Datenschutzrechtliche Verantwortlichkeit bei der Kennzeichenerfassung

Was vor ein paar Jahren noch ein Novum darstellte, lässt heutzutage kaum jemanden verwundert zurück. Die Rede ist von Systemen, die im Rahmen der Parkraumbewirtschaftung automatisch die Kennzeichen erfassen (wir berichteten). Betreiber haben bei Verwendung eine effektive Möglichkeit, beispielsweise allzu lang parkende Personen in die Pflicht zu nehmen. Neben den Fragen zur Rechtmäßigkeit und Transparenz stellt sich allerdings immer wieder die Frage nach der datenschutzrechtlichen Verantwortlichkeit. Gemäß Artikel 4 Nr. 7 DSGVO ist der Verantwortliche

„die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.“

Hier stellt sich regelmäßig die Frage, ob neben dem Dienstleister für die Parkraumbewirtschaftung auch beispielsweise der Betreiber eines Supermarktes oder sonstigen Handelsunternehmens, dessen Parkplatz mit einer solchen Technik überwacht wurde, selbst auch einen Anteil an der Überwachung hat. Je nach Ausgestaltung konnte hier meist eine eigene Verantwortlichkeit des Dienstleisters angenommen werden, sodass den Betreiber des Handelsunternehmens keine datenschutzrechtlichen Pflichten trafen.

Ansicht der Landesbeauftragten für Datenschutz und Informationsfreiheit des Saarlandes

In ihrem 32. Tätigkeitsbericht (Ziff. 9.3, S. 143.) hat sich nunmehr die saarländische Landesbeauftragte für Datenschutz und Informationsfreiheit des Saarlandes (LfDI) diesem Thema angenommen. Die LfDI hat dazu mehrere Parkflächen von Handelsunternehmen untersucht, die auf Grundlage eines Parkraumbewirtschaftungsvertrages durch einen auf Betrieb einer Kennzeichenerfassung spezialisierten Dienstleister überwacht worden sind. Bei Überschreitung einer Höchstparkdauer wird durch den Dienstleister eine Halterabfrage durchgeführt und eine Vertragsstrafe in eigenem Namen geltend gemacht. Die LfDI kommt hier bei der Beurteilung zum (vorläufigen) Schluss, dass der Dienstleister und das Handelsunternehmen im Rahmen einer gemeinsamen Verantwortlichkeit im Sinne des Art. 26 Abs. 1 S. 1 DSGVO für die Verarbeitungen im Rahmen der Kennzeichenerfassungen verantwortlich seien. Entscheidend für das Vorliegen einer gemeinsamen Verantwortlichkeit sei, dass mindestens zwei Verantwortliche Zwecke und Mittel der Datenverarbeitung festlegen. Als Zweck der Verarbeitung sei dabei das erwartete Ergebnis, das beabsichtigt sei oder die geplante Aktion leite, anzusehen, mithin „warum“ und „mit welchem Ziel“ eine Verarbeitung erfolge (siehe dazu auch EDSA, Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“). Das Fehlen eines tatsächlichen Zugangs zu den verarbeiteten Daten schließe dabei eine (Mit-)Verantwortlichkeit nicht aus (vgl. auch EuGH, Urteil vom 5. Juni 2018 – C-210/16, Rn. 38.).

