2022-0.792.182 – Datenschutzbehörde Entscheidung

GZ: 2022-0.792.182 vom 21. November 2022 (Verfahrenszahl: DSB-D124.5017)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.

Der Name des Beschwerdegegners als Körperschaft öffentlichen Rechts ist nicht pseudonymisiert worden, da seine gesetzlich definierten Aufgaben der Arbeitsmarktpolitik im Text der Begründung erwähnt werden, und daher eine sinnvolle und sinnerhaltende Pseudonymisierung des Namens in dieser gemäß § 23 Abs. 2 DSG zu veröffentlichenden Entscheidung nicht möglich war.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von der A*** B*** Betriebs GmbH (Beschwerdeführerin), vertreten durch Mag. F***, Mag. T*** Rechtsanwälte OG, vom 21. September 2021 gegen das Arbeitsmarktservice (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt:

1. Die Beschwerde wegen einer Verletzung im Recht auf Geheimhaltung wird als unbegründet abgewiesen .

2. Die ergänzende Beschwerde der Beschwerdeführerin vom 2. November 2022 wegen einer Verletzung im Recht auf Auskunft wird zurückgewiesen .

Rechtsgrundlagen : §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Die Beschwerdeführerin brachte in ihrer verfahrenseinleitenden Eingabe vom 21. September 2021 zusammengefasst vor, dass sie sich vom Beschwerdegegner in ihrem Recht auf Geheimhaltung verletzt erachte, da dieser im Jahr 2021 ohne ihre Zustimmung oder ihren Auftrag ihre Daten dafür verwendet habe, um Personen als Arbeitskräfte ungefragt und ohne Bedarf an die Beschwerdeführerin zu vermitteln.

2. Der Beschwerdegegner entgegnete darauf in seiner Stellungnahme vom 21. Oktober 2021, dass die Beschwerdeführerin am 14. Juni 2020 auf ihrer Homepage ein Stelleninserat geschaltet habe, der Beschwerdegegner habe daraufhin diese frei im Internet verfügbaren Informationen aufgefunden und automatisiert auf diese einen Verweis (Link) in einer selbst zur Verfügung gestellten, strukturierten und frei zugänglichen Stellenplattform platziert. Die Beschwerdeführerin habe auch keine Schritte gesetzt um Crawling-Technologien die Erfassung der Stellenanzeige zu verbieten.

3. Die Beschwerdeführerin brachte darauf in ihrer Stellungnahme vom 15. Dezember 2021 vor, dass der Umstand, dass es sich bei der Homepage der Beschwerdeführerin um eine öffentlich zugängliche Homepage handle, nur bedeutet, dass jeder darin Einsicht nehmen könne, sofern nach der Beschwerdeführerin gesucht werde, es bedeute aber gerade nicht, dass die der Homepage zu entnehmenden Tatsachen allgemeinbekannt oder gerichtskundig seien, weshalb nicht schlichtweg von allgemein verfügbaren Daten gesprochen werden könne, auch sei die vorliegende Verwendung der Daten der Beschwerdeführerin aus deren Homepage nicht auf die bloße Reproduktion beschränkt, da es sich um eine Verknüpfung auf der eigenen Homepage des Beschwerdegegners gehandelt habe.

