Entscheidungsdatum
05.10.2023Norm
AMSG §25Spruch
,
W292 2256176-1/10E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter, Mag.a Martina CHLESTIL und Mag. René BOGENDORFER als Beisitzer, über die Beschwerde von XXXX gegen den Bescheid der Datenschutzbehörde vom 29.04.2022, Zl. D124.4119 / 2022-0.292.262 (mitbeteiligte Partei: XXXX ), in nicht öffentlicher Sitzung zu Recht erkannt:Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter, Mag.a Martina CHLESTIL und Mag. René BOGENDORFER als Beisitzer, über die Beschwerde von römisch 40 gegen den Bescheid der Datenschutzbehörde vom 29.04.2022, Zl. D124.4119 / 2022-0.292.262 (mitbeteiligte Partei: römisch 40 ), in nicht öffentlicher Sitzung zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
,
Text
Entscheidungsgründe:, Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
I.1. Der Beschwerdeführer XXXX brachte in seinem verfahrenseinleitenden Antrag (Datenschutzbeschwerde) vom 14.05.2021 an die belangte Behörde, do. eingelangt am 18.05.2021, zusammengefasst vor, der Beschwerdegegner das XXXX (in der Folge auch mitbeteiligte Partei) habe die XXXX mit der Auszahlung von Leistungen aus der Arbeitslosenversicherung beauftragt und dabei die Sozialversicherungsnummer des Beschwerdeführers ohne dessen Einwilligung offengelegt. römisch eins.1. Der Beschwerdeführer römisch 40 brachte in seinem verfahrenseinleitenden Antrag (Datenschutzbeschwerde) vom 14.05.2021 an die belangte Behörde, do. eingelangt am 18.05.2021, zusammengefasst vor, der Beschwerdegegner das römisch 40 (in der Folge auch mitbeteiligte Partei) habe die römisch 40 mit der Auszahlung von Leistungen aus der Arbeitslosenversicherung beauftragt und dabei die Sozialversicherungsnummer des Beschwerdeführers ohne dessen Einwilligung offengelegt.
I.2. Mit dem angefochtenen Bescheid der Datenschutzbehörde (in der Folge „belangte Behörde“) vom 29.04.2022, Zl. D124.4119 / 2022-0.292.262, wies diese die Beschwerde des Beschwerdeführers vom 14.05.2021, verbessert mit 27.07.2021, wegen Verletzung im Recht auf Geheimhaltung als unbegründet ab. römisch eins.2. Mit dem angefochtenen Bescheid der Datenschutzbehörde (in der Folge „belangte Behörde“) vom 29.04.2022, Zl. D124.4119 / 2022-0.292.262, wies diese die Beschwerde des Beschwerdeführers vom 14.05.2021, verbessert mit 27.07.2021, wegen Verletzung im Recht auf Geheimhaltung als unbegründet ab.
Begründend wurde festgehalten, dass, auch wenn der Beschwerdeführer bereits im Jänner 2020 eine im Wesentlichen inhaltsgleiche Beschwerde erhoben habe, von einer exzessiven Beschwerdeführung zunächst nicht auszugehen sei.
Zur Rechtmäßigkeit der Datenverarbeitung stellte die belangte Behörde im Wesentlichen fest, dass sich aus § 25 Abs. 1 AMSG ergebe, dass der Beschwerdegegner zur Verarbeitung der Sozialversicherungsnummer insoweit ermächtigt sei, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung darstelle.Zur Rechtmäßigkeit der Datenverarbeitung stellte die belangte Behörde im Wesentlichen fest, dass sich aus Paragraph 25, Absatz eins, AMSG ergebe, dass der Beschwerdegegner zur Verarbeitung der Sozialversicherungsnummer insoweit ermächtigt sei, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung darstelle.
