Was ist passiert:
Die spanische Aufsichtsbehörde (Agencia española de Protección de Datos, kurz APED) für Datenschutz hat zuletzt (Bescheid vom 28.08.2023) ein Bußgeld in Höhe von 10.000,- € gegen eine Privatperson als Verantwortlichen erlassen. Der Verantwortliche erstellte eine Videoaufnahme, in der der eine Privatperson als Betroffener stark alkoholisiert und hilflos auf einer Straße unterwegs war. Im Rahmen der Aufnahme verspottete und beleidigte der Verantwortliche deutlich erkennbar die eindeutig identifizierbare Privatperson, anstatt ihr in dieser heiklen Situation zu helfen. Anschließend wurde das aufgezeichnete Video mit einer Länge von 1 Minute und 35 Sekunden der Sachverhaltsfeststellung der spanischen Aufsichtsbehörde folgend mit voller Absicht in sozialen Medien beginnend mit WhatsApp über Facebook, Instagram, etc. bis hin zu YouTube verbreitet und erreichte Bekanntheit über das gesamte Staatsgebiet.
Rechtliche Würdigung:
Anwendbarkeit der DSGVO
Liegt eine ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten vor, ist auf die Datenverarbeitung die DSGVO grundsätzlich anwendbar (vgl. Art. 2 Abs. 1 DSGVO). Diese Voraussetzung liegt hier sowohl für die Erstellung als Verbreitung des Videos der natürlichen Person in sozialen Medien vor.
Die so genannte Haushaltsausnahme nach Art. 2 Abs. 1 lit. c DSGVO greift hier gerade nicht mehr. Nach dieser fände die DSGVO keine Anwendung, wenn die Verarbeitung durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten erfolgt wäre. Wann dies allerdings einschlägig ist, ist in der DSGVO nicht explizit geregelt. In Erwägungsgrund 18 S. 2 zur DSGVO wird zwar erläuternd aufgenommen, dass die Nutzung sozialer Netze und Online- Tätigkeiten im Rahmen solcher Tätigkeiten als ausschließlich persönliche oder familiäre Tätigkeit gelten könnte. Eine genaue Definition, wann diese Voraussetzungen vorliegen, ist auch hier nicht zu entnehmen.
Insofern sind Ausnahmen bekanntermaßen eng und restriktiv auszulegen. So kann z.B. die Nutzung eines sozialen Netzwerks in Anlehnung an das „Lindqvist-Urteil“ des Europäischen Gerichtshofs (EuGH) vom 06.11.2003 nicht länger dem persönlich-familiären Charakter zugeschrieben werden, wenn die Veröffentlichung im Internet darin besteht, dass diese Daten einer unbegrenzten Zahl an Personen zugänglich gemacht werden.
Verstoß gegen Art. 6, 12 ff i.V.m. Art. 5 DSGVO
Mangels Vorliegens einer Rechtsgrundlage im Sinne des Art. 6 DSGVO, insbesondere mangels vorheriger Einwilligung des Betroffen lag insofern basierend auf der rechtlichen Würdigung der APED hierin ein klarer Verstoß gegen Art. 6 Abs. 1 i.V.m. Art. 5 DSGVO vor. Zudem wurden die Betroffenenrechte im Sinne der Art. 12 ff DSGVO nicht gewahrt.
Bemessung der Bußgeldhöhe
Hinsichtlich der Höhe des Bußgelds stützt sich die Aufsichtsbehörde auf den Bußgeldrahmen des Art. 85 Abs. 5 lit. a und b DSGVO, wonach bei Verstößen gegen die
- Grundsätze der Verarbeitung (vgl. 5 DSGVO)
- Rechtmäßigkeit der Verarbeitung ( Art. 6 DSGVO),
- sowie der Rechte der Betroffenen ( Art. 12 – 22 DSGVO)
Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt können.
Im Rahmen der Bußgeldhöhe berücksichtigte die Aufsichtsbehörde die Grundsätze des Art. 83 Abs. 2 DSGVO i.V.m. dem spanischen LOPDGDD. Bewertungsmaßstäbe waren demnach u.a.
- Art, Schwere und Dauer des Verstoßes
- Art und Umfang des erlittenen Schadens
- Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes
- Grad der Verantwortung
- Kategorien personenbezogener Daten,
- Die Dauer der Straftat
- Die durch die Begehung des Verstoßes erlangten Vorteile
Basierend auf diesen Kriterien stelle die Aufsichtsbehörde in ihrer derzeit noch nicht rechtskräftigen Entscheidung fest, dass Verhalten des Verletzers eine klare Absicht widerspiegelte, den betroffen Beschwerdeführer zu verunglimpfen, indem er das Video über soziale Netzwerke verbreitete und damit einem breiten Publikum eröffnete und deren Verbreitung unmittelbar erfolgte. Basierend auf dieser Abwägung wurde das Bußgeld i.H.v. 10.000,- € als angemessen, verhältnismäßig und abschreckend bewertet.
Fazit:
Das Bußgeld zeigt, dass Aufsichtsbehörden zurecht nicht nur im unternehmerischen Umfeld tätig sind. Der Anwendungsbereich der DSGVO und damit die Handlungsbefugnisse der Aufsichtsbehörden sind bereits eröffnet, wenn Verarbeitungen und die Nutzung soziale Netzwerke nicht mehr der ausschließlich zum Zwecke von privater und familiärer Tätigkeit genutzt werden, sondern die Veröffentlichung und allgemeine Verbreitung des Inhalts im Vordergrund stehen. Umso wichtiger ist es für jeden Einzelnen, nicht nur Awareness im Umgang mit sozialen Medien zu erhalten, sondern diese auch mit moralischen und ethnischen Werten zu verknüpfen um den Rechten und Freiheiten anderer Personen entsprechend Rechnung tragen zu können.
Nicht jeder Content ist guter, geschweige denn ist zulässiger Content.