1.

Die vorliegende Sache betrifft die Pflicht eines Verantwortlichen im Sinne von Art. 4 Nr. 7 der Verordnung (EU) 2016/679 (im Folgenden: DSGVO) ( 2 ) zur Unterrichtung der betroffenen Person, wenn personenbezogene Daten mittels einer von Fahrkartenkontrolleuren im öffentlichen Personenverkehr getragenen Körperkamera erhoben werden. Die Informationspflicht, die dem Verantwortlichen gegenüber den von einer Verarbeitung personenbezogener Daten betroffenen Personen obliegt, ist die logische Folge des Informationsrechts, das diesen Personen durch die Art. 12 bis 14 DSGVO zuerkannt wird ( 3 ). Im Rahmen der DSGVO ist es das Recht auf Unterrichtung, das als Grundpfeiler des Transparenzgrundsatzes ( 4 )„bei jeder Verarbeitung Transparenz“ gewährleistet ( 5 ).

2.

Insbesondere wird der Gerichtshof ersucht, zu entscheiden, ob in Situationen, in denen Daten mittels einer Körperkamera erhoben werden, Art. 13 oder Art. 14 DSGVO die einschlägige Rechtsgrundlage ist. Die Abgrenzung des Anwendungsbereichs jeder dieser Bestimmungen ist für den Zeitpunkt der Unterrichtung und auch für etwaige Ausnahmen von erheblichem Belang.

3.

Art. 13 („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) DSGVO bestimmt:

„(1)   Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

(2)   Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

(3)   Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(4)   Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.“

4.

Art. 14 („Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden“) DSGVO bestimmt:

„(1)   Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:

(2)   Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

(3)   Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2

(4)   Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(5)   Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

…“

5.

AB Storstockholms Lokaltrafik (Betreiber des öffentlichen Nahverkehrs in Stockholm; im Folgenden: SL) betreibt öffentliche Personenverkehrsdienste. Das Unternehmen hat seine Fahrkartenkontrolleure mit Körperkameras ausgestattet. Die Kameras werden eingesetzt, um Reisende zu filmen, die bei der Fahrkartenkontrolle keinen gültigen Fahrschein haben und denen ein erhöhtes Beförderungsentgelt auferlegt wird. Der Zweck des Einsatzes der Körperkameras besteht darin, Drohungen und Gewalt gegen die Kontrolleure entgegenzuwirken und zu dokumentieren und die Identität von Reisenden, die ein erhöhtes Beförderungsentgelt zahlen müssen, zu überprüfen.

6.

Im Zuge ihrer Aufsichtstätigkeit prüfte die Integritetsskyddsmyndigheten (schwedische Datenschutzbehörde; im Folgenden: Datenschutzbehörde), ob die Verarbeitung von unter Einsatz der Körperkameras erhobenen personenbezogenen Daten mit der DSGVO in Einklang steht. Im Juni 2021 erging eine Entscheidung der Datenschutzbehörde (im Folgenden: Aufsichtsentscheidung), in der mehrere Feststellungen zur Verwendung und zur Funktionsweise der Körperkameras getroffen wurden. Aus dieser Entscheidung ist insbesondere ersichtlich, dass die Fahrkartenkontrolleure die Kameras während ihrer gesamten Schicht tragen. Die Kameraaufzeichnungen laufen kontinuierlich mit Bild und Ton. Sie verfügen über einen sogenannten Ringspeicher, was bedeutet, dass nach einer bestimmten Zeit das gesamte Videomaterial automatisch vorläufig gelöscht wird. Nach der vorläufigen Löschung wird das aufgezeichnete Material endgültig gelöscht. Ursprünglich wurde das aufgezeichnete Material zwei Minuten lang gespeichert, aber im Laufe der Überprüfung wurde diese Frist auf eine Minute verkürzt. Die Fahrkartenkontrolleure können per Knopfdruck die automatische vorläufige Löschung abbrechen und so sicherstellen, dass die Aufzeichnung nicht endgültig gelöscht wird. Die Fahrkartenkontrolleure sind angewiesen, in allen Situationen, in denen ein erhöhtes Beförderungsentgelt erhoben wird, wie auch in Bedrohungssituationen die automatische vorläufige Löschung auszusetzen.

7.

In der Aufsichtsentscheidung stellte die Datenschutzbehörde fest, dass das Unternehmen im Zeitraum Dezember 2018 bis zum Datum dieser Entscheidung im Juni 2021 durch den Einsatz von Körperkameras bei Fahrkartenkontrollen personenbezogene Daten in einer Weise verarbeitet habe, die gegen mehrere Bestimmungen der DSGVO verstoße. SL habe es u. a. versäumt, die betroffenen Personen hinreichend gemäß Art. 13 DSGVO zu informieren. Deshalb wurde SL eine Geldbuße von insgesamt 16 Mio. schwedischen Kronen (SEK) (etwa 1422000 Euro) auferlegt, wobei 4 Mio. SEK (etwa 355000 Euro) die unzureichende Unterrichtung der betroffenen Personen betrafen.

8.

