Entscheidungsdatum
18.12.2020Norm
AMSG §25Spruch
W256 2235360-1/5E, W256 2235360-1/5E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline Kimm als Vorsitzende, der fachkundigen Laienrichterin Dr. Claudia Rosenmayr-Klemenz und dem fachkundigen Laienrichter Mag. Matthias Schachner als Beisitzer über die Beschwerde des Arbeitsmarktservice Österreich, vertreten durch die Brauneis Klauser Prändl Rechtsanwälte GmbH in 1010 Wien, Bauernmarkt 2, gegen den Bescheid der Datenschutzbehörde vom 16. August 2020, GZ: DSB-D213.1020, 2020-0.513.605, zu Recht erkannt:
A) Der Beschwerde wird gemäß § 28 Abs 1 und 2 VwGVG Folge gegeben und der Bescheid ersatzlos behoben.A) Der Beschwerde wird gemäß Paragraph 28, Absatz eins und 2 VwGVG Folge gegeben und der Bescheid ersatzlos behoben.
B) Die Revision ist gemäß Art 133 Abs 4 B-VG zulässig. B) Die Revision ist gemäß Artikel 133, Absatz 4, B-VG zulässig.
,
Text
Entscheidungsgründe:, Entscheidungsgründe:
I. Verfahrensgangrömisch eins. Verfahrensgang
Mit Schreiben vom 10. März 2020 teilte die belangte Behörde dem Arbeitsmarktservice Österreich (im Folgenden: Arbeitsmarktservice) mit, dass sie sein Vorhaben, die Arbeitsmarktchancen von Arbeitssuchenden unter Einsatz eines mathematischen Modells (medial bekannt als „AMS-Algorithmus“) zu berechnen, zum Anlass genommen habe, ein amtswegiges Prüfverfahren gemäß Art 57 Abs 1 lit h iVm Art 58 Abs 1 lit b und Abs 2 lit a DSGVO iVm § 22 Abs 1 DSG einzuleiten und wurde das Arbeitsmarktservice zur Beantwortung näher dargestellter Fragen und zur Stellungnahme aufgefordert. Mit Schreiben vom 10. März 2020 teilte die belangte Behörde dem Arbeitsmarktservice Österreich (im Folgenden: Arbeitsmarktservice) mit, dass sie sein Vorhaben, die Arbeitsmarktchancen von Arbeitssuchenden unter Einsatz eines mathematischen Modells (medial bekannt als „AMS-Algorithmus“) zu berechnen, zum Anlass genommen habe, ein amtswegiges Prüfverfahren gemäß Artikel 57, Absatz eins, Litera h, in Verbindung mit Artikel 58, Absatz eins, Litera b und Absatz 2, Litera a, DSGVO in Verbindung mit Paragraph 22, Absatz eins, DSG einzuleiten und wurde das Arbeitsmarktservice zur Beantwortung näher dargestellter Fragen und zur Stellungnahme aufgefordert.
Dieser Aufforderung ist das Arbeitsmarktservice mit Schreiben vom 11. August 2020 unter gleichzeitiger Vorlage diverser Unterlagen in Bezug auf das in Rede stehende Vorhaben „Arbeitsmarktchancen Assistenz-System“ (im Folgenden: AMAS) nachgekommen. Konkret wurde ua ein Auszug aus der Bundesrichtlinie des Arbeitsmarktservice „Kernprozess Arbeitskräfte unterstützen“ sowie ein Handbuch zu AMAS vorgelegt.
Mit dem angefochtenen Bescheid wurde dem Arbeitsmarktservice in Spruchpunkt I. „die Datenverarbeitung im Zusammenhang mit der Ermittlung von Arbeitsmarktchancen von arbeitssuchenden Personen unter Zuhilfenahme des Arbeitsmarktchancen Assistenz-System (,AMAS‘) mit Wirkung vom 1. Jänner 2021 untersagt, sofern bis zu diesem Zeitpunkt keine geeignete Rechtsgrundlage für die Datenverarbeitung vorliegt“ sowie wurde darin in Spruchpunkt II. die aufschiebende Wirkung einer allfällig rechtzeitig eingebrachten und zulässigen Beschwerde ausgeschlossen.Mit dem angefochtenen Bescheid wurde dem Arbeitsmarktservice in Spruchpunkt römisch eins. „die Datenverarbeitung im Zusammenhang mit der Ermittlung von Arbeitsmarktchancen von arbeitssuchenden Personen unter Zuhilfenahme des Arbeitsmarktchancen Assistenz-System (,AMAS‘) mit Wirkung vom 1. Jänner 2021 untersagt, sofern bis zu diesem Zeitpunkt keine geeignete Rechtsgrundlage für die Datenverarbeitung vorliegt“ sowie wurde darin in Spruchpunkt römisch zwei. die aufschiebende Wirkung einer allfällig rechtzeitig eingebrachten und zulässigen Beschwerde ausgeschlossen.
Begründend führte die belangte Behörde im Wesentlichen aus, dass Prüfgegenstand des von ihr eingeleiteten amtswegigen Verfahrens die Zulässigkeit der genannten Datenverarbeitung gemäß Art 5 ff DSGVO sowie die Umsetzung der damit verbundenen Pflichten eines Verantwortlichen gewesen sei und habe die belangte Behörde dazu ein Ermittlungsverfahren durchgeführt. Prüfgegenstand des angefochtenen Bescheids sei „nunmehr die Frage, ob die Datenverarbeitung des Verantwortlichen im Zusammenhang mit der Ermittlung von Arbeitsmarktchancen von arbeitssuchenden Personen mit Hilfe des Arbeitsmarktchancen Assistenz-System (,AMAS‘) rechtmäßig durchgeführt [werde], die Datenverarbeitung also den Grundsätzen gemäß Art. 5 DSGVO [entspreche] und mindestens eine Bedingung gemäß Art. 6 Abs. 1 iVm Art. 9 Abs. 2 DSGVO leg. cit. erfüllt [sei]. Sofern von einer unrechtmäßigen Datenverarbeitung und somit von einem Verstoß gegen die DSGVO auszugehen [sei], [stelle] sich schließlich die Frage, welche Abhilfebefugnisse gemäß Art. 58 Abs. 2 der Verordnung in Betracht kommen [würden], um den Verstoß zu beseitigen.“Begründend führte die belangte Behörde im Wesentlichen aus, dass Prüfgegenstand des von ihr eingeleiteten amtswegigen Verfahrens die Zulässigkeit der genannten Datenverarbeitung gemäß Artikel 5, ff DSGVO sowie die Umsetzung der damit verbundenen Pflichten eines Verantwortlichen gewesen sei und habe die belangte Behörde dazu ein Ermittlungsverfahren durchgeführt. Prüfgegenstand des angefochtenen Bescheids sei „nunmehr die Frage, ob die Datenverarbeitung des Verantwortlichen im Zusammenhang mit der Ermittlung von Arbeitsmarktchancen von arbeitssuchenden Personen mit Hilfe des Arbeitsmarktchancen Assistenz-System (,AMAS‘) rechtmäßig durchgeführt [werde], die Datenverarbeitung also den Grundsätzen gemäß Artikel 5, DSGVO [entspreche] und mindestens eine Bedingung gemäß Artikel 6, Absatz eins, in Verbindung mit Artikel 9, Absatz 2, DSGVO leg. cit. erfüllt [sei]. Sofern von einer unrechtmäßigen Datenverarbeitung und somit von einem Verstoß gegen die DSGVO auszugehen [sei], [stelle] sich schließlich die Frage, welche Abhilfebefugnisse gemäß Artikel 58, Absatz 2, der Verordnung in Betracht kommen [würden], um den Verstoß zu beseitigen.“
Der zugrundliegende Sachverhalt stehe aufgrund der unbestrittenen Ausführungen des Arbeitsmarktservice in seiner Stellungnahme vom 11. August 2020 fest. Demnach habe dieses das vorliegende Vorhaben seit Ende des Jahres 2018 schrittweise eingeführt und sollten dadurch die Berater/die Beraterinnen bei der Einschätzung der Arbeitsmarktchancen unterstützt und damit eine effizientere Nutzung der Ressourcen sichergestellt werden. Konkret würden damit die Wahrscheinlichkeiten für aktuell vorgemerkte Kunden/Kundinnen (Arbeitssuchende) innerhalb eines bestimmten Zeitraumes berechnet, in der Zukunft eine bestimmte Anzahl von Tagen beschäftigt zu sein. Dazu werde aus bestimmten Merkmalen eine sogenannte Integrationschance (in der Folge: IC) errechnet. Die IC werde erhoben, indem zwischen einer kurzfristigen und einer langfristigen Arbeitsmarktchance unterschieden werde. Bei einer zumindest 66 % Wahrscheinlichkeit der Erreichung einer kurzfristigen Arbeitsmarktchance hätten Arbeitssuchende hohe Arbeitsmarktchancen. Werde für einen Arbeitssuchenden eine nicht einmal 25 %-ige Wahrscheinlichkeit berechnet, langfristig eine Arbeit aufzunehmen, dann würden niedrige Arbeitsmarktchancen vorliegen. Bei Arbeitssuchenden, deren Werte dazwischenliegen würden, würden mittlere Arbeitsmarktchancen ausgewiesen werden.
Zur Berechnung der Arbeitsmarktchancen anhand dieses Vorhabens würden folgende Datenkategorien der Arbeitssuchenden verarbeitet werden und zwar:
- Altersgruppe
- Geschlecht
- Staatengruppe
- Ausbildung
- Gesundheitliche Beeinträchtigungen
- Betreuungspflichten
- Berufsgruppe
- Vorkarriere (im Ausmaß von maximal vier Jahren vor Eintritt der Arbeitslosigkeit)
- Regionales Arbeitsmarktgeschehen
- Dauer des Geschäftsfalles.
Die Letztentscheidung über die Arbeitsmarktchance und damit die Vergabe von Fördermitteln liege bei dem jeweiligen Berater/den jeweiligen Beraterinnen. Zur Sicherstellung, dass das seitens des AMAS errechnete Ergebnis nicht unhinterfragt von den Beratern/den Beraterinnen übernommen werde, habe das Arbeitsmarktservice Richtlinien und Handlungsanleitungen erstellt sowie Schulungen durchgeführt. Den Beratern/Beraterinnen sei von Seiten des Arbeitsmarktservice vermittelt worden, dass AMAS nur eine von mehreren Informationsgrundlagen sei. Auch hätten die Berater/die Beraterinnen ihre Letztentscheidung zu begründen und zu dokumentieren und werde sowohl das seitens AMAS errechnete Ergebnis, als auch das Letztergebnis der Berater/der Beraterinnen den Arbeitssuchenden zur Verfügung gestellt. Die durchschnittliche Beratungszeit betrage für Arbeitssuchende für den Erstkontakt, als auch die monatlichen Folgekontakte ungefähr 30 Minuten. Insbesondere in östlichen Bundesländern könne es aber auch zu einer verkürzten Beratungszeit von zehn Minuten kommen.
Rechtlich führte die belangte Behörde aus, dass die unter Zuhilfenahme von AMAS erfolgte Datenverarbeitung im Rahmen der Wahrnehmung der dem Arbeitsmarktservice gemäß § 1 Abs 1 AMSG übertragenen öffentlichen Aufgaben und nicht im Bereich der Privatwirtschaftsverwaltung erfolge. Für eine Behörde sei es aber nach § 1 Abs 2 DSG erforderlich, dass sich ihre Datenverarbeitung auf eine hinreichend determinierte gesetzliche Ermächtigung stütze. Das Arbeitsmarktservice habe seine Berechtigung auf die §§ 25 Abs 1, 29 und 31 Abs 5 AMSG gestützt. „Wenngleich dies nicht strittig [sei], [sei] in gebotener Kürze festzuhalten, dass die Durchführung der Arbeitsmarktpolitik zweifelsohne ein öffentliches Interesse darstell[e]. Die automatisierte Berechnung von Arbeitsmarktchancen unter Zuhilfenahme neuer Technologien und ein effizienter Einsatz der Ressourcen, die dem Verantwortlichen zur Verfügung [stünden], [könnten] ganz grundsätzlich auch im Sinne des Art. 8 Abs. 2 EMRK als erforderlich gewertet werden.“ Rechtlich führte die belangte Behörde aus, dass die unter Zuhilfenahme von AMAS erfolgte Datenverarbeitung im Rahmen der Wahrnehmung der dem Arbeitsmarktservice gemäß Paragraph eins, Absatz eins, AMSG übertragenen öffentlichen Aufgaben und nicht im Bereich der Privatwirtschaftsverwaltung erfolge. Für eine Behörde sei es aber nach Paragraph eins, Absatz 2, DSG erforderlich, dass sich ihre Datenverarbeitung auf eine hinreichend determinierte gesetzliche Ermächtigung stütze. Das Arbeitsmarktservice habe seine Berechtigung auf die Paragraphen 25, Absatz eins, 29 und 31 Absatz 5, AMSG gestützt. „Wenngleich dies nicht strittig [sei], [sei] in gebotener Kürze festzuhalten, dass die Durchführung der Arbeitsmarktpolitik zweifelsohne ein öffentliches Interesse darstell[e]. Die automatisierte Berechnung von Arbeitsmarktchancen unter Zuhilfenahme neuer Technologien und ein effizienter Einsatz der Ressourcen, die dem Verantwortlichen zur Verfügung [stünden], [könnten] ganz grundsätzlich auch im Sinne des Artikel 8, Absatz 2, EMRK als erforderlich gewertet werden.“
Allerdings sei es zusätzlich zur Einhaltung der jeweiligen Gesetzesvorbehalte erforderlich, dass der Eingriff in das Grundrecht auf Datenschutz nur auf Grundlage eines hinreichend bestimmten Gesetzes erfolge. Dies gehe auch aus der Rechtsprechung des EGMR und des VfGH zur Rechtslage vor der DSGVO hervor. Auch Erwägungsgrund 41 2. Satz der DSGVO führe aus, dass eine entsprechende Rechtsgrundlage „klar und präzise“ und „ihre Anwendung für die Rechtsunterworfenen vorhersehbar“ sein müsse.
Die vom Arbeitsmarktservice genannten §§ 29 und 31 Abs 5 AMSG würden nur allgemein das Ziel und die Aufgabenerfüllung des Arbeitsmarktservice festlegen, nicht jedoch dieses zu einer Datenverarbeitung ermächtigen. Aber auch die Bestimmung des § 25 AMSG würde nur taxativ Datenkategorien aufzählen, welche das Arbeitsmarktservice im Rahmen seiner Aufgabenerfüllung verarbeiten dürfe. Die vom Arbeitsmarktservice genannten Paragraphen 29 und 31 Absatz 5, AMSG würden nur allgemein das Ziel und die Aufgabenerfüllung des Arbeitsmarktservice festlegen, nicht jedoch dieses zu einer Datenverarbeitung ermächtigen. Aber auch die Bestimmung des Paragraph 25, AMSG würde nur taxativ Datenkategorien aufzählen, welche das Arbeitsmarktservice im Rahmen seiner Aufgabenerfüllung verarbeiten dürfe.