Was das Vorbringen des Beschwerdeführers, bei der Sozialversicherungsnummer handle es sich um ein Gesundheitsdatum, betreffe, so sei festzuhalten, dass nach der ständigen Rechtsprechung der Datenschutzbehörde die Sozialversicherungsnummer, wenn diese als bloßer Indikator, also unabhängig von der Inanspruchnahme einer Gesundheitsdienstleistung, verwendet werde, nicht als Gesundheitsdatum und somit nicht als besonders schutzwürdiges Datum im Sinne von § 1 Abs. 2 DSG beziehungsweise Art. 9 Abs. 1 DSGVO zu qualifizieren sei. Was das Vorbringen des Beschwerdeführers, bei der Sozialversicherungsnummer handle es sich um ein Gesundheitsdatum, betreffe, so sei festzuhalten, dass nach der ständigen Rechtsprechung der Datenschutzbehörde die Sozialversicherungsnummer, wenn diese als bloßer Indikator, also unabhängig von der Inanspruchnahme einer Gesundheitsdienstleistung, verwendet werde, nicht als Gesundheitsdatum und somit nicht als besonders schutzwürdiges Datum im Sinne von Paragraph eins, Absatz 2, DSG beziehungsweise Artikel 9, Absatz eins, DSGVO zu qualifizieren sei.
I.3. Gegen den oben bezeichneten Bescheid der Datenschutzbehörde richtet sich die am 27.05.2022 erhobene Beschwerde. römisch eins.3. Gegen den oben bezeichneten Bescheid der Datenschutzbehörde richtet sich die am 27.05.2022 erhobene Beschwerde.
I.4. Die belangte Behörde hat die gegenständliche Beschwerde samt den bezughabenden Verwaltungsakten dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) mit Aktenvorlage am 22.06.2022 vorgelegt. römisch eins.4. Die belangte Behörde hat die gegenständliche Beschwerde samt den bezughabenden Verwaltungsakten dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) mit Aktenvorlage am 22.06.2022 vorgelegt.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
II.1. Feststellungen:römisch zwei.1. Feststellungen:
II.1.1. Zur Sozialversicherungsnummer:römisch zwei.1.1. Zur Sozialversicherungsnummer:
Die Sozialversicherungsnummer ist eine 10-stellige Zahl und besteht aus mehreren Teilen. Die ersten drei Stellen enthalten eine laufend (nicht steuerbare) automatisch bei der Nummernerstellung vergebene Nummer (Laufnummer), arithmetisch aufsteigend; die erste Stelle ungleich Null. Die vierte Stelle ist eine Prüfziffer. Die fünfte bis zehnte Stelle wird üblicherweise – aber nicht immer – aus dem Geburtsdatum gebildet.
Die Sozialversicherungsnummer ermöglicht die eindeutige Identifizierung einer Person.
Aus der Sozialversicherungsnummer können unmittelbar keine Informationen zum Gesundheitszustand einer bestimmten betroffenen Person entnommen werden.
II.1.2. Zum postalischen Benachrichtigungsvermerk vom 06.05.2021römisch zwei.1.2. Zum postalischen Benachrichtigungsvermerk vom 06.05.2021
Durch einen postalischen Benachrichtigungsvermerk vom 06.05.2021 wurde der Beschwerdeführer über die anstehende Auszahlung einer Leistung nach dem Arbeitslosenversicherungsgesetz in Kenntnis gesetzt, wobei im Feld „Verwendungszweck“ die Sozialversicherungsnummer des Beschwerdeführers angeführt war [vgl. die nachfolgende Darstellung]:
II.2. Beweiswürdigung:römisch zwei.2. Beweiswürdigung:
II.2.1. Zu II.1.1. (Sozialversicherungsnummer): römisch zwei.2.1. Zu römisch zwei.1.1. (Sozialversicherungsnummer):
Der Aufbau der Sozialversicherungsnummer ist notorisch bekannt und sind Informationen hierzu öffentlich (unter dem Link: Was ist die Versicherungsnummer? (sozialversicherung.at)) abrufbar.
Weiterhin ist allgemein bekannt, dass mit Hilfe der Sozialversicherungsnummer eine Person eindeutig identifiziert werden kann. Zwischen der Sozialversicherungsnummer und einer Person besteht eine 1:1-Beziehung: Eine konkrete Sozialversicherungsnummer ist immer einer bestimmten Person zugewiesen, andererseits ist einer Person immer eine bestimmte Sozialversicherungsnummer zugewiesen.