Das Unternehmen erhob gegen die Aufsichtsentscheidung Klage beim Förvaltningsrätt i Stockholm (im Folgenden: Verwaltungsgericht Stockholm, Schweden), das die Klage abwies, soweit sie die Geldbuße wegen unzureichender Unterrichtung betraf.

9.

SL legte ein Rechtsmittel beim Kammarrätt i Stockholm (Oberverwaltungsgericht Stockholm, Schweden) ein, das dann das erstinstanzliche Urteil und die Aufsichtsentscheidung, soweit damit eine Geldbuße wegen unzureichender Unterrichtung der betroffenen Personen verhängt wurde, aufhob. In seiner Urteilsbegründung nahm das Oberverwaltungsgericht Stockholm Bezug auf das Urteil des Gerichtshofs vom 11. Dezember 2014, Ryneš (C‑212/13, EU:C:2014:2428; im Folgenden: Urteil Ryneš), in dem es um den Betrieb eines Kamerasystems ging, das jemand an seinem Einfamilienhaus angebracht hatte. Nach Ansicht des Oberverwaltungsgerichts Stockholm folgt aus diesem Urteil, dass sich in Situationen der Videoüberwachung die Informationspflicht des Verantwortlichen aus Art. 11 der Richtlinie 95/46/EG ( 6 ) ergibt, der früheren, Art. 14 DSGVO entsprechenden Vorschrift. Zudem, so das Oberverwaltungsgericht Stockholm, lege der Wortlaut von Art. 13 DSGVO nahe, dass irgendeine Art bewusster Handlung der betroffenen Person erforderlich sei, damit die personenbezogenen Daten als bei dieser Person erhoben angesehen werden könnten. Dieser Fall könne nicht als gegeben angesehen werden, wenn personenbezogene Daten mittels einer Körperkamera erhoben würden. Das Oberverwaltungsgericht Stockholm gelangte zu dem Schluss, dass es mangels Anwendbarkeit von Art. 13 DSGVO für die von der Datenschutzbehörde wegen Verstoßes gegen den genannten Artikel gegen SL verhängte Geldbuße keine Rechtsgrundlage gebe.

10.

Gegen das Urteil des Oberverwaltungsgerichts Stockholm legte die Datenschutzbehörde beim Högsta förvaltningsdomstol (Oberstes Verwaltungsgericht, Schweden), dem vorlegenden Gericht, ein Rechtsmittel mit dem Antrag ein, das Urteil aufzuheben, soweit es die wegen unzureichender Unterrichtung der betroffenen Personen verhängte Geldbuße betrifft.

11.

Im Verfahren vor dem vorlegenden Gericht vertrat die Datenschutzbehörde die Auffassung, dass Art. 13 DSGVO auch dann Anwendung finde, wenn die betroffene Person nicht aktiv an der Datenerhebung mitwirke. Da die Unterrichtung bei Einsatz der Kameraüberwachung vor Beginn der Verarbeitung personenbezogener Daten erfolgen müsse, sei es die betroffene Person, die, indem sie den überwachten Bereich wissentlich betrete, die Erhebung der personenbezogenen Daten ermögliche.

12.

Nach Ansicht von SL sollte das vorlegende Gericht das Rechtsmittel zurückweisen. Der Wortlaut von Art. 13 DSGVO spreche dafür, dass die betroffene Person wissentlich an der Erhebung der personenbezogenen Daten mitwirken müsse. Zudem sei das gestufte Verfahren für die Unterrichtung bei Einsatz der Kameraüberwachung eher auf das Regelungssystem in Art. 14 DSGVO als auf das in Art. 13 DSGVO abgestimmt. In Art. 14 Abs. 5 Buchst. b DSGVO sei für den Fall, dass sich die Erteilung dieser Informationen als unmöglich erweise oder einen unverhältnismäßigen Aufwand erfordern würde, eine Ausnahme von der Informationspflicht vorgesehen. In Situationen, bei denen Körperkameras eingesetzt würden, sollte diese Ausnahme anwendbar sein, da es nicht praktikabel sei, jeden Reisenden einzeln zu informieren, bevor die Aufzeichnung erfolge.

13.

Für seine Entscheidung, ob die Datenschutzbehörde befugt war, gegen SL eine Geldbuße wegen Verstoßes gegen Art. 13 DSGVO zu verhängen, möchte das vorlegende Gericht wissen, ob bei der Erhebung personenbezogener Daten mittels einer Körperkamera Art. 13 oder Art. 14 DSGVO Anwendung finde. Die Feststellung, welche Vorschrift greife, sei auch von Bedeutung für die Fragen, welche Informationen mitzuteilen seien, wann die Informationspflicht entstehe und ob eine der Ausnahmen von der Informationspflicht gegeben sei.

14.

Unter diesen Umständen hat der Högsta förvaltningsdomstol (Oberstes Verwaltungsgericht) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Frage zur Vorabentscheidung vorzulegen:

Ist Art. 13 oder Art. 14 der Datenschutz-Grundverordnung anwendbar, wenn personenbezogene Daten mittels einer am Körper getragenen Kamera erhoben werden?

15.

Die Parteien des Ausgangsverfahrens, die österreichische und die dänische Regierung sowie die Kommission haben schriftliche Erklärungen eingereicht.

16.