Bei der in Rede stehenden Datenverarbeitung handle es sich um Profiling im Sinne des Art 4 Z 4 DSGVO. Für den durchschnittlichen Rechtsunterworfenen sei zwar nachvollziehbar, dass das Arbeitsmarktservice einige in § 25 Abs 1 AMSG genannte Daten zwangsläufig verarbeiten müsse, damit gewisse Leistungen, wie z.B. die Bearbeitung eines Antrages für den Bezug von gewissen Leistungen aus der Arbeitslosenversicherung erbracht werden können, so wie das auch vor Einführung des AMAS der Fall gewesen sei. Nicht nachvollziehbar sei es für den Rechtsunterworfenen jedoch allein aufgrund der Bestimmung des § 25 Abs 1 AMSG, dass diese Daten „zum Zwecke eines derart eingriffsintensiven Profiling verarbeitet werden“. Das Arbeitsmarktservice schaffe durch die „vollautomatisierte Verarbeitung der in § 25 Abs. 1 AMSG aufgezählten Datenkategorien in Form von Profiling“ einen „informationellen Mehrwert“, sodass über die Art und Weise, wie dieser Mehrwert zustande komme, im Gesetz Bezug genommen werden müsse. Die vorliegende Datenverarbeitung könne daher auf keine – vom Arbeitsmarktservice genannte – geeignete gesetzliche Rechtsgrundlage im Sinne des § 1 Abs 2 DSG iVm Art 6 Abs 1 lit c und e sowie Art 9 Abs 2 lit h DSGVO gestützt werden und sei – da es sich im vorliegenden Fall um eine Behörde handle – auch keine andere Rechtsgrundlage nach Art 6 und Art 9 DSGVO ersichtlich. Bei der in Rede stehenden Datenverarbeitung handle es sich um Profiling im Sinne des Artikel 4, Ziffer 4, DSGVO. Für den durchschnittlichen Rechtsunterworfenen sei zwar nachvollziehbar, dass das Arbeitsmarktservice einige in Paragraph 25, Absatz eins, AMSG genannte Daten zwangsläufig verarbeiten müsse, damit gewisse Leistungen, wie z.B. die Bearbeitung eines Antrages für den Bezug von gewissen Leistungen aus der Arbeitslosenversicherung erbracht werden können, so wie das auch vor Einführung des AMAS der Fall gewesen sei. Nicht nachvollziehbar sei es für den Rechtsunterworfenen jedoch allein aufgrund der Bestimmung des Paragraph 25, Absatz eins, AMSG, dass diese Daten „zum Zwecke eines derart eingriffsintensiven Profiling verarbeitet werden“. Das Arbeitsmarktservice schaffe durch die „vollautomatisierte Verarbeitung der in Paragraph 25, Absatz eins, AMSG aufgezählten Datenkategorien in Form von Profiling“ einen „informationellen Mehrwert“, sodass über die Art und Weise, wie dieser Mehrwert zustande komme, im Gesetz Bezug genommen werden müsse. Die vorliegende Datenverarbeitung könne daher auf keine – vom Arbeitsmarktservice genannte – geeignete gesetzliche Rechtsgrundlage im Sinne des Paragraph eins, Absatz 2, DSG in Verbindung mit Artikel 6, Absatz eins, Litera c und e sowie Artikel 9, Absatz 2, Litera h, DSGVO gestützt werden und sei – da es sich im vorliegenden Fall um eine Behörde handle – auch keine andere Rechtsgrundlage nach Artikel 6 und Artikel 9, DSGVO ersichtlich.
Davon abgesehen seien die genannten Rechtsgrundlagen auch deshalb nicht geeignet, weil ohnedies ein Fall des Art 22 DSGVO, nämlich einer automatisierten Einzelentscheidung vorliege. Es sei zwar einzuräumen, dass die Letztentscheidung aufgrund von internen Richtlinien des Arbeitsmarktservice bei den Beratern/den Beraterinnen liege. Diese internen Handlungsanweisungen an die Berater/die Beraterinnen würden allerdings keine „Außenwirkung“ und damit keine Bindung für die belangte Behörde entfalten. Insofern könnten sich Betroffene auch nicht rechtswirksam darauf berufen und damit eine nachprüfende Kontrolle auch nicht verlangen. Davon abgesehen seien die genannten Rechtsgrundlagen auch deshalb nicht geeignet, weil ohnedies ein Fall des Artikel 22, DSGVO, nämlich einer automatisierten Einzelentscheidung vorliege. Es sei zwar einzuräumen, dass die Letztentscheidung aufgrund von internen Richtlinien des Arbeitsmarktservice bei den Beratern/den Beraterinnen liege. Diese internen Handlungsanweisungen an die Berater/die Beraterinnen würden allerdings keine „Außenwirkung“ und damit keine Bindung für die belangte Behörde entfalten. Insofern könnten sich Betroffene auch nicht rechtswirksam darauf berufen und damit eine nachprüfende Kontrolle auch nicht verlangen.
Außerdem sei auch „nicht für alle Einzelfälle ausgeschlossen, dass – trotz der Zusicherung des Verantwortlichen – die BeraterInnen die Ergebnisse des AMAS bloß routinemäßig übernehmen“ würden. Für eine routinemäßige Übernahme spreche, dass die Beratungszeit – wie festgestellt – teilweise nur zehn Minuten betrage. Auch sei aufgrund von COVID-19 davon auszugehen, dass sich die Berater/die Beraterinnen vermehrt auf die Entscheidung von AMAS stützen werden. Da daher eine echte Aufsicht durch einen Menschen „nicht für alle Einzelfälle verbindlich (im Sinne einer Rechtsgarantie) angeordnet und damit auch nicht lückenlos gewährleistet“ sei, sei unter Bezugnahme auf die Leitlinien der Art 29 Datenschutzgruppe, wonach in Fällen, in denen automatisiert berechnete Ergebnisse bloß routinemäßig übernommen werden, von einer „automatisierten Entscheidung“ im Sinne des Art 22 DSGVO auszugehen sei, Art 22 DSGVO anzuwenden. Insofern müssten die Anforderungen des Art 22 Abs 4 DSGVO erfüllt und damit das Vorliegen einer Rechtsgrundlage im Sinne des Art 9 Abs 2 lit a oder lit g DSGVO gegeben sein. Dabei könne dem Verantwortlichen zwar nicht abgesprochen werden, dass er organisationsintern angemessene Maßnahmen zum Schutz der Arbeitssuchenden getroffen habe. Aus Art 9 Abs 2 lit g DSGVO gehe allerdings hervor, dass solche Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Personen im Gesetz selbst garantiert sein müssten. Eine Gesetzesbestimmung, die das Arbeitsmarktservice zur Errechnung der Arbeitsmarktchancen anhand von Profiling berechtige und die zusätzlich angemessene Garantien normiere, existiere allerdings nicht, weshalb das Arbeitsmarktservice die in Rede stehende Datenverarbeitung insgesamt auf keine geeignete Rechtsgrundlage stützen habe können. Insofern sei mit einem Verbot nach Art 58 Abs 2 lit f DSGVO in Spruchpunkt I. vorzugehen, wobei ausdrücklich festzuhalten sei, dass sich dieses Verbot ausschließlich auf die aktuelle Rechtslage beziehe. Sofern eine qualifizierte Rechtsgrundlage geschaffen werde, stehe es dem Arbeitsmarktservice offen, eine solche Datenverarbeitung durchzuführen. Ein Ausschluss der aufschiebenden Wirkung sei in Spruchpunkt II. deshalb erforderlich gewesen, da mit der flächendeckenden Einführung von AMAS im Jänner 2021 erhebliche Risiken zu erwarten seien. Außerdem sei auch „nicht für alle Einzelfälle ausgeschlossen, dass – trotz der Zusicherung des Verantwortlichen – die BeraterInnen die Ergebnisse des AMAS bloß routinemäßig übernehmen“ würden. Für eine routinemäßige Übernahme spreche, dass die Beratungszeit – wie festgestellt – teilweise nur zehn Minuten betrage. Auch sei aufgrund von COVID-19 davon auszugehen, dass sich die Berater/die Beraterinnen vermehrt auf die Entscheidung von AMAS stützen werden. Da daher eine echte Aufsicht durch einen Menschen „nicht für alle Einzelfälle verbindlich (im Sinne einer Rechtsgarantie) angeordnet und damit auch nicht lückenlos gewährleistet“ sei, sei unter Bezugnahme auf die Leitlinien der Artikel 29, Datenschutzgruppe, wonach in Fällen, in denen automatisiert berechnete Ergebnisse bloß routinemäßig übernommen werden, von einer „automatisierten Entscheidung“ im Sinne des Artikel 22, DSGVO auszugehen sei, Artikel 22, DSGVO anzuwenden. Insofern müssten die Anforderungen des Artikel 22, Absatz 4, DSGVO erfüllt und damit das Vorliegen einer Rechtsgrundlage im Sinne des Artikel 9, Absatz 2, Litera a, oder Litera g, DSGVO gegeben sein. Dabei könne dem Verantwortlichen zwar nicht abgesprochen werden, dass er organisationsintern angemessene Maßnahmen zum Schutz der Arbeitssuchenden getroffen habe. Aus Artikel 9, Absatz 2, Litera g, DSGVO gehe allerdings hervor, dass solche Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Personen im Gesetz selbst garantiert sein müssten. Eine Gesetzesbestimmung, die das Arbeitsmarktservice zur Errechnung der Arbeitsmarktchancen anhand von Profiling berechtige und die zusätzlich angemessene Garantien normiere, existiere allerdings nicht, weshalb das Arbeitsmarktservice die in Rede stehende Datenverarbeitung insgesamt auf keine geeignete Rechtsgrundlage stützen habe können. Insofern sei mit einem Verbot nach Artikel 58, Absatz 2, Litera f, DSGVO in Spruchpunkt römisch eins. vorzugehen, wobei ausdrücklich festzuhalten sei, dass sich dieses Verbot ausschließlich auf die aktuelle Rechtslage beziehe. Sofern eine qualifizierte Rechtsgrundlage geschaffen werde, stehe es dem Arbeitsmarktservice offen, eine solche Datenverarbeitung durchzuführen. Ein Ausschluss der aufschiebenden Wirkung sei in Spruchpunkt römisch zwei. deshalb erforderlich gewesen, da mit der flächendeckenden Einführung von AMAS im Jänner 2021 erhebliche Risiken zu erwarten seien.
Gegen diese Entscheidung richtet sich die vorliegende Beschwerde. Entgegen der Annahme der belangten Behörde setze Art 22 DSGVO lediglich voraus, dass eine Entscheidung ausschließlich auf einer automatisierten Entscheidung beruhe. Eine automatisierte Verarbeitung zur Unterstützung einer Entscheidung sei hingegen grundsätzlich zulässig und falle nicht in den Anwendungsbereich des Art 22 DSGVO. Obwohl die belangte Behörde im vorliegenden Fall selbst zugestehe, dass die Letztentscheidung über die Arbeitsmarktchancen bei den jeweiligen BeraterInnen verbleibe, gehe sie doch vom Vorliegen eines Falles des Art 22 DSGVO aus. Dies werde damit begründet, dass die – unter einem vorgelegten aktualisierten – Richtlinien des Arbeitsmarktservice „keinerlei Außenwirkung“ entfalten würden und sich Betroffene darauf nicht wirksam berufen könnten. Dazu sei allerdings festzuhalten, dass § 4 Abs 3 AMSG vorsehe, dass solche Richtlinien für alle Organe und Einrichtungen des Arbeitsmarktservice verbindlich seien. Die Mitarbeiter und Mitarbeiterinnen des Arbeitsmarktservice seien daher verpflichtet, diese einzuhalten. Bei der Annahme der belangten Behörde, eine routinemäßige Übernahme sei aufgrund der limitierten Beratungszeit nicht auszuschließen, entferne sich die belangte Behörde im Übrigen von ihren eigenen Feststellungen. Tatsächlich würden die Berater und Beraterinnen im vorliegenden Fall die Letztentscheidung treffen und seien sie dazu nicht nur an die Bundesrichtlinie und internen Handlungsanleitungen gebunden, sondern seien sie dazu auch eingehend geschult worden. Daraus gehe für den vorliegenden Fall hervor, dass im Zuge der automatisierten Verarbeitung mithilfe des AMS Algorithmus noch gar keine Entscheidung getroffen werde, der rechtliche Wirkung entfalten oder die Arbeitssuchenden in ähnlicher Weise beinträchtigen könnte. Der AMS Algorithmus zeige nur gewisse Wahrscheinlichkeiten im Hinblick auf die Arbeitsmarktchancen auf. Die eigentliche Förderentscheidung, die in die Betreuungsvereinbarung einfließe und damit rechtliche Wirkung entfalte, werde hingegen gesondert von den Beratern und Beraterinnen getroffen. Die von der belangten Behörde geforderte „echte Aufsicht“ durch einen Menschen sei daher im vorliegenden Fall erfüllt. Es mangle daher im vorliegenden Fall schon an dem Erfordernis einer ausschließlichen automatisierten Entscheidung, weshalb Art 22 DSGVO nicht anzuwenden und insofern auf Abs 4 dieser Bestimmung auch gar nicht einzugehen sei. Gegen diese Entscheidung richtet sich die vorliegende Beschwerde. Entgegen der Annahme der belangten Behörde setze Artikel 22, DSGVO lediglich voraus, dass eine Entscheidung ausschließlich auf einer automatisierten Entscheidung beruhe. Eine automatisierte Verarbeitung zur Unterstützung einer Entscheidung sei hingegen grundsätzlich zulässig und falle nicht in den Anwendungsbereich des Artikel 22, DSGVO. Obwohl die belangte Behörde im vorliegenden Fall selbst zugestehe, dass die Letztentscheidung über die Arbeitsmarktchancen bei den jeweiligen BeraterInnen verbleibe, gehe sie doch vom Vorliegen eines Falles des Artikel 22, DSGVO aus. Dies werde damit begründet, dass die – unter einem vorgelegten aktualisierten – Richtlinien des Arbeitsmarktservice „keinerlei Außenwirkung“ entfalten würden und sich Betroffene darauf nicht wirksam berufen könnten. Dazu sei allerdings festzuhalten, dass Paragraph 4, Absatz 3, AMSG vorsehe, dass solche Richtlinien für alle Organe und Einrichtungen des Arbeitsmarktservice verbindlich seien. Die Mitarbeiter und Mitarbeiterinnen des Arbeitsmarktservice seien daher verpflichtet, diese einzuhalten. Bei der Annahme der belangten Behörde, eine routinemäßige Übernahme sei aufgrund der limitierten Beratungszeit nicht auszuschließen, entferne sich die belangte Behörde im Übrigen von ihren eigenen Feststellungen. Tatsächlich würden die Berater und Beraterinnen im vorliegenden Fall die Letztentscheidung treffen und seien sie dazu nicht nur an die Bundesrichtlinie und internen Handlungsanleitungen gebunden, sondern seien sie dazu auch eingehend geschult worden. Daraus gehe für den vorliegenden Fall hervor, dass im Zuge der automatisierten Verarbeitung mithilfe des AMS Algorithmus noch gar keine Entscheidung getroffen werde, der rechtliche Wirkung entfalten oder die Arbeitssuchenden in ähnlicher Weise beinträchtigen könnte. Der AMS Algorithmus zeige nur gewisse Wahrscheinlichkeiten im Hinblick auf die Arbeitsmarktchancen auf. Die eigentliche Förderentscheidung, die in die Betreuungsvereinbarung einfließe und damit rechtliche Wirkung entfalte, werde hingegen gesondert von den Beratern und Beraterinnen getroffen. Die von der belangten Behörde geforderte „echte Aufsicht“ durch einen Menschen sei daher im vorliegenden Fall erfüllt. Es mangle daher im vorliegenden Fall schon an dem Erfordernis einer ausschließlichen automatisierten Entscheidung, weshalb Artikel 22, DSGVO nicht anzuwenden und insofern auf Absatz 4, dieser Bestimmung auch gar nicht einzugehen sei.
