Gründe

I.

Mit dem Bußgeldbescheid der Landesbeauftragten für den Datenschutz Niedersachsen vom 16.12.2020 (LfD6.21-024-19/041) wird die Betroffene im Zeitraum vom 25. März 2017 bis 18. Juli 2019 in XXX und XXX der Verarbeitung personenbezogener Daten ohne Rechtsgrundlage mit Videoüberwachungskameras und angeschlossener Speichermedien a) hinsichtlich Kundinnen und Kunden sowie unbeteiligter Dritter durch die Erfassung von zum Verweilen einladender Bereiche (Sitzgelegenheiten) in den Verkaufsräumen (Stores) der Liegenschaft XXX sowie öffentlich zugänglicher Bereiche des Außenbereichs mit 7 Kameras, b) hinsichtlich Beschäftigter durch die Erfassung von Verkaufs- und Arbeitsräumen sowie Teilen des als Pausenbereich genutzten Außenbereichs mit 81 Kameras, c) hinsichtlich Kundinnen und Kunden, unbeteiligter Dritter sowie Beschäftigter durch überlange Speicherdauer des erhobenen Videomaterials mit 39 Kameras und d) durch unzureichende technisch-organisatorische Maßnahmen aufgrund der unterlassenen, aber erforderlichen, Schwärzungen bei den zu a) und b) gelisteten Kameras hinsichtlich zum Verweilen einladender Bereiche (Sitzgelegenheiten) für Kundinnen und Kunden, öffentlich zugänglicher Teile des Außenbereichs, Verkaufs- und Arbeitsräumen und des als Pausenraum genutzten Außenbereichs beschuldigt. Gegen die Betroffene wurde ein Bußgeld in Höhe von 10.417.000,00 Euro festgesetzt.

Die Betroffene hat gegen den am 21.12.2020 zugestellten Bußgeldbescheid fristgerecht Einspruch eingelegt und u. a. wie folgt begründet:

(1) Der Bußgeldbescheid genüge hinsichtlich der Angaben zur Person des oder der Betroffenen nicht den gesetzlichen Mindestanforderungen des § 66 Abs. 1 Nr. 1 und 3 OWiG. Die Firma XXX könne nicht Betroffene eines Bußgeldbescheides sein. Es fehlen Angaben zu verantwortlich handelnden natürlichen Personen und den von ihnen begangenen Taten, was § 30 OWiG voraussetze.

(2) Die ausgesprochene Verwarnung nach Art. 58 Abs. 2 b) DSGVO entfalte eine Sperrwirkung.

(3) Die Begründung der LfD, dass der im Anwendungsbereich des BDSG a.F. begangene Teil der Tat angesichts des auf die DSGVO entfallenden Tatzeitraumes nicht von erheblicher Bedeutung sei (und deshalb nicht berücksichtigt werde), sei insoweit widersprüchlich, als die weitere Feststellung, dass die Tat sich über einen Zeitraum von knapp 14 Monaten in den Gültigkeitszeitraum der DSGVO erstreckte, so nicht zutreffend sei.

Der Tatvorwurf basiere allein auf einer Rechtsprüfung der von der XXX an die Behörde übersandten Videographien. Ein Tatbeginn lasse sich daher allenfalls ab dem Monat nachweisen, der als Zeitstempel in den jeweiligen Videobiografien festgehalten ist:

Von den Kameras, die den Zeitstempel aus Mai 2018 tragen, seien von der Betroffenen im Nachgang zum Schreiben der Behörde vom 4. Juni 2018 die angeblich rechtsfehlerhaft eingestellten Kameraeinstellungen behoben worden. Dazu heiße es im Bußgeldbescheid (Seite 34), dass hinsichtlich der im Nachgang zum behördlichen Schreiben vom 4. Juni 2018 zulässig eingestellten Kameras sich der Tatzeitraum auf die Zeit vom 25. März bis zum 4. Juni 2018 beschränke. Dieses betreffe insgesamt 45 Kameras.

Hinsichtlich der weiteren, im April 2019 übersandten Videobiografien, gehe die Behörde davon aus, dass diese spätestens bis zum 31. Mai 2019 von der Betroffenen zulässig eingestellt und neu justiert wurden (Seite 56 des Bußgeldbescheides).

Daraus ergebe sich ein völlig anderes Bild vom Tatzeitraum, als die Angabe im Tenor des Bußgeldbescheides suggeriere, nämlich:

(4) Die LfD habe den Sachverhalt unzureichend ermittelt.

Sie habe den eigentlichen Verwendungszweck für die überwiegende Anzahl der Kameras, nämlich die Warenverfolgung, schlicht unterschlagen, obwohl dieser bereits in der DatenschutzFolgenabschätzung/Vorabkontrolle des externen Datenschutzbeauftragten vom 21. März 2018 so aufgeführt worden sei. Sie habe es weiterhin versäumt, eine Ortsbegehung vorzunehmen, in deren Folge sie zu einer vollständig anderen Bewertung des Sachverhaltes gelangt wäre. Hätte die LfD den Zweck der Kameras zutreffend ermittelt, wäre sie zu der Erkenntnis gelangt, dass aufgrund des Verwendungszusammenhangs nicht nur die von den Kameras erfassten Bereiche zulässig waren, sondern konsequenterweise auch die jeweilige Speicherdauer.

(5) Die Betroffene habe sich im stetigen Austausch sowohl mit dem externen Datenschutzbeauftragten als auch mit der LfD sehr intensiv und mit großem Aufwand darum gekümmert, einen datenschutzkonformen Zustand herzustellen und die Vorgaben der LfD möglichst kurzfristig umzusetzen.

(6) Allen streitgegenständlichen Kameras sei gemein, dass sie weder zur Leistungsüberwachung der Mitarbeiter vorgesehen gewesen seien, noch tatsächlich dafür genutzt wurden. Selbst wenn man bezüglich Ausrichtung und/oder Speicherdauer einzelner Kameras punktuelle Verstöße gegen das Datenschutzrecht annehmen wollte, rechtfertigten diese kein derartig hohes Bußgeld.

(7) Der Kameraeinsatz sei zum Schutz vor Diebstählen und der Beweissicherung zur Durchsetzung von Rechtsansprüchen rechtmäßig (Art. 6 Abs. 1 Satz 1 f DSGVO) und auch erforderlich. Für die Kunden sei die Überwachung mit Videokameras erwartbar. Bei den angeblichen "Sitzbereichen in einer einladend gestalteten Umgebung, die zum längeren Verweilen einladen", handele es sich tatsächlich um 2 harte Bänke ohne Rückenlehne an einem aus Metall gearbeiteten Ausstellungstisch eines Lieferanten, der sich zudem in zugiger Nähe des Eingangs im Store befindet.

(8) Die Kameras der Gruppe 3-6 dienten der Dokumentation von Prozessen, insbesondere Warenanlieferung, -versand und Retouren. Rechtsgrundlage sei die Datenverarbeitung im Vertragsverhältnis, Art. 6 Abs. 1 Satz 1 b) DSGVO, bei deren Bestehen eine Abwägung zwischen den unterschiedlichen Interessen nicht stattfinde, da der Gesetzgeber davon ausgehe, dass bei Vorliegen einer Erforderlichkeit für ein Vertragsverhältnis die Interessen gleichlaufend seien.

(9) Der Betroffenen sei auch im Hinblick auf die Einschätzung des externen Datenschutzbeauftragten ein unvermeidbarer Verbotsirrtum zuzubilligen.

(10) Durch die Öffentlichkeitsarbeit der LfD habe die Betroffene einen erheblichen Reputationsverlust erlitten.

Die LfD sah in der Folge keine Veranlassung, den Bußgeldbescheid zurückzunehmen und übermittelte die Akten mit Schreiben vom 16.11.2021 gemäß § 69 Abs. 3 OWiG an die Staatsanwaltschaft Hannover. Diese legte den Vorgang gemäß §§ 69 Abs. 4 S. 2 OWiG, 41 BDSG dem Landgericht Hannover vor.

Am 17.03.2023 verurteilte das Landgericht Hannover 4 ehemalige Angestellte bzw. Auszubildende der Betroffenen sowie einen nicht dort beschäftigten Mittäter wegen schweren Bandendiebstahls zum Nachteil der Betroffenen in mehreren Fällen in der Zeit vom 7. März bis zum 11.5.2018 in einem Fall zu einer zur Bewährung ausgesetzten Gesamtfreiheitsstrafe von einem Jahr und 6 Monaten, in einem Fall zu einer Gesamtgeldstrafe von 90 Tagessätzen zu je 75 €, in 2 Fällen zu 100 Stunden gemeinnütziger Arbeit nach Weisung der Jugendgerichtshilfe und in einem Fall zu 40 Stunden gemeinnütziger Arbeit nach Weisung der Jugendgerichtshilfe (34 KLs 6453 Js 40029/18 (5/19). Weiterhin wurde die Einziehung des Wertes von Taterträgen in Höhe von 72.545 € angeordnet.

Von den 69 entwendeten Notebooks sind im Laufe des Strafverfahrens 42 wieder an die Geschädigte zurückgelangt, ebenfalls 4 von 18 entwendeten Mobiltelefonen.

In den Entscheidungsgründen führte die Strafkammer zum Vortatgeschehen aus, dass die Angeklagten "in Kenntnis des lückenhaften Warenwirtschaftssystems und der ohnehin hohen Fehlbestände in dem Store und Lager in XXX, verursacht durch Mitarbeiterdiebstähle, Fehlbuchungen und Einbrüche", beschlossen hätten, "in unterschiedlicher Zusammensetzung Ware, insbesondere elektronische Geräte wie zum Beispiel Notebooks und Mobiltelefone ohne Bezahlung mitzunehmen, um sie eigenständig oder durch Dritte weiter zu veräußern und den Erlös für sich zu behalten". Im Rahmen der Strafzumessungserwägungen berücksichtigte die Strafkammer zugunsten der Angeklagten "Organisationsmängel von XXX", welche die Angeklagten erst in die Lage versetzt haben, ihr Vorhaben ohne die an sich vorgesehene und gebotene Kontrolle umzusetzen.

Im vorliegenden Ordnungswidrigkeitenverfahren gegen die Geschädigte teilte das Gericht den Beteiligten mit Beschluss vom 23.01.2024 mit, dass nunmehr beabsichtigt sei, gemäß § 72 OWiG im schriftlichen Verfahren durch Beschluss zu entscheiden und gab der Betroffenen und der Staatsanwaltschaft Gelegenheit, innerhalb von 2 Wochen nach Zustellung dieses Hinweises einen eventuellen Widerspruch gegen die Entscheidung durch Beschluss zu erklären. Mit dem vorgenannten Beschluss legte das Gericht seine vorläufige Rechtsauffassung dahingehend dar, dass ein etwa verbleibender Vorwurf der übermäßigen Videoüberwachung unter Berücksichtigung der Gesamtumstände als eher von geringem Gewicht zu bewerten sei und der Kammer im Ergebnis ein gegenüber dem Bußgeldbescheid erheblich reduziertes Bußgeld angemessen erscheine.

Seitens der Staatsanwaltschaft wurde mitgeteilt, dass einer Entscheidung durch Beschluss nicht widersprochen werde. Die Betroffene erklärte durch Schreiben der Verteidiger vom 06.02.2024, dass einer Entscheidung durch Beschluss unter der Bedingung zugestimmt werde, dass die festgesetzte Geldbuße eine Höhe von 900.000 € nicht überschreitet. Einem von dieser Bedingung abweichenden Ergebnis werde widersprochen.

II.