Es ist zweifelsfrei ersichtlich, dass aus der zehnstelligen Zahl unmittelbar keine Informationen zum Gesundheitszustand einer betroffenen Person entnommen werden können.
II.2.2. Zu II.1.2. (postalischer Benachrichtigungsvermerk vom 06.05.2021)römisch zwei.2.2. Zu römisch zwei.1.2. (postalischer Benachrichtigungsvermerk vom 06.05.2021)
Die dahingehenden Feststellungen ergeben sich zweifelsfrei aus dem Verwaltungsakt, der darin enthaltenen Post-Benachrichtigung vom 06.05.2021 in Zusammenschau mit dem damit in Einklang stehenden Vorbringen des Beschwerdeführers und der mitbeteiligten Partei im verwaltungsbehördlichen Verfahren.
II.3. Rechtliche Beurteilung:römisch zwei.3. Rechtliche Beurteilung:
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.
Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor. Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß Paragraph 27, DSG Senatszuständigkeit vor.
II.3.1. Zu Spruchpunkt A) – Abweisung der Beschwerde: römisch zwei.3.1. Zu Spruchpunkt A) – Abweisung der Beschwerde:
II.3.1.1. Anzuwendendes Rechtrömisch zwei.3.1.1. Anzuwendendes Recht
Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten auszugsweise samt Überschrift wie folgt:Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) in der Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, lauten auszugsweise samt Überschrift wie folgt:
Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins, (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
[…]
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
[…]
Artikel 4 DSGVO – Begriffsbestimmungen – lautet auszugsweise wie folgt:
[…]
15. „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;
[…]
Artikel 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten – lautet wie folgt:
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6 DSGVO – Rechtmäßigkeit der Verarbeitung – lautet:
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel römisch neun.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.
[…]
Artikel 9 DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten – lautet auszugsweise:
(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
[…]
Erwägungsgrund 35 – Gesundheitsdaten – lautet:
Zu den personenbezogenen Gesundheitsdaten sollten alle Daten zählen, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen. Dazu gehören auch Informationen über die natürliche Person, die im Zuge der Anmeldung für sowie der Erbringung von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates für die natürliche Person erhoben werden, Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu identifizieren, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, auch aus genetischen Daten und biologischen Proben, abgeleitet wurden, und Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, ob sie nun von einem Arzt oder sonstigem Angehörigen eines Gesundheitsberufes, einem Krankenhaus, einem Medizinprodukt oder einem In-Vitro-Diagnostikum stammen.
§ 25 AMSG idF BGBl. I Nr. 32/2018 – Datenverarbeitung – lautet auszugsweise:Paragraph 25, AMSG in der Fassung Bundesgesetzblatt Teil eins, Nr. 32 aus 2018, – Datenverarbeitung – lautet auszugsweise:
(1) Das Arbeitsmarktservice, das Bundesverwaltungsgericht und das Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz sind zur Verarbeitung von personenbezogenen Daten im Sinne des Datenschutzgesetzes, BGBl. I Nr. 165/1999, insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung sind. Die in Frage kommenden Datenarten sind:(1) Das Arbeitsmarktservice, das Bundesverwaltungsgericht und das Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz sind zur Verarbeitung von personenbezogenen Daten im Sinne des Datenschutzgesetzes, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung sind. Die in Frage kommenden Datenarten sind:
1. Stammdaten der Arbeitsuchenden:
a) Namen (Vornamen, Familiennamen),
b) Sozialversicherungsnummer und Geburtsdatum,
c) Geschlecht,
d) Staatsangehörigkeit, Aufenthalts- und Arbeitsberechtigungen,
e) Adresse des Wohnsitzes oder Aufenthaltsortes,
f) Telefonnummer,
g) E-Mail-Adresse,
h) Bankverbindung und Kontonummer.
