Entscheidungsdatum
03.02.2026Norm
B-VG Art133 Abs4Spruch
,
W252 2316399-1/10E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde von XXXX , vertreten durch nikodem rechtsanwalts gmbh, 1060 Wien, Mariahilfer Straße 123/3, gegen das Straferkenntnis der Datenschutzbehörde vom 10.06.2025, GZ XXXX , in einer datenschutzrechtlichen Angelegenheit nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde von römisch 40 , vertreten durch nikodem rechtsanwalts gmbh, 1060 Wien, Mariahilfer Straße 123/3, gegen das Straferkenntnis der Datenschutzbehörde vom 10.06.2025, GZ römisch 40 , in einer datenschutzrechtlichen Angelegenheit nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:
A)
I. Der Beschwerde wird teilweise Folge gegeben und das Straferkenntnis sofern es sich auf Kamera 3 bezieht aufgehoben und das Strafverfahren hinsichtlich Kamera 3 gemäß § 45 Abs 1 Z 2 1. Fall VStG eingestellt.römisch eins. Der Beschwerde wird teilweise Folge gegeben und das Straferkenntnis sofern es sich auf Kamera 3 bezieht aufgehoben und das Strafverfahren hinsichtlich Kamera 3 gemäß Paragraph 45, Absatz eins, Ziffer 2, 1. Fall VStG eingestellt.
II. Die verhängte Geldstrafe wird auf € 1500,00 (Ersatzfreiheitsstrafe 90 Stunden) reduziert; korrespondierend dazu reduziert sich der Beitrag zu den Kosten des Strafverfahrens vor der belangten Behörde gemäß § 64 VStG auf € 150,00.römisch zwei. Die verhängte Geldstrafe wird auf € 1500,00 (Ersatzfreiheitsstrafe 90 Stunden) reduziert; korrespondierend dazu reduziert sich der Beitrag zu den Kosten des Strafverfahrens vor der belangten Behörde gemäß Paragraph 64, VStG auf € 150,00.
III. Gemäß § 52 Abs 8 VwGVG hat der BF keine Kosten des Beschwerdeverfahrens zu tragen.römisch drei. Gemäß Paragraph 52, Absatz 8, VwGVG hat der BF keine Kosten des Beschwerdeverfahrens zu tragen.
IV. Im Übrigen wird die Beschwerde abgewiesen.römisch vier. Im Übrigen wird die Beschwerde abgewiesen.
B)
Die Revision ist nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
1. Aufgrund einer Datenschutzbeschwerde bezüglich einer Videoüberwachung durch den Beschwerdeführer (in Folge „BF“) leitete die belangte Behörde amtswegig (auch) ein Verwaltungsstrafverfahren gegen den BF ein. Zusammengefasst habe er in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls vom 18.09.2023 bis dato („Tatzeitraum“) am Sitz des von ihm geführten Einzelunternehmens („Tatort“), unrechtmäßig personenbezogene Daten verarbeitet, indem er zumindest vier Bildverarbeitungsanlagen (Videokameras) am Tatort betreibe.
2. Mit Straferkenntnis vom 10.06.2025 stellte die belangte Behörde fest, dass der BF ab einem nicht näher feststellbaren Zeitpunkt, jedoch jedenfalls vom 18.09.2023 bis 17.06.2024 („Tatzeitraum“) am Sitz des vom BF geführten Einzelunternehmens („Tatort“), unrechtmäßig personenbezogene Daten von Mitarbeitern, Kunden und Passanten verarbeitet habe, indem er in den Räumlichkeiten am Tatort zumindest drei Bildverarbeitungsanlagen (Videokameras) betrieben habe. Die Verarbeitung sei im Zusammenhang mit ihrem zeitlichen und örtlichen Ausmaß nicht für den verfolgten Zweck angemessen und erheblich, sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt. Die Verarbeitung im Tatzeitraum sei im Ergebnis ohne einschlägiger Rechtsgrundlage nach Art 6 Abs 1 DSGVO und in Missachtung des Grundsatzes der Datenminimierung nach Art 5 Abs 1 lit c DSGVO erfolgt. Der BF habe dadurch eine Verwaltungsübertretung nach Art 5 Abs 1 lit a und c sowie Art 6 Abs 1 iVm Art 83 Abs 1 und Abs 5 lit a DSGVO begangen, weshalb die belangte Behörde eine Geldstrafe von € 2.000,-- bzw eine Ersatzfreiheitsstrafe von 120 Studen sowie einen Betrag zu den Kosten des Strafverfahrens von € 200,-- verhängte.2. Mit Straferkenntnis vom 10.06.2025 stellte die belangte Behörde fest, dass der BF ab einem nicht näher feststellbaren Zeitpunkt, jedoch jedenfalls vom 18.09.2023 bis 17.06.2024 („Tatzeitraum“) am Sitz des vom BF geführten Einzelunternehmens („Tatort“), unrechtmäßig personenbezogene Daten von Mitarbeitern, Kunden und Passanten verarbeitet habe, indem er in den Räumlichkeiten am Tatort zumindest drei Bildverarbeitungsanlagen (Videokameras) betrieben habe. Die Verarbeitung sei im Zusammenhang mit ihrem zeitlichen und örtlichen Ausmaß nicht für den verfolgten Zweck angemessen und erheblich, sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt. Die Verarbeitung im Tatzeitraum sei im Ergebnis ohne einschlägiger Rechtsgrundlage nach Artikel 6, Absatz eins, DSGVO und in Missachtung des Grundsatzes der Datenminimierung nach Artikel 5, Absatz eins, Litera c, DSGVO erfolgt. Der BF habe dadurch eine Verwaltungsübertretung nach Artikel 5, Absatz eins, Litera a und c sowie Artikel 6, Absatz eins, in Verbindung mit Artikel 83, Absatz eins und Absatz 5, Litera a, DSGVO begangen, weshalb die belangte Behörde eine Geldstrafe von € 2.000,-- bzw eine Ersatzfreiheitsstrafe von 120 Studen sowie einen Betrag zu den Kosten des Strafverfahrens von € 200,-- verhängte.
3. Gegen dieses Straferkenntnis richtet sich die gegenständliche Beschwerde des BF vom 14.07.2025. In dieser führte der BF aufs Wesentlichste zusammengefasst aus, dass die Videoüberwachung nicht dazu diene die Mitarbeiter:innen zu überwachen, sondern es in diesen Bereichen mehrfach zu Problemen gekommen sei, wie etwa Diebstählen, unbefugte Zutritte und unberechtigte Reklamationen. Sämtliche Dienstnehmer:innen hätten zugestimmt, dass gefilmt werde. Die Mitarbeiter würden sich nur für kurze Zeiten in den Aufnahmebereichen der installierten Kameras aufhalten. Mittlerweile habe der BF auch die Speicherdauer der Kameras reduziert. Entgegen der Ansicht der belangten Behörde werden Passant:innen nicht erfasst. Im Übrigen sei die Strafe zu hoch bemessen.
4. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts mit Schriftsatz vom 16.07.2025, hg eingelangt am 22.07.2025, vor und beantragte – unter Verweis auf die Begründung des angefochtenen Bescheids – die Beschwerde abzuweisen.
