Schlagwort: Datenschutzbehörde

Unerlaubte Videoüberwachung – Geldstrafe für Kebab-Stand

am von Alix Frank Rechtsanwälte GmbHin Allgemein, DSGVOHinterlasse einen Kommentar

Von Franz J Heidinger / Laurin Maran – Der Betreiber eines Imbisslokales in Niederösterreich beschwerte sich bei der Bezirkshauptmannschaft über einen Polizeiinspektor, der ihn schikanieren würde und legte zum Beweis dafür zwei Videos vor, die Einätze eben jenes Polizeiinspektors zeigen sollten. Zu diesem Zweck sei extra eine Kamera für EUR 2.500,- installiert worden.

Von dieser Kamera erfuhr in weiterer Folge die Datenschutzbehörde, die prompt eine Geldstrafe in Höhe von EUR 1.800,- über den Imbissbetreiber verhängte. Ihm wurde vorgeworfen, dass seine Videokamera Bereiche gefilmt hätte, die nicht in seiner Verfügungsbefugnis stünden. Überdies sei die Speicherdauer der Aufnahmen mit 15 Tagen unverhältnismäßig hoch festgelegt worden. Vorgeschriebene Hinweisschilder würden gänzlich fehlen.

Mit der Erkenntnis vom 25.11.2019, W211 2210458-1, bestätigte das Bundesverwaltungsgericht im Wesentlichen die Entscheidung der Datenschutzbehörde. Lediglich die Höhe der Geldstrafe wurde auf EUR 1.500,- reduziert. Bei einem möglichen Strafrahmen von bis zu EUR 20 Millionen scheint dies durchaus milde.

Diese Entscheidung zeigt zwei Dinge deutlich:

  1. Vor der Inbetriebnahme von Überwachungskameras sollte man sich über die rechtlichen Voraussetzungen informieren und bestenfalls den Rat von Experten einholen.
  2. Es kann durchaus nach hinten losgehen, einem Polizisten Schikane vorzuwerfen, insbesondere wenn man sich selbst nicht tadelfrei verhält.

 

Recht auf Löschung – Anonymisierung ist ausreichend

am von Alix Frank Rechtsanwälte GmbHin Allgemein

Von Franz J Heidinger / Laurin Maran – Die Österreichische Datenschutzbehörde hat in einer Beschwerde wegen Verletzung im Recht auf Löschung von personenbezogen Daten festgehalten, dass die Entfernung des Personenbezuges von personenbezogenen Daten ein mögliches Mittel zur Löschung im Sinne der EU-DSGVO sein kann. Es muss jedoch sichergestellt werden, dass weder der Verantwortliche selbst, noch ein Dritter ohne unverhältnismäßigen Aufwand einen Personenbezug wiederherstellen kann. Nur wenn der Verantwortliche die Daten im Ergebnis auf einer Ebene aggregiert, sodass keine Einzelereignisse mehr identifizierbar sind, kann der entstandene Datenbestand als anonym (also ohne Personenbezug) bezeichnet werden.

Im vorliegenden Fall hat die Beschwerdegegnerin die personenbezogenen Daten des Beschwerdeführers teils vernichtet (also ohne „Hinterlassen“ von anonymisierten Daten), teils durch Entfernung des Personenbezugs zum Beschwerdeführer „gelöscht“. Der Anonymisierungsprozess wurde mit folgenden Schritten umgesetzt:

  1. Löschung des Offerts: Sowohl die Kundenanfrage als auch das Angebot, das aufgrund der Onlineangaben des Kunden vom Kundenmanagementsystem erstellt wurde, wurden gelöscht.
  2. Löschung aller elektronischer Kontakte (E-Mail-Adresse, Telefonnummer, etc.) des Kunden.
  3. Änderung der Person (Name, Vorname, Adresse): Sowohl Name, als auch Adresse wurden durch eine anonyme, nicht zuordenbare Person (Max Mustermann) mit identem Geschlecht und Geburtsdatum unwiderruflich manuell überschrieben.
  4. Die nun inhaltsleere Kundenverbindung wurde nur mehr Max Mustermann zugeordnet.
  5. Der mit einer Kundenverbindung automatisch gestartete interne Ablauf wurde sofort gestoppt.
  6. Zusammenlegung der zu löschenden Person auf die neue anonyme Person zur Sicherstellung, dass die Überschreibung auch technisch nachhaltig verankert sei.
  7. Löschen des Kunden im Elektronischen Akt (Historie).

Die Daten des Betroffenen wurden durch einen „Dummy Kunden“ ersetzt. Dieser „Dummy Kunde“ wurde mit einem weiteren, nicht zuordenbaren Eintrag zusammengelegt, wodurch auch der Änderungsverlauf nachhaltig nicht mehr rekonstruierbar ist. Logdaten waren nicht mehr vorhanden.

Bei Papierakten wird auch eine „Schwärzung“ als Form der Löschung angesehen. Durch die Unkenntlichmachung des Namens des Betroffenen sowie aller anderer seine Person betreffende Daten kann einem Löschungsbegehren entsprochen werden.

Durch die Entfernung des Personenbezugs wurde das Löschungsbegehren erfüllt und die Beschwerde somit abgewiesen.