Kurzbeitrag : Praxisfälle zum Datenschutzrecht V: Musterfalllösungen zur automatisierten Kennzeichenerfassung im Parkhaus : aus der RDV 3/2020, Seite 135 bis 139

II. Musterfalllösung

1. Die Aufsichtsbehörde als „Berater“

Fraglich ist zunächst, inwieweit die zuständige Aufsichtsbehörde verpflichtet ist, den Baumarkt B im Hinblick auf die Zulässigkeit des geplanten Kennzeichenerfassungssystems zu beraten.

Die DS-GVO enthält keine umfassende Beratungspflicht der Aufsichtsbehörde gegenüber den Verantwortlichen bzw. Auftragsverarbeitern. Zwar haben die Aufsichtsbehörden gemäß Art. 57 Abs. 1 lit. d DS-GVO die Verantwortlichen und die Auftragsverarbeiter für die ihnen aus dieser Verordnung entstehenden Pflichten zu sensibilisieren. Gemeint ist hiermit aber v.a. eine allgemeine Ansprache, z.B. durch Informationsmaterial oder die Durchführung von Informationsveranstaltungen.^[1] Eine „echte“ Beratungspflicht ist lediglich für solche Fälle vorgesehen, in denen die Aufsichtsbehörde im Rahmen der vorherigen Konsultation (Art. 36 DS-GVO) zu dem Ergebnis gekommen ist, dass die geplante Verarbeitung nicht im Einklang mit der Verordnung stünde (Art. 57 Abs. 1 lit. l DS-GVO). Ein solcher Fall liegt hier nicht vor.

Der DS-GVO wird man allerdings eine allgemeine Beratungspflicht gegenüber dem/der Datenschutzbeauftragten des Verantwortlichen bzw. Auftragsverarbeiters entnehmen müssen. Nach Art. 39 Abs. 1 lit. e DS-GVO ist der/die Datenschutzbeauftragte „Anlaufstelle“ der Aufsichtsbehörde in mit der personenbezogenen Datenverarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß Art. 36 DS-GVO, und berät mit dieser ggf. zu allen sonstigen Fragen. Hieraus resultieren nicht nur Pflichten auf Seiten des/der Datenschutzbeauftragten, sondern auch das Recht, Beratung durch die Aufsichtsbehörde in Anspruch zu nehmen. Nach Art. 57 Abs. 3 DS-GVO sind die Leistungen der Aufsichtsbehörde für den DSB unentgeltlich. Die Beratungspflicht im Verhältnis zum Datenschutzbeauftragten hilft vorliegend allerdings nicht weiter, weil es sich um ein Beratungsersuchen des Verantwortlichen selbst handelt, nämlich des Baumarkts B.

Auch die Beratungspflicht der Aufsichtsbehörden aus § 40 Abs. 6 S. 1 BDSG bezieht sich nur noch auf den/die Datenschutzbeauftragte/n und anders als die Vorgängernorm in § 38 Abs. 1 S. 2 BDSG 2009 nicht mehr auf die verantwortliche Stelle.

Ergebnis: Ein entsprechender Beratungsanspruch des Baumarktes B besteht nicht. Soweit ein/e Datenschutzbeauftragte/r benannt ist, könnte von der Beratung der Aufsichtsbehörde ggf. über diesen „Umweg“ profitiert werden. Angesichts der begrenzten Ressourcen der Aufsichtsbehörden wird sich dessen Rechtsanspruch allerdings auch nicht auf eine umfassende Beratung in allen technischen und rechtlichen Detailfragen beziehen können.^[2]