5. Am 21.11.2025 wurde über die Beschwerde mündlich verhandelt.
Beweis wurde erhoben durch Einsichtnahme in den Verwaltungs- und Gerichtsakt, den ins Verfahren eingebrachten Akt W252 2296540-1, sowie insbesondere die mündliche Einvernahme des BF (OZ 5).
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Der BF ist Inhaber des am 01.06.2012 unter der Firmenbuchnummer FN XXXX ins Firmenbuch eingetragenen Einzelunternehmens XXXX , mit Sitz am XXXX (in der Folge „Tatort“). Der Geschäftszweig des Einzelunternehmens umfasst EDV-Dienstleistungen, wie zB die Reparaturen von Notebooks. Der BF lagert bzw verkauft hierfür spezielle Hardwareteile.1.1. Der BF ist Inhaber des am 01.06.2012 unter der Firmenbuchnummer FN römisch 40 ins Firmenbuch eingetragenen Einzelunternehmens römisch 40 , mit Sitz am römisch 40 (in der Folge „Tatort“). Der Geschäftszweig des Einzelunternehmens umfasst EDV-Dienstleistungen, wie zB die Reparaturen von Notebooks. Der BF lagert bzw verkauft hierfür spezielle Hardwareteile.
1.2. Der BF hat im Zeitraum 18.09.2023 bis 17.06.2024 (in der Folge „Tatzeitraum“) am Tatort eine Videoüberwachungsanlage mit drei Videokameras betrieben.
1.3. Der BF hat keine Vereinbarung mit seinen fünf Mitarbeiter:innen getroffen, wonach diese mit der Videoüberwachung ihres Arbeitsplatzes einverstanden sind.
1.4. Zur Kamera 1:
1.4.1. Die Kamera 1 ist im Eingangs- und Kundenbereich hinter der Empfangstheke montiert und filmt in Richtung der Eingangstüre bzw Glasfront. Die Kamera 1 ist mit einer Motion-Detection mit fünf Minuten Nachlauf ausgestattet, die Kamera wird ca 30cm rund um die Eingangstüre ausgelöst. Sobald sich in diesem Feld, rund um die Türe, eine Bewegung stattfindet, wird der Eingangs- und Kundenbereich im Weitwinkel inklusive Glasfront gefilmt. Fünf Sekunden nachdem keine Bewegung im Eingangs- und Kundenbereich mehr stattfindet, wird die Aufnahme der Kamera beendet.
1.4.2. Im Tatzeitraum hat die Kamera 1 im Schnitt 4 Personen täglich sowie die Mitarbeiter:innen des BF im Eingangs- und Kundenbereich erfasst. Im Eingangs- und Kundenbereich befinden sich nicht durchgehend Mitarbeiter:innen des BF. Bei Bedarf nehmen diese dort Kundenaufträge oder Paketsendungen entgegen.
1.4.3. Die Aufnahmen wurden im Tatzeitraum 14 Tage lang gespeichert. Personen außerhalb des Geschäftslokals wurden nicht erfasst.
1.4.4. Der BF hat die Kamera 1 installiert und betreibt diese, um sein Eigentum vor Diebstählen im Eingangs- und Kundenbereich zu schützen.
1.5. Zur Kamera 2:
1.5.1. Die Kamera 2 ist in den Büroräumlichkeiten des Geschäftslokals auf der Glasfront montiert und filmt von oben in einem Weitwinkel in Richtung des Hintereingangs. Die Kamera 2 ist mit einer Motion-Detection mit fünf Sekunden Nachlauf ausgestattet, die im Tatzeitraum eine mittig im Aufnahmebereich befindliche Mauernische abgedeckt hat, in welcher sich links der Hintereingang und rechts eine Teeküche befand. Sobald sich in dieser mittig im Aufnahmebereich befindlichen Zone etwas bewegt, wird die Kamera 2 ausgelöst und filmt im Weitwinkel in den Bürobereich.
1.5.2. Im Tatzeitraum hat die Kamera 2 die Mitarbeiter:innen des BF insbesondere im Bereich der Teeküche ua beim Kaffeeholen gefilmt, sowie links und rechts von der Mauernische jeweils einen aktiv genutzten Arbeitsplatz erfasst und für 14 Tage gespeichert, wobei der rechte Arbeitsplatz nur kurzzeitig von einer Praktikantin benutzt worden ist.
1.5.3. Der BF hat die Kamera 2 aus Sorge vor Einbrüchen über den Hintereingang installiert und betrieben, insbesondere um bei längeren Abwesenheiten bzw Betriebsurlauben den Hintereingang zu überwachen und zu schützen. Der BF hat die Kamera 2 installiert, weil ihm eine von ihm geplante Alarmanlage mit Außensirene von der Hausverwaltung nicht bewilligt wurde.
1.6. Zur Kamera 3:
1.6.1. Die Kamera 3 ist im Untergeschoß des Geschäftslokals montiert und filmt leicht von hinten, sehr steil von oben die Packstation bzw den Packtisch. Die Kamera 3 ist ebenfalls mit einer Motion-Detection mit fünf Sekunden Nachlauf ausgestattet und löst aus, sobald jemand am Packtisch arbeitet.
1.6.2. Im Tatzeitraum hat die Kamera 3 die Mitarbeiter:innen des BF bei der Arbeit am Packtisch gefilmt und 14 Tage lang gespeichert. Die Arbeit am Packtisch wird rund zehn Mal täglich jeweils für zehn Minuten durchgeführt. Die Gesichter der Mitarbeiter:innen sind dabei nicht erkennbar. Die Mitarbeiter:innen wissen, dass die Kamera 3 filmt.
1.6.3. Der BF hat die Kamera 3 installiert, da er acht bis zehn Reklamationen pro Monat bei Paketsendungen hatte. Er wollte damit den gesamten Ein- und Auspackprozess filmen, um sich gegen unberechtigte Reklamationen bei Paketsendungen, dass etwas nicht eingepackt war, etwas Falsches versendet wurde, erworbene Gegenstände nicht mitgeschickt wurden etc zu wehren. Das Anfertigen von Fotos ist nicht effizient, durch das Filmen ist der Packvorgang nachvollziehbar.
1.7. Zur Subjektiven Tatseite:
1.7.1. Zur Planung und Umsetzung der Videoüberwachungsanlage im Allgemeinen und der datenschutzrechtlichen Beurteilung:
Dem BF wurde von der Hausverwaltung das Anbringung einer Alarmanlage mit Außensirene im Jahr 2022 nicht genehmigt, weshalb er sich für die Videoüberwachung seiner Geschäftsräumlichkeiten entschieden hat.
Der BF hat die Standorte der Kameras 1 und 2 so ausgewählt, dass sie in Blickrichtung der Haupteingangstüre (Kamera 1) bzw des Hintereingangs (Kamera 2) angebracht sind. Im Detail hat der BF sich bei der Installation am Vorhandensein der notwendigen Anschlüsse und einer möglichst einfachen Montage orientiert. Den Standort von Kamera 3 hat der BF so gewählt, dass der Ein- und Auspackvorgang möglichst gut abgebildet wird.