Die Firma XXX wurde im Jahr 1989 zunächst als Einzelunternehmen durch XXX gegründet. 1996 wurde aus dem Einzelunternehmen die XXX. Ende 2007 erfolgte die Umwandlung der GmbH in eine AG, die dann am XXX 2008 ihren jetzigen Namen, XXX erhielt. Die Firma ist ausweislich der Unternehmensbeschreibung im Lagebericht zur Bilanz ein "Systemhaus und Versandhändler von Produkten aus den Bereichen Unterhaltungselektronik, Kommunikation, IT und Haushaltsgeräte". Zu den Kunden zählen Firmen, öffentlich-rechtliche Einrichtungen und private Endkunden.

Firmensitz ist in XXX. Von den Standorten XXX und XXX aus werden die Kunden beliefert. Vom Standort XXX werden weitere logistische Tätigkeiten wie die Retourenabwicklung von Kundensendungen sowie Rücksendungen an die Lieferanten ausgeführt. Weiterhin sind dort Teile des Produktmanagements, des Vertriebs und der IT ansässig. Weitere Niederlassungen befinden sich in XXX und XXX Stores in XXX und XXX.

Die Firma erzielte ausweislich der Bilanz zum 31. Dezember 2017 in der Zeit vom 1. Januar bis 31. Dezember 2017 Umsatzerlöse in Höhe von insgesamt 785.261.897,18 €, in der Zeit vom 1. Januar bis 31. Dezember 2018 erzielte sie Umsatzerlöse in Höhe von 878.504.250,56 € und in der Zeit vom 1. Januar bis 31. Dezember 2019 Umsatzerlöse in Höhe von 735.842.390,61 €.

III.

1. Vorgeschichte

a)

Am 25. März 2017 ging bei der Poststelle der LfD eine Beschwerde über die Videoüberwachung in der XXX in XXX per E-Mail ein. Die Beschwerdeführerin gab an, dass ihr Fahrzeug von einem Mitarbeiter zugeparkt worden war, woraufhin sie sich in das Gebäude begab und die zahlreichen Kameras bemerkte. Seitens der Landesbeauftragten für den Datenschutz Niedersachsen (abgekürzt LfD) wurde dieses zum Anlass genommen, ein aufsichtsbehördliches Kontrollverfahren durchzuführen, das sich auf die Videoüberwachung in dem Gebäude XXX in XXX in XXX sowie XXX in XXX bezog. Die Betroffene wurde mit Schreiben vom 27.3.2017 darüber informiert und zur Beantwortung diverser Fragen sowie Erteilung entsprechender Auskünfte aufgefordert.

Mit Schreiben vom 27.4.2017 meldete sich Rechtsanwalt XXX von der Kanzlei XXX und XXX in XXX in seiner Funktion als Beauftragter für den Datenschutz der XXX Aus den von ihm überlassenen Unterlagen ergab sich, dass das Unternehmen XXX.de AG an 9 Standorten mit insgesamt 1.220 Kameras überwacht werde, wobei die Überwachung der Wahrnehmung des Hausrechts, der Prävention vor unbefugtem Zutritt und der Aufdeckung und Aufklärung von Straftaten diene und alle Bilddaten für 60 Tage aufgezeichnet werden. Die LfD forderte Rechtsanwalt XXX mit Schreiben vom 20.11.2017 auf, umgehend eine Vorabkontrolle nachzuholen und wies u.a. darauf hin, dass die Speicherdauer von 60 Tagen nicht den datenschutzrechtlichen Anforderungen nach dem BDSG entspräche und die Daten nach spätestens 72 Stunden physikalisch zu löschen seien.

Mit Schreiben vom 21. März 2018 übermittelte Rechtsanwalt XXX der Aufsichtsbehörde u.a. das Protokoll der nachgeholten Vorabkontrolle, die Verfahrensdokumentation und eine Aufstellung der technischen und organisatorischen Maßnahmen.

Mit Schreiben vom 4.6.2018 teilte die LfD der Betroffenen mit, dass aufgrund der am 25.5.2018 wirksam gewordenen Datenschutzgrundverordnung (DSGVO) das Verfahren nach Art. 57 Abs. 1 lit. a DSGVO fortgeführt werde. Es wurden betreffend die Kameras in den Niederlassungen XXX und XXX diverse Beanstandungen und Hinweise ausgesprochen, welche Bereiche auszunehmen seien.

Mit Schreiben vom 28. Juni 2018 übermittelte die Betroffene ein Verzeichnis der Verarbeitungstätigkeit mit Datum vom 25.6.2018 sowie eine Dokumentation der Änderungen gemäß Schreiben der LfD vom 4.6.2018. Mit dem Anschreiben wandte sie sich gegen den Hinweis im Schreiben der LfD vom 20.11.2017, wonach die Daten nach spätestens 72 Stunden physikalisch zu löschen seien und führte dazu unter Verweis auf einen aktuell aufgedeckten Fall von Bandendiebstahl in erheblichem Umfang aus, dass eine Speicherfrist von bis zu 60 Wochentagen noch angemessen und zur Aufklärung von Diebstählen auch erforderlich sei. Auch der weitere Zweck der Kontrolle des Warenein- und -ausgangs sowie der Warenhandhabung und des Nachweises des Umganges mit Fremdware erfordere, da die interne Bearbeitung solcher Vorgänge in der Regel einen Zeitraum von 4-6 Wochen in Anspruch nehme, eine Speicherdauer von 60 Tagen, wobei in der XXX die Speicherdauer auf 30 Tage und in der XXX auf 10 Tage zurückgefahren werden könne.

Der in dem vorgenannten Schreiben angeführte Fall von Bandendiebstahl wurde durch mehrere im Verkaufsgeschäft in der XXX in XXX beschäftigte Mitarbeiter der Firma XXX begangen und im Frühjahr 2018 aufgedeckt. Die Diebstähle wurden arbeitsteilig in der Weise ausgeführt, dass durch das Fingieren von Auftragsbestätigungen Kundenbestellungen vorgetäuscht und die zur Ausführung der vermeintlichen Bestellung in den Store verbrachte Ware scheinbar ordnungsgemäß bezahlt und an den Kunden ausgehändigt wurde, wobei der elektronische Bezahlvorgang vorgetäuscht wurde und die Ware von einem als scheinbarer Kunde agierenden Mittäter, der, um seine Identität zu verschleiern, seinen Pkw stets auf einem nicht videographierten Parkplatz abseits des Firmengeländes abgestellt hatte, unbezahlt mitgenommen wurde. Weitere Diebstähle wurden unter anderem dergestalt begangen, dass scheinbar im Kundenauftrag kommissionierte Ware an bestimmten Sammelstellen in den Abholregalen deponiert und dann von den Mitarbeitern in Arbeitspausen oder nach Arbeitsschluss ohne Bezahlung mitgenommen wurden. Dabei wurde innerhalb weniger Wochen elektronische Ware im Wert von ca. 203.000 € (hauptsächlich teure notebooks und Handys) entwendet.

Die LfD antwortete mit Schreiben vom 2.8.2018 und teilte mit, dass die Überwachungsbereiche in der XXX, der XXX sowie in der XXX nicht weiter beanstandet würden. Zur Speicherdauer hielt die LfD an ihrer Auffassung fest, dass diese in der Regel 72 Stunden nicht überschreiten dürfe. Eine dauerhafte Überwachung aller Beschäftigten sei datenschutzrechtlich unzulässig und könne somit auch keine längerfristige Speicherdauer begründen. Zur Kontrolle des Warenein- und -ausgangs sowie des Nachweises des Umgangs mit Fremdware werde zur Überwachung der nicht-öffentlichen Räume im Lager XXX eine Speicherdauer von 10 Tagen unter Zurückstellung von Bedenken hingenommen, für Flure, Gänge und andere Bereiche, die von Beschäftigten durchschritten werden, bestehe kein Anhaltspunkt für die Erforderlichkeit einer Speicherdauer, die 72 Stunden überschreite.

Mit Schreiben vom 27.8.2018 teilte die Betroffene diverse vorgenommene Änderungen mit. Auch in der Folgezeit stand die Betroffene in regelmäßiger Korrespondenz mit der LfD, insbesondere wegen der Speicherdauer. Dazu legte die Betroffene mit Schreiben vom 31.1.2019 die Notwendigkeit einer Speicherdauer von 60 Tagen zur Kontrolle des Warenein- und -ausgangs unter Berücksichtigung der Rückgabe- und Lieferfristen dar. Seitens der LfD wurde mit Schreiben vom 18.4.2019 mitgeteilt, dass in den Bereichen, die regelmäßig von den Beschäftigten betreten werden müssen, eine über 3 Tage hinausgehende Speicherdauer in der Regel nicht akzeptiert werde.

Mit Schreiben vom 28. Juni 2019 teilte die Betroffene für die Standorte XXX und XXX den Abbau, die Neuausrichtung und/oder Schwärzung der Erfassungsbereiche von Kameras in umfangreichem Ausmaß mit sowie Reduzierung der Speicherdauer auf künftig 72 Stunden mit.

Mit Bescheid vom 2.10.2019 teilte die LfD der Betroffenen unter Darstellung des Verfahrensablaufes und Hinweis auf noch einzelne vorzunehmende Änderungen mit, dass die von der Betroffenen durchgeführte Videoüberwachung derzeit datenschutzrechtlich nicht weiter beanstandet und das Prüfverfahren in der Folge beendet werde. Die Betroffene wurde gemäß Art. 58 Abs. 2 Buchstabe b DSGVO verwarnt, da sie mit der Videoüberwachung gegen die Vorschriften der DSGVO verstoßen habe. Weiterhin wurden der Betroffenen die Kosten des Verfahrens aufgegeben. Die Kosten betrugen laut Kostenfestsetzungsbescheid 2.441,40 €.

b)

Innerhalb der LfD wurde das Verfahren sodann an die für Ordnungswidrigkeiten zuständige Abteilung weitergeleitet. Diese teilte der Betroffenen mit Schreiben vom 22.11.2019 die Einleitung eines Ordnungswidrigkeiten-Verfahrens wegen Verarbeitung personenbezogener Daten von Beschäftigten sowie Kundinnen und Kunden ohne Rechtsgrundlage durch Videoüberwachungsanlagen in Verkaufs- und Arbeitsräumen sowie im Außenbereich in der Zeit vom 25. März 2017 bis wenigstens 18. Juli 2019 unter Aufführung der beanstandeten Kameras im einzelnen mit und gab Gelegenheit zur Äußerung bis zum 19. Dezember 2019.

Für die Betroffene legitimierte sich zunächst die Rechtsanwältin XXX die mit Schriftsatz vom 17. Januar 2020 die Einstellung des Verfahrens gemäß § 46 OWiG in Verbindung mit § 170 Abs. 2 StPO beantragte.

Mit Schriftsatz vom 4.11.2020 teilte Rechtsanwältin XXX die Niederlegung des Mandates mit. Mit Schriftsatz vom 5.11.2020 legitimierten sich die Rechtsanwälte XXX und XXX, sowie Rechtsanwalt XXX als Verteidiger.

2. Tatgeschehen

Im Zeitraum vom 05. Mai 2018 bis 18. Juli 2019 zeichneten die folgenden, im Einzelnen benannten Kameras an den Standorten XXX, und XXX, die folgenden, im Einzelnen ebenfalls genau dokumentierten Bereiche auf:

Die Speicherdauer der Aufzeichnungen betrug bei den Kameras DE0640CAM065, DE0642CAM246, DE0642CAM254 und DE0643CAM080 insgesamt 10 Tage, bei der Kamera DE0641CAM082 insgesamt 30 Tage und bei den Kameras DE0641CAM054, DE0007CAM043, DE0007CAM053, DE0007CAM059, DE0007CAM065, DE0004CAM014, DE0004CAM037, DE0004CAM087, DE0004CAM167, DE0007CAM048, DE0007CAM054, DE0007CAM060, DE0007CAM066, DE0004CAM016, DE0004CAM045, DE0004CAM114, DE0007CAM079, DE0641CAM118, DE0007CAM051, DE0007CAM055, DE0007CAM061, DE0007CAM069, DE0004CAM027, DE0004CAM054, DE0004CAM123, DE0007CAM085 DE0007CAM042, DE0007CAM052, DE0007CAM057, DE0007CAM064, DE0004CAM012, DE0004CAM028, DE0004CAM071, DE0004CAM128 insgesamt 60 Tage.