Davon abgesehen liege im vorliegenden Fall entgegen der Annahme der belangten Behörde auch kein Fall von hoheitlicher Tätigkeit vor, sondern werde AMAS für Tätigkeiten des Arbeitsmarktservice im privatwirtschaftlichen Bereich eingesetzt. Die Ausführungen der belangten Behörde in Bezug auf das Erfordernis einer gesetzlichen Grundlage nach § 1 Abs 2 DSG seien daher verfehlt. Unabhängig davon habe der Gesetzgeber in § 25 AMSG aber ohnedies eine ausreichend determinierte Rechtsgrundlage für eine solche Datenverarbeitung geschaffen. Es sei laut der belangten Behörde auch unbestritten, dass die Durchführung der Arbeitsmarktpolitik ein öffentliches Interesse darstelle und die automatisierte Berechnung von Arbeitsmarktchancen unter Zuhilfenahme neuer Technologien auch als erforderlich angesehen werden könne. Sofern die belangte Behörde jedoch bemängle, dass § 25 AMSG nicht ausreichend präzisiert sei, sei dem entgegen zu halten, dass § 25 AMSG das Arbeitsmarktservice dazu ermächtige, die dort genannten Datenarten zu verarbeiten, soweit die Datenverarbeitung zur Erfüllung der gesetzlichen Aufgaben des Arbeitsmarktservice eine wesentliche Voraussetzung sei. In den Gesetzesmaterialien zum Datenschutzanpassungsgesetz 2018 werde ausgeführt, dass es für die Erfüllung der Vielzahl an gesetzlich übertragenen Aufgaben des Arbeitsmarktservice zwingend einer entsprechend umfangreichen Verarbeitung von Datenarten bedürfe. § 25 AMSG ermögliche dem Arbeitsmarktservice insofern eine umfangreiche Verarbeitung von Datenarten. Der Umfang richte sich nach den dem Arbeitsmarktservice konkret übertragenen Aufgaben. Die Ansicht der belangten Behörde, dass die konkrete Verarbeitungstätigkeit bereits im Gesetz hinreichend genau beschrieben sein müsse, gehe im Übrigen auch aus Art 6 Abs 1 lit e DSGVO nicht hervor. Die Beurteilung der Arbeitsmarktchancen der arbeitssuchenden Person sei ein wesentlicher Bestandteil der Leistung des Arbeitsmarktservice und werde dies in § 29 AMSG auch ausdrücklich angeführt. Eine solche Beurteilung sei auch schon vor Einführung des AMS Algorithmus von den Beratern/ den Beraterinnen des Arbeitsmarktservice für jeden einzelnen Betreuungsfall vorgenommen worden. Mithilfe des AMS Algorithmus solle dieser Vorgang nunmehr lediglich vereinheitlicht werden und zwar mit dem Ziel, die Arbeitsmarktchancen basierend auf statistischen Daten möglichst genau abzubilden und Arbeitskräfte bestmöglich zu vermitteln und betreuen zu können. Sofern die belangte Behörde schließlich aus der gesonderten Erwähnung von Profiling neben dem Begriff der Verarbeitung offenbar ableiten wolle, dass der Gesetzgeber die Zulässigkeit von Profiling gesondert regeln wolle und hierfür eine gezielte Rechtsgrundlage fordere, könne dies nicht überzeugen. So handle es sich bei Profiling unstrittig lediglich um eine Form der Verarbeitung. Wenn daher § 25 AMSG zur Verarbeitung berechtige, schließe dies auch Profiling mit ein. Lediglich für eine auf Profiling beruhende ausschließliche automatisierte Entscheidungsfindung normiere der Gesetzgeber in Art 22 DSGVO verschärfte Regelungen. Eine solche finde im vorliegenden Fall jedoch nicht statt, weshalb für ein solches „einfaches“ Profiling die allgemeinen Regelungen der Art 6 und 9 DSGVO genügen würden. Wie bereits ausgeführt, habe das Arbeitsmarktservice immer schon Bewertungen der Arbeitschancen vorgenommen. Weshalb diese Bewertung durch den Einsatz von Profiling „eingriffsintensiver“ und einen „informationelle Mehrwert“ schaffen solle, sei nicht ersichtlich. Die Durchführung einer mündlichen Verhandlung werde ausdrücklich beantragt, weil im vorliegenden Fall – sofern es nicht zu einer Aufhebung komme – Tatsachen- und auch Rechtsfragen zu beurteilen seien, deren Lösung eine mündliche Verhandlung erfordere. Davon abgesehen liege im vorliegenden Fall entgegen der Annahme der belangten Behörde auch kein Fall von hoheitlicher Tätigkeit vor, sondern werde AMAS für Tätigkeiten des Arbeitsmarktservice im privatwirtschaftlichen Bereich eingesetzt. Die Ausführungen der belangten Behörde in Bezug auf das Erfordernis einer gesetzlichen Grundlage nach Paragraph eins, Absatz 2, DSG seien daher verfehlt. Unabhängig davon habe der Gesetzgeber in Paragraph 25, AMSG aber ohnedies eine ausreichend determinierte Rechtsgrundlage für eine solche Datenverarbeitung geschaffen. Es sei laut der belangten Behörde auch unbestritten, dass die Durchführung der Arbeitsmarktpolitik ein öffentliches Interesse darstelle und die automatisierte Berechnung von Arbeitsmarktchancen unter Zuhilfenahme neuer Technologien auch als erforderlich angesehen werden könne. Sofern die belangte Behörde jedoch bemängle, dass Paragraph 25, AMSG nicht ausreichend präzisiert sei, sei dem entgegen zu halten, dass Paragraph 25, AMSG das Arbeitsmarktservice dazu ermächtige, die dort genannten Datenarten zu verarbeiten, soweit die Datenverarbeitung zur Erfüllung der gesetzlichen Aufgaben des Arbeitsmarktservice eine wesentliche Voraussetzung sei. In den Gesetzesmaterialien zum Datenschutzanpassungsgesetz 2018 werde ausgeführt, dass es für die Erfüllung der Vielzahl an gesetzlich übertragenen Aufgaben des Arbeitsmarktservice zwingend einer entsprechend umfangreichen Verarbeitung von Datenarten bedürfe. Paragraph 25, AMSG ermögliche dem Arbeitsmarktservice insofern eine umfangreiche Verarbeitung von Datenarten. Der Umfang richte sich nach den dem Arbeitsmarktservice konkret übertragenen Aufgaben. Die Ansicht der belangten Behörde, dass die konkrete Verarbeitungstätigkeit bereits im Gesetz hinreichend genau beschrieben sein müsse, gehe im Übrigen auch aus Artikel 6, Absatz eins, Litera e, DSGVO nicht hervor. Die Beurteilung der Arbeitsmarktchancen der arbeitssuchenden Person sei ein wesentlicher Bestandteil der Leistung des Arbeitsmarktservice und werde dies in Paragraph 29, AMSG auch ausdrücklich angeführt. Eine solche Beurteilung sei auch schon vor Einführung des AMS Algorithmus von den Beratern/ den Beraterinnen des Arbeitsmarktservice für jeden einzelnen Betreuungsfall vorgenommen worden. Mithilfe des AMS Algorithmus solle dieser Vorgang nunmehr lediglich vereinheitlicht werden und zwar mit dem Ziel, die Arbeitsmarktchancen basierend auf statistischen Daten möglichst genau abzubilden und Arbeitskräfte bestmöglich zu vermitteln und betreuen zu können. Sofern die belangte Behörde schließlich aus der gesonderten Erwähnung von Profiling neben dem Begriff der Verarbeitung offenbar ableiten wolle, dass der Gesetzgeber die Zulässigkeit von Profiling gesondert regeln wolle und hierfür eine gezielte Rechtsgrundlage fordere, könne dies nicht überzeugen. So handle es sich bei Profiling unstrittig lediglich um eine Form der Verarbeitung. Wenn daher Paragraph 25, AMSG zur Verarbeitung berechtige, schließe dies auch Profiling mit ein. Lediglich für eine auf Profiling beruhende ausschließliche automatisierte Entscheidungsfindung normiere der Gesetzgeber in Artikel 22, DSGVO verschärfte Regelungen. Eine solche finde im vorliegenden Fall jedoch nicht statt, weshalb für ein solches „einfaches“ Profiling die allgemeinen Regelungen der Artikel 6 und 9 DSGVO genügen würden. Wie bereits ausgeführt, habe das Arbeitsmarktservice immer schon Bewertungen der Arbeitschancen vorgenommen. Weshalb diese Bewertung durch den Einsatz von Profiling „eingriffsintensiver“ und einen „informationelle Mehrwert“ schaffen solle, sei nicht ersichtlich. Die Durchführung einer mündlichen Verhandlung werde ausdrücklich beantragt, weil im vorliegenden Fall – sofern es nicht zu einer Aufhebung komme – Tatsachen- und auch Rechtsfragen zu beurteilen seien, deren Lösung eine mündliche Verhandlung erfordere.
Die belangte Behörde hat die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vorgelegt und eine Gegenschrift erstattet.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Beim Arbeitsmarktservice handelt es sich nach § 1 Abs 1 AMSG um ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit, welchem die Durchführung der Arbeitsmarktpolitik des Bundes obliegt. Beim Arbeitsmarktservice handelt es sich nach Paragraph eins, Absatz eins, AMSG um ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit, welchem die Durchführung der Arbeitsmarktpolitik des Bundes obliegt.
Um Arbeitskräfte bei der (Wieder-)Eingliederung in den Arbeitsmarkt zu unterstützen, werden vom Arbeitsmarktservice diverse Leistungen angeboten, welche ua von seinen Beratern und Beraterinnen umgesetzt werden (sollen).
Die nähere Vorgangsweise der Berater und Beraterinnen dazu wurde in der Bundesrichtlinie des Arbeitsmarktservice „Kernprozess Arbeitskräfte unterstützen“ (derzeit aktuell „Kernprozess Arbeitskräfte unterstützen mit Regelungen zu Physical Distancing“ vom 13. Juli 2020, GZ XXXX ) festgelegt.Die nähere Vorgangsweise der Berater und Beraterinnen dazu wurde in der Bundesrichtlinie des Arbeitsmarktservice „Kernprozess Arbeitskräfte unterstützen“ (derzeit aktuell „Kernprozess Arbeitskräfte unterstützen mit Regelungen zu Physical Distancing“ vom 13. Juli 2020, GZ römisch 40 ) festgelegt.
Darin wird ua festgehalten, dass Berater/Beraterinnen im Zuge eines Beratungsgesprächs mit dem Kunden/der Kundin deren Wünsche/Erwartungen, deren bisherigen Lebenslauf und die Ursachen für ihre Arbeitslosigkeit zu erörtern haben. Auch sollen dabei die Arbeitsmarktchancen des Arbeitssuchenden thematisiert und erörtert werden.
Um die Berater/Beraterinnen bei der Einschätzung der Arbeitsmarktchancen von Arbeitssuchenden zu unterstützen, hat das Arbeitsmarktservice seit 2016 ein Konzept für die Berechnung der Arbeitsmarktchancen von Arbeitssuchenden entwickelt (AMAS). Dieses Modell wird von Beratern/Beraterinnen des Arbeitsmarktservice bereits herangezogen. Ab 1.1.2021 soll es verpflichtend eingesetzt werden.
Konkret wird bei AMAS anhand eines Algorithmus (AMAS Algorithmus) die Wahrscheinlichkeit für aktuell vorgemerkte Kunden bzw. Kundinnen innerhalb eines bestimmten Zeitraumes in der Zukunft eine bestimmte Anzahl von Tagen beschäftigt zu sein, automatisiert berechnet. Dazu wird aus den folgenden Daten eine sogenannte IC errechnet:
- Altersgruppe
- Geschlecht
- Staatengruppe
- Ausbildung
- Gesundheitliche Beeinträchtigung
- Betreuungspflichten
- Berufsgruppe
- Vorkarriere
- Regionales Arbeitsmarktgeschehen
- Dauer des Geschäftsfalles beim AMS
Auf Basis der errechneten IC erfolgt eine Einteilung in folgende Gruppen:
- ServicekundInnen mit Arbeitsmarktchancen hoch
- BetreuungskundInnen mit Arbeitsmarktchancen niedrig
- BeratungskundInnen mit Arbeitsmarktchancen mittel
Die Ergebnisse des AMAS sollen im Beratungsprozess genutzt werden und für die Berater und Beraterinnen ein Ausgangspunkt sein, um gemeinsam mit dem Kunden und der Kundin eine Einschätzung der Potentiale und gegebenenfalls der Hindernisse bei der Arbeitsmarktintegration festzustellen.
Aufgrund dieser Auseinandersetzung ist die optimale Betreuungsstrategie (Förderungen und Betreuungsdienstleistungen) zu definieren. Hat der Kunde dezidiert eine andere Einschätzung zu den Arbeitsmarktchancen als die Beraterin/der Berater ist dies in der Betreuungsvereinbarung zu dokumentieren.
