Norm
B-VG Art18 Abs1Text
GZ: 2025-0.883.576 vom 30. Oktober 2025 (Verfahrenszahl: DSB-D124.2170/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.
Der Beschwerdegegner AMS wurde nur auf regionaler Ebene pseudonymisiert; seine Identität geht aus den angewendeten Rechtsvorschriften hervor.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Fridolin A*** (Beschwerdeführer) vom 7. August 2025 gegen das AMS Wien N***gasse (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt:
- Die Beschwerde wird als unbegründet abgewiesen.
Rechtsgrundlagen: Art. 4, Art. 5, Art. 6, Art. 9, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 459h Abs. 3 und 460a des Allgemeinen Sozialversicherungsgesetzes (ASVG), BGBl. Nr. 189/1955 idgF; § 8 Arbeitslosenversicherungsgesetz 1977 (AIVG), BGBl. Nr. 609/1977 idgF; §§ 1, 25 und 27 Bundesgesetz über das Arbeitsmarktservice (AMSG), BGBl. Nr. 313/1994 idgF.Rechtsgrundlagen: Artikel 4,, Artikel 5,, Artikel 6,, Artikel 9,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 Sitzung eins, ; Paragraphen eins, 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Paragraphen 459 h, Absatz 3, und 460a des Allgemeinen Sozialversicherungsgesetzes (ASVG), Bundesgesetzblatt Nr. 189 aus 1955, idgF; Paragraph 8, Arbeitslosenversicherungsgesetz 1977 (AIVG), Bundesgesetzblatt Nr. 609 aus 1977, idgF; Paragraphen eins, 25, und 27 Bundesgesetz über das Arbeitsmarktservice (AMSG), Bundesgesetzblatt Nr. 313 aus 1994, idgF.
BEGRÜNDUNG
A. Sachverhaltsfeststellungen
Aufgrund des durchgeführten Ermittlungsverfahrens, in dem den Verfahrensparteien die Möglichkeit zur Stellungnahme gewährt wurde, wird der nachfolgende Sachverhalt festgestellt.
1. Der Beschwerdegegner ist ein Dienstleistungsunternehmen öffentlichen Rechts. Ihm obliegt die Arbeitsmarktpolitik des Bundes.
2. Am 21. und 26. Mai 2025 übermittelte der Beschwerdegegner eine E-Mail an die Pensionsversicherungsanstalt, in der er um die Übermittlung eines Begutachtungsergebnisses vom Beschwerdeführer sowie eines ärztlichen Gesamtgutachtens und einer chefärztlichen Stellungnahme bat, da dem Beschwerdeführer das Reha-Geld zum 31. Mai 2025 entzogen wurde.
3. Am 13. Juni 2025 gingen bei dem Beschwerdegegner die geforderten Dokumente mit den Bezeichnungen „Befunde” und „Gutachten” ein.
Beweiswürdigung: Die Feststellungen beruhen auf der verfahrenseinleitenden Eingabe des Beschwerdegegners sowie auf Screenshots eines Auszugs aus einer Datenauskunft gemäß Art. 15 DSGVO des Beschwerdegegners vom 7. August 2025. Diese Feststellungen sind unstrittig. Beweiswürdigung: Die Feststellungen beruhen auf der verfahrenseinleitenden Eingabe des Beschwerdegegners sowie auf Screenshots eines Auszugs aus einer Datenauskunft gemäß Artikel 15, DSGVO des Beschwerdegegners vom 7. August 2025. Diese Feststellungen sind unstrittig.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob der Beschwerdegegner den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt hat, indem er Befunde und ein Gutachten von der Pensionsversicherungsanstalt angefordert und anschließend weiterverarbeitet hat.
C. In rechtlicher Hinsicht folgt daraus:
Das in § 1 DSG verankerte Grundrecht auf Datenschutz, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz des Betroffenen vor der Ermittlung seiner Daten und der Weitergabe der über ihn ermittelten Daten.Das in Paragraph eins, DSG verankerte Grundrecht auf Datenschutz, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz des Betroffenen vor der Ermittlung seiner Daten und der Weitergabe der über ihn ermittelten Daten.
Das Grundrecht auf Datenschutz gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind.Das Grundrecht auf Datenschutz gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sind.
