeitnehmer auf das Werksgelände sowie das Verlassen desselben. Die Arbeitszeit beginnt nach der bei der Beklagten geltenden Arbeitsordnung nicht mit dem Betreten des Werksgeländes und endet nicht mit dessen Verlassen. Sie beginnt erst und endet schon mit dem Erreichen bzw. Verlassen des auf dem weitläufigen Betriebsgelände befindlichen Arbeitsplatzes. Aus der Videoaufzeichnung kann nur auf eine Anwesenheit des Arbeitnehmers auf dem Betriebsgelände, nicht aber auf seine Anwesenheit am Arbeitsplatz geschlossen werden. Zudem ist fraglich, ob Arbeitnehmer, die das Werksgelände mit Schutzkleidung oder – beispielsweise im Winter – mit Kopfbedeckung betreten, stets hinreichend klar identifiziert werden können. Angesichts des Umstandes, dass der Zugang zum Werksgelände durch zahlreiche Eingänge möglich ist, wären Schlüsse auf die An- oder Abwesenheit von Arbeitnehmern auf dem Werksgelände zudem grundsätzlich nur dann mit hinreichender Sicherheit zu ziehen, wenn die Aufzeichnungen sämtlicher Videokameras für den betreffenden Zeitraum lückenlos, also ohne zeitliche Unterbrechungen, gefertigt und auch ausgewertet würden, da ansonsten nicht sicher davon ausgegangen werden kann, dass sämtliche Zutritte, auch z.B. solche, die im Anschluss an das Verlassen des Werksgeländes (z.B. nach einer Pause) erneut erfolgen, auch erkannt werden.
(2) Das Mittel der Videoüberwachung und -aufzeichnung ist darüber hinaus zur Kontrolle geleisteter Arbeitszeiten und zur Aufdeckung einer damit im Zusammenhang stehenden Straftat auch nicht erforderlich, da hierzu andere Mittel zur Verfügung stehen, die die Ableistung von Arbeitszeiten verlässlicher dokumentieren. So kann an dem Ort, an dem die Arbeitsleistung nach der Arbeitsordnung der Beklagten beginnt und endet – d.h., der Betriebsabteilung auf dem Gelände, in der sich der Arbeitsplatz befindet – eine Anwesenheitserfassung der Beschäftigten durch Vorgesetzte oder auch durch technische Einrichtungen wie eine Stempelkarte erfolgen. Soll die Dokumentation der An- und Abwesenheit bereits beim Zu- und Abgang auf bzw. vom Werksgelände erfolgen, kann auch im Zusammenhang damit eine elektronische Anwesenheitserfassung in Form von Karten und Kartenlesegeräten an den Werkstoren Verwendung finden, wobei dann die Befugnisse der Beklagten zur Auswertung dieser Daten nicht – wie vorliegend geschehen – durch Betriebsvereinbarung dahingehend eingeschränkt werden dürften, dass eine personenbezogene Auswertung nicht stattfinde. Weiß der Arbeitnehmer, dass er sich mit der Verwendung einer Karte nicht nur den Zugang freischaltet, sondern seine Anwesenheitszeiten zum Zwecke des Nachweises der Erbringung von Arbeitsleistung erfasst, und ist die Befugnis der Auswertung der gewonnenen Daten zu diesem Zweck auch klar geregelt, stünde deren Verwertung – auch im Rahmen einer gerichtlichen Auseinandersetzung über die Beendigung eines Arbeitsverhältnisses – nichts entgegen.
(3) Das Mittel der Videoüberwachung ist schließlich vorliegend zur Kontrolle geleisteter Arbeitszeiten und zur Aufdeckung einer damit im Zusammenhang stehenden Straftat auch nicht angemessen. Sowohl die sachliche als auch die zeitliche Intensität des Eingriffs sind erheblich und stehen vorliegend außer Verhältnis zu dem Gewicht der ihn rechtfertigenden Gründe. Die Videokameras erfassen sämtliche Zu- und Abgänge von Arbeitnehmern an sämtlichen Eingängen zum Betriebsgelände durch Bildaufzeichnungen. Aus ihnen lassen sich auch Schlüsse darauf ziehen, mit welchem zeitlichen Vorlauf zum Beginn der Arbeitszeit der Arbeitnehmer das Gelände betritt, wie er gekleidet ist, ob und von wem er ggf. begleitet wird u.a.m. Vor allem aber hat die Beklagte bei ihren Untersuchungen von Unregelmäßigkeiten auf Videoaufzeichnungen zurückgegriffen, die erhebliche Zeit zurücklagen. Der Untersuchungsbericht der Konzern Sicherheit Forensik führt als Datum den „07.06.2019“ auf. Da der Bericht zeitlich nachgelagerte Ereignisse enthält, so etwa die sämtlich am 26.08.2019 durchgeführten Befragungen des Klägers und seiner Kollegen, kann der Bericht nicht am 07.06.2019 abgeschlossen worden sein. Ob es sich um den Beginn der Ermittlungen handelt, ist nicht vollständig klar. Jedenfalls liegen keine Anhaltspunkte dafür vor, dass der Beginn der Ermittlungen eine maßgebliche Zeit vor dem 07.06.2019 lag. Dementsprechend ist davon auszugehen, dass die Beklagte sich zur Aufklärung der anonym erhobenen Vorwürfe der Sichtung von Videoaufzeichnungen bedient hat, die seinerzeit bereits (teilweise) ein Jahr lang zurücklagen. Diese Vorgehensweise widerspricht eklatant den Grundsätzen der Datenminimierung und Speicherbegrenzung, die in Art. 5 DSGVO als dem maßgeblichen und nicht durch Art. 88 DSGVO verdrängten europäischen Recht ihren Niederschlag gefunden haben, wobei angesichts des zeitlichen Ausmaßes des Rückgriffs unentschieden bleiben kann, ob die – auch aus Sicht der Kammer recht weitgehende - Ansicht der Datenschutzaufsichtsbehörden (DSK, Kurzpapier Nr. 15) zutrifft, dass Videoaufzeichnungen regelmäßig binnen 48 Stunden zu löschen sind.
(4) Die Sachlage ändert sich auch nicht dadurch, dass die Beklagte mit der Einrichtung der Videoüberwachung primär die Verhinderung des Zutritts Unbefugter auf das Betriebsgelände sowie die Unterbindung bzw. den Nachweis von Eigentumsdelikten verfolgt bzw. verfolgen mag. Auch wenn man davon ausgeht, dass diese Zwecke eine präventive, offene Videoaufzeichnung und ggf. auch die Speicherung der Aufzeichnungen für längere Zeiträume rechtfertigen könnten, ist es der Beklagten verwehrt, diese Aufzeichnungen zum Zweck der Aufklärung des Verdachts eines Arbeitszeitbetruges heranzuziehen. Das gilt jedenfalls im vorliegenden Fall, in dem die Beklagte die bei ihr vorgehaltenen Aufzeichnungen gezielt im Hinblick auf den Verdacht eines Arbeitszeitbetruges gesichtet hat. Es handelt sich damit nicht um einen ggf. verwertbaren „Zufallsfund“, der aus Anlass einer zulässigen, anders gearteten Verwertung der Videoaufzeichnungen entstanden ist.
eee) Die Verwertung der im Zuge der Videoüberwachung gewonnenen Erkenntnisse und Beweismittel der Beklagten durch das Gericht würde vorliegend auch einen Grundrechtsverstoß darstellen. Die seitens der Beklagten durchgeführte Maßnahme ist nicht allein deshalb unzulässig, weil ihre Datenerhebung gegenüber anderen Beschäftigten rechtswidrig wäre, sie ist vielmehr gerade deshalb unzulässig, weil sie sachlich und zeitlich in erheblicher Weise in das Persönlichkeitsrecht (Art. 1 GG) des Klägers eingreift. Würde eine gerichtliche Verwertung erfolgen, stellte dies einen erneuten ungerechtfertigten Grundrechtseingriff dar und wäre aufgrund der verfassungsrechtlichen Schutzpflicht des Gerichts zu unterlassen, weil hierdurch die ungerechtfertigte „vorprozessuale“ Verletzung des allgemeinen Persönlichkeitsrechts des Klägers in erheblichem Maße perpetuiert und vertieft würde. Schließlich gebieten auch Gründe der Generalprävention, die Videoaufzeichnungen der Beklagten nicht zum Zweck des Nachweises eines behaupteten, lange Zeit zurückliegenden Arbeitszeitbetruges zu verwerten.
cc) Das Gericht hatte auch keinen Zeugenbeweis zu erheben.
Aus dem oben Ausgeführten folgt, dass das Beweisverwertungsverbot hinsichtlich der Videoaufzeichnungen sich auf die Vernehmung der Zeugen erstreckt, die nach dem Beweisangebot der Beklagten über die bei Sichtung des Videos gemachten Beobachtungen berichten sollen.
Das LG Berlin hat entschieden, dass ein Mieter einen Anspruch auf immateriellen Schadensersatz aus Art. 82 DSGVO gegen den Vermieter bei datenschutzwidriger Videoüberwachung des Innenhofs zusteht. Die Höhe richtet sich nach den Umständen des Einzelfalls.
Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat gegen die Volkswagen AG ein Bußgeld in Höhe von 1,1 Millionen Euro wegen Verstößen gegen die DSGVO im Zusammenhang mit Forschungsfahrten für ein Fahrassistenzsystem verhängt.
Die Pressemitteilung der Datenschutzbehörde:
1,1 Millionen Euro Bußgeld gegen Volkswagen - DATENSCHUTZVERSTÖSSE IM RAHMEN VON FORSCHUNGSFAHRTEN
Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat gegen die Volkswagen Aktiengesellschaft eine Geldbuße nach Art. 83 Datenschutz-Grundverordnung (DS-GVO) in Höhe von 1,1 Millionen Euro festgesetzt. Grund sind Datenschutzverstöße in Zusammenhang mit dem Einsatz eines Dienstleisters bei Forschungsfahrten für ein Fahrassistenzsystem zur Vermeidung von Verkehrsunfällen. Das Unternehmen hat umfassend mit der LfD Niedersachsen kooperiert und den Bußgeldbescheid akzeptiert.
Ein Erprobungsfahrzeug des Unternehmens wurde im Jahr 2019 durch die österreichische Polizei bei Salzburg für eine Verkehrskontrolle angehalten. Den Polizeibediensteten waren am Fahrzeug ungewöhnliche Anbauten aufgefallen, die sich noch vor Ort als Kameras herausstellten. Das Fahrzeug wurde eingesetzt, um die Funktionsfähigkeit eines Fahrassistenzsystems zur Vermeidung von Verkehrsunfällen zu testen und zu trainieren. Unter anderem zur Fehleranalyse wurde das Verkehrsgeschehen um das Fahrzeug herum aufgezeichnet.
Am Fahrzeug fehlten aufgrund eines Versehens Magnetschilder mit einem Kamerasymbol und den weiteren vorgeschriebenen Informationen für die datenschutzrechtlich Betroffenen, in diesem Fall die anderen Verkehrsteilnehmenden. Diese müssen laut Artikel 13 DS-GVO bei einer Datenverarbeitung unter anderem darüber aufgeklärt werden, wer die Verarbeitung zu welchem Zweck durchführt und wie lange die Daten gespeichert werden. Bei der weiteren Prüfung wurde zudem festgestellt, dass Volkswagen keinen Auftragsverarbeitungsvertrag mit dem Unternehmen abgeschlossen hatte, das die Fahrten durchführte. Dieser wäre nach Artikel 28 DS-GVO erforderlich gewesen. Weiterhin war keine Datenschutz-Folgenabschätzung nach Artikel 35 DS-GVO durchgeführt worden, mit der vor Beginn einer solchen Verarbeitung mögliche Risiken und deren Eindämmung bewertet werden müssen. Schließlich fehlte eine Erläuterung der technischen und organisatorischen Schutzmaßnahmen im Verzeichnis der Verarbeitungstätigkeiten, was einen Verstoß gegen die Dokumentationspflichten nach Artikel 30 DS-GVO darstellte.
Diese vier Verstöße mit jeweils niedrigem Schweregrad, von denen keiner weiterhin andauert, sind Gegenstand des Bußgeldbescheides. Volkswagen hat die Mängel, die in keinem Bezug zu Serienfahrzeugen stehen, im Rahmen des vorangegangenen Prüfverfahrens unverzüglich abgestellt.
„Die eigentlichen Forschungsfahrten waren datenschutzrechtlich nicht zu beanstanden“, sagt die Landesdatenschutzbeauftragte Barbara Thiel. „Gegen die dabei anfallende Erhebung und Weiterverarbeitung personenbezogener Daten bestehen von unserer Seite keine Bedenken.“ Berücksichtigt wurde dabei insbesondere, dass die Verarbeitung dazu dient, ein Fahrassistenzsystem zur Verhinderung von Unfällen zu optimieren und so die Sicherheit im Straßenverkehr zu erhöhen.
Aufgrund der grenzüberschreitenden Verarbeitung personenbezogener Daten beteiligte die LfD vor Erlass des Bußgeldbescheides andere betroffene europäische Datenschutzaufsichtsbehörden im Kooperationsverfahren nach Artikel 60 DS-GVO.
Das ArbG Köln hat entschieden, dass entgegen der DSGVO oder anderweitig datenschutzwidrig erlangte Tatsachen einem Verwertungsverbot im Prozess unterliegen können.
Aus den Entscheidungsgründen: (2)Der Zugrundelegung des entsprechenden Tatsachenvortrags der Beklagten als unstreitig steht – entgegen der Auffassung der Klägerin - nicht entgegen, dass die Beklagte das maßgebliche Indiz für die Täuschung der Klägerin widerrechtlich – unter Verletzung des ihr gebührenden Datenschutzes – erlangt hätte.
