IKEA geht gegen ein BVwG-Urteil zum Thema Datenschutz in Revision

Dort seien laut der Behörde im Frühjahr 2022 mehrere Sicherheitskameras nicht rechtskonform eingestellt gewesen – neben dem Kassen- und Eingangsbereich des Einrichtungshauses seien auch Ausschnitte des öffentlichen Raums rund um das Gebäude aufgezeichnet worden. IKEA hat die Beanstandungen nach Kenntnisnahme zeitnah überprüft, mehrere Sicherheitskameras vorsichtshalber demontiert oder nachjustiert und vollumfänglich mit allen involvierten Behörden zusammengearbeitet. IKEA geht gegen das Urteil in Revision, da nach Ansicht von IKEA aufgrund der Entfernung der Kameras keine Personen oder eine auswertbare Dateneingabe erkennbar waren und daher gar keine personenbezogenen Daten verarbeitet wurden. Weiters stuft das Unternehmen die Strafe für das im Raum stehende, als geringfügig einzustufende Vergehen (wenn es überhaupt ein Vergehen war), als unverhältnismäßig hoch ein.

Mehrere Sicherheitskameras seien im Frühjahr 2022 am IKEA Standort Wien Westbahnhof nicht ordnungsgemäß konfiguriert gewesen – Teile des öffentlichen Raums seien videotechnisch nicht rechtskonform unkenntlich gemacht worden (die so genannte „Privatzonenmaskierung“ bzw. das „Verpixeln“ von datenschutzrechtlich relevanten Aufnahmebereichen habe gefehlt). Auf eine anonyme Anzeige bei der Datenschutzbehörde folgten ein Verwaltungsstrafverfahren der DSB und ein Rechtsmittelverfahren vor dem Bundesverwaltungsgericht. Nun liegt das Erkenntnis des BVwG vor: Das Straferkenntnis der DSB wurde weitgehend bestätigt, wobei für zwei der beanstandeten Sicherheitskameras das Straferkenntnis der DSB aufgehoben und das Strafverfahren eingestellt wurde. Die von der Behörde argumentierten Verfehlungen wurden vom Gericht als „grob fahrlässig“ und das Vergehen als „mittelschwer“ eingestuft und das Strafmaß von 1,5 Millionen Euro als angemessen bestätigt.

Zeitnahe Reaktion auf Hinweise der Behörde

„Es ist uns sehr wichtig festzuhalten, dass niemand durch die Konfiguration der beanstandeten Sicherheitskameras zu Schaden gekommen ist. Die Behörde stellte dies selbst auch bereits unmissverständlich fest und bestätigte außerdem, dass IKEA nicht bewusst gegen datenschutzrechtliche Vorgaben verstoßen hätte, sondern die im Raum stehenden Fehler aus Versehen passiert seien. Das damals aufgezeichnete Material der Sicherheitskameras wurde von IKEA weder gesichtet noch ausgewertet und ordnungsgemäß nach 72 Stunden gelöscht. Wir vertreten den Standpunkt, dass durch den Umstand, dass unser elektronisches Sicherheitssystem gar keine personenbezogenen Daten verarbeitet und aufgezeichnete Personen oder ihre Dateneingaben auch nicht identifizierbar waren, per se gar keine Datenschutzverletzung passieren hätte können. Und selbst wenn es bei den Einstellungen der Videokameras tatsächlich unabsichtlich zu Fehlern gekommen wäre, ist die enorme Strafhöhe im Kontext von bisherigen DSGVO-Verstößen und dem Umstand, dass niemand tatsächlich zu Schaden gekommen ist, jedoch aus unserer Sicht deutlich überzogen“, so Christina Strauss, PR-Leader bei IKEA Österreich.

Notwendige Sicherheitsüberwachung

IKEA hat zeitnah nach Bekanntwerden der Beanstandungen alle Sicherheitskameras und deren Einstellungen am Standort Wien Westbahnhof vorsichtshalber überprüft. Eine engmaschige Überwachung des Eingangs- und Kassenbereiches an diesem Standort ist jedoch notwendig, da es rund um den Bahnhof vergleichsweise häufig zu Straftaten kommt – Beispiele dafür sind Diebstähle im Einrichtungshaus oder Vandalismus am Gebäude. Auch alle anderen IKEA Standorte in Österreich wurden damals sofort auf die rechtskonforme Umsetzung der Sicherheitsüberwachung von Kassen und Eingangsbereichen überprüft und das interne Kontrollsystem dazu verschärft. Dabei werden auch die Einstellungen aller eingesetzten Sicherheitskameras regelmäßig überprüft und dokumentiert. Compliance-Reviews ergänzen die Vorkehrungen, damit im Bereich der Sicherheitsüberwachung absolute Rechtssicherheit herrscht.

Revision: Verfahren geht in die dritte Instanz

Durch die von IKEA erhobene Revision wird der Fall nun durch den Verwaltungsgerichtshof erneut analysiert und bewertet. „Wir werden uns den Behörden gegenüber weiterhin in höchstem Maße kooperativ zeigen. Die vollumfängliche und transparente Kooperation mit allen zuständigen Behörden stand und steht für uns – genauso wie der rechtskonforme Datenschutz – immer an erster Stelle. Wir hoffen, dass der Verwaltungsgerichtshof bei seiner Arbeit erkennt, dass ohne personenbezogene Daten auch keine Datenschutzverletzung stattfinden kann, dass wir mögliche Falschkonfigurationen von einzelnen Sicherheitskameras nicht beabsichtigt haben und dass wir das Thema Datenschutz in unserem Unternehmen sehr ernst nehmen“, so Christina Strauss abschließend.