IV.

1.

Die Feststellungen unter II. beruhen auf den Angaben zum Unternehmen in den im Bundesanzeiger veröffentlichten Jahresabschlüssen/Bilanzen für die Jahre 2017 und 2018, die im Ausdruck vorliegen. Die von der Betroffenen erzielten Umsatzerlöse beruhen auf den vorgenannten Bilanzen zum 31.12.2017 und 31.12.2018, dort der Gewinn- und Verlustrechnung, sowie der vorgelegten Gewinn- und Verlustrechnung für die Zeit vom 01.01. bis zum 31.12.2019.

2.

Die Feststellungen zur Sache (III.), auch hinsichtlich der Vorgeschichte und dem Verfahrensgang, beruhen auf dem Inhalt der schriftlichen Akten und den darin enthaltenen Dokumenten.

a)

So ergeben sich die Feststellungen unter III. 1. hinsichtlich der Einleitung des Verfahrens insbesondere anhand der Eingabe der Zeugin XXX vom 25.03.2017, in dem auf die Videoüberwachung bei der Betroffenen entsprechend der getroffenen Feststellungen hingewiesen wurde, und der daraufhin erfolgten Schreiben der Aufsichtsbehörde vom 27.03.2017 und 20.11.2017. Der weitere Verfahrensgang, auch betreffend die nachgeholte Vorabkontrolle, beruht im Wesentlichen auf dem Schreiben vom 21.03.2018, in dem Rechtsanwalt XXX an die Aufsichtsbehörde u. a. das Protokoll der nachgeholten Vorabkontrolle, die Verfahrensdokumentation und eine Aufstellung der technischen und organisatorischen Maßnahmen übermittelte, sowie den weiteren Schreiben der LfD vom 04.06.2018, 02.08.2018, 18.04.2019 und 22.11.2019, deren Bescheid vom 02.10.2019 sowie den daraufhin jeweils erfolgten Reaktionen der Betroffenen vom 28.06.2018, 27.08.2018, 31.01.2019, 28.06.2019 und 17.01.2020, jeweils nebst Anlagen.

b)

Die Feststellungen unter III. 2. beruhen auf den folgenden Erwägungen:

(1) Die Feststellungen unter III. 2. zu den Einstellungen der einzelnen Videokameras beruhen auf den seitens der Betroffenen an die LfD übermittelten Dokumentationen und erteilten Auskünften vom 07. und 08. Mai 2018, 25. und 26. Juni 2018, 14., 16., 18. und 22. Februar 2019 sowie vom 12. November 2019. Insoweit wird insbesondere auf die als Beweismittel zur Beanstandung vom 04.06.2028, 18.04.2019 und 18.07.2029 zusammengestellten Dokumentationen und die dortigen Lichtbilder (Bl. 1 - 122 der Beiakte 1 Beweismittel) verwiesen, auf die wegen der weiteren Einzelheiten gemäß § 267 Abs. 1 Satz 3 StPO Bezug genommen wird. Auf diesen Lichtbildern sind die erfassten Blickwinkel der verschiedenen Kameraeinstellungen erkennbar. Die Dokumentationen enthalten im Weiteren auch eine graphische Darstellung des genauen Standortes der jeweiligen Kamera.

(2) Zur Überzeugung der Kammer datiert die Tat in der Zeit vom 05. Mai 2018 bis zum 18. Juli 2019. Der Tatbeginn ergibt sich insoweit aus dem Zeitpunkt, den die vorgelegten Videographien der beanstandeten Kameras ausweisen. Darauf ergibt sich der 05. Mai 2018 als frühester Zeitpunkt. Im Einzelnen ergeben sich aus den vorgelegten Videographien folgende Daten für die beanstandeten Kameras:

Der Tatzeitraum endet am 18. Juli 2019. Dieses ergibt sich aus den Ermittlungen der LfD, denen die Kammer im Weiteren gefolgt ist. Insoweit wurde der Beendigungstag von der LfD anhand der Beanstandungen im aufsichtsbehördlichen Kontrollverfahren ermittelt und im Bußgeldbescheid auf den 18. Juli 2019 festgelegt. Darüberhinausgehende Feststellungen liegen nicht vor.

Dieses Datum markiert das Ende des beanstandeten Zustandes, wobei die beanstandeten Kameras nicht während der gesamten Zeit im Einsatz waren, sondern in mehreren Gruppen nur innerhalb eines bestimmten Zeitraumes.

Die unterschiedliche Zeitdauer der unzulässigen Einstellung einzelner Kameras ergibt sich daraus, dass die Betroffene im Zuge des aufsichtsbehördlichen Kontrollverfahrens aufgrund der dort bereits erhobenen Beanstandungen der LfD bereits zahlreiche Kameraeinstellungen änderte, die Erfassung der Arbeitsplätze teilweise technisch durch schwarze Bereiche ausnahm oder Kameras völlig entfernte.

Im Bußgeldbesch6eid ist dazu folgendes ausgeführt worden:

"Hinsichtlich der im Nachgang zum behördlichen Schreiben vom 4. Juni 2018 zulässig eingestellten Kameras beschränkt sich der Tatzeitraum auf die Zeit vom 25. März 2017 bis zum 4. Juni 2018" (S. 34/Bl. 333 d.A.).

"Hinsichtlich der im Nachgang zum behördlichen Schreiben vom 18. April 2019 zulässig eingestellten Kameras beschränkt sich der Tatzeitraum auf die Zeit vom 25. März 2017 bis zum 31. Mai 2019" (S. 56/Bl. 355 d.A.).

"Die Speicherdauer haben Sie im weiteren Verlauf des Verwaltungsverfahrens auf datenschutzrechtlich zulässige Zeiträume reduziert. Die folgenden 39 Kameras ... wiesen (zumindest) bis zum 18. April 2019 eine unzulässig lange Speicherdauer auf" (Seite 60/Bl. 359 d.A.).

V.

Die Betroffene hat als Datenverantwortliche schuldhaft gegen Art. 5 Abs. 1 a), Art. 6 DSGVO, § 26 BDSG sowie gegen Art. 17 und Art. 25 DSGVO verstoßen und ist daher einer Ordnungswidrigkeit nach Art. 83 Abs. 2, Abs. 4 a) und Abs. 5 a), b) schuldig.

1.

Die Verarbeitung personenbezogener Daten ohne Rechtsgrundlage mit Videoüberwachungskameras hinsichtlich Beschäftigter durch die Erfassung von Verkaufs- und Arbeitsräumen sowie Teilen des als Pausenbereich genutzten Außenbereichs mit den nachfolgend aufgeführten 81 Kameras stellt einen wie eine Ordnungswidrigkeit zu behandelnden Verstoß gegen § 26 Abs. 1 BDSG n.F., Art. 6 Abs. 1 DSGVO dar (Art. 83 Abs. 5 a) DSGVO, § 41 BDSG n.F.).

a)

Die Erfassung von Personen mit Videoüberwachungskameras ist als Verarbeitung personenbezogener Daten i.S.d. Art. 4 Nr. 1 und 2 DSGVO anzusehen.

"Personenbezogene Daten" sind nach der Begriffsbestimmung in Art. 4 Nr. 1 DSGVO "alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann".

Der Begriff "Information" ist dabei grundsätzlich weit zu verstehen und umfasst ohne Einschränkung alle Informationen, die sich auf eine Person beziehen, wobei es nicht auf deren Relevanz ankommt. Nach Auffassung des Bundesverfassungsgerichts, der auch auf europäischer Ebene gefolgt wird, gibt es unter den Bedingungen der automatisierten Datenverarbeitung kein belangloses Datum. Daher kommt es auf den Aussagegehalt und die persönlichkeitsrechtliche Relevanz der Information nicht an. Anders als etwa im Rahmen der Zulässigkeitstatbestände ist bei der Beurteilung des Personenbezuges keine Interessenabwägung vorzunehmen (Klar/Kühling in Kühling/Buchner, DS-GVO/BDSG, 3. Aufl., Art. 4 Nr. 1 DSGVO Rn. 8 und 9).

Ebenfalls spielt es keine Rolle, ob die betreffende Person identifiziert oder lediglich identifizierbar ist, da hieran jeweils keine unterschiedlichen gesetzlichen Voraussetzungen geknüpft werden.

aa) Von einer identifizierten Person ist auszugehen, wenn die Identität unmittelbar aus der Information selbst folgt, wie beispielsweise anhand von Name, Anschrift und Geburtsdatum. Dasselbe gilt, wenn der Inhalt der Information oder der Kontext eine eindeutige Identifikation erlauben, ohne dass auf weitere Informationen zurückgegriffen werden muss (Klar/Kühling, aaO, Art. 4 Nr. 1 DSGVO Rn. 18).

bb) Dagegen ist eine Person identifizierbar, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer konkreten Person zuzuordnen, dieses aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird.

Bei der Frage, ob eine Person identifizierbar ist, sind grundsätzlich alle Mittel zu berücksichtigen, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren.

Für die Datenverarbeitung mit Kameras ist entscheidend, ob einzelne Personen auf den Bildern eindeutig zu erkennen sind oder die Aufnahmen Rückschlüsse auf die Identität des Gefilmten ermöglichen. Personen können regelmäßig identifiziert werden, wenn Gesichtszüge erkennbar abgebildet sind. Auch aus den Begleitumständen einer Aufnahme kann sich ein Bezug zu einer bestimmten Person ergeben (s. DSK Orientierungshilfe Videoüberwachung durch nichtöffentliche Stellen, Stand: 17.7.2020, Seite 5).

Im vorliegenden Fall steht in Bezug auf die Beschäftigten die Identifizierbarkeit außer Zweifel. Dabei kommt es nicht darauf an, ob die Gesichtszüge eindeutig erkennbar sind (was bei einigen Aufnahmen mehr, bei anderen weniger der Fall ist), weil die Beschäftigten jedenfalls auch anhand ihrer Statur sowie des Arbeitsplatzes und Zeit und Ort der Aufnahme identifizierbar sind.

Das Erfassen des Verhaltens der Beschäftigten am Arbeitsplatz und an der Arbeitsstelle ist auch als Verarbeitung personenbezogener Informationen im Sinne der oben genannten Definition anzusehen.

b)

Die Rechtmäßigkeit der Videoüberwachung durch Privatpersonen und Unternehmen ist in der DSGVO nicht speziell geregelt. Es gilt daher die allgemeine Norm des Art. 6 DSGVO, wonach die Verarbeitung nur rechtmäßig ist, wenn mindestens eine der im einzelnen genannten Bedingungen erfüllt ist. Dabei kommt insbesondere Art. 6 Abs. 1 Satz 1 f) in Betracht, wonach die Verarbeitung dann rechtmäßig ist, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte oder Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Die spezielle Regelung in § 4 BDSG n. F. ist nicht anzuwenden, weil nationale Gesetzgeber im Anwendungsbereich der DSGVO keine ergänzenden Regelungen treffen dürfen und die in Art. 6 Abs. 2 und Abs. 3 DSGVO vorgesehenen Ausnahmen sich auf Verarbeitungen gemäß Abs. 1 c) und e) beziehen, die für die Videoüberwachung durch Privatpersonen oder Unternehmen nicht einschlägig sind (s. BVerwG, Urteil vom 27. März 2019 - 6 C 2.18, zitiert nach juris Rn. 47).