Die vom vorlegenden Gericht gestellte Frage betrifft die Informationspflichten des Unternehmens SL, das einen öffentlichen Personenverkehrsdienst betreibt, in Bezug auf den Einsatz von Körperkameras durch seine Fahrkartenkontrolleure. Bei den in Rede stehenden Kameras handelt es sich um Körperkameras, die Bild und Ton aufzeichnen ( 7 ). Der Kameraeinsatz bezweckt, Drohungen und Gewalt gegen die Kontrolleure entgegenzuwirken und zu dokumentieren.

17.

Aus der Vorlageentscheidung ist ersichtlich, dass die betreffende Verarbeitung im Anwendungsbereich der DSGVO liegt. Meine Prüfung erstreckt sich deshalb nicht auf die Datenverarbeitung in Verbindung mit dem Einsatz von Körperkameras durch Strafverfolgungsbehörden, die der Richtlinie (EU) 2016/680 ( 8 ) unterliegt.

18.

Außerdem ist darauf hinzuweisen, dass die vom vorlegenden Gericht gestellte Frage nur die sich aus den Art. 13 und 14 DSGVO ergebende Informationspflicht des Verantwortlichen betrifft. Die Frage an den Gerichtshof bezieht sich nicht auf die Rechtmäßigkeit der in Rede stehenden Datenverarbeitung gemäß Art. 6 DSGVO.

19.

Mit seiner Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob in einer Situation, in der die Erhebung personenbezogener Daten mittels Körperkameras erfolgt, die von für einen Betreiber öffentlicher Personenverkehrsdienste tätigen Fahrkartenkontrolleuren getragen werden, Art. 13 oder Art. 14 DSGVO Anwendung findet.

20.

In den Art. 13 und 14 DSGVO ist der Umfang der Informationspflicht des Verantwortlichen gegenüber der betroffenen Person geregelt. Art. 13 greift bei der Erhebung von personenbezogenen Daten bei der betroffenen Person (direkte Erhebung), während Art. 14 greift, wenn die personenbezogenen Daten nicht bei der betroffenen Person erlangt wurden (indirekte Erhebung) ( 9 ).

21.

Die meisten der gemäß den Art. 13 und 14 DSGVO mitzuteilenden Informationen sind die gleichen, es gibt allerdings einige Unterschiede ( 10 ). Der wichtigste Unterschied zwischen den beiden Bestimmungen betrifft den Zeitpunkt, zu dem die Unterrichtung erfolgen muss, sowie die möglichen Ausnahmen von der Pflicht zur Unterrichtung.

22.

Gemäß Art. 13 Abs. 1 und 2 DSGVO muss die Unterrichtung, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, „zum Zeitpunkt der Erhebung dieser Daten“ erfolgen. Erlangt der Verantwortliche personenbezogene Daten, ohne sie bei der betroffenen Person erhoben zu haben, so muss er die in Art. 14 Abs. 1 und 2 DSGVO genannten Informationen innerhalb der in Art. 14 Abs. 3 Buchst. a, b und c DSGVO genannten Fristen mitteilen. Grundsätzlich muss der Verantwortliche die Informationen unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats, erteilen (Art. 14 Abs. 3 Buchst. a DSGVO). Für die in Art. 14 Abs. 3 Buchst. b und c DSGVO genannten Situationen ist ein anderer Zeitrahmen vorgesehen, innerhalb dessen der Verantwortliche die Informationen erteilen muss ( 11 ).

23.

Was die möglichen Ausnahmen von der Informationspflicht angeht, so kommt im Fall der direkten Datenerhebung gemäß Art. 13 DSGVO nur diejenige in Betracht, die lautet „wenn und soweit die betroffene Person bereits über die Informationen verfügt“. Für den Fall der indirekten Erhebung ist der in Art. 14 Abs. 5 DSGVO aufgeführte Katalog möglicher Ausnahmen länger. Einer der Ausnahmetatbestände ist der Fall, dass „die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde“ (Art. 14 Abs. 5 Buchst. b DSGVO). In diesen Fällen muss der Verantwortliche „geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit“ ergreifen.

24.

Aus den vorstehenden Ausführungen wird deutlich, dass der Umfang der Informationspflicht des Verantwortlichen unterschiedlich ausfällt, je nachdem, ob Art. 13 oder Art. 14 DSGVO Anwendung findet. Welche dieser beiden Vorschriften einschlägig ist, hat Auswirkungen darauf, welche Punkte eine Aufsichtsbehörde prüfen muss, um festzustellen, ob die Informationspflicht verletzt wurde.

25.

Im Anschluss an diese allgemeinen Feststellungen ist nunmehr zu prüfen, ob die Datenverarbeitung mittels einer Körperkamera wie derjenigen, um deren Einsatz es im Ausgangsverfahren geht, im sachlichen Anwendungsbereich von Art. 13 oder Art. 14 DSGVO liegt. Dafür sind gemäß ständiger Rechtsprechung nicht nur der Wortlaut der Bestimmung, die diese Ausnahme vorsieht, sondern auch der Kontext dieser Bestimmung und die Ziele zu berücksichtigen, die mit der Regelung, zu der sie gehört, verfolgt werden ( 12 ).

