W256 2232894-1/27E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht erkennt durch die Richterin Mag. Caroline KIMM als Vorsitzende und den fachkundigen Laienrichterinnen Dr. Claudia Rosenmayr-Klemenz und Mag. Adriana Mandl als Beisitzerinnen über die Beschwerde der XXXX , gegen den Bescheid der Datenschutzbehörde vom 30. April 2020, Zl. DSB-D124.1153/0005-DSB/2019, zu Recht:
A) Der Beschwerde wird Folge gegeben und der angefochtene Bescheid ersatzlos behoben.
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
In ihrer am 25. Juli 2019 bei der belangten Behörde eingebrachten Beschwerde vom 19. Juli 2019 behauptete die Beschwerdeführerin eine Verletzung im Recht auf Geheimhaltung durch das Arbeitsmarktservice XXXX (im Folgenden: regionale Geschäftsstelle). Die regionale Geschäftsstelle habe ab ihrem Leistungsbezugsbeginn nach dem AlVG am 18. November 2016 bis zumindest 19. Jänner 2019 ihre personenbezogenen Daten auch in jenen Zeiträumen verarbeitet, in denen kein aufrechtes Betreuungsverhältnis mit der Beschwerdeführerin bestanden habe. Dabei handle es sich um Zeiträume zwischen der Antragsausfolgung und der Antragseinreichung des Antrages auf Notstandshilfe. Davon betroffen sei aber auch der Zeitraum ab 24. Mai 2017, in dem sie durch die Sanktion bzw. den Bescheid der regionalen Geschäftsstelle vom 9. Juni 2017 bzw. vom 8. Jänner 2018 gemäß § 8 Abs. 2 AlVG keine Leistung aus der Arbeitslosenversicherung bezogen habe sowie der Zeitraum von 16. Dezember 2016 bis 27. November 2017, in welchem sie sich in einem ununterbrochenen Krankenstand befunden habe. Die regionale Geschäftsstelle habe in all diesen Zeitspannen, in welchen sie sich nicht in einem Betreuungsverhältnis bei dieser befunden habe, ihre Daten für die Überprüfung von Anspruchsvoraussetzungen für den Erhalt von Leistungen nach dem AlVG bzw. für die Anordnung von Kontroll- und Begutachtungsterminen zur Erlangung von Gesundheitsdaten bezüglich ihrer Arbeitsfähigkeit verarbeitet. Konkret habe die regionale Geschäftsstelle sie in diesen Zeiträumen mehrmals zu Kontrollterminen gemäß § 49 AlVG geladen und ärztliche Untersuchungen nach § 8 Abs. 2 AlVG bei der PVA angeordnet. Die Beschwerdeführerin habe diese Termine nicht wahrgenommen und sich rechtzeitig durch Übermittlung einer Arbeitsunfähigkeitsmeldung entschuldigt. Sie beschwere sich gegen diese vom AMS angeordneten Kontrollen und Begutachtungen und die dazu erfolgte Verwendung ihrer Daten. Dabei handle es sich – laut einer beiliegenden Stellungnahme der Beschwerdeführerin – um Daten, mit denen sie identifiziert werde, wie u.a. Name, Adresse, Geburtsdatum. Es seien dies aber auch sensible Gesundheitsdaten, insbesondere der direkte Zuweisungsgrund „Herzprobleme“ und indirekte Zweifel an ihrer Arbeitsfähigkeit. Diese gesundheitsbezogenen Daten seien im Übrigen auch anlässlich der von der regionalen Geschäftsstelle angeordneten Untersuchungen gemäß § 8 Abs. 2 AlVG der Pensionsversicherungsanstalt übermittelt worden. In der beiliegenden Stellungnahme hielt die Beschwerdeführerin nochmals ausdrücklich fest, dass Beschwerdegegnerin die regionale Geschäftsstelle sei. Sie beschwere sich über das von dieser geführte Verwaltungsverfahren.
Daraufhin übermittelte die belangte Behörde die „gegen das AMS Österreich gerichtete Beschwerde“ an das AMS Österreich (im Folgenden: mitbeteiligte Partei) und forderte diese zur Stellungnahme auf.