4. Der Beschwerdegegner brachte in einer weiteren Stellungnahme vom 20. September 2022 vor, dass laut Vorbringen der Beschwerdeführerin einige Tage vor dem 22. März 2021 die beschwerdegegenständliche Vermittlungstätigkeit durch den Beschwerdegegner stattgefunden habe. Konkret handle es sich um eine im Online-Ausgabebereich der AMS-Web-Applikation „JobRoboter“ gelisteten Anzeigen zu zwei Stellen, nämlich einer für eine_n Techniker_in und einer für eine_n Büroangestellte_n. Es habe sich weder um eine persönliche Servicetätigkeit von Unternehmensberater_innen des Beschwerdegegners gehandelt, noch sei eine gänzlich automatisierte Kopie des Inserates erstellt worden, vielmehr seien ausschließlich rudimentäre Rahmeninformationen über die Stelle in der Web-Anzeige des JobRoboters angezeigt worden, die erst bei Aktivierung des in der Anzeige integrierten Links (also durch „Anklicken“) den Nutzer direkt zur von der beschwerdeführenden Partei selbst verwalteten Stellen-Website geführt habe. Die Beschwerdeführerin hätte dies auch unterbinden können, entweder in dem diese die gegenständliche Stellenanzeige aus ihrem Online-Aufgebot entfernt hätte oder indem diese ihre Stelle nach dem anerkannten Stand der Technik für im Internet agierende Verkehrsteilnehmer_innen (natürliche Personen und automatisiert agierende Verkehrsteilnehmer_innen wie bspw. der JobRoboter des AMS) als inaktiv markiert hätte. Die beschwerdeführende Partei habe aber durch die Verschiebung der Inseratsanzeige in den Archiv-Bereich ausschließlich auf die Wahrnehmung durch natürliche Personen abgestellt und habe es eben unterlassen, eine auch für automatisierte Verkehrsteilnehmer_innen dem Stand der Technik entsprechende Wahrnehmungsform der Inaktivsetzung zu wählen, andernfalls der JobRoboter grundsätzlich binnen 24h die so erzeugte Verlinkung zur Stellenanzeige der beschwerdeführenden Partei wieder aufgelöst hätte. Auch das Argument der Beschwerdeführerin, eine allgemeine Verfügbarkeit der Daten komme auf Grund eines beschränkten Personenkreises nicht in Betracht gehe ins Leere, da es die Beschwerdeführerin unterlassen habe, die ihr möglichen und von einem durchschnittlichen, unternehmensführenden Internet-Anwender erwartbaren Vorkehrungen zu treffen, um eine größtmögliche Einschränkung der Inseratsverwendung zu treffen.

5. Die Beschwerdeführerin erwiderte darauf in ihrer Stellungnahme vom 2. November 2022, dass der Beschwerdegegner bis dato das Recht auf Auskunft der Beschwerdeführerin nicht erfüllt habe, die Beschwerde werde daher, neben der Verletzung des Rechts auf Geheimhaltung, wie bereits im Antrag an die Datenschutzbehörde geltend gemacht, auch im Punkt der Verletzung des Rechts auf Auskunft ausdrücklich aufrechterhalten. Ob eine aktive Vermittlungstätigkeit durch den Beschwerdegegner stattgefunden habe oder nicht, ändere nichts an der Verarbeitung der Daten durch den Beschwerdegegner und dem Unterfall in den Anwendungsbereich des DSG. Es sei auch nicht Aufgabe der Beschwerdeführerin sich durch „nach dem Stand der Technik“ vorzunehmende Inserate darum zu kümmern, dass Dritten, sei es auch durch einen automatisierten Crawler, Eingriffe in das Grundrecht auf Datenschutz nicht ermöglicht werden, sondern es sei Aufgabe des Beschwerdegegners ihre Applikation so zu programmieren, dass unzulässige Eingriffe überhaupt nicht stattfinden. Zudem übersehe der Beschwerdegegner auch die zu Grundbuchsdaten ergangene Entscheidung der Datenschutzbehörde vom 23. April 2019, DSB-D123.626/0006-DSB/2018: nur, weil Daten durch jedermann eingesehen werden können, bedeute das nicht, dass die auf der Homepage der Beschwerdeführerin zu entnehmenden Tatsachen allgemein bekannt sind bzw. die Daten dadurch allgemein verfügbar seien. Unabhängig davon dürften nicht alle Daten, die veröffentlicht wurden oder öffentlich zugänglich sind, von einem Verantwortlichen für beliebige, eigene Zwecke verwendet werden.

B. Beschwerdegegenstand

Beschwerdegegenstand ist die Frage, ob der Beschwerdegegner die Beschwerdeführerin in ihrem Recht auf Geheimhaltung verletzt hat, indem er Daten der Beschwerdeführerin aus einer Stellenausschreibung auf der eigenen Homepage des Beschwerdegegners veröffentlicht hat.

C. Sachverhaltsfeststellungen

1. Der Beschwerdegegner ist ein Dienstleistungsunternehmen öffentlichen Rechts. Ihm obliegt die Arbeitsmarktpolitik des Bundes.