Die Letztentscheidung über die Zuordnung zu einer KundInnengruppe wird immer von den Beratern/Beraterinnen getroffen.
Als ausschlaggebend für eine Änderung der AMAS Ergebnisse von Seiten der Berater/Beraterinnen werden ua in der Richtlinie Kriterien genannt, die nicht von AMAS berücksichtigt werden können, wie Motivation und Selbsthilfepotential des Kunden/der Kundin, Sucht, Schulden, Wohnungssituation usw.
Erst nach erfolgter Auseinandersetzung mit dem Kunden/der Kundin soll die optimale Betreuungsstrategie (Förderungen und Betreuungsdienstleistungen) durch den Berater/die Beraterin anhand einer Betreuungsvereinbarung definiert werden.
Um sicherzustellen, dass die Berater und Beraterinnen AMAS nicht unhinterfragt übernehmen, hat das Arbeitsmarktservice neben den dargestellten Richtlinien auch entsprechende Handlungsanleitungen vorgegeben und Schulungen durchgeführt.
2. Beweiswürdigung:
Diese Feststellungen ergeben sich aus den von der belangten Behörde – auf Grundlage der vom Arbeitsmarktservice im Verfahren erstatteten Angaben und Vorlagen – getroffenen Feststellungen im angefochtenen Bescheid. Es bestehen von Seiten des Bundesverwaltungsgerichts keine Bedenken an der Richtigkeit dieser Feststellungen zu zweifeln und wurde dies im Übrigen auch von keiner Partei behauptet.
3. Rechtliche Beurteilung:
zum vorliegenden Prüfumfang:
Nach der Rechtsprechung des Verwaltungsgerichtshofes ist die "Sache" des Beschwerdeverfahrens durch die Sache des behördlichen Verfahrens, also die Angelegenheit, die den Gegenstand des behördlichen Verfahrens und des abschließenden Bescheids gebildet hat, begrenzt (vgl dazu ua VwGH 28.8.2017, Ra 2016/03/0078 mwH). "Sache" des Beschwerdeverfahrens vor dem Verwaltungsgericht kann insofern nur jene Angelegenheit bilden, die den Inhalt des Spruchs des vor dem Verwaltungsgericht angefochtenen Bescheids umfasst hat (siehe dazu VwGH 9.9.2015, Ro 2015/03/0032 mvwH). Dabei hat das Verwaltungsgericht, wenn es in der Sache selbst entscheidet, nicht nur die gegen den verwaltungsbehördlichen Bescheid eingebrachte Beschwerde, sondern auch die Angelegenheit zu erledigen, die von der Verwaltungsbehörde zu entscheiden war (vgl etwa VwGH 12.9.2018, Ra 2015/08/0032 mwN).Nach der Rechtsprechung des Verwaltungsgerichtshofes ist die "Sache" des Beschwerdeverfahrens durch die Sache des behördlichen Verfahrens, also die Angelegenheit, die den Gegenstand des behördlichen Verfahrens und des abschließenden Bescheids gebildet hat, begrenzt vergleiche dazu ua VwGH 28.8.2017, Ra 2016/03/0078 mwH). "Sache" des Beschwerdeverfahrens vor dem Verwaltungsgericht kann insofern nur jene Angelegenheit bilden, die den Inhalt des Spruchs des vor dem Verwaltungsgericht angefochtenen Bescheids umfasst hat (siehe dazu VwGH 9.9.2015, Ro 2015/03/0032 mvwH). Dabei hat das Verwaltungsgericht, wenn es in der Sache selbst entscheidet, nicht nur die gegen den verwaltungsbehördlichen Bescheid eingebrachte Beschwerde, sondern auch die Angelegenheit zu erledigen, die von der Verwaltungsbehörde zu entscheiden war vergleiche etwa VwGH 12.9.2018, Ra 2015/08/0032 mwN).
Im vorliegenden Fall hat die belangte Behörde von Amts wegen ein Prüfverfahren betreffend das „Vorhaben […] die Arbeitsmarktchancen unter Einsatz eines mathematischen Modells [...] zu berechnen“ eingeleitet.
Nach Art 57 Abs 1 lit a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl L 2016/119, 1 (im Folgenden: DSGVO) ist es auch ua Aufgabe der belangten Behörde die Anwendung und Durchsetzung dieser Verordnung in ihrem Hoheitsgebiet zu überwachen und durchzusetzen. Nach Artikel 57, Absatz eins, Litera a, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), Amtsblatt L 2016/119, 1 (im Folgenden: DSGVO) ist es auch ua Aufgabe der belangten Behörde die Anwendung und Durchsetzung dieser Verordnung in ihrem Hoheitsgebiet zu überwachen und durchzusetzen.
Dazu hat sie sich nicht nur mit Beschwerden betroffener Personen (nach Art 77 DSGVO) zu befassen (Art 57 Abs 1 lit f DSGVO), sondern auch Untersuchungen über die Anwendung dieser Verordnung durchzuführen und damit von Amts wegen zur Sicherstellung der Einhaltung der DSGVO einzuschreiten (Art 57 Abs 1 lit h DSGVO; vgl Selmayr in Ehmann/Selmayr, DS-GVO2, Art 57 Rz 6 ff). Dazu hat sie sich nicht nur mit Beschwerden betroffener Personen (nach Artikel 77, DSGVO) zu befassen (Artikel 57, Absatz eins, Litera f, DSGVO), sondern auch Untersuchungen über die Anwendung dieser Verordnung durchzuführen und damit von Amts wegen zur Sicherstellung der Einhaltung der DSGVO einzuschreiten (Artikel 57, Absatz eins, Litera h, DSGVO; vergleiche Selmayr in Ehmann/Selmayr, DS-GVO2, Artikel 57, Rz 6 ff).
Art 58 Abs 1 DSGVO räumt der belangten Behörde zur erforderlichen Klärung eines datenschutzrechtlich relevanten Sachverhaltes diverse Untersuchungsbefugnisse ein, wozu nach lit b die Durchführung von Datenschutzüberprüfungen zählt. Artikel 58, Absatz eins, DSGVO räumt der belangten Behörde zur erforderlichen Klärung eines datenschutzrechtlich relevanten Sachverhaltes diverse Untersuchungsbefugnisse ein, wozu nach Litera b, die Durchführung von Datenschutzüberprüfungen zählt.
Soweit die belangte Behörde im Zuge eines Verfahrens eine (beabsichtigte) Datenverarbeitung entgegen der DSGVO feststellt, werden ihr in Art 58 Abs 2 DSGVO umfassende Abhilfebefugnisse eingeräumt, wozu nach lit f auch die (hier gegenständliche) Möglichkeit der Verhängung eines Verbotes der Verarbeitung zählt. Soweit die belangte Behörde im Zuge eines Verfahrens eine (beabsichtigte) Datenverarbeitung entgegen der DSGVO feststellt, werden ihr in Artikel 58, Absatz 2, DSGVO umfassende Abhilfebefugnisse eingeräumt, wozu nach Litera f, auch die (hier gegenständliche) Möglichkeit der Verhängung eines Verbotes der Verarbeitung zählt.
Anders als in einem antragsgebundenen und damit jedenfalls auf eine Entscheidung gerichteten Beschwerdeverfahren nach Art 77 DSGVO kommt der belangten Behörde in einem amtswegig eingeleiteten Prüfverfahren folglich nur insoweit eine (bescheidmäßige) Entscheidungsbefugnis zu, als sie eine (beabsichtigte) Verarbeitung entgegen der DSGVO im Zuge einer Überprüfung festgestellt hat (siehe dazu Nemitz in Ehmann/Selmayr, DS-GVO², Art 77 Rz 18, wonach der Aufsichtsbehörde in einem Beschwerdeverfahren nach Art 77 DSGVO nicht nur die Feststellung der Rechtmäßigkeit oder Rechtswidrigkeit der Datenverarbeitung obliegt, sondern ihr auch die Abhilfebefugnisse nach Art 58 Abs 2 DSGVO zur Verfügung stehen.). Anders als in einem antragsgebundenen und damit jedenfalls auf eine Entscheidung gerichteten Beschwerdeverfahren nach Artikel 77, DSGVO kommt der belangten Behörde in einem amtswegig eingeleiteten Prüfverfahren folglich nur insoweit eine (bescheidmäßige) Entscheidungsbefugnis zu, als sie eine (beabsichtigte) Verarbeitung entgegen der DSGVO im Zuge einer Überprüfung festgestellt hat (siehe dazu Nemitz in Ehmann/Selmayr, DS-GVO², Artikel 77, Rz 18, wonach der Aufsichtsbehörde in einem Beschwerdeverfahren nach Artikel 77, DSGVO nicht nur die Feststellung der Rechtmäßigkeit oder Rechtswidrigkeit der Datenverarbeitung obliegt, sondern ihr auch die Abhilfebefugnisse nach Artikel 58, Absatz 2, DSGVO zur Verfügung stehen.).
Gegenstand eines in einem amtswegigen Verfahren erlassenen abschließenden Bescheids kann daher allein der im Zuge eines Prüfverfahrens festgestellte Verstoß und seine (angeordnete) Abhilfemaßnahme sein und muss – unter Zugrundlegung der obigen Rechtsprechung – dementsprechend auch der Prüfumfang des Verwaltungsgerichts darauf beschränkt sein (vgl demgegenüber VwGH 1.7.2020, Ro 2017/06/0030 zum antragsgebundenen Verfahren, wonach die Prüfungspflicht des Verwaltungsgerichts im Falle eines Bauvorhabens umfassend und nicht auf das Nichtvorliegen der von der Behörde herangezogenen Untersagungsgründe beschränkt ist.). Gegenstand eines in einem amtswegigen Verfahren erlassenen abschließenden Bescheids kann daher allein der im Zuge eines Prüfverfahrens festgestellte Verstoß und seine (angeordnete) Abhilfemaßnahme sein und muss – unter Zugrundlegung der obigen Rechtsprechung – dementsprechend auch der Prüfumfang des Verwaltungsgerichts darauf beschränkt sein vergleiche demgegenüber VwGH 1.7.2020, Ro 2017/06/0030 zum antragsgebundenen Verfahren, wonach die Prüfungspflicht des Verwaltungsgerichts im Falle eines Bauvorhabens umfassend und nicht auf das Nichtvorliegen der von der Behörde herangezogenen Untersagungsgründe beschränkt ist.).
Dies ist auch insofern erklärbar, als die in der DSGVO dem Verantwortlichen auferlegten Anforderungen an eine Datenverarbeitung nicht nur vielfältig, sondern diese auch losgelöst voneinander zu beurteilen sind und ihr Verstoß im Übrigen unterschiedliche Abhilfebefugnisse nach Art 58 Abs 2 DSGVO nach sich ziehen kann (siehe dazu Art 83 DSGVO, welcher in seinen Abs 3 und 4 die möglichen Verstöße in Zusammenhalt mit einer Datenverarbeitung zusammenfassend darstellt; siehe auch Art 83 Abs 3 DSGVO, der bei der in Art 58 Abs 2 lit i DSGVO normierten Abhilfemaßnahme der Verhängung einer Geldbuße [und auch hier nur] in Bezug auf die Strafhöhe als Sonderfall eine einheitliche Vorgangsweise bei mehreren [auf gleichen oder miteinander verbundenen Verarbeitungsvorgängen beruhenden] Verstößen vorsieht; siehe zu Art 83 Abs 3 DSGVO auch BVwG 12.3.2020, W256 2223922-1).Dies ist auch insofern erklärbar, als die in der DSGVO dem Verantwortlichen auferlegten Anforderungen an eine Datenverarbeitung nicht nur vielfältig, sondern diese auch losgelöst voneinander zu beurteilen sind und ihr Verstoß im Übrigen unterschiedliche Abhilfebefugnisse nach Artikel 58, Absatz 2, DSGVO nach sich ziehen kann (siehe dazu Artikel 83, DSGVO, welcher in seinen Absatz 3 und 4 die möglichen Verstöße in Zusammenhalt mit einer Datenverarbeitung zusammenfassend darstellt; siehe auch Artikel 83, Absatz 3, DSGVO, der bei der in Artikel 58, Absatz 2, Litera i, DSGVO normierten Abhilfemaßnahme der Verhängung einer Geldbuße [und auch hier nur] in Bezug auf die Strafhöhe als Sonderfall eine einheitliche Vorgangsweise bei mehreren [auf gleichen oder miteinander verbundenen Verarbeitungsvorgängen beruhenden] Verstößen vorsieht; siehe zu Artikel 83, Absatz 3, DSGVO auch BVwG 12.3.2020, W256 2223922-1).
Im Falle mehrerer im Zuge einer Datenüberprüfung festgestellter Verstöße gegen die DSGVO müsste die belangte Behörde diese daher nicht nur für sich allein gesondert beurteilen, sondern mitunter auch anhand unterschiedlicher Abhilfemaßnahmen nach Art 58 Abs 2 DSGVO tätig werden. Eine solche (erstmalige) Beurteilung von voneinander losgelösten Datenschutzverletzungen und deren Beseitigung kann aber im Rahmen eines amtswegigen Prüfverfahrens keinesfalls von der (oben dargestellten) Kognitionsbefugnis des Verwaltungsgerichts gedeckt sein (siehe dazu auch VwGH 28.1.2020, Ra 2019/03/0076, wonach die Prüfbefugnis der Verwaltungsgerichte in den Fällen einer Trennbarkeit der behördlichen Entscheidung weiter eingeschränkt ist, wenn in der Beschwerde von mehreren trennbaren Absprüchen nur ein Teil bekämpft wird.).Im Falle mehrerer im Zuge einer Datenüberprüfung festgestellter Verstöße gegen die DSGVO müsste die belangte Behörde diese daher nicht nur für sich allein gesondert beurteilen, sondern mitunter auch anhand unterschiedlicher Abhilfemaßnahmen nach Artikel 58, Absatz 2, DSGVO tätig werden. Eine solche (erstmalige) Beurteilung von voneinander losgelösten Datenschutzverletzungen und deren Beseitigung kann aber im Rahmen eines amtswegigen Prüfverfahrens keinesfalls von der (oben dargestellten) Kognitionsbefugnis des Verwaltungsgerichts gedeckt sein (siehe dazu auch VwGH 28.1.2020, Ra 2019/03/0076, wonach die Prüfbefugnis der Verwaltungsgerichte in den Fällen einer Trennbarkeit der behördlichen Entscheidung weiter eingeschränkt ist, wenn in der Beschwerde von mehreren trennbaren Absprüchen nur ein Teil bekämpft wird.).