Der BF hat zum Zeitpunkt der Installation der Kameras keine konkreten datenschutzrechtlichen Überlegungen bezüglich der Aufnahmebereiche im Geschäftslokal angestellt. Er ist nach kurzer Internetrecherche davon ausgegangen, dass alles vor der Eingangstüre „tabu“ sei und alles, was drinnen (im Geschäftslokal) ist, dürfe er filmen. Seinen rechtlichen Beistand hat er bezüglich der Installation der Kameras nicht konsultiert. Der BF brachte eine Informationsplakette bezüglich der Videoüberwachung, rechts von der Eingangstüre an.
1.8. Zur Strafbemessung:
Der BF hat im Geschäftsjahr 2024 mit seinem Einzelunternehmen XXXX einen Bruttoumsatz von € 394 255,60 erzielt. Nach Abzug der Ausgaben und Steuern ergibt sich ein Verlust von € 10 577,05.Der BF hat im Geschäftsjahr 2024 mit seinem Einzelunternehmen römisch 40 einen Bruttoumsatz von € 394 255,60 erzielt. Nach Abzug der Ausgaben und Steuern ergibt sich ein Verlust von € 10 577,05.
1.8.1. Die Videoaufzeichnungen im Geschäftslokal des BF haben zu keinem materiellen Schaden und allenfalls einem geringen ideellen Schaden betroffener Personen geführt.
1.8.2. Der BF hat sowohl mit der belangten Behörde, als auch dem Bundesverwaltungsgericht zusammengearbeitet und zur Ermittlung des Sachverhalts wesentlich beigetragen.
1.8.3. Der BF hat am 18.06.2024, nach Erhalt des Bescheides der belangten Behörde vom 14.06.2024, GZ XXXX in dem bezüglich Kamera 2 ua eine Verletzung im Recht auf Geheimhaltung festgestellt wurde und ihm ein Leistungsauftrag erteilt wurde, den Aufnahmebereich von Kamera 2 zeitlich und örtlich derart eingeschränkt, dass die Videoüberwachung nur mehr in der Zeit zwischen Betriebsschluss und Betriebsbeginn aktiv ist und keine Mitarbeiter:innen mehr erfasst werden, der BF hat somit dem Leistungsauftrag der belangten Behörde entsprochen. Zusätzlich hat der BF die Aufnahmezeiten und die Speicherdauer aller drei Kameras am 18.06.2024 auf 3 Tage herabgesetzt.1.8.3. Der BF hat am 18.06.2024, nach Erhalt des Bescheides der belangten Behörde vom 14.06.2024, GZ römisch 40 in dem bezüglich Kamera 2 ua eine Verletzung im Recht auf Geheimhaltung festgestellt wurde und ihm ein Leistungsauftrag erteilt wurde, den Aufnahmebereich von Kamera 2 zeitlich und örtlich derart eingeschränkt, dass die Videoüberwachung nur mehr in der Zeit zwischen Betriebsschluss und Betriebsbeginn aktiv ist und keine Mitarbeiter:innen mehr erfasst werden, der BF hat somit dem Leistungsauftrag der belangten Behörde entsprochen. Zusätzlich hat der BF die Aufnahmezeiten und die Speicherdauer aller drei Kameras am 18.06.2024 auf 3 Tage herabgesetzt.
1.8.4. Der BF hat bislang nicht gegen datenschutzrechtliche Vorschriften verstoßen.
1.8.5. Die belangte Behörde hat aufgrund der Datenschutzbeschwerde vom 20.09.2023 einer betroffenen Person (Praktikantin des BF) vom Verstoß erfahren.
1.8.6. Der BF hat durch die Bildverarbeitungen durch die Kameras 1 und 2 weder finanzielle Vorteile erlangt, noch Verluste vermieden. Mit der Kamera 3 in der Packstation konnte der BF finanzielle Verluste bezüglich nicht gerechtfertigter Reklamationen vermeiden.
2. Beweiswürdigung:
2.1. Die Feststellung, dass der BF ein Unternehmen betreibt und das Geschäftsfeld des Unternehmens ergibt sich aus den glaubhaften Ausführungen des BF sowie dem von der belangten Behörde eingeholtem Firmenbuchauszug (OZ 1, 001, S 25; Bescheidbeschwerde, S 7; OZ 5, S 3, 6). Die Feststellung, dass der BF hierfür spezielle Hardwareteile lagert und verkauft, ergibt sich aus seiner Aussage, wonach er „viel Kleinzeug, z.B. kleine Festplatten oder kleine WLAN Adapter“ habe (vgl OZ 5, S 4).2.1. Die Feststellung, dass der BF ein Unternehmen betreibt und das Geschäftsfeld des Unternehmens ergibt sich aus den glaubhaften Ausführungen des BF sowie dem von der belangten Behörde eingeholtem Firmenbuchauszug (OZ 1, 001, S 25; Bescheidbeschwerde, S 7; OZ 5, S 3, 6). Die Feststellung, dass der BF hierfür spezielle Hardwareteile lagert und verkauft, ergibt sich aus seiner Aussage, wonach er „viel Kleinzeug, z.B. kleine Festplatten oder kleine WLAN Adapter“ habe vergleiche OZ 5, S 4).
2.2. Die Feststellung, dass der BF im Tatzeitraum drei Kameras betrieben hat, ergibt sich aus den im Verwaltungsakt befindlichen Aufnahmen von drei verschiedenen Kameras (OZ 1, 001, 75 ff). Der von der belangten Behörde festgestellte Tatzeitraum ist nachvollziehbar. Der BF gab in seiner Stellungnahme vom 07.10.2024 und in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht nachvollziehbar an, dass die Kameras 2022 im Zusammenhang mit den Weihnachtsfeiertagen installiert wurden (Stellungnahme vom 07.10.2024, S 3), weil die Hausverwaltung ihm eine Installation einer Alarmanlage mit Außensirene verweigert hat. Die belangte Behörde erlangte durch die Datenschutzbeschwerde einer ehemaligen Praktikantin vom 20.09.2023, in der diese angab, dass sie im Zeitraum vom 18.09.2023 bis 20.09.2023 im Unternehmen des BF tätig gewesen sei und durch die angebrachte Kamera 2 gefilmt worden sei, Kenntnis von den Kameras. Nach Erhalt des Bescheides der belangten Behörde vom 14.06.2024, GZ XXXX und dem damit verbundenen Leistungsauftrag nahm der BF am 18.06.2024 die oben angeführten Anpassungen der Kameraeinstellungen vor, welche er nachvollziehbar in der mündlichen Verhandlung schilderte. Die Feststellungen konnten sich daher auf den von der belangten Behörde angenommenen Tatzeitraum beschränken.2.2. Die Feststellung, dass der BF im Tatzeitraum drei Kameras betrieben hat, ergibt sich aus den im Verwaltungsakt befindlichen Aufnahmen von drei verschiedenen Kameras (OZ 1, 001, 75 ff). Der von der belangten Behörde festgestellte Tatzeitraum ist nachvollziehbar. Der BF gab in seiner Stellungnahme vom 07.10.2024 und in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht nachvollziehbar an, dass die Kameras 2022 im Zusammenhang mit den Weihnachtsfeiertagen installiert wurden (Stellungnahme vom 07.10.2024, S 3), weil die Hausverwaltung ihm eine Installation einer Alarmanlage mit Außensirene verweigert hat. Die belangte Behörde erlangte durch die Datenschutzbeschwerde einer ehemaligen Praktikantin vom 20.09.2023, in der diese angab, dass sie im Zeitraum vom 18.09.2023 bis 20.09.2023 im Unternehmen des BF tätig gewesen sei und durch die angebrachte Kamera 2 gefilmt worden sei, Kenntnis von den Kameras. Nach Erhalt des Bescheides der belangten Behörde vom 14.06.2024, GZ römisch 40 und dem damit verbundenen Leistungsauftrag nahm der BF am 18.06.2024 die oben angeführten Anpassungen der Kameraeinstellungen vor, welche er nachvollziehbar in der mündlichen Verhandlung schilderte. Die Feststellungen konnten sich daher auf den von der belangten Behörde angenommenen Tatzeitraum beschränken.