2. Datenschutzrechtliche Zulässigkeit der Verarbeitung von Kfz-Kennzeichen

a) § 4 BDSG

Bei dem Parkhaus handelt es sich um einen öffentlich zugänglichen Raum, dessen Nutzung durch eine automatisierte Verarbeitung der mittels der Videoaufnahmen erhobenen Kennzeichen überwacht werden soll. Die DS-GVO enthält keine besondere Regelung zur Videoüberwachung, allerdings hat der nationale Gesetzgeber mit § 4 BDSG eine Bestimmung geschaffen, welche die Videoüberwachung öffentlich zugänglicher Räume speziell regelt. Damit könnte vorliegend § 4 Abs. 1 BDSG als Zulässigkeitsnorm für die Beobachtung und § 4 Abs. 3 BDSG für die nachfolgende Speicherung und Auswertung der erhobenen Daten heranzuziehen sein. Keine Rolle dürfte es für die Anwendung der Norm spielen, dass die Videokamera die betroffenen Personen nicht als Bild erfasst. Als ausreichend wird man ansehen müssen, wenn die Beobachtung und Erfassung durch das optisch-elektronische Verfahren gleichwohl Rückschlüsse auf eine konkrete natürliche Person zulässt.

Der Schutz der DS-GVO dient der Vermeidung von Verletzungen der Grundrechte und -freiheiten natürlicher Personen im Hinblick auf ihre personenbezogenen Daten. Personenbezogene Daten gem. Art. 4 Nr. 1 DS-GVO umfassen alle Informationen, die Rückschlüsse auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) zulassen. „Identifizierbar“ ist eine betroffene Person, wenn diese direkt oder auch indirekt mittels Zuordnung bspw. zu einer Kennung identifiziert werden kann.^[3] Beispiele für solche Kennungen sind Konto- oder Personalausweisnummern oder das Kfz-Kennzeichen (vgl. hierzu die diesbezügliche Aussage in § 45 S. 2 StVG).^[4] Mittels des Kfz-Kennzeichens kann der Halter des Fahrzeugs ermittelt werden. Dieser kann sowohl eine juristische als auch eine natürliche Person sein. Die bei den Kfz-Zulassungsstellen gespeicherten Halterdaten sind zwar nicht öffentlich zugänglich, jedoch kann auch Privatpersonen Auskunft aus dem Fahrzeugregister nach § 39 StVG erteilt werden, wenn diese ein verkehrsbezogenes Interesse an der Auskunft haben und die entsprechenden Gründe in ihrem Antrag darlegen. Damit ist die Identifizierbarkeit des Halters für die einschlägigen Behörden wie auch für Privatpersonen gegeben.^[5] Mithin sind Kfz-Kennzeichen personenbezogene Daten i.S.v. Art. 4 Nr. 1 DS-GVO.

Jedoch hat das BVerwG in seiner Entscheidung vom 27.03.2019^[6] festgestellt, dass die DS-GVO die Videoüberwachung durch nichtöffentliche Stellen zu privaten Zwecken abschließend regelt und daher insoweit Art. 6 Abs. 1 S. 1 lit. f DS-GVO als Maßstab für die Rechtmäßigkeit heranzuziehen sei. Eine Öffnung für den nationalen Gesetzgeber sei gem. Art. 6 Abs. 2 DS-GVO nur für die Fälle nach Art. 6 Abs. 1 S. 1 lit. c und e DS-GVO vorgesehen. Die gleiche Ansicht wie das BVerwG vertritt auch die Datenschutzkonferenz in ihrem Kurzpapier Nr. 15.^[7] Demnach ist für die Beurteilung der datenschutzrechtlichen Zulässigkeit der Kennzeichendatenverarbeitung hier Art. 6 Abs. 1 S. 1 lit. f DS-GVO heranzuziehen.

b) Interessenabwägung (Art. 6 Abs. 1 S. 1 lit. f DS-VO)

Die geplante Kennzeichendatenverarbeitung müsste zunächst für die Wahrung eines berechtigten Interesses des Bauhauses erforderlich sein. Auch wenn Art. 6 Abs. 1 S. 1 lit. f DS-VO anders als § 4 BDSG nicht zwischen den Phasen der „Beobachtung“ und der „Speicherung oder Verwendung“ unterscheidet, sondern nur allgemein an die „Verarbeitung“ i.S.v. Art. 4 Nr. 2 DS-GVO anknüpft, ist im Hinblick auf die Rechtmäßigkeit im Grundsatz gleichwohl jede Verarbeitungsphase isoliert zu betrachten. So kann es etwa sein, dass die ursprüngliche Videobeobachtung und Speicherung der Daten zulässig waren, eine spätere (zweckändernde) Verwendung aber nicht zulässig ist. Auch gibt es Fälle, in denen zwar die Videobeobachtung also solche erlaubt ist, nicht aber die Speicherung der Daten.