(a) Allerdings können Verstöße gegen das Recht auf den durch Art. 8 Abs. 1 GRCh gebotenen Schutz der personenbezogenen Daten bzw. das aus Art. 2 Abs. 1 i. V. m. 1 Abs. 1 GG abzuleitende Recht auf informationelle Selbstbestimmung (vgl. BVerfG, Urteil vom 24. November 2010 – 1 BvF 2/05 –, BVerfGE 128, 1-90, Rn. 150 ff. mwN) zu prozessualen Verwertungsverboten führen:
Für die Rechtslage bis zum Inkrafttreten der unionsrechtlichen Datenschutz-Grundverordnung hat das Bundesarbeitsgericht die Frage prozessualer Verwertungsverbote rein an verfassungsrechtlichen Maßstäben bemessen und – verkürzt - wie folgt beantwortet:
In Fällen, in denen die dem Sachvortrag einer Partei zugrunde liegende Informations- oder Beweisbeschaffung das allgemeine Persönlichkeitsrecht der anderen Partei verletzt, ohne dass dies durch überwiegende Belange gerechtfertigt ist, kommt ein „verfassungsrechtliches Verwertungsverbot“ in Betracht. Obwohl der Anspruch auf rechtliches Gehör aus Art. 103 Abs. 1 GG es im Zivilprozess grundsätzlich gebietet, den Sachvortrag der Parteien und die von ihnen angebotenen Beweise zu berücksichtigen, kann dann eine Verwertung durch das Gericht unzulässig sein, wenn dies wegen einer grundrechtlich geschützten Position einer Prozesspartei zwingend geboten ist. Dies ist dann der Fall, wenn die prozessuale Verwertung der Erkenntnis oder des Beweismittels selbst einen Grundrechtsverstoß darstellen würde und das nach Art. 1 Abs. 3 GG unmittelbar an die Grundrechte gebundene Gericht ohne Rechtfertigung in eine verfassungsrechtlich geschützte Position einer Prozesspartei eingriffe, indem es eine Persönlichkeitsrechtsverletzung durch einen Privaten perpetuierte oder vertiefte. Insofern kommt die Funktion der Grundrechte als Abwehrrechte gegen den Staat zum Tragen. Auf eine nicht gerechtfertigte Beeinträchtigung des Persönlichkeitsrechts durch einen Privaten darf kein verfassungswidriger Grundrechtseingriff durch ein Staatsorgan „aufgesattelt“ werden (st. Rspr., vgl. nur BAG, Urteil vom 28. März 2019 – 8 AZR 421/17 –, Rn. 28, juris mwN).
Ein verfassungsrechtlich gebotenes Verbot der Verwertung von Sachvortrag und Beweismitteln hat Auswirkungen auf die Geständnisfiktion des § 138 Abs. 3 ZPO und damit auf die Einordung eines Sachvortrags als streitig oder unstreitig. Sieht eine Arbeitnehmerin oder ein Arbeitnehmer von einem - ggf. wahrheitswidrigen - Bestreiten des gegnerischen Sachvortrags ab, bewirkt ein Sachvortragsverwertungsverbot, dass das inkriminierte Vorbringen des Arbeitgebers gleichwohl als bestritten zu behandeln ist (BAG, Urteil vom 23. August 2018 – 2 AZR 133/18 –, BAGE 163, 239-256, Rn. 16).
Ob eine Verletzung des allgemeinen Persönlichkeitsrechts in Gestalt des Rechts auf informationelle Selbstbestimmung vorlag oder nicht, hat das Bundesarbeitsgericht danach beurteilt, ob die zu verwertenden Daten unter Verstoß gegen die einfachgesetzlichen Datenschutzvorschriften erlangt wurden oder nicht. Diese Bestimmungen (des BDSG aF) konkretisierten und aktualisierten für den Einzelnen den Schutz seines Rechts auf informationelle Selbstbestimmung. Sei die betreffende Maßnahme nach den Vorschriften des BDSG aF zulässig gewesen, läge keine Verletzung des allgemeinen Persönlichkeitsrechts in Gestalt des Rechts auf informationelle Selbstbestimmung vor. Ein Verwertungsverbot scheide von vornherein aus. Nur dann, wenn die fragliche Maßnahme nach diesen Bestimmungen nicht erlaubt gewesen sei, müsse gesondert geprüft werden, ob die Verwertung gewonnener Erkenntnisse im Prozess einen Grundrechtsverstoß durch das Gericht darstellen würde (vgl. BAG, Urteil vom 23. August 2018 – 2 AZR 133/18 –, BAGE 163, 239-256, Rn. 15 mwN).
(b) An diesen Bewertungsmaßstäben hat sich durch das Inkrafttreten der unmittelbar geltenden Datenschutzgrundverordnung (Art. 288 Abs. 2 AEUV) am 25.05.2018 keine wesentliche Änderung ergeben. Die Frage der Verwertbarkeit datenschutzwidrig erlangter Informationen richtet sich nach den Bestimmungen der Verordnung. Dabei enthält die DS-GVO kein vorbehaltloses Verbot der gerichtlichen Verwertung unrechtmäßig erlangter Daten (Arg. e Art. 17 Abs. 3 lit. e DS-GVO). Die Datenverarbeitung hat dem einschlägigen Erlaubnistatbestand nach Art. 6 Abs. 1 S. 1 lit. e, Abs. 3 S. 1 lit. b DS-GVO iVm. § 3 BDSG zu genügen. Danach ist die Verwertung des Sachvortrags durch das Gericht zulässig, wenn dies zur Erfüllung seiner hoheitlichen Aufgaben erforderlich ist. Im Rahmen der danach vorzunehmenden umfassenden Verhältnismäßigkeitsprüfung unter Abwägung der aus Art. 7 und Art. 8 GRCh bzw. Art. 2 Abs. 1 iVm. 1 Abs. 1 GG folgenden Rechte besteht Raum und Relevanz für die auch nach der bisherigen Rechtsprechung vorgenommene datenschutzrechtliche Vorprüfung der außerprozessualen Erkenntnisgewinnung (vgl. BAG, Urteil vom 23. August 2018 – 2 AZR 133/18 –, BAGE 163, 239-256, Rn. 47; Schindler DRiZ 2021, 370, 373; Frank/Heine, BB 2021, 884, 885; Tiedemann, ZD 2019, 230, 231).
(c)Unter Zugrundelegung dieser Grundsätze erweist sich der Vortrag der Beklagten als verwertbar. Die von der Beklagten vorgenommene Verarbeitung der Gesundheitsdaten der Klägerin war durch Art. 6 Abs. 1 Satz 1 lit. c DS-GVO iVm. § 28b Abs. 3 Satz 3 IfSG in der vom 24.11. bis 11.12.2021 geltenden Fassung (aF) gedeckt und damit rechtmäßig.
Unabhängig vom Vorliegen einer Einwilligung im Sinne von Art. 6 Abs. 1 Satz 1 lit. a DS-GVO war die Beklagte am 03.12.2021 berechtigt, den Impfstatus der Klägerin zu dokumentieren. Denn nach § 28b Abs. 3 Satz 1 IfSG aF war sie ab dem 24.11.2021 - das Datum der Mitarbeiterinformation hierzu (22.11.2021) ist insoweit ebenso irrelevant wie die von der Klägerin beklagte Uneindeutigkeit des entsprechenden Rund-Schreibens -gesetzlich verpflichtet, die Einhaltung der nach § 28b Abs. 1 Satz 1 IfSG aF geltenden 3-G-Zutrittsbeschränkung zum Betrieb zu überwachen und zu dokumentieren. Nach § 28b Abs. 3 Satz 3 IfSG aF war ihr zu diesem Zweck die Verarbeitung der personenbezogene Daten der Mitarbeiter einschließlich der Daten zum Impfstatus erlaubt. Es ist nicht ersichtlich, dass die Klägerin den Impfausweis nicht zum Nachweis der Zutrittsvoraussetzungen nach § 28b Abs. 1 Satz 1 IfSG aF vorgelegt hätte. Jedenfalls konnte die Beklagte nicht davon ausgehen, dass sie trotz ihres positiven Impfstatus die Einhaltung der 3-G-Regel durch eine Testung (über-) erfüllen wollte. Dass die Nachweis-Vorlage auch der Kontrolle der Einhaltung der 2-G-Vorgabe für die von der Klägerin weiterhin durchgeführten Kunden-Präsenztermine dienen konnte, würde zusätzlich eine Rechtfertigung nach § 26 Abs. 1 Satz 1 BDSG bedeuten.
In Erfüllung der aus § 28b Abs. 3 Satz 1 IfSG aF folgenden Kontroll-Verpflichtung war die Beklagte nach Abs. 3 Satz 3 auch zur Verarbeitung durch Abgleich mit den öffentlich erhältlichen Daten der Chargenabfrage – welche selbst keine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DS-GVO bzw. des BDSG § 46 Nr. 1 BDSG enthielt - berechtigt. Nur so konnte die Beklagte mangels Vorlage des QR-Codes sicherstellen, dass tatsächlich der behauptete Impfstatus gegeben war.
Es kann dahinstehen, ob aufgrund des frühen Erst-Impftermins der Klägerin eine Rechtfertigung der Datenverarbeitung auch nach § 26 Abs. 1 Satz 2 BDSG bestand.
(d) Selbst wenn man den Abgleich der Daten aus dem Impfausweis der Klägerin mit den Daten aus der Chargenabfrage als nicht von den datenschutzrechtlichen Bestimmungen gedeckt ansehen wollte, wäre die Verwertung des darauf basierenden Sachvortrags im vorliegenden Kündigungsschutzverfahren nach Auffassung der Kammer zulässig:
Die Beeinträchtigung des Rechts der Klägerin auf Schutz ihrer personenbezogenen Daten tritt angesichts der hohen Bedeutung der Verpflichtung ihrer Arbeitgeberin auf Kontrolle der gesetzlichen Infektionsschutzvorgaben zurück: Ein Arbeitnehmer, der seinem Arbeitgeber zum Nachweis der Einhaltung gesetzlicher oder auch vertraglich verbindlich gesetzter Infektionsschutzregeln eine unrichtige Urkunde vorlegt, ist bezogen auf die darin enthaltenen - unzutreffenden – personenbezogenen Daten nicht derart schutzwürdig, dass die staatlichen Gerichte an der Verwertung der durch die Datenverarbeitung gewonnenen Erkenntnisse gehindert wären. Das folgt aus der Wertung des Gesetzgebers, der im Zeitpunkt der Datenverarbeitung bereits die Vorlage unrichtiger Gesundheitszeugnisse in § 279 StGB unter Strafe gestellt und diesen Straftatbestand als Offizialdelikt ausgestaltet hatte. Mit Blick auf die durch den Gebrauch des unrichtigen Impfpasses folgende Gefährdung der Allgemeinheit und die geringe Eingriffsintensität in Bezug auf unrichtige Gesundheitsdaten wäre ein prozessuales Verwertungsverbot nicht gerechtfertigt.
Das VG Ansbach hat entschieden, dass ein Verstoß gegen die Vorgaben der DSGVO durch Videoüberwachung der gesamten Trainingsfläche eines Fitnessstudios vorliegt.
Aus den Entscheidungsgründen: 2. Die Klage ist jedoch nur begründet, soweit sie sich gegen Ziffer II des streitgegenständlichen Bescheides wendet. Im Übrigen war sie als unbegründet abzuweisen.
Das Bayerische Landesamt für Datenschutzaufsicht ist richtiger Beklagter gemäß § 20 Abs. 4, Abs. 5 Satz 1 Nr. 2 BDSG.
a) Die Unterlassungsanordnung in Ziffer I des streitgegenständlichen Bescheids ist formell wie materiell rechtmäßig. Es sind keine Verfahrensfehler ersichtlich, insbesondere wurde die Klägerin ordnungsgemäß angehört i.S.d. Art. 28 BayVwVfG (vgl. auch DS-GVO-Erwägungsgrund 129).
Die Untersagungsanordnung beruht als Abhilfemaßnahme auf Art. 58 Abs. 2 DS-GVO. Da es sich um ein Verbot handelt, ist Buchst. f) einschlägig, nicht wie vom Beklagten vorgebracht Buchst. d). Tatbestandsvoraussetzung für die Abhilfemaßnahmen des Art. 58 Abs. 2 DS-GVO ist das Vorliegen eines Verstoßes gegen die DS-GVO (vgl. Nguyen in: Gola, DS-GVO, Art. 58, Rn. 4). Ein solcher Verstoß liegt insbesondere dann vor, wenn Daten ohne entsprechende Rechtsgrundlage verarbeitet werden. Dies war vorliegend der Fall.
(1) Die Videoüberwachung konnte nicht auf eine Einwilligung der Trainierenden gestützt werden. Gemäß Art. 6 Abs. 1 Buchst. a) DS-GVO dürfen personenbezogene Daten verarbeitet werden, wenn die betroffene Person ihre Einwilligung dazu gegeben hat. Eine solche Einwilligung erfordert gemäß Art. 4 Nr. 11 DS-GVO eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Eine solche eindeutige bestätigende Handlung der Trainierenden kann allerdings nicht in der bloßen Kenntnisnahme der Hinweise auf die Videoüberwachung in den Datenschutzhinweisen und der Hinweisschilder an der Eingangstür gesehen werden, denn gemäß Satz 3 des DS-GVO-Erwägungsgrundes 32 sollen Stillschweigen oder Untätigkeit gerade keine Einwilligung darstellen. Dass die Klägerin anderweitig ein Einverständnis der Trainierenden mit der Videoüberwachung durch eine eindeutig bestätigende Handlung eingefordert hätte, ist weder vorgetragen noch sonst ersichtlich, sodass die Videoüberwachung nicht gemäß Art. 6 Abs. 1 Buchst. a) DS-GVO erlaubt war.