2.3. Die Anzahl der Mitarbeiter:innen ergibt sich aus einer Zusammenschau, wonach der BF im Verfahren W252 2296540-1, OZ 4 „DSGVO-Verträge“ mit vier unterschiedlichen Personen vorlegt hat und er damals – wenn auch nur für wenige Tage eine Praktikantin beschäftigte. Da der BF die genaue Anzahl in der mündlichen Verhandlung selbst nicht mehr genau wusste („Es müssten drei gewesen sein“, OZ 5, S 10), war davon auszugehen, dass er in Summe fünf unterschiedliche Personen im Tatzeitraum beschäftigte. Die Feststellung, dass die Mitarbeiter:innen des BF nicht aktiv in die Videoüberwachung durch den BF eingewilligt haben, und er keine (gültige) Vereinbarung mit diesen abgeschlossen hat, ergibt sich aus einer Zusammenschau des Vorbringens des BF. Zwar legte der BF im Verfahren W252 2296540-1, OZ 4 sogenannte „DSGVO-Verträge“ vor, die er mit seinen Mitarbeiter:innen abgeschlossen hat. Diese „DSGVO-Verträge“ enthalten allerdings keinerlei aktive Zustimmung der Angestellten, sondern nur Bestimmungen „zur Information von Mitarbeitern und Praktikanten über Kameraaufzeichnungen in Betrieb“ bzw eine Klausel, wonach sich der BF damit einverstanden erklärt die DSGVO einzuhalten. Es wird an dieser Stelle nicht übersehen, dass der BF die „DSGVO-Verträge“ während dem Verfahren vor der belangten Behörde abgeschlossen hat und damit wohl weitere datenschutzrechtliche Probleme im Zusammenhang mit Videoaufzeichnungen vermeiden wollte. Allerdings ist diesen Verträgen in keiner Bestimmung eine tatsächliche, aktive Einwilligung bzw Zustimmung zu entnehmen, sondern lediglich (spärliche) Informationen zur Kameraaufzeichnung bzw Absichtserklärungen des BF Mitarbeiter:innen zu informieren. Auch das Vorbringen des BF in der mündlichen Verhandlung, wonach die Mitarbeiter:innen schriftlich zugestimmt hätten, war nicht überzeugend. Wie bereits ausgeführt sind die „DSGVO-Verträge“ vielmehr als Informationsblatt, als als eine Zustimmung ausgestaltet. Hinzu kommt, dass der BF selbst in der mündlichen Verhandlung die „Zustimmung“ seiner Mitarbeiter:innen dahingehend relativierte, dass diese wissen würden wo die Kameras installiert seien und in welchem Fall aufgenommen werde (OZ 5, S 9). In einer Zusammenschau war daher keine tatsächliche Vereinbarung ersichtlich, wonach die Mitarbeiter:innen mit der Videoüberwachung einverstanden wären. Hierbei sei auch erwähnt, dass den BF bezüglich datenschutzrechtlicher Einwilligungen die Beweislast trifft (siehe EuGH 11.11.2020, C-61/19, Orange Romania, Rz 42).
2.4. Die Ausführungen zu den jeweiligen Kameras ergeben sich aus den ausführlichen Erläuterungen des BF in der mündlichen Verhandlung, in der er den Aufnahmebereich, den Montageort, die Funktionsweise der Motion-Detection, die Kundenfrequenz, Aufenthaltsdauer seiner Mitarbeiter:innen im Aufnahmebereich und die Speicherdauer jeweils anhand von Lichtbildern glaubhaft und detailliert schilderte (OZ 5, S 4 ff). Die Feststellung, dass Personen außerhalb des Geschäftslokals von Kamera 1 nicht erfasst werden ergibt sich aus der in der mündlichen Verhandlung erfolgten Einvernahme des BF, in der anhand eines Lichtbildes der Innen und Außenansicht des Geschäftslokals, der Gehwege von Passant:innen der Erfassungsbereich ausführlich erläutert wurde. Aufgrund der glaubhaften Schilderungen des BF, wonach Personen nicht direkt am Geschäftslokal vorbeigehen, sich direkt vor dem Lokal „normalerweise keiner“ befindet, der Kinderspielplatz weit entfernt ist und die Scheiben des Geschäftslokals mit einer Milchglasfolie bis in mittlere Höhe versehen sind, war festzustellen, dass keine Personen außerhalb des Geschäftslokals von den Kameras erfasst werden. Dass die Mitarbeiter:innen grundsätzlich von den Aufnahmen (insbesondere Kamera 3) wissen, ergibt sich bereits daraus, dass früher nur Fotos angefertigt wurden und dann auf Videokameras umgestellt wurde (OZ 5, S 6).
2.5. Die vom BF geschilderten Aufnahmezwecke waren vor dem Hintergrund seiner Ausführungen, wonach es bereits vereinzelte Diebstähle gab, sowie den glaubhaft regelmäßig vorkommenden Reklamationen bezüglich Paketsendungen in Zusammenschau mit den von ihm gewählten Aufnahmewinkeln glaubhaft (OZ 4, S 4 ff). Dass das Anfertigen von Fotos weniger effizient und der Verpackungsvorgang nicht mehr nachvollziehbar ist, war vor dem Hintergrund der Schilderungen des BF, wonach er bereits das bloße Anfertigen von Fotos versucht habe, nachvollziehbar, schließlich wäre dann nicht mehr der gesamte Ein-/Auspackvorgang abgebildet (vgl OZ 5, S 10 f).2.5. Die vom BF geschilderten Aufnahmezwecke waren vor dem Hintergrund seiner Ausführungen, wonach es bereits vereinzelte Diebstähle gab, sowie den glaubhaft regelmäßig vorkommenden Reklamationen bezüglich Paketsendungen in Zusammenschau mit den von ihm gewählten Aufnahmewinkeln glaubhaft (OZ 4, S 4 ff). Dass das Anfertigen von Fotos weniger effizient und der Verpackungsvorgang nicht mehr nachvollziehbar ist, war vor dem Hintergrund der Schilderungen des BF, wonach er bereits das bloße Anfertigen von Fotos versucht habe, nachvollziehbar, schließlich wäre dann nicht mehr der gesamte Ein-/Auspackvorgang abgebildet vergleiche OZ 5, S 10 f).
2.6. Die Feststellung zu den Beweggründen für das Anbringen der Kameras statt einer Alarmanlage schilderte der BF in der mündlichen Verhandlung nachvollziehbar und war vor dem Hintergrund, dass sich das Geschäftslokal im Erdgeschoß eines Mehrparteienhauses befindet plausibel.