Dazu erstattete die Datenschutzorganisation des Arbeitsmarktservice zur übermittelten Beschwerde „gegen das Arbeitsmarktservice Österreich“ eine Stellungnahme vom 11. Oktober 2019. Darin brachte diese zusammengefasst und sofern hier wesentlich vor, im konkreten Fall sei die Datenverarbeitung ausschließlich zum Zwecke der Erfüllung der dem Arbeitsmarktservice gesetzlich übertragenen Aufgaben erfolgt. Sowohl die angeordneten Kontrolltermine nach § 49 AlVG, als auch die angeordneten Begutachtungstermine nach § 8 AlVG seien zum Zweck der Überprüfung der Anspruchsvoraussetzungen auf eine Leistung aus der Arbeitslosenversicherung durch das Arbeitsmarktservice erfolgt. Das Arbeitsmarktservice sei zur Überprüfung der Anspruchsvoraussetzungen für Leistungen aus der Arbeitslosenversicherungen nicht nur berechtigt, sondern vielmehr verpflichtet. Sofern moniert werde, dass in den Untersuchungsaufträgen nach § 8 AlVG als Zuweisungsgrund „Herzprobleme“ angeführt worden seien, sei zu bemerken, dass die Beschwerdeführerin dem Arbeitsmarktservice im Jänner 2017 eine Aufenthaltsbestätigung mit einer entsprechenden Diagnose übermittelt habe. Sofern moniert werde, dass bereits bei Antragsausgabe Daten verarbeitet werden würden, werde angemerkt, dass das Arbeitsmarktservice bereits mit Antragsausgabe seine Vermittlungs- und Betreuungstätigkeit aufnehme. Das Arbeitsmarktservice habe dafür Sorge zu tragen, dass Leistungen nur an Personen, die sämtliche gesetzliche Voraussetzungen erfüllen, ausbezahlt werden.
In ihrem Schreiben vom 10. November 2019 wiederholte die Beschwerdeführerin im Wesentlichen ihr Vorbringen. Es seien ihre personenbezogenen Daten ab Beginn des Verwaltungsverfahrens am 18. November 2016 bis zur letzten Rückmeldung des PVA am 19. Jänner 2019 in Zeiträumen verarbeitet worden, in denen es keine gesetzliche Grundlage dafür gegeben habe. Unter einem wurde ein Auskunftsschreiben der regionalen Geschäftsstelle vom 22. Jänner 2019 vorgelegt. Daraus gehe u.a. hervor, dass ihre Daten bereits in der Zeitspanne zwischen Antragseinreichung und Antragsausfolgung in das System übernommen worden seien. Sie habe bereits bei der Antragsabholung ihren Lichtbildausweis der regionalen Geschäftsstelle vorlegen müssen und sei auch zu diesem Zeitpunkt bereits eine Abfrage beim Hauptverband der Sozialversicherungsträger erfolgt. Gemäß § 46 AlVG gelte der Anspruch erst dann als geltend gemacht, wenn die arbeitslose Person bei der regionalen Geschäftsstelle zumindest persönlich vorgesprochen habe und das vollständig ausgefüllte Formular übermittelt habe. Die vorliegende Auskunft führe nur die Antragsausfolgung und nicht die Antragseinreichung an. Damit werde verschleiert, dass nicht die Antragsausgabe, sondern die Antragsabgabe der Beginn der Parteistellung sei. Auch wurden diverse weitere Unterlagen vorgelegt. U.a. Untersuchungsaufträge der PVA, in welchen die Beschwerdeführerin aufgrund einer von der regionalen Geschäftsstelle veranlassten Untersuchung zur Feststellung der Arbeitsfähigkeit nach § 8 AlVG an einem bestimmten Termin zur Begutachtung in das Kompetenzzentrum Begutachtung der Pensionsversicherungsanstalt geladen wird; eine Beschwerdevorentscheidung der regionalen Geschäftsstelle betreffend die Beschwerde der Beschwerdeführerin vom 7. Februar 2018 gegen den Bescheid der regionalen Geschäftsstelle vom 8. Jänner 2018 betreffend die Abweisung ihres Antrages auf Notstandshilfe vom 22. November 2017 gemäß § 8 Abs. 1 und Abs. 2 in Verbindung mit § 38 Arbeitslosenversicherungsgesetz 1977 wegen der Weigerung, sich einer ärztlichen Untersuchung zu unterziehen, ein E-Mail der regionalen Geschäftsstelle vom 17.02.2017, in welchem die Beschwerdeführerin über den nächsten Kontrolltermin informiert wurde.
In ihrer „Nachsendung“ vom 16. November 2019 brachte die Beschwerdeführerin ergänzend vor, dass – wie eine beiliegende Auskunft des Hauptverbandes der Sozialversicherungsträger gemäß Art 15 DSGVO vom 12. November 2019 ergebe, auch ihre Daten beim Hauptverband der Sozialversicherungsträger in Zeiträumen abgefragt worden seien, in denen es dafür keine Rechtsgrundlage gegeben habe bzw. die Beschwerdeführerin bei der regionalen Geschäftsstelle nicht arbeitslos gemeldet gewesen sei. Alle Zugriffe ab 24. Mai 2017 bis 3. Dezember 2017 bzw. vom 8. Jänner 2018 bis zum 26. November 2018 seien nicht rechtskonforme Verarbeitungen gewesen.