Für die Datenverarbeitung im Beschäftigungsverhältnis gilt indes vorrangig die spezielle Regelung des § 26 BDSG n.F. Die Regelung der Datenverarbeitung im Beschäftigungskontext durch die Mitgliedsstaaten ist in Art. 88 DSGVO ausdrücklich vorgesehen.

Personenbezogene Daten von Beschäftigten dürfen zunächst für die Zwecke des Beschäftigungsverhältnisses verarbeitet werden (§ 26 Abs. 1 BDSG n.F.). Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind (§ 26 Abs. 1 Satz 2 BDSG n.F.).

aa) Der vorgenannte Erlaubnistatbestand setzt dem Wortlaut nach einen konkreten Verdacht gegenüber einer bestimmten überwachten Person voraus und ist unmittelbar nicht einschlägig.

Präventive Maßnahmen zur Vermeidung von Straftaten etc., etwa durch offene Videoüberwachung, sind dadurch jedoch nicht ausgeschlossen. § 26 Abs. 1 S. 2 BDSG entfaltet insoweit keine Sperrwirkung (Maschmann in Kühling/Buchner, aaO, § 26 BDSG Rn. 58; BAG, Urteil vom 28.03.2019, 8/AZR 421/17).

Die Erhebung, Verarbeitung und Nutzung zur Verhinderung von Straftaten beurteilt sich nach dem Erforderlichkeitsgrundsatz (Riesenhuber in BeckOK, 42. Edition 2022, § 26 BDSG, Rn. 130).

Die Betroffene hat im Rahmen des aufsichtsbehördlichen Verwaltungsverfahrens sowie auch im Rahmen des Bußgeldverfahrens auf das besonders hohe Risiko von Diebstählen auch durch Beschäftigte hingewiesen, das durch verschiedene Umstände wie leicht zu versteckende und zu transportierende, gut zu verwertende hochpreisige Elektroartikel geprägt ist.

Tatsächlich bestätigt der im Zuge des Verwaltungsverfahrens aufgedeckte Bandendiebstahl dieses Risiko, die Gefahr verhältnismäßig hoher Schäden aufgrund der Art und Werthaltigkeit der Elektroartikel sowie dem daraus potenziell erwachsenden Anreiz zur Entwicklung bandenmäßiger Diebstahlsstrukturen.

Allerdings bestätigt der aufgedeckte Bandendiebstahl auch, dass dieser trotz der umfangreichen Videoüberwachung eine Zeit lang unbemerkt begangen wurde, dass die beteiligten Mittäter sich von der Videoüberwachung nicht von den Taten haben abhalten lassen, sondern stattdessen Strategien entwickelt haben, ordnungsgemäße Bestell-, Abhol- und Bezahlvorgänge vorzutäuschen und in größerem Umfang Waren ohne Bezahlung aus dem Bestand zu entfernen, ohne dass dieses von den Überwachungskameras unmittelbar als Diebstahlsvorgang registriert werden konnte.

Im Bußgeldbescheid ist dazu ab Seite 57 unter anderem folgendes ausgeführt:

"Eine ständige und anlasslose Überwachung einer großen Anzahl von Beschäftigten, wie sie von ihnen betrieben wurde, ist unzulässig. Die Persönlichkeitsrechte der Beschäftigten, hier eine Ausgestaltung des Grundrechts der informationellen Selbstbestimmung, haben in der nationalen und supranationalen Rechtsordnung einen ganz erheblichen Stellenwert. Dieser ist abzuwägen gegen das Eigentumsrecht der datenschutzrechtlich Verantwortlichen. Die Abwägung (siehe unten) führt dazu, dass die Interessen des Arbeitgebers am Schutz vor Eigentumsdelikten sowie der Aufdeckung von Arbeitsfehlern die Grundrechte der Beschäftigten am Schutz ihrer personenbezogenen Daten nicht außer Kraft setzen.

......

Die Videoüberwachung kann für die Zwecke der Aufdeckung von Arbeitsfehlern (Äußerungen vom 17. Januar und 16. März 2020) und der Aufklärung von Diebstählen grundsätzlich geeignet sein. Im Falle eines Live-Monitoring wäre sie darüber hinaus grundsätzlich geeignet, Arbeitsfehlern und Diebstählen vorzubeugen. Es kann allerdings nicht festgestellt werden, ob Beschäftigte auf diesen Wegen mehr als die zur Ausführung einer Bestellung notwendigen kleineren höherpreisigen Artikeln wie SD-Karten oder mobile Festplatten (Blatt 38-Rück der Akte) bewegen.

Im oben dargelegten Umfang war die Videoüberwachung allerdings aber nicht erforderlich, um die Zwecke zu erreichen.

Zur Prävention stehen Arbeitgebern weniger tief in die Persönlichkeitsrechte ihrer Beschäftigten eingreifende und damit mildere Mittel zur Verfügung. In Betracht kommen insbesondere Schleusen und stichprobenartige Tor- bzw. Taschenkontrollen (BI.61Rückd.A.). Tor- bzw. Taschenkontrollen weisen einen erheblichen Abschreckungseffekt auf, da Diebstähle fast jederzeit -jedenfalls zeitlich nah an der Tathandlung - bemerkt werden können. Zugleich werden die Persönlichkeitsrechte der datenschutzrechtlich betroffenen Personen nicht in einem mit einer ständigen Videoüberwachung vergleichbaren Maße berührt. Tor- und Taschenkontrollen erfolgen stichprobenartig, sodass nicht ständig alle Beschäftigten von der Maßnahme betroffen sind. Zudem dauern sie allenfalls wenige Minuten, finden an einer von außen nicht einsehbaren Stelle statt und beschränken sich regelmäßig auf die Durchsicht der mitgeführten Behältnisse und Taschen. Bei begründeten Verdachtsfällen könnte zudem eine Leerung der (weiteren) Taschen, ggf. unter Hinzuziehung der Polizei, erfolgen. Es handelt sich um ein arbeitsrechtlich (BAG, Urt. v. 09.07,2013,1 ABR 2/13) sowie datenschutzrechtlich anerkanntes Mittel. Die von Ihnen hierzu zitierte Rechtsprechung des Bundesarbeitsgerichts (BAG,Urt. v. 20,10.2016, 2AZR 395/15) betrifft hingegen einen nicht vergleichbaren Fall, in dem stichprobenartige Kontrollen nicht ausgereicht hätten und darüber hinaus Beschäftigte von der Maßnahme betroffen gewesen wären, die bereits nicht als Täter in Betracht kamen.

...........

Die Videoüberwachung war im oben benannten Umfang, selbst wenn die Erforderlichkeit unterstellt würde, auch nicht verhältnismäßig.

Die Videoüberwachung stellt einen besonders intensiven Eingriff in das Persönlichkeitsrecht dar, da nicht nur einzelne Aspekte des Verhaltens, sondern das Gesamtverhalten beobachtet und ggf. analysiert werden können (BeckOK DatenschutzR/Riesenhuber, § 26 BDSG, Rn. 144). Damit wird ein Druck ausgelöst, sich möglichst unauffällig zu benehmen, um nicht wegen abweichender Verhaltensweisen kritisiert oder sanktioniert zu werden (BAG, Beschl. v. 29.06.2004,1 ABR 21/03). Vor diesem Hintergrund überwiegen bei der gebotenen Interessenabwägung die Interessen der Beschäftigten hinsichtlich der von ihnen für längere Zeit genutzten Arbeitsbereiche. Die Interessen der datenschutzrechtlich Verantwortlichen haben demgegenüber zurückzutreten, sodass die Überwachung nicht auf § 32 Abs. 1 Satz 1 BDSG a. F. und § 26 Abs. 1 Satz 1 BDSG n. F. gestützt werden konnte. Eine vermeintlich abschreckende Wirkung der Videoüberwachung rechtfertigt für sich genommen keinen dauerhaften und/oder anlasslosen Eingriff in die Persönlichkeitsrechte der Beschäftigten; andernfalls könnte eine Überwachung uferlos zu Lasten datenschutzrechtlich betroffener Personen ausgedehnt werden (VG Hannover, Urt, v, 27.11.2020, 10 A 1882/19; Urt. v, 27.11.2020, 10 A 2382/19). Die Beschäftigten müssen ihre Persönlichkeitsrechte nicht für einen Generalverdacht ihres Arbeitgebers aufgeben (VG Hannover, Beschl v, 13,08,2019,10 B 1883/19; Urt. v. 27,11,2020,10 A 1882/19)."

Den vorstehend wiedergegebenen Ausführungen der LfD stimmt das Gericht zu und schließt sich ihnen im Grundsatz an.

Zwar wären die von der LfD alternativ aufgezeigten Diebstahlspräventionsmöglichkeiten wie Tor- und Taschenkontrollen zur Vermeidung von Diebstählen mittels vorgetäuschter Bestell-, Abhol- und Bezahlvorgänge durch scheinbare Kunden nicht geeignet gewesen. Die umfangreiche Videokameraüberwachung war, wie oben dargelegt, zur Abschreckung und Vermeidung aber auch nicht genügend, sondern wurde gezielt unterlaufen.

Gegenüber der Mitnahme ohne Bezahlung scheinbar im Kundenauftrag kommissionierter Ware durch Mitarbeiter in Arbeitspausen oder nach Arbeitsschluss, die ebenfalls modus operandi des aufgedeckten Bandendiebstahls war, wären Tor- bzw. Taschenkontrollen zur Abschreckung und Vermeidung durchaus geeignet.

Allerdings ist zu berücksichtigen, dass die Videoaufnahmen die nachträgliche Aufdeckung und Nachvollziehbarkeit sowie Beweisbarkeit der Diebstahlsvorgänge überhaupt erst ermöglicht oder jedenfalls erheblich begünstigt haben dürften und sie dazu grundsätzlich auch geeignet sind. Auf der anderen Seite ist jedoch auch zu berücksichtigen, dass, wie im Urteil der Strafkammer in der Strafsache 34 KLs 6453 Js 40029/18 (5/19) mehrfach hervorgehoben wurde, "Organisationsmängel von XXX die Angeklagten erst in die Lage versetzt haben, ihr Vorhaben ohne die an sich vorgesehene und gebotene Kontrolle umzusetzen".

In der Gesamtwürdigung kann die in größerem Umfang durchgeführte Kameraüberwachung bei Verzicht auf oder Vernachlässigung von weniger einschneidenden Kontroll- und Diebstahlspräventionsmaßnahmen im oben genannten Sinne nicht als unter dem Gesichtspunkt der Diebstahlsprävention und -aufklärung rechtmäßig angesehen werden. Es steht dem Unternehmer unter der DSGVO auch nicht frei, nach eigenem Dafürhalten darüber zu entscheiden, ob er zur Vermeidung und Aufklärung von Diebstählen vorwiegend auf elektronische Überwachung der Mitarbeiter oder auf herkömmliche Kontrollmethoden setzt.

Die berechtigte Interessenlage der Betroffenen bei einem gesteigerten Diebstahlsrisiko ist allerdings im Rahmen der Bewertung des Verstoßes und der Rechtsfolge als mildernder Umstand zu berücksichtigen.

bb) Die Betroffene nimmt weiterhin als berechtigtes Interesse die Produktverfolgung bei Warenankunft, Versand, Dokumentation von Retouren und der allgemeinen Warenverfolgung im Warenlager für sich in Anspruch und legt dieses mit Einspruchsbegründung der Rechtsanwälte XXX und XXX vom 25.02.2020 für insgesamt 60 Kameras dar.