[…]
II.3.1.2. Fallbezogen war zu prüfen, ob die mitbeteiligte Partei als datenschutzrechtlich Verantwortliche (Art. 4 Z 7 DSGVO) den Beschwerdeführer als datenschutzrechtlich betroffene Person (Art. 4 Z 1 erster Satz DSGVO) dadurch im Grundrecht auf Geheimhaltung nach § 1 DSG verletzt hat, indem sie die Sozialversicherungsnummer im postalischen Benachrichtigungsvermerk verwendet und damit gegenüber Dritten offengelegt hat. römisch zwei.3.1.2. Fallbezogen war zu prüfen, ob die mitbeteiligte Partei als datenschutzrechtlich Verantwortliche (Artikel 4, Ziffer 7, DSGVO) den Beschwerdeführer als datenschutzrechtlich betroffene Person (Artikel 4, Ziffer eins, erster Satz DSGVO) dadurch im Grundrecht auf Geheimhaltung nach Paragraph eins, DSG verletzt hat, indem sie die Sozialversicherungsnummer im postalischen Benachrichtigungsvermerk verwendet und damit gegenüber Dritten offengelegt hat.
Die Durchführung der XXXX des Bundes obliegt gemäß § 1 Abs. 1 AMSG dem XXXX . Es handelt sich dabei um ein XXXX mit eigener Rechtspersönlichkeit. Die Durchführung der römisch 40 des Bundes obliegt gemäß Paragraph eins, Absatz eins, AMSG dem römisch 40 . Es handelt sich dabei um ein römisch 40 mit eigener Rechtspersönlichkeit.
Die mitbeteiligte Partei ist somit als staatliche Behörde im Sinne des § 1 Abs. 2 DSG zu qualifizieren; deren Rolle als datenschutzrechtlich verantwortliche Stelle im Sinne von Art. 4 Z 7 DSGVO wurde, wie bereits von der belangten Behörde im angefochtenen Bescheid zutreffend festgehalten, zu keinem Zeitpunkt bestritten. Die mitbeteiligte Partei ist somit als staatliche Behörde im Sinne des Paragraph eins, Absatz 2, DSG zu qualifizieren; deren Rolle als datenschutzrechtlich verantwortliche Stelle im Sinne von Artikel 4, Ziffer 7, DSGVO wurde, wie bereits von der belangten Behörde im angefochtenen Bescheid zutreffend festgehalten, zu keinem Zeitpunkt bestritten.
Bei der Sozialversicherungsnummer handelt es sich um ein personenbezogenes Datum, an dem grundsätzlich ein schutzwürdiges Geheimhaltungsinteresse des Beschwerdeführers im Sinne von § 1 Abs. 1 DSG besteht. Bei der Sozialversicherungsnummer handelt es sich um ein personenbezogenes Datum, an dem grundsätzlich ein schutzwürdiges Geheimhaltungsinteresse des Beschwerdeführers im Sinne von Paragraph eins, Absatz eins, DSG besteht.
Als datenschutzrechtlich Verantwortliche des öffentlichen Bereiches sind Eingriffe der mitbeteiligten Partei (in deren Eigenschaft als öffentliche Stelle) in das verfassungsgesetzlich gewährleistete Recht auf Geheimhaltung nach § 1 DSG – abgesehen vom Bestehen lebenswichtiger Interessen – ausschließlich aufgrund einer qualifizierten gesetzlichen Grundlage, im erforderlichen Ausmaß und auf verhältnismäßige Art und Weise zulässig (§ 1 Abs. 2 DSG iVm Art. 6 Abs. 1 lit. e DSGVO, vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 4, Stand 1.2.2022, Rz 19). Als datenschutzrechtlich Verantwortliche des öffentlichen Bereiches sind Eingriffe der mitbeteiligten Partei (in deren Eigenschaft als öffentliche Stelle) in das verfassungsgesetzlich gewährleistete Recht auf Geheimhaltung nach Paragraph eins, DSG – abgesehen vom Bestehen lebenswichtiger Interessen – ausschließlich aufgrund einer qualifizierten gesetzlichen Grundlage, im erforderlichen Ausmaß und auf verhältnismäßige Art und Weise zulässig (Paragraph eins, Absatz 2, DSG in Verbindung mit Artikel 6, Absatz eins, Litera e, DSGVO, vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph 4,, Stand 1.2.2022, Rz 19).
