Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator und die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichts vom 18. Dezember 2020, Zl. W256 2235360 1/5E, betreffend eine datenschutzrechtliche Angelegenheit (mitbeteiligte Partei: Arbeitsmarktservice, vertreten durch die Brauneis Klauser Prändl Rechtsanwälte GmbH in 1010 Wien, Bauernmarkt 2; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit des Inhalts aufgehoben.
1 1. Dem angefochtenen Erkenntnis ist folgender unstrittiger Sachverhalt zu entnehmen:
2Der mitbeteiligten Partei (im Folgenden: mP), im Verfahren vor dem Verwaltungsgericht regelmäßig als „Arbeitsmarktservice Österreich“ bezeichnet, obliegt gemäß § 1 Abs. 1 Arbeitsmarktservicegesetz (AMSG) „die Durchführung der Arbeitsmarktpolitik des Bundes“ und sie wird als „ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit“ definiert.
3 Um Arbeitskräfte bei der (Wieder )Eingliederung in den Arbeitsmarkt zu unterstützen, werden von der mP diverse Dienstleistungen angeboten. Die nähere Vorgangsweise der hierzu eingesetzten BeraterInnen ist in der „Bundesrichtlinie“ des Arbeitsmarktservice „Kernprozess Arbeitskräfte unterstützen“ festgelegt. In dieser ist festgehalten, dass BeraterInnen im Zuge eines Beratungsgesprächs mit den arbeitssuchenden Personen deren Wünsche/Erwartungen, deren bisherigen Lebenslauf und die Ursachen für ihre Arbeitslosigkeit zu erläutern haben. Die Arbeitsmarktchancen des Arbeitssuchenden sollen thematisiert und erörtert werden.
4 Um die BeraterInnen bei der Einschätzung der Arbeitsmarktchancen der Arbeitssuchenden zu unterstützen, entwickelte die mP seit 2016 ein Konzept für die Berechnung der Arbeitsmarktchancen, das Arbeitsmarktchancen Assistenzsystem (AMAS). Dieses Modell sollte von BeraterInnen der mP ab 1. Jänner 2021 verpflichtend eingesetzt werden.
5 Mit diesem Statistikmodell wird anhand eines Algorithmus der Grad der Wahrscheinlichkeit für arbeitssuchende Personen automatisiert errechnet, innerhalb eines bestimmten Zeitraums in der Zukunft eine bestimmte Anzahl von Tagen beschäftigt zu sein. Konkret wird dabei basierend auf folgenden Daten eine „IC“ errechnet:
Altersgruppe,
Geschlecht,
Staatengruppe,
Ausbildung,
gesundheitliche Beeinträchtigung,
Betreuungspflichten,
Berufsgruppe,
Vorkarriere,
regionales Arbeitsmarktgeschehen sowie
Dauer des Geschäftsfalles bei der mP.
6 Auf Basis der „IC“ erfolgt eine Einteilung der Arbeitssuchenden in folgende drei Gruppen:
ServicekundInnen mit Arbeitsmarktchancen hoch
BetreuungskundInnen mit Arbeitsmarktchancen niedrig
BeratungskundInnen mit Arbeitsmarktchancen mittel.
7 Die Ergebnisse des AMAS sollen im Beratungsprozess genutzt werden und für die BeraterInnen ein Ausgangspunkt sein, um gemeinsam mit den Kunden eine Einschätzung des jeweiligen Potentials und gegebenenfalls der Hindernisse bei der Arbeitsmarktintegration festzustellen. Auf Grund dieser Auseinandersetzung ist die optimale Betreuungsstrategie zu definieren. Hat der Arbeitssuchende ausdrücklich eine andere Einschätzung zu den Arbeitsmarktchancen als die BeraterInnen, ist dies in der Betreuungsvereinbarung zu dokumentieren.
8 AMAS berücksichtigt nicht Kriterien wie Motivation, Selbsthilfepotential der Kunden, Sucht, Schulden, Wohnungssituation etc.
9 2.Nach Einleitung eines amtswegigen Prüfungsverfahrens gemäß Art. 57 Abs. 1 lit. h iVm Art. 58 Abs. 1 lit. b und Abs. 2 lit. a DSGVO iVm § 22 Abs. 1 DSG wurde der mP seitens der Revisionswerberin mit Bescheid vom 16. August 2020 die Datenverarbeitung im Zusammenhang mit der Ermittlung von Arbeitsmarktchancen von arbeitssuchenden Personen unter Zuhilfenahme des Arbeitsmarktchancen Assistenzsystems (AMAS) mit Wirkung vom 1. Jänner 2021 untersagt, „sofern bis zu diesem Zeitpunkt keine geeignete Rechtsgrundlage für die Datenverarbeitung vorlieg[e]“.
10Zusammengefasst führte die Revisionswerberin in ihrem Bescheid begründend aus, unter Zuhilfenahme von AMAS erfolge eine Datenverarbeitung im Rahmen der Wahrnehmung der der mP gemäß § 1 Abs. 1 AMSG übertragenen öffentlichen Aufgaben. Für eine Behörde sei es gemäß § 1 Abs. 2 DSG erforderlich, dass sich deren Datenverarbeitung auf eine hinreichend determinierte gesetzliche Ermächtigung stütze. Die von der mP genannten § 29 und § 31 Abs. 5 AMSG würden nur allgemein das Ziel und die Aufgabenerfüllung der mP festlegen, nicht jedoch zu einer Datenverarbeitung ermächtigen. Bei der verfahrensgegenständlichen Datenverarbeitung handle es sich um ein Profiling im Sinne des Art. 4 Z 4 DSGVO, durch welche ein „informationeller Mehrwert“ zustande komme, auf welchen im Gesetz ausdrücklich Bezug genommen werden müsse. Die vorliegende Datenverarbeitung könne sich auf keine geeignete gesetzliche Grundlage stützen. Zudem liege ein Fall des Art. 22 DSGVO, nämlich eine automatisierte Einzelentscheidung vor. Es sei zwar einzuräumen, dass die Letztentscheidung auf Grund von internen Richtlinien bei den BeraterInnen der mP liege. Diese internen Handlungsanweisungen würden allerdings keine Bindung für die mP entfalten und daher auch keiner nachprüfenden Kontrolle unterliegen. Zudem sei nicht ausgeschlossen, dass in Einzelfällen die Entscheidung ausschließlich auf das Profiling gestützt werde.
11 3. Mit dem angefochtenen Erkenntnis gab das Bundesverwaltungsgericht (BVwG) der Beschwerde der mP gegen den Bescheid der Revisionswerberin Folge und hob den bekämpften Bescheid ersatzlos auf. Die Revision erklärte es unter einem für zulässig.
12 Über die eingangs bereits dargestellten Feststellungen hinaus traf das BVwG in seiner Begründung ferner die Feststellungen, dass erst nach erfolgter Auseinandersetzung mit den KundInnen die optimale Betreuungsstrategie durch die BeraterInnen anhand einer Betreuungsvereinbarung definiert würde. Um sicher zu stellen, dass die BeraterInnen das Ergebnis des Algorithmus nicht unhinterfragt übernehmen würden, habe die mP neben den dargestellten Richtlinien auch entsprechende Handlungsanleitungen vorgegeben und Schulungen durchgeführt.
13 In seiner rechtlichen Beurteilung führte das BVwG aus, in einem amtswegig eingeleiteten Prüfverfahren komme der Revisionswerberin als zuständiger Aufsichtsbehörde im Falle der Feststellung eines Verstoßes gegen die DSGVO die Befugnis zur Anordnung unterschiedlicher Abhilfemaßnahmen zu. Sache des Beschwerdeverfahrens vor dem BVwG könne nur die Prüfung der Rechtmäßigkeit der konkret getroffenen Anordnung im Zusammenhang mit dem von der Aufsichtsbehörde zugrunde gelegten Verstoß sein. Im vorliegenden Fall sei davon auszugehen, dass die Revisionswerberin das bescheidmäßig ausgesprochene Verbot ausschließlich wegen des Fehlens einer ausreichenden Rechtsgrundlage für das behördliche Handeln erlassen habe. Eine über diese mit dem angefochtenen Bescheid beurteilte Rechtmäßigkeit hinausgehende Überprüfung der Datenverarbeitung sei dem BVwG verwehrt.
14 Art. 9 Abs. 2 lit. h DSGVO beziehe sich seinem Wortlaut zufolge auf eine Datenverarbeitung für gesundheitsbezogene Zwecke. Im vorliegenden Fall sei diese Bestimmung daher nicht ohne Weiteres heranzuziehen.
15 Aus Art. 6 Abs. 1 lit. e DSGVO bzw. Art. 9 Abs. 2 lit. d DSGVO folge, dass die Verarbeitung personenbezogener Daten dann rechtmäßig sein könne, wenn die Verarbeitung für eine hoheitliche oder sonstige im öffentlichen Interesse liegende Aufgabe bzw. im Fall der Verarbeitung besonderer Kategorien der personenbezogenen Daten auf Grund eines erheblichen öffentlichen Interesses erforderlich sei. In diesem Zusammenhang sei es nach den Bestimmungen der DSGVO unbeachtlich, ob es sich beim Verantwortlichen um eine Behörde oder eine private Stelle handle und in welcher hoheitlicher oder privatwirtschaftlicherForm der Verantwortliche gegebenenfalls tätig werde. Entscheidend sei vielmehr, ob eine Angelegenheit im öffentlichen bzw. erheblichen öffentlichen Interesse erforderlich sei und eine gesetzlich geregelte Datenverarbeitung vorgenommen werde. Art. 6 Abs. 3 DSGVO lege dazu inhaltliche Anforderungen an eine entsprechende Rechtsgrundlage fest, die im Zusammenhang mit Erwägungsgrund 41 der DSGVO klar und präzise und für die Rechtsunterworfenen vorhersehbar sein solle. Im Zusammenhang mit Art. 9 Abs. 2 lit. g DSGVO sei zusätzlich festgelegt, dass die entsprechende Rechtsgrundlage angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Personen vorsehen solle. Nichts anderes sehe § 1 Abs. 2 DSG, BGBl. I Nr. 165/1999 idF BGBl. I Nr. 14/2019, vor, sofern die Datenverarbeitung durch die staatlichen Behörden erfolge. Die unionsrechtlichen Bestimmungen Art. 6 und Art. 9 DSGVO würden generell eine im erheblichen öffentlichen Interesse liegende Aufgabe und demnach nicht auf die hoheitlichen Tätigkeiten beschränkt eine ausreichend determinierte gesetzliche Grundlage für die Datenverarbeitung fordern. Es könne daher im vorliegenden Fall dahingestellt bleiben, ob die mP die verfahrensgegenständliche Datenverarbeitung in hoheitlicher oder privatrechtlicher Form durchführe. Vielmehr komme es, weil von der verfahrensgegenständlichen Datenverarbeitung auch Gesundheitsdaten und damit besondere Kategorien von Daten im Sinne des Art. 9 Abs. 1 DSGVO umfasst seien, darauf an, ob die verfahrensgegenständliche Datenverarbeitung auf einer entsprechenden Rechtsgrundlage erfolge und für eine Aufgabe der mP im erheblichen öffentlichen Interesse erforderlich sei.
16Die mP sei ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit, welcher die Durchführung der Arbeitsmarktpolitik des Bundes obliege. Gemäß § 29 Abs. 1 AMSG habe die mP sohin auf ein möglichst vollständiges, wirtschaftlich sinnvolles und nachhaltiges Zusammenführen des Arbeitskräfteangebots und der Arbeitskräftenachfrage hinzuwirken, um die Versorgung der Wirtschaft mit Arbeitskräften und die Beschäftigung aller am Arbeitsmarkt zur Verfügung stehenden Personen bestmöglich zu sichern. Die mP sei gemäß § 29 Abs. 2 AMSG gehalten, auf effiziente Weise die Vermittlung von geeigneten Arbeitskräften auf Arbeitsplätze herbeizuführen, die möglichst eine den Vermittlungswünschen des Arbeitssuchenden entsprechende Beschäftigung bieten sowie die Auswirkung von Umständen, die eine unmittelbare Vermittlung in diesem Sinne behindern würden, überwinden zu helfen. Dabei seien die Grundsätze der Sparsamkeit, Wirtschaftlichkeit und Zweckmäßigkeit zu beachten und es sei ferner darauf zu achten, dass für Personengruppen, die besonders von Arbeitslosigkeit bedroht seien, geeignete Unterstützungsleistungen angeboten würden.
17§ 25 Abs. 2 AMSG räume der mP ausdrücklich die Ermächtigung zur Verarbeitung der verfahrensgegenständlich miteinbezogenen personenbezogenen Daten ein, sofern diese zur Erfüllung der gesetzlichen Aufgabe eine wesentliche Voraussetzung seien. Die der mP sohin gesetzlich durch § 29 AMSG übertragene Aufgabe der Gewährleistung eines geordneten und gut funktionierenden Arbeitsmarktes sei zweifellos eine von erheblichem öffentlichen Interesse im Sinne des Art. 9 Abs. 2 lit. g DSGVO.
18Zudem sei es unbestritten auch erforderlich, auf die persönlichen Eigenschaften der Arbeitssuchenden in Kombination mit dem allgemeinen Arbeitsmarktgeschehen und die sich daraus ergebenden Einsatzmöglichkeiten von Arbeitssuchenden auf dem Arbeitsmarkt Bedacht zu nehmen, um der Aufgabe der optimalen Versorgung der Wirtschaft mit Arbeitskräften und die Beschäftigung der Arbeitssuchenden bestmöglich zu sichern gerecht werden zu können. Die Relevanz der verfahrensgegenständlich in die Datenverarbeitung einbezogenen personenbezogenen Daten könne nicht in Abrede gestellt werden. Es bestünden daher keine Bedenken, dass die mP zur „Sicherstellung der ordentlichen Arbeitsmarktpolitik“ die verfahrensgegenständlichen personenbezogenen Daten verwenden dürfe, um eine „ordentliche Arbeitsmarktpolitik“ zu sichern. § 25 Abs. 10 AMSG treffe vor dem Hintergrund der Anforderungen der DSGVO und des DSG damit im Zusammenhang stehende umfassende geeignete technische und organisatorische Maßnahmen zur Sicherstellung einer den Grundsätzen der DSGVO und dem DSG entsprechenden Verarbeitung. Über die von Erwägungsgrund 78 erwähnten Maßnahmen hinaus sehe § 25 Abs. 10 AMSG zusätzliche spezifische Anforderungen für die Gewährleistung der Datensicherheit vor.
19 Die grundsätzliche Berechtigung der mP, eine Bewertung der Arbeitsmarktchancen Arbeitssuchender anhand bestimmter personenbezogener Daten vorzunehmen, werde von der Revisionswerberin nicht in Zweifel gezogen. Ein von der Revisionswerberin angenommener „informationeller Mehrwert“ einer auf denselben personenbezogenen Daten basierenden Beurteilung der Arbeitsmarktchancen könne ob die Bewertung nicht automatisiert oder anhand von Profiling erfolge aus datenschutzrechtlicher Sicht nicht erkannt werden, weil jeder Bewertung auch die Gewichtung durch den Bewertenden zugrunde liege.