Dazu führt sie aus, dass es den Mitarbeitern in den Warenlagern nicht möglich sei, die Paletten unmittelbar bei deren Ankunft auf Vollständigkeit und Unversehrtheit zu überprüfen. Die Aufnahmen werden nicht standardmäßig ausgewertet und überprüft, insbesondere finde keine Live-Überwachung an Monitoren statt. Einzig wenn Mängel auftreten oder Ware auf den Paletten fehle, werde(n) gezielt die Anlieferung durch Einsichtnahme der entsprechenden Videoaufnahmen nachvollzogen und entsprechende Beweise gegen den Lieferanten gesichert. Die Kameras entlang des Warenflusses vor der Versendung mit den Logistikdienstleistern unterstützen die Rekonstruktion, ob eine bestimmte, korrekte Ware für einen bestimmten Kunden in ein Paket eingepackt wurde, die Sendung an den Logistikdienstleister übergeben wurde und beim Verlassen des Warenlagers unversehrt war (oder Mängel erst auf dem Transportweg zum Empfänger verursacht wurden, sodass der Logistikdienstleister verantwortlich wäre). Eine Sichtung der Aufnahmen finde nur im Falle von Reklamationen statt. Die Dokumentation von Retouren solle festhalten, welche Ware ein bestimmter Kunde als retour zurückgeschickt habe. Die Aufnahmen werden nur gesichtet, wenn es zu Unstimmigkeiten komme.

aaa) Hinsichtlich der Frage, ob die vorgenannten Zwecke als berechtigtes Interesse überhaupt in Betracht kommen, ist der Sachverhalt nicht hinreichend aufgeklärt worden.

Die LfD hat mit der Übersendungsverfügung vom 16.11.2021 den Zweck der Wareneingangs- und -ausgangskontrolle als untaugliche Schutzbehauptung abgetan. Mit Rücksicht auf die Tatsache, dass im Verwaltungsverfahren die Überwachung der Beschäftigten zwecks Verhinderung und Verfolgung von Straftaten als Zweck der Videoüberwachung mehrfach betont worden sei, könne die nunmehr erfolgte Wendung, dass die Dokumentation in erster Linie der Warenverfolgung diene und die Erfassung der Beschäftigten nur bei dieser Gelegenheit erfolge, nur als Schutzbehauptung gewertet werden. Es sei im Übrigen auch nicht nachvollziehbar, wie die tatsächlich durchgeführte Videoüberwachung im einzelnen etwa eine Schadensfreiheit der beschriebenen Kleinwaren dokumentieren solle.

Diese Bewertung beruht nach Auffassung des Gerichts auf einer unzureichenden Tatsachengrundlage. Der Zweck der Wareneingangs- und -ausgangskontrolle ist bereits in der Vorabkontrolle des externen Datenschutzbeauftragten vom 1.3.2018 aufgeführt und kann daher nicht bloß als nachträglich bemühte Schutzbehauptung abgetan werden. Die Eignung zu den genannten Zwecken erscheint auch nicht als völlig abwegig und hätte ohne zumindest exemplarische Inaugenscheinnahme der Verhältnisse vor Ort und Überprüfung der behaupteten Zweckeignung nicht als widerlegt angesehen werden dürfen.

Zum jetzigen Zeitpunkt ist eine diesbezügliche Sachverhaltsaufklärung nicht mehr nachholbar. Die Tatzeit liegt mehrere Jahre zurück. Die beanstandeten Kameras sind im Laufe des Verfahrens und danach von der Betroffenen abgebaut bzw. in ihren Einstellungen und im Aufnahme-Modus verändert worden. Eine Rekonstruktion sämtlicher Kameraeinstellungen, für die dieser Aufnahmezweck als berechtigtes Interesse vorgebracht wurde, sowie der örtlichen Gegebenheiten einschließlich der Mitarbeiter-Arbeitsplätze, Laufwege etc. in einer Weise, die eine Nachvollziehbarkeit der Plausibilität der behaupteten Zweckeignung im maßgeblichen Zeitraum und ein zuverlässiges Urteil darüber ermöglicht, erscheint ausgeschlossen. Der mit Beschluss vom 9.5.2022 mitgeteilten Einschätzung des Gerichts, dass eine Rückgabe des Verfahrens an die Verwaltungsbehörde zur Nachermittlung gemäß § 69 Abs. 5 OWiG nicht erfolgversprechend erscheine, ebenso wenig eigene Ermittlungen seitens des Gerichts, ist seitens der Staatsanwaltschaft nicht widersprochen und seitens der Betroffenen zugestimmt worden.

bbb) Die unzureichende Tatsachenaufklärung betreffend den Gesichtspunkt der Wareneingangs- und -ausgangskontrolle als möglicherweise berechtigtes Interesse ist im Rahmen der Bewertung der Tat und der Rechtsfolge als mildernder Umstand zu berücksichtigen.

Sie führt indes nicht dazu, dass die Kameras, denen dieser Zweck zugeschrieben wurde, im Ergebnis als von berechtigtem Interesse getragen anzusehen und von dem Tatvorwurf der Verarbeitung personenbezogener Daten ohne Rechtsgrundlage auszunehmen wären. Das Gericht teilt insoweit die Auffassung der LfD, dass, selbst wenn die Geeignetheit vorläge, die Erfassung des davorliegenden Beschäftigtenbereiches nicht erforderlich wäre und die Erfassung der Personen auch gerade Zweck der Videoüberwachung sei, weil anders eine Verfolgung von Diebstählen im Einzelfall kaum möglich wäre. Dafür spricht auch, dass die Kameras nicht lediglich die Ware, Verpackungen oder zur Arbeitstätigkeit erforderliche Gerätschaften erfassen, sondern auch und vor allem die handelnden Personen.

Auch unter Berücksichtigung des nicht hinreichend ermittelten Zwecks der Warenverfolgung kann ein berechtigtes Interesse der Betroffenen in dem festgestellten Umfang jedenfalls nicht anerkannt werden. Ebenso wie in Bezug auf den Zweck der Diebstahlsprävention ist festzustellen, dass es den Unternehmen wegen der Anforderungen des Datenschutzes nicht freisteht, sich zur Wareneingangs- und -ausgangskontrolle in größerem Stil elektronischer Überwachungsmaßnahmen anstelle herkömmlicher, personalgebundener Überwachungs- und Warenkontrollmechanismen zu bedienen. Es ist den Gewerbetreibenden und/oder Versandhändlern auch nicht zuzubilligen, einen Preisvorteil darüber zu generieren, dass personalgebundene Maßnahmen zugunsten einer umfassenden Kameraüberwachung eingespart werden.

Eine Rechtfertigung gemäß Art. 6 Abs. 1 b) und c) DSGVO kommt nicht in Betracht. Art. 6 Absatz 1 b) betrifft die Datenverarbeitung im Rahmen des Vertragsverhältnisses und ist zur Rechtfertigung der Erfassung von mit der Abwicklung beauftragten Beschäftigten nicht geeignet. Entsprechendes gilt auch hinsichtlich Art. 6 Absatz 1 c) DSGVO, der die Notwendigkeit zur Erfüllung einer rechtlichen Verpflichtung voraussetzt, wozu keine privatrechtlichen Verträge zählen.

2.

Soweit im Bußgeldbescheid im Weiteren der Vorwurf der unzulässigen Verarbeitung personenbezogener Daten ohne Rechtsgrundlage hinsichtlich Kundinnen und Kunden sowie unbeteiligter Dritter durch die Erfassung von zum Verweilen einladender Bereiche (Sitzgelegenheiten) in den Verkaufsräumen (Store) der Liegenschaft XXX sowie öffentlich zugänglicher Teile des Außenbereichs mit den 7 Kameras DE0640CAM036, DE0641CAM143, DE0641CAM150, DE0642CAM145, DE0642CAM146, DE0642CAM242 und DE0643CAM003 erhoben wurde, so ist die Kammer diesem nicht gefolgt.

Die Überwachung von Verkaufsräumen zum Schutz vor Diebstahl durch Kunden ist grundsätzlich vom berechtigten Interesse des Gewerbetreibenden gemäß Art. 6 Absatz 1 f) DSGVO getragen und üblich. Eine übermäßige Überwachung der Kunden ist hier nicht feststellbar. Soweit im Bußgeldbescheid die Überwachung gerade zum Verweilen einladender Sitzgelegenheiten beanstandet wird, kann dieses nicht nachvollzogen werden. Tatsächlich handelt es sich ausweislich der Videographien um schlichte Bänke zu beiden Seiten eines Metalltisches eines Ausstellers in der Nähe der Eingangstür. Ein besonderes schützenswertes Interesse von Kundinnen und Kunden, dort keiner Kameraüberwachung ausgesetzt zu sein, ist nicht ersichtlich. Die Bänke dienen ersichtlich dem Ausprobieren der auf dem Metalltisch stehenden Laptops, nicht jedoch der privaten Kommunikation in entspannter Atmosphäre.

Hinsichtlich der Kamera DE0640CAM036, mit der eine unzulässige Überwachung der Bahnlinie beanstandet wird, ist eine Erkennbarkeit von Passagieren anhand Videographie nicht nachvollziehbar, ebensowenig der Aufenthalt von Kundinnen und Kunden dort.

Aufgrund der tateinheitlichen Begehungsweise war von einem (Teil-)Freispruch abzusehen.

3.

Die Verarbeitung personenbezogener Daten von Beschäftigten und unbeteiligten Dritten ohne Rechtsgrundlage mit Videoüberwachungskameras durch überlange Speicherdauer des erhobenen Videomaterials mit den nachfolgend aufgeführten 39 Kameras stellt einen wie eine Ordnungswidrigkeit zu behandelnden Verstoß gegen Art. 17 Abs. 1 DSGVO dar (Art. 83 Abs. 5 b) DSGVO, § 41 BDSG n.F.).

Die besagten Kameras betreffen nur Arbeits- und Lagerbereiche, so dass auch insoweit nur Beschäftigte, allenfalls unbeteiligte Dritte betroffen sind.

Die DSGVO sieht keine Vorgaben für die Aufzeichnungsfristen bei Videoüberwachungen vor. Personenbezogene Daten sind jedoch unverzüglich zu löschen, sobald bzw. sofern sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind (Art. 1 Abs. 1 a) DSGVO). Der vorgenannte Löschungsgrund dient der Verwirklichung der Grundsätze der Datenminimierung und Speicherbegrenzung aus Art. 5 Abs. 1 c) und d). Personenbezogene Daten dürfen demnach grundsätzlich nur in dem Ausmaß verarbeitet (und damit auch gespeichert) werden, das zur Erfüllung der zulässigen Zwecke notwendig ist, zu denen sie erhoben oder auf sonstige Weise verarbeitet wurden (Herbst in Kühling/Buchner, aaO, Art. 17 DSGVO Rn. 17).

Die von der Datenschutzkonferenz erstellte "Orientierungshilfe Videoüberwachung durch nichtöffentliche Stellen" (Stand 17. Juli 2020) geht davon aus, dass eine Klärung, ob eine Sicherung des Materials notwendig ist, in den meisten Fällen innerhalb von ein bis zwei Arbeitstagen erfolgen kann. Das bedeute, dass eine Speicherdauer von 72 Stunden in der Regel zulässig sei. Innerhalb dieses Zeitraumes könne der Verantwortliche regelmäßig Schäden an überwachten Objekten, Einrichtungen oder Übergriffen auf Personen üblicherweise feststellen und eine Löschung der relevanten Sequenzen unterbinden. Eine verlängerte Speicherfrist sei beispielsweise an mehrtägigen Feiertagen und in den Urlaubszeiten möglich, wenn kein Geschäftsbetrieb erfolgt und Schäden nicht unmittelbar bemerkt werden können. Gegebenenfalls könne auch ein besonderer Überwachungszweck eine längere Speicherung rechtfertigen. Eine verlängerte Speicherdauer gelte dabei aber immer nur für die Kameras, die einen besonderen Überwachungszweck verfolgen oder für die eine besondere Begründung vorliegt. Sie dürfe als Speicherdauer nicht auf alle Kameras übertragen werden und erfordere einen höheren Begründungsaufwand hinsichtlich des Zwecks sowie der Notwendigkeit der Speicherung (DSK Orientierungshilfe, aaO Seite 22).

