Die Landesbeauftragte für den Datenschutz Niedersachsen (LfD) hat am 26.07.2022 eine Pressemitteilung veröffentlicht und selbst offengelegt, gegen den Automobilhersteller Volksagen ein Bußgeld in Höhe von 1,1 Mio. Euro verhängt zu haben, das bereits akzeptiert wurde. Für das Unternehmen ist das zu zahlende Bußgeld auch im Vergleich zu anderen Vorgängen, etwa dem Diesel-Skandal, sicher zu verschmerzen, dennoch erscheint die Entscheidung der Aufsichtsbehörde fragwürdig. Es lohnt sich eine genauere Betrachtung um festzustellen, dass es dringend einiger Korrekturen bei der datenschutzrechtlichen Bußgeldpraxis bedarf.
1. Sachverhalt
Ausgangspunkt ist die Entwicklung von Fahrassistenzsystemen durch Volkswagen, die – das räumt auch die Aufsichtsbehörde ein – der Erhöhung der Verkehrssicherheit und der Vermeidung von Unfällen dienen. Für derartige Systeme ist es vor Produkteinführung unerlässlich, ab einer gewissen Erprobungsreife auch Tests im echten Straßenverkehr vorzunehmen. Zur Bewertung des Verhaltens der Fahrassistenzsysteme hatte Volkswagen in einem Erprobungsfahrzeug zusätzliche Kameras installiert, die das Verkehrsgeschehen rund um das Fahrzeug aufgezeichnet haben.
Das Erprobungsfahrzeug ist 2019 durch die österreichische Polizei bei Salzburg für eine Verkehrskontrolle angehalten worden. Der Polizei sind dabei „ungewöhnliche Anbauten aufgefallen, die sich noch vor Ort als Kameras herausstellten“. Diese Feststellung hat dann den weiteren Stein ins Rollen gebracht und letztlich zu dem Bußgeld geführt, das von der Aufsichtsbehörde nach Übernahme der Angelegenheit verhängt wurde. Zum Verhängnis wurden dabei Volkswagen mehrere Einzelverstöße, die in der Summe sicherlich kein gutes Licht auf Volkswagen im Sinne der Datenschutz-Compliance werfen, dennoch aber vielleicht nur eingeschränkt ein Millionen-Bußgeld rechtfertigen.
Unmittelbarer Anknüpfungspunkt war zunächst die Tatsache, dass sich an dem Erprobungsfahrzeug keine Hinweise auf die Videoaufnahmen befunden haben. Es heißt hierzu in der Pressemitteilung der Aufsichtsbehörde, an dem Fahrzeug hätten „aufgrund eines Versehens Magnetschilder mit einem Kamerasymbol und den weiteren vorgeschriebenen Informationen“ gefehlt. Im Umkehrschluss dürfte dies doch wohl bedeuten, dass es an sich sogar für derartige Erprobungsphasen entsprechende Markierungen gab, die lediglich nicht im konkreten Fall zum Einsatz gekommen sind. Es heißt dann in der Pressemitteilung, „bei der weiteren Prüfung“ sei festgestellt worden, dass es auch an einer Vereinbarung zur Auftragsverarbeitung mit dem Unternehmen gefehlt habe, das die Fahrten durchgeführt hätte. Die Aufsichtsbehörde hat sich offensichtlich etwas genauer den Sachverhalt angesehen und dabei dann auch bemängelt, dass in dem Verzeichnis der Verarbeitungstätigkeiten die technischen und organisatorischen Schutzmaßnahmen nicht hinreichend beschrieben wären sowie eine Datenschutz-Folgenabschätzung gefehlt hätte.
2. Rechtliche Einordnung
Wenn der Ausgangspunkt der Entscheidung der Aufsichtsbehörde die fehlende Kennzeichnung des Erprobungsfahrzeugs im Hinblick auf die Videoüberwachung gewesen ist, lohnt sich zunächst hierzu eine datenschutzrechtliche Einordnung. Die Anbringung von Kameras, mit denen die Fahrzeugumgebung im öffentlichen Verkehrsraum aufgezeichnet wird, ist sicherlich eine Verarbeitung personenbezogener Daten. Diese Bewertung gilt grundsätzlich für Videoaufnahmen, wenn einzelne Personen erkennbar sind oder sein können. Formal ist es sicherlich richtig, dass dementsprechend nach den allgemeinen Informationspflichten gem. Art. 13/14 DSGVO die standardmäßigen Datenschutzinformationen vorgehalten werden müssen. Vielleicht hätte aber die Aufsichtsbehörde bei der Bußgeldentscheidung einmal überlegen sollen, ob es wirklich in der Praxis einen großen Unterschied bereitet, wenn für einzelne Fahrten versehentlich die Magnetschilder vergessen wurden. Jeder mag sich selbst vorstellen, wie sinnvoll und notwendig es ist, bei einem entsprechenden Erprobungsfahrzeug ausführliche Datenschutzhinweise mit Magnetschildern anzubringen, die im Zweifelsfall ohnehin nicht während der Fahrt gelesen werden können, ohne hierdurch die Verkehrssicherheit zu gefährden.
