K210.579/0004-DSK/2008 – Dsk Entscheidung

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. STAUDIGL, Dr. KOTSCHY, Mag. MAITZ-STRASSNIG, Mag. ZIMMER, Dr. BLAHA sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 16. Mai 2008 folgenden Beschluss gefasst:

Auf Grund der Eingabe des Herrn Dorian E*** (Einschreiter) aus Wien vom 5. Juli 2007 betreffend Datenschutzverletzung im Zuge eines Beratungsgespräches in der AMS Geschäftsstelle Wien-N***straße, ergeht gemäß § 30 Abs. 6 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 13/2005, iVm §§ 1 Abs. 1 und 2, und 6 Abs. 1 Z 1 DSG 2000, folgende Empfehlung an das Arbeitsmarktservice Wien (in Folgenden kurz: AMS Wien):

Beratungsgespräche, in denen persönliche Daten eines AMS-Kunden erörtert werden, sind derart zu führen, dass unbeteiligte AMS-Kunden den Inhalt der im Gespräch verwendeten personenbezogenen Daten nicht wahrnehmen können. Hierzu sind geeignete Maßnahmen zu treffen.

Die Datenschutzkommission setzt eine Frist von sechs Monaten, um einen Bericht vorzulegen, welche Maßnahmen (seitens des AMS Wien, einschließlich eines entsprechenden Zeitplans) ergriffen wurden, um die Einhaltung dieser Empfehlung sicherzustellen.

B e g r ü n d u n g:

A. Vorbringen des Einschreiters und des Auftraggebers

Der Einschreiter behauptete in seiner Eingabe (E-Mail) vom 5. Juli 2007 (Eingangsdatum) sinngemäß eine Verletzung im Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten dadurch, dass er als Arbeitsuchender in der AMS-Geschäftsstelle Wien-N***straße Beratungsgespräche in einem Arbeitsraum eines Betreuers in Anwesenheit anderer AMS-Kunden führen musste. Weiters rügte er den Zugang der Ombudsstelle des AMS Wien zu Kundendaten, woraus sich aber kein Verdacht einer Rechts- oder Pflichtenverletzung seitens des AMS Wien ableiten ließ.

Das AMS Wien brachte mit Schreiben vom 17. Juli 2007, GZ: LGSW/Abt. 1/1**3/2007 (einschließlich Stellungnahme der Geschäftsstelle N***straße vom 18. Juli 2007, GZ RGS **1/Ltg/0*5 bzw. 0**7 und 2**8/2007), vor, die Räumlichkeiten für den Kundenverkehr seien nach einem Drei-Zonen-Modell organisiert. Dabei gebe es für arbeitsuchende Kunden eine „Infozone“ eine „Servicezone“ und eine „Beratungszone“. Während die „Infozone“ der einfachen und anonymen (Selbst-) Information diene, könnten in der „Servicezone“ klar definierte Anbringen geltend gemacht werden (Antrag auf Arbeitslosengeld, Stellensuche bei klarem Berufswunsch, ausreichender Qualifikation und entsprechender Eigeninitiative). Die „Beratungszone“ sei für tiefer gehende Betreuung auf Wunsch oder bei sich ergebender Notwendigkeit vorgesehen. Der Einschreiter sei im Zeitpunkt des Vorfalls, auf den sich seine Eingabe beziehe (11. April 2007) in der Servicezone betreut worden. Das Gespräch habe im Raum 3020 der Geschäftsstelle N***straße stattgefunden, in dem bei 29,41 m2 Fläche zwei Arbeitsplätze eingerichtet seien, also regelmäßig zwei Parteien (im Sinne der Diktion des AMS: Kunden) betreut würden. In anderen Zimmern, die vom für den Einschreiter zuständigen Mitarbeiterteam benutzt würden, seien Einzelarbeitsplätze eingerichtet. Am fraglichen Tag sei auch, unter mündlichem Hinweis auf die entsprechenden Säumnisfolgen nach dem Arbeitslosen-Versicherungsgesetz (AlVG) ein Kontrolltermin für den 9. Mai 2007 vereinbart worden. Zu diesem Zeitpunkt seien, wie eine zeitliche Rekonstruktion ergeben habe, beide Arbeitsplätze besetzt, der Einschreiter mit seinem Betreuer also nicht allein im Zimmer gewesen. Aus Gründen der zur Verfügung stehenden Raumressourcen könne es aber weder für die Service- noch für die Beratungszone vollständig ausgeschlossen werden, dass zwei Kunden in einem Raum betreut würden. Bescheinigt wurde das Vorbringen des AMS Wien u.a. durch eine vorgelegten Grundrissplan der entsprechenden Büroräume.