20 Zudem könne eine unterschiedliche Beurteilung die Rechtmäßigkeit einer Datenverarbeitung betreffend aus Art. 6 Abs. 1 lit. e bzw. Art. 9 Abs. 2 lit. d DSGVO nicht abgeleitet werden, weil diese Bestimmungen nicht zwischen automatisierter und nichtautomatisierter Verarbeitung unterscheiden würden, sondern lediglich allgemein auf den Begriff der Verarbeitung abstellen würden. Art. 4 Z 1 DSGVO wiederum definiere anhand einer beispielhaften Aufzählung die dortigen Vorgänge im Zusammenhang mit personenbezogenen Daten als Verarbeitung, ohne Unterscheidung ob diese mit oder ohne Hilfe automatisierter Verfahren ausgeführt werde. Dass Art. 4 Z 4 DSGVO die ausschließlich automatisierte Verarbeitung gesondert als Profiling bezeichne, hebe diesen bedeutenden Anwendungsfall hervor und stelle klar, dass diese Form der Verarbeitung in den Anwendungsbereich der DSGVO falle und den dortigen generellen Kriterien zu entsprechen habe.
21Art. 22 DSGVO wiederum bestimme, dass eine betroffene Person das Recht haben solle, keiner Entscheidung zur Bewertung von sie betreffenden Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruhen würde und rechtliche Wirkung für die betroffene Person entfalte oder sie in ähnlicher Weise erheblich beeinträchtige. Art. 22 DSGVO ziele mithin nur auf Entscheidungen ab, die ohne jegliches menschliche Eingreifen erfolgen würden. Diese Bestimmung begrenze jedoch Profiling nicht als solches in seiner rechtlichen Zulässigkeit als Teil einer Entscheidungsunterstützung. Wie festgestellt sollten der verfahrensgegenständliche Algorithmus und die daraus errechneten Arbeitsmarktchancen lediglich als Informationsquelle für eine Entscheidung der BeraterInnen der mP herangezogen werden. Die letztliche Entscheidung über die Arbeitsmarktchancen der Arbeitssuchenden solle bei den BeraterInnen verbleiben. Diesbezüglich würden intern von der mP Richtlinien und Handlungsanweisungen bestehen und Schulungen durchgeführt. Die gemäß § 4 Abs. 2 Z 2 AMSG erlassenen Richtlinien seien für die Erfüllung der Aufgaben der mP für alle Organe und Einrichtungen verbindlich. In der Bundesrichtlinie „Kernprozess Arbeitskräfte unterstützen“ sei der genaue Ablauf in Bezug auf die Einschätzung der Arbeitsmarktchancen vorgegeben und ausdrücklich festgelegt, dass die BeraterInnen der mP die errechneten Arbeitsmarktchancen im Rahmen eines Beratungsgesprächs mit der betroffenen Person zu erörtern hätten, eine gegenteilige Ansicht des Betreffenden zu dokumentieren und letztlich darüber zu entscheiden hätten. Angesichts dieser klaren Vorgaben lägen keine Gründe vor, hier von einer gänzlich automatisierten Entscheidung im Sinne des Art. 22 DSGVO auszugehen. Mit dem Argument der Revisionswerberin, es sei auf Grund der verkürzten Beratungszeiten nicht auszuschließen, dass letztlich eine gänzlich automatisierte Entscheidung vorliegen würde, weil die BeraterInnen der mP den vom AMAS errechneten Wert routinemäßig übernehmen würden, übersehe diese, dass die Beurteilung, ob eine Datenverarbeitung nach Art. 5 Abs. 1 lit. a DSGVO an sich rechtmäßig sei, von der Beurteilung, ob der Verantwortliche die Rechtmäßigkeit einer solchen Datenverarbeitung sicherstelle, zu unterscheiden sei. Bei der Beurteilung der Rechtmäßigkeit der Datenverarbeitung sei auf den eigentlichen Verarbeitungsvorgang und allenfalls mögliche Verstöße durch Dritte nicht einzugehen. Ob sohin die mP letztlich ihrer Verpflichtung gemäß Art. 5 Abs. 1 lit. f DSGVO ausreichend nachkomme und einen unbefugten Gebrauch der verfahrensgegenständlichen Datenverarbeitung ausschließe, sei nicht Gegenstand des verfahrensgegenständlichen Beschwerdeverfahrens. Letztlich sei in diesem Zusammenhang festzuhalten, dass die Revisionswerberin im angefochtenen Bescheid selbst davon ausgehe, dass die mP „organisationsintern“ angemessene Maßnahmen zum Schutz der Arbeitssuchenden getroffen und damit eine rechtsmissbräuchliche Verwendung der Datenverarbeitung durch ihre MitarbeiterInnen geeignet ausgeschlossen habe.
22Zusammenfassend sei festzuhalten, dass die mP gemäß § 25 Abs. 1 AMSG grundsätzlich berechtigt sei, eine Bewertung personenbezogener Daten vorzunehmen. Dass sich aus der bloßen Zuhilfenahme einer automatisierten Verarbeitung bereits ein „informationeller Mehrwert“ ergebe, sei nicht anzunehmen. Der in Art. 22 DSGVO verpönte Fall einer bloß auf einer automatisierten Datenverarbeitung beruhenden Entscheidung liege hier nicht vor, weil wie dargestelltdie Letztentscheidung bei den BeraterInnen liege. Ob die mP ihrer in der DSGVO vorgesehenen Pflicht, einen unbefugten Gebrauch durch geeignete Maßnahmen auszuschließen, ausreichend nachgekommen sei, sei nicht Gegenstand des auf die Beurteilung der Rechtmäßigkeit beschränkten vorliegenden Verfahrens. Da die vorliegende Datenverarbeitung sohin zu Recht auf § 25 Abs. 1 AMSG gestützt werden könne, sei der angefochtene Bescheid mangels Verstoß gegen den in Art. 5 Abs. 1 lit. a DSGVO normierten Grundsatz einer rechtmäßigen Datenverarbeitung aufzuheben.
23 Die Revision sei zulässig, weil es (unter anderem) an höchstgerichtlicher Rechtsprechung zu Art. 6, 9 und 22 DSGVO in Zusammenhang mit Profiling fehle.
24 4. Gegen diese Entscheidung richtet sich die ordentliche Revision der belangten Behörde vor dem Verwaltungsgericht.
25 Die mP erstattete im Vorverfahren vor dem BVwG eine Revisionsbeantwortung.
5. Der Verwaltungsgerichtshof hat erwogen:
26 Die Revision verweist auf die Ausführungen des BVwG betreffend die Zulässigkeit der Revision und darauf, dass höchstgerichtliche Rechtsprechung zum Bestimmtheitsgebot rechtlicher Vorschriften vor dem Hintergrund der DSGVO und zur Frage der Auslegung des Tatbestandsmerkmals „ähnlicher erheblicher Beeinträchtigungen“ im Sinne des Art. 22 DSGVO fehle.
27 Die Revision ist aus diesen Gründen zulässig und im Ergebnis berechtigt.
28 5.1. Die Rechtsgrundlagen:
29 5.1.1.Die fallbezogen maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO), ABl. L 119 vom 4.5.2016, S. 1, lauten wie folgt:
„(10) Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden. Hinsichtlich der Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, sollten die Mitgliedstaaten die Möglichkeit haben, nationale Bestimmungen, mit denen die Anwendung der Vorschriften dieser Verordnung genauer festgelegt wird, beizubehalten oder einzuführen. In Verbindung mit den allgemeinen und horizontalen Rechtsvorschriften über den Datenschutz zur Umsetzung der Richtlinie 95/46/EG gibt es in den Mitgliedstaaten mehrere sektorspezifische Rechtsvorschriften in Bereichen, die spezifischere Bestimmungen erfordern. Diese Verordnung bietet den Mitgliedstaaten zudem einen Spielraum für die Spezifizierung ihrer Vorschriften, auch für die Verarbeitung besonderer Kategorien von personenbezogenen Daten (im Folgenden ‚sensible Daten‘). Diesbezüglich schließt diese Verordnung nicht Rechtsvorschriften der Mitgliedstaaten aus, in denen die Umstände besonderer Verarbeitungssituationen festgelegt werden, einschließlich einer genaueren Bestimmung der Voraussetzungen, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist.
(...)
(40) Damit die Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden, die sich aus dieser Verordnung oder wann immer in dieser Verordnung darauf Bezug genommen wird aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedstaaten ergibt, so unter anderem auf der Grundlage, dass sie zur Erfüllung der rechtlichen Verpflichtung, der der Verantwortliche unterliegt, oder zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, erforderlich ist.
(41) Wenn in dieser Verordnung auf eine Rechtsgrundlage oder eine Gesetzgebungsmaßnahme Bezug genommen wird, erfordert dies nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt; davon unberührt bleiben Anforderungen gemäß der Verfassungsordnung des betreffenden Mitgliedstaats. Die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme sollte jedoch klar und präzise sein und ihre Anwendung sollte für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs der Europäischen Union (im Folgenden ‚Gerichtshof‘) und des Europäischen Gerichtshofs für Menschenrechte vorhersehbar sein.
(...)
(45) Erfolgt die Verarbeitung durch den Verantwortlichen aufgrund einer ihm obliegenden rechtlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Mit dieser Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, für welche Zwecke die Daten verarbeitet werden dürfen. Ferner könnten in diesem Recht die allgemeinen Bedingungen dieser Verordnung zur Regelung der Rechtmäßigkeit der Verarbeitung personenbezogener Daten präzisiert und es könnte darin festgelegt werden, wie der Verantwortliche zu bestimmen ist, welche Art von personenbezogenen Daten verarbeitet werden, welche Personen betroffen sind, welchen Einrichtungen die personenbezogenen Daten offengelegt, für welche Zwecke und wie lange sie gespeichert werden dürfen und welche anderen Maßnahmen ergriffen werden, um zu gewährleisten, dass die Verarbeitung rechtmäßig und nach Treu und Glauben erfolgt. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, ob es sich bei dem Verantwortlichen, der eine Aufgabe wahrnimmt, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, um eine Behörde oder um eine andere unter das öffentliche Recht fallende natürliche oder juristische Person oder, sofern dies durch das öffentliche Interesse einschließlich gesundheitlicher Zwecke, wie die öffentliche Gesundheit oder die soziale Sicherheit oder die Verwaltung von Leistungen der Gesundheitsfürsorge, gerechtfertigt ist, eine natürliche oder juristische Person des Privatrechts, wie beispielsweise eine Berufsvereinigung, handeln sollte.
(...)
(71) Die betroffene Person sollte das Recht haben, keiner Entscheidung was eine Maßnahme einschließen kann zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie die automatische Ablehnung eines Online-Kreditantrags oder Online Einstellungsverfahren ohne jegliches menschliche Eingreifen. Zu einer derartigen Verarbeitung zählt auch das ‚Profiling‘, das in jeglicher Form automatisierter Verarbeitung personenbezogener Daten unter Bewertung der persönlichen Aspekte in Bezug auf eine natürliche Person besteht, insbesondere zur Analyse oder Prognose von Aspekten bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel der betroffenen Person, soweit dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine auf einer derartigen Verarbeitung, einschließlich des Profilings, beruhende Entscheidungsfindung sollte allerdings erlaubt sein, wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem der für die Verarbeitung Verantwortliche unterliegt, ausdrücklich zulässig ist, auch um im Einklang mit den Vorschriften, Standards und Empfehlungen der Institutionen der [Europäischen] Union oder der nationalen Aufsichtsgremien Betrug und Steuerhinterziehung zu überwachen und zu verhindern und die Sicherheit und Zuverlässigkeit eines von dem Verantwortlichen bereitgestellten Dienstes zu gewährleisten, oder wenn dies für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und einem Verantwortlichen erforderlich ist oder wenn die betroffene Person ihre ausdrückliche Einwilligung hierzu erteilt hat. In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden sein, einschließlich der spezifischen Unterrichtung der betroffenen Person und des Anspruchs auf direktes Eingreifen einer Person, auf Darlegung des eigenen Standpunkts, auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung sowie des Rechts auf Anfechtung der Entscheidung. Diese Maßnahme sollte kein Kind betreffen. Um unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, sollte der für die Verarbeitung Verantwortliche geeignete mathematische oder statistische Verfahren für das Profiling verwenden, technische und organisatorische Maßnahmen treffen, mit denen in geeigneter Weise insbesondere sichergestellt wird, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen, korrigiert werden und das Risiko von Fehlern minimiert wird, und personenbezogene Daten in einer Weise sichern, dass den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person Rechnung getragen wird, und unter anderem verhindern, dass es gegenüber natürlichen Personen aufgrund von Rasse, ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetischer Anlagen oder Gesundheitszustand sowie sexueller Orientierung zu diskriminierenden Wirkungen oder zu einer Verarbeitung kommt, die eine solche Wirkung hat. Automatisierte Entscheidungsfindung und Profiling auf der Grundlage besonderer Kategorien von personenbezogenen Daten sollten nur unter bestimmten Bedingungen erlaubt sein.
(...)
Artikel 4
Begriffsbestimmungen
(1) Im Sinne dieser Verordnung bezeichnet der Ausdruck:
(...)
4. ‚Profiling‘ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
(...)
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
(...)
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung');
(...)
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
(...)
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
(...)
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
(...)
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.
(...)
Artikel 9
Verarbeitung besonderer Kategorien personenbezogener Daten
(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
(2) Absatz 1 gilt nicht in folgenden Fällen:
(...)
g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,
h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,
(...)
(3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.
(4) Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.
(...)
Artikel 22
Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
(2) Absatz 1 gilt nicht, wenn die Entscheidung
a) für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist,
b) aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten oder
c) mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.
(3) In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.
(4) Entscheidungen nach Absatz 2 dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.“
30 5.1.2. § 1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (DatenschutzgesetzDSG), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 51/2012, lautet auszugsweise:
„Artikel 1 (Verfassungsbestimmung)
Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(...)“
31 5.1.3. Die maßgeblichen Bestimmungen des Bundesgesetzes über das Arbeitsmarktservice (ArbeitsmarktservicegesetzAMSG), BGBl. Nr. 313/1994, und zwar § 1, § 25 sowie § 27 idF BGBl. I Nr. 32/2018, § 29 idF BGBl. I Nr. 3/2013, § 31 idF BGBl. I Nr. 90/2009, § 32 idF BGBl. I Nr. 71/2005 und § 38c idF BGBl. I Nr. 77/2004 lauten auszugsweise:
„Arbeitsmarktservice
§ 1. (1) Die Durchführung der Arbeitsmarktpolitik des Bundes obliegt dem ‚Arbeitsmarktservice‘. Das Arbeitsmarktservice ist ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit.
(...)
Datenverarbeitung
§ 25. (1) Das Arbeitsmarktservice, das Bundesverwaltungsgericht und das Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz sind zur Verarbeitung von personenbezogenen Daten im Sinne des Datenschutzgesetzes, BGBl. I Nr. 165/1999, insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung sind. Die in Frage kommenden Datenarten sind:
(...)