2.7. Im Hinblick auf die (nicht erfolgten) datenschutzrechtlichen Überlegungen des BF war zwar zu berücksichtigen, dass er angab „nachgelesen“ zu haben und eine beim Kauf der Kameras beiliegende Informationsplakette neben der Eingangstüre angebracht hat (OZ 5, S 8). Da er aber auch angab, dass er – nach dieser kurzen Internetrecherche – davon ausging, dass „alles vor der Tür tabu ist und alles, was drinnen ist“ ihm gehöre und er sich auch nicht mit seinem rechtlichen Beistand beraten hat, zeigt, dass er sich im Hinblick auf die Aufstellungsorte keine datenschutzrechtlichen Gedanken gemacht hat, obwohl er sich spätestens aufgrund der beiliegenden Plakette sowie der (flüchtigen) Recherche des Bestehens datenschutzrechtlicher Vorgaben bewusst war, andernfalls hätte er weder recherchiert, noch eine Notwendigkeit gesehen eine Plakette anzubringen. Im Übrigen schilderte der BF nachvollziehbar, dass er die einzelnen Kamerapositionen nach seinem Zweck (welcher Bereich soll geschützt werden) und dem Vorhandensein von Montage-/Anschlussmöglichkeiten wählte. Datenschutzrechtliche Überlegungen stellte er bei der Wahl der Kamerastandorte und Aufnahmewinkel nicht an, weshalb die entsprechende Feststellung zu treffen war.
2.8. Die Umsätze sowie der Verlust im vergangenen Geschäftsjahr ergeben sich aus den vom BF vorgelegten Unterlagen (OZ 6).
2.9. Die Feststellung, dass es zu keinem materiellen Schaden bzw einem allenfalls geringen ideellen Schaden kam ergibt sich daraus, dass es – abgesehen von einer Praktikantin, die nur wenige Tage beim BF beschäftigt war – keine weiteren Beschwerden gab (OZ 5, S 9). Zwar war hierbei das Über-/Unterordnungsverhältnis des BF zu berücksichtigen, allerdings war die Speicherdauer mit 14 Tagen auch nicht übermäßig lange, weshalb im Ergebnis von einem allenfalls geringen ideellen Schaden auszugehen war.
2.10. Die Zusammenarbeit des BF mit der belangten Behörde und dem Bundesverwaltungsgericht ist aus dem Verwaltungsakt sowie insbesondere den detaillierten Angaben des BF in der mündlichen Verhandlung sowie der Nachreichung der geforderten Unterlagen klar ersichtlich (vgl OZ 5; OZ 6).2.10. Die Zusammenarbeit des BF mit der belangten Behörde und dem Bundesverwaltungsgericht ist aus dem Verwaltungsakt sowie insbesondere den detaillierten Angaben des BF in der mündlichen Verhandlung sowie der Nachreichung der geforderten Unterlagen klar ersichtlich vergleiche OZ 5; OZ 6).
2.11. Die vom BF getroffenen Anpassungen der Videoüberwachung ergeben sich aus seinem glaubhaften Vorbringen (Bescheidbeschwerde, S 9, 11; OZ 5, S 8).
2.12. Die Feststellung, dass keine bisherigen datenschutzrechtlichen Verstöße des BF vorliegen ergibt sich aus der diesbezüglichen Angabe der belangten Behörde (OZ 5, S 9).
2.13. Die Umstände, wie die belangte Behörde vom Verstoß erfahren hat ergibt sich bereits aus der dem Akt beiliegenden Datenschutzbeschwerde vom 20.09.2023 (OZ 1, 001, S 117).
2.14. Die nicht vorhandenen finanziellen Vorteile und die durch Kamera 3 vermiedenen Verluste ergeben sich aus der diesbezüglichen nachvollziehbaren Angabe des BF, wonach er die Aufnahmen von Kamera 3 dafür anfertigt um ungerechtfertigte Reklamationen (8-10 pro Monat) abzuwehren.
3. Rechtliche Beurteilung:
Zu A)
Die zulässige Beschwerde ist teilweise berechtigt.
3.1. Zur Rechtmäßigkeit der Videoüberwachung:
Die gegenständliche Videoüberwachungsanlage stellt zweifelsohne eine Verarbeitung personenbezogener Daten dar (siehe dazu näher das zur vergleichbaren Rechtslage ergangene Urteil des EuGH 11.12.2019, C-708/18, TK/Asocia?ia de Proprietari bloc M5A-ScaraA, Rz 34 f).
Nach der Rechtsprechung des EuGH muss jede Verarbeitung personenbezogener Daten mit den in Art 5 Abs 1 DSGVO aufgestellten Grundsätzen im Einklang stehen, die in Art 6 DSGVO aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen und die in Art 7 bis 11 DSGVO, genannten Bestimmungen einhalten (vgl EuGH 04.05.2023, C-60/22, Bundesrepublik Deutschland, Rz 57 f).Nach der Rechtsprechung des EuGH muss jede Verarbeitung personenbezogener Daten mit den in Artikel 5, Absatz eins, DSGVO aufgestellten Grundsätzen im Einklang stehen, die in Artikel 6, DSGVO aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen und die in Artikel 7 bis 11 DSGVO, genannten Bestimmungen einhalten vergleiche EuGH 04.05.2023, C-60/22, Bundesrepublik Deutschland, Rz 57 f).
Bei der Verarbeitung personenbezogener Daten im Beschäftigungskontext nach Art 88 DSGVO, zu denen im Recht eines Mitgliedstaats „spezifischere Vorschriften“ erlassen wurden, stellen die Regelungen der DSGVO (insbesondere Art 5, 6, 9 DSGVO) das Mindestmaß dar (vgl idS EuGH 19.12.2024, C-65/23, K GmbH (Verarbeitung personenbezogener Daten von Mitarbeitern), Rz 49 f, 56 ff).Bei der Verarbeitung personenbezogener Daten im Beschäftigungskontext nach Artikel 88, DSGVO, zu denen im Recht eines Mitgliedstaats „spezifischere Vorschriften“ erlassen wurden, stellen die Regelungen der DSGVO (insbesondere Artikel 5, 6, 9, DSGVO) das Mindestmaß dar vergleiche idS EuGH 19.12.2024, C-65/23, K GmbH (Verarbeitung personenbezogener Daten von Mitarbeitern), Rz 49 f, 56 ff).
3.1.1. Zur Einwilligung iSd Art 6 Abs 1 lit a DSGVO:3.1.1. Zur Einwilligung iSd Artikel 6, Absatz eins, Litera a, DSGVO:
Die Einwilligung nach Art 4 Z 11 DSGVO verlangt eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene“ Willensbekundung in Form einer Erklärung oder einer „eindeutigen bestätigenden Handlung“. „Stillschweigen“ sollte nach ErwGr 32 DSGVO keine Einwilligung darstellen. Es wird somit ausdrücklich eine aktive Einwilligung verlangt (vgl idS EuGH 11.11.2020, C-61/19, Orange Romania, Rz 36 f).Die Einwilligung nach Artikel 4, Ziffer 11, DSGVO verlangt eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene“ Willensbekundung in Form einer Erklärung oder einer „eindeutigen bestätigenden Handlung“. „Stillschweigen“ sollte nach ErwGr 32 DSGVO keine Einwilligung darstellen. Es wird somit ausdrücklich eine aktive Einwilligung verlangt vergleiche idS EuGH 11.11.2020, C-61/19, Orange Romania, Rz 36 f).