Gründe für das Vorliegen des Zwecks liegen laut LfDI insbesondere darin, dass das Handelsunternehmen das Ziel habe, eine Blockade der Parkflächen durch unberechtigte Fremd- oder Dauerparker zu unterbinden und um somit eine ausreichende Anzahl an Parkflächen für die eigene Kundschaft vorhalten zu können. Die Behörde unterstellt somit dem Betreiber des Geschäfts bei Beauftragung des Dienstleisters eine Zweckentscheidung im Sinne des Art. 4 Nr. 7 DSGVO die regelmäßig mit der Verarbeitung von personenbezogenen Daten einhergeht. Gleichermaßen setze der vom Dienstleister verfolgte Zweck, Vertragsstrafen bei einer Überschreitung der Parkhöchstdauer in eigenem Namen geltend zu machen, eine Verarbeitung dieser personenbezogenen Daten voraus. Es wird vertreten, dass eine gemeinsame Verantwortlichkeit nicht verlange, dass die von den Beteiligten verfolgten Zwecke identisch seien. Es sei ausreichend, dass sich die Zwecke gegenseitig ergänzen bzw. die Verfolgung des einen Zwecks die Verwirklichung des anderen Zwecks fördere (vgl. EuGH, Urteil vom 29. Juli 2019 – C-40/17, Rn. 80 ff.). Die auf den ersten Blick unterschiedlichen wirtschaftlichen Interessen – Bereitstellung von ausreichenden Parkflächen versus Geltendmachung von Vertragsstrafen in eigenem Namen – seien eng miteinander verknüpft, da die kontinuierliche Durchsetzung von Vertragsstrafen bei Überschreitung der Höchstparkdauer das verfolgte Ziel des Handelsunternehmen, Fremd- oder Dauerparker durch Abschreckung von der Parkfläche fernzuhalten, fördere. Das Handelsunternehmen habe über den Parkraumbewirtschaftungsvertrag und etwaige ergänzende Vereinbarungen auch Einfluss auf die Mittel der Verarbeitung. Insbesondere, da in den überprüften Fällen das Handelsunternehmen Einfluss auf die Parkhöchstdauer oder die Einräumung einer zeitunabhängigen Nutzung (Whitelist) habe nehmen können. Einschränkend stellt die Behörde darüber hinaus fest, dass für einzelne Verarbeitungen, bspw. solche im Zusammenhang mit der Geltendmachung von Vertragsstrafen durch den Dienstleister, keine gemeinsame Verantwortlichkeit angenommen werden konnte, da es hier an einem Einfluss durch das Handelsunternehmen fehle. Für die zeitweilige Speicherung der Kennzeichen, als auch den Abgleich mit einer Whitelist sollen die Voraussetzungen laut LfDI allerdings vorliegen, sodass von einer gemeinsamen Verantwortlichkeit diesbezüglich auszugehen ist.

Konsequenzen

Für Betreiber von Handelsunternehmen bedeutet dies, dass bei Vorliegen der oben genannten Voraussetzungen zwingend ein Vertrag zur gemeinsamen Verantwortlichkeit gem. Art. 26 Abs. 1 S. 1 DSGVO abzuschließen ist. Dieser regelt, wie die datenschutzrechtlichen Verpflichtungen durch die einzelnen Beteiligten erfüllt werden sollen. Insbesondere ist hier an die Erfüllung der Betroffenenrechte (Art. 15 ff. DSGVO) und den Umgang mit Informationspflichten (Art. 13 DSGVO) zu denken. Parkende müssen daher vor allem hinsichtlich des verfolgten Zwecks, als auch bezüglich der Verantwortlichkeiten transparent informiert werden.

Fazit

Unserer Ansicht nach sind die durch die saarländische Aufsichtsbehörde dargelegten Punkte grundsätzlich nachvollziehbar und valide, jedoch kommt es insbesondere auf die Gestaltung im Einzelfall an. Hier sollte stets einzelfallbezogen erörtert und geprüft werden, inwieweit ein Handelsunternehmens Einfluss auf die Zwecke und Mittel der Kennzeichenerfassung nimmt. Hier dürfte, bei entsprechender Ausgestaltung, auch weiterhin eine alleinige Verantwortlichkeit des Parkraumbewirtschafters vertretbar sein. Abzuwarten bleibt darüber hinaus, wie sich andere Aufsichtsbehörden und die Datenschutzkonferenz, als Gremium aller datenschutzrechtlichen Aufsichtsbehörden und dem Bundesdatenschutzbeauftragten, zu diesem Thema positionieren.