Das DSK-Kurzpapier Nr. 15 "Videoüberwachung nach der Datenschutz-Grundverordnung" (Stand: 17.12.2018) geht sogar von einer grundsätzlichen Löschung nach nur 48 Stunden aus.

Die vorbezeichneten, nach den Vorgaben der DSK allenfalls zulässigen Speicherfristen setzen eine Verpflichtung des Verantwortlichen voraus, die Notwendigkeit einer eventuell länger erforderlichen Speicherung und Verwertung des erhobenen Materials unverzüglich zu klären und zu diesem Zweck die in zulässiger Weise erstellten Videoaufnahmen unverzüglich zu sichten.

Diese Vorgabe erscheint insoweit zweifelhaft, als auch solche Konzepte grundsätzlich zulässig erscheinen, die auf eine längere Speicherfrist setzen, eine tatsächliche Sichtung des erhobenen Materials aber nur - ausnahmsweise - für den Fall vorsehen, dass dieses aufgrund bestimmter Indikatoren geboten erscheint. Letzteres setzt jedoch, wie schon die Formulierung erkennen lässt, ein bestimmtes Konzept voraus, in dem die Videoüberwachung als Teil des Konzepts zur Diebstahlsprävention und -aufdeckung definiert und klar bestimmt ist, in welchem zeitlichen Rahmen Bestände überprüft und sonstige Kontrollmaßnahmen durchgeführt werden.

Ein solches Konzept liegt hier, wie oben bereits ausgeführt, weder unter dem Gesichtspunkt der Diebstahlsprävention noch der Warenkontrollfunktion als Aufnahme- und Speicherungszweck vor. Einer Einzelfallbetrachtung, ob für bestimmte Kameras von einer zulässigen längeren Speicherdauer als den von der LfD vorausgesetzten 3 Tagen auszugehen ist, bedarf es daher nicht. Es fehlt, wie unter B 1. ausführlich dargelegt, jedenfalls an einem tragfähigen Konzept, in dem die Videoüberwachung nicht alleiniges oder hauptsächliches Mittel zur Diebstahlsprävention und/oder Warenkontrolle ist, sondern allenfalls eine von mehreren Kontrollmaßnahmen, deren Einsatz nach Art, Umfang und Speicherdauer einem vorab festgelegten Plan folgt.

Die im vorliegenden Fall im Tenor für die einzelnen Kameras im "Backstagebereich" für Mitarbeiter und auf Laufwegen beanstandete Speicherdauer von 10 Tagen für die Kameras DE 0640CAM065, DE0642CAM246, DE642CAM254, DE0643CAM080, von 30 Tagen für die Kamera DE0641CAM082 und von 60 Tagen für die übrigen 34 Kameras kann deshalb nicht als für einen berechtigten Zweck erforderlich angesehen werden.

Das Fehlen verbindlicher Vorgaben für eine zulässige Speicherdauer und die Orientierung an der "Erforderlichkeit für den zulässigen Zweck", welche dem Verantwortlichen mutmaßlich einen eigenen Beurteilungsspielraum einzuräumen scheint, ist jedoch im Rahmen der Bewertung des Verstoßes und der Rechtsfolge als mildernder Umstand zu berücksichtigen.

4.

In der Verarbeitung personenbezogener Daten ohne Rechtsgrundlage mit Videokameras durch unzureichende technisch-organisatorische Maßnahmen, aufgrund der unterlassenen aber erforderlichen Schwärzung bei 81 Kameras hinsichtlich Verkaufs-und Arbeitsräumen und des als Pausenbereich genutzten Außenbereichs liegt ein wie eine Ordnungswidrigkeit zu behandelnder Verstoß gegen Art. 25 Abs. 2 DSGVO (Art. 83 Abs. 4 a) DSGVO, § 41 BDSG n.F.).

Danach hat der Verantwortliche geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellung nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.

Die Pflicht zur Einrichtung von datenschutzfreundlichen Voreinstellungen bedeutet im Grundsatz, dass ein Produkt oder Dienst für den Nutzer bereits ohne weiteres Zutun beim ersten Einschalten bzw. Aufruf die datenschutzfreundlichsten Einstellungen und Komponenten aufweisen soll. Es geht darum, dass der Verantwortliche schon zu Beginn Voreinstellungen vornehmen muss, die datenschutzfreundlich sind (Hartung in Kühling/Buchner, aaO, Art. 25 Rn. 24).

Aus demselben Grundsatz folgt auch die Forderung, dass die Verarbeitung personenbezogener Daten nur auf der Grundlage eines vorab festgelegten Konzepts erfolgt und es nicht genügt, dieses erst zu einem späteren Zeitpunkt gegenüber der Aufsichtsbehörde zu entwickeln und darzulegen. Dieses gilt umso mehr, je stärker die Datenverarbeitung die berechtigten Interessen Dritter beeinträchtigt, was bei der Video-Überwachung sowohl unter dem Gesichtspunkt des dauerhaften Überwachungsdrucks als auch des aus dem allgemeinen Persönlichkeitsrecht hergeleiteten Rechts am eigenen Bild ohne weiteres zu bejahen ist.

Dass Art. 25 DSGVO weder eine konkrete Anleitung, Methodik oder Instrumente zur Umsetzung nennt, die Verantwortlichen somit weitgehend auf sich selbst gestellt sind und einerseits einen scheinbar weiten Gestaltungsspielraum haben, andererseits aber bis zu einer gerichtlichen Klärung auch Rechtsunsicherheit besteht (s. Hartung in Kühling/Buchner, aaO, Art. 25 Rn. 17) ist bei der Bewertung eines Verstoßes und der Rechtsfolge als mildernder Umstand zu berücksichtigen.

Im vorliegenden Fall ist ein Verstoß gegen Art. 25 Abs. 2 DSGVO aufgrund der Feststellungen zu V.1. ohne weiteres zu bejahen, fällt diesen gegenüber schon wegen der unterschiedlichen Bestimmungen für den Bußgeldrahmen in Art. 83 Absatz 4 und Abs. 5 DSGVO jedoch nicht erheblich ins Gewicht.

5.

Der gegen mehrere Normen verstoßenden dauerhaften Überwachung mit zahlreichen Videokameras liegt ein einheitlicher Wille nach einer möglichst umfassenden Überwachung im Sinne einer natürlichen Handlungseinheit zugrunde, sodass Tateinheit (§ 19 OWiG) vorliegt.

Eine Differenzierung zwischen dem Verarbeitungszweck der Diebstahlsprävention und der Warenkontrollfunktion ist nicht geboten, weil die Absicht, die Videoaufzeichnungen bei Vorliegen konkreter Anhaltspunkte für Diebstähle im Bereich der Beschäftigten auch unter diesem Gesichtspunkt auszuwerten, zur Überzeugung des Gerichts auch hinsichtlich der Kameras, für die der Einlassung der Betroffenen zufolge der Zweck der Wareneingangs- und - ausgangskontrolle im Vordergrund steht, nicht in Abrede gestellt werden kann (s.o. V.1. b) bb) bbb)).

6.

Die Tatzeit datiert auf den Zeitraum vom 05. Mai 2018 bis 18. Juli 2019, liegt mithin teilweise noch vor dem Inkrafttreten der DSGVO am 25. Mai 2018.

a)

Der Tatbeginn kann nicht - wie im Bußgeldbescheid erfolgt - an den Eingang der Beschwerde am 25. März 2017 geknüpft werden, sondern erst an den Zeitpunkt, den die Videographien der beanstandeten Kameras ausweisen. Daraus ergibt sich der 05.05.2018 als frühester Zeitpunkt. Soweit die LfD in der Übersendungs-Verfügung vom 16.11.2021 demgegenüber darauf verweist, dass bereits am Tag der Anzeige eine Videoüberwachungsanlage in Betrieb gewesen sei, bei der sich eine datenschutzrechtlich betroffene Person in ihren Rechten beeinträchtigt gesehen habe und dass aus dem gesamten aufsichtsbehördlichen Kontrollverfahren eine schon seit längerer Zeit bestehende umfangreiche Videoüberwachung "bis zu den Toilettentüren" zu ersehen sei, fehlt es jedenfalls an konkreten Feststellungen dazu. Diese sind aus den oben bereits ausgeführten Gründen jetzt auch nicht mehr nachholbar.

b)

Das Ende der Tatzeit hat die LfD auf den 18. Juli 2019 datiert, wobei in den Gründen ausgeführt wurde, dass sich hinsichtlich der im Nachgang zum behördlichen Schreiben vom 18. April 2019 zulässig eingestellten Kameras der Tatzeitraum auf die Zeit vom 25. März 2017 bis zum 31. Mai 2019 beschränke.

Die Kammer folgt dieser Datierung auf den 18. Juli 2019. Soweit die genaue Zeitdauer des Verstoßes nicht hinsichtlich jeder einzelnen Kameraeinstellung feststeht, ist dieses hinzunehmen, weil es für den Verstoß als solchen nicht darauf ankommt, mit welcher Anzahl von Kameras er begangen wurde, solange davon auszugehen ist, dass es sich jedenfalls um eine Vielzahl und nicht bloß einen Einzelfall handelte. Außerdem ist zu berücksichtigen, dass bei einem Teil der Kameras nicht bloß die unzulässige Erfassung der Beschäftigten beanstandet wird, sondern auch die überlange Speicherdauer. Dieser Vorwurf besteht hinsichtlich der Laufwege auch nach Schwärzung der Arbeitsbereiche weiter fort. Im Rahmen des tateinheitlich bewerteten Verstoßes kommt es nicht entscheidend auf die Feststellung der Einsatzdauer jeder einzelnen Kamera an, weil das Tatgeschehen ohnehin als "eine Tat" behandelt und bewertet wird. Die Bewertung als "eine Tat" ist dabei für die Betroffene insgesamt günstiger als die Annahme mehrerer jeweils bußgeldbewehrter Taten wäre.

Der Umstand, dass die im Einzelnen beanstandeten Kameraeinstellungen nicht während des gesamten Tatzeitraums so bestanden, dieser vielmehr nur den Anfangs- und den Endzeitpunkt markiert und die Betroffene auch während des aufsichtsbehördlichen Verfahrens bemüht war, einzelnen Beanstandungen abzuhelfen, ist jedoch im Rahmen der Bewertung des Verstoßes und der Rechtsfolge zugunsten der Betroffenen zu berücksichtigen.

VI.

1. Angewendetes Recht

Die Tat ist sowohl nach der DSGVO als auch nach dem BDSG a.F. mit Geldbuße bedroht. Nach § 43 Abs. 2 Nr. 1 BDSG a.F. (gültig bis 24. Mai 2018) handelt ordnungswidrig, wer vorsätzlich oder fahrlässig unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet. Gemäß § 43 Abs. 3 BDSG a.F. kann die Ordnungswidrigkeit in Fällen des Abs. 2 mit einer Geldbuße bis zu 300.000 € geahndet werden.

Da die Tat mit Beginn der Geltung der DSGVO am 25. Mai 2018 fortdauerte und erst am 18. Juli 2019 endete, bestimmt sich die Geldbuße nach der DSGVO (§ 4 Abs. 2 OWiG).