(2) Die vom Arbeitsmarktservice oder vom Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz verarbeiteten Daten gemäß Abs. 1, mit Ausnahme von Gesundheitsdaten gemäß Abs. 1 Z 4, dürfen anderen Behörden, Gerichten, Trägern der Sozialversicherung und der Bundesanstalt Statistik Österreich im Wege der automationsunterstützten Datenverarbeitung offen gelegt werden, soweit die entsprechenden Daten für die Vollziehung der jeweiligen gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bilden. Andere Behörden, Gerichte und die Träger der Sozialversicherung dürfen von ihnen verarbeitete Daten gemäß Abs. 1, mit Ausnahme von Gesundheitsdaten gemäß Abs. 1 Z 4, dem Arbeitsmarktservice und dem Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz im Wege der automationsunterstützten Datenverarbeitung offen legen, soweit diese Daten für die Vollziehung der dem Arbeitsmarktservice und dem Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bilden. Von den Trägern der Sozialversicherung übermittelte Daten gemäß Abs. 1 Z 9 dürfen vom Arbeitsmarktservice und vom Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz personenbezogen für Zwecke der nachhaltigen Arbeitsmarktintegration dieser Personengruppe verarbeitet werden.
(...)
(4) Die vom Arbeitsmarktservice verarbeiteten Daten gemäß Abs. 1 dürfen an die Bundesrechenzentrum GmbH und an Einrichtungen, denen Aufgaben des Arbeitsmarktservice übertragen sind (§ 30 Abs. 3 und § 32 Abs. 3), im Rahmen der von diesen zu erbringenden Dienstleistungen im Wege der automationsunterstützten Datenverarbeitung übermittelt werden.
(5) Das Arbeitsmarktservice und das Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz dürfen die von ihnen verarbeiteten Daten gemäß Abs. 1, mit Ausnahme von Gesundheitsdaten gemäß Abs. 1 Z 4, an beauftragte Rechtsträger im Wege der automationsunterstützten Datenverarbeitung übermitteln, soweit die entsprechenden Daten eine unabdingbare Voraussetzung für die Erfüllung eines zur Beurteilung der Dienstleistungen, Beihilfen und sonstigen finanziellen Leistungen des Arbeitsmarktservice vergebenen Forschungsauftrages sind. Für im öffentlichen Interesse liegende wissenschaftliche und statistische Untersuchungen dürfen das Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz und das Arbeitsmarktservice die dafür erforderlichen Daten gemäß Abs. 1 (ausgenommen Z 1 lit. a und e bis h), verknüpft mit dem verschlüsselten bPK AS, der Bundesanstalt Statistik Österreich zum Zweck der Zusammenführung mit indirekt personenbezogenen Daten von anderen Behörden oder Sozialversicherungsträgern oder bei der Bundesanstalt vorhandenen Daten der Erwerbsbevölkerung übermitteln. Ebenso dürfen diese anderen Behörden oder Sozialversicherungsträger nach gesetzlichen Vorschriften verarbeitete Daten des eigenen staatlichen Tätigkeitsbereichs, verknüpft mit dem verschlüsselten bPK AS, der Bundesanstalt übermitteln. Eine Rückübermittlung zusammengeführter Daten oder die Ermöglichung der Wiederherstellung eines direkten Personenbezuges ist unzulässig. Die Bundesanstalt erstellt die wissenschaftlichen oder statistischen Auswertungen nach Beauftragung durch den Bundesminister für Arbeit, Soziales, Gesundheit und Konsumentenschutz. Die Bundesanstalt erbringt ihre Leistungen nach diesem Bundesgesetz gegen Kostenersatz gemäß § 32 Abs. 4 Z 2 des Bundesstatistikgesetzes 2000. Die zusammengeführten Daten sind, sobald sie für den Zweck der Untersuchung nicht mehr benötigt werden, spätestens nach drei Jahren, zu löschen.
(6) Die Bundesanstalt Statistik Österreich darf von ihr verarbeitete Stammdaten der Arbeitgeber gemäß Abs. 1 Z 6 und Daten über Ausbildungen gemäß Abs. 1 Z 2 lit. b und Z 7 lit. b dem Arbeitsmarktservice und dem Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz im Wege der automationsunterstützten Datenverarbeitung offenlegen, soweit diese Daten für Zwecke in ihren gesetzlichen Aufgabenbereich fallender wissenschaftlicher oder arbeitsmarktstatistischer Untersuchungen, die keine personenbezogenen Ergebnisse zum Ziel haben (§ 7 DSG), eine wesentliche Voraussetzung bilden.
(7) Sofern dies für die Erfüllung der gesetzlichen Aufgaben erforderlich ist, dürfen Gesundheitsdaten (Abs. 1 Z 4) vom Arbeitsmarktservice gegenüber den zuständigen Trägern der Sozialversicherung, dem Sozialministeriumservice, den zuständigen Trägern der Sozialhilfe und Einrichtungen, denen Aufgaben des Arbeitsmarktservice übertragen sind (§ 30 Abs. 3 und § 32 Abs. 3) sowie von diesen gegenüber dem Arbeitsmarktservice offen gelegt werden.
(8) Arbeitgebern dürfen ausschließlich solche Daten gemäß Abs. 1 offen gelegt werden, die für die Begründung eines Arbeitsverhältnisses und die Beurteilung der beruflichen Eignung der Arbeitsuchenden benötigt werden. Gesundheitsdaten dürfen Arbeitgebern nicht offen gelegt werden.
(9) Die Daten gemäß Abs. 1 sind sieben Jahre nach Beendigung des jeweiligen Geschäftsfalles aufzubewahren. Die Aufbewahrungsfrist verlängert sich um Zeiträume, in denen die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen weiterhin benötigt werden oder andere rechtliche Vorschriften längere Fristen vorsehen. Die Löschung von Daten ist aus wirtschaftlichen und technischen Gründen auf ein oder zwei Termine im Jahr zu konzentrieren. Bis dahin besteht kein Anspruch auf vorzeitige Löschung.
(10) Das Arbeitsmarktservice hat unter Beachtung der wirtschaftlichen Vertretbarkeit und des Standes der Technik ausreichende Vorkehrungen für die Gewährleistung der Datensicherheit im Sinne der Art. 24, 25 und 32 der Verordnung (EU) Nr. 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und des § 6 DSG zu treffen. Insbesondere sind Erfassungen oder Änderungen personenbezogener Daten nur durch die jeweils zuständigen Organisationseinheiten (Mitarbeiterinnen, Mitarbeiter) zulässig. Bei der Übermittlung personenbezogener Daten an Dritte ist durch technische oder organisatorische Maßnahmen sicherzustellen, dass nur die vorgesehenen Empfängerinnen und Empfänger Zugriff auf die Daten erlangen. Zugriffs- wie auch Leserechte sind nach den Aufgaben (Rollen) der jeweiligen Organisationseinheiten und Bediensteten zu gestalten. Der Zugriff auf personenbezogene Daten sowie jede Übermittlung von Gesundheitsdaten ist zu protokollieren. Protokolldaten dürfen nicht personenbezogen verwendet werden, außer dies ist zur Durchsetzung oder Abwehr rechtlich geltend gemachter Ansprüche, zur Sicherstellung der rechtmäßigen Verwendung der Datenverarbeitung oder aus technischen Gründen notwendig.
(11) Die auf Grundlage der Abs. 1 bis 10, des § 69 AlVG sowie der §§ 27 und 27a AuslBG vorzunehmenden Datenverarbeitungen erfüllen die Voraussetzungen des Art. 35 Abs. 10 DSGVO für den Entfall der Datenschutz Folgenabschätzung.
(...)
Verschwiegenheitspflicht
§ 27. (1) Die Organe des Arbeitsmarktservice sind, soweit gesetzlich nicht anderes bestimmt ist, zur Verschwiegenheit über alle ihnen aus ihrer amtlichen Tätigkeit bekanntgewordenen Tatsachen verpflichtet, deren Geheimhaltung im Interesse der Aufrechterhaltung der öffentlichen Ruhe, Ordnung und Sicherheit, der umfassenden Landesverteidigung, der auswärtigen Beziehungen, im wirtschaftlichen Interesse des Arbeitsmarktservice, zur Vorbereitung einer Entscheidung oder im überwiegenden Interesse der Parteien geboten ist. Von dieser Verpflichtung hat der zuständige Vorgesetzte auf Verlangen eines Gerichtes oder einer Verwaltungsbehörde zu entbinden, wenn dies im Interesse der Rechtspflege oder im sonstigen öffentlichen Interesse liegt.
(2) Die Verpflichtung zur Verschwiegenheit gemäß Abs. 1 gilt auch nach dem Ausscheiden aus der Funktion und nach Beendigung des Dienstverhältnisses. Die Verpflichtung zur Verschwiegenheit gemäß Abs. 1 gilt auch für Personen, die einem Ausschuß des Verwaltungsrates, des Landesdirektoriums oder des Regionalbeirates angehören.
(...)
Ziel und Aufgabenerfüllung
§ 29. (1) Ziel des Arbeitsmarktservice ist, im Rahmen der Vollbeschäftigungspolitik der Bundesregierung zur Verhütung und Beseitigung von Arbeitslosigkeit unter Wahrung sozialer und ökonomischer Grundsätze im Sinne einer aktiven Arbeitsmarktpolitik auf ein möglichst vollständiges, wirtschaftlich sinnvolles und nachhaltiges Zusammenführen von Arbeitskräfteangebot und -nachfrage hinzuwirken, und dadurch die Versorgung der Wirtschaft mit Arbeitskräften und die Beschäftigung aller Personen, die dem österreichischen Arbeitsmarkt zur Verfügung stehen, bestmöglich zu sichern. Dies schließt die Sicherung der wirtschaftlichen Existenz während der Arbeitslosigkeit im Rahmen der gesetzlichen Bestimmungen ein.
(2) Das Arbeitsmarktservice hat zur Erreichung dieses Zieles im Rahmen der gesetzlichen Bestimmungen Leistungen zu erbringen, die darauf gerichtet sind,
1. auf effiziente Weise die Vermittlung von geeigneten Arbeitskräften auf Arbeitsplätze herbeizuführen, die möglichst eine den Vermittlungswünschen des Arbeitsuchenden entsprechende Beschäftigung bieten,
2. die Auswirkungen von Umständen, die eine unmittelbare Vermittlung im Sinne der Z 1 behindern, überwinden zu helfen,
3. der Unübersichtlichkeit des Arbeitsmarktes entgegenzuwirken,
4. quantitative oder qualitative Ungleichgewichte zwischen Arbeitskräfteangebot und Arbeitskräftenachfrage zu verringern,
5. die Erhaltung von Arbeitsplätzen, wenn sie im Sinne des Abs. 1 sinnvoll ist, zu ermöglichen und
6. die wirtschaftliche Existenz der Arbeitslosen zu sichern.
(3) Zu den Aufgaben des Arbeitsmarktservice gehört insbesondere auch die Sicherstellung von beruflichen Ausbildungsmöglichkeiten für Jugendliche durch Vermittlung auf geeignete Lehrstellen und ergänzende Maßnahmen wie die Beauftragung von Ausbildungseinrichtungen zur überbetrieblichen Lehrausbildung gemäß § 30b des Berufsausbildungsgesetzes (BAG), BGBl. Nr. 142/1969, oder von Ausbildungseinrichtungen gemäß § 2 Abs. 4 des Land- und forstwirtschaftlichen Berufsausbildungsgesetzes, BGBl. I Nr. 298/1990.
(4) Zu den Aufgaben des Arbeitsmarktservice gehört weiters auch die Förderung der Wiederbeschäftigung von gesundheitlich beeinträchtigten Personen durch Vermittlung auf geeignete Arbeitsplätze und ergänzende bzw. vorbereitende Maßnahmen. Dabei ist besonders auf die individuelle Leistungsfähigkeit, den Auf- und Ausbau von auf dem Arbeitsmarkt verwertbaren Qualifikationen und die Sicherung der wirtschaftlichen Existenz zu achten.
(...)
Grundsätze bei der Aufgabenerfüllung
§ 31 . (1) Die Leistungen des Arbeitsmarktservice, die nicht im behördlichen Verfahren erbracht werden, kann jedermann bei allen Geschäftsstellen und Einrichtungen des Arbeitsmarktservice in Anspruch nehmen, die diese Leistungen anbieten, sofern dem die in Abs. 5 genannten Grundsätze nicht entgegenstehen.
(2) Sofern auf Leistungen des Arbeitsmarktservice kein Rechtsanspruch besteht, haben sich Wahl, Art und erforderlichenfalls Kombination der eingesetzten Leistungen nach den Erfordernissen des Einzelfalles unter dem Gesichtspunkt zu richten, daß sie dem in § 29 genannten Ziel bestmöglich entsprechen. Bei Erfüllung seiner Aufgaben hat das Arbeitsmarktservice auf einen angemessenen Ausgleich der Interessen der Arbeitgeber und der Arbeitnehmer zu achten.
(3) Für Personen, die entweder wegen ihrer persönlichen Verhältnisse oder ihrer Zugehörigkeit zu einer auf dem Arbeitsmarkt benachteiligten Gruppe bei der Erlangung oder Erhaltung eines Arbeitsplatzes besondere Schwierigkeiten haben, sind die Leistungen des Arbeitsmarktservice im Sinn des Abs. 2 so zu gestalten und erforderlichenfalls so verstärkt einzusetzen, daß eine weitestmögliche Chancengleichheit mit anderen Arbeitskräften hergestellt wird. Insbesondere ist durch einen entsprechenden Einsatz der Leistungen der geschlechtsspezifischen Teilung des Arbeitsmarktes sowie der Diskriminierung der Frauen auf dem Arbeitsmarkt entgegenzuwirken.
(4) Die Tätigkeit des Arbeitsmarktservice ist, soweit es
die Sicherstellung der Beachtung und Umsetzung der Arbeitsmarktpolitik der Bundesregierung,
die Gleichbehandlung gleichartiger Angelegenheiten,
die notwendige Einheitlichkeit des Vorgehens und
die Erreichung höchstmöglicher Effizienz und Zweckmäßigkeit der Leistungserbringung
erlauben, dezentral durchzuführen. Die Leistungen des Arbeitsmarktservice sind, soweit nicht ausdrücklich etwas anderes bestimmt ist, durch die regionalen Organisationen zu erbringen.
(5) Bei allen Tätigkeiten hat das Arbeitsmarktservice auf die Grundsätze der Sparsamkeit, Wirtschaftlichkeit und Zweckmäßigkeit unter dem Gesichtspunkt der bestmöglichen Erreichung des in § 29 genannten Zieles Bedacht zu nehmen. Zur Bewertung der Effizienz der Tätigkeit des Arbeitsmarktservice ist ein internes Controlling einzurichten.
(6) Das Arbeitsmarktservice hat insbesondere bei Vorhaben betreffend die Sicherstellung von beruflichen Ausbildungsmöglichkeiten für Jugendliche gemäß § 29 Abs. 3 auf unterschiedliche Bedürfnisse in den einzelnen Bundesländern Bedacht zu nehmen und zur bestmöglichen Erfüllung der Aufgaben die Mitwirkung und angemessene finanzielle Beteiligung des jeweiligen Bundeslandes anzustreben.
(7) Bei der Maßnahmenplanung hat das Arbeitsmarktservice darauf zu achten, dass für Personengruppen, die besonders von Arbeitslosigkeit bedroht sind, geeignete Unterstützungsleistungen angeboten werden.