(2) Die Videoüberwachung konnte auch nicht auf vertragliche (Neben-)Pflichten der Klägerin, ihre Kundschaft im vorgetragenen Umfang vor Diebstählen und Übergriffen zu schützen, gestützt werden. Gemäß Art. 6 Abs. 1 Buchst. b) Alt. 1 DS-GVO ist eine Datenverarbeitung rechtmäßig, wenn sie für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich ist. Vertragliche Nebenpflichten wie Rücksichtnahme- und Schutzpflichten sind zwar auch von dieser Vorschrift erfasst (Buchner/Petri in: Kühling/Buchner, DS-GVO BDSG, Art. 6, Rn. 33), jedoch ging die streitgegenständliche lückenlose Videoüberwachung über diese Pflichten hinaus. Nach ständiger Rechtsprechung des BGH ist derjenige, der eine Gefahrenlage - wie hier durch den Betrieb eines Fitnessstudios - schafft, grundsätzlich verpflichtet, die notwendigen und zumutbaren Vorkehrungen zu treffen, um eine Schädigung anderer möglichst zu verhindern; umfasst werden hiervon diejenigen Maßnahmen, die ein umsichtiger und verständiger, in vernünftigen Grenzen vorsichtiger Betreiber für notwendig und ausreichend hält, um andere vor Schäden zu bewahren (vgl. BGH NJW 2018, 2956, Rn. 17 m.w.N.). Es muss dabei aber nicht für alle denkbaren Möglichkeiten eines Schadenseintritts vorgesorgt, sondern nur ein Sicherheitsgrad erreicht werden, den die herrschende Verkehrsauffassung im jeweiligen Bereich für erforderlich hält (vgl. BGH NJW 2018, 2956, Rn. 18 m.w.N.).
Inwiefern die Klägerin eine Schutzpflicht treffen soll, die über das Instandhalten der Fitnessgeräte und die Bereitstellung hilfsbereiten Personals und von Spinden o.Ä. hinausgeht, ist nicht nachvollziehbar. Es ist nicht davon auszugehen, dass es der herrschenden Verkehrsanschauung im Fitnessstudiobetrieb entspricht, die Trainierenden durch lückenlose Videoüberwachung vor Übergriffen und Diebstählen zu schützen oder ihnen eine erleichterte Verfolgung solcher Vorkommnisse durch die Videoüberwachung zu ermöglichen.
(3) Schließlich konnten auch nicht die berechtigten Interessen der Klägerin oder der Trainierenden selbst die Videoüberwachung rechtfertigen. Gemäß Art. 6 Abs. 1 Buchst. f) DS-GVO ist eine Datenverarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen […]. Die Klägerin kann zwar berechtigte Interessen im Sinne der Vorschrift geltend machen (hierzu (a)), zu deren Wahrung die Videoüberwachung erforderlich ist (hierzu (b)), jedoch überwiegen die Interessen der Trainierenden, namentlich deren Grundrecht auf informationelle Selbstbestimmung aus Art. 1 Abs. 1 i.V.m. Art. 2 Abs. 1 GG, diese Interessen (hierzu (c)).
(a) Die Klägerin machte als berechtigte Interessen zum einen eigene Interessen (Prävention und Verfolgung von Diebstahl und Sachbeschädigung) und zum anderen Interessen der Trainierenden (Schutz vor Diebstahl und Übergriffen) geltend. Erforderlich, aber auch ausreichend für den Begriff des berechtigten Interesses ist ein „guter Grund“, sprich ein schutzwürdiges und objektiv begründbares Interesse (BVerwG, U. v. 27. März 2019 - 6 C 2/18 - Rn. 25 bei juris (noch zu § 6b Abs. 1 BDSG a.F.)). Die Geltendmachung, Ausübung und Durchsetzung von Rechtsansprüchen (wie Schadensersatzansprüche nach Diebstahl oder Sachbeschädigung) sind berechtigte Interessen (Buchner/Petri in: Kühling/Buchner, DS-GVO BDSG, Art. 6 DS-GVO, Rn. 147). Ebenso kann das Interesse der Trainierenden, von einem Fitnessstudiobetreiber vor Diebstählen und Übergriffen geschützt zu werden, als „berechtigt“ i.S.d. Art. 6 Abs. 1 f) DS-GVO eingeordnet werden, da der Begriff des berechtigten Interesses weit auszulegen ist; eine normative Einschränkung erfolgt erst später im Rahmen der Interessenabwägung (Albers/Veit in: BeckOK Datenschutzrecht, Art. 6, Rn. 50).
(b) Auch die Erforderlichkeit der Videoüberwachung kann noch bejaht werden, da jedenfalls für die Aufklärung von Diebstählen, Sachbeschädigungen und Übergriffen kein anderes, gleich effektives Mittel (vgl. Buchner/Petri in: Kühling/Buchner, DS-GVO BDSG, Art. 6 DS-GVO, Rn. 147a) ersichtlich ist.
(c) Die Interessen der Trainierenden überwiegen jedoch die von der Klägerin vorgebrachten berechtigten Interessen an der Videoüberwachung. Die Trainierenden sind in ihrem Grundrecht auf informationelle Selbstbestimmung als Teil des allgemeinen Persönlichkeitsrechts aus Art. 1 Abs. 1 i.V.m. Art. 2 Abs. 1 GG berührt und zwar in ganz erheblicher Weise. Bei der durchgehenden Videoüberwachung im Fitnessstudio der Klägerin während der gesamten Öffnungszeiten auf allen Trainingsflächen handelt es sich um einen gravierenden Eingriff in dieses Grundrecht aller Trainierenden, mithin einer erheblichen Anzahl von Personen, ohne räumliche oder zeitliche Ausweichmöglichkeit. Schon aufgrund dieser Alternativlosigkeit der Trainierenden überwiegen deren Interessen die der Klägerin. Ihr stehen nämlich durchaus andere, zwar möglicherweise nicht genauso effektive, aber jedenfalls ausreichend effektive Maßnahmen zur Wahrung ihrer Interessen zur Verfügung wie beispielsweise eine Aufstockung des Personals. Die Klägerin kann sich nicht allein darauf berufen, die Videoüberwachung sei gegenüber der Personalaufstockung die wirtschaftlich sinnvollere Alternative (vgl. Buchner/Petri in: Kühling/Buchner, DS-GVO BDSG, Art. 6 DS-GVO, Rn. 147a).
Erschwerend kommt hinzu, dass die Trainierenden nicht mit einer Videoüberwachung im Fitnessstudio rechnen mussten. Bei der Abwägung der beiderseitigen Interessen ist zu berücksichtigen, dass gemäß Satz 4 des DS-GVO-Erwägungsgrundes 47 insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen könnten. Laut den gemäß Art. 70 Abs. 1 Buchst. e) DS-GVO zur Sicherstellung einer einheitlichen Anwendung der DS-GVO erlassenen Leitlinien des Europäischen Datenschutzausschusses (EDSA) ist entscheidendes Kriterium für die Auslegung des Begriffs der vernünftigen Erwartung, ob ein objektiver Dritter vernünftigerweise in der konkreten Situation erwarten kann, dass er überwacht wird (EDSA, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, Rn. 36, abgerufen unter edpb_guidelines_201903_video_devices_de.pdf (europa.eu)). Hinweisschilder, die über die Videoüberwachung informieren, sind zur Bestimmung, was eine betroffene Person objektiv in einer bestimmten Situation erwarten kann, unerheblich (EDSA, a.a.O, Rn. 40). In öffentlich zugänglichen Bereichen können betroffene Personen davon ausgehen, dass sie nicht überwacht werden, vor allem, wenn diese Bereiche typischerweise für Freizeitaktivitäten genutzt werden, wie es bei Fitnesseinrichtungen der Fall ist (EDSA, a.a.O., Rn. 38). Da vorliegend nichts dafür spricht, von diesem Grundsatz abzuweichen, führt auch dies zu einem Überwiegen der Interessen der Trainierenden.
Auch bei Betrachtung des Umfangs der der Klägerin entstandenen Schäden ist keine andere Gewichtung der Interessen geboten. Nach den Angaben der Klägerin in der mündlichen Verhandlung belaufen sich die Diebstähle auf circa zehn Fälle jährlich und die Sachbeschädigungen auf circa 10.000 EUR bis 15.000 EUR jährlich, während die Einnahmen beispielhaft im Jahr 2019 200.000 EUR betrugen. Die finanziellen Einbußen der Klägerin halten sich daher in einem Rahmen, der in keinem Verhältnis zu einer lückenlosen Videoüberwachung der Trainierenden steht. Wenn die Klägerin darüber hinaus in der mündlichen Verhandlung ausführt, dass hinsichtlich der Kleingeräte keinerlei Diebstahlsicherungen sinnvoll umsetzbar sind, muss letztlich aus unternehmerischer Sicht hingenommen werden, dass nicht jegliche finanziellen Risiken abgewendet werden können, ganz besonders nicht auf Kosten der informationellen Selbstbestimmung der gesamten Kundschaft.
Auch die berechtigten Interessen der Trainierenden selbst, die die Klägerin ebenfalls geltend macht, begründen kein anderes Abwägungsergebnis. Zwar mag die Videoüberwachung für manche eher ein willkommenes Gefühl der Sicherheit als einen unangenehmen Anpassungsdruck auslösen. Die Risiken der Aufklärbarkeit eines Diebstahls oder Übergriffs liegen aber primär im Verantwortungsbereich der Trainierenden selbst, nicht dem der Klägerin. Wer das Smartphone nicht in den Spind sperrt, ist sich regelmäßig der so erleichterten Möglichkeit eines Diebstahls im Trainingsraum im Fitnessstudio bewusst. Auch dass die Aufklärung von Straftaten in einem verhältnismäßig engen Raum unter vielen sich fremden Menschen erschwert ist, dürfte den Trainierenden als Teil des allgemeinen Lebensrisikos bewusst sein. Es liegt in der Hand der Trainierenden selbst, dieses Risiko bei Bedarf zu minimieren, indem beispielsweise Trainingsgeräte in der Nähe der Empfangstheke gewählt werden oder zu zweit oder zu einer „risikoärmeren“ Uhrzeit trainiert wird. Das Interesse der Trainierenden, vor diesem allgemeinen Lebensrisiko durch die Klägerin mittels Videoüberwachung geschützt zu werden, wiegt nicht so schwer, wie das Interesse daran, im Fitnessstudio überwachungsfrei trainieren zu können.
Das Gericht sieht hier auch keine Vergleichbarkeit mit dem Einzelhandel, da dort zum einen ein deutlich geringerer Eingriff in das allgemeine Persönlichkeitsrecht vorliegt (regelmäßig kürzerer Aufenthalt und auch weniger private Tätigkeit als im Fitnessstudio), zum anderen aber das Diebstahlrisiko und die Aufklärungsschwierigkeiten noch höher sein dürften durch den schnelleren Kundenwechsel, die höhere Zahl an kleinen Gegenständen und die leichteren Verstauungsmöglichkeiten beispielsweise in Jacken- und Hosentaschen.
Da somit mangels Rechtsgrundlage für die Datenverarbeitung mittels Videoüberwachung ein datenschutzrechtlicher Verstoß gegeben war, durfte die Beklagte eine Abhilfemaßnahme nach Art. 58 Abs. 2 DS-GVO ergreifen. Der Aufsichtsbehörde steht bezüglich der Wahl der konkreten Abhilfemaßnahme ein Ermessen zu (vgl. dazu DS-GVO-EG 129), welches gerichtlich nur eingeschränkt überprüfbar ist, § 20 Abs. 2 BDSG i.V.m. § 114 VwGO. Vorliegend sind Ermessensfehler hinsichtlich der Untersagungsanordnung weder vorgetragen noch sonst ersichtlich.
Die Untersagungsanordnung war auch verhältnismäßig (vgl. DS-GVO-Erwägungsgrund 129), insbesondere ist kein milderes, gleich effektives Mittel zur Herstellung des Einklangs mit der DS-GVO ersichtlich. Da die gesamte Trainingsfläche lückenlos überwacht wurde, könnte eine (nachträgliche) Einwilligung i.S.d. Art. 6 Abs. 1 Buchst. a) DS-GVO mangels Freiwilligkeit und Widerruflichkeit i.S.d. Art. 7 DS-GVO nicht wirksam eingeholt werden. Eine mögliche Anordnung des Beklagten nach Art. 58 Abs. 2 Buchst. d) DS-GVO, die Videoüberwachung wirksam zum Bestandteil des Vertrags mit den Trainierenden zu machen (statt des bloßen Hinweises in den Datenschutzhinweisen), erscheint zum einen schon mit Blick auf die zivilrechtlichen Vorschriften zur AGB-Kontrolle problematisch (vgl. dazu LG Koblenz BeckRS 2014, 1243) und hätte zum anderen einen erheblichen Eingriff in die Privatautonomie der Klägerin und somit auch kein milderes Mittel dargestellt. Das Verbot der Videoüberwachung war daher als ultima ratio erforderlich. Das Verbot war auch angemessen, denn das öffentliche Interesse an der Herstellung eines datenschutzkonformen Zustands im Fitnessstudio der Klägerin überwiegt das Interesse der Klägerin an der Videoüberwachung, da ein schwerwiegender Eingriff in das Persönlichkeitsrecht der Trainierenden vorlag (siehe hierzu auch die Ausführungen oben zu Art. 6 Abs. 1 Buchst. f) DS-GVO).
b) Die Mitteilungsanordnung in Ziffer II des streitgegenständlichen Bescheids ist demgegenüber materiell rechtswidrig und daher aufzuheben, denn der streitgegenständliche Bescheid enthält bezüglich seiner Ziffer II keinerlei Begründung i.S.d. Art. 39 BayVwVfG (vgl. auch DS-GVO-Erwägungsgrund 129) oder Ermessenserwägungen. An diesem Ermessensausfall konnte auch der Schriftsatz des Beklagten vom 31. Januar 2022 nichts ändern.
