PIN-Tastatur gefilmt: 1,5 Millionen Euro Strafe für Wiener Ikea
Wenn an einer Ikea-Kasse mit Karte bezahlt wurde, filmte eine Kamera die PINs. Auch Passanten außerhalb der Wiener Filiale wurden aufgezeichnet. Das kostet.
(Bild: TimmyTimTim/Shutterstock.com)
Ein österreichisches Urteil wegen unzulässiger Videoüberwachung enthält Klarstellungen zur Zulässigkeit von Videoüberwachung im Einzelhandel und eine Einschränkung des österreichischen Datenschutzgesetzes. PIN-Tastaturen an der Kasse abzufilmen, ist laut Urteil gänzlich verboten. Öffentliche Bereiche außerhalb eines Geschäfts dürfen, wenn überhaupt, nur in engen Grenzen und nur für zulässige Zwecke gefilmt werden.
Außerdem müssen vor Einschalten der Überwachungskameras organisatorische Maßnahmen gesetzt werden: Abdeckung der nicht zu filmenden Bereiche (digitale Maskierung) und ordentliche Protokollführung. Bei Zuwiderhandlung drohen Geldstrafen nach der Datenschutzgrundverordnung (DSGVO), die sich am Konzernumsatz bemessen, nicht am Umsatz der den Datenschutz verletzt habenden Filiale. Das soll sicherstellen, dass sich Konzerne nicht günstig aus der Affäre ziehen können, indem sie auf Verfehlungen Einzelner in Gefilden fern der Konzernzentrale verweisen.
Zwar enthält das österreichische Datenschutzgesetz Bestimmungen (Paragraphen 12 und 13), die Videoüberwachung in vielen Fällen zu erlauben scheinen. Doch verstoßen diese Paragraphen laut Urteil gegen die DSGVO und sind daher nicht anzuwenden.
Der Anlassfall
Anlass für das jüngst veröffentlichte Urteil des österreichischen Bundesverwaltungsgerichts (Az. W258 2299744-1/28E) ist grob fahrlässig unrechtmäßige Videoüberwachung durch Ikea im Jahr 2022 bei dessen damals neuer Filiale neben dem Wiener Westbahnhof. Die Aufnahmen wurden für 72 Stunden gespeichert. Eine anonyme Anzeige brachte die österreichische Datenschutzbehörde auf die Spur, die daraufhin bei neun Kameras im Kassen- und Außenbereich insgesamt 30 Rechtsverstöße auflistete.
Unter anderem kritisierte sie drei Kameras, die laut Datenschutzbehörde die PIN-Eingaben erkennbarer Personen an den Ikea-Kassen filmte. Insgesamt verhängte die Behörde 1,5 Millionen Euro Strafe zuzüglich 150.000 Euro Verfahrenskostenbeitrag über Ikea, wogegen der Möbelhändler Rechtsmittel ergriff. Theoretische Höchststrafe wären fast 1,8 Milliarden Euro gewesen, vier Prozent des Konzernumsatzes.
Nach vier mündlichen Verhandlungen bestätigt das Bundesverwaltungsgerichts 28 der 30 Rechtsverstöße. Ikea könnte beim Verwaltungsgerichtshof (VwGH) Revision beantragen, da es noch keine höchstrichterliche Judikatur zu den nicht angewendeten Paragraphen des Datenschutzgesetzes sowie zu einem Aspekt der Strafbemessung gibt.
Ikea wird das Rechtsmittel ergreifen. "Wir vertreten den Standpunkt, dass durch den Umstand, dass unser elektronisches Sicherheitssystem gar keine personenbezogenen Daten verarbeitet und aufgezeichnete Personen oder ihre Dateneingaben auch nicht identifizierbar waren, per se gar keine Datenschutzverletzung passieren hätte können", hat Christina Strauss, Leiterin der Öffentlichkeitsarbeit Ikea Österreichs, heise online mitgeteilt. Und selbst wenn, sei die Strafhöhe "aus unserer Sicht deutlich überzogen", zumal niemand geschädigt worden sei. Kooperation mit Behörden und rechtskonformer Datenschutz stünden bei Ikea "immer an erster Stelle", das interne Kontrollsystem sei verschärft worden. Die Videoüberwachung des Eingangs- und Kassenbereichs sei am Standort Westbahnhof notwendig, da es dort häufig zu Diebstählen im Geschäft sowie Vandalismus am Gebäude komme.
Anders als Ikea ist das Bundesverwaltungsgericht zu der Überzeugung gelangt, dass von 25. 3. bis 25. 5. 2022 zumindest mehrere zehntausend verschiedene Personen erkennbar gefilmt wurden.
PIN-Eingaben und viele Passanten gefilmt
Laut Urteil haben sechs Kameras bestimmte Bereiche ohne Rechtfertigungsgrund nach der Datenschutzgrundverordnung aufgenommen. Sieben Kameras hatten zu große Blickfelder, die zur Erreichung des jeweils angegebenen Zwecks (Überprüfung der Schneeräumung respektive Eigentumsschutz) ganz oder teilweise nicht erforderlich waren.
Videos by heise
Allerdings hat nur eine Kamera tatsächlich die PIN-Eingaben erkennbarer Kunden gefilmt; bei den beiden anderen Kameras verdeckten die Körper der Kunden in der Regel das Eingabefeld. Geholfen hat diese Erkenntnis Ikea wenig, denn das Gericht senkt Geldstrafe und Kostenbeitrag nicht. Der Teilerfolg erspart dem Unternehmen nur den Kostenbeitrag für das Beschwerdeverfahren.
Aus der Begründung ergibt sich, dass Ikea einen stark frequentierten öffentlichen Bereich gefilmt hat: Der Wiener Westbahnhof zieht täglich viele Menschen an, auch an seinen Nebenpforten. Zusätzlich waren eine Straßenbahnstation und der Ausgang einer U-Bahn-Station erfasst. Ikea hat die Überwachungsanlage in Echtbetrieb genommen, noch bevor die datenschutzrechtliche Beurteilung vorlag.
Sofortmaßnahmen verabsäumt
Zudem fehlten die notwendigen digitalen Masken für nicht zu filmende Bereiche, was Ikea mangels Überprüfung nicht aufgefallen ist. Das Möbelhaus verdächtigte vor Gericht einen gekündigten Mitarbeiter, die Masken als Rache entfernt zu haben; doch hätte dieser Ex-Mitarbeiter etwaige Masken gar nicht löschen können.
Selbst nach Aufforderung der Datenschutzbehörde zur Stellungnahme hat die Filialleiterin zwar eine Überprüfung der Videoüberwachung in Auftrag gegeben, aber keine Sofortmaßnahmen wie Maskierung nicht zu filmender Bereiche veranlasst. Obwohl das dank Fernwartung nur eine Stunde gedauert hätte, wurden die Masken erst fast acht Wochen später eingerichtet.
Materiellen Schaden für Betroffene hat das Bundesverwaltungsgericht nicht festgestellt, der ideelle Schaden sei gering. Insbesondere wurden die abgefilmten PINs nicht missbraucht. Strafmildernd wirkten die Kooperation des Möbelhauses, dessen Unbescholtenheit, die Behebung des Übelstandes, das Löschen der Aufnahmen und das Fehlen finanzieller Vorteile.
(ds)