2. Der Beschwerdegegner sucht mithilfe eines Algorithmus auf den Webseiten von Unternehmen nach offenen Stellenangeboten um diese anschließend auf der Homepage des Beschwerdegegners zu veröffentlichen („AMS Jobroboter“).

3. Dabei werden die Angaben rudimentäre Rahmeninformationen über die Stelle aus dem ursprünglichen Inserat in der Web-Anzeige des JobRoboters übernommen. Darüber hinaus wird mittels in der Anzeige integriertem Link direkt zur Stellen-Website des jeweiligen Unternehmens geführt.

4. Wenn das Original-Stelleninserat offline genommen wird, wird auch das Stelleninserat auf der Homepage des Beschwerdegegners entfernt.

5. Die Aktualisierung der Stellenangebote erfolgt in der Regel binnen 24 Stunden.

Beweiswürdigung : Die getroffenen Feststellungen beruhen auf einer mit der Stellungnahme vom 15. Dezember 2021 vorgelegten internen Korrespondenz auf Seiten des Beschwerdegegners sowie der ergänzenden Stellungnahme des Beschwerdegegners vom 20. September 2022.

6. Am 14. Oktober 2020 und am 7. Mai 2021 waren auf der Homepage der Beschwerdeführerin Stellenausschreibungen veröffentlicht.

7. Der Beschwerdegegner hat daraufhin Daten der Beschwerdeführerin aus der Stellenausschreibung übernommen und auf der Stellenplattform auf seiner Homepage veröffentlicht. Darüber hinaus wurde mittels in der Anzeige integriertem Link direkt zur Stellenausschreibung auf der Website der Beschwerdeführerin geführt.

Beweiswürdigung : Die getroffenen Feststellungen beruhen auf den insoweit unbestrittenen Angaben des Beschwerdegegners in seiner Stellungnahme vom 15. Dezember 2021 und der damit vorgelegten internen Korrespondenz sowie der ergänzenden Stellungnahme des Beschwerdegegners vom 20. September 2022.

D. In rechtlicher Hinsicht folgt daraus:

Zu Spruchpunkt 1

a) Zur Aktivlegitimation der Beschwerdeführerin

Die Datenschutzbehörde hat bereits mehrfach ausgesprochen, dass auch juristische Personen dem Schutzbereich gemäß § 1 DSG unterliegen und zur Geltendmachung ihrer darin gewährten Rechte auch zur Erhebung einer Beschwerde gemäß § 24 DSG legitimiert sind (vgl. dazu ausführlich der Bescheid der Datenschutzbehörde vom 25. Mai 2020, GZ: D124.1182, 2020-0.191.240).

b) Zum Recht auf Geheimhaltung

Nach § 1 Abs. 1 DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Die ganz generelle Annahme des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten gilt nicht im Anwendungsbereich der DSGVO (vgl. bereits den Bescheid der DSB vom 31. Oktober 2018, GZ DSB D123.076/0003 DSB/2018 mwN), die Anwendung der DSGVO ist jedoch gemäß Art. 1 DSGVO auf Verarbeitungen von personenbezogenen Daten natürlicher Personen beschränkt. Bei der Beschwerdeführerin handelt es sich jedoch um eine juristische Person, womit der Anwendungsbereich der DSGVO nicht eröffnet und die Ausnahme allgemein verfügbarer Daten nach § 1 Abs. 1 DSG zu beachten ist.

„Allgemein verfügbar“ sind Daten, wenn sie einem unbegrenzten, individuell nicht bestimmten Nutzerkreis offenstehen (vgl. OGH vom 3. September 2002, 11 Os 109/01; DSK vom 25.Februar 2009, K121.419/0007-DSK/2009). Ob Daten als „allgemein verfügbar“ zu qualifizieren sind bedarf einer Prüfung im Einzelfall, wobei insbesondere zu beachten ist, ob die allgemeine Zugänglichkeit im Zeitpunkt der beabsichtigten Verwendung tatsächlich noch besteht (siehe dazu die ErlRV zur StF des § 1 DSG 2000, 1613 BlgNR 20. GP 34 f).