(8) Die Maßnahmen sollen insbesondere die Erhaltung und den Ausbau marktfähiger Qualifikationen der Arbeitnehmer fördern. Das Arbeitsmarktservice kann sich an Maßnahmen anderer Rechtsträger zur Verbesserung der Rahmenbedingungen zur langfristigen Aufrechterhaltung der Gesundheit beteiligen.
(...)
Dienstleistungen
§ 32. (1) Das Arbeitsmarktservice hat seine Leistungen in Form von Dienstleistungen zu erbringen, deren Zweck die Vermittlung von Arbeitsuchenden auf offene Stellen, die Beschäftigungssicherung und die Existenzsicherung im Sinne des § 29 ist.
(2) Dienstleistungen zur Vorbereitung, Ermöglichung oder Erleichterung einer solchen Vermittlung oder Beschäftigungssicherung sind im besonderen
1. Information über den Arbeitsmarkt und die Berufswelt,
2. Beratung bei der Wahl des Berufes,
3. Unterstützung bei der Herstellung oder Erhaltung der Vermittlungsfähigkeit von Arbeitskräften,
4. Unterstützung der Qualifizierung von Arbeitskräften und
5. Unterstützung von Unternehmen bei der Suche und Auswahl geeigneter Arbeitskräfte sowie der Gestaltung der innerbetrieblichen Arbeitskräfteplanung,
6. Unterstützung von Arbeitsuchenden bei der Suche und Auswahl eines Arbeitsplatzes und
7. Unterstützung von Unternehmen und Arbeitskräften bei der Schaffung und Erhaltung von Arbeitsplätzen.
(3) Soweit das Arbeitsmarktservice Dienstleistungen im Sinne des Abs. 2 nicht selbst bereitstellen kann oder deren Bereitstellung unzweckmäßig oder unwirtschaftlich wäre, hat es dafür Vorsorge zu treffen, daß solche Leistungen auf Grund vertraglicher Vereinbarungen, zB durch Übertragung an geeignete Einrichtungen, auf andere Weise zur Verfügung gestellt werden. Dabei dürfen schutzwürdige Interessen Dritter im Sinne des § 1 Abs. 1 des Datenschutzgesetzes nicht verletzt werden.
(4) Dienstleistungen sind grundsätzlich kostenlos. Für besondere Dienstleistungen, wie Testung und Vorauswahl von Bewerbern oder spezielle Werbemaßnahmen und Maßnahmen der Personalberatung für Betriebe, kann der Verwaltungsrat ein angemessenes Entgelt festsetzen, das dem Arbeitsmarktservice zufließt. Dienstleistungen für Arbeitnehmer, Arbeitslose und Arbeitsuchende sind jedenfalls kostenlos zu erbringen.
(5) Sofern Dienstleistungen des Arbeitsmarktservice unter die Bestimmungen des § 2 des Arbeitsmarktförderungsgesetzes (AMFG), BGBl. Nr. 31/1969, fallen, gelten für sie die Bestimmungen der §§ 3 bis 7 AMFG.
(...)
Betreuungsplan
§ 38c. Die regionale Geschäftsstelle hat für jede arbeitslose Person einen Betreuungsplan zu erstellen, der ausgehend vom zu erwartenden Betreuungsbedarf insbesondere die Art und Weise der Betreuung und die in Aussicht genommenen Maßnahmen sowie eine Begründung für die beabsichtigte Vorgangsweise enthält. Im Betreuungsplan ist insbesondere auf die gemäß § 9 Abs. 1 bis 3 AlVG maßgeblichen Gesichtspunkte Bedacht zu nehmen. Bei der Vermittlung und bei Maßnahmen zur Verbesserung der Vermittlungschancen ist von den auf dem Arbeitsmarkt verwertbaren Qualifikationen (Kenntnissen und Fertigkeiten beruflicher und fachlicher Natur) der arbeitslosen Person auszugehen und sind diese nach Möglichkeit zu erhalten oder bei Bedarf zu erweitern. Bei Änderung der für die Eingliederung in den Arbeitsmarkt bedeutsamen Umstände ist der Betreuungsplan entsprechend anzupassen. Die regionale Geschäftsstelle hat ein Einvernehmen mit der arbeitslosen Person über den Betreuungsplan anzustreben. Kann ein Einvernehmen nicht erzielt werden, ist der Betreuungsplan von der regionalen Geschäftsstelle unter weitestmöglicher Berücksichtigung der Interessen der arbeitslosen Person einseitig festzulegen. Der Betreuungsplan ist der arbeitslosen Person zur Kenntnis zu bringen. Auf einen bestimmten Betreuungsplan oder auf Maßnahmen, die im Betreuungsplan in Aussicht genommen sind, besteht kein Rechtsanspruch. Der Verwaltungsrat hat eine Richtlinie zur Gewährleistung einer einheitlichen Vorgangsweise bei der Erstellung und Anpassung von Betreuungsplänen zu erlassen.
(...)“
32 5.2.Zur Beurteilung des maßgeblichen Handelns des AMS als hoheitlich oder privatwirtschaftlich und zur Frage der Anwendbarkeit des § 1 Abs. 2 DSG auf den vorliegenden Sachverhalt
33 5.2.1.Die Revision bringt vor, die gegenständliche Datenverarbeitung durch die mP erfolge im Rahmen der Hoheitsverwaltung. Es sprächen keine nachvollziehbaren Gründe dafür, die Verarbeitung dem Bereich der Privatwirtschaftsverwaltung zuzurechnen, zumal § 29 AMSG die Vermittlung von geeigneten Arbeitskräften auf Arbeitsplätze als Ziel und Aufgabe der mP statuiere. Die Aufgabe der Arbeitsvermittlung stehe jedoch in einem untrennbaren Zusammenhang mit dem Arbeitslosenversicherungsgesetz (AlVG). AMAS könne nicht losgelöst von der behördlichen Tätigkeit nach dem AlVG betrachtet werden, weil diese Datenverarbeitung letztlich als Entscheidungsgrundlage für die Arbeitsvermittlung und damit zusammenhängend für die Ansprüche aus der Arbeitslosenversicherung diene. Da die gegenständliche Datenverarbeitung im Rahmen der Hoheitsverwaltung durchgeführt werde, verlange § 1 Abs. 2 DSG vom jeweiligen Gesetzgeber materienspezifische Regelungen in dem Sinne, dass die Fälle zulässiger Eingriffe in das Grundrecht auf Datenschutz konkretisiert und begrenzt würden.
34Die Revisionsbeantwortung hält dem entgegen, das AMSG regle im Wesentlichen die „Dienstleistungen“ des Arbeitsmarktservice (AMS) und damit die privatwirtschaftlichen Aufgaben der mP, insbesondere deren Tätigkeit bei der Arbeitsvermittlung einschließlich Organisation und Durchführung von Schulungen und Vergabe von Beihilfen. Die verfahrensgegenständliche Verarbeitung AMASwerde für Tätigkeiten der mP im privatwirtschaftlichen Bereich eingesetzt. Diese in den §§ 29 ff AMSG vorgesehenen Aufgaben der mP würden mit den Mitteln des Privatrechts durchgeführt, wobei Grundlage für das Vorgehen im Wesentlichen die Betreuungsvereinbarung gemäß § 38c AMSG sei. Auf allfällige Dienstleistungen bestehe kein Anspruch. In diesem Sinne sehe § 32 AMSG vor, dass die mP ihre Leistungen in Form von näher beschriebenen Dienstleistungen zu erbringen habe, auf welche ausdrücklich kein Rechtsanspruch bestünde. Dies gelte auch für die Vergabe von Beihilfen. Die Revisionswerberin selbst gehe davon aus, dass die verfahrensgegenständliche Datenverarbeitung für die Zwecke der Arbeitsvermittlung nach den §§ 29 ff AMSG zum Einsatz komme. Festzuhalten sei, dass AMAS nicht für die Arbeitsvermittlung selbst, sondern nur für den zielgerichteten Betreuungsund Fördereinsatz herangezogen werden könne. Das Programm diene der Wahl der richtigen Betreuungsstrategie. Die Arbeitsvermittlung selbst erfolge unabhängig von den errechneten Chancen am Arbeitsmarkt. Aus all dem folge, dass die Vorgabe des § 1 Abs. 2 DSG wonach ein Eingriff in das Grundrecht auf Datenschutz durch eine staatliche Behörde nur auf Grundlage einer qualifizierten gesetzlichen Grundlage erfolgen dürfe, so nicht zur Anwendung gelange.
35 5.2.2.Die in § 1 Abs. 2 DSG angeordnete Interessenabwägung erfordert für die Zulässigkeit behördlicher Eingriffe in die datenschutzrechtliche Geheimhaltung eine (ausdrückliche) gesetzliche Regelung, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig ist. Die Erläuterungen zu dieser Bestimmung verstehen Behörden als hoheitlich handelnde staatliche Organe; gemeint ist also hoheitliches Handeln von Verwaltungsbehörden (vgl. Pürgy/Zavadil, Die staatliche Behörde im Sinne des § 1 Abs. 2 DSG 2000 in Bauer/Reimer, Handbuch zum Datenschutzrecht [2009], 141 ff [147], mit Verweis auf ErlRV zur StF des § 1 DSG 2000, 1613 BlgNR 20. GP 34 f; Eberhard in Korinek/Holoubek , BVG, 12. Lfg [2016], § 1 DSG, Rn. 58, mwN).
36 5.2.3. Hoheitliche Verwaltung liegt vor, wenn die Verwaltungsorgane mit „imperium“, also unter Einsatz spezifischer staatlicher Befehls- und Zwangsgewalt auftreten. Sie handeln dabei in jenen Rechtssatzformen, die das öffentliche Recht für die Ausübung von behördlichen Befugnissen zur Verfügung stellt (vgl. etwa VfGH 3.3.2001, KI-2/99).
37 Die Feststellung, dass ein Verwaltungsorgan einen Akt gesellschaftlicher Daseinsvorsorge, somit eine öffentliche Verwaltungsaufgabe, vollzieht, schließt die Qualifikation einer solchen Tätigkeit als Privatwirtschaftsverwaltung nicht aus. Für die Abgrenzung des Gebietes der Privatwirtschaftsverwaltung von dem der Hoheitsverwaltung kommt es auf die Motive und den Zweck der Tätigkeit nicht an, entscheidend ist vielmehr, welche rechtstechnischen Mittel die Gesetzgebung zur Verwirklichung der zu erfüllenden Aufgaben bereitstellt. Hat der Gesetzgeber den Verwaltungsträger nicht mit Zwangsbefugnissen ausgestattet, so liegt nicht Hoheitsverwaltung, sondern Privatwirtschaftsverwaltung vor (vgl. VfGH 18.10.1957, KI-1/57; vgl. auch die Ausführungen in Raschauer, Allgemeines Verwaltungsrecht 6 , 2021, Rn. 694 ff).
38 Nach den Ausführungen in dem nach wie vor maßgeblichen „leading case“ VfSlg. 3262/1957 ist es für die Qualifikation behördlichen Handelns als Hoheitsverwaltung unerheblich, ob die betreffende Behörde eine „öffentliche Aufgabe“ wahrnimmt, da nicht alles „Öffentliche“ hoheitlich zu vollziehen ist. Es ist ferner nicht ausschlaggebend, dass es sich um eine Regelung auf dem Gebiet des öffentlichen Rechts handelt. Auch ist nicht jeder Akt eines mit behördlichen Befugnissen ausgestatteten Organs ein Hoheitsakt. Der Umstand, dass die betreffende Behörde im Zusammenhang mit der zu erfüllenden Aufgabe mit öffentlichen Mitteln arbeitet, entscheidet ebenso nicht über die Fragen des hoheitlichen Handelns, weil auch im Rahmen der Privatwirtschaftsverwaltung der Staat mit öffentlichen Mitteln handelt. Ausschlaggebend ist alleine, welche rechtstechnischen Mittel der Gesetzgeber bereitgestellt hat, ob also eine gesetzliche Ermächtigung zu hoheitlichem Handeln gegeben ist und ob von einer solchen im konkreten Fall Gebrauch gemacht wird (vgl. zu all dem Raschauer , aaO).
39Mit dem Begriff der „schlichten Hoheitsverwaltung“ wird Verwaltungshandeln erfasst, das nicht privatwirtschaftlicher Natur ist, sondern zum Bereich der Hoheitsverwaltung gehört, auch wenn im konkreten Fall kein Hoheitsakt gesetzt wird. In der schlichten Hoheitsverwaltung werden die Verwaltungsorgane nicht in den Handlungsformen des Bescheides, der unmittelbaren verwaltungsbehördlichen Befehls- und Zwangsgewalt sowie der Verordnung tätig, obwohl diese ihre Befugnis, anzuordnen und durchzusetzen, im Hintergrund vorhanden ist. In diesem Sinn ist die schlichte Hoheitsverwaltung eine potentiell hoheitliche Verwaltung, die durch Einsatz von Imperium zur aktuell hoheitlichen Verwaltung werden kann; es handelt sich also um eine „verschiedene Intensität“ einer Verwaltungstätigkeit, die insgesamt zum Bereich der Hoheitsverwaltung gehört (vgl. VwGH 15.4.2016, Ra 2016/02/0028). So kann es Akte der Verwaltung geben, die keine selbstständige Normativität aufweisen, aber unzweifelhaft vorbereitend, begleitend, durchführend im Rahmen der Hoheitsverwaltung gesetzt werden. Verschiedentlich ist sogar ausdrücklich vorgesehen, dass die Verweigerung einer solchen (tatsächlichen) Leistung mit Bescheid erfolgen soll, was wohl der deutlichste Hinweis dafür ist, dass auch der Fall der positiven Stattgebung bzw. Erfüllung als hoheitliches Handeln zu qualifizieren ist. Die schlichte Hoheitsverwaltung kann demnach nicht mehr allein anhand der limitierten Anzahl von typisierten Formen an Hoheitsakten bestimmt werden. Ausschlaggebend ist, dass bestimmte Handlungen gesetzt werden, die sowohl im Bereich der Hoheitsverwaltung als auch im Bereich der Privatwirtschaftsverwaltung anzutreffen sind. Zum hoheitlichen Handeln macht dieses Handeln der Kontext, in dem sie gesetzt werden (vgl. wiederum Raschauer , aaO).
40 5.2.4.Die mP hat unstrittig sowohl privatwirtschaftliche als auch hoheitliche Aufgaben zu erfüllen (vgl. § 31 Abs. 1 AMSG), weil sie den Arbeitssuchenden sowohl als (Vertrags)partnerin als auch als Trägerin staatlicher Hoheitsgewalt gegenübertritt.
41 5.2.4.1. Die mP handelt im Bereich der Hoheitsverwaltung, sofern diese über Leistungen entscheidet, auf dieetwa nach dem AlVGein Rechtsanspruch besteht. Die fragliche Betreuungstätigkeit samt der in diesem Zusammenhang vorgesehenen Erstellung eines Betreuungsplans/einer Betreuungsvereinbarung erfolgt aber ohne, dass das Gesetz der mP Zwangsbefugnisse einräumt oder dem Arbeitssuchenden einen Rechtsanspruch auf die dort als zielführend in Aussicht genommenen Förderungsmaßnahmen eröffnet. Vielmehr hat die mP ihre im Dienst „der Vollbeschäftigungspolitik der Bundesregierung zur Verhütung und Beseitigung von Arbeitslosigkeit unter Wahrung sozialer und ökonomischer Grundsätze“ stehende Aufgabenerfüllung (vgl. § 29 Abs. 1 AMSG) insoweit in Form von Dienstleistungen zu erbringen, die jedermann in Anspruch nehmen kann (§ 31 Abs. 1 AMSG). Die fallbezogen relevante Tätigkeit der mP ist daher nicht als eine hoheitliche im engeren Sinne anzusehen.