Unglücklich ist es sicherlich, dass nicht nur die Informationspflichten außer Acht gelassen wurden, sondern außerdem noch eine Vereinbarung zur Auftragsverarbeitung mit dem eingeschalteten Dienstleister gefehlt hat. Aus der Pressemitteilung lässt sich insoweit zwar nicht erkennen, ob der Dienstleister Zugriff auf die Kameraaufzeichnungen hatte, dies dürfte aber zu unterstellen sein. Tatsächlich entspricht es natürlich der gängigen Beratungspraxis, bei derartigen Konstellationen immer darauf zu dringen, mit allen eingeschalteten Dienstleistern die notwendigen datenschutzrechtlichen Vereinbarungen abzuschließen. Ähnlich verhält es sich mit dem Vorwurf der Aufsichtsbehörde, dass in der Verfahrensdokumentation eine erforderliche Darstellung der getroffenen Schutzmaßnahmen gefehlt hat. Bei fast allen Aspekten dürfte objektiv das Ergebnis auf der Hand liegen, dass ein Verstoß gegen datenschutzrechtliche Bestimmungen vorgelegen hat. Über die Notwendigkeit einer Datenschutz-Folgenabschätzung mag diskutiert werden, im Übrigen sind die Feststellungen aber wohl eindeutig. Dies hat vielleicht Volkswagen auch dazu bewogen, das Bußgeld nicht weiter zu hinterfragen und auf mögliche Rechtsmittel hiergegen zu verzichten.
Es gilt aber auch zu beachten, dass sämtliche Feststellungen zu den Mängeln von Volkswagen sich immer nur auf den konkreten Einzelfall bezogen haben und jedenfalls aus der Pressemitteilung keine Anhaltspunkte dafür ersichtlich sind, dass Volkswagen in einem größeren Umfang oder systematisch gegen datenschutzrechtliche Pflichten verstoßen hätte. Jedes Unternehmen mag für sich überlegen, wie viele unterschiedliche Verarbeitungstätigkeiten durchgeführt werden und welche Dienstleister hierbei zum Einsatz kommen. Ist es wirklich sichergestellt, dass immer und unter allen Umständen im Falle einer Nachprüfung schriftliche Vereinbarungen mit den Dienstleistern und die interne Dokumentation vorgelegt werden können? Und ist es wirklich angemessen, direkt ein Bußgeld in Höhe von mehr als 1 Mio. Euro zahlen zu müssen, wenn im Einzelfall diese Unterlagen fehlen? Unter diesem Blickwinkel ist es fast ein Hohn, wenn die Aufsichtsbehörde darauf verweist, das Unternehmen habe „umfassend kooperiert“ und hätte deshalb nur ein solches Bußgeld zahlen müssen.
3. Fazit
So wichtig es ist, dass die Aufsichtsbehörden Datenschutzverstöße konsequent ahnden, so willkürlich erscheint die Bußgeldpraxis bei Datenschutzverstößen. Sicherlich, durch Art. 83 Abs. 1 DSGVO ist vorgegeben, dass Bußgelder „in jedem Einzelfall wirksam, verhältnismäßig und abschreckend“ sein sollen. Die aktuelle Entscheidung zeigt ein weiteres Mal, dass das Konzept zum Umgang mit Bußgeldern fragwürdig ist. Es wurde bewusst auf eine Art „Bußgeldtabelle“ verzichtet, um stärker auf die wirtschaftliche Leistungsfähigkeit eines Unternehmens abstellen zu können. Die entsprechende Berechnungsmethodik führt allerdings dazu, dass bei großen Unternehmen selbst bei kleineren Verstößen exorbitante Bußgelder im Raum stehen die abschreckend wirken. Es muss aber darauf geachtet werden, dass nicht alleine auf die Abschreckung gesetzt wird, da alleine mit Strafen kaum Werbung für an sich berechtigte Belange des Datenschutzes gemacht werden kann. Es ist insoweit bezeichnend, dass die Aufsichtsbehörden sich zwar ausführlich mit der Verhängung von Bußgeldern beschäftigen, nicht aber mit Überlegungen, wie Unternehmen praktische Empfehlungen an die Hand gegeben werden können und wie unterschwellig Unternehmen angehalten werden können, sich datenschutzkonform zu verhalten.
Über die Bußgeldentscheidung der Aufsichtsbehörde berichtet auch unser Datenschutz-Newsletter in der Ausgabe August 2022.