Bei der Bemessung der Geldbuße dürfen jedoch die Teilakte, die vor der Sanktionsverschärfung lagen, nur mit dem Gewicht zu Buche schlagen, das ihnen früher tatsächlich zukam (KK/Rogall, OWiG, 5. Aufl., § 4 Rn. 17).

2. Bemessung des Bußgeldes

Die Geldbuße bestimmt sich hier nach Maßgabe des Art. 83 Abs. 5 DSGVO, der für Verstöße gegen die Grundsätze für die Verarbeitung einschließlich der Bedingungen für die Einwilligung gemäß den Artikeln 5, 6, 7 und 9 sowie die Rechte der betroffenen Person gemäß den Artikeln 12-22 gilt. Danach ist die Ordnungswidrigkeit mit einer Geldbuße von bis zu 20 Millionen € bedroht (Art. 83 Abs. 5 DSGVO); im Falle eines Unternehmens beträgt die Geldbuße bis zu 4 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, wenn dieser Wert höher ist.

Art. 83 Abs. 4 DSGVO, der u.a. für Verstöße gegen die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß Art. 25 Geldbußen von bis zu 10 Millionen € oder im Falle eines Unternehmens von bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes vorsieht, tritt im Rahmen des tateinheitlich bewerteten Deliktes zurück (§ 19 Abs. 2 Satz 1 OWiG).

a)

Die Frage, an welches Ereignis das vorangegangene Geschäftsjahr anknüpft, dessen Umsatz die Obergrenze der möglichen Geldbuße bestimmt, ist nicht ausdrücklich geregelt.

Das Landgericht Bonn hat mit Urteil vom 11.11.2020 (29 OWi 1/20) unter Bezugnahme auf die Rechtsprechung des EuGH im Kartellrecht die Höhe des Jahresumsatzes im letzten abgeschlossenen Geschäftsjahr vor Erlass des Bußgeldbescheides zugrunde gelegt (LG Bonn, aaO; EuGH, Urteil vom 26. Januar 2017 - C-637/13 P - Badezimmerkartell Laufen Austria, Rn. 49 und EuGH, Urteil vom 4. September 2014 - C-408/12 P YKK u.a. Rn. 90). Dem entspricht die Bemessung im vorliegenden Bußgeldbescheid und schließt auch die Kammer sich an.

Auf der Basis der Gewinn- und Verlustrechnung für das Jahr 2019 ergeben sich Umsatzerlöse in Höhe von 735.842.390,61 €. Davon 4 % ergeben einen Betrag von 29.433.695,62 €.

Die LfD hat zum Bußgeldrahmen weiter folgendes ausgeführt:

"Die Konzerngewinn- und -verlustrechnung des Mutterunternehmen, XXX liegt für

2019 bislang nicht vor. Im Jahr 2018 ergab sich beim Mutterunternehmen jedoch im Wesentlichen

der gleiche Umsatz. Es wird angenommen, dass sich dieses Verhältnis auch für das Jahr 2019 fortsetzt. Für die Schätzung des weltweiten Jahresumsatzes können die Werte der Unternehmensgruppe unberücksichtigt bleiben, da sie allenfalls marginale Auswirkungen auf den Bußgeldrahmen hätten. Der gesetzliche Bußgeldrahmen beträgt bis zu 29.433.695,62 €."

Diesen Betrag hat auch die Kammer ihrer Entscheidung zugrungegelegt.

b)

Gemäß Art. 83 Abs. 1 DSGVO hat jede Aufsichtsbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

Art. 83 Abs. 2 Satz 2 DSGVO enthält eine Aufzählung von Zumessungskriterien, die in jedem Einzelfall gebührend zu berücksichtigen sind:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von Ihnen erlittenen Schadens;

b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von Ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i) Einhaltung der nach Art. 58 Abs. 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

j) Einhaltung von genehmigten Verhaltensregeln nach Art. 40 oder genehmigten Zertifizierungsverfahren nach Art. 42 und

k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

Das Gericht bewertet den Verstoß bzw. die Verstöße im Ergebnis als von geringerem Gewicht. Zwar geht - wie die LfD in der Begründung des Bußgeldbescheides zu Recht ausführt - mit der Verarbeitung von Bildinformationen stets ein spürbarer und nicht nur geringfügiger Eingriff in die Persönlichkeitsrechte der datenschutzrechtlich betroffenen Personen einher. Einschränkend ist hier jedoch zu berücksichtigen, dass eine tatsächliche Sichtung und Auswertung der erhobenen Daten nur anlassbezogenen erfolgte und davon auszugehen ist, dass die Aufnahmen zum Großteil nach Ablauf der - wenn auch unzulässig langen - Speicherungsfrist ohne vorherige Sichtung und Auswertung gelöscht wurden.

Ungeachtet der Frage, in welchem Umfang die erhobenen Daten ausgewertet wurden, waren die Beschäftigten durch die zeitweise omnipräsenten Videokameras allerdings einem die Unbefangenheit und das Wohlbefinden potenziell beeinträchtigenden Überwachungsdruck ausgesetzt, welcher auch geeignet war, die Leistung und das Verhalten der Beschäftigten zu kontrollieren. Dieser ist wegen des beständigen Abbaus von Kameras im Zuge des aufsichtsbehördlichen Kontrollverfahrens sowie der Veränderung und Schwärzung der Erfassungsbereiche und der sich daraus ergebenden Reduzierung der beanstandeten Kameraeinstellungen hinsichtlich Anzahl und Dauer jedoch nicht geeignet, die Tat als von erheblichem Gewicht zu charakterisieren. Dabei ist auch zu berücksichtigen, dass die Kameraüberwachung zum Zweck der Diebstahlsprävention auch gegenüber den Beschäftigten nicht grundsätzlich unzulässig ist und die Betroffene sich hier, wie der aufgedeckte Fall des Bandendiebstahls belegt, einem gesteigerten Diebstahlsrisiko gegenübersah. Weiterhin ist zu bedenken, dass ein Teil der Kameras möglicherweise auch von einem berechtigten Interesse der Warenkontrolle getragen war, was, wie oben ausgeführt, nicht hinreichend aufgeklärt wurde und zugunsten der Betroffenen als mildernder Umstand zu berücksichtigen ist.

Für die Bewertung der Schwere des Verstoßes ist auch dessen Dauer und Umfang von Bedeutung, ebenso das Bemühen der Betroffenen, im Zuge des aufsichtsbehördlichen Kontrollverfahrens den Hinweisen und Anordnungen der LfD nachzukommen und DSGVO-konforme Zustände herzustellen, zumal die Betroffene bis zu dem von der LfD festgelegten Zeitpunkt der Beendigung der Tatzeit sämtlichen Beanstandungen abgeholfen hat. Dieses ist bei der Bemessung der Geldbuße zugunsten der Betroffenen zu berücksichtigen. Mildernd zu berücksichtigen ist insofern die grundsätzliche Kooperationsbereitschaft der Betroffenen, ebenso ihre Bereitschaft, den Anweisungen und Vorgaben der Aufsichtsbehörde Folge zu leisten, was, insbesondere nach Wirksamwerden der DSGVO, zu einer schnellen und deutlichen Reduzierung der zu beanstandenden Kameraeinstellungen bis hin zur vollständigen Abhilfe führte. Zwar erfolgte dieses unter dem Druck des aufsichtsbehördlichen Kontrollverfahrens, ist aber dennoch zugunsten der Betroffenen zu berücksichtigen, zumal Verzögerungen bei der Herstellung DSGVO-konformer Zustände in der Anfangszeit nach ihrem Wirksamwerden noch eher hinzunehmen sind. Zwar war die Tat auch nach dem BDSG a.F. mit Geldbuße bedroht, aber nur in einem erheblich geringeren Umfang. Tatsächlich übertrifft die Bußgeldandrohung des Art. 83 Abs. 5 DSGVO mit bis zu 20 Millionen € die 300.000 € gemäß § 43 Abs. 3 BDSG a.F. um das 66 fache.

Überhaupt ist das Fehlen klarer Vorgaben und eine daraus resultierende gewisse Rechtsunsicherheit insbesondere im Übergangszeitraum des alten und neuen Rechts mildernd zu berücksichtigen. Unter der DSGVO ist jede Art von Datenverarbeitung unzulässig, sofern sie nicht durch Einwilligung, Gesetz, Wahrnehmung öffentlicher Aufgaben oder berechtigter Interessen gerechtfertigt ist und Letzteren nicht überwiegende Interessen der betroffenen Personen entgegenstehen. Dieser Grundsatz, dass Datenverarbeitung dann, aber auch nur dann und soweit erlaubt ist, wie sie unter dem Gesichtspunkt des rechtfertigenden Tatbestandes oder berechtigten Interesses erforderlich und verhältnismäßig ist, soll gewährleisten, dass Behörden sowie Unternehmen und Privatleute weiterhin im erforderlichen Umfang mit personenbezogenen Daten arbeiten können, bewirkt aber auch eine gewisse Rechtsunsicherheit darüber, was letztlich erlaubt ist und was nicht, zumal dem Verantwortlichen mutmaßlich ein Beurteilungsspielraum zugebilligt wird, der aber im Bußgeldverfahren möglicherweise keinen Bestand hat. Das gilt hier insbesondere im Hinblick auf die Speicherfristen, welche die Betroffene, wie sie gegenüber der Aufsichtsbehörde immer wieder betont hat, unter dem Gesichtspunkt der lediglich anlassbezogenen Sichtung für berechtigt hielt. Zwar teilt das Gericht die Auffassung der LfD, dass der Betroffenen insoweit kein unvermeidbarer Verbotsirrtum zuzubilligen sei, weil die Aufsichtsbehörden für den Datenschutz schon lange vor Inkrafttreten der DSGVO in Bezug auf Videoüberwachung durch nichtöffentliche Stellen die Zulässigkeit allenfalls kurzer Speicherfristen von wenigen Tagen kommuniziert haben. Das Fehlen klarer Vorgaben, sei es durch die DSGVO, das BDSG oder höchstrichterliche Rechtsprechung, ist jedoch zumindest in den Fällen, in denen kein vorsätzlicher Verstoß vorliegt, mildernd zu berücksichtigen.

Ein vorsätzlicher Verstoß liegt hier nicht vor. Das Gericht geht davon aus, dass die gesetzlichen Vertreter der Betroffenen als datenschutzrechtlich Verantwortliche sich aus den verschiedenen dargestellten Gründen für berechtigt hielten, sich zum Schutz berechtigter Interessen der Betroffenen - Schutz des Eigentums, Diebstahlsprävention, Warenkontrolle - einer umfassenden Videoüberwachung bedienen zu dürfen. Auch die ab März 2017 mit der Aufsichtsbehörde geführte Korrespondenz markiert die von diesem Zeitpunkt an noch betriebene unzulässige Videoüberwachung nicht als (bedingt) vorsätzlich. Den Vorgaben und Hinweisen der Aufsichtsbehörde kommt zwar aufgrund ihrer Funktion und des Sachverstandes ihrer Mitarbeiter ein erhöhtes Gewicht zu, die Verbindlichkeit gesetzlicher Normen und/oder höchstrichterlicher Rechtsprechung haben sie jedoch nicht. Im Hinblick darauf, dass der externe Datenschutzbeauftragte im Rahmen der Vorabkontrolle die Kameraüberwachung - wenn auch nach dem alten BDSG - als von den berechtigten Interessen der Betroffenen getragen dargestellt hat, ist der Betroffenen zuzubilligen, dass sie meinte, sich darauf verlassen zu dürfen, zumal sie offensichtlich auch davon ausging, die LfD im Rahmen einer mehrfach angebotenen Ortsbesichtigung von der Berechtigung ihrer Auffassung überzeugen zu können.