Die fehlende Begründung der Ziffer II stellte zunächst einen Formfehler dar, der aber durch die Ausführungen des Beklagten im Schriftsatz vom 31. Januar 2022 gemäß Art. 45 Abs. 1 Nr. 2, Abs. 2 BayVwVfG geheilt werden konnte, sodass Ziffer II formell rechtmäßig war.
Als Rechtsgrundlage für Ziffer II wurde in diesem Schreiben vom 31. Januar 2022 Art. 58 Abs. 1 Buchst. a) DS-GVO genannt. Hinsichtlich der Wahl der im Einzelfall anzuwendenden Untersuchungsbefugnis des Abs. 1 des Art. 58 DS-GVO steht der Aufsichtsbehörde ein Auswahlermessen zu (vgl. DS-GVO-Erwägungsgrund 129), welches gerichtlich nur eingeschränkt überprüfbar ist gemäß § 20 Abs. 2 BDSG i.V.m. § 114 Satz 1 VwGO. Der streitgegenständliche Bescheid enthält jedoch keine Ausführungen, aus denen ersichtlich wäre, dass der Beklagte dieses Ermessen bezüglich Ziffer II des Bescheids erkannt und ausgeübt hat. Dies allein stellt schon ein starkes Indiz für einen materiellen Ermessensausfall dar (BayVGH NVwZ-RR 2008, 787 (787 f.); Stelkens in: Stelkens/Bonk/Sachs, VwVfG, § 39, Rn. 28 m.w.N.).
Es können auch nicht die zur Untersagungsanordnung in Ziffer I des Bescheids angestellten Ermessenserwägungen auf Ziffer II übertragen werden, da sich diese in keiner Weise mit der Art und Weise, wie die Umsetzung der Untersagung überprüft werden könnte, auseinandersetzen (vgl. zur Übertragung von Ermessenserwägungen BVerwG NVwZ 2007, 470 (471)). Insgesamt ist schlicht nicht erkennbar, dass bei der Wahl der passenden Untersuchungsbefugnis zur Kontrolle der Umsetzung der Untersagungsanordnung die notwendige Abwägung zwischen den öffentlichen Interessen und den privaten Interessen der Klägerin stattgefunden hat. Auch das nachträgliche Vorbringen des Beklagten im Schriftsatz vom 31. Januar 2022 konnte diesbezüglich nicht berücksichtigt werden, denn § 114 Satz 2 VwGO ermöglicht lediglich die Ergänzung defizitärer Ermessenserwägungen, nicht aber die nachträgliche erstmalige Ausübung (BVerwG NVwZ 2007, 470 (471)). Nach alldem lag ein Ermessensausfall vor.
Ziffer II des streitgegenständlichen Bescheids war daher wegen des Ermessensausfalls rechtswidrig. Insoweit war die Klägerin als Adressatin des belastenden Verwaltungsakts auch in ihrem Recht auf wirtschaftliche Handlungsfreiheit aus Art. 2 Abs. 1 i.V.m. Art. 19 Abs. 3 GG verletzt, sodass Ziffer II gemäß § 113 Abs. 1 Satz 1 VwGO aufzuheben war.
c) Die formell rechtmäßige Zwangsgeldandrohung in Ziffer III des streitgegenständlichen Bescheids ist auch materiell rechtmäßig, insbesondere wurde wirksam eine Frist i.S.d. Art. 36 Abs. 1 Satz 2 VwZVG gesetzt. Zwar setzt Ziffer III nach ihrem Wortlaut selbst keine entsprechende Frist, jedoch enthält die Begründung zur Ziffer III auf Seite 4 des streitgegenständlichen Bescheids eindeutig die vom Beklagten beabsichtigte Frist, nämlich zwei Wochen nach Bestandskraft des Bescheids. Da die Begründung zur Bestimmung des Regelungsinhalts eines Verwaltungsakts zu Hilfe zu nehmen ist (Stelkens in: Stelkens/Bonk/Sachs, Verwaltungsverfahrensgesetz, Art. 35, Rn. 76), ist vorliegend eine Frist i.S.d. Art. 36 Abs. 1 Satz 2 VwZVG ordnungsgemäß gesetzt worden. Auch die Bestimmtheit gemäß Art. 37 BayVwVfG ist dabei gewahrt (vgl. hierzu Stelkens in: Stelkens/Bonk/Sachs, Verwaltungsverfahrensgesetz, Art. 39, Rn. 26).
Der BGH hat entschieden, dass von einer Privatperson unter Verstoß gegen die Vorgaben der DSGVO erstellte Videoaufnahmen im Strafverfahren verwertbar sind.
Aus den Entscheidungsgründen:
Für die neue Hauptverhandlung weist der Senat darauf hin, dass entgegen der Auffassung der Revision keine Bedenken gegen die Verwertbarkeit der Videoaufnahmen von der Tatbegehung bestehen. Selbst wenn diese unter Verstoß gegen die Vorgaben der DSGVO erlangt worden sind, weil der Inhaber eines Ladengeschäfts mit seiner davor angebrachten Videokamera über 50 Meter ins öffentliche Straßenland hineingefilmt hat, würde dies nicht zur Unverwertbarkeit des so erlangten Beweismittels führen. Denn auch rechtswidrig von Privaten erlangte Beweismittel sind grundsätzlich im Strafverfahren verwertbar (vgl. BVerfG, Beschluss vom 9. November 2010 – 2 BvR 2101/09, NJW 2011, 2417; BGH, Urteile vom 22. Februar 1978 – 2 StR 334/77, BGHSt 27, 355, 357; vom 9. April 1986 – 3 StR 551/85, BGHSt 34, 39, 52; zu Videoaufnahmen auch BGH, Beschluss vom 18. August 2020 – 5 StR 175/20 mwN). Durch das Inkrafttreten der DSGVO hat sich daran nichts geändert.
OVG Rheinland-Pfalz
Urteil vom 25.06.2021 10 A 10302/21
Das OVG Rheinland-Pfalz hat entschieden, dass die DSGVO nicht auf abgeschaltete Überwachungskameras anzuwenden ist. Art. 58 Abs. 2 lit. f DSGVO ist daher keine Befugnisnorm für eine Abbauanordnung.
Aus den Entscheidungsgründen:
1. Der Anwendungsbereich der Datenschutz-Grundverordnung ist nicht eröffnet.
Nach Art. 2 Abs.1 DS-GVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Dabei bezeichnet „Verarbeitung“ gemäß Art. 4 Nr. 2 DS-GVO jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Daran fehlt es vorliegend.
Zwar handelt es sich bei Videoaufnahmen und deren vorläufiger Speicherung durch eine Überwachungskamera um Datenverarbeitungsvorgänge im Sinne von Art. 4 DS-GVO. Jedoch werden von der streitgegenständlichen Kamera 01 keine Daten (mehr) verarbeitet. Denn die in Ziffer 2 des Bescheids vom 23. November 2018 angeordnete Einstellung des Betriebes dieser Kamera ist, nachdem das Verwaltungsgericht die Klage insoweit abgewiesen, der Kläger diesbezüglich die Zulassung der Berufung nicht beantragt und sich auch der Berufung des Beklagten nicht gemäß § 127 Verwaltungsgerichtsordnung – VwGO – angeschlossen hat, bestandskräftig geworden. Ist die Kamera ausgeschaltet, findet – da Anhaltspunkte für einen fortdauernden und der Verfügung widersprechenden Betrieb nicht vorliegen und auch vom Beklagte nicht vorgetragen werden – eine Verarbeitung personenbezogener Daten nicht (mehr) statt. Der sachliche Anwendungsbereich der Datenschutzgrundverordnung gemäß Art. 2 Abs. 1 DS-GVO ist im Hinblick auf die bloß vorhandene, aber deaktivierte Kamera nicht eröffnet (vgl. Polenz in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 1. Auflage 2019, Anhang 1 zu Art. 6 Rn. 43; ebenso: Datenschutzkonferenz, Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen, 17. Juli 2020, Nr. 1.1, S. 5).
2. Ungeachtet dessen ermächtigt Art. 58 Abs. 2 lit. f DS-GVO nicht zur Anordnung des Abbaus der stillgelegten Kamera; eine erweiternde Auslegung der Vorschrift, wie sie der Beklagte vornimmt, scheidet aus.
a) Nach Art. 58 Abs. 2 lit. f DS-GVO verfügt die Aufsichtsbehörde im Fall eines Datenschutzverstoßes über sämtliche Abhilfebefugnisse, die es ihr – lediglich – gestatten, eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen. Von dieser Befugnis hat der Beklagte durch die Anordnung zur Einstellung der Datenverarbeitung durch Kamera 01 Gebrauch gemacht; diese Verfügung ist bestandskräftig. Eine weitergehende Befugnis zur Anordnung auch des Abbaus der Kamera begründet Art. 58 Abs. 2 lit. f DS-GVO nicht. Vielmehr ermächtigt die Norm die Aufsichtsbehörde ihrem eindeutigen Wortlaut nach allein dazu, die Verarbeitung vorübergehend oder ganz zu beschränken bzw. zu verbieten. Ebenso wie die Untersagung in der Vorgängerregelung des § 38 Abs. 5 Satz 2 Bundesdatenschutzgesetz – BDSG – a.F. bezieht sich die Beschränkung bzw. das Verbot auf ein Verhalten – die Datenverarbei-tung –, erstreckt sich jedoch nicht auf die Beseitigung der zugehörigen Hardware (in diesem Sinne bereits zu § 38 Abs. 5 BDSG a.F.: VG Oldenburg, Urteil vom 12. März 2013 – 1 A 3850/12 –, juris, Rn. 22; Nguyen in: Gola, DS-GVO, a.a.O., Art. 58, Rn. 20).
b) Entgegen der Ansicht des Beklagten lässt sich die Anweisung zum Abbau einer deaktivierten Kamera nicht unter den Begriff des Verbots im Sinne der Vorschrift subsumieren. Gemäß Erwägungsgrund 129 Satz 4 DS-GVO darf ein Verbot nach Art. 58 Abs. 2 lit. f DS-GVO in Anwendung des Verhältnismäßigkeitsgrundsatzes nur verhängt werden, wenn weniger einschneidende Maßnahmen wie die Beschränkung der Verarbeitung keinen Erfolg versprechen. Stellt sich das Verbot damit als ultima ratio der Abhilfemaßnahmen nach Art. 58 Abs. 2 lit. f DS-GVO dar (vgl. Simitis/Horn/Spiecker, a.a.O., Art. 58. Rn. 40; VGH Baden-Württemberg, Beschluss vom 22. Januar 2020 – 1 S 3001/19 – juris, Rn. 61), scheidet eine erweiternde Auslegung des Verbotsbegriffes im Sinne eines deutlich eingriffsintensiveren Gebots zum Abbau einer deaktivierten Kamera aus. Dies gilt umso mehr, als es sich bei dem Verbot nach Art. 58 Abs. 2 lit. f DS-GVO im Vergleich zu den anderen Maßnahmen aus dem Katalog des Art. 58 Abs. 2 wie etwa Verwarnungen (vgl. lit. b) und Anweisungen zu künftigem Verhalten (lit. d) ohnehin bereits um eine der belastendsten Maßnahmen für den Datenverarbeiter handelt.
c) Anders als der Beklagte meint, ermächtigt Art. 58 Abs. 2 lit. f DS-GVO auch nicht zur Anordnung des Abbaus als „technisch-organisatorische Maßnahme im Verarbeitungsumfeld“. Zwar ist der für die Verarbeitung Verantwortliche verpflichtet, durch geeignete technische und organisatorische Maßnahmen u.a. sicherzustellen, dass die Verarbeitung gemäß der Datenschutz-Grundverordnung erfolgt (Art. 24 Abs. 1 DS-GVO), dass die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umgesetzt werden (Art. 25 Abs. 1 DS-GVO) und ein dem Risiko angemessenes Schutzniveau gewährleistet ist (Art. 32 Abs. 1 DS-GVO). Die Verpflichtung zur Durchführung solcher Maßnahmen, deren Erforderlichkeit sich nach den jeweiligen Risiken der betreffenden Verarbeitung personenbezogener Daten richtet (sog. risikobasierter Ansatz, vgl. Erwägungsgrund 75 und 76 DS-GVO), besteht jedoch nicht isoliert. Vielmehr beziehen sich die vorgegebenen technischen und organisatorischen Maßnahmen ebenso wie die Beschränkungen und Verbote stets auf Datenverarbeitungsvorgänge, deren Vereinbarkeit mit der Datenschutz-Grundverordnung sie gewährleisten sollen. Derartige Verarbeitungsvorgänge finden jedoch bei einer deaktivierten Kamera wie dargelegt nicht statt. In Ermangelung von Datenverarbeitungsvorgängen lässt sich auch ein die Anordnung rechtfertigender mittelbarer Verarbeitungszusammenhang, wie er von der Beklagten behauptet wird, nicht feststellen.