26.

Erstens ist in Bezug auf den Wortlaut der Art. 13 und 14 DSGVO anzumerken, dass, wie der Gerichtshof im Urteil Másdi festgestellt hat, der sachliche Anwendungsbereich von Art. 14 DSGVO im Verhältnis zu Art. 13 dieser Verordnung negativ definiert wird ( 13 ). Wie sich bereits aus den Überschriften dieser Bestimmungen ergibt, betrifft Art. 13 DSGVO die Informationen, die bei Erhebung von personenbezogenen Daten bei der betroffenen Person zur Verfügung zu stellen sind, während Art. 14 DSGVO die Informationen betrifft, die zur Verfügung zu stellen sind, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden ( 14 ). Wie die Kommission in ihrem schriftlichen Vorbringen erklärt hat, stehen die beiden Bestimmungen in einem sich gegenseitig ausschließenden Verhältnis. Wegen dieser Dichotomie unterliegen alle Situationen, in denen Daten bei der betroffenen Person erhoben werden, dem sachlichen Anwendungsbereich von Art. 13 und alle Situationen, in denen Daten nicht bei der betroffenen Person erhoben werden, dem sachlichen Anwendungsbereich von Art. 14 ( 15 ).

27.

Aus der Vorlageentscheidung ist ersichtlich, dass die Schwierigkeit bei der Bestimmung des sachlichen Anwendungsbereichs dieser Vorschriften konkret die Frage betrifft, ob die Anwendung von Art. 13 DSGVO voraussetzt, dass sich die betroffene Person der Erhebung ihrer Daten bewusst ist oder selbst durch irgendeine Art bewusster Handlung an der Datenbereitstellung mitwirkt (beispielsweise durch Ausfüllen eines Formulars) ( 16 ).

28.

Insoweit ist darauf hinzuweisen, dass das Wort „erhoben“ in Bezug auf die Datenerhebung bei der betroffenen Person im Sinne von Art. 13 Abs. 1 DSGVO keine besondere Handlung seitens der betroffenen Person erfordert. Die „Erhebung“ ist eine Form der „Verarbeitung“ von Daten, so wie dieser Begriff in Art. 4 Nr. 2 DSGVO definiert ist. Als solche erfordert die Erhebung von Daten eine Handlung des Verantwortlichen ( 17 ). Wie die Datenschutzbehörde dem vorlegenden Gericht vorgetragen hat, ist es der Verantwortliche, der bei der Datenerhebung eine aktive Rolle spielt, nicht die betroffene Person.

29.

Die Kommission und die Datenschutzbehörde haben in ihren schriftlichen Erklärungen darauf hingewiesen, dass in der englischen und in der schwedischen Sprachfassung der Art. 13 und 14 DSGVO jeweils zwei verschiedene Verben verwendet werden. Während in Art. 13 in Bezug auf Daten, die bei der betroffenen Person „erhoben“ werden, in der englischen Sprachfassung „collected“ und in der schwedischen „samlas“ verwendet wird, ist in Art. 14 in Bezug auf Daten, die nicht bei der betroffenen Person „erhoben“ werden, in der englischen Sprachfassung von „obtained“, in der schwedischen von „erhållits“ die Rede. In anderen Sprachfassungen wird jedoch, so auch die Kommission, jeweils dasselbe Verb verwendet ( 18 ); jedenfalls wird der Verwendung zweier verschiedener Verben, nämlich „collect“ (erheben) und „obtain“ (erlangen), ersichtlich keine Bedeutung beigemessen. Dies lässt sich auch aus dem Urteil Másdi schließen, wo der Gerichtshof festgestellt hat, dass personenbezogene Daten, die vom Verantwortlichen im Sinne von Art. 14 DSGVO „erlangt“ werden, alle diejenigen sind, die dieser bei einer anderen Person als der betroffenen Person erhebt ( 19 ).

30.

Die oben in Nr. 26 erwähnte Dichotomie zwischen den Art. 13 und 14 DSGVO zeigt, dass für die Bestimmung des sachlichen Anwendungsbereichs nicht auf die aktive Mitwirkung der betroffenen Person an der Erhebung der Daten abzustellen ist, sondern auf die Quelle der Daten. Ist die betroffene Person die Datenquelle, so findet Art. 13 Anwendung. Die Bestimmung ist nur anwendbar, wenn es zwischen der betroffenen Person und dem Verantwortlichen keine zwischengeschaltete Stelle gibt. Ist die Datenquelle eine andere Quelle als die betroffene Person, so findet Art. 14 Anwendung. Andere Quellen wären beispielsweise dritte Verantwortliche, öffentlich zugängliche Quellen oder andere betroffene Personen ( 20 ).

31.

Der Wortlaut von Art. 14 Abs. 2 Buchst. f DSGVO bestätigt, dass die Datenquelle das Kriterium für die Abgrenzung des sachlichen Anwendungsbereichs der Art. 13 und 14 ist. Gemäß der Vorschrift muss der Verantwortliche, wenn die Daten nicht bei der betroffenen Person erhoben wurden, der betroffenen Person mitteilen, „aus welcher Quelle die personenbezogenen Daten stammen“ (Hervorhebung nur hier).