Das AMS Wien betonte, dass bei solchen Beratungsgesprächen nur wenige personenbezogene Daten verwendet würden. Das AMS Wien sei bestrebt, auf die Wahrnehmung der Privatsphäre seiner Kunden und den Datenschutz größtmögliche Rücksicht zu nehmen, insbesondere bei der Neugestaltung von Büroräumen.

Der Sachverhalt ist in wesentlichen Punkten unstrittig. Die Datenschutzkommission legt daher die gut bescheinigte Darstellung des AMS Wien ihrer Beurteilung zu Grunde, geht jedoch dabei ausdrücklich davon aus, dass, insbesondere nach dem Gegenstand des Beratungsgesprächs (u.a. Pflichten des Einschreiters nach dem AlVG, Termine), dabei personenbezogene Daten des Einschreiters verwendet worden sind.

Der Einschreiter betonte in seiner Stellungnahme vom 28. September 2007 insbesondere, dass es ihm darum gehe zu verhindern, dass AMS-Kunden wechselseitig Kenntnis von den Daten des anderen erlangen können.

B. Gegenstand des Verfahrens

Ausgehend von der Eingabe des Einschreiters ist der Gegenstand dieses Verfahrens die Rechtsfrage, ob das Grundrecht auf Datenschutz (Geheimhaltung) insbesondere einen Auftraggeber des öffentlichen Bereichs dazu verpflichtet, die mündliche Kommunikation mit seinen Parteien bzw. Kunden unter Verwendung personenbezogener Daten (Kundenverkehr, Parteienverkehr), so zu gestalten, dass deren Geheimhaltungsrecht bestmöglich gewahrt bleibt.

C. rechtliche Beurteilung

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmungen des § 1 Abs. 1 und 2 des Datenschutzgesetzes 2000 (DSG 2000) lauten unter der Überschrift „Grundrecht auf Datenschutz":

" § 1 . (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

§ 6 Abs. 1 DSG 2000 lautet unter der Überschrift „Grundsätze“:

„ § 6 . (1) Daten dürfen nur

§ 14 Abs. 1 DSG 2000 lautet unter der Überschrift „Datensicherheitsmassnahmen“:

„ § 14 . (1) Für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, sind Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit sicherzustellen, daß die Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, daß ihre Verwendung ordnungsgemäß erfolgt und daß die Daten Unbefugten nicht zugänglich sind.“

§ 30 Abs. 6 DSG 2000 lautet unter der Überschrift „Kontrollbefugnisse der Datenschutzkommission“:

„ § 30 . [...]

(6) Zur Herstellung des rechtmäßigen Zustandes kann die Datenschutzkommission Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere

2. rechtliche Schlussfolgerungen

Das Grundrecht auf Geheimhaltung gilt nach h.M. unmittelbar und bindet sowohl Auftraggeber des öffentlichen wie des privaten Bereichs – zu ersteren gehört zweifelsfrei und unbestritten das AMS Wien. Der durch das Grundrecht auf Datenschutz unmittelbar eingeräumte subjektiv-öffentliche Anspruch auf Geheimhaltung personenbezogener Daten schützt sowohl vor ungerechtfertigter Ermittlung als auch Übermittlung von Daten (Bescheid der Datenschutzkommission vom 5. April 2002, GZ: K120.766/004-DSK/2002, RIS, Rechtssatz 1). Es gilt für jede Form der Verwendung personenbezogener Daten, also auch für solche, die weder in einer automationsunterstützten Datenanwendung noch in einer manuellen Datei verwendet werden (vgl. dazu etwa den Bescheid der Datenschutzkommission vom 31. August 2000, GZ. 120.532/22-DSK/00, RIS).