Wie festgestellt, gibt es keine Vereinbarungen mit den Mitarbeiter:innen des BF, wonach diese mit der Videoüberwachung ihres Arbeitsplatzes einverstanden wären. Der Umstand, dass die beim BF tätige Praktikantin nichts gegen die Vorgehensweise gesagt hat (ihr „Stillschweigen“) kann keine gültige Einwilligung darstellen (vgl Bescheidbeschwerde, S 4 f). Auch sonst konnte der BF im Bezug auf die bei ihm tätigen Personen keine Einwilligung iSd Art 7 Abs 1 DSGVO nachweisen. Zwar legte der BF „DSGVO-Verträge“ vor, da diese jedoch ebenfalls keine Klausel enthalten, wonach die Mitarbeiter:innen dem BF ihre Einwilligung erteilen, dass er sie an ihrem Arbeitsplatz filme, können diese die Verarbeitung ebenfalls nicht rechtfertigen. Hierbei war zu beachten, dass Einwilligungen im Beschäftigungskontext aufgrund des Ungleichgewichts der Macht, sowie des Abhängigkeitsverhältnisses besonders problematisch sind und die Freiwilligkeit einer Einwilligung in diesem Zusammenhang besonders schwer nachzuweisen ist (vgl Art 7 DSGVO bzw ErwGr 43 DSGVO). Wenn nun der eingebrachte „DSGVO-Vertrag“ nicht einmal eine ausdrückliche Einwilligung enthält, dann kann er bei einem – wie hier – vorliegenden Ungleichgewicht der Macht zwischen dem BF als Arbeitgeber und seinen Angestellten, dies erst recht nicht als Nachweis einer gültigen und freiwilligen Einwilligung dienen.Wie festgestellt, gibt es keine Vereinbarungen mit den Mitarbeiter:innen des BF, wonach diese mit der Videoüberwachung ihres Arbeitsplatzes einverstanden wären. Der Umstand, dass die beim BF tätige Praktikantin nichts gegen die Vorgehensweise gesagt hat (ihr „Stillschweigen“) kann keine gültige Einwilligung darstellen vergleiche Bescheidbeschwerde, S 4 f). Auch sonst konnte der BF im Bezug auf die bei ihm tätigen Personen keine Einwilligung iSd Artikel 7, Absatz eins, DSGVO nachweisen. Zwar legte der BF „DSGVO-Verträge“ vor, da diese jedoch ebenfalls keine Klausel enthalten, wonach die Mitarbeiter:innen dem BF ihre Einwilligung erteilen, dass er sie an ihrem Arbeitsplatz filme, können diese die Verarbeitung ebenfalls nicht rechtfertigen. Hierbei war zu beachten, dass Einwilligungen im Beschäftigungskontext aufgrund des Ungleichgewichts der Macht, sowie des Abhängigkeitsverhältnisses besonders problematisch sind und die Freiwilligkeit einer Einwilligung in diesem Zusammenhang besonders schwer nachzuweisen ist vergleiche Artikel 7, DSGVO bzw ErwGr 43 DSGVO). Wenn nun der eingebrachte „DSGVO-Vertrag“ nicht einmal eine ausdrückliche Einwilligung enthält, dann kann er bei einem – wie hier – vorliegenden Ungleichgewicht der Macht zwischen dem BF als Arbeitgeber und seinen Angestellten, dies erst recht nicht als Nachweis einer gültigen und freiwilligen Einwilligung dienen.
Da der BF somit keine (gültige) Einwilligung seiner Mitarbeiter:innen nachweisen konnte, obwohl ihn hierfür die Beweislast trifft (siehe EuGH 11.11.2020, C-61/19, Orange Romania, Rz 42; sowie Art 5 Abs 2 iVm Art 7 Abs 1 DSGVO), kann die Verarbeitung somit nicht auf Art 6 Abs 1 lit a DSGVO gestützt werden.Da der BF somit keine (gültige) Einwilligung seiner Mitarbeiter:innen nachweisen konnte, obwohl ihn hierfür die Beweislast trifft (siehe EuGH 11.11.2020, C-61/19, Orange Romania, Rz 42; sowie Artikel 5, Absatz 2, in Verbindung mit Artikel 7, Absatz eins, DSGVO), kann die Verarbeitung somit nicht auf Artikel 6, Absatz eins, Litera a, DSGVO gestützt werden.
Als Rechtmäßigkeitstatbestand in Frage kommt allenfalls nur die Wahrung berechtigter Interessen nach Art 6 Abs 1 lit f DSGVO.Als Rechtmäßigkeitstatbestand in Frage kommt allenfalls nur die Wahrung berechtigter Interessen nach Artikel 6, Absatz eins, Litera f, DSGVO.
3.1.2. Zur Wahrung berechtigter Interessen iSd Art 6 Abs 1 lit f DSGVO:3.1.2. Zur Wahrung berechtigter Interessen iSd Artikel 6, Absatz eins, Litera f, DSGVO:
Die Verarbeitung personenbezogener Daten nach Art 6 Abs 1 lit f DSGVO ist unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl EuGH 09.01.2025, C-394/23, Mousse, Rz 45 ff).Die Verarbeitung personenbezogener Daten nach Artikel 6, Absatz eins, Litera f, DSGVO ist unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen vergleiche EuGH 09.01.2025, C-394/23, Mousse, Rz 45 ff).
3.1.2.1. Zum berechtigten Interesse:
Im Zusammenhang mit einer Videoüberwachung in einem Gebäude hat der EuGH zur im wesentlichen gleichlautenden Vorgängerbestimmung bereits ausgesprochen, dass ua der Schutz des Eigentums als „berechtigtes Interesse“ eingestuft werden kann. Dieses Interesse muss zum Zeitpunkt der Verarbeitung entstanden und vorhanden sein und darf zu diesem Zeitpunkt nicht hypothetisch sein. Es kann jedoch bei der Beurteilung aller Umstände des jeweiligen Falles nicht zwingend verlangt werden, dass die Sicherheit des Eigentums und der Personen zuvor beeinträchtigt wurde (vgl EuGH 11.12.2019, C-708/18, Asocia?ia de Proprietari bloc M5A-ScaraA, Rz 42, 44 f).Im Zusammenhang mit einer Videoüberwachung in einem Gebäude hat der EuGH zur im wesentlichen gleichlautenden Vorgängerbestimmung bereits ausgesprochen, dass ua der Schutz des Eigentums als „berechtigtes Interesse“ eingestuft werden kann. Dieses Interesse muss zum Zeitpunkt der Verarbeitung entstanden und vorhanden sein und darf zu diesem Zeitpunkt nicht hypothetisch sein. Es kann jedoch bei der Beurteilung aller Umstände des jeweiligen Falles nicht zwingend verlangt werden, dass die Sicherheit des Eigentums und der Personen zuvor beeinträchtigt wurde vergleiche EuGH 11.12.2019, C-708/18, Asocia?ia de Proprietari bloc M5A-ScaraA, Rz 42, 44 f).
