Datenschutz-Transparenz für Sehbehinderte

Wenn ein datenschutzrechtlich Verantwortlicher (Art. 4 Nr. 7 DSGVO) personenbezogene Daten erhebt, hat er die davon betroffene Person hinreichend über die geplante Verarbeitung ihrer Daten aufzuklären. Dies sehen nicht nur Art. 13 und 14 der DSGVO, welche diese sogenannten Informationspflichten regeln, ausdrücklich vor. Ganz allgemein wird damit auch das verpflichtende Transparenzgebots als Grundsatz für die Verarbeitung von personenbezogenen Daten aus Art. 5 Abs, 1 lit. a DSGVO umgesetzt. Gemäß Erwägungsgrund 60, einer der erläuternden Auslegungshilfen für die DSGVO, machen es „die Grundsätze einer fairen und transparenten Verarbeitung […] erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird“. Möglichkeiten, diesen Anforderungen gerecht zu werden, finden sich in der Praxis zahlreiche. Allerdings haben diese zumeist eine Gemeinsamkeit: Die erforderlichen Datenschutzinformationen gemäß Art. 13, 14 DSGVO werden in Textform erteilt.

Datenschutz bei eingeschränktem Sehen

Nicht im Fokus der Betrachtung steht dabei oftmals, dass nicht jede betroffene Person diese Informationen wahrnehmen kann. Für Menschen mit einer Sehbehinderung, welche so weitreichend ist, dass keine Texte mehr erfasst werden können, ist eine hinreichende Informiertheit in Bezug auf die Verarbeitung ihrer personenbezogenen Daten auf diese Art und Weise nicht herzustellen. Ein gutes Beispiel dafür bildet die Videoüberwachung. Für seheingeschränkte Personen kann bei Betreten eines kameraüberwachten Bereichs weder erkennbar sein, dass sie gefilmt werden, noch welche Rechte ihnen diesbezüglich zustehen, weil es ihnen nicht möglich ist, das Hinweisschild mit Verweis auf die Datenschutzinformationen zur Kenntnis zu nehmen.

Wenn Personen nicht wissen (können), dass sie gefilmt werden

Dass damit jedoch ein bußgeldbewehrter Datenschutzverstoß eines Verantwortlichen einhergehen kann, zeigt ein Beispiel aus Italien. Im letzten Jahr hatte dort ein Besucher bei der Datenschutzbehörde eine Beschwerde gegen den Betreiber eines Wohnheims eingereicht, das speziell für Sehbehinderte ausgerichtet war. Der Betreiber hatte Kameras in den Korridoren angebracht und Aufnahmen angefertigt, welche nicht nur aufzeichneten, sondern live auf Monitoren seiner Beschäftigten angezeigt wurden, mit dem Risiko, dass auch Dritte (wie Besucher des Wohnheims) Einsicht darin nehmen konnten. Die Notwendigkeit der Videoüberwachung wurde mit dem Schutz vor Diebstahl und der Gesundheit durch Unterbindung des Zugangs Unbefugter während der Corona-Pandemie begründet. Die Datenschutzbehörde sah dies jedoch als Verletzung des Rechtmäßigkeits- und Transparenzgebots sowie des Prinzips der Datenminimierung, da zur allgemeinen Sicherheit aus ihrer Sicht weniger tief eingreifende Maßnahmen als die Videoaufnahmen möglich gewesen wären.

Zudem stellte sie fest, dass der Wohnheimbetreiber seinen Informationspflichten nicht hinreichend nachgekommen war. So hatte er die sehbehinderten Bewohner erst nach den Ermittlungen sowie über einen Aushang an einem schwarzen Brett über die Videokameras aufzuklären versucht, was aufgrund der Art der Einschränkung der Personen nicht als geeignete Methode bewertet wurde. Eine herkömmliche Information, wie bspw. über Schilder, genüge in diesem Fall nicht. Hingegen müssten andere Mittel verwendet werden, wie etwa Audiomeldungen. Zusätzlich wurde bemängelt, dass der Betreiber auch keine Datenschutz-Folgenabschätzung vorgenommen hatte, obwohl in diesem Fall ein Risiko für die besonders vulnerablen Betroffenen bestanden hatte. Als mildernder Umstand ging in die Bußgeldbemessung allerdings ein, dass die Verstöße lediglich über einen kurzen Zeitraum erfolgt waren und die Kameras noch während der Ermittlungen abgeschaltet wurden. Letzten Endes belief sich das Bußgeld auf 5.000 Euro.

Schlussfolgerungen?

Doch welche Erkenntnisse können datenschutzrechtlich Verantwortliche aus diesem Fall ziehen? Letzten Endes, dass eine visuelle Darstellung von Datenschutzinformationen nicht ausreichend sein kann, soweit auch Personen von der Verarbeitung umfasst sind, welche die Informationen in dieser Form nicht wahrnehmen können. Doch was kann hier als Lösung herangezogen werden?

Lösungsmöglichkeiten

Eine Option wäre, dass eine Person, für die ein optisches Erfassen von Datenschutzhinweisen nicht möglich ist, ggf. von ihrem Recht nach Art. 12 Abs. 1 S. 3 DSGVO Gebrauch macht. Darin heißt es, dass Datenschutz-Informationen auf Verlangen einer betroffenen Person grundsätzlich auch mündlich erteilt werden können. Problematisch erscheint hinsichtlich dessen jedoch, dass die betroffene Person zunächst einmal wissen müsste, dass Daten von ihr verarbeitet werden. Darüber hinaus spiegelt ein „aktives Verlangen“ letztlich nicht den Gedanken aus Art.13, 14 DSGVO wider, wonach es die Aufgabe des Verantwortlichen ist, die notwendigen Informationen zu erteilen.

Vor diesem Hintergrund ist ein Weg zu bevorzugen, bei dem alle betroffenen Personen barrierefrei und ohne eigenes Zutun die ihnen zustehenden Informationen erhalten. Ein solcher Weg kann – laut der italienischen Datenschutzbehörde – eine akustische Mitteilung sein. Die Behörde hatte diese im beschriebenen Fall zur Information der Sehbehinderten gefordert, welche bis dato keine Möglichkeit hatten, von der Verarbeitung ihrer personenbezogenen Daten durch die Videoüberwachung des Wohnheims zu erfahren. Wird eine solche hörbare Benachrichtigung verwendet, sollte diese sodann auch zu dem Zeitpunkt des Beginns der Datenerhebung erfolgen (z. B. bei Videoüberwachungen beim erstmaligen Betreten des gefilmten Bereichs) und zudem mehrmals abspielbar sein, damit die Betroffenen auch die Chance erhalten, alle Informationen zu erfassen. Fraglich und ungelöst scheint jedoch nach wie vor, wie eine praxistaugliche Umsetzung (abseits von speziellen Wohnheimen) im Alltag erfolgen kann. Hier könnten und sollten sich künftig technische Mittel erschließen lassen (z. B. die Entwicklung einer bestimmten Software). Allerdings könnten diese Methoden dann wiederum mit anderen datenschutzrechtlichen Fragestellungen verbunden sein, die es zu beantworten gilt.

Wie geht es weiter?

Das Thema der hinreichenden Erfüllung datenschutzrechtlicher Verpflichtungen gegenüber seheingeschränkten Personen sollte stärker in den Mittelpunkt gerückt werden, wozu auch dieser Beitrag verfasst wurde. An Vorschlägen für eine einheitliche (technische) Lösung fehlt es momentan. Hier wäre ein stärkeres Engagement wünschenswert, um keine Personengruppe einem verringerten Datenschutz auszusetzen.