d) Ebenso wenig lässt sich eine Abhilfebefugnis im Sinne einer Beseitigungsanordnung auf den unionsrechtlichen Effektivitätsgrundsatz stützen, wonach es den Mitgliedstaaten ebenso wie den nationalen Gerichten bei der Anwendung von Unionsrecht obliegt, die volle Wirkung seiner Bestimmungen zu gewährleisten („effet utile“, vgl. EuGH, Urteil vom 17. September 2002 – C-253/00 –, juris, Rn. 28 m.w.N.). Dafür, dass die datenschutzrechtlichen Regelungen zur Entfaltung ihrer vollen Wirksamkeit über das Verarbeitungsverbot des Art. 58 Abs. 2 lit. f DS-GVO hinaus einer weiteren Absicherung durch eine zusätzliche – nicht normierte – Befugnis zur Anordnung der Deinstallation von Datenverarbeitungsanlagen bedürfen, lässt sich aus der Entstehungsgeschichte der Norm nichts herleiten. Art. 58 DS-GVO hat Art. 28 Abs. 3 der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Richtlinie – DS-RL –) abgelöst, der im Vergleich relativ grobe Untersuchungs- und Einwirkungsbefugnisse sowie das Klagerecht und die Anzeigebefugnis der Aufsichtsbehörden normiert hat. Im Gegensatz zu den Befugnissen nach Art. 28 Abs. 3 DS-RL, die in ihrer Reichweite und Wirksamkeit wesentlich von den Vorgaben des nationalen Gesetzgebers in den einzelnen nationalen Umsetzungsgesetzen abhingen und deshalb erheblich zwischen den Mitgliedstaaten divergieren konnten (vgl. Ehmann/Selmayr, Datenschutz-Grundverordnung, 2. Auflage 2018, Art. 58, Rn. 1), hat der Verordnungsgeber in Art. 58 DS-GVO die Befugnisse der Aufsichtsbehörde erstmals europaweit einheitlich und mit unmittelbarer Geltung geregelt, um ein einheitliches Datenschutzniveau innerhalb der EU herzustellen (vgl. Gesetzesbegründung der Kommission, KOM (2012) 11, S. 2). Angesichts der gegenüber der Vorgängernorm des § 28 Abs. 3 DS-RL deutlich erweiterten und präzisierten Abhilfebefugnisse – Art. 58 DS-GVO sieht 26 konkrete Untersuchungs-, Abhilfe- und Genehmigungsbefugnisse vor – kann nicht davon ausgegangen werden, dass der Verordnungsgeber ein – die vorgesehenen Abhilfebefugnisse in seiner Intensität zudem deutlich übersteigendes – Gebot zur Deinstallation von Hardware versehentlich nicht normiert hat, diese Lücke systemwidrig wäre und nunmehr über den Grundsatz des „effet utile“ geschlossen werden müsste. Dies gilt insbesondere deshalb, weil die Frage, ob die Aufsichtsbehörde auch zur Anordnung des Abbaus einer Kamera ermächtigt ist, bereits unter der Geltung von Art. 28 Abs. 3 DS-RL bzw. § 38 Abs. 5 Bundesdatenschutzgesetz (BDSG) a.F. umstritten war (vgl. Nguyen in Gola, a.a.O., Art. 58, Rn. 20 m.w.N., VG Oldenburg, Urteil vom 12. März 2013 – 1 A 3850/12 –, a.a.O.). Eine ausdrückliche Ermächtigungsgrundlage für eine Abbauanordnung hat jedoch trotz der bereits bekannten Problematik keinen Eingang in die Datenschutz-Grundverordnung gefunden. Im Gegenteil findet sich in der Gesetzesbegründung zu den Befugnissen der Aufsichtsbehörde (zum Entwurfszeitpunkt noch geregelt in Art. 53 der Verordnung) lediglich, dass Art. 53 – zum Teil gestützt auf die Vorgängerregelung des Art. 28 Abs. 3 DS-RL – die Befugnisse der Aufsichtsbehörde mit „einigen neuen Aspekten, darunter die Befugnis zur Verhängung verwaltungsrechtlicher Sanktionen“, regelt (vgl. Gesetzesbegründung der Kommission, a.a.O., S. 14). Anhaltspunkte dafür, dass zusätzlich zu den bislang ausschließlich als Verbot bzw. Beschränkung vorgesehenen Abhilfebefugnissen eine Abhilfebefugnis in Gestalt eines Handlungsgebotes (zum Abbau einer Datenverarbeitungsanlage) geschaffen werden sollte, fehlen.
e) Schließlich rechtfertigt der Umstand, dass von der abgeschalteten Kamera 01 ebenso wie von einer Attrappe ein sog. Überwachungsdruck ausgeht, nicht die Annahme einer Befugnis des Beklagten zur Anordnung des Abbaus. Soweit eine Videoüberwachung in das allgemeine Persönlichkeitsrecht des Einzelnen in seiner Ausprägung als Recht der informationellen Selbstbestimmung eingreift, sind evtl. Abwehr-, Unterlassungs- und Schadenersatzansprüche vom Betroffenen im Zivilrechtsweg geltend zu machen (vgl. Datenschutzkonferenz, Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen vom 17. Juli 2020, a.a.O., Ziffer 1.3 m.w.N. zur zivilgerichtlichen Rechtsprechung; VG Oldenburg, Urteil vom 12. März 2013 – 1 A 3850/12 – juris, Rn. 24; Simitis/Hornung/Spiecker, Datenschutzrecht, a.a.O., Anhang 1 zur Art. 6, Rn. 43).
f) Soweit der Beklagte geltend macht, ein isoliertes Verarbeitungsverbot vermöge Verstößen gegen die Datenschutz-Grundverordnung nicht wirksam zu begegnen, da der Kläger die Kamera jederzeit wieder in Betrieb nehmen könne, ohne dass die Aufsichtsbehörde dies kontrollieren und der Kläger seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DS-GVO nachkommen könne, ist er angesichts des klaren Wortlauts der Vorschrift auf Art. 58 Abs. 6 Satz 1 DS-GVO zu verweisen, wonach es jedem Mitgliedstaat freisteht, durch Rechtsvorschriften vorzusehen, dass seine Aufsichtsbehörde neben den in den Absätzen 1 bis 3 aufgeführten Befugnissen über zusätzliche Befugnisse verfügt, die allerdings nicht die effektive Durchführung des Kapitels VII der Datenschutz-Grundverordnung beeinträchtigen dürfen (ebenso: Nguyen in: Gola, DS-GVO, a.a.O., Art. 58, Rn. 20 a.E.). Von dieser Öffnungsklausel hat der nationale Gesetzgeber bislang nur in Gestalt von § 40 Abs. 3 Satz 3 und Abs. 6 Satz 2 BDSG (vgl. Simitis/Hornung/Spiecker gen. Döhmann, a.a.O., Art. 58, Rn. 74), nicht aber im Hinblick auf die Ermächtigung zum Erlass einer Beseitigungsanordnung Gebrauch gemacht.
Scheidet die Anordnung des Abbaus der Kamera auf der Grundlage von Art. 58 Abs. 2 lit. f DS-GVO aus, kommt es auf die Ausführungen der Beteiligten zur Verhältnismäßigkeit der Abbauanordnung nicht mehr an.
OVG Münster
Beschluss vom 04.03.2021 14 B 278/21.NE
Das OVG Münster hat entschieden, dass die coronabedingte Videoüberwachung und Aufzeichnung von häuslichen Prüfungen durch die Fernuniversität Hagen zulässig ist.
Die Pressemitteilung des Gerichts:
Eilantrag gegen videoüberwachte Prüfung der Fernuniversität Hagen erfolglos
Das Oberverwaltungsgericht hat heute den Normenkontroll-Eilantrag eines Studenten aus Bonn abgelehnt, der sich gegen die Corona-Prüfungsordnung der Fernuniversität Hagen gewandt hatte.
Die Fernuniversität sieht in ihrer Corona-Prüfungsordnung als alternative Möglichkeit neben Präsenzprüfungen, die zurzeit nicht durchgeführt werden, videobeaufsichtigte häusliche Klausurprüfungen vor. Danach werden die Prüflinge durch prüfungsaufsichtsführende Personen über eine Video- und Tonverbindung während der Prüfung beaufsichtigt. Die Video- und Tonverbindung sowie die Bildschirmansicht des Monitors werden vom Beginn bis zum Ende der Prüfung aufgezeichnet und gespeichert. Die Prüfungsaufzeichnung wird nach dem Ende der Prüfung gelöscht. Dies gilt nicht, wenn die Aufsicht Unregelmäßigkeiten im Prüfungsprotokoll vermerkt hat oder der Student eine Sichtung der Aufnahme durch den Prüfungsausschuss beantragt. In diesem Fall erfolgt die Löschung der Aufzeichnung erst nach Abschluss des Rechtsbehelfsverfahrens. Mit dem Eilantrag begehrte ein Student, der an einer solchen Prüfung am 8. März 2021 teilnehmen möchte, die vorläufige Untersagung der Aufzeichnung und Speicherung der Daten, nicht aber des Filmens an sich. Er machte geltend, das Vorgehen verstoße gegen die Datenschutzgrundverordnung und sein Recht auf informationelle Selbstbestimmung.
Das Oberverwaltungsgericht hat den Antrag abgelehnt. Zur Begründung hat der 14. Senat ausgeführt: Die Rechtmäßigkeit der Aufzeichnung und Speicherung könne im Eilverfahren nicht geklärt werden. Allerdings erlaube die Datenschutz-Grundverordnung die Datenverarbeitung, wenn sie für die Wahrnehmung einer Aufgabe erforderlich sei, die im öffentlichen Interesse liege oder in Ausübung öffentlicher Gewalt erfolge, die dem Verantwortlichen übertragen worden sei. Hochschulen seien zur Durchführung von Prüfungen verpflichtet. In Wahrnehmung dieser Aufgabe habe die Fernuniversität dem prüfungsrechtlichen Grundsatz der Chancengleichheit Geltung zu verschaffen. Dieser verlange, dass für vergleichbare Prüflinge so weit wie möglich vergleichbare Prüfungsbedingungen gälten, um allen Teilnehmern gleiche Erfolgschancen zu bieten. Insbesondere sei zu verhindern, dass einzelne Prüflinge sich durch eine Täuschung über Prüfungsleistungen einen Chancenvorteil gegenüber den rechtstreuen Prüflingen verschafften. Die Aufzeichnung und vorübergehende Speicherung dürfte sich im Ergebnis im Hinblick darauf, die teilnehmenden Prüflinge von Täuschungsversuchen abzuhalten, und im Hinblick auf ein sich im Verlauf der Prüfung ergebendes Bedürfnis nach Beweissicherung in der Sphäre des Prüflings, auch für eine vom Prüfling geltend gemachte Störung des ordnungsgemäßen Prüfungsablaufs, als geeignet und erforderlich erweisen. Die wegen der verbleibenden Rechtmäßigkeitszweifel erforderliche ergänzende Folgenabwägung falle zu Lasten des Antragstellers aus, da die durch die Aufzeichnung und Speicherung der Daten eintretenden Belastungen zumutbar seien.
OVG Schleswig-Holstein
Beschluss vom 03.03.2021 3 MR 7/21
Das OVG Schleswig-Holstein hat entschieden, dass die Videoaufsicht bei coronabedingter elektronischer Hochschulprüfung durch das Gebot der Chancengleichheit gerechtfertigt ist.
Die Pressemitteilung des Gerichts:
Corona – Videoaufsicht bei elektronischer Hochschulprüfung zulässig
Ohne Erfolg blieb der Versuch eines Studierenden der Christian-Albrechts-Universität zu Kiel (CAU), mit gerichtlicher Hilfe durchzusetzen, dass die von ihm in elektronischer Form abzulegenden Prüfungen ohne die vorgesehene Videoaufsicht stattfinden. Sein Antrag an das Schleswig-Holsteinische Oberverwaltungsgericht, eine entsprechende Satzungsregelung der CAU vorläufig außer Vollzug zu setzen, wurde gestern durch einen unanfechtbaren Beschluss als unzulässig verworfen (Az. 3 MR 7/21).
Unzulässig sei der Antrag deshalb, weil der Antragsteller sein Ziel auf diesem Wege nicht erreichen und seine Rechtsstellung folglich nicht verbessern könne, so der 3. Senat. Es sei davon auszugehen, dass die CAU davon abgesehen hätte, überhaupt Prüfungen in elektronischer Form vorzusehen, wenn sie diese nicht an eine Videoaufsicht koppeln dürfte. Dies wiederrum habe zur Folge, dass der Antragsteller im Falle eines gerichtlichen Erfolges überhaupt keine Prüfung ablegen könne, weil die alternativ anzubietenden Präsenzprüfungen nach der Hochschulen-Coronaverordnung des Landes grundsätzlich noch zu verschieben seien.
Im Übrigen hätte der Antrag auch in der Sache keinen Erfolg gehabt, da der Senat die angegriffene Satzungsregelung über die Videoaufsicht auch unter Beachtung höherrangigen Rechts für voraussichtlich rechtmäßig hält. Das Recht auf Unverletzlichkeit der Wohnung (Art. 13 Abs. 1 GG) sei nicht betroffen, da dieses nur vor einem (digitalen) „Eindringen“ in die Wohnung schütze. Die Videoaufsicht erfolge jedoch nicht gegen den Willen der Studierenden. Sie könnten frei entscheiden, ob sie an der elektronischen Prüfung teilnähmen mit der Folge, Kamera und Mikrofon ihres Computers für die Aufsicht zu aktivieren, oder ob sie später eine Präsenzprüfung ablegten. Obwohl diese derzeit nicht durchgeführt werden dürften, sei die Freiwilligkeit ihrer Entscheidung ausreichend gesichert.
Der mit der Videoaufsicht verbundene Eingriff in das Grundrecht auf informationelle Selbstbestimmung sei durch das Gebot der Chancengleichheit gerechtfertigt. Danach müsse sichergestellt sein, dass bei einer Prüfung, für die keine Hilfsmittel zugelassen seien, eine Aufsicht unabhängig von der Prüfungsform stattfinden könne. Zur Erreichung dieses Zwecks sei die Videoaufsicht auch hinreichend geeignet. Dass sie zur Vermeidung von Täuschungshandlungen tatsächlich weniger geeignet sein könne als eine Aufsicht im Rahmen einer Präsenzklausur, weil der Bildschirm des Prüflings nicht einsehbar sei und sich außerhalb des Kamerawinkels unzulässige Hilfsmittel befinden könnten, schade nicht. Auch bei Präsenzklausuren ließen sich nicht sämtliche Täuschungsversuche verhindern. Mit technischen Problemen, die zu einem regelhaften Ausfall elektronischer Prüfungen samt Aufsicht führten, sei nach zwischenzeitlicher Etablierung der Videokonferenztechnik gerade im Bildungsbereich nicht mehr zu rechnen. Im Übrigen sei vorgesehen, dass die Prüfung bei technischer Undurchführbarkeit vorzeitig beendet werde und der Prüfungsversuch als nicht unternommen gelte. Gleichermaßen geeignete Alternativen gebe es gegenwärtig nicht. Schließlich sei die Regelung bei Abwägung der widerstreitenden Belange auch angemessen. Die Videoaufsicht führe gegenüber der Präsenzaufsicht zwar zu einer intensiveren Belastung, doch sei die Teilnahme an der elektronischen Fernprüfung freiwillig und die Freiwilligkeit ausreichend sichergestellt. Zu einem „unbeobachtbaren Beobachtetwerden“ komme es nicht. Anders als etwa bei der Vorratsdatenspeicherung liege eine Überwachung von Prüfungen in der Natur der Sache und sei den Betroffenen bekannt.