32.

Auch der Wortlaut des 61. Erwägungsgrundes der DSGVO spricht dafür, dass die Datenquelle das Kriterium für die Abgrenzung des sachlichen Anwendungsbereichs der Art. 13 und 14 ist. In diesem Erwägungsgrund heißt es: „Dass sie betreffende personenbezogene Daten verarbeitet werden, sollte der betroffenen Person zum Zeitpunkt der Erhebung mitgeteilt werden oder, falls die Daten nicht von ihr, sondern aus einer anderen Quelle erlangt werden, innerhalb einer angemessenen Frist, die sich nach dem konkreten Einzelfall richtet“ (Hervorhebung nur hier). Weiter heißt es in dem Erwägungsgrund, dass, wenn „der betroffenen Person nicht mitgeteilt werden [konnte], woher die personenbezogenen Daten stammen, weil verschiedene Quellen benutzt wurden, … die Unterrichtung allgemein gehalten werden [sollte]“ (Hervorhebung nur hier).

33.

Die Daten können mittels verschiedener Methoden direkt bei der betroffenen Person erhoben werden. Eine solche Erhebung erfordert weder Mitwirkung oder Initiative der betroffenen Person in Bezug auf die Datenbereitstellung noch deren Kenntnis von der Erhebung. Diese Auffassung wird auch durch die Transparenzleitlinien der Artikel-29-Datenschutzgruppe bestätigt, denen zufolge Art. 13 Anwendung findet, wenn eine betroffene Person dem Verantwortlichen bewusst personenbezogene Daten übermittelt oder wenn ein Verantwortlicher im Wege der Beobachtung Daten von der betroffenen Person erhebt. Die dort genannten Beispiele für die Datenerhebung im Wege der Beobachtung sind u. a. die Verwendung von automatisierten Datenerfassungsgeräten oder Datenerfassungssoftware wie Kameras ( 21 ).

34.

Handelt es sich um direkte Datenerhebung im Wege der Beobachtung, folgt der Umstand, dass sich die betroffene Person der Datenerhebung bewusst ist, aus der Anwendung von Art. 13 DSGVO und der sich daraus ergebenden Pflicht des Verantwortlichen, die betroffene Person zum Zeitpunkt der Erhebung darüber zu unterrichten. Mit anderen Worten: Die Kenntnis von der Datenerhebung ist nicht Voraussetzung für die Anwendung von Art. 13, sondern vielmehr Folge der in Art. 13 DSGVO vorgesehenen Pflicht, die betroffene Person (spätestens) zum Zeitpunkt der Erhebung personenbezogener Daten darüber zu informieren.

35.

Der Verantwortliche ist ab dem Zeitpunkt, in dem Daten direkt bei der betroffenen Person erhoben werden, und zwar gerade wegen dieser Erhebung zur Unterrichtung verpflichtet, wodurch sich dann die betroffene Person der Datenerhebung bewusst wird. Handelt es sich um einen überwachten Bereich, so muss es, worauf die Datenschutzbehörde hingewiesen hat, ein einschlägiges Hinweisschild geben, damit sich die betroffene Person der Erhebung bewusst ist, bevor sie den überwachten Bereich betritt ( 22 ). Indem sie den überwachten Bereich wissentlich betritt, lässt die betroffene Person die Erhebung personenbezogener Daten zu.

36.

Bei einer Datenerhebung mittels Körperkamera – so wie im Ausgangsverfahren – wird die betroffene Person, wie die österreichische Regierung angemerkt hat, allein schon durch ihre physische Anwesenheit in dem von der Kamera erfassten Bereich zur Quelle der erhobenen Daten.

37.

Eine andere Schlussfolgerung, wonach Art. 13 nur Anwendung fände, wenn die betroffene Person die Daten aktiv bereitstellte, lässt sich weder aus den Art. 13 und 14 DSGVO noch aus deren Erwägungsgründen ziehen. Schon gar nicht lässt sich eine solche Schlussfolgerung – entgegen der von SL und der dänischen Regierung vertretenen Ansicht – aus Art. 13 Abs. 2 Buchst. e DSGVO ziehen, so wie dieser sich im 60. Erwägungsgrund der DSGVO widerspiegelt. Nach dieser Bestimmung muss der Verantwortliche, wenn er Daten bei der betroffenen Person erhebt, mitteilen, „… ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte“. Wie die Datenschutzbehörde dem vorlegenden Gericht gegenüber geäußert hat, ist über eine etwaige Verpflichtung zur Datenbereitstellung nur dann zu informieren, wenn es im konkreten Einzelfall erforderlich ist ( 23 ). Art. 13 Abs. 2 Buchst. e DSGVO ist nicht dahin auszulegen, dass für die Anwendung von Art. 13 unter allen Umständen eine bestimmte Handlung der betroffenen Person erforderlich ist.

38.