Mit dem an die mitbeteiligte Partei adressierten angefochtenen Bescheid wies die belangte Behörde die Beschwerde der Beschwerdeführerin vom 25. Juli 2019 gegen die mitbeteiligte Partei als unbegründet ab. Ausgehend vom Vorbringen der Beschwerdeführerin ergebe sich, dass Beschwerdegegenstand die Frage sei, ob die mitbeteiligte Partei die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt habe, indem diese personenbezogene Daten der Beschwerdeführerin (Name, Geburtsdatum, Anschrift, Telefonnummer, Sozialversicherungsnummer, Gesundheitsdaten, Versicherungsdaten) im Zeitraum 18. November 2016 bis zumindest 19. Jänner 2019 unrechtmäßig verarbeitet habe. Die mitbeteiligte Partei sei gemäß § 1 Abs. 1 AMSG ein Dienstleistungsunternehmen des öffentlichen Rechts zur Durchführung der Arbeitsmarktpolitik des Bundes. Trotz organisatorischer Gliederung der mitbeteiligten Partei in Bundes-, Landes- und Regionalorganisationen würden die Teilorganisationen der mitbeteiligten Partei keine eigene Rechtspersönlichkeit besitzen, weshalb die Eigenschaft als datenschutzrechtlicher Verantwortlicher nur der mitbeteiligten Partei zukomme, nicht jedoch seinen Teilorganisationen. Daraus folge, dass gegenständlich nicht – so wie seitens der Beschwerdeführerin in ihrer Eingabe vom 25. Juli 2019 angeführt – das „AMS XXXX sondern das AMS XXXX als datenschutzrechtlicher Verantwortlicher und als Beschwerdegegner anzusehen sei, was von diesem auch nicht bestritten worden sei. Die Beschwerdeführerin wende sich gegen Verarbeitungsvorgänge der mitbeteiligten Partei im Zeitraum 18. November 2016 bis 19. Jänner 2019. Dabei handle es sich nach Auffassung der belangten Behörde nicht um einzelne Verarbeitungsvorgänge, die als abgeschlossenes Ereignis in der Vergangenheit zu betrachten seien; vielmehr seien die personenbezogenen Daten der Beschwerdeführerin bis zumindest Anfang 2019 wiederholt seitens der mitbeteiligten Partei verarbeitet worden, um ihre gesetzlich übertragenen Aufgaben zu erfüllen. Da somit von einer fortdauernden Rechtsverletzung in diesem Zeitraum auszugehen sei, liege keine verspätete Geltendmachung des Beschwerderechts durch die Beschwerdeführerin nach § 24 DSG vor und sei auch die DSGVO, da diese Rechtsverletzung ab dem Zeitraum des Geltungsbereiches der DSGVO ab 25. Mai 2018 fortgedauert habe, anzuwenden. Die mitbeteiligte Partei habe die in Rede stehenden Datenverarbeitung in Zusammenhang mit der Überprüfung der Anspruchsvoraussetzungen nach dem AlVG verarbeitet. Dazu sei sie nach dem AlVG berechtigt und auch verpflichtet. Die in Rede stehenden Verarbeitungsvorgänge seien daher notwendig gewesen, damit die mitbeteiligte Partei ihrem gesetzlichen Auftrag nachkommen habe können.
Dagegen richtet sich die vorliegende Beschwerde, mit welcher die Beschwerdeführerin im Wesentlichen zusammengefasst die Aufhebung oder Abänderung des angefochtenen Bescheids begehrt. Es müsse festgestellt werden, dass die Verwendung ihrer Daten für die Anordnung von ärztlichen Untersuchungsterminen nach § 8 AlVG und von Kontrollterminen nach § 49 AlVG im verfahrensgegenständlichen Zeitraum rechtswidrig erfolgt sei. Die Anordnung von Kontrollmelde- und ärztlichen Untersuchungsterminen, welche aufgrund einer rechtlichen Bestimmung nach dem AIVG angeordnet worden seien (§ 49 bzw. § 8) erfordere es, dass auch das AIVG für die Beurteilung des datenschutzrechtlichen Erlaubnistatbestandes herangezogen werden müsse. In ihrem Fall seien vom AMS in Erfüllung behördlicher Aufgaben verpflichtend wahrzunehmende behördliche Termine vorgeschrieben worden, deren Regelung im AIVG verankert sei. Im Sinne des Legalitätsprinzips habe somit das hoheitliche Verwaltungshandeln des AMS für die Anordnung von Kontrollmelde- und ärztlichen Untersuchungsterminen nach dem AlVG nur auf Basis dieser Rechtsgrundlage als Erlaubnistatbestand für die Verarbeitung ihrer personenbezogenen Daten erfolgen dürfen. Es sei im angefochtenen Bescheid entgegen ihrer Rechtsansicht nicht festgestellt worden, dass das Verwaltungsverfahren des AMS im beschwerderelevanten Zeitraum betreffend der von ihr vorgebrachten Beschwerdegründe eine Verletzung der Bestimmungen des Grundrechtes auf Geheimhaltung gemäß § 1 Abs. 1 DSG dargestellt habe.
Die belangte Behörde legte die Beschwerde samt dem Verwaltungsakt vor.
Die Beschwerdeführerin erstattete im Rahmen des Verfahrens vor dem Bundesverwaltungsgericht weitere umfassende Stellungnahmen, in welchen sie ihr bisheriges Vorbringen im Wesentlichen wiederholte.