Art. 6 Abs. 1 der DSGVO enthält eine abschließende Aufzählung der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in diesen Bestimmungen vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (vgl. in diesem Sinne das Urteil des EuGH vom 22.06.2021, Latvijas Republikas Saeima [Strafpunkte], C?439/19, Rn. 99 und die dort angeführte Rechtsprechung). Artikel 6, Absatz eins, der DSGVO enthält eine abschließende Aufzählung der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in diesen Bestimmungen vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können vergleiche in diesem Sinne das Urteil des EuGH vom 22.06.2021, Latvijas Republikas Saeima [Strafpunkte], C?439/19, Rn. 99 und die dort angeführte Rechtsprechung).
Gemäß § 25 Abs. 1 AMSG ist das XXXX zur Verarbeitung von personenbezogenen Daten insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung ist. Zu den in Frage kommenden Datenarten zählt gemäß Z 1 lit. b leg. cit. unter anderem auch die Sozialversicherungsnummer. Gemäß Paragraph 25, Absatz eins, AMSG ist das römisch 40 zur Verarbeitung von personenbezogenen Daten insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung ist. Zu den in Frage kommenden Datenarten zählt gemäß Ziffer eins, Litera b, leg. cit. unter anderem auch die Sozialversicherungsnummer.
Bei der Abwicklung von Auszahlungen aus der Arbeitslosenversicherung handelt es sich zweifelsohne um eine gesetzlich übertragene Aufgabe der mitbeteiligten Partei und ist die mitbeteiligte Partei sohin gemäß § 25 Abs. 1 AMSG iVm Art. 6 Abs. 1 lit. e DSGVO grundsätzlich zur Verarbeitung personenbezogener Daten des Beschwerdeführers, darunter fällt nach der zitierten rechtlichen Anordnung eben auch die Sozialversicherungsnummer, ermächtigt. Bei der Abwicklung von Auszahlungen aus der Arbeitslosenversicherung handelt es sich zweifelsohne um eine gesetzlich übertragene Aufgabe der mitbeteiligten Partei und ist die mitbeteiligte Partei sohin gemäß Paragraph 25, Absatz eins, AMSG in Verbindung mit Artikel 6, Absatz eins, Litera e, DSGVO grundsätzlich zur Verarbeitung personenbezogener Daten des Beschwerdeführers, darunter fällt nach der zitierten rechtlichen Anordnung eben auch die Sozialversicherungsnummer, ermächtigt.
Diesen rechtlichen Umstand stellt der Beschwerdeführer im Rahmen seiner Bescheidbeschwerde selbst auch nicht in Abrede.
Gemäß den Verarbeitungsgrundsätzen nach Art 5 DSGVO müssen personenbezogene Daten – soweit verfahrensrelevant – auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“), dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“).Gemäß den Verarbeitungsgrundsätzen nach Artikel 5, DSGVO müssen personenbezogene Daten – soweit verfahrensrelevant – auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“), dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“).
Wie zutreffend von der belangten Behörde im Ausgangsbescheid festgehalten, stellt die Verarbeitung der Sozialversicherungsnummer zur ordnungsgemäßen und richtigen Zuordnung der Leistung zum jeweiligen Leistungsempfänger keine zweckfremde oder überschießende Datenverwendung dar. Aufgrund des großen Arbeitsaufkommens und der Möglichkeit von Leistungsrücklaufverfahren ist eine eindeutige Identifizierung der Leistungsempfänger, insbesondere auch aus buchhalterischen Gründen, auch aus Sicht des erkennenden Senates zwangsläufig geboten.