Ebenso wenig deutet der Wortlaut von Art. 14 Abs. 1 Buchst. d DSGVO darauf hin, dass die Anwendung von Art. 13 voraussetzte, dass die betroffene Person bei der Datenbereitstellung eine aktive Rolle spielen oder sich der Datenerhebung bewusst sein müsste. Gemäß Art. 14 Abs. 1 Buchst. d DSGVO muss der Verantwortliche, wenn er die personenbezogenen Daten nicht bei der betroffenen Person erhoben hat, der betroffenen Person die Kategorien personenbezogener Daten, die verarbeitet werden, mitteilen. Daraus, dass in Art. 13 DSGVO keine solche Informationspflicht vorgesehen ist, schließen SL und die dänische Regierung, dass Art. 13 dann Anwendung finde, wenn die betroffene Person sich der Datenerhebung bereits bewusst sei. Die in Art. 14 Abs. 1 Buchst. d vorgesehene Informationspflicht lässt sich jedoch damit rechtfertigen, dass der Verantwortliche aus anderen Quellen als von der betroffenen Person erlangte Daten verarbeitet und zum Zeitpunkt der Datenerhebung nicht mit der betroffenen Person in Kontakt steht.

39.

Der jeweilige Wortlaut der Art. 13 und 14 DSGVO stützt deshalb den Schluss, dass die Datenerhebung mittels einer Körperkamera – als Form der direkten Datenerhebung bei der betroffenen Person – unter Art. 13 fällt.

40.

Zweitens wird diese Auslegung durch den Kontext gestützt, in dem diese Bestimmungen stehen. In den Informationspflichten in Art. 13 und 14 DSGVO kommt der in Art. 5 Abs. 1 Buchst. a DSGVO vorgesehene Transparenzgrundsatz, der für die Verarbeitung personenbezogener Daten gilt, auf spezifische Weise zum Ausdruck. Gemäß letzterer Bestimmung müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Daraus folgt, dass die Verarbeitung personenbezogener Daten in Bezug auf die von einer solchen Verarbeitung betroffene Person u. a. konkreten Anforderungen an die Transparenz genügen muss ( 24 ).

41.

Die Abgrenzung der Anwendungsbereiche der Art. 13 und 14 DSGVO anhand der Datenquellen gestattet eine faire und transparente Verarbeitung. Werden die Daten direkt bei der betroffenen Person erhoben, so ist die betroffene Person zum Zeitpunkt der Erhebung zu unterrichten. Werden die Daten nicht direkt bei der betroffenen Person erhoben, so ist dem Verantwortlichen ein gewisser Spielraum für die Unterrichtung innerhalb einer angemessenen Frist eingeräumt, gerade weil er nicht in direktem Kontakt zur betroffenen Person steht.

42.

Im Fall der Datenerhebung mittels Körperkamera ermöglicht die sofortige Unterrichtung der betroffenen Person über die Datenerhebung der betroffenen Person, sich der Erhebung bewusst zu werden, so dass sie ihre Rechte als betroffene Person ausüben kann, und zwar ab dem Zeitpunkt der Erhebung oder sogar noch vor Beginn der Erhebung. So kann sich die betroffene Person z. B. – worauf die österreichische Regierung hingewiesen hat – indem sie sich der Datenerhebung frühestmöglich bewusst wird, dafür entscheiden, vom Betreten des überwachten Bereichs abzusehen oder ihr Verhalten anzupassen.

43.

Hinsichtlich der praktischen Mittel der Unterrichtung ist zu bedenken, dass der Verantwortliche gemäß Art. 12 Abs. 1 DSGVO „geeignete Maßnahmen“ treffen muss, um die erforderlichen Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln“.

44.

Die Verfahrensbeteiligten und Beteiligten, die schriftliche Erklärungen abgegeben haben, sind sich grundsätzlich einig, dass die Unterrichtung im Falle der Kameraüberwachung nach einem „gestuften Verfahren“ erfolgen sollte. In den EDSA-Leitlinien über Videoüberwachung wird ein detaillierter und praktischer Überblick über das gestufte Verfahren gegeben. Die erste Ebene betrifft „die Art und Weise, in der der Verantwortliche zuerst mit der betroffenen Person Kontakt aufnimmt“. Im Fall der Videoüberwachung wird dies für gewöhnlich ein Hinweisschild sein, so dass sich die betroffene Person bewusst ist, dass sie einen Überwachungsbereich betritt. Die Informationen auf der ersten Ebene müssen dann durch Informationen auf der zweiten Ebene ergänzt werden, vorzugsweise durch Hinweis auf eine digitale Quelle (z. B. einen QR-Code oder eine Webadresse), wobei die Informationen jedoch auch auf nicht digitalem Wege leicht verfügbar sein müssen ( 25 ).

45.

Nach Ansicht von SL und der dänischen Regierung ist das gestufte Verfahren eher auf die allgemeine Regelung in Art. 14 DSGVO als auf Art. 13 DSGVO abgestimmt. Im Hinblick auf die beim Einsatz von Körperkameras bestehende Schwierigkeit, die Unterrichtung zum Zeitpunkt der Datenerhebung vorzunehmen, sollte ihrer Meinung nach Art. 14 Abs. 5 Buchst. b DSGVO Anwendung finden. Diese Ausnahme greife, wenn die Erteilung der Informationen „sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde“. In einem solche Fall müsse der Verantwortliche „geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person“ ergreifen.