42 5.2.4.2. Zu hinterfragen ist die Möglichkeit des Vorliegens schlicht hoheitlichen Handelns, weil wie die Revision vorbringtdie Arbeitsvermittlung in einem „untrennbaren Zusammenhang mit dem AlVG“ stehe.
43 Den unbestrittenen Feststellungen zufolge sollen die Ergebnisse des AMAS im Beratungsprozess genutzt werden und für die BeraterInnen ein Ausgangspunkt sein, um gemeinsam mit dem Arbeitssuchenden eine Einschätzung der Potentiale und gegebenenfalls der Hindernisse bei der Arbeitsmarktintegration festzustellen. Aufgrund dieser Auseinandersetzung ist die optimale Betreuungsstrategie Förderungen und Betreuungsdienstleistungen zu definieren. Die Letztentscheidung über die Zuordnung zu einer der Kundengruppen trifft der/die BeraterIn. Hat der Arbeitssuchende dezidiert eine andere Einschätzung zu den Arbeitsmarktchancen als der/die BeraterIn, so ist dies in der Betreuungsvereinbarung zu dokumentieren.
44 Davon ausgehend ist Folgendes zu erwägen:
45Vor dem Hintergrund des AMSG ist die Aufgabe der mP die Verhütung und Beseitigung der Arbeitslosigkeit unter Wahrung sozialer und ökonomischer Grundsätze im Sinne einer aktiven Arbeitsmarktpolitik (§ 29 Abs 1 AMSG). Nach den Materialien zum AMSG (RV 1468 BlgNR 18. GP, 32; AB 1555 BlgNR 18. GP) stellt sich als Zweck des Gesetzes einzig und allein die Reform der Arbeitsmarktverwaltung und damit verbunden die Wiedererreichung der Vollbeschäftigung und die Teilnahme der Arbeitssuchenden am Erwerbsleben dar. Zentrales Ziel der Bestimmungen des AMSG ist die Erreichung eines möglichst hohen Beschäftigungsniveaus, das über die Organisation der mP erreicht werden soll, für dessen Leistungen die rasche Vermittlung einer produktiven und individuell befriedigenden Beschäftigung oberstes Gebot ist. Dabei soll nach § 29 AMSG die wirtschaftliche Existenz während der Zeit der Arbeitssuche garantiert werden, die Sicherung des Lebensunterhalts in Form wiederkehrender Leistungen an den Arbeitssuchenden ist daher Bestandteil der Arbeitsmarktpolitik. Dieser Grundgedanke der aktiven Arbeitsmarktpolitik ist durch spezifische, auf den Einzelfall abgestimmte Maßnahmen und unter Berücksichtigung einer weitestmöglichen Vereinbarkeit von Vollbeschäftigung und wirtschaftlichem Wachstum zu erreichen. Aus dieser Zielsetzung des AMSG ergibt sich, dass das AMS einerseits den Arbeitssuchenden einen Überblick über den heimischen Arbeitsmarkt und die Orientierung auf diesem ermöglichen, andererseits durch gezielte Beratung und Hilfestellung eine, den individuellen Fähigkeiten des Einzelnen entsprechende, Stelle ausfindig machen soll (vgl. zu alldem OGH 30.1.2001, 1 Ob 257/00a).
46Der Anspruch auf Arbeitslosengeld (§ 47 Abs. 1 AlVG) ist hoheitlicher Natur; bei der Entscheidung über das Bestehen eines Anspruchs auf Arbeitslosengeld werden behördliche Aufgaben erfüllt. Die Vermittlung von Arbeitssuchenden ist aber, wie sich aus § 31 Abs. 1 AMSG ergibt, jedenfalls nicht hoheitlich (vgl. hierzu OGH 24.11.2015, 1 Ob 208/15t, mwN).
47 Die nach den Feststellungen maßgebliche Beratung, in deren Rahmen die hier fragliche Datenverarbeitung erfolgt, dient ungeachtet des engen thematischen Zusammenhangsintentional nicht der Vorbereitung des Abspruchs über Ansprüche aus der Arbeitslosenversicherung, sondern vielmehr dem Zweck der Zusammenführung von Angebot und Nachfrage auf dem Arbeitsmarkt. Der gesetzlich als Dienstleistung ausgestaltete Beratungsprozess, der gemäß § 31 Abs. 1 AMSG auch Arbeitssuchenden offensteht, die nicht Bezieher von Arbeitslosenunterstützung sind, wird weder mit hoheitlichen Mitteln durchgeführt noch mündet dieser angesichts des Fehlens wechselseitiger Rechte und Pflichtenin einem hoheitlichen Akt. Der rein sachliche Zusammenhang zwischen Arbeitslosigkeit und möglichen Unterstützungen nach dem AlVG im Falle erfolgsloser Arbeitssuche macht die Beratung zur Wiedereingliederung in den Arbeitsmarkt selbst nicht zu einer Vorbereitungshandlung behördlicher Tätigkeit bei der Unterstützungsgewährung, und zwar mangels eines ausreichenden normativen Konnexes auch dann nicht, wenn sie gegenüber Personen erfolgt, die bereits im Leistungsbezug nach dem AlVG stehen.
48Das gilt auch für den „Betreuungsplan“: Nach dem durch das ArbeitsmarktreformG 2004, BGBl. I Nr. 77, eingefügten § 38c AMSG hat das AMS für jede arbeitslose Person einen Betreuungsplan zu erstellen, der „ausgehend vom zu erwartenden Betreuungsbedarf insbesondere die Art und Weise der Betreuung und die in Aussicht genommenen Maßnahmen sowie eine Begründung für die beabsichtigte Vorgangsweise“ enthält. Die Erläuterungen des Gesetzgebers, ErlRV 464 BlgNR 22. GP 9, hierzu lauten auszugsweise:
„Die Grundzüge des im Arbeitsmarktservice bereits bisher mit guten Erfahrungen eingesetzten Betreuungsplanes sollen nun ausdrücklich gesetzlich verankert werden. Der Betreuungsplan ist nicht der Hoheitsverwaltung zuzurechnen, sondern soll nur die Rahmenbedingungen für die eindeutig der Privatwirtschaftsverwaltung zugehörigen Vermittlungs- und vermittlungsunterstützenden Aktivitäten des Arbeitsmarktservice abstecken. Durch den Betreuungsplan soll eine einheitliche, sinnvolle, vorhersehbare und dem Vertrauensgrundsatz entsprechende Vorgangsweise bei der Betreuung und Vermittlung von Arbeitslosen sichergestellt werden. Abhängig von den zum Teil sehr voneinander abweichenden Bedingungen für eine erfolgreiche Wiedereingliederung in den Arbeitsmarkt sind unterschiedliche Anforderungen an die Betreuung der Arbeitslosen zu stellen. Daraus ergeben sich abgestufte Anforderungen an den Betreuungsplan. Gespräche zur Abklärung der Situation und über den Betreuungsverlauf werden in der Regel darauf Rücksicht nehmen (müssen), ob die Arbeitslosigkeit lediglich vorübergehend und voraussichtlich in absehbarer Zeit ohne besondere Maßnahmen behebbar scheint oder im Hinblick zB auf Alter, Qualifikationsmängel, gesundheitliche Einschränkungen, Betreuungspflichten oder strukturelle Probleme auf dem Arbeitsmarkt besondere Anstrengungen erforderlich sind. (...) Die Vereinbarung über den Betreuungsplan ist im Rahmen des jeweils bestehenden Ermessensspielraumes zu treffen. Wenn die Vorstellungen der (des) Arbeitslosen nicht in Einklang mit den geltenden Regelungen stehen, hat eine diesbezügliche Aufklärung zu erfolgen. Kann dennoch keine Vereinbarung erzielt werden, ist der Betreuungsplan einseitig von der regionalen Geschäftsstelle festzulegen. Der Betreuungsplan ist der (dem) Arbeitslosen jedenfalls in geeigneter Weise, zB durch Aushändigung oder Zusendung, zur Kenntnis zu bringen. Der Betreuungsplan soll den Rahmen abstecken, innerhalb dessen Vermittlungsbemühungen und Qualifizierungs- oder andere zur Verbesserung der Beschäftigungschancen auf dem Arbeitsmarkt erforderliche Maßnahmen gesetzt werden sollen. In den Vereinbarungen sollen auch die in Aussicht genommenen Eigenaktivitäten der Arbeitslosen festgehalten werden. Der Betreuungsplan ist für das Handeln des Arbeitsmarktservice wie auch der Arbeitslosen so lange verbindlich, solange er nicht in der Regel nach einem neuerlichen Beratungsgespräch geändert wurde. (...) Durch den Betreuungsplan soll einerseits für die Arbeitslosen ein höheres Maß an persönlicher Handlungsorientierung wie auch an Vorhersehbarkeit des Handelns des Arbeitsmarktservice und andererseits ein insgesamt noch planvolleres, leichter nachvollziehbares und bei Bedarf gezielt änderbares Vorgehen des Arbeitsmarktservice gewährleistet werden. Die bewährte ‚Vereinbarungskultur‘ soll weitergeführt und ausgebaut werden. (...)“
49 Nach dem erklärten Willen des Gesetzgebers kommt somit die mP der Aufgabe der Erstellung des Betreuungsplans/der Betreuungsvereinbarung im Rahmen der Privatwirtschaftsverwaltung nach. Dem entspricht der ausdrückliche Ausschluss eines Rechtsanspruchs auf einen bestimmten Betreuungsplan oder auf Maßnahmen, die im Betreuungsplan in Aussicht genommen sind (vgl. dazu auch Julcherin AlV-Komm § 9 AlVG Rz 79). Darüber hinaus ist ausschlaggebend für die Einordnung der fallbezogen maßgeblichen Beratungstätigkeit der mP als privatwirtschaftliches Handeln, dass bei der Erstellung des Betreuungsplans zwar auf die Zumutbarkeitskriterien gemäß § 9 Abs. 1 bis 3 AlVG Rücksicht zu nehmen ist; eine sich aus dem Betreuungsplan/der Betreuungsvereinbarung direkt abzuleitende bindende Festlegung der Grenzen der Zumutbarkeit einer Beschäftigung im Sinne des § 9 AlVG oder auch nur bindende Definition der einzelfallbezogenen Kriterien für die Beurteilung dieser Grenzen ist jedoch gesetzlich nicht vorgesehen, sodass der Betreuungsplan vor diesem Hintergrund die Grenzen der Zumutbarkeit einer Beschäftigunginsbesondere auch in Zusammenhang mit möglichen Sanktionen nach § 10 AlVGweder ausdehnen noch einengen kann. Auch kann sich unmittelbar an den Betreuungsplan keine Sanktion nach § 10 AlVG knüpfen. An dieser Konsequenz ändert auch § 9 Abs. 8 AlVG nichts, weil die dortige Bestimmung zwar den Begründungsaufwand der mP für Wiedereingliederungsmaßnahmen dem Arbeitssuchenden gegenüber unter bestimmten Voraussetzungen in Zusammenhang mit einem bestehenden Betreuungsplan modifiziert, der aber selbst keine Bindung entfaltet und die Behörde auch nicht von ihrer Verpflichtung zur Darstellung einer nachvollziehbaren und in diesem Sinne eigenständigen Begründung entbindet, die einer nachprüfenden Kontrolle unterliegt (vgl. in diese Richtung weisend VwGH 28.3.2012, 2010/08/0250).
50Aus dem oben Gesagten ergibt sich zusammengefasst, dass weder die Beratung im Rahmen der Arbeitsvermittlung selbst noch die Erstellung des Betreuungsplans (einer Betreuungsvereinbarung) im Sinne des § 38c AMSG dem (sei es auch schlicht) hoheitlichen Tätigkeitsbereich der mP zuzurechnen ist. Vielmehr handelt es sich hier um einen Teil des privatwirtschaftlichen Handelns der mP, das vor dem Hintergrund des funktionalen Behördenbegriffs des § 1 Abs. 2 DSG in datenschutzrechtlicher Hinsicht nicht dem dort determinierten Maßstab für Eingriffstatbestände in das Grundrecht auf Geheimhaltung personenbezogener Daten gemäß § 1 Abs. 1 DSG unterliegt.
51Schon aus diesem Grund ist die umstrittene Rechtmäßigkeit der verfahrensgegenständlichen Datenverarbeitung unter Heranziehung der maßgeblichen Bestimmungen der DSGVO zu prüfen, ohne den Maßstab des § 1 Abs. 2 DSG zu berücksichtigen.
52 5.3. Zur Frage des Vorliegens ausreichender Rechtfertigungsgründe im Sinne der Art. 6 und 9 DSGVO
53 5.3.1.Das BVwG stützte seine Argumentation betreffend die Rechtmäßigkeit der verfahrensgegenständlichen Verarbeitung auf die Folgerung, gemäß Art. 6 Abs. 1 lit. e DSGVO und Art. 9 Abs. 2 lit. g DSGVO könne eine Verarbeitung personenbezogener Daten bzw. besonderer Kategorien personenbezogener Daten rechtmäßig sein, wenn diese Verarbeitung auf Grundlage des Rechts des Mitgliedstaates des Verantwortlichen für eine im öffentlichen Interesse liegende Aufgabe bzw. hinsichtlich der Verarbeitung besonderer Kategorien personenbezogener Daten aufgrund eines erheblichen öffentlichen Interesses erforderlich sei. Die Art. 6 Abs. 3 DSGVO entsprechende Rechtsgrundlage habe nach Erwägungsgrund 41 der DSGVO klar und präzise und für den Rechtsunterworfenen vorhersehbar zu sein. Art. 9 Abs. 2 lit. g DSGVO fordere zusätzlich angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Personen. Zusammengefasst vermeint das BVwG, dass die mP den ihr gemäß § 29 Abs. 1 AMSG übertragenen Aufgaben jeweils im Sinne der von § 31 Abs. 5 AMSG geforderten Grundsätze der Sparsamkeit, Wirtschaftlichkeit und Zweckmäßigkeit nachzukommen habe. § 25 Abs. 2 AMSG räume der mP eine Ermächtigung zur Verarbeitung der personenbezogenen Daten ein, soweit diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung seien. Die der mP gemäß § 29 AMSG übertragene Aufgabe sei zweifelsohne eine von erheblichem öffentlichen Interesse. Um das festgelegte Ziel einer optimalen Versorgung der Wirtschaft mit Arbeitskräften und Beschäftigung aller Personen bestmöglich zu sichern, sei es unbestritten erforderlich, auf die persönlichen Eigenschaften der Arbeitssuchenden in Kombination mit dem Arbeitsmarktgeschehen, Rücksicht zu nehmen. Dass die herangezogenen personenbezogenen Daten der Arbeitssuchenden für die Beurteilung der Arbeitsmarktchancen relevant sein können, sei auch von der Revisionswerberin nicht in Abrede gestellt worden. Es bestünden im vorliegenden Fall keine Bedenken, dass die mP zur Sicherstellung einer „ordentlichen Arbeitsmarktpolitik“ die personenbezogenen Daten nach § 25 Abs. 1 AMSG verwenden dürfe. Anhaltspunkte dafür, dass eine solche Datenverarbeitung in § 25 AMSG nicht hinreichend klar zum Ausdruck komme, seien nicht erkennbar. § 25 Abs. 10 AMSG treffe Vorsorge für die Sicherstellung einer den Grundsätzen der DSGVO entsprechenden Verarbeitung und Gewährleistung der Datensicherheit.