Der BF hat die Kameras zum Schutz seines Eigentums angebracht. Da die vom BF vorgebrachten Diebstähle im Eingangs- und Kundenbereich (Kamera 1) bzw die Gefahr von Einbrüchen über den Hintereingang (Kamera 2) nicht bloß hypothetisch sind, sondern durchaus im Bereich des Möglichen liegen, kommt der Eigentumsschutz bezüglich dieser Kameras als berechtigtes Interesse in Frage. Selbiges gilt auch für Kamera 3, die der BF zur Abwehr unberechtigter Reklamationen und damit verbundener Vermögensschäden installierte.
Der Eigentumsschutz des BF kommt daher als berechtigtes Interesse in Frage.
3.1.2.2. Zur Erforderlichkeit:
Im Hinblick auf die Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist. Die Voraussetzung der Erforderlichkeit ist gemeinsam mit dem Grundsatz der Datenminimierung nach Art 5 Abs 1 lit c DSGVO zu prüfen und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (vgl EuGH 09.01.2025, C-394/23, Mousse, Rz 48 f).Im Hinblick auf die Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist. Die Voraussetzung der Erforderlichkeit ist gemeinsam mit dem Grundsatz der Datenminimierung nach Artikel 5, Absatz eins, Litera c, DSGVO zu prüfen und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind vergleiche EuGH 09.01.2025, C-394/23, Mousse, Rz 48 f).
Im Zusammenhang mit Videoüberwachungen hat der EuGH diesbezüglich bereits ausgeführt, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung verlangt, dass der für die Verarbeitung Verantwortliche zB prüfen muss, ob es ausreicht, wenn die Videoüberwachung nur in der Nacht oder außerhalb der normalen Arbeitszeit in Betrieb ist, und Bilder, die in Bereichen aufgezeichnet wurden, in denen die Überwachung nicht erforderlich ist, blockieren oder unscharf einstellen muss (vgl idS EuGH 11.12.2019, C-708/18, Asocia?ia de Proprietari bloc M5A-ScaraA, Rz 47-51).Im Zusammenhang mit Videoüberwachungen hat der EuGH diesbezüglich bereits ausgeführt, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung verlangt, dass der für die Verarbeitung Verantwortliche zB prüfen muss, ob es ausreicht, wenn die Videoüberwachung nur in der Nacht oder außerhalb der normalen Arbeitszeit in Betrieb ist, und Bilder, die in Bereichen aufgezeichnet wurden, in denen die Überwachung nicht erforderlich ist, blockieren oder unscharf einstellen muss vergleiche idS EuGH 11.12.2019, C-708/18, Asocia?ia de Proprietari bloc M5A-ScaraA, Rz 47-51).
Angewendet auf den Fall bedeutet das:
3.1.2.2.1. Zur Erforderlichkeit von Kamera 1 (Eingangs- und Kundenbereich):
Hinsichtlich Kamera 1 war zu berücksichtigen, dass sich nicht durchgehend Mitarbeiter:innen des BF dort befinden, allerdings kommen diese, sobald jemand das Geschäftslokal betritt, in den Eingangsbereich, um Aufträge oder Paketsendungen entgegenzunehmen. Die Mitarbeiter:innen können darauf achten, dass nichts gestohlen wird, wenn jemand im Geschäft ist, deshalb ist eine zusätzliche Videoüberwachung bereits aus diesem Grund nicht erforderlich. Hierbei war ua ausschlaggebend, dass täglich nur rund vier Personen das Geschäft betreten, womit ein rasches Reagieren der Mitarbeiter:innen möglich ist und der diesbezügliche Personalaufwand auch nicht übermäßig ist. Aufgrund der geringen (persönlichen) Frequenz im Geschäftslokal des BF (der Hauptgeschäftsfeld liegt in der Reparatur von Elektronikartikeln) ist es für die Mitarbeiter:innen des BF auch möglich den Überblick über die im Geschäftslokal befindlichen Personen zu behalten. Sofern der BF vorbrachte, dass Paketsendungen durchaus auch länger im Eingangsbereich unbeaufsichtigt liegen bleiben, ist ihm entgegenzuhalten, dass es ihm leicht möglich gewesen wäre seine Mitarbeiter:innen anzuweisen Pakete unmittelbar nach der Annahme (hierbei müssen sie schließlich bereits anwesend sein) in einem Bereich abzulegen, der für fremde Personen nicht zugänglich ist; selbiges gilt für sonstige, allenfalls im Eingangsbereich herumliegende, teure Computerteile, wobei hier auch zu berücksichtigen war, dass der BF selbst angab, dass dort im Normalfall nur „zwei Packerl gleichzeitig, vielleicht mehr, vielleicht weniger“ (OZ 5, S 5) herumliegen. Es liegen daher – wie dargestellt – zumutbare Alternativen vor, wie der BF sein berechtigtes Interesse des Eigentumsschutzes ebenso wirksam erreichen kann. Hinzu kommt, dass der BF die Videoüberwachung während des Tatzeitraums auch nicht so eingestellt hat, dass diese nur in der Nacht oder außerhalb der normalen Arbeitszeit in Betrieb war. Die Videoaufzeichnungen von Kamera 1 waren daher nicht erforderlich.
3.1.2.2.2. Zur Erforderlichkeit von Kamera 2 (Büroräumlichkeiten):
Der BF hat mit Kamera 2 seine Mitarbeiter:innen sowohl auf ihrem Arbeitsplatz/Schreibtisch, als auch beim Kaffeeholen in der Teeküche gefilmt. Für den Zweck, die Überwachung des Hintereingangs während längerer Abwesenheiten, war dies jedenfalls nicht erforderlich. Daran ändert auch der Umstand, dass einer der beiden Arbeitsplätze nur kurzzeitig durch eine Praktikantin belegt war nichts, schließlich wurden durch die Kamera 2 auch jene Mitarbeiter:innen erfasst, die nicht im Sichtfeld der Kamera 2 arbeiteten sobald sie eine Kaffeepause machten. Hinzu kommt, dass ein ausreichender Eigentumsschutz wohl bereits durch die Anwesenheit der Mitarbeiter:innen während der Geschäftszeiten gegeben ist und der BF selbst ausführte, dass die Tür grundsätzlich versperrt ist. Im Tatzeitraum war die Kamera 2 nicht so eingestellt, dass diese nur in der Nacht oder außerhalb der normalen Arbeitszeit in Betrieb war. Im Ergebnis war die Verarbeitung durch Kamera 2 ebenfalls nicht erforderlich.