Die Verwendung der Sozialversicherungsnummer des Beschwerdeführers war, wie schon von der belangten Behörde im angefochtenen Bescheid festgehalten, für die Erreichung des angestrebten Zwecks jedenfalls eine wesentliche Voraussetzung, geeignet und auch erforderlich, um eine ordnungsgemäße Abwicklung der Leistungsauszahlungen sowie von damit in Zusammenhang stehenden Kontroll- und Überprüfungsverfahren auf gesetzmäßige Weise durchführen zu können.
In datenschutzrechtlicher Hinsicht war sohin festzustellen, dass die verfahrensgegenständliche Verwendung der Sozialversicherungsnummer im Rahmen der Zahlungsanweisung, im Zusammenhang mit der Auszahlung einer Leistung aus der Arbeitslosenversicherung, rechtmäßig war.
II.3.1.3. Das Beschwerdevorbringen, wonach es sich bei der Sozialversicherungsnummer um ein Gesundheitsdatum, es sich sohin um eine besonders geschützte Kategorie an personenbezogenen Daten im Sinne von Art 9 Abs. 1 DSGVO handle, verfängt in rechtlicher Hinsicht aufgrund der nachstehenden Erwägungen nicht: römisch zwei.3.1.3. Das Beschwerdevorbringen, wonach es sich bei der Sozialversicherungsnummer um ein Gesundheitsdatum, es sich sohin um eine besonders geschützte Kategorie an personenbezogenen Daten im Sinne von Artikel 9, Absatz eins, DSGVO handle, verfängt in rechtlicher Hinsicht aufgrund der nachstehenden Erwägungen nicht:
II.3.1.4. Bei „Gesundheitsdaten“ im Sinne von Art. 9 Abs. 1 DSGVO handelt es sich um besonders schutzwürdige personenbezogene Daten nach der Systematik des Art. 9 DSGVO. römisch zwei.3.1.4. Bei „Gesundheitsdaten“ im Sinne von Artikel 9, Absatz eins, DSGVO handelt es sich um besonders schutzwürdige personenbezogene Daten nach der Systematik des Artikel 9, DSGVO.
Die Sozialversicherungsnummer ermöglicht die Identifikation einer bestimmten Person und zählt daher zweifelsohne zu den schutzwürdigen personenbezogenen Daten im Sinne von § 1 Abs. 1 DSG bzw. dem (unionsrechtlichen) Begriffsverständnis von Art. 4 Z 1 DSGVO. Mit Hilfe der Sozialversicherungsnummer ist jedenfalls eine Identifizierung des Beschwerdeführers als natürliche Person möglich (vgl. zu alldem EuGH 19.10.2016, C-582/14, (Breyer)).Die Sozialversicherungsnummer ermöglicht die Identifikation einer bestimmten Person und zählt daher zweifelsohne zu den schutzwürdigen personenbezogenen Daten im Sinne von Paragraph eins, Absatz eins, DSG bzw. dem (unionsrechtlichen) Begriffsverständnis von Artikel 4, Ziffer eins, DSGVO. Mit Hilfe der Sozialversicherungsnummer ist jedenfalls eine Identifizierung des Beschwerdeführers als natürliche Person möglich vergleiche zu alldem EuGH 19.10.2016, C-582/14, (Breyer)).
Die Sozialversicherungsnummer per se stellt jedoch noch kein Gesundheitsdatum im Sinne von Art. 4 Z 15 iVm Art. 9 Abs. 1 DSGVO dar. Die Sozialversicherungsnummer per se stellt jedoch noch kein Gesundheitsdatum im Sinne von Artikel 4, Ziffer 15, in Verbindung mit Artikel 9, Absatz eins, DSGVO dar.