Dazu wurde der mitbeteiligten Partei insgesamt Parteiengehör eingeräumt, welche mit Schreiben vom 5. August 2022 aus näher dargestellten Gründen die Abweisung der Beschwerde begehrte.
Über Aufforderung des Bundesverwaltungsgerichts zur Verantwortlichkeit der mitbeteiligten Partei Stellung zu nehmen, führte die mitbeteiligte Partei in ihrer Stellungnahme vom 29. März 2023 aus, Verantwortlicher der in Rede stehenden Datenverarbeitungen könne allein das Arbeitsmarktservice gemäß § 1 Abs. 1 AMSG sein. Selbst wenn innerhalb des AMS organisatorische Teilbereiche existieren würden, welche im gemeinschaftlichen Zusammenspiel die vielfältigen Aufgaben zur Durchführung der Arbeitsmarktpolitik erledigen, sei primärer Anknüpfungspunkt für den Verantwortlichen immer noch die juristische Person, selbst wenn deren Willens- bzw. Entscheidungsbildung durch unterschiedliche Teilorganisationen bzw. Organe in deren Innensphäre erfolge. Der Schwerpunkt hinsichtlich planender, finanzieller und schlussendlich auch entscheidender Hinsicht liege dabei auf der Bundesorganisation, was auch in der Bezeichnungsführung „AMS Österreich“ klar zum Ausdruck komme: So sei in dieser nicht nur der Vorstand des Arbeitsmarktservice als geschäftsführendes Organ angesiedelt, sondern erfolge von dort aus auch die Planung und Steuerung bundesweiter und bundeslandübergreifend gültiger Prozesse und befänden sich dort auch die zentralen, für das gesamte Bundesland hin tätigen Schnittstellen nach innen und außen angesiedelt. Demgegenüber stünden die Landes- und Regionalorganisationen, welche nach den ausschließlich von der Bundesorganisation festzulegenden Richtlinien für die Erfüllung der Aufgaben des Arbeitsmarktservice (vgl. § 4 Abs. 3 AMSG) deren faktische Umsetzung übernehmen. Dass der Löwenanteil der Entscheidungsfindung in der Bundesorganisation liege, könnte daher der Grund sein, warum als Beschwerdegegner seitens der belangten Behörde das Arbeitsmarktservice Österreich gesehen worden sei.
Über neuerliche Aufforderung des Bundesverwaltungsgerichts wiederholte die mitbeteiligte Partei in ihrer Stellungnahme vom 6. April 2023 ihr Vorbringen, wonach Verantwortlicher im vorliegenden Fall allein das Arbeitsmarktservice als juristische Person und nicht die mitbeteiligte Partei als seine Teilorganisation sein könne. Zwar weise Art. 4 Z. 7 DSGVO neben dem 1. Fall der „juristischen Person“ auch noch weitere Fälle auf, namentlich „Behörde“, „Einrichtung“ und „andere Stellen“, doch würden diese Fälle einerseits nicht auch die Subsumtion einer juristischen Person wie dem Arbeitsmarktservice unter ihren Bedeutungsgehalt ausschließen, noch könne es weder dem Europäischen Verordnungsgeber noch dem nationalen Gesetzgeber daran gelegen sein, unterschiedliche Verantwortliche innerhalb desselben Organisationsgebildes herauszubekommen. Insofern habe es durchaus seinen Sinn, warum in Z. 7 der Fall der „juristischen Person“ gleich an erster Stelle nach jenem der natürlichen Person genannt stehe, sei es dem Europäischen Verordnungsgeber doch darum gegangen, sicherzustellen, dass eine entsprechende Verantwortlichkeit für die datenschutzrechtlichen Belange in einem organisatorischen Gebilde überhaupt vorhanden sei. Im Übrigen gehe es im vorliegenden Fall gar nicht darum, ob das AMS Verantwortlicher sei.
Dazu wurde den weiteren Verfahrensparteien Parteiengehör eingeräumt.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Die regionale Geschäftsstelle hat zum Zweck der Überprüfung der Anspruchsvoraussetzungen der Beschwerdeführerin auf eine Leistung nach dem AlVG diverse personenbezogene Daten der Beschwerdeführerin u.a. zum Zweck der Anordnung von Kontrollterminen nach § 49 AlVG und zur Anordnung von Untersuchungsaufträgen an die PVA gemäß § 8 AlVG im Zeitraum 18. November 2016 bis 19. Jänner 2019 verarbeitet.
Die Beschwerdeführerin hat sich in ihrer an die belangte Behörde gerichteten Beschwerde vom 25. Juli 2019 gegen diese Datenverarbeitung gewendet und dabei die regionale Geschäftsstelle ausdrücklich als Beschwerdegegnerin bezeichnet.
2. Beweiswürdigung:
Der oben festgestellte Sachverhalt ergibt sich aus dem vorgelegten Verwaltungsakt und ist im Übrigen unstrittig.