46.

Diese Argumente überzeugen mich nicht. Zum Ersten folgt aus Art. 12 DSGVO, dass sich die „geeigneten Maßnahmen“, die der Verantwortliche ergreifen muss, um alle Informationen zu übermitteln, sowohl auf Art. 13 als auch auf Art. 14 beziehen. Dies bedeutet, dass der Verantwortliche sowohl bei der direkten als auch bei der indirekten Datenerhebung geeignete Maßnahmen zur Unterrichtung ergreifen muss.

47.

Zum Zweiten ist, worauf die Datenschutzbehörde im Wesentlichen hingewiesen hat, die Geeignetheit der Maßnahmen vom Kontext, in dem die Daten erhoben werden, sowie u. a. von den Interessen der betroffenen Personen abhängig. Die Datenerhebung mittels Körperkamera ist ein genauso intensiver Eingriff wie die Videoüberwachung und birgt erhebliche Risiken für den Schutz der Privatsphäre der betroffenen Personen ( 26 ). Bei der Bestimmung der geeignetsten Maßnahmen zur Unterrichtung der betroffenen Personen müssen die Verantwortlichen sowohl den Transparenzgrundsatz berücksichtigen als auch den Grad des Eingriffs, der von dem zur Datenerhebung eingesetzten Mittel ausgeht. Wenn allgemeine Einigkeit darüber besteht, dass das gestufte Verfahren für die mit erheblichen Risiken für den Schutz der Privatsphäre verbundene Videoüberwachung geeignet ist, so sollte dies für die Datenerhebung mittels Körperkameras gleichermaßen gelten.

48.

Zum Dritten gibt es überzeugende Argumente dafür, dass das gestufte Verfahren im Fall einer Körperkamera weder „nicht praktikabel“ noch „unmöglich“ ist. Nach Ansicht der Datenschutzbehörde, der österreichischen Regierung und der Kommission, die insoweit auf die EDSA-Leitlinien über Videoüberwachung verweisen, ist das gestufte Verfahren für die Videoüberwachung im Fall von Körperkameras gleichermaßen anwendbar. Der nicht bindende Charakter dieser Leitlinien ändert nichts daran, dass darin konkret aufgezeigt wird, dass das gestufte Verfahren möglich und praktikabel ist ( 27 ).

49.

Drittens steht die Auslegung, dass im Fall von mittels Körperkameras erhobenen Daten Art. 13 Anwendung findet, mit den Zielen der Gesetzgebung, deren Bestandteil die Art. 13 und 14 DSGVO sind, in Einklang. Wie aus ihrem Art. 1 und ihren Erwägungsgründen 1 und 10 hervorgeht, besteht das Ziel der DSGVO u. a. darin, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres in Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union und in Art. 16 Abs. 1 AEUV verankerten Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten ( 28 ). Im Einklang mit diesem Ziel muss jede Verarbeitung personenbezogener Daten u. a. den in Art. 5 DSGVO genannten Grundsätzen, insbesondere dem Transparenzgrundsatz, genügen.

50.

In der in Art. 13 und 14 DSGVO vorgesehenen Informationspflicht des Verantwortlichen kommt der Transparenzgrundsatz zum Ausdruck. Wie bereits vorstehend erwähnt ( 29 ), ist der Zeitrahmen für die Erfüllung der Informationspflicht unterschiedlich, je nachdem welche der Bestimmungen Anwendung findet. Bei direkter Erhebung ist die sofortige Unterrichtung erforderlich. Erfolgt die Erhebung, weil die Daten aus anderen Quellen erhoben werden, nicht direkt, so kann die Unterrichtung später erfolgen. In der DSGVO ist dieser unterschiedliche Zeitrahmen für die Unterrichtung gerade deshalb vorgesehen, weil die Erhebung indirekt erfolgt.

51.

Würde man akzeptieren, dass im Fall der Datenerhebung mittels Körperkamera Art. 14 DSGVO Anwendung fände, so würde das bedeuten, dass die betroffenen Personen nicht zum Zeitpunkt der Datenerhebung unterrichtet würden, obwohl sie selbst die Datenquelle sind. Wie die österreichische Regierung und die Kommission im Wesentlichen angemerkt haben, könnte dies die praktische Wirksamkeit („effet utile“) von Art. 13 DSGVO untergraben. Es wäre den Verantwortlichen nämlich möglich, von der sofortigen Unterrichtung der betroffenen Personen abzusehen, ungeachtet dessen, dass die Daten direkt von diesen betroffenen Personen erhoben würden ( 30 ). Dadurch entsteht die Gefahr, dass es zu von den betroffenen Personen unbemerkter Datenerfassung und damit zu heimlichen Überwachungspraktiken kommen kann ( 31 ). Eine solche Umgehung von Art. 13 DSGVO würde eine schwere Verletzung des Rechts der betroffenen Person auf Information darstellen.

52.

Letztlich würde es die Grenzen zwischen den beiden Bestimmungen verwischen und deren Anwendung von zufälligen Umständen abhängig machen, wenn die Unterscheidung der sachlichen Anwendungsbereiche der Art. 13 und 14 DSGVO davon abhängig wäre, ob sich die betroffene Person zum Zeitpunkt der Datenerhebung der Erhebung ihrer Daten tatsächlich bewusst ist.