Gegenständlich hat die Beschwerdeführerin die Stellenausschreibung selber auf ihrer Homepage veröffentlicht, die Homepage der Beschwerdeführerin ist einem breiten, uneingeschränkten Personenkreis frei zugänglich und öffentlich abrufbar. Auch gilt zu beachten, dass – anders als die Beschwerdeführerin vermeint – gegenständlich eben kein informationeller Mehrwehrt geschaffen wurde, da lediglich Daten aus der Stellenausschreibung reproduziert wurden und diese sogar zum selben Zweck – nämlich der Akquise von Arbeitskräften bei der Beschwerdeführerin – veröffentlicht wurden. Die Verarbeitung durch den Beschwerdegegner erfolgte auch nur solange, als das Stelleninserat auf der Homepage der Beschwerdeführerin veröffentlicht wurde bzw. gegebenenfalls unwesentlich länger, da die Jobausschreiben beim Beschwerdegegner durch den dort implementierten Algorithmus in der Regel innerhalb von 24 Stunden aktualisiert werden.

Der von der Beschwerdeführerin zitierte Bescheid der Datenschutzbehörde vom 23. April 2019, DSB-D123.626/0006-DSB/2018 zur Schutzwürdigkeit von Daten aus öffentlichen Registern wie dem Grundbuch ist damit insoweit auch nicht vergleichbar, da die Veröffentlichung dieser Daten anders als gegenständlich nicht durch die betroffenen Personen selbst erfolgt ist, mit der Verwendung dieser Daten ein informationeller Mehrwert geschaffen wurde und es sich daher eben nicht um eine bloße Reproduktion gehandelt hat und die Datenverarbeitung letztlich auch im Anwendungsbereich der DSGVO stattgefunden hat, womit die Ausnahme vom Schutzbereich mangels schutzwürdigen Interesses gar nicht zum Tragen kommen konnte. Gegenständlich ist daher von einer allgemeinen Verfügbarkeit der Daten der Beschwerdeführerin aus der auf ihrer Homepage veröffentlichten Stellenschreibung auszugehen.

Selbst wenn man jedoch davon ausgeht, dass es sich nicht um allgemein verfügbare Daten handelt und damit der Anwendungsbereich von § 1 Abs. 1 DSG eröffnet ist, so wäre dieser Eingriff aus nachfolgenden Gründen gerechtfertigt:

Beim Beschwerdegegner handelt es sich um eine Körperschaft öffentlichen Rechts, ihm obliegt gemäß § 1 AMSG die Arbeitsmarktpolitik des Bundes. Der Beschwerdegegner ist damit als „Behörde“ im funktionalen Sinn zu qualifizieren, Eingriffe einer staatlichen Behörde in das Recht auf Geheimhaltung sind gemäß § 1 Abs. 2 DSG nur auf Grund von Gesetzen zulässig (vgl. auch Art. 18 B-VG). Solche Gesetze müssen ausreichend präzise, also für jedermann vorhersehbar regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben zulässig ist, also einen ausreichend hohen Determinierungsgrad aufweisen (VfSlg. 18.643/2008; vgl. dazu auch das Erkenntnis des VfGH vom 12. Dezember 2019 zu G 164/2019-25 und G 171/2019-24).

Gemäß § 29 AMSG ist Ziel des Beschwerdegegners, auf das Zusammenführen von Arbeitskräfteangebot und -nachfrage hinzuwirken und dadurch die Versorgung der Wirtschaft mit Arbeitskräften und die Beschäftigung aller Personen, die dem österreichischen Arbeitsmarkt zur Verfügung stehen, bestmöglich zu sichern. Gemäß Abs. 2 leg. cit. hat der Beschwerdegegner dazu unter anderem Leistungen zu erbringen, die darauf gerichtet sind, auf effiziente Weise die Vermittlung von geeigneten Arbeitskräften auf Arbeitsplätze herbeizuführen (Z 1) und der Unübersichtlichkeit des Arbeitsmarktes entgegenzuwirken (Z 3) . Der Beschwerdegegner hat gemäß § 32 AMSG seine Leistungen in Form von Dienstleistungen zu erbringen, deren Zweck die Vermittlung von Arbeitsuchenden auf offene Stellen, die Beschäftigungssicherung und die Existenzsicherung im Sinne des § 29 leg. cit. ist. Dazu zählt gemäß § 32 Abs. 2 AMSG auch die Information über den Arbeitsmarkt und die Berufswelt (Z 1), die Unterstützung von Unternehmen bei der Suche und Auswahl geeigneter Arbeitskräfte (Z 5) sowie die Unterstützung von Arbeitsuchenden bei der Suche und Auswahl eines Arbeitsplatzes (Z 6).