54 5.3.2. Um das Vorbringen der Revision zu beantworten, ist zunächst auf die Frage der Erfüllung der Voraussetzungen der Art. 6 und 9 DSGVO einzugehen und dem vorauszuschicken, dass die Frage der Rechtmäßigkeit der Verarbeitung vor dem Hintergrund dieser Bestimmungen eine von der Frage des Verbots automatisierter Entscheidungen gemäß Art. 22 DSGVO zu trennende Rechtsfrage darstellt.
55 5.3.2.1. Die Verarbeitung personenbezogener Daten ist gemäß Art. 6 Abs. 1 lit. e DSGVO unter anderem rechtmäßig, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
56 Art. 6 Abs. 1 lit. e DSGVO steht in einem engen Zusammenhang mit Art. 6 Abs. 2 und 3, die nähere Anforderungen an die Rechtsgrundlagen enthalten. Die Rechtsgrundlage für die Verarbeitungen gemäß Art. 6 Abs. 1 lit. e DSGVO darf gemäß Art. 6 Abs. 3 leg. cit. durch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt werden. Der Zweck der Verarbeitung muss dabei anders als bei der Verarbeitung gemäß Art. 6 Abs. 1 lit. c DSGVO nicht zwingend in einer Rechtsgrundlage ausdrücklich vorgesehen sein. Nach Art. 6 Abs. 3 Satz 2 DSGVO genügt es, wenn der Zweck der Verarbeitung erforderlich ist, um eine Aufgabe zu erfüllen, die im öffentlichen Interesse liegt oder in Ausübung einer öffentlichen Gewalt erfolgt.
57 Erwägungsgrund 41 der DSGVO sieht wiederum vor, dass die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme klar und präzise und ihre Anwendung für die Rechtsunterworfenen vorhersehbar sein sollte. Allerdings fordert Erwägungsgrund 45 der DSGVO ausdrücklich nicht für jede einzelne Verarbeitung ein spezifisches Gesetz. Vielmehr kann ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge ausreichend sein, wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse erforderlich ist.
58 Vor dem Hintergrund des Wortlauts dieser maßgeblichen Bestimmungen ist nicht davon auszugehen, dass der nationale Gesetzgeber zur Erfüllung des Rechtfertigungstatbestandes des Art. 6 Abs. 1 lit. e DSGVO hinsichtlich einer bestimmten Datenverarbeitung jedenfalls gehalten ist, die Datenverarbeitung selbst im Gesetz zu determinieren. Vielmehr ist der Rechtfertigungstatbestand erfüllt, wenn die wahrzunehmende Aufgabe in der Rechtsgrundlage ausreichend beschrieben wird und die betreffende Datenverarbeitung dem Zweck der Erfüllung dieser Aufgabe dient. Das setzt allerdings voraus, dass eine solche Aufgabe durch das Recht hinreichend klar und bestimmt beschrieben wird. Die betreffende Rechtsgrundlage kann zwar spezifischere Regelungen enthalten, zwingend vorgesehen ist dies jedoch nicht (arg.: „kann“ in Art. 6 Abs. 3 dritter Satz DSGVO). Letztlich sieht Art. 6 Abs. 3 vierter Satz DSGVO auch für die Verarbeitung nach Art. 6 Abs. 1 lit. e leg. cit. vor, dass die Rechtsvorschriften ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen müssen (vgl. auch diese Ansicht stützend Kastelitz/Hötzendorfer/Tschohl in Knyrim , der DatKomm, 2020, Art. 6 Rn. 47; vgl. auch Buchner/Petri in Kühling/Buchner , DS-GVO, BDSG, 3. Aufl., 2020, Art. 6 DS-GVO, Rn. 120 f).
59 5.3.2.2. Zweck der Bestimmungen des Art. 9 Abs. 1 DSGVO ist es, einen erhöhten Schutz gegen eine solche Datenverarbeitung zu gewährleisten, die aufgrund der besonderen Sensibilität dieser Daten einen besonders schweren Eingriff in die durch die Art. 7 und 8 der Charta garantierten Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellen kann (vgl. die Ausführungen des EuGH zum Schutzzweck im Urteil vom 24.9.2019, C 136/17, GC u.a. , Rn. 44).
60 Kern des Art. 6 Abs. 1 lit. e DSGVO nachgebildeten Rechtsmäßigkeitstatbestandes des Art. 9 Abs. 2 lit. g DSGVO ist, dass die Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses erforderlich sein muss. Während demnach für die Verarbeitung personenbezogener Daten allgemein schon ein öffentliches Interesse nötig ist (Art. 6 Abs. 1 lit. e DSGVO), bedarf es für die Verarbeitung sensibler Daten im Sinne des Art. 9 Abs. 1 DSGVO dessen Wortlaut zufolge eines solchen erheblichen Interesses. Das heißt es bedarf einer spezifischen Abwägung und einer besonderen Legitimation für die Verwendung solcher Daten (vgl. zur Auslegung der korrespondierenden Rechtslage in Deutschland die Ausführungen in Kühling/Buchner , DS-GVO, BDSG, 3. Aufl., Art. 9 Rz. 91, vgl. zu Art. 9 Abs. 2 lit. g DSGVO auch bereits EuGH 24.9.2019, C-136/17, GC u.a. [Auslistung sensibler Daten], Rn. 61).
61 Nicht näher determiniert sind die Anforderungen an die Rechtsgrundlagen in Art. 9 DSGVO. Art. 9 Abs. 2 lit. g DSGVO bezieht sich ebenso wie Art. 6 Abs. 1 lit. e leg. cit. als Rechtfertigungsgrund auf das Erfordernis der Verarbeitung aus Gründen eines in Zusammenhang mit Art. 9 Abs. 2 lit. g erheblichen öffentlichen Interesses. In Hinblick auf die strukturellen Gemeinsamkeiten dieser beiden Rechtfertigungstatbestände und des jeweiligen Verweises auf das Unionsrecht oder das Recht eines Mitgliedstaats sowie mangels einer gegenteiligen Anordnung ist auch zur Rechtfertigung der Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 2 lit. g DSGVO davon auszugehen, dass ebenso wie beim Rechtfertigungsgrund des Art. 6 Abs. 1 lit. e die ausreichend klare Festlegung der mit der Verarbeitung zu erfüllenden Aufgabe die im Zusammenhang dieser Daten eine besondere Qualität aufzuweisen hat (arg.: „erhebliches öffentliches Interesse“) geboten aber eben auch hinreichend ist (vgl. die Ausführungen von Schörghofer/Warter , Die gesetzliche Grundlage einer Datenverarbeitung in FS Pfeil, 2022, 721ff [734]). Diese Sichtweise entspricht der Ansicht des EuGH in C-136/17, wonach Art. 9 Abs. 2 lit. g DSGVO die Verarbeitung der in Art. 9 genannten besonderen Datenkategorien erlaubt, wenn sie aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist, und zwar auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, wobei der EuGH in dem durch Art. 11 der Charta geschützten Recht auf freie Information eine mögliche rechtfertigende Rechtsgrundlage für die dort strittige Datenverarbeitung sieht (vgl. EuGH aaO, Rn. 61, 66 und 68). Der EuGH stellt bei dieser Prüfung keineswegs darauf ab, ob die rechtfertigende Rechtsgrundlage die strittige Datenverarbeitung selbst bezeichnet.
62 5.3.2.3. Fallbezogen ergibt sich vor dem Hintergrund dieser Rechtslage Folgendes:
Vorweg ist festzuhalten, dass die Frage des Vorliegens eines öffentlichen Interesses an den der mP durch die §§ 29 ff AMSG übertragenen Aufgaben auch von der Revision nicht in Abrede gestellt wird.
63§ 29 Abs. 1 AMSG definiert die Aufgabe der mP; § 29 Abs. 2 AMSG nennt die im Zusammenhang mit dieser Aufgabenerfüllung anzustrebenden Ziele der Tätigkeit der mP. Dabei normiert § 30 Abs. 2 AMSG auch explizit die Verpflichtung der mP, für die Arbeitsmarktbeobachtung und -statistik zu sorgen. Durch die Detaillierung der Grundsätze, die der Aufgabenerfüllung zugrunde gelegt werden müssen, in § 31 AMSG steht auch fest, welchen Ansprüchen bei der Aufgabenerfüllung Genüge zu tun ist. § 25 Abs. 1 AMSG beschränkt die Ermächtigung zur Verarbeitung auf die gesetzliche Aufgabe und auf solche Verarbeitungen, die für die Erfüllung der Aufgabe eine wesentliche Voraussetzung sind. Damit ist durch die Aufzählung der Daten und der direkten Verbindung derselben mit dem erlaubten Verarbeitungszweck klar und für den Betroffenen vorhersehbar geregelt, welche Daten für welchen Zweck verarbeitet werden dürfen. Es unterliegt keinem Zweifel, dass damit die §§ 29 bis 31 AMSG die Aufgabe, in deren Zusammenhang die mP zur Verarbeitung der in § 25 Abs. 1 AMSG aufgezählten Daten ermächtigt wird, und damit den Rahmen für den erlaubten Zweck der Datenverarbeitung hinreichend klar und präzise bezeichnen. Dass die Einschätzung der Arbeitsmarktchancen einer arbeitssuchenden Person ein relevanter Parameter für eine effiziente Arbeitsvermittlung ist, ist naheliegend. Es kann daher davon ausgegangen werden, dass einem Rechtsunterworfenen angesichts der der mP übertragenen Aufgabe und den zu erbringenden Dienstleistungeninsbesondere des zu erstellenden Betreuungsplans gemäß § 38c AMSGausreichend klar vor Augen geführt wird, dass eine Verarbeitung der in § 25 Abs. 1 AMSG aufgezählten Daten auch zur Einschätzung der Positionierung des jeweils betreffenden Arbeitssuchenden am Arbeitsmarkt dienlich ist und damit für diesen Zweck, der für die Erfüllung der öffentlichen Aufgabe erforderlich ist, herangezogen werden kann.
64 Ferner ist in Hinblick auf die fallbezogen betroffenen Gesundheitsdaten, die zu den besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO zu zählen sind, festzuhalten, dass es nach den Vorgaben der oben zitierten Rechtsprechung des EuGH auch keinem Zweifel unterliegen kann, dass die der bestmöglichen Integration arbeitssuchender Personen am nationalen Arbeitsmarkt geltende Zielsetzung des Gesetzgebers ein erhebliches öffentliches Interesse im Sinne des Art. 9 Abs. 2 lit. g DSGVO verfolgt, steht doch diese Zielsetzung im Zusammenhang mit dem effizienten Einsatz staatlicher Unterstützungsmittel und Optimierung sozialer Zufriedenheit arbeitssuchender Personen einerseits und bestmöglicher Versorgung des Arbeitsmarkts andererseits. Dass die fallbezogene Datenverarbeitung in einem angemessenen Verhältnis zu den mit dieser gesetzlich übertragenen Aufgabe verfolgten Zielen steht, wird nicht in Abrede gestellt und ist auch nicht ersichtlich. Dies insbesondere auch, weil laut den Feststellungen im angefochtenen Erkenntnis nur diejenigen Gesundheitsdaten verarbeitet werden, die die Ausübung von Tätigkeiten am Arbeitsmarkt einschränken und daher unmittelbar in Beziehung zu der Beschäftigungsvermittlung stehen.
65Die Bestimmungen über die Verschwiegenheitspflicht der Organe der mP in § 27 AMSG und die detaillierten Bestimmungen zur Offenlegung und Aufbewahrung der Daten in § 25 Abs. 2 bis 11 AMSG lassen keine Zweifel an der Erfüllung der von Art. 9 Abs. 2 lit. g DSGVO geforderten Maßnahmen zur Wahrung des Wesensgehalts des in Art. 8 GRC verankerten Grundrechts auf Schutz personenbezogener Daten (vgl. zum Begriff der Wesensgehaltsgarantie EuGH 8.4.2014, Digital Rights Ireland u.a. , C‑293/12 und C‑594/12, Rn. 40; vgl. auch Bäcker in Kühling/Buchner, DSG VO, BDSG, Kommentar, 3. Aufl., 2020, Art. 23 Rn. 57) sowie der Grundrechte und Interessen der betroffenen Personen aufkommen. Die Revision bringt nichts Konkretes vor, was diese Ansicht in Frage stellt.
66 Insofern die Revision wiederholt darauf verweist, das BVwG habe den Charakter des Profilings als besonderes Verarbeitungsverfahren im Zusammenhang mit den Erfordernissen der Art. 6 und 9 DSGVO nicht beachtet, ist den Ausführungen nicht zu entnehmen, inwiefern die genannten Bestimmungen für diese Verarbeitungsform andere Anforderungen an die rechtfertigende Rechtsgrundlage stellen sollten, zumal weder Art. 6 noch Art. 9 DSGVO auf Art. 4 Z 4 DSGVO Bezug nehmen. Dass der Revision darin zuzustimmen sein mag, dass Profiling eine besondere Verarbeitungsform darstelle, ändert an dieser Betrachtung per se nichts. Die Besonderheit des Profilings wird vielmehr in Art. 22 DSGVO berücksichtigt, wobei die Gefahrengeneigtheit dieser Verarbeitungsform in dem dort formulierten Verbotstatbestand bzw. in den dortigen Rechtfertigungsgründen ihren Niederschlag findet.
Insofern die Revision unter anderem auch in diesem Zusammenhangauf die Anforderungen des § 1 Abs. 2 DSG, die Rechtsprechung des Verfassungsgerichtshofs zum Legalitätsprinzip des Art. 18 B VG und die ungenügende Rechtsgrundlage der Bundesrichtlinie wegen deren unzureichender Verbindlichkeit verweist, ist auf die Ausführungen zu Punkt 5.2. hinzuweisen.
67 Verweist die Revision darauf, dass es, um die betroffenen Rechte auszuüben, erforderlich sei, dass „die Datenerhebung in einer für die davon Betroffenen [...] vorhersehbaren Art und Weise sowie in einer allenfalls anfechtbaren und gehörig überprüfbaren Form“ vorzunehmen, ist festzuhalten, dass die Datenerhebungselbst im vorliegenden Fall gar nicht zur Rede steht. Gegenstand des Revisionsverfahrens ist vielmehr die von der Revisionswerberin bescheidmäßig ausgesprochene Untersagung betreffend die Verarbeitung der Daten. Die zu erhebenden Daten selbst sind zudem in § 25 Abs. 1 AMSG detailliert aufgezählt, sodass kein Zweifel an der Vorhersehbarkeit über die Art der zu erhebenden Daten besteht.