Schließlich seien die Voraussetzungen und der Umfang der Datenerhebung und -verarbeitung in der Satzung der CAU hinreichend klar geregelt. Einer Regelung durch den Gesetzgeber habe es nicht bedurft, da er während der Corona-Pandemie bereits die entsprechenden Rechtsgrundlagen im Hochschulgesetz geschaffen habe.
Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat gegen die notebooksbilliger.de AG ein Bußgeld in Höhe von 10,4 Millionen Euro wegen angeblich nicht datenschutzkonformer Videoüberwachung seiner Mitarbeiter verhängt. Der Bescheid ist nicht rechtskräftig.
Die Pressemitteilung der LfD Niedersachsen:
LfD Niedersachsen verhängt Bußgeld über 10,4 Millionen Euro gegen notebooksbilliger.de
Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat eine Geldbuße über 10,4 Millionen Euro gegenüber der notebooksbilliger.de AG ausgesprochen. Das Unternehmen hatte über mindestens zwei Jahre seine Beschäftigten per Video überwacht, ohne dass dafür eine Rechtsgrundlage vorlag. Die unzulässigen Kameras erfassten unter anderem Arbeitsplätze, Verkaufsräume, Lager und Aufenthaltsbereiche.
Das Unternehmen hatte sich darauf berufen, dass es Ziel der installierten Videokameras gewesen sei, Straftaten zu verhindern und aufzuklären sowie den Warenfluss in den Lagern nachzuverfolgen. Zur Verhinderung von Diebstählen muss eine Firma aber zunächst mildere Mittel prüfen (z. B. stichprobenartige Taschenkontrollen beim Verlassen der Betriebsstätte). Eine Videoüberwachung zur Aufdeckung von Straftaten ist zudem nur rechtmäßig, wenn sich ein begründeter Verdacht gegen konkrete Personen richtet. Ist dies der Fall, kann es zulässig sein, diese zeitlich begrenzt mit Kameras zu überwachen. Bei notebooksbilliger.de war die Videoüberwachung aber weder auf einen bestimmten Zeitraum noch auf konkrete Beschäftigte beschränkt. Hinzu kam, dass die Aufzeichnungen in vielen Fällen 60 Tage gespeichert wurden und damit deutlich länger als erforderlich.
Generalverdacht reicht nicht aus
„Wir haben es hier mit einem schwerwiegenden Fall der Videoüberwachung im Betrieb zu tun“, sagt die LfD Niedersachsen, Barbara Thiel, „Unternehmen müssen verstehen, dass sie mit einer solch intensiven Videoüberwachung massiv gegen die Rechte ihrer Mitarbeiterinnen und Mitarbeiter verstoßen“. Auch die immer wieder vorgebrachte, angeblich abschreckende Wirkung der Videoüberwachung rechtfertige keinen dauerhaften und anlasslosen Eingriff in die Persönlichkeitsrechte der Beschäftigten. „Wenn das so wäre, könnten Unternehmen die Überwachung grenzenlos ausdehnen. Die Beschäftigten müssen aber ihre Persönlichkeitsrechte nicht aufgeben, nur weil ihr Arbeitgeber sie unter Generalverdacht stellt“, so Thiel. „Videoüberwachung ist ein besonders intensiver Eingriff in das Persönlichkeitsrecht, da damit theoretisch das gesamte Verhalten eines Menschen beobachtet und analysiert werden kann. Das kann nach der Rechtsprechung des Bundesarbeitsgerichts dazu führen, dass die Betroffenen den Druck empfinden, sich möglichst unauffällig zu benehmen, um nicht wegen abweichender Verhaltensweisen kritisiert oder sanktioniert zu werden.“
Auch Kundinnen und Kunden von notebooksbilliger.de waren von der unzulässigen Videoüberwachung betroffen, da einige Kameras auf Sitzgelegenheiten im Verkaufsraum gerichtet waren. In Bereichen, in denen sich Menschen typischerweise länger aufhalten, zum Beispiel um die angebotenen Geräte ausgiebig zu testen, haben die datenschutzrechtlich Betroffenen hohe schutzwürdige Interessen. Das gilt besonders für Sitzbereiche, die offensichtlich zum längeren Verweilen einladen sollen. Deshalb war die Videoüberwachung durch notebooksbilliger.de in diesen Fällen nicht verhältnismäßig.
Die 10,4 Millionen Euro sind das bisher höchste Bußgeld, das die LfD Niedersachsen unter Geltung der Datenschutz-Grundverordnung (DS-GVO) ausgesprochen hat. Die DS-GVO ermöglicht es den Aufsichtsbehörden, Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens zu verhängen – je nachdem, welcher Betrag höher ist. Das gegen notebooksbilliger.de ausgesprochene Bußgeld ist noch nicht rechtskräftig. Das Unternehmen hat seine Videoüberwachung mittlerweile rechtmäßig ausgestaltet und dies der LfD Niedersachsen nachgewiesen.
VG Regensburg
Gerichtsbescheid vom 06.08.2020 RN 9 K 19.1061
Das VG Regensburg hat entschieden, dass die DSGVO die Betroffenenrechte bei der Verarbeitung personenbezogener Daten abschließend regelt und Betroffene keine Ansprüche aufgrund anderer Anspruchsgrundlagen außerhalb der DSGVO geltend machen können.
Leitsätze des Gerichts:
1. Art. 79 DSGVO schließt weitere gerichtliche Rechtsbehelfe gegen Verantwortliche und Auftragsverarbeiter aus, sodass eine allgemeine Leistungsklage in der Form der Unterlassungsklage nach §§ 1004 Abs. 1, 823 Abs. 2 BGB im Anwendungsbereich der Datenschutz-Grundverordnung nicht statthaft ist.
2. Es ist zwischen einer (bloß) verordnungswidrigen Datenverarbeitung und einer möglichen Rechtsverletzung einer Person hinsichtlich der ausschließlich sie betreffenden personenbezogenen Daten zu unterscheiden.
3. Im Falle einer bloßen rechtswidrigen Datenverarbeitung ohne Rechtsverletzung steht der betroffenen Person das Beschwerderecht nach Art. 77 Abs. 1 DSGVO und in der Folge das Recht auf gerichtlichen Rechtsbehelf gegen die Aufsichtsbehörde nach Art. 78 Abs. 1 DSGVO zu. Art. 79 Abs. 1 DSGVO vermittelt einen individualrechtlichen Unterlassungsanspruch bezüglich der Verletzung von Betroffenenrechten (Art. 13 bis 20 DSGVO).
Aus den Entscheidungsgründen:
"Zunächst ist festzustellen, dass der sachliche Anwendungsbereich der Datenschutz-Grundverordnung eröffnet ist. Insbesondere sind die in Art. 2 Abs. 2 DSGVO genannten Ausnahmen für die Verarbeitung personenbezogener Daten vom Anwendungsbereich der Datenschutz-Grundverordnung nicht einschlägig. Entgegen der Auffassung des Klägers findet Art. 2 Abs. 2 Buchst. d DSGVO im vorliegenden Fall keine Anwendung. Die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit fällt in den Anwendungsbereich des zweiten Rechtsakts im Datenschutzreformpaket, der sogenannten „Polizei-RL“ (Art. 1 Abs. 1 RL 2016/680/EU des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, ABl. 2016 L 119, 89). Beide Rechtsakte (Datenschutz-Grundverordnung und „Polizei-RL“) sind eng aufeinander abgestimmt und ergänzen sich daher. Die Ausnahme des Art. 2 Abs. 2 Buchst. d DSGVO umfasst sowohl die Datenverarbeitung zu präventiven als auch zu repressiven Zwecken. Eine Straftat im Sinne der Ausnahme in Art. 2 Abs. 2 Buchst. d DSGVO und hinsichtlich der Anwendung der „Polizei-RL“ ist als ein eigenständiger Begriff des Unionsrechts zu verstehen, der nicht einseitig durch die Mitgliedstaaten festgelegt werden kann. Die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von reinen Ordnungswidrigkeiten fällt nicht darunter. Erfasst werden sollen die polizeilichen Tätigkeiten in Fällen, in denen nicht von vornherein bekannt ist, ob es sich um Straftaten handelt oder nicht, sowie die Ausübung hoheitlicher Gewalt durch Ergreifung von Zwangsmitteln, wie polizeiliche Tätigkeiten bei Demonstrationen, großen Sportveranstaltungen und Ausschreitungen. Sie umfassen auch die Aufrechterhaltung der öffentlichen Ordnung als Aufgabe, die der Polizei oder anderen Strafverfolgungsbehörden - nicht jedoch reinen Ordnungsbehörden - übertragen wurde, soweit dies zum Zweck des Schutzes vor und der Abwehr von Bedrohungen der öffentlichen Sicherheit und Bedrohungen für durch Rechtsvorschriften geschützte grundlegende Interessen der Gesellschaft, die zu einer Straftat führen können, erforderlich ist (vgl. Erwägungsgrund 12 der RL 2016/680/EU und Erwägungsgrund 19 der Datenschutz-Grundverordnung; Ehmann/Selmayr, Datenschutz-Grundverordnung, 2018, 2. Aufl., Art. 2 Rn. 12; Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 2018, Art. 2 DSGVO Rn. 44 ff.). Personenbezogene Daten, die von Behörden nach der Datenschutz-Grundverordnung verarbeitet werden, sollten jedoch, wenn sie zu den vorstehenden Zwecken verwendet werden, der Richtlinie (EU) 2016/680 unterliegen (Erwägungsgrund 19 a.a.O.). Im vorliegenden Fall handelt die Beklagte vorrangig als Ordnungsbehörde bzw. Sicherheitsbehörde nach Art. 6 LStVG mit der Aufgabe, die öffentliche Sicherheit und Ordnung durch Abwehr von Gefahren und durch Unterbindung und Beseitigung von Störungen aufrechtzuerhalten, und damit auf der Grundlage der Datenschutz-Grundverordnung. Hinzu kommt die Ausübung des Hausrechts für die öffentliche Einrichtung K.-garten durch die Beklagte als Wahrnehmung einer Aufgabe im öffentlichen Interesse bzw. zur Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 Buchst. c und e DSGVO).
Das Rechtsschutzsystem bezüglich der Verarbeitung personenbezogener Daten hat deshalb ebenfalls seinen Ausgangspunkt in der Datenschutz-Grundverordnung.
Art. 79 DSGVO schließt weitere gerichtliche Rechtsbehelfe gegen Verantwortliche und Auftragsverarbeiter aus, so dass Unterlassungsklagen nach §§ 1004 Abs. 1, 823 Abs. 2 BGB im Bereich des Datenschutzes grundsätzlich nicht mehr möglich sind. Nach dem Wortlaut des Art. 79 Abs. 1 DSGVO bleiben nur andere verwaltungsrechtliche oder außergerichtliche Rechtsbehelfe „unbeschadet“, nicht aber gerichtliche Rechtsbehelfe (vgl. Bernhard/Kreße/Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl. 2018, Art. 79 Rn. 30; BeckOK, Datenschutzrecht, Wolff/Brink, 29. Edition, Art. 79 Rn. 11). Die Rechte betroffener Personen sind in Kapitel III der Datenschutz-Grundverordnung niedergelegt (Art. 12 bis 22 DSGVO). Es handelt sich zum einen um Auskunfts-, Berichtigungs- und Löschungsrechte sowie um das Recht auf Einschränkung der Verarbeitung personenbezogener Daten. Erfasst ist auch das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden. Den in Art. 13 ff., 19 DSGVO genannten Pflichten korrespondieren individuelle subjektive Rechte der betroffenen Personen, die gemäß Art. 79 DSGVO unter dessen weiteren Voraussetzungen gerichtlich durchgesetzt werden können. Entsprechendes gilt für die in Art. 12 DSGVO formulierten Pflichten des für die Verarbeitung personenbezogener Daten Verantwortlichen.
Jenseits der oben genannten Normen gewährt die Datenschutz-Grundverordnung keine Rechte, zu deren Durchsetzung ein wirksamer Rechtsbehelf nach Art. 79 DSGVO zur Verfügung gestellt werden muss. In Betracht käme insbesondere ein Anspruch auf Unterlassung einer verordnungswidrigen Verarbeitung personenbezogener Daten, da gemäß Art. 8 Abs. 1 EU-GRCh, Art. 16 Abs. 1 AEUV jede natürliche Person Recht auf Schutz der sie betreffenden personenbezogenen Daten hat, wobei Inhalt des Schutzes auch das Erfordernis der Rechtmäßigkeit der Verarbeitung ist. Es müsste in einem solchen Fall daher die Möglichkeit bestehen, eine solche Verarbeitung für die Zukunft zu unterbinden, andernfalls der Grundrechtsschutz und der europarechtliche Effektivitätsgrundsatz nach Art. 4 Abs. 3 EUV beeinträchtigt wären. Allerdings ist das Recht auf Unterlassung rechtswidriger Datenverarbeitung nicht als solches in der Datenschutz-Grundverordnung verankert. Diese konkretisiert zwar das primärrechtlich verbürgte Recht auf Schutz persönlicher Daten, aber eben nur, soweit sie die Ausprägungen dieses Rechts normiert. Dies spricht gegen die Annahme eines auf der Datenschutz-Grundverordnung basierenden Unterlassungsanspruchs bezüglich einer verordnungswidrigen Verarbeitung personenbezogener Daten. Das Löschungsrecht nach Art. 17 Abs. 1 Buchst. d DSGVO hilft nur eingeschränkt weiter, weil sich Art. 6 DSGVO, auf den verwiesen wird, nur mit dem Erfordernis eines zulässigen Grundes für die Datenverarbeitung befasst.