3. Rechtliche Beurteilung:
§ 1 Arbeitsmarktservicegesetz, BGBl. Nr. 313/1994 lautet auszugsweise:
§ 1 (1) Die Durchführung der Arbeitsmarktpolitik des Bundes obliegt dem „Arbeitsmarktservice“. Das Arbeitsmarktservice ist ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit.
(2) Das Arbeitsmarktservice ist in eine Bundesorganisation, in Landesorganisationen für jedes Bundesland und innerhalb der Bundesländer in regionale Organisationen gegliedert.
(3) Die Bundesorganisation führt die Bezeichnung „Arbeitsmarktservice Österreich“.
[..]
(5) Die regionalen Organisationen führen die Bezeichnung „Arbeitsmarktservice“ unter Hinzufügung des Namens der Gemeinde (erforderlichenfalls mit einem der Unterscheidbarkeit dienendem Zusatz), in der sie eingerichtet sind.“
Das Arbeitslosenversicherungsgesetz 1977 BGBl. Nr. 609/1977 in der Fassung BGBl. I Nr. 106/2015 (AlVG) lautet auszugsweise:
㤠8 (1) [..]
(2) Arbeitslose sind, wenn sich Zweifel über ihre Arbeitsfähigkeit ergeben oder zu klären ist, ob bestimmte Tätigkeiten ihre Gesundheit gefährden können, verpflichtet, sich ärztlich untersuchen zu lassen. Die Untersuchung der Arbeitsfähigkeit hat an einer vom Kompetenzzentrum Begutachtung der Pensionsversicherungsanstalt festgelegten Stelle stattzufinden. Die Untersuchung, ob bestimmte Tätigkeiten die Gesundheit einer bestimmten Person gefährden können, hat durch einen geeigneten Arzt oder eine geeignete ärztliche Einrichtung zu erfolgen. Wenn eine ärztliche Untersuchung nicht bereits eingeleitet ist, hat die regionale Geschäftsstelle bei Zweifeln über die Arbeitsfähigkeit oder über die Gesundheitsgefährdung eine entsprechende Untersuchung anzuordnen. Wer sich weigert, einer derartigen Anordnung Folge zu leisten, erhält für die Dauer der Weigerung kein Arbeitslosengeld.
[…]
§ 49 (1) Zur Sicherung des Anspruches auf den Bezug von Arbeitslosengeld bzw. Notstandshilfe hat sich der Arbeitslose wöchentlich mindestens einmal bei der nach seinem Wohnort zuständigen regionalen Geschäftsstelle persönlich zu melden. Je nach der Situation auf dem Arbeitsmarkt kann die regionale Geschäftsstelle die Einhaltung von Kontrollmeldungen gänzlich nachsehen, die Zahl der einzuhaltenden Kontrollmeldungen herabsetzen oder öftere Kontrollmeldungen vorschreiben. Die regionale Geschäftsstelle kann auch öftere Kontrollmeldungen vorschreiben, wenn der begründete Verdacht besteht, daß das Arbeitslosengeld bzw. die Notstandshilfe nicht gebührt. Die näheren Bestimmungen über die Kontrollmeldungen trifft die Landesgeschäftsstelle. Die Landesgeschäftsstelle kann auch andere Stellen als Meldestellen bezeichnen.
(2) Ein Arbeitsloser, der trotz Belehrung über die Rechtsfolgen eine Kontrollmeldung unterläßt, ohne sich mit triftigen Gründen zu entschuldigen, verliert vom Tage der versäumten Kontrollmeldung an bis zur Geltendmachung des Fortbezuges den Anspruch auf Arbeitslosengeld bzw. Notstandshilfe. Liegen zwischen dem Tag der versäumten Kontrollmeldung und der Geltendmachung mehr als 62 Tage, so erhält er für den übersteigenden Zeitraum kein Arbeitslosengeld bzw. keine Notstandshilfe. Der Zeitraum des Anspruchsverlustes verkürzt sich um die Tage einer arbeitslosenversicherungspflichtigen Beschäftigung, die er in diesem Zeitraum ausgeübt hat. Ist die Frage strittig, ob ein triftiger Grund für die Unterlassung der Kontrollmeldung vorliegt, so ist der Regionalbeirat anzuhören.
[..]
§ 56 (1) Über Ansprüche auf Leistungen entscheidet die regionale Geschäftsstelle. [..]
(2) Über Beschwerden gegen Bescheide einer Geschäftsstelle entscheidet das Bundesverwaltungsgericht durch einen Senat, dem zwei fachkundige Laienrichter angehören, je einer aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
[…]“
Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. L 119 vom 4.5.2016, (DSGVO) lautet auszugsweise:
„[..]