Im konkreten Fall hat die belangte Behörde mit dem angefochtenen Bescheid dem Arbeitsmarktservice die Datenverarbeitung in Zusammenhang mit der Ermittlung von Arbeitsmarktchancen von arbeitssuchenden Personen unter Zuhilfenahme des „AMAS“ mit Wirkung vom 1. Jänner 2021 untersagt, sofern bis zu diesem Zeitpunkt keine geeignete Rechtsgrundlage für die Datenverarbeitung vorliegt.
Dazu führte sie in ihrer Begründung aus, dass nach erfolgter Überprüfung der Zulässigkeit der Datenverarbeitung nach Art 5 ff DSGVO sowie der Umsetzung der damit verbundenen Pflichten des Arbeitsmarktservice Prüfgegenstand des Bescheids „nunmehr“ (allein) die Rechtmäßigkeit der in Rede stehenden Datenverarbeitung sei, es dem Arbeitsmarktservice allerdings an einer solchen mangels einer geeigneten Rechtsgrundlage fehle. Auch hielt die belangte Behörde in ihrer Begründung ausdrücklich fest, dass bei Vorliegen einer „qualifizierten Rechtsgrundlage“, es dem Arbeitsmarktservice offen stünde, die in Rede stehende Datenverarbeitung durchzuführen. Dazu führte sie in ihrer Begründung aus, dass nach erfolgter Überprüfung der Zulässigkeit der Datenverarbeitung nach Artikel 5, ff DSGVO sowie der Umsetzung der damit verbundenen Pflichten des Arbeitsmarktservice Prüfgegenstand des Bescheids „nunmehr“ (allein) die Rechtmäßigkeit der in Rede stehenden Datenverarbeitung sei, es dem Arbeitsmarktservice allerdings an einer solchen mangels einer geeigneten Rechtsgrundlage fehle. Auch hielt die belangte Behörde in ihrer Begründung ausdrücklich fest, dass bei Vorliegen einer „qualifizierten Rechtsgrundlage“, es dem Arbeitsmarktservice offen stünde, die in Rede stehende Datenverarbeitung durchzuführen.
Angesichts dieser Formulierung ist – wie im Übrigen schon der Spruch deutlich macht – davon auszugehen, dass die belangte Behörde die im Rahmen ihres Ermittlungsverfahrens in Prüfung gezogene Datenverarbeitung ausschließlich aufgrund einer fehlenden „qualifizierten“ Rechtsgrundlage als unzulässig befunden und insofern nur deshalb den angefochtenen Bescheid erlassen hat.
Vor dem Hintergrund der obigen Erwägungen ist es dem erkennenden Gericht daher verwehrt, eine über die – mit dem angefochtenen Bescheid beurteilte – Rechtmäßigkeit hinausgehende Überprüfung der Datenverarbeitung vorzunehmen.
zur Rechtmäßigkeit
Art 5 DSGVO gibt die Grundsätze für eine (zulässige) Verarbeitung personenbezogener Daten vor. Demnach müssen nach Abs 1 lit a personenbezogene Daten ua auf rechtmäßige Weise verarbeitet werden, wobei die notwendigen Voraussetzungen einer rechtmäßigen Verarbeitung in Art 6 DSGVO bzw im Falle der Verarbeitung besonderer Kategorien von Daten in Art 9 DSGVO explizit festgehalten sind. Artikel 5, DSGVO gibt die Grundsätze für eine (zulässige) Verarbeitung personenbezogener Daten vor. Demnach müssen nach Absatz eins, Litera a, personenbezogene Daten ua auf rechtmäßige Weise verarbeitet werden, wobei die notwendigen Voraussetzungen einer rechtmäßigen Verarbeitung in Artikel 6, DSGVO bzw im Falle der Verarbeitung besonderer Kategorien von Daten in Artikel 9, DSGVO explizit festgehalten sind.
Die hier maßgeblichen Bestimmungen lauten auszugsweise wie folgt:
„Artikel 6 Rechtmäßigkeit der Verarbeitung
(1) Bedingungen erfüllt ist;
[...]
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
[...]
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel römisch neun.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
[…]
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. […]
Artikel 9 Verarbeitung besonderer Kategorien personenbezogener Daten
(1) Die Verarbeitung [... von …] Gesundheitsdaten [...] ist untersagt.
(2) Absatz 1 gilt nicht in folgenden Fällen:
[…]
g) die Verarbeitung ist auf Grundlage des [...] Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich;
h) die Verarbeitung ist für Zwecke der Gesundheitsversorgung oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigem eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich;
[…]“
Vorauszuschicken ist zunächst, dass Art 9 Abs 2 lit h DSGVO seinem Wortlaut zufolge ausschließlich auf Datenverarbeitungen für gesundheitsbezogene Zwecke und damit – entgegen der Ansicht des Arbeitsmarktservice und auch der belangten Behörde – für eine Berechnung von Arbeitsmarktchancen wie im vorliegenden Fall nicht ohne weiteres herangezogen werden kann (vgl. dazu auch ausdrücklich den dieser Bestimmung maßgeblich zugrundeliegenden Erwägungsgrund 53, welcher allein auf eine Verarbeitung besonderer Kategorien personenbezogener Daten für gesundheitsbezogene Zwecke Bezug nimmt; siehe auch Frenzel in Paal/Pauly, DS-GVO/BDSG², Art 9 DS-GVO Rz 41 sowie Schiff in Ehmann/Selmayr, DS-GVO², Art 9 Rz 59). Vorauszuschicken ist zunächst, dass Artikel 9, Absatz 2, Litera h, DSGVO seinem Wortlaut zufolge ausschließlich auf Datenverarbeitungen für gesundheitsbezogene Zwecke und damit – entgegen der Ansicht des Arbeitsmarktservice und auch der belangten Behörde – für eine Berechnung von Arbeitsmarktchancen wie im vorliegenden Fall nicht ohne weiteres herangezogen werden kann vergleiche dazu auch ausdrücklich den dieser Bestimmung maßgeblich zugrundeliegenden Erwägungsgrund 53, welcher allein auf eine Verarbeitung besonderer Kategorien personenbezogener Daten für gesundheitsbezogene Zwecke Bezug nimmt; siehe auch Frenzel in Paal/Pauly, DS-GVO/BDSG², Artikel 9, DS-GVO Rz 41 sowie Schiff in Ehmann/Selmayr, DS-GVO², Artikel 9, Rz 59).
Aus Art 6 Abs 1 lit e und Art 9 Abs 2 lit g DSGVO folgt aber, dass die Verarbeitung personenbezogener Daten nach der DSGVO auch dann rechtmäßig sein kann, wenn die Verarbeitung für den Verantwortlichen auf Grundlage des Rechts seines Mitgliedstaates zum einen für eine hoheitliche oder sonstige im öffentlichen Interesse liegende Aufgabe sowie zum anderen im Fall der Verarbeitung besonderer Kategorien personenbezogener Daten generell aufgrund eines erheblich öffentlichen Interesses erforderlich ist. Aus Artikel 6, Absatz eins, Litera e und Artikel 9, Absatz 2, Litera g, DSGVO folgt aber, dass die Verarbeitung personenbezogener Daten nach der DSGVO auch dann rechtmäßig sein kann, wenn die Verarbeitung für den Verantwortlichen auf Grundlage des Rechts seines Mitgliedstaates zum einen für eine hoheitliche oder sonstige im öffentlichen Interesse liegende Aufgabe sowie zum anderen im Fall der Verarbeitung besonderer Kategorien personenbezogener Daten generell aufgrund eines erheblich öffentlichen Interesses erforderlich ist.
Dabei ist es nach den Bestimmungen der DSGVO völlig unbeachtlich, ob es sich beim Verantwortlichen um eine Behörde oder eine private Stelle handelt und in welcher (hoheitlichen oder privatwirtschaftlichen) Form der Verantwortliche tätig wird.
Entscheidend ist vielmehr allein, dass durch den Verantwortlichen eine für eine Angelegenheit im (erheblichen) öffentlichen Interesse erforderliche und gesetzlich auch geregelte Datenverarbeitung vorgenommen wird (siehe dazu ausdrücklich Art 55 Abs 2 DSGVO; vgl auch Frenzel in Paal/Pauly, DS-GVO/BDSG², Art 6 DS-GVO Rz 23 sowie Art 9 DS-GVO Rz 38 ff; Heberlein in Ehmann/Selmayr, DS-GVO², Art 6 Rz 21 sowie Schiff in Ehmann/Selmayr, DSG-VO2, Art 9 Rz 51 ff als auch Erwägungsgrund 45).Entscheidend ist vielmehr allein, dass durch den Verantwortlichen eine für eine Angelegenheit im (erheblichen) öffentlichen Interesse erforderliche und gesetzlich auch geregelte Datenverarbeitung vorgenommen wird (siehe dazu ausdrücklich Artikel 55, Absatz 2, DSGVO; vergleiche auch Frenzel in Paal/Pauly, DS-GVO/BDSG², Artikel 6, DS-GVO Rz 23 sowie Artikel 9, DS-GVO Rz 38 ff; Heberlein in Ehmann/Selmayr, DS-GVO², Artikel 6, Rz 21 sowie Schiff in Ehmann/Selmayr, DSG-VO2, Artikel 9, Rz 51 ff als auch Erwägungsgrund 45).
Art 6 Abs 3 DSGVO legt dazu die inhaltlichen (obligatorischen und fakultativen) Anforderungen an eine entsprechende Rechtsgrundlage fest, wobei nach Erwägungsgrund 41 der DSGVO eine solche jedenfalls klar und präzise und für die Rechtsunterworfenen vorhersehbar sein sollte. Im Falle der Verarbeitung besonderer Kategorien personenbezogener Daten wird in Art 9 Abs 2 lit g DSGVO zusätzlich festgelegt, dass diese Rechtsgrundlage ua angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsehen sollte (siehe zu den vom Verantwortlichen umzusetzenden geeigneten – technischen und organisatorischen – Maßnahmen zur Wahrung der Grundsätze der DSGVO und der Rechte der betroffenen Personen insbesondere die Art 24, 25 und 32 DSGVO). Artikel 6, Absatz 3, DSGVO legt dazu die inhaltlichen (obligatorischen und fakultativen) Anforderungen an eine entsprechende Rechtsgrundlage fest, wobei nach Erwägungsgrund 41 der DSGVO eine solche jedenfalls klar und präzise und für die Rechtsunterworfenen vorhersehbar sein sollte. Im Falle der Verarbeitung besonderer Kategorien personenbezogener Daten wird in Artikel 9, Absatz 2, Litera g, DSGVO zusätzlich festgelegt, dass diese Rechtsgrundlage ua angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsehen sollte (siehe zu den vom Verantwortlichen umzusetzenden geeigneten – technischen und organisatorischen – Maßnahmen zur Wahrung der Grundsätze der DSGVO und der Rechte der betroffenen Personen insbesondere die Artikel 24, 25 und 32 DSGVO).
Nichts Anderes sieht die – von der belangten Behörde unter Bezugnahme auf höchstgerichtliche Rechtsprechung zur Rechtslage vor der DSGVO maßgeblich herangezogene – den Eingriff in das Grundrecht auf Datenschutz regelnde nationale Bestimmung des § 1 Abs 2 Datenschutzgesetz BGBl I 1999/165 idF BGBl I 2019/14 (im Folgenden: DSG) – wenn auch allein für Datenverarbeitungen durch staatliche Behörden – vor.Nichts Anderes sieht die – von der belangten Behörde unter Bezugnahme auf höchstgerichtliche Rechtsprechung zur Rechtslage vor der DSGVO maßgeblich herangezogene – den Eingriff in das Grundrecht auf Datenschutz regelnde nationale Bestimmung des Paragraph eins, Absatz 2, Datenschutzgesetz BGBl römisch eins 1999/165 in der Fassung BGBl römisch eins 2019/14 (im Folgenden: DSG) – wenn auch allein für Datenverarbeitungen durch staatliche Behörden – vor.
Da die unmittelbar und auch vorrangig anwendbaren unionsrechtlichen Vorgaben aber für die Rechtmäßigkeit einer Datenverarbeitung für eine im (erheblichen) öffentlichen Interesse liegende Aufgabe – wie ausgeführt – generell und nicht nur auf den hoheitlichen Tätigkeitsbereich beschränkt eine ausreichend determinierte gesetzliche Grundlage fordern, kann es daher im vorliegenden Fall – entgegen der Ansicht der belangten Behörde – dahingestellt bleiben, ob das Arbeitsmarktservice die vorliegende Datenverarbeitung in hoheitlicher oder privatrechtlicher Form durchführt (vgl zu § 1 DSG Dopplinger in Bresich/Dopplinger/Dörnhofer/Kunnert/Riedl, DSG § 1 [Stand 12.6.2018, rdb.at] Rz 10 wonach aufgrund der Vorrangstellung unmittelbar anwendbaren Unionsrechts das Grundrecht einer Datenverarbeitung nicht entgegenstehen kann, die nach der DSGVO rechtmäßig ist; siehe zur den Mitgliedstaaten in Art 6 Abs 2 DSGVO eingeräumten beschränkten Spezifizierungsmöglichkeit im Rahmen der Verordnung Heberlein in Ehmann/Selmayr, DS-GVO², Art 6 Rz 6 und 35 ff; siehe zum behördlichen und nicht behördlichen Tätigkeitsbereich des Arbeitsmarktservice die §§ 24, 31 Abs 2, 58 und 59 Arbeitsmarktservicegesetz BGBl 1994/313 idF BGBl I 2020/71 [im Folgenden: AMSG]).Da die unmittelbar und auch vorrangig anwendbaren unionsrechtlichen Vorgaben aber für die Rechtmäßigkeit einer Datenverarbeitung für eine im (erheblichen) öffentlichen Interesse liegende Aufgabe – wie ausgeführt – generell und nicht nur auf den hoheitlichen Tätigkeitsbereich beschränkt eine ausreichend determinierte gesetzliche Grundlage fordern, kann es daher im vorliegenden Fall – entgegen der Ansicht der belangten Behörde – dahingestellt bleiben, ob das Arbeitsmarktservice die vorliegende Datenverarbeitung in hoheitlicher oder privatrechtlicher Form durchführt vergleiche zu Paragraph eins, DSG Dopplinger in Bresich/Dopplinger/Dörnhofer/Kunnert/Riedl, DSG Paragraph eins, [Stand 12.6.2018, rdb.at] Rz 10 wonach aufgrund der Vorrangstellung unmittelbar anwendbaren Unionsrechts das Grundrecht einer Datenverarbeitung nicht entgegenstehen kann, die nach der DSGVO rechtmäßig ist; siehe zur den Mitgliedstaaten in Artikel 6, Absatz 2, DSGVO eingeräumten beschränkten Spezifizierungsmöglichkeit im Rahmen der Verordnung Heberlein in Ehmann/Selmayr, DS-GVO², Artikel 6, Rz 6 und 35 ff; siehe zum behördlichen und nicht behördlichen Tätigkeitsbereich des Arbeitsmarktservice die Paragraphen 24, 31, Absatz 2, 58 und 59 Arbeitsmarktservicegesetz BGBl 1994/313 in der Fassung BGBl römisch eins 2020/71 [im Folgenden: AMSG]).
