ich finde die Abgrenzung in Bezug auf die gem. Verantwortlichkeit etc. sehr schwierig und man kann zu verschiedenen Ergebnissen kommen. Mich würde zu nachfolgendem Thema eure Meinung interessieren.
Ein Hotelparkplatz wird ständig von Nichtberechtigten genutzt und soll künftig kostenfrei durch ein Unternehmen 24/7 überwacht werden. Hierzu wird werden AGBen für die Parkplatznutzung eingeführt und beim Reinfahren kommt je ein Nutzungsvertrag (Parkplatznutzer und Dienstleister) zu Stande. Bei unberechtigter Nutzung werden Vertragsstrafen fällig, die auch sozusagen die Gegenleistung / Vergütung des Dienstleisters.
Für das Hotel ist es lediglich von Bedeutung, dass durch diese Maßnahme sich die Parkplatzsituation verbessert weil Nichtberechtigte abgeschreckt werden.
Die Überwachung soll mit Hilfe von Videokameras voll automatisiert erfolgen.
Das Hotel behält sich das Recht vor, Parkberechtigte zu bestimmen (KFZ-Kennzeichen Gäste etc. ). Das Hotel erhält keine Bilder (braucht diese auch nicht).
Folgende Argumentation:
Der Zweck der Datenverarbeitung wird maßgeblich durch den DL bestimmt - er will dadurch unberechtigte Nutzungen feststellen, und das auf ein wirtschaftliche Art und er will mit den Beweisbildern die Forderungen notfalls rechtlich durchsetzen. Die Mittel bestimmt ohnehin er.
Ergebnis: alleinige Verantwortung des Dienstleisters
Muss man die Zweckbestimmung so ausgelegt, dass der Hotelbetreiber durch die Beauftragung der Dienstleistung diesen Mitbestimmt hat oder kann man das so wie oben argumentieren?
Der Dienstleister sieht sich jedenfalls in der “Alleinverantwortung”, ich will jedoch nicht, dass hier mal ein böses Erwachen kommt.
Ich bin auf eure Meinungen sehr gespannt und danke schon mal vorab dafür.
Als Rechtsgrundlage für eine Videoüberwachung dient in der Regel Art. 6 Abs. 1 lit. f DS-GVO. Danach ist die Verarbeitung personenbezogener Daten nur dann rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Übrigens: Auftragsverarbeiter ist nicht „Dritter“ im Sinne der DSGVO.
Egal wie man das jetzt dreht: Anscheinend haben beide, also das Überwachungsunternehmen als auch der Hotelbetreiber ein berechtigtes Interesse. Nach Art. 4 Abs. 7. DSGVO ist Verantwortlicher der allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Die Gemeinsamkeit ist hier gegeben, da das Überwachungsunternehmen ohne Zusatzwissen, was der Hotelbetreiber hat, seinem berechtigten Interesse nicht nachkommen kann und ebenso anders herum. Es werden von beiden in gemeinsamer Verantwortung personenbezogene Daten erfasst (einerseits KFZ-Kennzeichen, andererseits Hotelgast-Status). Ich gehe davon aus, dass das Überwachungsunternehmen auf eigene Rechnung handelt. Würde der Hotelbetreiber lediglich Bild und Kennzeichen in Form einer reinen Erfassung vom Überwachungsunternehmen bekommen und selbst das KFZ-Kennzeichen beim Check-In des Gastes abgefragt haben, wäre das Überwachungsunternehmen nur ein Auftragsverarbeiter nach Art. 28 DSGVO.
Das scheint aber hier nicht der Fall zu sein. Es ginge auch eine Konstellation, dass beide Verantwortliche wären. Dann müsste der Hotelgast aber einwilligen, dass Daten an Dritte weiter gegeben werden dürfen, da diese dann eigene Zwecke verfolgen. Nur eine AGB auszuhängen, reicht hier nicht.
Ja, der DL handelt auf eigene Rechnung.
Die Weitergabe der KFZ-Kennzeichen der Parkberechtigten ist auf das berechtigte Interesse gestützt, die Leute haben ja keine entgegenstehenden Interessen. Da der DL diese auch für eigene Zwecke verarbeitet sehe ich auch eher keine AVV sondern zwei eigenständige Verantwortliche oder vll. eine gem. Verantwortlichkeit.
Die Hotelbetreiber erhalten keine Bilder der Überwachung. Möglich ist natürlich, dass Daten an KFZ-Halter herausgegeben werden wenn ein Auto beschädigt wurde oder sowas.
Es ist wohl naheliegender eine gem. Verantwortlichkeit zu argumentieren als zwei sep. Verantwortliche. Oder sieht das wer spontan anders?
“Das Hotel behält sich das Recht vor, Parkberechtigte zu bestimmen” klingt etwas seltsam … der Parkplatz gehört dem Hotel? Er ist nicht an die Gebührenjäger vermietet?
Edit & zur Klarstellung: ich sehe es dann als Verarbeitung (der p.b. Daten) im Auftrag - wie jeden Pförtner- und Wachdienst. Den “Bezahlungsmodus” halte ich nicht für entscheidend.
Verarbeitungsaktivitäten und Datenfluss so umbauen, dass die Verantwortung trennbar ist:
Die Verpachtung des Parkplatzes an den… Gebührenjäger wäre tatsächlich am praktikabelsten. (Für das Hotel. Wie der Parkplatzbetreiber seine Zulässigkeiten aufstellt ist dann dessen Problem. Viel Spaß!)
Das Hotel erhält das vorrangige Nutzungsrecht für seine Gäste und darf zur Erfüllung der Beherbergungsverträge die Kennzeichen an den Betreiber übermitteln. (Bei “geschickten” Personen, die nicht selbst buchen und Teilnehmern an Veranstaltungen wären es die berechtigten Interessen des Hotels und der entsendenden Stelle am Verfügbarmachen des Parkplatzes.)
Es sollte zugesichert werden, die übermittelten Kennzeichen nur zum Abgleich zu verarbeiten und zeitnah zu löschen. Wenn darüber hinaus noch etwas läuft, dann wäre das für die Übermittlung auf Basis von Art. 6 Abs. 1 lit. b bzw. f DSGVO nicht mehr “erforderlich” und damit unzulässig.
Die (für das Hotel) datenfreie Alternative wäre das Ausgeben von Wertmarken oder Codes, die Gäste beim Betreiber im Zusammenhang mit dem Kennzeichen vorzeigen können (Scanstation, Selbstregistierungsterminal).
D., der es sehr entspannend findet, hier “Video” nicht mit rechtfertigen zu müssen. Dem vor Kameras viele andere Lösungen einfallen würden. (Bei denen der Kamerahai allerdings nicht viele Fremdparker hätte.) Die sind bei getrennter Verantwortung aber nicht gefragt.
Ja die Trennung wäre der aktuelle Denkansatz.
Der Vertrag sieht vor, dass das Hotel Kennzeichen melden kann, und auch wird, da Gäste sowie Mitarbeiter ja parkberechtigt sind und keine Vertragsstrafen verlangt werden sollten.
Bei den “D.” am Anfang des letzten Absatzes, bin ich mir nicht sicher wofür die Abkürzung steht
Wobei ich auch die Einschätzung von @haderner nachvollziehen kann, dass hier auch eine AV angenommen werden kann. Zumindest für die Verarbeitung der “Liste der Parkberechtigten”.
Ein Hoch auf Abgrenzung bei der Zusammenarbeit mit Dritten
und danke für eure Rückmeldungen