(45) Erfolgt die Verarbeitung durch den Verantwortlichen aufgrund einer ihm obliegenden rechtlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Mit dieser Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, für welche Zwecke die Daten verarbeitet werden dürfen. Ferner könnten in diesem Recht die allgemeinen Bedingungen dieser Verordnung zur Regelung der Rechtmäßigkeit der Verarbeitung personenbezogener Daten präzisiert und es könnte darin festgelegt werden, wie der Verantwortliche zu bestimmen ist, welche Art von personenbezogenen Daten verarbeitet werden, welche Personen betroffen sind, welchen Einrichtungen die personenbezogenen Daten offengelegt, für welche Zwecke und wie lange sie gespeichert werden dürfen und welche anderen Maßnahmen ergriffen werden, um zu gewährleisten, dass die Verarbeitung rechtmäßig und nach Treu und Glauben erfolgt. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, ob es sich bei dem Verantwortlichen, der eine Aufgabe wahrnimmt, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, um eine Behörde oder um eine andere unter das öffentliche Recht fallende natürliche oder juristische Person oder, sofern dies durch das öffentliche Interesse einschließlich gesundheitlicher Zwecke, wie die öffentliche Gesundheit oder die soziale Sicherheit oder die Verwaltung von Leistungen der Gesundheitsfürsorge, gerechtfertigt ist, eine natürliche oder juristische Person des Privatrechts, wie beispielsweise eine Berufsvereinigung, handeln sollte.
[...]
Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
...
7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
...
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
...
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
...
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
[..]
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
[..]“
Festzuhalten ist, dass sich die Beschwerdeführerin in ihrer Beschwerde vom 25. Juli 2019 ausdrücklich gegen die regionale Geschäftsstelle wegen einer behaupteten Verletzung im Recht auf Geheimhaltung gewendet hat. Konkret brachte sie darin vor, diese habe näher dargestellte personenbezogene Daten im Zeitraum vom 18. November 2016 bis 19. Jänner 2019 fortlaufend in Zusammenhang mit einem sie betreffenden Verwaltungsverfahren in Bezug auf Leistungen nach dem AlVG u.a. in Zusammenhang mit der Ladung zu Kontrollterminen nach § 49 AlVG oder zur Feststellung der Arbeitsfähigkeit nach § 8 Abs. 2 AlVG aus näher dargestellten Gründen unzulässig verwendet.
zum anwendbaren Recht:
Die belangte Behörde ist im vorliegenden Fall zutreffend von einer Anwendbarkeit der DSGVO und des DSG (in der Fassung des Datenschutz-Anpassungsgesetzes 2018, BGBl. I Nr. 120/2017) ausgegangen. Der Verwaltungsgerichtshof hat zwar - iZm einer geltend gemachten Verletzung im Recht auf Geheimhaltung - wiederholt ausgesprochen, dass in einem Fall, in dem darüber abzusprechen ist, was zu einem konkreten vor Inkrafttreten der DSGVO und des DSG gelegenen Zeitpunkt rechtens ist, die zu diesem Zeitpunkt geltende Rechtslage, also das DSG 2000 (in der Fassung vor der Novelle BGBl. I. Nr. 120/2017) anzuwenden ist (vgl. etwa VwGH 18.3.2022, Ro 2020/04/0027, Rn. 18, mwN). Vorliegend geht es allerdings um eine über den Zeitpunkt des Inkrafttretens der DSGVO und des DSG hinaus andauernde und auch erst nach Inkrafttreten geltend gemachte Rechtsverletzung, weshalb die dargestellte Rechtsprechung nicht einschlägig ist (vgl. dazu ausdrücklich VwGH, 18.3.2022, Ro 2020/04/0027, Rn. 27 sowie VwGH, 27.06.2023, Ra 2020/04/0083 in Bezug auf eine (behaupteter Maßen noch aufrechte) Verletzung im Recht auf Löschung).
zum Beschwerdegegner
Die belangte Behörde hat aufgrund der Beschwerde der Beschwerdeführerin ein Verfahren gegen die mitbeteiligte Partei eingeleitet und dieser gegenüber in weiterer Folge auch den angefochtenen Bescheid erlassen. Begründend führte sie dazu im angefochtenen Bescheid aus, es handle sich bei der mitbeteiligten Partei gemäß § 1 Abs. 1 AMSG um ein Dienstleistungsunternehmen des öffentlichen Rechts zur Durchführung der Arbeitsmarktpolitik des Bundes. Trotz organisatorischer Gliederung der mitbeteiligten Partei in Bundes-, Landes- und Regionalorganisationen würden die Teilorganisationen der mitbeteiligten Partei keine eigene Rechtspersönlichkeit besitzen, weshalb die Eigenschaft als datenschutzrechtlicher Verantwortlicher nur der mitbeteiligten Partei zukomme, nicht jedoch ihren Teilorganisationen. Daraus folge, dass gegenständlich nicht – so wie seitens der Beschwerdeführerin in ihrer Beschwerde vom 25. Juli 2019 angeführt – die regionale Geschäftsstelle, sondern die mitbeteiligte Partei als datenschutzrechtlicher Verantwortlicher anzusehen und damit als Beschwerdegegner zu benennen sei.
Mit diesem Vorbringen ist die belangte Behörde jedoch nicht im Recht.