Ein berechtigtes Interesse i.S.v. Art. 6 Abs. 1 S. 1 lit. f DS-GVO können nicht nur rechtliche, sondern auch rein tatsächliche, wirtschaftliche oder ideelle Interessen begründen. In jedem Fall dürfen nur solche Interessen im Rahmen der Abwägung berücksichtig werden, die mit der Rechtsordnung vereinbar sind. Das Interesse des das Parkhaus betreibenden Baumarktes an einem geordneten Parkhausmanagement, insbesondere an einer Vermeidung einer Überschreitung der eingeräumten Zeit zum kostenfreien Parken, stellt ein berechtigtes Interesse im vorgenannten Sinne dar.

Fraglich ist allerdings, ob die geplante Kennzeichendatenverarbeitung zum Erreichen des berechtigten Interesses „geordnetes Parkhausmanagement“ auch i.S.v. Art. 6 Abs. 1 S. 1 lit. f DS-GVO erforderlich ist.

Erforderlichkeit setzt zum einen voraus, dass die Maßnahme geeignet ist, das Überwachungsziel zu erreichen. Zum anderen ist unter dem Gesichtspunkt der Verhältnismäßigkeit eine Überwachungsmaßnahme nicht erforderlich, wenn das Ziel auch durch ein gleichermaßen wirksames, aber die betroffene Person in ihren Rechten weniger beeinträchtigendes „milderes Mittel“ erreicht werden kann. Das mildere Mittel muss für den Verantwortlichen aber auch zumutbar sein. Investitionen in unzumutbarer Höhe müssen nicht vorgenommen werden.^[8] Ein milderes Mittel im vorliegenden Fall läge insbesondere dann vor, wenn der Zweck der Verarbeitung auch ohne Verarbeitung personenbezogener Daten erreicht werden könnte. Das gewünschte Ziel des Parkraummanagements, nämlich die Einhaltung der maximal vorgesehenen Parkdauer, um konstant ausreichend Parkmöglichkeiten für die Kunden vorzuhalten, könnte durch ein anonymes Ticketsystem, bei dem die ersten zwei Stunden kostenfrei sind, ebenfalls erreicht werden. Die Kunden würden also von Anfang an ein Ticket ziehen und nicht nur dann, wenn sich die Schranke nicht öffnet. Wird das Zeitlimit zum kostenfreien Parken eingehalten, kommt der Kunde ohne Zahlung mit dem Ticket wieder durch die Schranke heraus. Sofern das Limit nicht eingehalten wird, muss er zuvor am Parkautomat bezahlen. Voraussetzung ist insofern allerdings, dass der Einsatz des Ticketsystems wirtschaftlich zumutbar ist. Dies ist hier wohl anzunehmen, da die Ausfahrtkontrolle ohnehin mittels entsprechender Technik erfolgen soll, wenn die maximale kostenfreie Parkdauer überschritten wurde.