Auch die einfachgesetzlichen Bestimmungen des DSG 2000 nehmen auf den hier zu beurteilenden Fall (Datenverwendung im Gespräch vor Ohrenzeugen) grundsätzlich Bezug.

So legt § 6 Abs. 1 Z 3 DSG 2000 als Grundsatzbestimmung fest, dass Daten nur verwendet werden dürfen, „soweit sie für den Zweck der Datenanwendung wesentlich sind,…und über diesen Zweck nicht hinausgehen.“ Der Zweck der Datenverwendung im Rahmen eines Beratungsgesprächs, das u.a. auch der Datenermittlung für Zwecke einer automationsunterstützten Datenwendung dient (vgl. Blg./3 zur Stellungnahme des AMS Wien vom 17. Juli 2007, GZ: LGSW/Abt. 1/1**3/2007), ist ein gemischter: Für Zwecke der Vollziehung des AlVG ist es die Feststellung, ob der Leistungsbezieher seine entsprechenden Pflichten erfüllt hat (etwa sich aktiv um eine Arbeitsstelle bemüht und die entsprechenden Kontrolltermine eingehalten hat), woran sich Konsequenzen für seinen Leistungsanspruch knüpfen können. Dies ist ein Ermittlungsverfahren gemäß AVG zur Feststellung eines maßgeblichen Sachverhalts. In Vollziehung des AMSG und anderer Gesetze (etwa des AMFG) ist der Zweck die bestmögliche Vermittlung des Arbeitsuchenden. Im ersten Fall (AVG-Verfahren) findet der Zweck seine Grenzen definitiv im Verhältnis Auftraggeber (AMS Wien) - Betroffener, im Fall der Vermittlung ist eine Datenübermittlung an Dritte denkmöglich, eine Einbeziehung anderer Arbeitsuchender aber hier weder vorgesehen noch entsprechen sie dem gesetzlichen Datenverwendungszweck.

Daran knüpft sich die Schlussfolgerung, dass eine derartige Datenverwendung, die eine in Zimmerlautstärke geführte Konversation zwischen AMS-Berater und Betroffenem darstellt, in einer Weise erfolgen muss, dass unbeteiligte Personen deren Inhalt nicht wahrnehmen können, und der Auftraggeber im Sinne von § 1 Abs. 2 letzter Satz iSd § 14 Abs. 1 DSG 2000 verpflichtet ist, geeignete Maßnahmen zu unternehmen, um solche Eingriffe zu minimieren.

§ 14 Abs. 1 DSG 2000 sieht ausdrücklich vor, dass alle Auftraggeber Maßnahmen zur Gewährleistung der Datensicherheit zu treffen haben. Daher ist je nach der Art der Datenanwendung sicherzustellen, dass u.a. die Daten Unbefugten nicht zugänglich sind. Unter Abwägung der angeführten Kriterien wird es daher dem AMS Wien obliegen, durch geeignete Maßnahmen bei Beratungsgesprächen mit den AMS-Kunden sicherzustellen, dass andere AMS-Kunden den Inhalt der bei diesen Gesprächen verwendeten personenbezogenen Daten nicht wahrnehmen können. Da es Aufgabe der Datenschutzkommission gemäß § 30 Abs. 6 DSG 2000 ist, datenschutzrechtlichen Auftraggebern auch pro futuro Vorgaben zu machen, um eine rechts- und pflichtengemäß Datenverwendung sicherzustellen, war daher die vorliegende Empfehlung zu erlassen. Da eine Umsetzung erkennbar mit zumindest mittelfristigen Planungen verbunden sein wird, war anstatt der Setzung einer konkreten Umsetzungsfrist die Vorlage eines entsprechenden, realistischen Zeitplanes aufzutragen.

[Anmerkung Bearbeiter: Die Bundesgeschäftsstelle des AMS (AMS Österreich) hat (wegen organisationsinterner Zuständigkeit für Bau- und Raummanagement) mit Schreiben vom 7. November 2008 der Datenschutzkommission mitgeteilt, welche Schritte zur Umsetzung dieser Empfehlung in der konkret betroffenen Geschäftsstelle in nächster Zukunft (auch im Zuge von Umbaumaßnahmen) geplant sind.]