Dabei wird nicht verkannt, dass nach der Rechtsprechung des Verwaltungsgerichtshofes die Berichtigung einer Bezeichnung des Beschwerdegegners im Rahmen einer vertretbaren Auslegung der Parteierklärung durch die belangte Behörde durchaus zulässig sein kann, und zwar wenn sich die Datenschutzbeschwerde gegen eine Person bzw. Stelle richtet, die für die zugrundeliegende Datenverarbeitung nicht verantwortlich iSd Art. 4 Z 7 DSGVO und eine richtige Benennung des Beschwerdegegners für die betroffene Person auch nicht zumutbar ist/war (siehe dazu zuletzt VwGH, 27.06.2023, Ro 2023/04/0013 m.w.H.).
Im vorliegenden Fall bestehen aber keine Gründe, die Verantwortlichkeit der von der Beschwerdeführerin als Beschwerdegegnerin bezeichneten regionalen Geschäftsstelle in Zweifel zu ziehen.
Zwar ist der belangten Behörde zunächst insoweit zuzustimmen, dass es sich bei der regionalen Geschäftsstelle gemäß § 1 Abs. 3 AMSG an sich um eine Teilorganisation des AMS ohne Rechtspersönlichkeit handelt.
Wie von der belangten Behörde jedoch unbestritten festgestellt wurde, erfolgten die (in der Beschwerde behaupteter Maßen unzulässigen) Datenverarbeitungen durch die regionale Geschäftsstelle in Zusammenhang mit einem die Beschwerdeführerin betreffenden Verwaltungsverfahren zur Überprüfung eines Anspruchs auf Leistung nach dem AlVG. Die Durchführung eines auf Erlassung eines Bescheides abzielenden Verwaltungsverfahrens zum Zweck der Entscheidung über einen Anspruch auf Leistung nach dem AlVG ist in § 56 AlVG der regionalen Geschäftsstelle gesetzlich zugewiesen, weshalb diese insoweit in ihrer Funktion als mit Hoheitsgewalt ausgestattete Behörde agiert.
Gemäß der Begriffsdefinition des Art. 4 Z 7 DSGVO ist Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.
Art. 4 Z 7 DSGVO spricht der Organisationseinheit „Behörde“ somit ausdrücklich die Qualifikation eines Verantwortlichen zu und deckt sich dies auch mit der (eigens) die Zulässigkeit behördlicher Datenverarbeitungen regelnden Bestimmung des Art. 6 Abs. 1 lit. e DSGVO. Lit. e rechtfertigt in seiner zweiten Alternative jede Datenverarbeitung, die zur Wahrnehmung einer Aufgabe erforderlich ist, die in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
Die DSGVO selbst definiert weder, was sie unter öffentlicher Gewalt versteht, noch, wie deren Übertragung zu erfolgen hat. Dies bestimmen die Union oder die Mitgliedsstaaten in ihren Erlaubnistatbeständen und den ihnen zugeordneten Normen selbst. Fest steht jedenfalls, dass die Ausübung der öffentlichen Gewalt in jedem Fall die hoheitliche Tätigkeit der Behörden umfasst (vgl. Heberlein in Ehmann/Selmayr, Datenschutzgrundverordnung² [2018] Art. 6, Rn 20).
Einer – wie im vorliegenden Fall – mit Hoheitsgewalt ausgestatteten Behörde an sich die Eigenschaft eines Verantwortlichen abzusprechen, wäre daher mit den Vorgaben der DSGVO nicht in Einklang zu bringen. Dass die juristische Person in Art. 4 Z 7 DSGVO u.a. der Behörde vorangestellt wird, ändert – entgegen dem Vorbringen der mitbeteiligten Partei – jedenfalls nichts daran, dass der Gesetzgeber diese ausdrücklich angeführt und insofern auch als mögliche Verantwortliche in Betracht ziehen wollte.
Im Übrigen verlangt der Verordnungsgeber in dem zu Art. 6 Abs. 1 lit. e DSGVO ergangenen EG 45, dass das Recht der Mitgliedstaaten regeln sollte, „ob es sich bei dem Verantwortlichen [..] um eine Behörde oder um eine andere unter das öffentliche Recht fallende natürliche oder juristische Person“ handelt. Mit dieser Formulierung („Behörde oder um eine andere [..] juristische Person“) wird somit verdeutlicht, dass eine Behörde der Institution juristische Person nach der DSGVO (zumindest) gleichgestellt ist.
Wie bereits dargelegt, wurde der regionalen Geschäftsstelle im vorliegenden Fall die behördliche Verfahrensführung hinsichtlich des Anspruches auf eine Leistung nach dem AlVG mit der Bestimmung des § 56 AlVG – wie auch von Art 6 Abs. 1 lit e DSGVO gefordert – gesetzlich übertragen und damit verbunden gleichzeitig deren Verantwortlichkeit für Datenverarbeitungen in diesem Zusammenhang (für den Zweck der Aufgabenerfüllung) nach Art. 4 Z 7 letzter Satz festgelegt.