Die geplante automatisierte Kennzeichenerfassung ist also nicht über Art. 6 Abs. 1 S. 1 lit. f DS-GVO erlaubt.

c) Einwilligung

Die geplante Kennzeichenerfassung kann auch nicht per Einwilligung (Art. 6 Abs. 1 lit. a, Art. 7 DS-GVO) legitimiert werden. Ein vor der Einfahrt angebrachtes Schild mit der Aufschrift „Videoüberwachung“ oder „Kennzeichenerfassung“ würde den Informationspflichten vor Einholung einer – hier konkludenten^[9] – Einwilligung nicht genügen. Durch diese Maßnahmen erhalten die Betroffenen nicht alle Informationen, die notwendig sind, um Anlass, Ziel und Folgen der Datenverarbeitung abschätzen zu können.^[10] Zudem muss die Einwilligung von der betroffenen Person erteilt werden, wobei die fahrzeugführende Person aber nicht selten mit dem Halter nicht identisch sein wird.

d) Gesamtergebnis

Das geplante Kennzeichenerfassungssystem ist datenschutzrechtlich unzulässig, und anstelle dessen sollte ein anonymes Ticketsystem in Betracht gezogen werden. Ergänzender Hinweis: Für den vorliegenden Fall ist von wesentlicher Bedeutung, dass die Nutzung des Parkhauses unentgeltlich ist. In anderen Fällen kann eine automatisierte Kennzeichenerfassung ggf. unter Berücksichtigung der spezifischen Gegebenheiten des Einzelfalls als datenschutzrechtlich zulässig erachtet werden, wenn ihr Einsatz zu einer besseren Sicherung der Parkeinnahmen erforderlich ist.^[11] Aufgetretene Probleme bei unlesbaren, verlorenen oder ausgetauschten Tickets können dann unstrittig klargestellt werden. Die gesetzlichen Informationspflichten aus Art. 13 f. DS-GVO sind zu beachten.

* Miriam Claus, LL.M. ist Referentin bei der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V.; RAin Yvette Reif, LL.M. ist stellvertretende Geschäftsführerin der GDD und Mitautorin des Werks Gola/Reif, Praxisfälle Datenschutzrecht, 2. Aufl. 2016.

_{[1] Wolff/Brink/Eichler BeckOK Datenschutzrecht, 31. Edition (Stand: 01.05.2019), Art. 57 Rn. 13; Aussagen zum „Kameraeinsatz bei der Bewirtschaftung von Parkflächen“ bzw. zu „Kennzeichenerfassungssystemen im Bereich von Parkflächen“ finden sich beim Unabhängigen Datenschutzzentrum Saarland, 25. Tätigkeitsbericht (2013/2014), Ziff. 19.10 sowie bei der LDI NRW, 22. Datenschutzbericht (2015), Ziff. 6.4.}

_{[2] Kühling/Buchner/Dix, DS-GVO BDSG, 2. Aufl. 2018, § 40 BDSG Rn. 16; Simitis/Hornung/Spiecker gen. Döhmann/Polenz, Datenschutzrecht, 1. Aufl. 2019, Art. 57 Rn. 22}

_{[3] Siehe hierzu Weichert, Der Personenbezug von Kfz-Daten, NZV 2017, 507 ff., 509.}

_{[4] Siehe hierzu ausführlich Bergt, Die Bestimmbarkeit als Grundproblem des Datenschutzrechts, ZD 2015, 365.}

_{[5] Vgl. auch bei Buschbaum/Rosak, KFZ-Kennzeichenerfassung in Parkhäusern, ZD 2015, 354 ff., 355.}

_{[6] BVerwG, Urteil vom 27.03.2019 – BVerwG 6 C 2.18 (https://www. bverwg.de/270319U6C2.18.0).}

_{[7] DSK Kurzpapier Nr. 15 – Videoüberwachung nach der DatenschutzGrundverordnung, https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_15.pdf.}

_{[8] Vgl. Taeger/Gabel/Taeger, DS-GVO BDSG, 3. Aufl. 2019, Art. 6 Rn. 112.}

_{[9] Eine „Einwilligung“ ist gemäß Art. 4 Nr. 11 DS-GVO „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.}

_{[10] LDI NRW, a.a.O.; zu den Informationspflichten bei der Einwilligung vgl. auch Gola/Schulz, DS-GVO, Art. 7 Rn. 36}

_{[11] Zu den Voraussetzungen im Einzelnen vgl. LDI NRW, a.a.O.}