Vielmehr kommt es – da von der in Rede stehenden Datenverarbeitung auch Gesundheitsdaten und damit besondere Kategorien von Daten umfasst sind – allein darauf an, ob die auf einer entsprechenden Rechtsgrundlage beruhende Datenverarbeitung für eine Angelegenheit des Arbeitsmarktservice im erheblichen öffentlichen Interesse erforderlich ist.
Beim Arbeitsmarktservice handelt es sich nach § 1 Abs 1 AMSG um ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit, welchem die Durchführung der Arbeitsmarktpolitik des Bundes obliegt. Beim Arbeitsmarktservice handelt es sich nach Paragraph eins, Absatz eins, AMSG um ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit, welchem die Durchführung der Arbeitsmarktpolitik des Bundes obliegt.
Dabei hat es ua nach § 29 Abs 1 AMSG im Sinne einer aktiven Arbeitsmarktpolitik auf ein möglichst vollständiges, wirtschaftlich sinnvolles und nachhaltiges Zusammenführen von Arbeitskräfteangebot und -nachfrage hinzuwirken, und dadurch die Versorgung der Wirtschaft mit Arbeitskräften und die Beschäftigung aller Personen, die dem österreichischen Arbeitsmarkt zur Verfügung stehen, bestmöglich zu sichern.Dabei hat es ua nach Paragraph 29, Absatz eins, AMSG im Sinne einer aktiven Arbeitsmarktpolitik auf ein möglichst vollständiges, wirtschaftlich sinnvolles und nachhaltiges Zusammenführen von Arbeitskräfteangebot und -nachfrage hinzuwirken, und dadurch die Versorgung der Wirtschaft mit Arbeitskräften und die Beschäftigung aller Personen, die dem österreichischen Arbeitsmarkt zur Verfügung stehen, bestmöglich zu sichern.
Die vom Arbeitsmarktservice zu erbringenden Leistungen sind nach Absatz 2 dieser Bestimmung dementsprechend ua darauf gerichtet, auf effiziente Weise die Vermittlung von geeigneten Arbeitskräften auf Arbeitsplätze herbeizuführen, die möglichst eine den Vermittlungswünschen des Arbeitsuchenden entsprechende Beschäftigung bieten (Z 1) sowie die Auswirkungen von Umständen, die eine unmittelbare Vermittlung im Sinne der Z 1 behindern, überwinden zu helfen (Z 2).Die vom Arbeitsmarktservice zu erbringenden Leistungen sind nach Absatz 2 dieser Bestimmung dementsprechend ua darauf gerichtet, auf effiziente Weise die Vermittlung von geeigneten Arbeitskräften auf Arbeitsplätze herbeizuführen, die möglichst eine den Vermittlungswünschen des Arbeitsuchenden entsprechende Beschäftigung bieten (Ziffer eins,) sowie die Auswirkungen von Umständen, die eine unmittelbare Vermittlung im Sinne der Ziffer eins, behindern, überwinden zu helfen (Ziffer 2,).
Bei allen Tätigkeiten hat das Arbeitsmarktservice nach § 31 Abs 5 AMSG auf die Grundsätze der Sparsamkeit, Wirtschaftlichkeit und Zweckmäßigkeit unter dem Gesichtspunkt der bestmöglichen Erreichung des in § 29 genannten Zieles Bedacht zu nehmen. Auch hat es nach Abs 7 dieser Bestimmung bei der Maßnahmenplanung darauf zu achten, dass für Personengruppen, die besonders von Arbeitslosigkeit bedroht sind, geeignete Unterstützungsleistungen angeboten werden.Bei allen Tätigkeiten hat das Arbeitsmarktservice nach Paragraph 31, Absatz 5, AMSG auf die Grundsätze der Sparsamkeit, Wirtschaftlichkeit und Zweckmäßigkeit unter dem Gesichtspunkt der bestmöglichen Erreichung des in Paragraph 29, genannten Zieles Bedacht zu nehmen. Auch hat es nach Absatz 7, dieser Bestimmung bei der Maßnahmenplanung darauf zu achten, dass für Personengruppen, die besonders von Arbeitslosigkeit bedroht sind, geeignete Unterstützungsleistungen angeboten werden.
Im vorliegenden Fall werden nun von den Beratern und Beraterinnen des Arbeitsmarktservice – wie festgestellt wurde – zum Zweck einer effiziente Unterstützung bei der Arbeitsvermittlung die Arbeitsmarktchancen der arbeitssuchenden Person ua anhand dem Arbeitsmarktservice vorliegender Daten dieser Person, wie Geschlecht, Staatengruppe, Ausbildung, gesundheitliche Beeinträchtigung, Betreuungspflichten, Berufsgruppe, Vorkarriere und Dauer des Geschäftsfalles eingeschätzt und soll dies ab 1. Jänner 2021 unter verpflichtender Zuhilfenahme der in Rede stehenden automatisierten Datenanwendung „AMAS“ erfolgen.
§ 25 Abs 2 AMSG räumt dem Arbeitsmarktservice auch ausdrücklich eine Ermächtigung zur Verarbeitung solcher personenbezogenen Daten ein, allerdings nur soweit diese zur Erfüllung der gesetzlichen Aufgaben des Arbeitsmarktservice eine wesentliche Voraussetzung sind. Paragraph 25, Absatz 2, AMSG räumt dem Arbeitsmarktservice auch ausdrücklich eine Ermächtigung zur Verarbeitung solcher personenbezogenen Daten ein, allerdings nur soweit diese zur Erfüllung der gesetzlichen Aufgaben des Arbeitsmarktservice eine wesentliche Voraussetzung sind.
Mit Blick auf Art 9 Abs 2 lit g DSGVO und dem darin aufgestellten Erfordernis eines erheblich öffentlichen Interesses ist zunächst festzuhalten, dass an der dem Arbeitsmarktservice gesetzlich in § 29 AMSG übertragenen Aufgabe, nämlich der Gewährleistung eines möglichst geordneten und gut funktionierenden Arbeitsmarktes zweifellos ein erheblich öffentliches Interesse erblickt werden kann.Mit Blick auf Artikel 9, Absatz 2, Litera g, DSGVO und dem darin aufgestellten Erfordernis eines erheblich öffentlichen Interesses ist zunächst festzuhalten, dass an der dem Arbeitsmarktservice gesetzlich in Paragraph 29, AMSG übertragenen Aufgabe, nämlich der Gewährleistung eines möglichst geordneten und gut funktionierenden Arbeitsmarktes zweifellos ein erheblich öffentliches Interesse erblickt werden kann.
Um nun aber dieses (auferlegte) Ziel einer optimalen Versorgung der Wirtschaft mit Arbeitskräften und die Beschäftigung aller Personen bestmöglich zu sichern, ist es unbestritten (auch) erforderlich, auf die persönlichen Eigenschaften der Arbeitssuchenden in Kombination mit dem allgemeinen Arbeitsmarktgeschehen und damit – wie im vorliegenden Fall – auf die Einsatzmöglichkeiten von Arbeitssuchenden am Arbeitsmarkt bzw. ihren Förderbedarf im Einzelfall Bedacht zu nehmen. Dass die vom Arbeitsmarktservice dazu herangezogenen und oben dargestellten personenbezogenen Daten von Arbeitssuchenden für deren Arbeitssuche und damit für die Beurteilung ihrer Arbeitsmarktchancen und in weiterer Folge auch ihres allfälligen Förderbedarfes in der jeweiligen Fallkonstellation relevant sein können, kann nicht in Abrede gestellt werden und wurde dies im Übrigen auch von der belangten Behörde in keiner Weise aufgegriffen (vgl dazu auch die Erläuterungen zur Regierungsvorlage zum [im Hinblick auf das Inkrafttreten der Datenschutz-Grundverordnung mit 25. Mai 2018 erfolgten] Datenschutz-Anpassungsgesetz 2018, RV 65 BlGNR 26.GP 28 zu § 25 AMSG, wo auch klargestellt wird, dass für die Kernaufgaben des Arbeitsmarktservice stets Stammdaten von Arbeitsuchenden zu verarbeiten sind und dies eben auch die jeweiligen Kenntnisse und Fähigkeiten der Arbeitsuchenden sowie auch das Anforderungsprofil offener Stellen miteinschließt.).Um nun aber dieses (auferlegte) Ziel einer optimalen Versorgung der Wirtschaft mit Arbeitskräften und die Beschäftigung aller Personen bestmöglich zu sichern, ist es unbestritten (auch) erforderlich, auf die persönlichen Eigenschaften der Arbeitssuchenden in Kombination mit dem allgemeinen Arbeitsmarktgeschehen und damit – wie im vorliegenden Fall – auf die Einsatzmöglichkeiten von Arbeitssuchenden am Arbeitsmarkt bzw. ihren Förderbedarf im Einzelfall Bedacht zu nehmen. Dass die vom Arbeitsmarktservice dazu herangezogenen und oben dargestellten personenbezogenen Daten von Arbeitssuchenden für deren Arbeitssuche und damit für die Beurteilung ihrer Arbeitsmarktchancen und in weiterer Folge auch ihres allfälligen Förderbedarfes in der jeweiligen Fallkonstellation relevant sein können, kann nicht in Abrede gestellt werden und wurde dies im Übrigen auch von der belangten Behörde in keiner Weise aufgegriffen vergleiche dazu auch die Erläuterungen zur Regierungsvorlage zum [im Hinblick auf das Inkrafttreten der Datenschutz-Grundverordnung mit 25. Mai 2018 erfolgten] Datenschutz-Anpassungsgesetz 2018, Regierungsvorlage 65 BlGNR 26.Gesetzgebungsperiode 28 zu Paragraph 25, AMSG, wo auch klargestellt wird, dass für die Kernaufgaben des Arbeitsmarktservice stets Stammdaten von Arbeitsuchenden zu verarbeiten sind und dies eben auch die jeweiligen Kenntnisse und Fähigkeiten der Arbeitsuchenden sowie auch das Anforderungsprofil offener Stellen miteinschließt.).
Es bestehen daher im vorliegenden Fall überhaupt keine Bedenken, dass das Arbeitsmarktservice zur Sicherstellung einer ordentlichen Arbeitsmarktpolitik ua die Arbeitschancen von Arbeitssuchenden zu bewerten hat und dazu auch die oben genannten personenbezogenen Daten nach § 25 Abs 1 AMSG verwenden darf. Es bestehen daher im vorliegenden Fall überhaupt keine Bedenken, dass das Arbeitsmarktservice zur Sicherstellung einer ordentlichen Arbeitsmarktpolitik ua die Arbeitschancen von Arbeitssuchenden zu bewerten hat und dazu auch die oben genannten personenbezogenen Daten nach Paragraph 25, Absatz eins, AMSG verwenden darf.
Anhaltspunkte dafür, dass eine solche Datenverarbeitung in § 25 AMSG nicht hinreichend klar zu ersehen und auch sonst nicht anhand angemessener und spezifischer Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person geregelt sei, sind nicht erkennbar. Anhaltspunkte dafür, dass eine solche Datenverarbeitung in Paragraph 25, AMSG nicht hinreichend klar zu ersehen und auch sonst nicht anhand angemessener und spezifischer Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person geregelt sei, sind nicht erkennbar.
So wird in § 25 Abs 10 ausdrücklich festgehalten, dass das Arbeitsmarktservice unter Beachtung der wirtschaftlichen Vertretbarkeit und des Standes der Technik ausreichende Vorkehrungen für die Gewährleistung der Datensicherheit im Sinne der Art. 24, 25 und 32 der DSGVO und des § 6 DSG und damit umfassende geeignete technische und organisatorische Maßnahmen zur Sicherstellung einer den Grundsätzen der Verordnung entsprechenden Verarbeitung zu treffen hat (siehe dazu den zu Art 24, 25 und 32 maßgeblichen Erwägungsgrund 78, wonach solche Maßnahmen unter anderem darin bestehen könnten, dass die Verarbeitung personenbezogener Daten minimiert wird, personenbezogene Daten so schnell wie möglich pseudonymisiert werden, Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten hergestellt wird, der betroffenen Person ermöglicht wird, die Verarbeitung personenbezogener Daten zu überwachen, und der Verantwortliche in die Lage versetzt wird, Sicherheitsfunktionen zu schaffen und zu verbessern. So wird in Paragraph 25, Absatz 10, ausdrücklich festgehalten, dass das Arbeitsmarktservice unter Beachtung der wirtschaftlichen Vertretbarkeit und des Standes der Technik ausreichende Vorkehrungen für die Gewährleistung der Datensicherheit im Sinne der Artikel 24, 25 und 32 der DSGVO und des Paragraph 6, DSG und damit umfassende geeignete technische und organisatorische Maßnahmen zur Sicherstellung einer den Grundsätzen der Verordnung entsprechenden Verarbeitung zu treffen hat (siehe dazu den zu Artikel 24, 25 und 32 maßgeblichen Erwägungsgrund 78, wonach solche Maßnahmen unter anderem darin bestehen könnten, dass die Verarbeitung personenbezogener Daten minimiert wird, personenbezogene Daten so schnell wie möglich pseudonymisiert werden, Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten hergestellt wird, der betroffenen Person ermöglicht wird, die Verarbeitung personenbezogener Daten zu überwachen, und der Verantwortliche in die Lage versetzt wird, Sicherheitsfunktionen zu schaffen und zu verbessern.