53.

Folglich ergibt die wörtliche, systematische und teleologische Auslegung der Art. 13 und 14 DSGVO, dass im Fall der Datenerhebung mittels Körperkamera, welches eine Form der direkten Erhebung der Daten bei der betroffenen Person ist, die Informationspflicht des Verantwortlichen der erstgenannten Bestimmung unterliegt.

54.

Der Vollständigkeit halber mache ich noch einige abschließende Bemerkungen zur Relevanz des Urteils Ryneš für den vorliegenden Fall ( 32 ). In dem Urteil, in dem der Gerichtshof mit der Auslegung der in der Richtlinie 95/46 vorgesehenen Ausnahme für die „Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“ in Art. 3 Abs. 2 zweiter Gedankenstrich der genannten Richtlinie befasst war, hat er im Wesentlichen entschieden, dass der Betrieb eines von einer natürlichen Person an ihrem Einfamilienhaus zum Zweck des Schutzes des Eigentums, der Gesundheit und des Lebens der Besitzer des Hauses angebrachten Kamerasystems, das aber auch den öffentlichen Raum überwacht, keine Datenverarbeitung darstellt, die im Sinne dieser Bestimmung zur Ausübung ausschließlich „persönlicher oder familiärer Tätigkeiten“ vorgenommen wird. Eine solche Art der Verarbeitung konnte deshalb nicht von der Anwendung der Richtlinie 95/46 ausgenommen sein.

55.

In Rn. 34 des genannten Urteils hat der Gerichtshof festgestellt, dass „die Anwendung der Bestimmungen der Richtlinie 95/46 [zugleich ermöglicht], gegebenenfalls die berechtigten Interessen des für die Verarbeitung Verantwortlichen insbesondere auf der Grundlage von [Art. 7 Buchst. f, Art. 11 Abs. 2 und Art. 13 Abs. 1 Buchst. d und g] dieser Richtlinie zu berücksichtigen …“.

56.

Bei der Bezugnahme auf Art. 11 Abs. 2 der Richtlinie 95/46 in der genannten Randnummer handelt es sich nicht um eine vom Gerichtshof vorgenommene Auslegung der einschlägigen Rechtsgrundlage für die Informationspflicht des Verantwortlichen im Fall der Videoüberwachung. Die in dem Urteil aufgeworfene Frage war eine ganz andere als diejenige im vorliegenden Fall, da sie die Anwendung des Ausnahmetatbestands für „persönliche und familiäre Tätigkeiten“ betraf, nicht die Informationspflicht. In der genannten Randnummer hat der Gerichtshof lediglich veranschaulicht, dass es möglich ist, die berechtigten Interessen des Verantwortlichen im Licht der in der Richtlinie 95/46 vorgesehenen Einschränkungen und Ausnahmen zu berücksichtigen. Wie die Kommission zu Recht angemerkt hat, ist aus der Vorlage zur Vorabentscheidung in der Rechtssache, in der das Urteil Ryneš ergangen ist, ersichtlich, dass die nationale Aufsichtsbehörde im nationalen Verfahren einen Verstoß gegen das nationale Gesetz zur Umsetzung von Art. 11 der Richtlinie 95/46 für gegeben hielt.

57.

Jedenfalls stimmt der Zeitrahmen für die Unterrichtung gemäß Art. 14 DSGVO nicht mit dem Zeitrahmen überein, der in Art. 11 der Richtlinie 95/46 vorgesehen war ( 33 ). Überdies hat der Unionsgesetzgeber die Unterscheidung zwischen den jeweiligen Anwendungsbereichen der Art. 13 und 14 DSGVO im 61. Erwägungsgrund der DSGVO durch die Bezugnahme auf die Datenquelle klargestellt ( 34 ).

58.

Aus diesen Gründen bin ich der Überzeugung, dass das Urteil Ryneš für den vorliegenden Fall nicht von Belang ist und nicht zu einem anderen Ergebnis als dem in den vorliegenden Schlussanträgen vorgeschlagenen zu führen vermag.

59.

Nach alledem bin ich der Ansicht, dass die Art. 13 und 14 DSGVO dahin auszulegen sind, dass in einer Situation, in der die Erhebung personenbezogener Daten mittels Körperkameras erfolgt, die von für einen öffentlichen Verkehrsbetrieb tätigen Fahrkartenkontrolleuren getragen werden, Art. 13 Anwendung findet, wohingegen Art. 14 nicht anwendbar ist.

60.

In Anbetracht dieser Erwägungen schlage ich dem Gerichtshof vor, auf die Vorlagefrage des Högsta förvaltningsdomstol (Oberstes Verwaltungsgericht) wie folgt zu antworten:

Die Art. 13 und 14 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

sind dahin auszulegen, dass in einer Situation, in der die Erhebung personenbezogener Daten mittels Körperkameras erfolgt, die von für einen öffentlichen Verkehrsbetrieb tätigen Fahrkartenkontrolleuren getragen werden, Art. 13 Anwendung findet, wohingegen Art. 14 nicht anwendbar ist.