II.3.1.5. Hierzu ist zunächst beachtlich, dass die Sozialversicherungsnummer nicht immer das konkrete Geburtsdatum der betroffenen Person enthält. Unabhängig davon können aus einem Geburtsdatum noch keine hinlänglichen Schlussfolgerungen über die Gesundheit einer betroffenen Person gezogen werden. Insgesamt stellt das Geburtsdatum keine besondere Kategorie personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO dar, da daraus weder die rassische und ethnische Herkunft noch die politische Meinung, religiöse oder weltanschauliche Überzeugung oder die Gewerkschaftszugehörigkeit des Beschwerdeführers hervorgeht, es sich auch nicht um ein genetisches und/oder biometrisches Datum zur eindeutigen Identifizierung einer Person, ein Gesundheitsdatum oder ein Datum zum Sexualleben oder der sexuellen Orientierung einer Person handelt (vgl hierzu bereits BVwG vom 14.05.2021, W214 2234011-1).römisch zwei.3.1.5. Hierzu ist zunächst beachtlich, dass die Sozialversicherungsnummer nicht immer das konkrete Geburtsdatum der betroffenen Person enthält. Unabhängig davon können aus einem Geburtsdatum noch keine hinlänglichen Schlussfolgerungen über die Gesundheit einer betroffenen Person gezogen werden. Insgesamt stellt das Geburtsdatum keine besondere Kategorie personenbezogener Daten gemäß Artikel 9, Absatz eins, DSGVO dar, da daraus weder die rassische und ethnische Herkunft noch die politische Meinung, religiöse oder weltanschauliche Überzeugung oder die Gewerkschaftszugehörigkeit des Beschwerdeführers hervorgeht, es sich auch nicht um ein genetisches und/oder biometrisches Datum zur eindeutigen Identifizierung einer Person, ein Gesundheitsdatum oder ein Datum zum Sexualleben oder der sexuellen Orientierung einer Person handelt vergleiche hierzu bereits BVwG vom 14.05.2021, W214 2234011-1).
Zwar legt der EuGH den Begriff „Daten über Gesundheit“ weit aus und bezieht sich auf alle Informationen, die die Gesundheit einer Person unter allen Aspekten – körperlichen wie psychischen – betreffen (EuGH 06.11.2003, C-101/01 (Bodil Lindqvist), Rz 50). Gemäß Art. 9 Abs. 1 DSGVO ist eine Zuordnung personenbezogener Daten zu der Kategorie Gesundheitsdatum dann möglich, wenn alle Tatbestandselemente der Begriffsbestimmung in Art. 4 Z 15 DSGVO erfüllt werden. Für das Vorliegen von Gesundheitsdaten müssen entsprechend der Legaldefinition in Art. 4 Z 15 DSGVO folgende zwei Tatbestandselemente erfüllt sein: (1) Die Daten müssen sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdaten beziehen und (2) aus den Daten müssen Informationen über den Gesundheitszustand der natürlichen Person hervorgehen. Im dazugehörigen Erwägungsgrund 35 werden im ersten Satz die Tatbestandsvoraussetzungen des Art. 4 Z 15 DSGVO erläuternd wiedergegeben. Im zweiten Satz zählt der Erwägungsgrund 35 – beispielhaft („dazu gehören auch“) – vier Bereiche auf, wo Gesundheitsdaten verarbeitet werden: (1) die im Zuge der Anmeldung für sowie der Erbringung von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates für die natürliche Person erhoben werden, (2) Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu identifizieren, (3) Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, auch aus genetischen Daten und biologischen Proben, abgeleitet wurden, und (4) Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, ob sie nun von einem Arzt oder sonstigem Angehörigen eines Gesundheitsberufes, einem Krankenhaus, einem Medizinprodukt oder einem In-Vitro-Diagnostikum stammen. Jedoch gilt – auch – für diese vier Bereiche, dass Gesundheitsdaten nur dann vorliegen, wenn die Tatbestandsvoraussetzungen gemäß Art. 4 Z 15 DSGVO erfüllt sind; in diesem Zusammenhang ist auf die ständige Rechtsprechung des EuGH zu verweisen, wonach den Erwägungsgründen ausschließlich erläuternder Charakter