Auch werden in § 25 Abs. 10 AMSG zusätzlich spezifische Anforderungen in Bezug auf die Gewährleistung der Datensicherheit formuliert („[..] Insbesondere sind Erfassungen oder Änderungen personenbezogener Daten nur durch die jeweils zuständigen Organisationseinheiten (Mitarbeiterinnen, Mitarbeiter) zulässig. Bei der Übermittlung personenbezogener Daten an Dritte ist durch technische oder organisatorische Maßnahmen sicherzustellen, dass nur die vorgesehenen Empfängerinnen und Empfänger Zugriff auf die Daten erlangen. Zugriffs- wie auch Leserechte sind nach den Aufgaben (Rollen) der jeweiligen Organisationseinheiten und Bediensteten zu gestalten. Der Zugriff auf personenbezogene Daten sowie jede Übermittlung von Gesundheitsdaten ist zu protokollieren. Protokolldaten dürfen nicht personenbezogen verwendet werden, außer dies ist zur Durchsetzung oder Abwehr rechtlich geltend gemachter Ansprüche, zur Sicherstellung der rechtmäßigen Verwendung der Datenverarbeitung oder aus technischen Gründen notwendig“; siehe dazu erneut die Erläuterungen zur Regierungsvorlage zum Datenschutz-Anpassungsgesetz, RV 65 BlGNR 26.GP 28 zu § 25 AMSG, wonach § 25 AMSG im Hinblick auf das Inkrafttreten der DSGVO um ua Bestimmungen betreffend Datensicherheitsmaßnahmen ergänzt sowie an die Begrifflichkeiten der DSGVO angepasst werden soll). Auch werden in Paragraph 25, Absatz 10, AMSG zusätzlich spezifische Anforderungen in Bezug auf die Gewährleistung der Datensicherheit formuliert („[..] Insbesondere sind Erfassungen oder Änderungen personenbezogener Daten nur durch die jeweils zuständigen Organisationseinheiten (Mitarbeiterinnen, Mitarbeiter) zulässig. Bei der Übermittlung personenbezogener Daten an Dritte ist durch technische oder organisatorische Maßnahmen sicherzustellen, dass nur die vorgesehenen Empfängerinnen und Empfänger Zugriff auf die Daten erlangen. Zugriffs- wie auch Leserechte sind nach den Aufgaben (Rollen) der jeweiligen Organisationseinheiten und Bediensteten zu gestalten. Der Zugriff auf personenbezogene Daten sowie jede Übermittlung von Gesundheitsdaten ist zu protokollieren. Protokolldaten dürfen nicht personenbezogen verwendet werden, außer dies ist zur Durchsetzung oder Abwehr rechtlich geltend gemachter Ansprüche, zur Sicherstellung der rechtmäßigen Verwendung der Datenverarbeitung oder aus technischen Gründen notwendig“; siehe dazu erneut die Erläuterungen zur Regierungsvorlage zum Datenschutz-Anpassungsgesetz, Regierungsvorlage 65 BlGNR 26.Gesetzgebungsperiode 28 zu Paragraph 25, AMSG, wonach Paragraph 25, AMSG im Hinblick auf das Inkrafttreten der DSGVO um ua Bestimmungen betreffend Datensicherheitsmaßnahmen ergänzt sowie an die Begrifflichkeiten der DSGVO angepasst werden soll).
Dass das Arbeitsmarktservice nach § 25 Abs. 1 AMSG grundsätzlich berechtigt ist, eine Bewertung von Arbeitsmarktchancen der Arbeitssuchenden anhand (bestimmter) personenbezogener Daten vorzunehmen, wird von der belangten Behörde aber auch gar nicht in Zweifel gezogen. Vielmehr vertritt sie die Ansicht, eine solche Bewertung in der besonderen automatisierten Form von Profiling schaffe einen „informationellen Mehrwert“ und sei auf ein solches „eingriffsintensives Profiling“ in der Rechtsgrundlage explizit Bezug zu nehmen. Zudem liege nach Ansicht der belangten Behörde aber ohnedies ein Fall einer „vollautomatisierten“ Entscheidungsfindung vor, weshalb eine solche Datenverarbeitung überdies auch den Anforderungen des Art 22 DSGVO entsprechen müsse. Dass das Arbeitsmarktservice nach Paragraph 25, Absatz eins, AMSG grundsätzlich berechtigt ist, eine Bewertung von Arbeitsmarktchancen der Arbeitssuchenden anhand (bestimmter) personenbezogener Daten vorzunehmen, wird von der belangten Behörde aber auch gar nicht in Zweifel gezogen. Vielmehr vertritt sie die Ansicht, eine solche Bewertung in der besonderen automatisierten Form von Profiling schaffe einen „informationellen Mehrwert“ und sei auf ein solches „eingriffsintensives Profiling“ in der Rechtsgrundlage explizit Bezug zu nehmen. Zudem liege nach Ansicht der belangten Behörde aber ohnedies ein Fall einer „vollautomatisierten“ Entscheidungsfindung vor, weshalb eine solche Datenverarbeitung überdies auch den Anforderungen des Artikel 22, DSGVO entsprechen müsse.
Die hier maßgeblichen Bestimmungen der DSGVO lauten auszugsweise wiedergegeben wie folgt:
„Artikel 4 Begriffsbestimmungen
In Sinne dieser Verordnung bezeichnet der Ausdruck:
[…]
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen, die Vernichtung;
[...]
4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
[…]
Artikel 22 Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
(2) Absatz 1 gilt nicht, wenn die Entscheidung
[...]
b) aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten oder
[…]
(4) Entscheidungen nach Absatz 2 dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.“
Anzumerken ist, dass das Ergebnis einer (jeden) Bewertung zweifellos nicht nur von den herangezogenen (personenbezogenen) Daten, sondern auch davon abhängt, wer oder was die Bewertung durchführt und wie die einzelnen Faktoren (Daten) dabei jeweils gewichtet werden. Eine anhand derselben (personenbezogenen) Daten erfolgte Bewertung muss daher nicht immer zum gleichen Ergebnis führen. Das ändert aber nichts daran, dass dem Ergebnis dieselben (personenbezogenen) Daten und damit dieselben Informationen zugrunde liegen.
Ein von der belangten Behörde angenommener „informationeller Mehrwert“ einer auf denselben (personenbezogenen) Daten basierenden Beurteilung der Arbeitsmarktchancen, sei es nun automatisiert anhand von Profiling oder nicht automatisiert durch (unterschiedliche) Berater/Beraterinnen kann daher aus – hier allein zu beurteilender – datenschutzrechtlicher Sicht nicht erkannt werden.
Davon abgesehen wird auch in Art 6 Abs 1 lit e und in Art 9 Abs 2 lit g DSGVO keine Unterscheidung zwischen automatisierter und nicht automatisierter Verarbeitung vorgenommen, sondern – wie auch in § 25 Abs 1 AMSG – lediglich allgemein auf den Begriff der Verarbeitung abgestellt.Davon abgesehen wird auch in Artikel 6, Absatz eins, Litera e und in Artikel 9, Absatz 2, Litera g, DSGVO keine Unterscheidung zwischen automatisierter und nicht automatisierter Verarbeitung vorgenommen, sondern – wie auch in Paragraph 25, Absatz eins, AMSG – lediglich allgemein auf den Begriff der Verarbeitung abgestellt.
Art 4 Z 1 DSGVO definiert aber anhand einer beispielhaften Aufzählung jeden (und zwar) mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten als Verarbeitung. Artikel 4, Ziffer eins, DSGVO definiert aber anhand einer beispielhaften Aufzählung jeden (und zwar) mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten als Verarbeitung.
Eine unterschiedliche Beurteilung der Rechtmäßigkeit einer Datenverarbeitung nach Art 6 Abs 1 lit e und Art 9 Abs 2 lit g DSGVO allein wegen der Form ihrer Verarbeitung kann – entgegen der Ansicht der belangten Behörde – daher auch aus dem Gesetz nicht abgeleitet werden. Eine unterschiedliche Beurteilung der Rechtmäßigkeit einer Datenverarbeitung nach Artikel 6, Absatz eins, Litera e und Artikel 9, Absatz 2, Litera g, DSGVO allein wegen der Form ihrer Verarbeitung kann – entgegen der Ansicht der belangten Behörde – daher auch aus dem Gesetz nicht abgeleitet werden.
Dabei wird nicht übersehen, dass Art 4 Z 4 DSGVO die ausschließlich automatisierte Verarbeitung von personenbezogenen Daten einer betroffenen Person zum Zweck der Bewertung, Analyse oder Vorhersage bestimmter persönlicher Aspekte dieser Person in Art 4 Z 4 DSGVO gesondert als Profiling bezeichnet. Dabei wird nicht übersehen, dass Artikel 4, Ziffer 4, DSGVO die ausschließlich automatisierte Verarbeitung von personenbezogenen Daten einer betroffenen Person zum Zweck der Bewertung, Analyse oder Vorhersage bestimmter persönlicher Aspekte dieser Person in Artikel 4, Ziffer 4, DSGVO gesondert als Profiling bezeichnet.
Dadurch wird jedoch lediglich der in der Praxis für unterschiedliche Bereiche immer mehr an Bedeutung gewinnende Anwendungsfall der automatisierten Erstellung von „Profilen“ besonders hervorgehoben und soll dadurch gleichzeitig eben auch klargestellt werden, dass diese (besondere) zu einem bestimmten Zweck erfolgte Form der automatisierten Verarbeitung in den Anwendungsbereich der DSGVO fällt und damit auch den darin aufgestellten generellen Kriterien zu entsprechen hat (siehe dazu ausdrücklich Erwägungsgrund 72 sowie den hierfür eigens geschaffenen weiten räumlichen Anwendungsbereich des Art 3 Abs 2 lit b DSGVO).Dadurch wird jedoch lediglich der in der Praxis für unterschiedliche Bereiche immer mehr an Bedeutung gewinnende Anwendungsfall der automatisierten Erstellung von „Profilen“ besonders hervorgehoben und soll dadurch gleichzeitig eben auch klargestellt werden, dass diese (besondere) zu einem bestimmten Zweck erfolgte Form der automatisierten Verarbeitung in den Anwendungsbereich der DSGVO fällt und damit auch den darin aufgestellten generellen Kriterien zu entsprechen hat (siehe dazu ausdrücklich Erwägungsgrund 72 sowie den hierfür eigens geschaffenen weiten räumlichen Anwendungsbereich des Artikel 3, Absatz 2, Litera b, DSGVO).
Neben den – bereits oben dargelegten – allgemeinen Anforderungen an eine (rechtmäßige) Datenverarbeitung normiert (der als Betroffenenrecht formulierte) Art 22 DSGVO zusätzliche Vorgaben für automatisierte Entscheidungen.Neben den – bereits oben dargelegten – allgemeinen Anforderungen an eine (rechtmäßige) Datenverarbeitung normiert (der als Betroffenenrecht formulierte) Artikel 22, DSGVO zusätzliche Vorgaben für automatisierte Entscheidungen.
Konkret wird in Absatz 1 dieser Bestimmung ein grundsätzliches Verbot einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung festgelegt.
Erwägungsgrund 71 der DSGVO führt dazu aus, dass die betroffene Person das Recht haben sollte, keiner Entscheidung zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie die automatische Ablehnung eines Online-Kreditantrages oder Online-Einstellungsverfahrens ohne jegliches menschliche Eingreifen.
Art 22 DSGVO zielt mithin nur auf solche Entscheidungen ab, die ohne jegliches menschliche Eingreifen erfolgen und sollen anhand dieser Bestimmung die Gefahren, die von nicht überprüften automatisierten Verarbeitungsvorgängen für den Persönlichkeitsschutz ausgehen, begrenzt werden (siehe dazu Martini in Paal/Pauly, DS-GVO/BDSG², Art 22 DS-GVO Rz 2 und 20). Artikel 22, DSGVO zielt mithin nur auf solche Entscheidungen ab, die ohne jegliches menschliche Eingreifen erfolgen und sollen anhand dieser Bestimmung die Gefahren, die von nicht überprüften automatisierten Verarbeitungsvorgängen für den Persönlichkeitsschutz ausgehen, begrenzt werden (siehe dazu Martini in Paal/Pauly, DS-GVO/BDSG², Artikel 22, DS-GVO Rz 2 und 20).
Keinesfalls wird durch Art 22 DSGVO aber Profiling als solches in seiner rechtlichen Zulässigkeit als Weg der Entscheidungsunterstützung begrenzt (siehe dazu Martini in Paal/Pauly, DS-GVO/BDSG2, Art 22 DS-GVO Rz 2).Keinesfalls wird durch Artikel 22, DSGVO aber Profiling als solches in seiner rechtlichen Zulässigkeit als Weg der Entscheidungsunterstützung begrenzt (siehe dazu Martini in Paal/Pauly, DS-GVO/BDSG2, Artikel 22, DS-GVO Rz 2).
Wie das von der belangten Behörde durchgeführte Ermittlungsverfahren hervorgebracht hat und auch (von der belangten Behörde selbst) festgestellt wurde, sollen die anhand von AMAS auf Grundlage eines Algorithmus errechneten Arbeitschancen eines Arbeitssuchenden von den Beraterinnen und Beratern des Arbeitsmarktservice zwar ab 1. Jänner 2021 verpflichtend, jedoch lediglich als eine Informationsquelle für eine Entscheidung darüber herangezogen werden. Die letztliche Entscheidung über die Arbeitschancen eines Arbeitssuchenden und seine dementsprechend weitere Förderung soll jedoch bei den Beratern/den Beraterinnen verbleiben und wurden dazu nicht nur Richtlinien und Handlungsanweisungen des Arbeitsmarktservice an seine Mitarbeiter ausgegeben, sondern auch Schulungen durchgeführt.
Der Ansicht der belangten Behörde, die dargestellten „Leitlinien“ würden keine „Außenwirkung“ entfalten, kann – wie schon vom Arbeitsmarktservice unter Hinweis auf § 4 AMSG aufgezeigt wurde – nicht gefolgt werden. Der Ansicht der belangten Behörde, die dargestellten „Leitlinien“ würden keine „Außenwirkung“ entfalten, kann – wie schon vom Arbeitsmarktservice unter Hinweis auf Paragraph 4, AMSG aufgezeigt wurde – nicht gefolgt werden.
Nach § 4 Abs 2 Z 2 AMSG hat die Bundesorganisation (Anm.: das Arbeitsmarktservice; siehe dazu § 1 Abs 3 AMSG) für die Erarbeitung und Festlegung der arbeitsmarktpolitischen Vorgaben und Schwerpunktsetzungen für die Tätigkeit des Arbeitsmarktservice durch allgemein verbindliche Regelungen zu sorgen. Abs 3 dieser Bestimmung legt ausdrücklich fest, dass die von der Bundesorganisation nach Anhörung der Landesorganisationen erlassenen Richtlinien für die Erfüllung der Aufgaben des Arbeitsmarktservice für alle Organe und Einrichtungen des Arbeitsmarktservice verbindlich sind.Nach Paragraph 4, Absatz 2, Ziffer 2, AMSG hat die Bundesorganisation Anmerkung, das Arbeitsmarktservice; siehe dazu Paragraph eins, Absatz 3, AMSG) für die Erarbeitung und Festlegung der arbeitsmarktpolitischen Vorgaben und Schwerpunktsetzungen für die Tätigkeit des Arbeitsmarktservice durch allgemein verbindliche Regelungen zu sorgen. Absatz 3, dieser Bestimmung legt ausdrücklich fest, dass die von der Bundesorganisation nach Anhörung der Landesorganisationen erlassenen Richtlinien für die Erfüllung der Aufgaben des Arbeitsmarktservice für alle Organe und Einrichtungen des Arbeitsmarktservice verbindlich sind.