Gegen die Annahme eines generellen Anspruchs auf Unterlassung der verordnungswidrigen Verarbeitung personenbezogener Daten auf Grundlage der Datenschutz-Grundverordnung sprechen ferner deren Entstehungsgeschichte und die Systematik. Art. 76 Abs. 5 des Kommissionsvorschlag zur Datenschutz-Grundverordnung lautete: „Die Mitgliedstaaten stellen sicher, dass mit den nach innerstaatlichem Recht verfügbaren Klagemöglichkeiten rasch Maßnahmen einschließlich einstweilige Maßnahmen erwirkt werden können, um mutmaßliche Rechtsverletzungen abzustellen und zu verhindern, dass dem Betroffenen weiterer Schaden entsteht.“ Diese präventiv formulierte Bestimmung wurde in der allgemeinen Ausrichtung des Rates der Europäischen Union vom 15. Juni 2015 ersatzlos gestrichen. Nicht in bedeutungserheblicher Hinsicht geändert hat sich hingegen die Formulierung, die jetzt in Art. 77 Abs. 1 DSGVO enthalten ist, die das Beschwerderecht daran knüpft, dass die Verarbeitung der personenbezogenen Daten gegen die Datenschutz-Grundverordnung verstößt. Auch der Unterschied in den Formulierungen der Art. 77 Abs. 1 und Art. 79 Abs. 1 DSGVO zeigt, dass die bloße verordnungswidrige Datenverarbeitung gerade noch keine Rechtsverletzung darstellt, sondern zwischen rechtswidriger Datenverarbeitung und Rechtsverletzung unterschieden werden muss. Im Falle einer bloßen rechtswidrigen Datenverarbeitung ohne Rechtsverletzung steht der betroffenen Person das Beschwerderecht nach Art. 77 Abs. 1 DSGVO zu und in der Folge das Recht auf gerichtlichen Rechtsbehelf gegen die Aufsichtsbehörde nach Art. 78 Abs. 1 DSGVO, womit die primärrechtlichen Bedenken ausgeräumt sind. Es ist zu beachten, dass diese Verordnungswidrigkeit der Datenverarbeitung neben der Rechtsverletzung in Art. 79 Abs. 1 DSGVO als eigenständiges Merkmal gesehen wird: Die Rechtsverletzung soll nach Ansicht der betroffenen Person erst infolge der verordnungswidrigen Verarbeitung eingetreten, also mit ihr gerade nicht identisch sein. Die Rechte der betroffenen Person sind verletzt, wenn die Person oder Einrichtung, gegenüber denen sie bestehen, den ihnen korrespondierenden Pflichten nicht nachkommt. Um dies festzustellen, sind die konkretisierenden Vorschriften des Art. 12 Abs. 2, 3 und 5 bis 7 DSGVO zusätzlich zu beachten. So liegt beispielsweise in den in Art. 12 Abs. 3 DSGVO genannten Fällen eine Rechtsverletzung vor Ablauf der in dieser Vorschrift bezeichneten Fristen nicht vor. Auch in den Fällen des Art. 12 Abs. 5 Satz 1 Buchst. b und Abs. 6 DSGVO liegt keine Rechtsverletzung vor.
Diese vorstehend beschriebene Rechtslage erfährt auch keine Modifikation durch das Bayerische Datenschutzgesetz. Nach Art. 1 BayDSG gilt das Bayerische Datenschutzgesetz zunächst für Datenverarbeitungen durch alle bayerischen Behörden, also auch durch Justiz- und Polizeibehörden, soweit nicht im jeweiligen Fachrecht (etwa dem Melderecht oder dem Polizeiaufgabengesetz) Spezialvorschriften existieren (Art. 1 Abs. 5 BayDSG). Wegen dieses sehr umfassenden Anwendungsbereichs gilt folglich auch Art. 2 BayDSG für alle bayerischen Behörden. Damit hat der bayerische Gesetzgeber entschieden, dass die Datenschutz-Grundverordnung auch in den Bereichen gelten soll, die eigentlich - mangels Kompetenz der EU - von der Datenschutz-Grundverordnung nicht erfasst werden (dürfen) und wo (eigentlich) Raum für ein eigenständiges nationales Datenschutzrecht wäre. Allerdings hatte der bayerische Gesetzgeber erkannt, dass es nicht möglich ist, alle Umsetzungsaufgaben, welche die Richtlinie 2016/680/EU formuliert, durch einen pauschalen Verweis auf die Datenschutz-Grundverordnung sachgerecht zu lösen. Deshalb wurde Art. 28 Abs. 2 und 3 BayDSG geschaffen, die für die in Art. 28 Abs. 1 BayDSG genannten „Richtlinien-Behörden“ vereinzelt Spezialvorschriften schaffen. Durch eine abschließende Aufzählung ordnet Art. 28 Abs. 2 BayDSG an, dass nur bestimmte Vorschriften der Datenschutz-Grundverordnung auf Datenverarbeitungen, die der Richtlinie 2016/680/EU unterfallen, Anwendung finden. Andere Vorschriften der Datenschutz-Grundverordnung finden zwar grundsätzlich Anwendung, sie werden aber durch die Art. 29 ff. BayDSG modifiziert. Darüber hinaus sollen nicht sämtliche Vorschriften des Bayerischen Datenschutzgesetzes für Datenverarbeitung nach der Richtlinie 2016/680/EU Anwendung finden. Deshalb legt Art. 28 Abs. 3 BayDSG fest, dass bestimmte Vorschriften des Bayerischen Datenschutzgesetzes keine Anwendung für solche Datenverarbeitungen finden, die der Richtlinie unterfallen. Neben der spezifischen Zweckbestimmung (Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu Zwecken der Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit) ist zusätzlich (stets) eine grundsätzliche Aufgaben- und Befugniszuweisung der verarbeitenden Behörde für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafverfolgung sowie der polizeilichen Gefahrenabwehr erforderlich. Art. 28 Abs. 1 Satz 1 BayDSG enthält eine nicht abschließende Aufzählung („soweit nichts anderes bestimmt ist“) derjenigen Behörden, denen eine solche Aufgaben- und Befugniszuweisung im Sinne der Richtlinie zukommen kann. Diese zuständigen Behörden unterliegen den Regelungen des achten Kapitels nur insoweit, als die konkrete Datenverarbeitung den in Art. 28 Abs. 1 Satz 1 BayDSG genannten Zwecken dient. Danach wird der Bereich der Gefahrenabwehr in Ansehung der praxisrelevanten Konstellationen dem Anwendungsbereich der Richtlinie 2016/680/EU und somit des achten Kapitels des Bayerischen Datenschutzgesetzes zuzurechnen sein. Selbst wenn bei polizeilichem Handeln zur Gefahrenabwehr nicht bereits von vornherein klar die Verhütung von Straftaten als Zweck oder Ergebnis feststeht, besteht nahezu immer zumindest die Möglichkeit, dass die Gefahrenlage zu einer Straftat führen kann bzw. dass dies nicht ausgeschlossen ist. In Abgrenzung hierzu sind allerdings nach dem Selbstverständnis der Richtlinie 2016/680/EU Datenverarbeitungen zur Gefahrenabwehr durch nichtpolizeiliche Sicherheitsbehörden (z.B. Landratsämter als Sicherheitsbehörden nach Art. 6 LStVG) grundsätzlich nach den Bestimmungen der Datenschutz-Grundverordnung zu beurteilen. Für sie ist das achte Kapitel des Bayerischen Datenschutzgesetzes nur dann anwendbar, soweit diese nichtpolizeilichen Sicherheitsbehörden „Straftaten oder Ordnungswidrigkeiten verfolgen oder ahnden“. Die Bestimmungen des achten Kapitels finden daher Anwendung, sobald Daten im Rahmen eines konkreten, dokumentiert eingeleiteten Ordnungswidrigkeitenverfahrens verarbeitet werden (vgl. Wilde/Ehmann/Niese/Knoblauch, Datenschutz im Bayern, 29. AL Juni 2018, Art. 28 BayDSG Rn. 20).
Zum Rechtsschutz sieht Art. 20 BayDSG ausschließlich die Anrufung der Aufsichtsbehörden durch Betroffene vor. Hierin ist eine Konkretisierung des unmittelbar in der Datenschutz-Grundverordnung gewährleisteten Beschwerderechts gemäß Art. 77 DSGVO zu sehen. Die Vorschrift enthält damit eine mitgliedstaatliche Verfahrensregelung auf Grundlage von Art. 58 Abs. 4 DSGVO. Aufsichtsbehörden im Sinn des Art. 20 BayDSG sind u.a. der Bayerische Landesbeauftragte für den Datenschutz (Art. 15 BayDSG) und das Bayerische Landesamt für Datenschutzaufsicht (Art. 18 BayDSG). Art. 77 Abs. 1 DSGVO i.V.m. Art. 20 Abs. 1 Satz 1 BayDSG bestimmt das Recht der betroffenen Person, sich an die Datenschutzaufsichtsbehörden mit dem Vorbringen zu wenden, bei der Verarbeitung ihrer personenbezogenen Daten in ihren Rechten verletzt worden zu sein. Diese Anrufung der Aufsichtsbehörde stellt einen formlosen Rechtsbehelf dar, der dem allgemeinen Petitionsrecht (Art. 115 BV, Art. 17 GG) verwandt ist. Es gibt dem Betroffenen - unabhängig von sonstigen Rechtsbehelfen - das eigenständige Recht, sich an eine Aufsichtsbehörde mit dem Vorbringen zu wenden, bei der Verarbeitung seiner personenbezogenen Daten in seinen Rechten verletzt worden zu sein. Das durch die Grundrechte-Charta der EU verbürgte Beschwerderecht (Art. 8 Abs. 1 i.V.m. Abs. 3 GRCh) wird durch Art. 77 Abs. 1 DSGVO i.V.m. Art. 20 Abs. 1 Satz 1 BayDSG konkretisiert, wobei Art. 20 Abs. 1 Satz 1 BayDSG - anders als das Beschwerderecht in Art. 77 Abs. 1 DSGVO - nicht bloß die Geltendmachung eines Verstoßes gegen die Datenschutz-Grundverordnung voraussetzt, sondern ein Vorbringen, das eine eigene Rechtsverletzung des Beschwerdeführers zum Gegenstand hat (Datenschutz in Bayern, 29. AL Juni 2018, Art. 20 BayDSG Rn. 4 und 5). Dadurch ergibt sich ein Rechtsanspruch der betroffenen Person, dass die Aufsichtsbehörde die Eingabe entgegennimmt, sachlich in tatsächlicher und rechtlicher Hinsicht prüft und den Eingabeführer schriftlich darüber unterrichtet, wie die Eingabe erledigt wurde. Hierzu bestimmt Art. 57 Abs. 1 Buchst. f DSGVO, dass der „Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen“ ist. Hat sich eine Aufsichtsbehörde nicht mit einer Beschwerde befasst oder hat sie die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt, kann die betroffene Person nach Art. 78 Abs. 2 und 3 DSGVO allgemeine Leistungsklage vor den Verwaltungsgerichten auf Unterrichtung über den Stand oder das Ergebnis der Beschwerde erheben. Die Frist von drei Monaten ergibt sich aus Art. 78 Abs. 2 DSGVO. Die einzelnen Befugnisse der Aufsichtsbehörden ergeben sich aus Art. 58 DSGVO, so auch Abhilfebefugnisse, die es ihr u.a. gestatten, auch eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen (Abs. 2 Buchst. f) oder die Berichtigung oder Löschung von personenbezogenen Daten oder die Beschränkung der Verarbeitung gemäß den Art. 16, 17 und 18 DGSVO und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gemäß Art. 17 Abs. 2 DSGVO und Art. 19 DSGVO offen gelegt wurden, anzuordnen. Dieses Anrufungs- bzw. Beschwerderecht nach Art. 20 BayDSG setzt keinen vorherigen Antrag bei der verantwortlichen Behörde voraus. Will ein Betroffener jedoch direkt gegen zunächst einen Verantwortlichen vorgehen bzw. gegenüber diesem die Betroffenenrechte der Datenschutz-Grundverordnung geltend machen (Art. 16 ff. DSGVO), so setzen diese Rechte auf Berichtigung, Löschung und Mitteilung im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung wie auch das vorgängige Auskunftsrecht nach Art. 15 DSGVO ein „Verlangen“ der betroffenen Person gegenüber dem Verantwortlichen voraus. Im Falle der Ablehnung stehen der betroffenen Person sämtliche durch die Datenschutz-Grundverordnung vorgesehenen Rechtsbehelfe zu (Art. 77, 78 DSGVO). Daneben hat die betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf unmittelbar gegen den Verantwortlichen (Art. 79 DSGVO). Ist Verantwortlicher eine Behörde und lehnt diese einen Einschränkungsantrag ab, ist die Ablehnung ein Verwaltungsakt, der mit den einschlägigen verwaltungsrechtlichen Rechtsbehelfen Widerspruch und regelmäßig Verpflichtungsklage gemäß §§ 42, 68 ff. VwGO angegriffen werden kann (Ehmann/Selmayr, Datenschutz-Grundverordnung, 2018, 2. Aufl., Art. 18 Rn. 30). Damit bleibt es auch im Anwendungsbereich des Bayerischen Datenschutzgesetzes bei der ausschließlichen Klagemöglichkeit eines Betroffenen gegen den Verantwortlichen nach § 79 DSGVO.