Von einem zumindest fahrlässigen Verstoß der gesetzlichen Vertreter als datenschutzrechtlich Verantwortliche kann auch ausgegangen werden, ohne dass es der Feststellung verantwortlichen Handelns oder Unterlassens der entsprechenden natürlichen Personen im Einzelfall bedarf.

Da die DSGVO auf dem Prinzip des Verbots mit Erlaubnisvorbehalt beruht (Kühling/Buchner/Buchner/Petri, DSGVO/BDSG, 3. Aufl., Art. 6 DSGVO Rn. 1), setzt die Rechtmäßigkeit der Verarbeitung personenbezogener Daten grundsätzlich das Vorhandensein eines bestimmten Erlaubnistatbestandes bzw. berechtigten Interesses voraus. Dieses wiederum verlangt den Personen, die personenbezogene Daten verarbeiten, ein entsprechendes Problembewusstsein und die Beachtung der bestehenden Rechts- und Gesetzeslage ab. Den für ein Unternehmen Verantwortlichen, die letztlich über die Arbeitsprozesse in dem Unternehmen entscheiden und denen daher auch die datenschutzrechtliche Verantwortlichkeit im Sinne der DSGVO zukommt, erwächst aus dem Prinzip des Verbots mit Erlaubnisvorbehalt die Pflicht, innerhalb des Unternehmens durch entsprechende Anweisungen, Organisation, Aufsicht und Kontrolle in geeigneter Weise die Beachtung der datenschutzrechtlichen Vorgaben sicherzustellen.

Die Feststellung eines datenschutzwidrigen Zustandes in einem Unternehmen rechtfertigt daher, wenn nicht besondere Umstände dargelegt werden, den Schluss darauf, dass diese Pflicht seitens des Unternehmensinhabers oder vertretungsberechtigten Organs nicht in ausreichender Weise wahrgenommen wurde, was im Regelfall zumindest den Vorwurf der Fahrlässigkeit rechtfertigt.

Die Entscheidung für eine Videoüberwachung der Geschäftsräume und Arbeitsbereiche in dem hier vorliegenden Umfang ist nur auf der Ebene der Geschäftsleitung denkbar. Dieser obliegt als datenschutzrechtlich Verantwortlicher die Organisation und Kontrolle im Hinblick auf die datenschutzrechtlichen Anforderungen. Dass diese Verpflichtungen in datenschutzrechtlicher Hinsicht hier zumindest fahrlässig nicht hinreichend wahrgenommen wurden, ergibt sich aus den Feststellungen zu den Verstößen.

Erschwerende Gesichtspunkte wie etwa einschlägige frühere Verstöße oder die Betroffenheit besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO liegen nicht vor.

c)

Für die konkrete Zumessung der Geldbuße in Verfahren gegen Unternehmen hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) ein am Jahresumsatz ausgerichtetes Konzept (14.10.2019) entwickelt, welches der Bemessung des Bußgeldes im vorliegenden Bußgeldbescheid zugrunde gelegt wurde.

Dieses Konzept und die Fokussierung auf den Unternehmensumsatz ist nach Auffassung des Landgerichts Bonn in dem Verfahren 29 OWi 1/20 wegen der in erster Linie tatbezogenen Gesichtspunkte in Art. 83 Abs. 2 S. 2 DSGVO problematisch: "Eine solche Bemessungsmethode mag bei Datenschutzverstößen von mittlerem Gewicht zu angemessenen Ergebnissen führen. Sie versagt jedoch bei schweren Datenschutzverstößen umsatzschwacher Unternehmen und leichten Datenschutzverstößen umsatzstarker Unternehmen, also in denjenigen Fällen, in denen eine maßgeblich am Umsatz orientierte Zumessung in Widerstreit gerät zu der Zumessung anhand der Kriterien in Art. 83 Abs. 2 S. 2 DSGVO." (LG Bonn, aaO, Rn. 101).

Dem ist im Grundsatz beizupflichten, zumal das Konzept der DSK keine rechtliche Grundlage in der DSGVO hat. Allerdings erscheint wegen der EU-weiten Gültigkeit der DSGVO im Interesse eines vergleichbaren Sanktionsniveaus eine Orientierung an einem länderübergreifend beachteten Konzept sinnvoll und geboten.

Vorzugswürdig erscheinen insoweit die vom Europäischen Datenschutzausschuss (EDPD) entwickelten "Leitlinien 04/22 für die Berechnung von Bußgeldern im Sinne der DSGVO", Version 2.1, angenommen am 24. Mai 2023. Diese richten sich an die Aufsichtsbehörden und sind für das Gericht, das im Bußgeldverfahren nicht die Richtigkeit des Bußgeldbescheides überprüft, sondern eine eigene Entscheidung über den Verstoß trifft, nicht verbindlich. Eine Orientierung an den dort vorgesehenen Empfehlungen für die Ermittlung einer angemessenen Geldbuße ist jedoch aus den vorgenannten Gründen zweckmäßig.

Die Leitlinien sehen ein Stufenmodell vor, bei dem zunächst nach Maßgabe des Art. 83 DSGVO die Art und Schwere des Verstoßes bewertet sowie der Umsatz des Unternehmens und das gesetzliche Höchstmaß der Geldbuße ermittelt werden.

Für Verstöße von geringem Schweregrad ist die Festsetzung einer Geldbuße im Bereich zwischen 0 und 10% der gesetzlichen Höchstgrenze vorgesehen (Kapitel 4.2.4). Daraus ergibt sich hier ein Bereich von 0 bis 2.943.369,56 €.

Darüberhinaus ist die Möglichkeit eröffnet, in Abhängigkeit vom Jahresumsatz und nach Maßgabe des Schweregrades des Verstoßes die Berechnungen auf der Grundlage eines geringeren prozentualen Anteils des ermittelten Ausgangsbetrages vorzunehmen, wenn dies zur Verhängung einer im Einzelfall wirksamen, verhältnismäßigen und abschreckenden Geldbuße geboten erscheint (Artikel 4.3). Bei Unternehmen mit einem Jahresumsatz von mehr als 500 Millionen Euro - wie hier - sollen die Aufsichtsbehörden in Erwägung ziehen können, ohne Anpassung des ermittelten Ausgangsbetrages vorzugehen, weil diese nämlich das statische gesetzliche Höchstmaß überschreiten, sodass sich die Größe des Unternehmens bereits in dem dynamischen gesetzlichen Höchstmaß widerspiegelte, der zur Bestimmung des Ausgangsbetrages für die weitere Berechnung auf der Grundlage der Bewertung des Schweregrades des Verstoßes herangezogen werden (Art. 4.3 Rn. 66).

In Anbetracht der niedrigen Umsatzrendite, nämlich dem Verhältnis des Jahresüberschusses zu den Umsatzerlösen, die im Jahr 2019 1,80% (13,21 Mio Euro gegenüber 735,84 Mio Euro), im Jahr 2018 1,81% (15,87 Mio Euro gegenüber 878,50 Mio Euro), im Jahr 2017 1,79% (14,06 Mio Euro gegenüber 785,26 Mio Euro) betrug, also dauerhaft niedrig war, macht das Gericht hier aber doch von der Möglichkeit einer Anpassung des Ausgangsbetrages Gebrauch und reduziert diesen auf 75%, so dass ein Betrag von 22.075.271,72 € verbleibt. Der Rahmen für die Geldbuße beträgt demnach 0 bis 2.207.527,17 €.

Unter umfassender Abwägung aller zumessungserheblichen Umstände hält das Gericht im Ergebnis eine Geldbuße von 700.000 € für tat- und schuldangemessen, welche den vorstehend ermittelten Rahmen zu knapp einem Drittel ausschöpft.

Maßgebend dafür ist die Überlegung, dass hier eine Mehrzahl mildernder Umstände vorliegt, welche gegenüber den erschwerenden Umständen der Beeinträchtigung des Persönlichkeitsrechts und der erheblichen Anzahl von Kameras überwiegen. Insoweit sind insbesondere hervorzuheben:

Der tateinheitlich zu bewertende Verstoß wurde teilweise noch vor Inkrafttreten der DSGVO begangen, also zu einer Zeit, als der Bußgeldrahmen für Verstöße gegen das BDSG a.F. ganz erheblich niedriger war als nach Art. 83 DSGVO.

Die Betroffene war um eine kurzfristige Abhilfe nach Inkrafttreten der DSGVO bemüht, so dass die vom Beginn und Ende der konkreten Beanstandung markierte Tatzeit zwar mehr als ein Jahr beträgt, der beanstandete Einsatz der einzelnen Kameras innerhalb dieses Zeitraumes aber erheblich kürzer war.

Die ganz erhebliche Vervielfachung des Bußgeldrahmens gegenüber dem BDSG a.F. sollte in der ersten Zeit nach Inkrafttreten der DSGVO nur zurückhaltend ausgeschöpft werden, zumal die Konzeption der DSGVO als Verbot mit Erlaubnisvorbehalt bei Fehlen verbindlicher Handlungsanweisungen und höchstrichterlicher Rechtsprechung eine gewisse Rechtsunsicherheit darüber beläßt, was in welchem Rahmen erlaubt ist, und was nicht. Das gilt umso mehr, als die Betroffene hier einem erhöhten Diebstahlsrisiko auch im Bereich der Beschäftigten ausgesetzt ist und ein berechtigtes Interesse für den Videokameraeinsatz potentiell unter mehreren Gesichtspunkten in Betracht kommt.

Der Tatvorwurf beruht ausschließlich auf den von der Betroffenen im Rahmen des aufsichtsbehördlichen Kontrollverfahrens gelieferten Informationen; eine von der Betroffenen mehrfach angeregte Ortsbesichtigung hat nicht stattgefunden.

Die Videoaufzeichnungen wurden nur bei bestimmtem Anlass gesichtet und ausgewertet.

Weiterhin ist zu berücksichtigen, dass durch den öffentlichkeitswirksamen Erlass des Bußgeldbescheides ein Reputationsschaden eingetreten ist. Aufgrund der Höhe des zunächst verhängten Bußgeldes ist in der Öffentlichkeit der Eindruck entstanden, es handele sich um einen auch im Hinblick auf das Verschulden schwerwiegenden Datenschutzverstoß. Die Betroffene hat zahlreiche E-Mails vorgelegt, mit denen Kunden ihre Empörung sowie die Absicht zum Ausdruck gebracht haben, nicht mehr dort zu kaufen.

d)

Eine Geldbuße in Höhe von 700.000 € ist nach Auffassung der Kammer auch wirksam, verhältnismäßig und ausreichend abschreckend im Sinne des Art. 83 Abs. 1 DSGVO.

Auch wenn dieser Betrag in Relation zum weltweiten Jahresumsatz der Betroffenen nicht erheblich zu sein scheint, handelt es sich absolut um einen hohen Betrag, der zum Ausdruck bringt, dass Datenschutzverstöße mit erheblichen Geldbußen belegt werden können und im Interesse der Generalprävention hinreichend abschreckend ist.

Bei der Betroffenen ist im Verlauf des aufsichtsbehördlichen Kontrollverfahrens ein Großteil der Kameras abgebaut oder durch Schwärzung verändert worden.

Es ist davon auszugehen, dass der Vorstand sich sowohl angesichts der Höhe der Geldbuße als auch des Reputationsschadens für die unzureichende Beachtung des Datenschutzes gegenüber der Aktionärsversammlung und dem Aufsichtsrat verantworten muss. Diese Umstände entfalten spezialpräventive Wirkung über die eigentliche Geldbuße hinaus.

VII.

Die Kostenentscheidung ergibt sich aus § 41 Abs. 2 Satz 1 BDSG n.F., i.V.m.§ 465 Abs. 1 StPO.