Im vorliegenden Fall hat das Arbeitsmarktservice – wie festgestellt – in seiner Bundesrichtlinie „Kernprozess Arbeitskräfte unterstützen“ (derzeit aktuell „Kernprozess Arbeitskräfte unterstützen mit Regelungen zu Physical Distancing“ vom 13. Juli 2020, GZ XXXX ) den genauen Ablauf ua in Bezug auf die Einschätzung der Arbeitsmarktchancen vorgegeben (ua 7.2.2.). Darin ist dezidiert festgelegt, dass die Berater/die Beraterinnen den anhand von AMAS und damit automatisiert errechneten Arbeitschancenwert im Rahmen eines Beratungsgespräches mit den Kunden/den Kundinnen zu erörtern, eine gegenteilige Ansicht des Kunden/der Kundin zu dokumentieren und letztlich selbst darüber zu entscheiden haben. Im vorliegenden Fall hat das Arbeitsmarktservice – wie festgestellt – in seiner Bundesrichtlinie „Kernprozess Arbeitskräfte unterstützen“ (derzeit aktuell „Kernprozess Arbeitskräfte unterstützen mit Regelungen zu Physical Distancing“ vom 13. Juli 2020, GZ römisch 40 ) den genauen Ablauf ua in Bezug auf die Einschätzung der Arbeitsmarktchancen vorgegeben (ua 7.2.2.). Darin ist dezidiert festgelegt, dass die Berater/die Beraterinnen den anhand von AMAS und damit automatisiert errechneten Arbeitschancenwert im Rahmen eines Beratungsgespräches mit den Kunden/den Kundinnen zu erörtern, eine gegenteilige Ansicht des Kunden/der Kundin zu dokumentieren und letztlich selbst darüber zu entscheiden haben.
Angesichts dieser klaren – nach § 4 Abs 3 AMSG auch die jeweiligen Einrichtungen des Arbeitsmarktservice bindenden – Vorgaben bestehen von Seiten des erkennenden Senats überhaupt keine Gründe, im vorliegenden Fall von einer (gänzlichen) automatisierten Entscheidung im Sinne des Art 22 Abs 1 DSGVO auszugehen. Angesichts dieser klaren – nach Paragraph 4, Absatz 3, AMSG auch die jeweiligen Einrichtungen des Arbeitsmarktservice bindenden – Vorgaben bestehen von Seiten des erkennenden Senats überhaupt keine Gründe, im vorliegenden Fall von einer (gänzlichen) automatisierten Entscheidung im Sinne des Artikel 22, Absatz eins, DSGVO auszugehen.
Die belangte Behörde verneint im vorliegenden Fall letztlich aber auch hier nicht, dass – wie sie selbst im Spruch ausführt – die in Rede stehende Datenverarbeitung in Zusammenhang mit der Ermittlung der Arbeitsmarktchancen von arbeitssuchenden Personen von den Beratern und Beraterinnen lediglich „unter Zuhilfenahme“ von AMAS und damit nicht ausschließlich automationsunterstützt erfolgen soll. Es sei allerdings angesichts verkürzter Beratungszeiten „im Einzelfall“ nicht auszuschließen, dass die Berater/die Beraterinnen AMAS routinemäßig übernehmen würden und damit letztlich vereinzelt doch eine gänzlich automatisierte Entscheidung vorliegen würde.
Dabei übersieht die belangte Behörde aber, dass die Beurteilung, ob eine Datenverarbeitung nach Art 5 Abs 1 lit a DSGVO an sich rechtmäßig ist, von der Beurteilung, ob der Verantwortliche die Rechtmäßigkeit einer solchen Datenverarbeitung durch ua organisatorische Maßnahmen nach Art 5 Abs 1 lit f DSGVO auch sicherstellt, zu unterscheiden ist. Dabei übersieht die belangte Behörde aber, dass die Beurteilung, ob eine Datenverarbeitung nach Artikel 5, Absatz eins, Litera a, DSGVO an sich rechtmäßig ist, von der Beurteilung, ob der Verantwortliche die Rechtmäßigkeit einer solchen Datenverarbeitung durch ua organisatorische Maßnahmen nach Artikel 5, Absatz eins, Litera f, DSGVO auch sicherstellt, zu unterscheiden ist.
Bei der Beurteilung der Rechtmäßigkeit einer Datenverarbeitung ist auf den eigentlichen Verarbeitungsvorgang und nicht auf allenfalls mögliche Verstöße dagegen durch Dritte einzugehen.
Ob das Arbeitsmarktservice letztlich seiner Pflicht nach Art 5 Abs 1 lit f DSGVO im vorliegenden Fall ausreichend nachgekommen ist und damit einen unbefugten Gebrauch der (geplanten) Datenverarbeitung geeignet ausschließt, kann jedoch – wie oben dargestellt – im Rahmen des auf die Beurteilung der Rechtmäßigkeit der in Rede stehenden Datenverarbeitung nach Art 5 Abs 1 lit a DSGVO beschränkten Beschwerdeverfahrens vom Verwaltungsgericht nicht beurteilt werden, sondern müsste dies vielmehr – sofern es als erforderlich angesehen wird – von Seiten der belangten Behörde in einem (weiteren) Verfahren geklärt werden. Ob das Arbeitsmarktservice letztlich seiner Pflicht nach Artikel 5, Absatz eins, Litera f, DSGVO im vorliegenden Fall ausreichend nachgekommen ist und damit einen unbefugten Gebrauch der (geplanten) Datenverarbeitung geeignet ausschließt, kann jedoch – wie oben dargestellt – im Rahmen des auf die Beurteilung der Rechtmäßigkeit der in Rede stehenden Datenverarbeitung nach Artikel 5, Absatz eins, Litera a, DSGVO beschränkten Beschwerdeverfahrens vom Verwaltungsgericht nicht beurteilt werden, sondern müsste dies vielmehr – sofern es als erforderlich angesehen wird – von Seiten der belangten Behörde in einem (weiteren) Verfahren geklärt werden.
Dabei wird lediglich der Ordnung halber festgehalten, dass die belangte Behörde im angefochtenen Bescheid in ihrer Begründung selbst davon ausgeht, dass das Arbeitsmarktservice „organisationsintern“ angemessene Maßnahmen zum Schutz der Arbeitssuchenden getroffen und damit wohl auch eine rechtsmissbräuchliche Verwendung der Datenverarbeitung durch ihre Mitarbeiter geeignet ausgeschlossen hat.
Die im angefochtenen Bescheid auch ansonsten aufgestellte Behauptung der belangten Behörde, Betroffene könnten die Einhaltung der Richtlinie und damit eine rechtmäßige Verarbeitung im Einzelfall nicht „nachprüfend“ kontrollieren (lassen), kann mit Blick auf das den Betroffenen in Art 77 DSGVO eingeräumte Beschwerderecht ebenfalls nicht nachempfunden werden. Die im angefochtenen Bescheid auch ansonsten aufgestellte Behauptung der belangten Behörde, Betroffene könnten die Einhaltung der Richtlinie und damit eine rechtmäßige Verarbeitung im Einzelfall nicht „nachprüfend“ kontrollieren (lassen), kann mit Blick auf das den Betroffenen in Artikel 77, DSGVO eingeräumte Beschwerderecht ebenfalls nicht nachempfunden werden.
Da im vorliegenden Fall somit aber schon nach den eigenen Feststellungen der belangten Behörde eine (voll)automatisierte Entscheidung über die Arbeitsmarktchancen im Sinne des Art 22 Abs 1 DSGVO nicht vorliegt, erübrigt es sich auf die – auch in den von der belangten Behörde herangezogenen Leitlinien der Art 29 Datenschutzgruppe näher dargestellten – zusätzlichen Anforderungen an eine solche Entscheidung, insbesondere in Abs 4 einzugehen. Da im vorliegenden Fall somit aber schon nach den eigenen Feststellungen der belangten Behörde eine (voll)automatisierte Entscheidung über die Arbeitsmarktchancen im Sinne des Artikel 22, Absatz eins, DSGVO nicht vorliegt, erübrigt es sich auf die – auch in den von der belangten Behörde herangezogenen Leitlinien der Artikel 29, Datenschutzgruppe näher dargestellten – zusätzlichen Anforderungen an eine solche Entscheidung, insbesondere in Absatz 4, einzugehen.
Abschließend ist daher zusammenfassend festzuhalten, dass – wie selbst auch von der belangten Behörde nicht in Zweifel gezogen wurde – das Arbeitsmarktservice nach § 25 Abs. 1 AMSG grundsätzlich berechtigt ist, eine Bewertung von Arbeitsmarktchancen der Arbeitssuchenden anhand (bestimmter) personenbezogener Daten vorzunehmen.Abschließend ist daher zusammenfassend festzuhalten, dass – wie selbst auch von der belangten Behörde nicht in Zweifel gezogen wurde – das Arbeitsmarktservice nach Paragraph 25, Absatz eins, AMSG grundsätzlich berechtigt ist, eine Bewertung von Arbeitsmarktchancen der Arbeitssuchenden anhand (bestimmter) personenbezogener Daten vorzunehmen.
Der Annahme der belangten Behörde, eine solche Bewertung erfahre durch die bloße Zuhilfenahme einer automatisierten Verarbeitung („Profiling“) aus datenschutzrechtlicher Sicht einen „informationellen Mehrwert“ kann nicht gefolgt werden und ist auch eine unterschiedliche Beurteilung der Rechtmäßigkeit einer Datenverarbeitung allein wegen der Form ihrer Verarbeitung (automatisiert oder nicht automatisiert) im Gesetz grundsätzlich nicht vorgesehen.
Der im Gesetz in Art 22 DSGVO gesondert geregelte Fall einer automatisierten Entscheidung ist hier nicht gegeben, weil - wie selbst von der belangten Behörde festgestellt wurde – die in Prüfung gezogene Bewertung der Arbeitsmarktchancen lediglich unter Zuhilfenahme von AMAS, letztlich jedoch durch die Berater/die Beraterinnen erfolgen soll. Der im Gesetz in Artikel 22, DSGVO gesondert geregelte Fall einer automatisierten Entscheidung ist hier nicht gegeben, weil - wie selbst von der belangten Behörde festgestellt wurde – die in Prüfung gezogene Bewertung der Arbeitsmarktchancen lediglich unter Zuhilfenahme von AMAS, letztlich jedoch durch die Berater/die Beraterinnen erfolgen soll.
Dass die Berater/Beraterinnen – wie von der belangten Behörde angenommen – AMAS dennoch im Einzelfall nur routinemäßig übernehmen und damit gegen die verbindlichen Vorgaben des Arbeitsmarktservice verstoßen könnten, ist für die Beurteilung der Rechtmäßigkeit der Datenverarbeitung an sich nicht von Relevanz. Ob das Arbeitsmarktservice allenfalls seiner in der DSGVO vorgesehenen gesonderten Pflicht, einen unbefugten Gebrauch einer rechtmäßigen Datenverarbeitung durch geeignete Maßnahmen auszuschließen, ausreichend nachgekommen ist, ist nicht Gegenstand des auf die Beurteilung der Rechtmäßigkeit beschränkten vorliegenden Verfahrens. Dies müsste – sofern es als erforderlich angesehen wird – von der belangten Behörde in einem gesonderten Verfahren beurteilt werden.
Da die vorliegende Datenverarbeitung somit mit Recht auf § 25 Abs. 1 AMSG gestützt werden konnte, war der angefochtene Bescheid mangels Verstoß gegen den in Art 5 Abs 1 lit a DSGVO normierten Grundsatz einer rechtmäßigen Datenverarbeitung aufzuheben. Da die vorliegende Datenverarbeitung somit mit Recht auf Paragraph 25, Absatz eins, AMSG gestützt werden konnte, war der angefochtene Bescheid mangels Verstoß gegen den in Artikel 5, Absatz eins, Litera a, DSGVO normierten Grundsatz einer rechtmäßigen Datenverarbeitung aufzuheben.
zum Entfall einer mündlichen Verhandlung:
Eine mündliche Verhandlung konnte im vorliegenden Fall gemäß § 24 Abs 2 Z 1 VwGVG unterbleiben, weil bereits aufgrund der Aktenlage feststand, dass der angefochtene Bescheid "aufzuheben" war (vgl zur gleichartigen früheren Rechtslage Hengstschläger/Leeb, AVG § 67d [Stand 1.7.2007, rdb.at] Rz 22, wonach mit „Aufhebung“ die vollständige Beseitigung, also jedenfalls die ersatzlose Behebung des angefochtenen Bescheids gemeint ist).Eine mündliche Verhandlung konnte im vorliegenden Fall gemäß Paragraph 24, Absatz 2, Ziffer eins, VwGVG unterbleiben, weil bereits aufgrund der Aktenlage feststand, dass der angefochtene Bescheid "aufzuheben" war vergleiche zur gleichartigen früheren Rechtslage Hengstschläger/Leeb, AVG Paragraph 67 d, [Stand 1.7.2007, rdb.at] Rz 22, wonach mit „Aufhebung“ die vollständige Beseitigung, also jedenfalls die ersatzlose Behebung des angefochtenen Bescheids gemeint ist).
zu B) Zulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs 4 zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. So fehlt es zum einen an höchstgerichtlicher Rechtsprechung zur Frage der Kognitionsbefugnis der Verwaltungsgerichte im Falle eines amtswegigen Verfahrens sowie zum anderen insgesamt an höchstgerichtlicher Rechtsprechung zu Art 6 Abs 1 lit e DSGVO, Art 9 Abs 2 lit g DSGVO und Art 22 DSGVO in Zusammenhang mit Profiling.Die Revision ist gemäß Artikel 133, Absatz 4, zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. So fehlt es zum einen an höchstgerichtlicher Rechtsprechung zur Frage der Kognitionsbefugnis der Verwaltungsgerichte im Falle eines amtswegigen Verfahrens sowie zum anderen insgesamt an höchstgerichtlicher Rechtsprechung zu Artikel 6, Absatz eins, Litera e, DSGVO, Artikel 9, Absatz 2, Litera g, DSGVO und Artikel 22, DSGVO in Zusammenhang mit Profiling.
Es war daher spruchgemäß durch Senat zu entscheiden.
Schlagworte
Amtswegigkeit Arbeitsmarktservice automatisierte Einzelentscheidung Datenschutz Datenverarbeitung Erforderlichkeit ersatzlose Behebung gesetzliche Grundlage Gesundheitsdaten Kognitionsbefugnis öffentliche Interessen personenbezogene Daten Profiling Prüfumfang Rechtmäßigkeit Revision zulässig VerbindlichkeitEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2020:W256.2235360.1.00Im RIS seit
31.03.2021Zuletzt aktualisiert am
31.03.2021