Die gegenständliche Veröffentlichung von Daten der Beschwerdeführerin erfolgte auf Grundlage dieser dem Beschwerdegegner gesetzlich übertragenen Aufgaben und unter Berücksichtigung des Grundsatzes der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO, da ausschließlich rudimentäre Rahmeninformationen über die Stelle aus dem ursprünglichen Inserat übernommen wurden und darüber hinaus mittels integriertem Link direkt zur entsprechenden Stellenausschreibung auf die Webseite der Beschwerdeführerin geführt wurde. Auch erfolgt die Veröffentlichung von Informationen über Stellangebote auf der Webseite des Beschwerdegegners nur solange, als die jeweilige Stellenausschreibung auch auf der Webseite des jeweiligen Arbeitgebers abrufbar ist.

Im Ergebnis konnte sich daher der Beschwerdegegner auch auf eine gesetzliche Grundlage im Sinne von § 1 Abs. 2 DSG stützen, weshalb die Beschwerde spruchgemäß abzuweisen war.

Zu Spruchpunkt 2

Soweit die Beschwerdeführerin in ihrer letzten Stellungnahme vom 2. November 2022 vorgebracht hat, dass sie ihre Beschwerde neben der Verletzung des Rechts auf Geheimhaltung „ wie bereits im Antrag an die DSB geltend gemacht “, auch im Punkt der Verletzung des Rechts auf Auskunft ausdrücklich aufrechterhalte so wird darauf hingewiesen, dass der verfahrenseinleitenden Beschwerde kein solcher Antrag auf Feststellung im Recht auf Auskunft zu entnehmen war. In dieser hat die (anwaltlich vertretene) Beschwerdeführerin unter Verwendung des Musterformulars für Beschwerden wegen eines Verstoßes gegen das Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 DSG lediglich allgemein im Rahmen ihrer Sachverhaltsdarstellung vorgebracht „Eine Aufforderung der rechtsfreundlichen Vertreter zur Bekanntgabe, welche sonstigen Daten über die Beschwerdeführerin gespeichert und verarbeitet werden blieb unbeantwortet .“

Bei der Interpretation von Anbringen ist zwar nicht bloß der Wortlaut der Beschwerde, sondern auch der Wille der Partei beachtlich, sofern der Gegenstand des Verfahrens – wenn auch nach Auslegung des Vorbringens iSd §§ 6 u. 7 ABGB – zweifelsfrei , also ohne Möglichkeit einer Verwechslung zu erkennen ist (VwGH 13.11.2014, Ra2014/12/0010). Für die Beurteilung eines Anbringens kommt es damit nicht auf Bezeichnungen und zufällige Verbalformen an, sondern auf den Inhalt des Anbringens, also das erkennbare oder zu erschließende Ziel eines Parteischrittes (VwGH 27.11.1998, 95/21/0912). Dass jedoch von der Beschwerdeführerin mit dem oben zitierten Beschwerdevorbringen vom 21. September 2021 die Einbringung eines Antrags auf Feststellung einer Verletzung im Recht auf Auskunft beabsichtigt war, lässt sich hier gerade nicht ableiten.

Allerdings kann im Rahmen einer Interpretation des Vorbringens vom 2. November 2022 nunmehr ein solcher Antrag abgeleitet werden. Hierbei handelt es sich jedoch um ein neues, anderes und ergänzendes Vorbringen und damit einen neuen Beschwerdegegenstand , welches das Wesen des Verfahrensgegenstandes gemäß § 13 Abs. 8 AVG berührt (vgl. hierzu auch das Erkenntnis des BVwG vom 20. Oktober 2021, GZ W211 2231475-1/9E).

Vor diesem Hintergrund war das ergänzende Beschwerdevorbringen gemäß § 13 Abs. 8 AVG zurückzuweisen. Es bleibt der Beschwerdeführerin in diesem Zusammenhang allerdings unbenommen, eine neue Beschwerde bei der Datenschutzbehörde einzubringen.

Es war daher insgesamt spruchgemäß zu entscheiden.