68Wenn die Revision ferner darauf verweist, es ergebe sich aus Erwägungsgrund 41 zweiter Satz DSGVO, dass aus der Rechtsgrundlage selbst klar ersichtlich und vorhersehbar sein müsse, welche Datenverarbeitung durchgeführt werde, ist dies mit dem Wortlaut des Erwägungsgrundes nicht in Einklang zu bringen. Dieser hält fest, dass „die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme [...] klar und präzise sein [sollte] und ihre Anwendung [...] für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs der Europäischen Union und des Europäischen Gerichtshofs für Menschenrechte vorhersehbar sein [sollte]“. Inwiefern dieser Erwägungsgrund die Anordnung des Art. 6 Abs. 1 lit. e DSGVO, wonach der Zweck der Verarbeitung für die Erfüllung einer öffentlichen Aufgabe erforderlich sein müsse, inhaltlich näher determinieren sollte, ist nicht ersichtlich. Art. 6 Abs. 3 DSGVO spricht dagegen ausdrücklich von dem Erfordernis einer Rechtsgrundlage, welcher der Zweck der Verarbeitung zu entnehmen sein muss, bzw. die betreffende Aufgabe im öffentlichen Interesse, auf die die Datenverarbeitung zurückzuführen sein muss. Insofern die Revision in diesem Zusammenhang wiederholt auf § 1 Abs. 2 zweiter Satz DSG zurückkommt, ist diese wiederum auf die Ausführungen unter Punkt 5.2. zu verweisen, wonach diese gesetzliche Bestimmung fallbezogen nicht zur Anwendung gelangt.
69 Das von der Revision als Maßstab für die hinreichende Präzisierung einer Rechtsgrundlage ins Treffen geführte Urteil des EuGH vom 6. Oktober 2020, C 511/18, C 512/18 und C 520/18, erging zur Auslegung von Art. 15 Abs. 1 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation, ABl. 2002, L 201, S. 37). Dieses ins Treffen geführte Urteil des EuGH ist nicht einschlägig, weil es den Grundsatz der Datenminimierung gemäß Art. 5 lit. c DSGVO behandelt. Auf diesen Grundsatz wurde der Bescheid der Revisionswerberin nicht gestützt.
70Der Revision ist darin zuzustimmen, dass bei der Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO die speziellen Eingriffstatbestände des Art. 9 Abs. 2 DSGVO maßgeblich sind. Sie moniert in diesem Zusammenhang die Begründung des BVwG, wonach eine Überprüfung des § 25 Abs. 10 AMSG auf Erfüllung der Erfordernisse notwendiger Datensicherheitsmaßnahmen nicht vorzunehmen gewesen sei, weil dies auch nicht Gegenstand der Prüfung durch die Revisionswerberin gewesen sei.
71 Selbst wenn jedoch diese Ansicht des BVwG nicht zuträfe, legt die Revision nicht dar, inwiefern die Garantien für die Datensicherheit im vorliegenden Fall abweichend von der unter 5.3.2.1. dargestellten Einschätzungunzureichend wären. So wird von der Revisionswerberin nichts vorgebracht, was die Annahme zuließe, dass mit den Verschwiegenheitspflichten der Organe und insbesondere mit dem Verbot der Offenlegung von Gesundheitsdaten gemäß § 25 Abs. 8 AMSG gegenüber Arbeitgebern sowie den gesetzlichen Vorkehrungen betreffend Aufbewahrung und Gewährleistung der Datensicherheit fallbezogen nicht für eine im Sinne der Bestimmungen der DSGVO ausreichende Absicherung der Daten gesorgt sei.
5.4. Zur Frage des Vorliegens einer automatisierten Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO
72 Die Revision verweist wiederholt darauf, das BVwG habe den Charakter des Profilings als besonderes Verarbeitungsverfahren nicht beachtet. Es ergebe sich aus Erwägungsgrund 41 zweiter Satz der DSGVO, dass aus der Rechtsgrundlage selbst klar ersichtlich und vorhersehbar sein müsse, welche Datenverarbeitung durchgeführt werde. Die Arbeitssuchenden liefen zudem Gefahr, dass die Annahmen von AMAS ohne weitere Bearbeitung übernommen werden könnten.
73 Mit diesem Vorbringen releviert die Revision die Rechtmäßigkeit der verfahrensgegenständlichen Verarbeitung vor dem Hintergrund des Art. 22 DSGVO.
74 5.4.1. Der EuGH hat in seinem für die vorliegende Revisionsentscheidung abzuwartenden rezenten Urteil vom 7. Dezember 2023, C 634/21, SCHUFA Holding [Scoring]zu der mit Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Verwaltungsgericht Wiesbaden (Deutschland) mit Beschluss vom 1. Oktober 2021, vorgelegten Frage betreffend die Auslegung von Art. 22 Abs. 1 DSGVO wie folgt ausgeführt:
„40 Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 22 Abs. 1 DSGVO dahin auszulegen ist, dass eine ‚automatisierte Entscheidung im Einzelfall‘ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.
41 Zur Beantwortung dieser Frage ist zunächst darauf hinzuweisen, dass bei der Auslegung einer Vorschrift des Unionsrechts nicht nur deren Wortlaut, sondern auch der Zusammenhang, in dem sie steht, sowie die Zwecke und Ziele, die mit dem Rechtsakt, zu dem sie gehört, verfolgt werden, zu berücksichtigen sind (Urteil vom 22. Juni 2023, Pankki S, C‑579/21, EU:C:2023:501, Rn. 38 und die dort angeführte Rechtsprechung).
42 Was den Wortlaut von Art. 22 Abs. 1 DSGVO angeht, so sieht diese Bestimmung vor, dass eine betroffene Person das Recht hat, nicht einer ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
43 Die Anwendbarkeit dieser Bestimmung hängt somit von drei kumulativen Voraussetzungen ab, nämlich davon, dass erstens eine ‚Entscheidung‘ vorliegen muss, zweitens diese Entscheidung ‚ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling [beruhen]‘ muss und drittens sie ‚gegenüber [der betroffenen Person] rechtliche Wirkung‘ entfalten oder sie ‚in ähnlicher Weise erheblich‘ beeinträchtigen muss.
44 Was erstens die Voraussetzung des Vorliegens einer Entscheidung betrifft, ist festzustellen, dass der Begriff ‚Entscheidung‘ im Sinne von Art. 22 Abs. 1 DSGVO in dieser Verordnung nicht definiert wird. Bereits aus dem Wortlaut dieser Bestimmung ergibt sich jedoch, dass sich dieser Begriff nicht nur auf Handlungen bezieht, die rechtliche Wirkung gegenüber der betroffenen Person entfalten, sondern auch auf Handlungen, die diese Person in ähnlicher Weise erheblich beeinträchtigen.
45 Die weite Bedeutung des Begriffs ‚Entscheidung‘ wird durch den 71. Erwägungsgrund der DSGVO bestätigt, wonach eine Entscheidung zur Bewertung persönlicher Aspekte, die eine Person betreffen, ‚eine Maßnahme einschließen [kann]‘, die entweder ‚rechtliche Wirkung für die betroffene Person‘ entfaltet oder ‚sie in ähnlicher Weise erheblich beeinträchtigt‘, wobei die betroffene Person das Recht haben sollte, einer solchen Entscheidung nicht unterworfen zu werden. Nach diesem Erwägungsgrund umfasst der Begriff ‚Entscheidung‘ beispielsweise die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen.
46 Da der Begriff ‚Entscheidung‘ im Sinne von Art. 22 Abs. 1 DSGVO somit, wie der Generalanwalt in Nr. 38 seiner Schlussanträge ausgeführt hat, mehrere Handlungen umfassen kann, die die betroffene Person in vielerlei Weise beeinträchtigen können, ist dieser Begriff weit genug, um das Ergebnis der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswerts mit einzuschließen.
47 Was zweitens die Voraussetzung angeht, dass die Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO ‚ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling [beruhen]‘ muss, steht, wie der Generalanwalt in Nr. 33 seiner Schlussanträge ausgeführt hat, fest, dass eine Tätigkeit wie die der SCHUFA der Definition des ‚Profiling‘ in Art. 4 Nr. 4 DSGVO entspricht und dass diese Voraussetzung somit im vorliegenden Fall erfüllt ist; der Wortlaut der ersten Vorlagefrage bezieht sich im Übrigen ausdrücklich auf die automatisierte Erstellung eines auf personenbezogene Daten zu einer Person gestützten Wahrscheinlichkeitswerts hinsichtlich deren Fähigkeit, künftig einen Kredit zu bedienen.
48 Was drittens die Voraussetzung betrifft, dass die Entscheidung gegenüber der betroffenen Person ‚rechtliche Wirkung‘ entfalten oder sie ‚in ähnlicher Weise erheblich‘ beeinträchtigen muss, ergibt sich bereits aus dem Inhalt der ersten Vorlagefrage, dass das Handeln des Dritten, dem der Wahrscheinlichkeitswert übermittelt wird, ‚maßgeblich‘ von diesem Wert geleitet wird. So führt nach den Sachverhaltsfeststellungen des vorlegenden Gerichts im Fall eines von einem Verbraucher an eine Bank gerichteten Kreditantrags ein unzureichender Wahrscheinlichkeitswert in nahezu allen Fällen dazu, dass die Bank die Gewährung des beantragten Kredits ablehnt.
49 Folglich ist davon auszugehen, dass auch die dritte Voraussetzung, von der die Anwendung von Art. 22 Abs. 1 DSGVO abhängt, erfüllt ist, da ein Wahrscheinlichkeitswert wie der im Ausgangsverfahren fragliche die betroffene Person zumindest erheblich beeinträchtigt.
50 Daher ist unter Umständen wie jenen des Ausgangsverfahrens, unter denen der von einer Wirtschaftsauskunftei ermittelte und einer Bank mitgeteilte Wahrscheinlichkeitswert eine maßgebliche Rolle bei der Gewährung eines Kredits spielt, die Ermittlung dieses Wertes als solche als Entscheidung einzustufen, die im Sinne von Art. 22 Abs. 1 DSGVO gegenüber einer betroffenen Person ‚rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt‘.
51 Diese Auslegung wird durch den Zusammenhang, in dem Art. 22 Abs. 1 DSGVO steht, sowie durch die Zwecke und Ziele, die mit dieser Verordnung verfolgt werden, gestützt.
52 Insoweit ist darauf hinzuweisen, dass, wie der Generalanwalt in Nr. 31 seiner Schlussanträge festgestellt hat, Art. 22 Abs. 1 DSGVO der betroffenen Person das ‚Recht‘ verleiht, nicht einer ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhenden Entscheidung unterworfen zu werden. Diese Bestimmung stellt ein grundsätzliches Verbot auf, dessen Verletzung von einer solchen Person nicht individuell geltend gemacht zu werden braucht.
53 Wie sich nämlich aus Art. 22 Abs. 2 DSGVO in Verbindung mit dem 71. Erwägungsgrund dieser Verordnung ergibt, ist der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung nur in den in Art. 22 Abs. 2 genannten Fällen zulässig, d. h., wenn sie für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist (Buchst. a), wenn sie aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist (Buchst. b) oder wenn sie mit ausdrücklicher Einwilligung der betroffenen Person erfolgt (Buchst. c).
54 Außerdem sieht Art. 22 Abs. 2 Buchst. b und Abs. 3 DSGVO vor, dass angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person vorgesehen werden müssen. In den in Art. 22 Abs. 2 Buchst. a und c dieser Verordnung genannten Fällen gewährt der Verantwortliche der betroffenen Person mindestens das Recht auf Erwirkung des Eingreifens einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.
55 Ferner dürfen nach Art. 22 Abs. 4 DSGVO automatisierte Entscheidungen im Einzelfall im Sinne von diesem Art. 22 nur in bestimmten Sonderfällen auf besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 dieser Verordnung beruhen.
56 Darüber hinaus unterliegt im Fall einer automatisierten Entscheidungsfindung wie jener im Sinne von Art. 22 Abs. 1 DSGVO zum einen der Verantwortliche zusätzlichen Informationspflichten nach Art. 13 Abs. 2 Buchst. f und Art. 14 Abs. 2 Buchst. g dieser Verordnung. Zum anderen steht der betroffenen Person nach Art. 15 Abs. 1 Buchst. h DSGVO ein Auskunftsrecht gegenüber dem für die Verarbeitung Verantwortlichen zu, das insbesondere ‚aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person‘ betrifft.
57 Diese höheren Anforderungen an die Rechtmäßigkeit einer automatisierten Entscheidungsfindung sowie die zusätzlichen Informationspflichten des Verantwortlichen und die damit verbundenen zusätzlichen Auskunftsrechte der betroffenen Person erklären sich aus dem Zweck, den Art. 22 DSGVO verfolgt und der darin besteht, Personen vor den besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten einschließlich Profiling verbunden sind.
58 Diese Verarbeitung erfordert nämlich, wie sich aus dem 71. Erwägungsgrund der DSGVO ergibt, die Bewertung persönlicher Aspekte in Bezug auf die von dieser Verarbeitung betroffene natürliche Person, insbesondere zur Analyse oder Prognose von Aspekten bezüglich ihrer Arbeitsleistung, wirtschaftlichen Lage, Gesundheit, Vorlieben oder Interessen, Zuverlässigkeit oder ihres Verhaltens, ihres Aufenthaltsorts oder Ortswechsels.
59 Diese besonderen Risiken sind nach diesem Erwägungsgrund geeignet, die Interessen und Rechte der betroffenen Person zu beeinträchtigen, insbesondere im Hinblick auf etwaige diskriminierende Wirkungen gegenüber natürlichen Personen aufgrund von Rasse, ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetischer Anlagen oder Gesundheitszustand sowie sexueller Orientierung. Daher sollte nach diesem Erwägungsgrund der betroffenen Person gegenüber eine faire und transparente Verarbeitung gewährleistet werden, insbesondere durch die Verwendung geeigneter mathematischer oder statistischer Verfahren für das Profiling und durch technische und organisatorische Maßnahmen, mit denen in geeigneter Weise sichergestellt wird, dass das Risiko von Fehlern minimiert wird.
60 Die in den Rn. 42 bis 50 des vorliegenden Urteils dargelegte Auslegung und insbesondere die weite Bedeutung des Begriffs ‚Entscheidung‘ im Sinne von Art. 22 Abs. 1 DSGVO verstärkt den wirksamen Schutz, auf den diese Bestimmung abzielt.
61 Hingegen bestünde unter Umständen wie jenen des Ausgangsverfahrens, an denen drei Akteure beteiligt sind, die Gefahr einer Umgehung von Art. 22 DSGVO und folglich eine Rechtsschutzlücke, wenn einer engen Auslegung dieser Bestimmung der Vorzug gegeben würde, nach der die Ermittlung des Wahrscheinlichkeitswerts nur als vorbereitende Handlung anzusehen ist und nur die vom Dritten vorgenommene Handlung gegebenenfalls als ‚Entscheidung‘ im Sinne von Art. 22 Abs. 1 dieser Verordnung eingestuft werden kann.