3.1.2.2.3. Zur Erforderlichkeit von Kamera 3 (Packstation):
Der BF filmt zum Zweck der Abwehr unberechtigter Reklamationen bei Paketsendungen den Ein- und Auspackvorgang. Da die Kamera 3 von schräg oben montiert ist, dass sie primär den Packvorgang filmt und die Mitarbeiter:innen des BF nur von schräg oben gefilmt werden, erscheint der Aufnahmewinkel auf das unbedingt notwendige Maß beschränkt, um den Packvorgang gerade noch nachvollziehbar zu filmen, ohne dass die Mitarbeiter:innen frontal im Bild sind, aber auch so, dass sie den Blickwinkel auf die zu verpackenden Pakete nicht behindern. Das Filmen von schräg oben hinten erscheint daher zur Zweckerreichung der Abwehr unberechtigter Reklamationen durchaus angemessen. Ein ebenso wirksames anderes Mitteln stellen bloße Fotos nicht dar, da sich dies nicht effizient bewerkstelligen lässt und der Zweck der Nachvollziehbarkeit des Packvorgangs (insbesondere, dass sämtliche Teile verpackt wurden) nicht mehr gegeben ist (vgl die diesbezügliche Feststellung sowie OZ 5, S 6, 10).Der BF filmt zum Zweck der Abwehr unberechtigter Reklamationen bei Paketsendungen den Ein- und Auspackvorgang. Da die Kamera 3 von schräg oben montiert ist, dass sie primär den Packvorgang filmt und die Mitarbeiter:innen des BF nur von schräg oben gefilmt werden, erscheint der Aufnahmewinkel auf das unbedingt notwendige Maß beschränkt, um den Packvorgang gerade noch nachvollziehbar zu filmen, ohne dass die Mitarbeiter:innen frontal im Bild sind, aber auch so, dass sie den Blickwinkel auf die zu verpackenden Pakete nicht behindern. Das Filmen von schräg oben hinten erscheint daher zur Zweckerreichung der Abwehr unberechtigter Reklamationen durchaus angemessen. Ein ebenso wirksames anderes Mitteln stellen bloße Fotos nicht dar, da sich dies nicht effizient bewerkstelligen lässt und der Zweck der Nachvollziehbarkeit des Packvorgangs (insbesondere, dass sämtliche Teile verpackt wurden) nicht mehr gegeben ist vergleiche die diesbezügliche Feststellung sowie OZ 5, S 6, 10).
Die vom BF gewählte Speicherdauer von 14 Tagen während dem Tatzeitraum erscheint für die Abwehr von unberechtigten Reklamationen ebenso erforderlich, da eine frühere Löschung dazu führen könnte, dass die Aufnahmen bis zur Ankunft von Sendungen bei den Kundinnen und Kunden des BF, bereits gelöscht sind, womit der Zweck nicht mehr erfüllt werden könnte.
Entgegen der Ansicht der belangten Behörde (vgl den Bescheid, S 11), waren die Videoaufnahmen von Kamera 3 somit erforderlich.Entgegen der Ansicht der belangten Behörde vergleiche den Bescheid, S 11), waren die Videoaufnahmen von Kamera 3 somit erforderlich.
3.1.2.2.4. Zwischenergebnis zu Kamera 1 und 2:
Die Videoaufnahmen durch Kamera 1 und Kamera 2 waren nicht erforderlich. Der BF kann sich diesbezüglich daher nicht auf den Rechtfertigungstatbestand des Art 6 Abs 1 lit f stützen. Der BF brachte keinen anderen Rechtfertigungsgrund vor bzw ein solcher ist auch sonst nicht ersichtlich. Der BF hat sohin gegen das Rechtmäßigkeitsgebot des Art 5 Abs 1 lit a erster Fall DSGVO iVm den Rechtmäßigkeitstatbeständen des Art 6 Abs 1 DSGVO und in Hinblick auf die zu weit gewählten Erfassungsbereiche und Aufnahmezeiten gegen Art 5 Abs 1 lit c DSGVO (Datenminimierung) verstoßen. Die Strafbarkeit dieses Verstoßes gründet sich auf Art 83 Abs 5 lit a DSGVO.Die Videoaufnahmen durch Kamera 1 und Kamera 2 waren nicht erforderlich. Der BF kann sich diesbezüglich daher nicht auf den Rechtfertigungstatbestand des Artikel 6, Absatz eins, Litera f, stützen. Der BF brachte keinen anderen Rechtfertigungsgrund vor bzw ein solcher ist auch sonst nicht ersichtlich. Der BF hat sohin gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit den Rechtmäßigkeitstatbeständen des Artikel 6, Absatz eins, DSGVO und in Hinblick auf die zu weit gewählten Erfassungsbereiche und Aufnahmezeiten gegen Artikel 5, Absatz eins, Litera c, DSGVO (Datenminimierung) verstoßen. Die Strafbarkeit dieses Verstoßes gründet sich auf Artikel 83, Absatz 5, Litera a, DSGVO.
3.1.2.3. Zur Interessensabwägung bezüglich Kamera 3:
Bei der Abwägung der Interessen, die im Hinblick auf die besonderen Umstände des Einzelfalls vorzunehmen sind, sind insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen. Besondere Bedeutung ist dem Umstand beizumessen, wenn es wahrscheinlich ist, dass die betroffenen Personen zum Zeitpunkt der Erhebung ihrer personenbezogenen Daten vernünftigerweise nicht erwarten konnten, dass diese an Dritte weitergegeben werden (vgl EuGH 12.09.2024, C-17/22 und C-18/22, HTB Neunte Immobilien Portfolio, Rz 62 ff).Bei der Abwägung der Interessen, die im Hinblick auf die besonderen Umstände des Einzelfalls vorzunehmen sind, sind insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen. Besondere Bedeutung ist dem Umstand beizumessen, wenn es wahrscheinlich ist, dass die betroffenen Personen zum Zeitpunkt der Erhebung ihrer personenbezogenen Daten vernünftigerweise nicht erwarten konnten, dass diese an Dritte weitergegeben werden vergleiche EuGH 12.09.2024, C-17/22 und C-18/22, HTB Neunte Immobilien Portfolio, Rz 62 ff).
Angewendet auf die Kamera 3 bedeutet das:
Gegen eine Verarbeitung spricht das Interesse der Mitarbeiter:innen des BF bei der Arbeit nicht gefilmt und kontrolliert werden zu wollen. Einerseits wäre eine Kontrolle der Arbeitsleistung des BF möglich und andererseits ist nicht ausgeschlossen, dass der BF bei unberechtigten Reklamationen das Videomaterial an seine Kundinnen und Kunden offenlegt, um zu beweisen, dass alles korrekt aus-/eingepackt wurde.
Für den BF spricht dessen Interesse unberechtigte Reklamationen abzuwehren. Hierbei hat er einen Kamerawinkel gewählt, der den Verpackungsvorgang von schräg oben hinten erfasst, wodurch sich die Eingriffe in die Datenschutzrechte seiner Mitarbeiter:innen auf ein Minimum beschränken, da insbesondere deren Gesichter nicht erfasst werden. Für den BF wäre es zwar möglich seine Mitarbeiter:innen selbst von hinten zu erkennen, für unbeteiligte Dritte (Kundinnen und Kunden des BF) wohl aber nicht. Zu berücksichtigen war auch, dass Kamera 3 nur bei einer konkreten Tätigkeit am Packtisch zu filmen beginnt und auch nur diesen Bereich erfasst. Sie filmt somit nicht generell im Arbeitsalltag, sondern nur bei einer konkret abgegrenzten Tätigkeit, dem Aus- und Einpackvorgang, der für die Mitarbeiter:innen nur eine sehr kurze Zeit in Anspruch nimmt. Hinzu kommt, dass sich die Mitarbeiter:innen (unabhängig von der fehlenden