Der Beschwerdegegner ist als Körperschaft öffentlichen Rechts eingerichtet und damit als „Behörde“ im Sinne des § 1 Abs. 2 DSG zu qualifizieren, weshalb ein Eingriff in das Recht auf Geheimhaltung nur auf Grund einer gesetzlichen Grundlage zulässig ist (vgl. dazu Art. 18 B-VG). Solche Gesetze müssen ausreichend präzise, also für jedermann vorhersehbar regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben zulässig ist, also einen ausreichend hohen Determinierungsgrad aufweisen (VfSlg. 18.643/2008; vgl. dazu auch das Erkenntnis des VfGH vom 12. Dezember 2019 zu G 164/2019-25 und G 171/2019-24). Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden (Verhältnismäßigkeit).Der Beschwerdegegner ist als Körperschaft öffentlichen Rechts eingerichtet und damit als „Behörde“ im Sinne des Paragraph eins, Absatz 2, DSG zu qualifizieren, weshalb ein Eingriff in das Recht auf Geheimhaltung nur auf Grund einer gesetzlichen Grundlage zulässig ist vergleiche dazu Artikel 18, B-VG). Solche Gesetze müssen ausreichend präzise, also für jedermann vorhersehbar regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben zulässig ist, also einen ausreichend hohen Determinierungsgrad aufweisen (VfSlg. 18.643/2008; vergleiche dazu auch das Erkenntnis des VfGH vom 12. Dezember 2019 zu G 164/2019-25 und G 171/2019-24). Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden (Verhältnismäßigkeit).
Im gegenständlichen Fall ist der Anwendungsbereich von § 1 Abs. 1 DSG eröffnet, da sich die seitens des Beschwerdegegners verarbeiteten Daten unstrittig auf den Beschwerdeführer beziehen. Im vorliegenden Fall wurden Gesundheitsdaten gemäß Art. 4 Z 15 DSGVO übermittelt. Diese gelten gemäß Art. 9 Abs. 1 DSGVO als besondere Kategorie personenbezogener Daten und dürfen ausschließlich in den in Abs. 2 genannten Fällen verarbeitet werden.Im gegenständlichen Fall ist der Anwendungsbereich von Paragraph eins, Absatz eins, DSG eröffnet, da sich die seitens des Beschwerdegegners verarbeiteten Daten unstrittig auf den Beschwerdeführer beziehen. Im vorliegenden Fall wurden Gesundheitsdaten gemäß Artikel 4, Ziffer 15, DSGVO übermittelt. Diese gelten gemäß Artikel 9, Absatz eins, DSGVO als besondere Kategorie personenbezogener Daten und dürfen ausschließlich in den in Absatz 2, genannten Fällen verarbeitet werden.
Art. 9 Abs. 2 lit. h DSGVO gestattet die Verarbeitung von Gesundheitsdaten, die für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Abs. 3 genannten Bedingungen und Garantien erforderlich sind.Artikel 9, Absatz 2, Litera h, DSGVO gestattet die Verarbeitung von Gesundheitsdaten, die für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3, genannten Bedingungen und Garantien erforderlich sind.
Die Verarbeitung im Rahmen dieser „Gesundheitsleistungen“ muss auf Unionsrecht, innerstaatlichem Recht oder einem Vertrag mit einem Angehörigen eines Gesundheitsberufs beruhen. Darüber hinaus muss die Verarbeitung gemäß des sich auf Art. 9 Abs. 2 DSGVO beziehenden Erwägungsgrundes 53 Satz 1 erforderlich sein, und zwar „im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt“ (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO Rz 52).Die Verarbeitung im Rahmen dieser „Gesundheitsleistungen“ muss auf Unionsrecht, innerstaatlichem Recht oder einem Vertrag mit einem Angehörigen eines Gesundheitsberufs beruhen. Darüber hinaus muss die Verarbeitung gemäß des sich auf Artikel 9, Absatz 2, DSGVO beziehenden Erwägungsgrundes 53 Satz 1 erforderlich sein, und zwar „im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt“ vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 9, DSGVO Rz 52).
Art. 9 Abs. 3 DSGVO bestimmt, dass die in Abs. 1 leg. cit. genannten personenbezogenen Daten zu den in Abs. 2 lit. h leg. cit. genannten Zwecken verarbeitet werden dürfen, wenn diese Daten vom Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.Artikel 9, Absatz 3, DSGVO bestimmt, dass die in Absatz eins, leg. cit. genannten personenbezogenen Daten zu den in Absatz 2, Litera h, leg. cit. genannten Zwecken verarbeitet werden dürfen, wenn diese Daten vom Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Rec