62 In diesem Fall würde nämlich die Ermittlung eines Wahrscheinlichkeitswerts wie des im Ausgangsverfahren in Rede stehenden nicht den besonderen Anforderungen von Art. 22 Abs. 2 bis 4 DSGVO unterliegen, obwohl dieses Verfahren auf einer automatisierten Verarbeitung beruht und Wirkungen entfaltet, welche die betroffene Person erheblich beeinträchtigen, da das Handeln des Dritten, dem dieser Wahrscheinlichkeitswert übermittelt wird, von diesem maßgeblich geleitet ist.
63 Außerdem könnte die betroffene Person, wie der Generalanwalt in Nr. 48 seiner Schlussanträge ausgeführt hat, zum einen bei der Wirtschaftsauskunftei, die den sie betreffenden Wahrscheinlichkeitswert ermittelt, ihr Recht auf Auskunft über die in Art. 15 Abs. 1 Buchst. h DSGVO genannten spezifischen Informationen nicht geltend machen, wenn keine automatisierte Entscheidungsfindung durch dieses Unternehmen vorliegt. Zum anderen wäre der Dritte unter der Annahme, dass die von ihm vorgenommene Handlung unter Art. 22 Abs. 1 DSGVO fiele, da sie die Voraussetzungen für die Anwendung dieser Bestimmung erfüllte nicht in der Lage, diese spezifischen Informationen vorzulegen, weil er darüber im Allgemeinen nicht verfügt.
64 Dass die Ermittlung eines Wahrscheinlichkeitswerts wie des im Ausgangsverfahren in Rede stehenden von Art. 22 Abs. 1 DSGVO erfasst wird, hat, wie in den Rn. 53 bis 55 des vorliegenden Urteils ausgeführt, zur Folge, dass sie verboten ist, es sei denn, eine der in Art. 22 Abs. 2 DSGVO genannten Ausnahmen ist anwendbar und die besonderen Anforderungen von Art. 22 Abs. 3 und 4 DSGVO sind erfüllt.
65 Was insbesondere Art. 22 Abs. 2 Buchst. b DSGVO betrifft, auf den das vorlegende Gericht Bezug nimmt, ergibt sich bereits aus dem Wortlaut dieser Bestimmung, dass die nationalen Rechtsvorschriften, die den Erlass einer automatisierten Entscheidung im Einzelfall erlauben, angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten müssen.
66 Im Licht des 71. Erwägungsgrundes der DSGVO müssen solche Maßnahmen insbesondere die Verpflichtung des Verantwortlichen umfassen, geeignete mathematische oder statistische Verfahren zu verwenden, technische und organisatorische Maßnahmen zu treffen, mit denen in geeigneter Weise sichergestellt wird, dass das Risiko von Fehlern minimiert wird und Fehler korrigiert werden, und personenbezogene Daten in einer Weise zu sichern, dass den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person Rechnung getragen wird, und insbesondere zu verhindern, dass es ihr gegenüber zu diskriminierenden Wirkungen kommt. Diese Maßnahmen umfassen außerdem mindestens das Recht der betroffenen Person auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der gegen sie erlassenen Entscheidung.
67 Ferner ist darauf hinzuweisen, dass nach ständiger Rechtsprechung des Gerichtshofs jede Verarbeitung personenbezogener Daten mit den in Art. 5 DSGVO festgelegten Grundsätzen für die Verarbeitung personenbezogener Daten im Einklang stehen und in Anbetracht des in Art. 5 Abs. 1 Buchst. a vorgesehenen Grundsatzes der Rechtmäßigkeit der Verarbeitung eine der in Art. 6 dieser Verordnung aufgeführten Bedingungen für die Rechtmäßigkeit der Verarbeitung erfüllen muss (Urteil vom 20. Oktober 2022, Digi, C‑77/21, EU:C:2022:805, Rn. 49 und die dort angeführte Rechtsprechung). Der Verantwortliche muss die Einhaltung dieser Grundsätze nach dem in Art. 5 Abs. 2 DSGVO niedergelegten Grundsatz der Rechenschaftspflicht nachweisen können (vgl. in diesem Sinne Urteil vom 20. Oktober 2022, Digi, C‑77/21, EU:C:2022:805, Rn. 24).
68 Ist nach den Rechtsvorschriften eines Mitgliedstaats gemäß Art. 22 Abs. 2 Buchst. b DSGVO der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung zulässig, muss diese Verarbeitung somit nicht nur die in der letztgenannten Bestimmung und in Art. 22 Abs. 4 DSGVO aufgestellten Voraussetzungen erfüllen, sondern auch die Anforderungen in den Art. 5 und 6 dieser Verordnung. Folglich dürfen die Mitgliedstaaten keine Rechtsvorschriften nach Art. 22 Abs. 2 Buchst. b DSGVO erlassen, nach denen ein Profiling unter Missachtung der Anforderungen dieser Art. 5 und 6 in deren Auslegung durch die Rechtsprechung des Gerichtshofs zulässig ist.
69 Was insbesondere die in Art. 6 Abs. 1 Buchst. a, b und f DSGVO vorgesehenen Bedingungen für die Rechtmäßigkeit betrifft, die in einem Fall wie jenem des Ausgangsverfahrens Anwendung finden können, sind die Mitgliedstaaten nicht befugt, ergänzende Vorschriften für die Anwendung dieser Bedingungen vorzusehen, da eine solche Befugnis nach Art. 6 Abs. 3 DSGVO auf die in Art. 6 Abs. 1 Buchst. c und e dieser Verordnung genannten Gründe beschränkt ist.
70 Was außerdem im Einzelnen Art. 6 Abs. 1 Buchst. f DSGVO betrifft, dürfen die Mitgliedstaaten nach Art. 22 Abs. 2 Buchst. b DSGVO nicht von den Anforderungen abweichen, die sich aus der Rechtsprechung des Gerichtshofs nach dem Urteil vom 7. Dezember 2023, SCHUFA Holding (Restschuldbefreiung) (C‑26/22 und C‑64/22, EU:C:2023:XXX), ergeben, insbesondere nicht dadurch, dass sie das Ergebnis der Abwägung der einander gegenüberstehenden Rechte und Interessen abschließend vorschreiben (vgl. in diesem Sinne Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 62).
71 Im vorliegenden Fall weist das vorlegende Gericht darauf hin, dass nur § 31 BDSG eine nationale Rechtsgrundlage im Sinne von Art. 22 Abs. 2 Buchst. b DSGVO darstellen könnte. Bezüglich der Vereinbarkeit dieses § 31 BDSG mit dem Unionsrecht bestehen für dieses Gericht aber durchgreifende Bedenken. Sollte diese Bestimmung als mit dem Unionsrecht unvereinbar angesehen werden, würde die SCHUFA nicht nur ohne Rechtsgrundlage handeln, sondern verstieße ipso iure gegen das in Art. 22 Abs. 1 DSGVO aufgestellte Verbot.
72 Insoweit ist es Sache des vorlegenden Gerichts, zu prüfen, ob § 31 BDSG als Rechtsgrundlage im Sinne von Art. 22 Abs. 2 Buchst. b DSGVO qualifiziert werden kann, nach der es zulässig wäre, eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung zu erlassen. Sollte das vorlegende Gericht zu dem Schluss kommen, dass § 31 eine solche Rechtsgrundlage darstellt, hätte es noch zu prüfen, ob die in Art. 22 Abs. 2 Buchst. b und Abs. 4 DSGVO und in den Art. 5 und 6 DSGVO aufgestellten Anforderungen im vorliegenden Fall erfüllt sind.
73 Nach alledem ist auf die erste Frage zu antworten, dass Art. 22 Abs. 1 DSGVO dahin auszulegen ist, dass eine ‚automatisierte Entscheidung im Einzelfall‘ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.“
75 5.4.2. Aus den oben wiedergegebenen Entscheidungsgründen des Urteils des EuGH ist zu schließen, dass die Anwendung einer automatisierten Verarbeitung wie des AMAS , als solche bereits eine Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO darstellen kann, die ohne rechtfertigende gesetzliche Grundlage im Sinne des Art. 22 Abs. 2 lit. b DSGVO die Rechtfertigungstatbestände der Notwendigkeit der automatisierten Entscheidung für den Abschluss eines Vertrages im Sinne des Art. 22 Abs. 2 lit. a DSGVO bzw. das Vorliegen einer Einwilligung im Sinne des Art. 22 Abs. 2 lit. c DSGVO stehen fallbezogen nicht zur Rede dem Verbot des Art. 22 Abs. 1 DSGVO unterfällt. Liegt eine solche automatisierte Entscheidung vor, müssen die betreffenden nationalen Rechtsvorschriften den Erlass der automatisierten Entscheidung im Einzelfall erlauben und zudem angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten (vgl. die Ausführungen des EuGH in C-634/21, Rn. 65).
76 Den Ausführungen im zitierten Urteil des EuGH zufolge stellt eine automatisierte Datenverarbeitung wie Profiling selbst eine „automatisierte Entscheidung im Einzelfall“ im Sinne des Art. 22 Abs. 1 DSGVO dar, wenn das Ergebnis dieser automatisierten Verarbeitung für eine bestimmte weitere Entscheidung insofern maßgeblich ist, als das Handeln des Dritten von dem betreffenden Profiling „maßgeblich geleitet“ wird, und so den Betroffenen erheblich beeinträchtigt (vgl. die Ausführungen des EuGH in C 634/21, Rn. 48 und 73).
77 5.4.3. Fallbezogen ergibt sich daraus Folgendes:
78 5.4.3.1. Zunächst ist darauf zu verweisen, dass an der Einordnung der von der mP angewendeten automatisierten, auf Basis eines mathematisch-statistischen Programms erfolgenden Verarbeitung der personenbezogenen Daten der betroffenen Arbeitssuchenden (in AMAS) als „Profiling“ im Sinne des Art. 4 Z 4 DSGVO nach dem Maßstab der Rechtsprechung des EuGH in C 634/21 nicht zu zweifeln ist.
79 Nun ist den Ausführungen des EuGH zufolge bereits die automatisierte Verarbeitung hier die Ermittlung des IC Werts, der die Wahrscheinlichkeit der Integration in den Arbeitsmarkt ermittelt selbst (bereits) als eine „automatisierte Entscheidung“ im Sinne des Art. 22 Abs. 1 DSGVO anzusehen, sofern dieser Wahrscheinlichkeitswert maßgeblich die Zuordnung in die vorgesehenen KundInnengruppen bestimmt, und so den betroffenen Arbeitssuchenden gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
80 Dass die Letztentscheidung über die KundInnengruppenzuordnung bei den BeraterInnen der mP liege, vermag damit die Qualifikation des AMAS als eine automatisierte Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO nicht zu hindern, liegt dem Urteil des EuGH ja auch der Sachverhalt zugrunde, dass letztlich der potentielle Kreditgeber über die Frage des Zustandekommens des dort zur Rede stehenden Kreditvertrages entscheidet. Die womöglich rein formale Abtrennung der von der automatisierten Datenverarbeitung maßgeblich beeinflussten Entscheidung von der automatisierten Datenverarbeitung selbst, hindert die Einordnung Letzterer als vor dem Hintergrund des Art. 22 DSGVO grundsätzlich verbotene Entscheidung nämlich gerade nicht (vgl. nochmals EuGH C 634/21, Rn. 73). Die Feststellung des BVwG, dass durch Handlungsanleitungen und Schulungen sichergestellt worden sei, dass die BeraterInnen der mP das Ergebnis des Algorithmus nicht unhinterfragt übernehmen würden, mag nun zwar die Annahme rechtfertigen, die Einordnung in die jeweilige KundInnengruppe erfolge nicht ausschließlich aufgrund des AMAS. Diese Feststellung schließt aber nicht aus, dass AMAS als automatisierte Entscheidung letztlich maßgeblich für diese Einordnung ist.
81 Da das BVwG ausgehend von seiner vor dem Hintergrund des Urteils des EuGH als unzutreffend anzusehenden Rechtsansicht keine Feststellungen zur genauen Verwendung des AMAS insbesondere keine konkreten Feststellungen zur Frage, welche anderen Parameter in welchem Ausmaß Berücksichtigung finden, bzw. welche Vorgangsweise bei der Verwertung des AMAS vorgesehen ist getroffen hat, kann bereits die Frage der Maßgeblichkeit der automatisierten Verarbeitung im vorliegenden Fall nicht erschöpfend rechtlich beurteilt werden.
82 5.4.3.2. Sollte die Verwendung des AMAS unter den Tatbestand des Art. 22 Abs. 1 DSGVO fallen, hätte dies zur Folge, dass sie verboten ist, es sei denn, eine der in Art. 22 Abs. 2 DSGVO genannten Ausnahmen ist anwendbar und die besonderen Anforderungen von Art. 22 Abs. 3 und 4 DSGVO sind erfüllt.
83 Art. 22 Abs. 2 lit. b DSGVO enthält eine Öffnungsklausel, die es der Union und den Mitgliedstaaten eröffnet, Rechtsvorschriften für automatisierte Entscheidungen zu schaffen. Die betreffenden rechtfertigenden nationalen Rechtsvorschriften müssten jedoch den Erlass der automatisierten Entscheidung im Einzelfall erlauben und zudem angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten (vgl. die Ausführungen des EuGH in C-634/21, Rn. 65). Ferner müssten diese den Anforderungen der Art. 5 und 6 DSGVO in deren Auslegung durch die Rechtsprechung des Gerichtshofs genügen (vgl. wiederum EuGH C-634/21, Rn. 68).
84Das AMSG enthält nun ersichtlich keine Vorschrift, die in Hinblick auf die fallbezogene Verarbeitung den AMAS den Rechtfertigungstatbestand des Art. 22 Abs. 2 lit. b DSGVO erfüllen würde.
85 Zwar versteht die DSGVO unter „Rechtsgrundlage“ und demnach auch unter „Rechtsvorschrift“ in Art. 22 Abs. 2 lit. b DSGVO dem Erwägungsgrund 41 zufolge nicht notwendigerweise einen „von einem Parlament angenommenen Gesetzgebungsakt“. Ob jedoch für die Anwendung von AMAS eine dieses Profiling rechtfertigende, den Ansprüchen des Erwägungsgrundes 41 hinsichtlich Klarheit, Präzision und Vorhersehbarkeit genügende rechtliche Grundlage existiert, die den Anforderungen des EuGH zur Öffnungsklausel gerecht wird (vgl. wiederum C-634/21, Rn. 65 und 68), wurde vom BVwG ausgehend von der Rechtsansicht, AMAS stelle keine automatisierte Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO dar nicht geprüft.
86 5.5.Der Revision war nach dem oben Gesagten im Ergebnis Folge zu geben und das angefochtene Erkenntnis infolge Vorliegens der unter Punkt 5.4. aufgezeigten sekundären Feststellungsmängel wegen Rechtswidrigkeit des Inhalts gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.
87 Das BVwG wird im fortgesetzten Verfahren im Rahmen einer mündlichen Verhandlung vor dem Hintergrund der unter Punkt 5.4. dargestellten Rechtslage mit den Parteien die Rechtslage zu erörtern und diesen Gelegenheit zur Stellungnahme bzw. zu ergänzendem Tatsachenvorbringen zu geben haben.
Wien, am 21. Dezember 2023
Rückverweise
RIS