Die genannten Betroffenenrechte der Datenschutz-Grundverordnung (mit Art. 20 BayDSG) ersetzen seit dem 25. Mai 2018 - wie bereits oben ausgeführt - etwaige Betroffenenrechte nach nationalem Recht (a.a.O., Art. 18 Rn. 38; OVG Lüneburg, U.v. 20.6.2019 - 11 LC 121/17 - juris Rn. 43; VG Stade, B.v. 9.10.2018 - 1 B 1918/18 - juris Rn. 30). Diesen Betroffenenrechten ist gemein, dass sich ein Betroffener damit nur gegen die ihn betreffenden personenbezogenen Daten wenden kann (Becker in Plath, DSGVO/BDSG, 3. Aufl. 2018, Art. 79 Rn. 2). Art. 79 DSGVO vermittelt nur einen individualrechtlichen Unterlassungsanspruch. Zudem können über den in Art. 79 Abs. 1 DSGVO vorgesehenen Weg auch die Auskunfts-, Berichtigungs- und Löschungsrechte (Art. 15 bis 17 DSGVO) gegenüber dem Verantwortlichen und dem Auftragsverarbeiter verfolgt werden. Materiellrechtlich richten sich der Anspruch und seine Durchsetzung nach den allgemeinen Bestimmungen, wobei unterschiedliche Rechtswege gegenüber öffentlichen und nicht-öffentlichen Stellen zum Tragen kommen. Gegenüber einer fehlerhaften Datenverarbeitung durch öffentliche Stellen im Rahmen ihres hoheitlichen Handelns wird der Betroffene im Regelfall vor den Verwaltungsgerichten Rechtsschutz suchen müssen (§ 44 Abs. 2 BDSG). Da die entsprechenden prozessualen Rechtsinstrumente im deutschen Recht vorhanden waren, hätte es nicht unbedingt bestimmter Umsetzungsmaßnahmen durch den deutschen Gesetzgeber bedurft. Dennoch hat der Gesetzgeber in § 44 BDSG Regelungen zur Zuständigkeit aufgenommen, allerdings ergibt sich daraus keine Änderung zur bestehenden Rechtslage im Bundesgebiet (Becker in Plath, a.a.O.). Daneben kommt ergänzend bei der Verarbeitung personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 Buchst. e oder f DSGVO erfolgt, ein Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO in Betracht. Systematisch ist dieses Widerspruchsrecht in Abschnitt 4 des Kapitels III („Rechte der betroffenen Personen“) geregelt. Dies zeigt, dass es selbstständig neben den übrigen Betroffenenrechten (Art. 13 bis 20 DSGVO) steht, wobei sich diese Rechte nicht ausschließen, sondern ergänzen. Die Systematik des Art. 21 DSGVO zeigt, dass das Widerspruchsrecht gleichzeitig verfahrensrechtlichen als auch materiell-rechtlichen Charakter hat. Neben dem Verfahrensrecht auf Erhebung eines Widerspruchs gewährt Art. 21 Abs. 1 Satz 2 DSGVO einen materiellen Unterlassungsanspruch, d.h. einen Anspruch, dass der Verantwortliche die Daten in Zukunft nicht mehr verarbeitet. Die Vorschrift ermöglicht der betroffenen Person damit, die Datenverarbeitung mit Ex-nunc-Wirkung zu unterbinden. Dieser Unterlassungsanspruch wird gemäß Art. 17 Abs. 1 Buchst. c Alt. 1 DSGVO ergänzt durch einen Folgenbeseitigungsanspruch in Form eines Rechts auf Löschung sowie gemäß Art. 18 Abs. 1 Buchst. d DSGVO durch einen vorläufigen Sicherungsanspruch in Form des Rechts auf Einschränkung, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber den besonderen Gründen der betroffenen Person überwiegen, sowie gemäß Art. 19 DSGVO durch eine mit der Löschung verbundene Folgemitteilungs- und -unterrichtungspflicht. Diese Rechte werden teilweise unmittelbar durch Unionsrecht eingeschränkt (z.B. Art. 13 Abs. 4, Art. 14 Abs. 5, Art. 21 Abs. 1 DSGVO). Außerdem können die Rechte und Pflichten gemäß den Art. 12 bis 22, Art. 34 und gegebenenfalls Art. 5 DSGVO durch Rechtsvorschriften der Union oder der Mitgliedstaaten unter den in Art. 23 DSGVO geregelten Voraussetzungen beschränkt werden. Eine generelle Einschränkung der Betroffenenrechte für Gerichtsverfahren wurde jedoch weder in das Unionsrecht noch in das Gerichtsverfassungsgesetz, in die Prozessordnungen und auch nicht in das Bundesdatenschutzgesetz und das Zehnte Buch Sozialgesetzbuch (SGB X) aufgenommen, da die zahlreichen bereits aus der Datenschutz-Grundverordnung resultierenden Ausnahmen dies nicht erforderlich machten. Im Übrigen kommen für Gerichte die jeweils einschlägigen Verfahrensordnungen als Beschränkung der Betroffenenrechte im Sinne von Art. 23 DSGVO und dem Bundesdatenschutzgesetz vorhergehendes spezielles Bundesrecht (§ 1 Abs. 2 Satz 1 BDSG) in Betracht (Bieresborn, Die Auswirkungen der DSGVO auf das gerichtliche Verfahren, DRiZ 2019, 18 ff). Die Datenschutz-Grundverordnung begründet einige neue Klagerechte, die nach nationaler Ausgestaltung vor den Gerichten der Verwaltungsgerichtsbarkeit (§ 20 BDSG), den Sozialgerichten (§§ 81a, 81b SGB X) bzw. den Finanzgerichten (§ 32i AO) anhängig zu machen sind. § 78 Abs. 1 DSGVO begründet unbeschadet anderer Rechtsbehelfe das Recht jeder natürlichen oder juristischen Person auf einen wirksamen gerichtlichen Rechtsbehelf gegen rechtsverbindliche Beschlüsse der datenschutzrechtlichen Aufsichtsbehörde. Davon werden alle der Bestandskraft fähigen Entscheidungen und damit auch Verwaltungsakte erfasst, die auf Grundlage von Art. 58 DSGVO ergehen. Klageberechtigt ist jede natürliche oder juristische Person, sofern diese in eigenen geschützten Rechten betroffen ist. Es ist nicht zwingend erforderlich, dass die Entscheidung auch ihr gegenüber rechtsverbindlich ist, es genügt, dass ihr Interessenkreis faktisch unmittelbar berührt ist. Art. 78 Abs. 2 DSGVO gewährt betroffenen Personen und unbeschadet sonstiger Rechtsbehelfe eine Untätigkeitsklage gegen die datenschutzrechtlichen Aufsichtsbehörden. Voraussetzung für diesen Rechtsbehelf ist, dass zuvor eine Beschwerde gemäß Art. 77 DSGVO erhoben wurde. Art. 79 Abs. 1 DSGVO gewährt betroffenen Personen einen zusätzlichen gerichtlichen Rechtsbehelf gegen einen nach ihrer Ansicht gegen die Datenschutz-Grundverordnung verstoßenden Umgang mit ihren personenbezogenen Daten. Prüfungsmaßstab ist die Datenschutz-Grundverordnung. Die verletzten Normen dürfen nicht nur objektiv-rechtlichen Charakter haben - wie zum Beispiel die Verpflichtung zur Bestellung eines Datenschutzbeauftragten (Art. 37 DSGVO) oder Durchführung einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) -, sondern müssen konkrete Auswirkungen auf subjektive Rechte des Klägers haben. Klagegegner sind Verantwortliche und Auftragsverarbeiter. Parallel geführte Verfahren auf Unterlassungs- oder Schadensersatzansprüche gegen den Verantwortlichen stehen der Zulässigkeit nicht entgegen, ebenso wenig die parallele Beschwerde bei der Aufsichtsbehörde (Art. 77 und 78 DSGVO).
Vorliegend wird bei der Videoüberwachung von einer Datenverarbeitung nach Art. 6 Abs. 1 Buchst. e DSGVO auszugehen sein, so dass für den Kläger neben den Betroffenenrechten nach Art. 16 ff. DSGVO auch die Widerspruchsmöglichkeit nach Art. 21 Abs. 1 DSGVO in Betracht gekommen wäre. Die Unterlassungs- und Folgenbeseitigungspflichten erfassen - wie bereits oben ausgeführt - ausschließlich die die betroffene Person betreffenden Daten. Erfasst eine (automatisierte) Verarbeitung daneben auch Daten Dritter, muss diese nicht insgesamt unterbleiben (Ehmann/Selmayr, Datenschutz-Grundverordnung, 2018, 2. Aufl., Art. 18 Rn. 40, 41). Im Falle der Ablehnung eines Widerspruchs stehen dem Betroffenen zusätzlich sämtliche durch die Verordnung vorgesehenen Rechtsbehelfe zu. Gemeint ist damit der Primärrechtsschutz aufgrund des bereits oben genannten Rechts auf Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77 DSGVO) und eines Rechtsbehelfs gegen einen (nicht Abhilfe leistenden) Beschluss der Aufsichtsbehörde, auch in der Form der Untätigkeitsklage (Art. 78 DSGVO). Daneben hat der Betroffene das Recht auf einen wirksamen gerichtlichen Rechtsbehelf unmittelbar gegen den Verantwortlichen (Art. 79 DSGVO). Ist Verantwortlicher eine Behörde und lehnt diese ein Verlangen oder einen Widerspruch des Betroffenen ab, ist die Ablehnung - wie bereits oben festgestellt - ein Verwaltungsakt, der mit den einschlägigen verwaltungsrechtlichen Rechtsbehelfen angegriffen werden kann (a.a.O. Rn. 69). Das Recht nach Art. 79 Abs. 1 DSGVO auf einen wirksamen Rechtsbehelf gegen Rechtsverletzungen durch eine verordnungswidrige Datenverarbeitung besteht nach dem Wortlaut der Vorschrift „unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs“. Selbst wenn entgegen naheliegender rechtssystematischer Erwägungen der gerichtliche Rechtsbehelf nach Art. 79 Abs. 1 DSGVO nicht zu den oben genannten Rechtsbehelfen in einem Stufenverhältnis, sondern neben diesen Rechtsbehelfen steht, so ist der gerichtliche Rechtsbehelf aber mit der gleichen Einschränkung behaftet wie die anderen oben genannten Rechte des Betroffenen, dass nämlich Verfahrensgegenstand ausschließlich die die betroffene Person betreffenden persönlichen Daten sein können. Auch diese rechtliche Einschränkung spricht gegen den vom Kläger mit der vorliegenden Klage verfolgten allgemeinen Unterlassungsanspruch. Ergänzend wird nach allgemeinen Grundsätzen des Prozessrechts unter dem Gesichtspunkt des Rechtsschutzbedürfnisses ein vorheriger Antrag bzw. Widerspruch im vorstehenden Sinne bei dem Verantwortlichen zu verlangen sein (a.a.O. Art. 79 Rn. 2, 5; Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 2018, Art. 79 Rn. 18).
Danach ist für eine allgemeine Unterlassungsklage in der vorliegenden Form - wie bereits eingangs festgestellt - von einer fehlenden Statthaftigkeit in Anbetracht der spezifischen Betroffenenrechte nach der Datenschutz-Grundverordnung seit deren Inkrafttreten am 25. Mai 2018 auszugehen. Es ist zwischen den Verfahrensbeteiligten unstreitig, dass der Kläger im Vorfeld der Klageerhebung mit keinem „Verlangen“ nach Art. 13 ff. DSGVO oder einem Widerspruch nach Art. 21 Abs. 1 DSGVO direkt an die Beklagte oder nach Art. 77 DSGVO i.V.m. Art. 20 BayDSG an eine Aufsichtsbehörde herangetreten ist. Selbst wenn man eine unmittelbare gerichtliche Geltendmachung von Betroffenenrechten unter Umgehung vorstehend genannter Verfahrensrechte bzw. ohne jegliche Befassung der verantwortlichen Behörde für zulässig erachten würde, kann diese gerichtliche Geltendmachung nach Art und Umfang materiell-rechtlich nicht weiter gehen als vorstehend genannte Verfahrensrechte, sodass für das Klagebegehren in der vorliegenden Form auch kein Rechtsschutzbedürfnis besteht.
24
Im Übrigen stützt der Kläger seine behauptete Rechtsverletzung im Ergebnis nur darauf, dass er als Nutzungsberechtigter der öffentlichen Einrichtung K.-garten von der Videoüberwachungsanlage betroffen ist, zum einen dadurch, dass seine Person bei Betreten des überwachten Platzes möglicherweise tatsächlich bildlich erfasst wird, zum anderen, dass die Videoüberwachungsanlage auch ohne Überwachungstätigkeit nur vorhanden ist und diese Überwachungsanlage entgegen den Vorschriften der Datenschutz-Grundverordnung eingerichtet und betrieben wird. Ein solcher Vortrag kann nicht genügen, eine eigene selbstständige Rechtsverletzung zu belegen. Die „Ansicht“ einer Rechtsverletzung im Sinne des Art. 79 Abs. 1 DSGVO im vorstehenden Sinne würde im Ergebnis bedeuten, dass diese mit dem Vortrag einer nicht verordnungskonformen Datenverarbeitung durch die Videoüberwachung zusammenfällt. Die Datenschutz-Grundverordnung trifft aber gerade - wie oben bereits ausgeführt - eine Unterscheidung zwischen der bloßen Rechtswidrigkeit der Datenverarbeitung, worauf sich ein Widerspruchsrecht nach Art. 21 DSGVO und ein Beschwerderecht nach Art. 77 DSGVO stützen lässt, und der zusätzlichen, nach Ansicht der betroffenen Person gegebenen Rechtsverletzung. Vor diesem Hintergrund kann vorliegend auch nicht von der Geltendmachung einer Rechtsverletzung durch den Kläger ausgegangen werden, sodass eine Beschreitung des Klagewegs nach Art. 79 DSGVO vorliegend ebenfalls ausscheiden würde."