Aus Art 6 Abs. 1 lit. e und im Übrigen auch in Art 6 Abs. 3 2. Satz DSGVO geht eindeutig hervor, dass Verantwortlicher einer behördlichen Verarbeitung immer derjenige ist, der auch mit der Wahrnehmung der behördlichen Aufgabe betraut worden ist („die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, [..] die dem Verantwortlichen übertragen worden ist“; vgl. dazu auch die Stellungnahme der Art. 29 Gruppe 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, WP 169, Rn 22; Petri in Simitis/Hornung/Spiecker [Hrsg.], Datenschutzrecht [2019], Art 4 Nr. 7, Rn 23; Hartung in Kühling/Buchner, Datenschutz-Grundverordnung, BDSG² [2018] Art 4 Nr. 7, Rn 14).
Da sich somit die Verantwortlichkeit der regionalen Geschäftsstelle schon aus ihrer rechtlichen Zuständigkeit ergibt, erübrigt es sich auf eine tatsächliche Faktenlage und damit auf das in Art 4 Z 7 1. Satz DSGVO genannte Erfordernis einer tatsächlichen Einflussnahme der regionalen Geschäftsstelle auf die Mittel und Zwecke der Verarbeitung näher einzugehen.
Angesichts dieser Erwägungen bestanden sohin für die belangte Behörde überhaupt keine Gründe, die von der Beschwerdeführerin ausdrücklich als Beschwerdegegnerin bezeichnete regionale Geschäftsstelle durch die mitbeteiligte Partei von sich aus auszutauschen.
Da sich das Verfahren und letztlich entscheidend der angefochtene Bescheid somit aber gegen die mitbeteiligte Partei gerichtet hat, die vom Rechtschutzantrag der Beschwerdeführerin gar nicht umfasst gewesen ist, war der angefochtene Bescheid daher ersatzlos zu beheben. Die Behebung ist allerdings nur im Hinblick auf die Verfahrensführung gegen die mitbeteiligte Partei (als Beschwerdegegnerin) anzusehen, weshalb das Verfahren in Bezug auf die gegen die regionale Geschäftsstelle gerichtete Beschwerde als unerledigt anzusehen ist (vgl. dazu erneut VwGH 27.6.2023, Ro 2023/04/0013, Rn 38). Ein Austausch des Verantwortlichen im verwaltungsgerichtlichen Verfahren und damit eine erstmalige Prüfung dahingehend, ob eine Verletzung im Recht auf Geheimhaltung durch die regionale Geschäftsstelle vorliegt, ist dem Bundesverwaltungsgericht jedenfalls verwehrt (vgl. dazu erneut VwGH 27.6.2023, Ro 2023/04/0013, Rn 37).
Lediglich der Ordnung halber ist zur angenommenen Verantwortlichkeit der mitbeteiligten Partei durch die belangte Behörde Folgendes festzuhalten:
Entgegen den Ausführungen der belangten Behörde handelt es sich bei der mitbeteiligten Partei nicht um das mit Rechtspersönlichkeit ausgestattete Arbeitsmarktservice nach § 1 Abs. 1 AMSG, sondern lediglich um dessen Bundesorganisation nach § 1 Abs. 3 AMSG und dementsprechend wie im Fall der regionalen Geschäftsstelle auch um eine ohne Rechtspersönlichkeit ausgestattete Teilorganisation des Arbeitsmarktservice.
Anhaltspunkte dafür, dass diese Teilorganisation des Arbeitsmarktservice im vorliegenden Fall für die in Rede stehende Datenverarbeitung in irgendeiner Form (mit)verantwortlich (gewesen) ist, wurden von der belangten Behörde nicht aufgezeigt und wäre eine solche Verantwortlichkeit im Übrigen mit dem in Art 18 Abs. 1 B-VG angeordneten Prinzip der festen Zuständigkeitsverteilung auch nicht vereinbar.
Eine nähere Auseinandersetzung der Verantwortlichkeit des Arbeitsmarktservice konnte bei diesem Ergebnis unterbleiben, zumal sich diese Frage – wie letztlich von der mitbeteiligten Partei auch selbst ausgeführt wurde – im gegenständlichen Verfahren ohnedies nicht gestellt hat.
Auf die Durchführung einer mündlichen Verhandlung kann in Bezug auf § 24 Abs. 2 Z 1 VwGVG verzichtet werden, da bereits aufgrund der Aktenlage feststeht, dass der mit Beschwerde angefochtene Bescheid aufzuheben ist. Die Durchführung einer mündlichen Verhandlung wurde im Übrigen, insbesondere von Beschwerdeführerin auch gar nicht beantragt.
Zu Spruchpunkt B)
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt.
Weder mangelt es an einer Rechtsprechung des Verwaltungsgerichtshofes (vgl die oben angeführten Erkenntnisse des Verwaltungsgerichtshofes), noch weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab; diese ist auch nicht uneinheitlich.
Sonstige Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage liegen nicht vor.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