zukommt, dementsprechend ausschließlich dem Gesetzeswortlaut normative Wirkung zukommt (vgl. EuGH vom 19.06.2014, C-345/13 (Karen Millen Fashions), Rz 31; 24.11.2015, C-136/04 (Deutsches Milch-Kontor GmbH), Rz 32, jeweils mwH). Zwar legt der EuGH den Begriff „Daten über Gesundheit“ weit aus und bezieht sich auf alle Informationen, die die Gesundheit einer Person unter allen Aspekten – körperlichen wie psychischen – betreffen (EuGH 06.11.2003, C-101/01 (Bodil Lindqvist), Rz 50). Gemäß Artikel 9, Absatz eins, DSGVO ist eine Zuordnung personenbezogener Daten zu der Kategorie Gesundheitsdatum dann möglich, wenn alle Tatbestandselemente der Begriffsbestimmung in Artikel 4, Ziffer 15, DSGVO erfüllt werden. Für das Vorliegen von Gesundheitsdaten müssen entsprechend der Legaldefinition in Artikel 4, Ziffer 15, DSGVO folgende zwei Tatbestandselemente erfüllt sein: (1) Die Daten müssen sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdaten beziehen und (2) aus den Daten müssen Informationen über den Gesundheitszustand der natürlichen Person hervorgehen. Im dazugehörigen Erwägungsgrund 35 werden im ersten Satz die Tatbestandsvoraussetzungen des Artikel 4, Ziffer 15, DSGVO erläuternd wiedergegeben. Im zweiten Satz zählt der Erwägungsgrund 35 – beispielhaft („dazu gehören auch“) – vier Bereiche auf, wo Gesundheitsdaten verarbeitet werden: (1) die im Zuge der Anmeldung für sowie der Erbringung von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates für die natürliche Person erhoben werden, (2) Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu identifizieren, (3) Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, auch aus genetischen Daten und biologischen Proben, abgeleitet wurden, und (4) Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, ob sie nun von einem Arzt oder sonstigem Angehörigen eines Gesundheitsberufes, einem Krankenhaus, einem Medizinprodukt oder einem In-Vitro-Diagnostikum stammen. Jedoch gilt – auch – für diese vier Bereiche, dass Gesundheitsdaten nur dann vorliegen, wenn die Tatbestandsvoraussetzungen gemäß Artikel 4, Ziffer 15, DSGVO erfüllt sind; in diesem Zusammenhang ist auf die ständige Rechtsprechung des EuGH zu verweisen, wonach den Erwägungsgründen ausschließlich erläuternder Charakter zukommt, dementsprechend ausschließlich dem Gesetzeswortlaut normative Wirkung zukommt vergleiche EuGH vom 19.06.2014, C-345/13 (Karen Millen Fashions), Rz 31; 24.11.2015, C-136/04 (Deutsches Milch-Kontor GmbH), Rz 32, jeweils mwH).
II.3.1.6. Fallbezogen bedeutet dies, dass Gesundheitsdaten betreffend Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu identifizieren nur dann vorliegen, wenn sämtliche Tatbestandsvoraussetzungen des Art. 4 Z 15 DSGVO erfüllt sind. Entsprechend Art. 4 Z 15 DSGVO bzw. Erwägungsgrund 35 (1. Satz) ist eine Nummer bzw. eine Sozialversicherungsnummer nur dann ein Gesundheitsdatum, wenn sich diese auf den Gesundheitszustand einer betroffenen Person bezieht und daraus Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Geisteszustand der betroffenen Person hervorgehen. Vorgenannte Aspekte können aus einer Sozialversicherungsnummer isoliert betrachtet nicht abgeleitet werden, da diese nur aus einer dreistelligen Laufnummer, einer Prüfziffer und aus einem sechsstelligen Geburtsdatum besteht. Im Ergebnis bezieht sich die Sozialversicherungsnummer als solche weder auf die körperliche oder geistige Gesundheit einer natürlichen Person, noch gehen aus ihr Informationen über den Gesundheitszustand hervor, weshalb sie sich auch nicht unter den Wortlaut von Art. 4 Z 15 DSGVO subsumieren lässt. Schließlich ist zu beachten, dass die Zuordnung personenbezogener Daten zu den Kategorien der genetischen Daten, der Gesundheitsdaten, der Daten zum Sexualleben sowie der sexuellen Orientierung unmittelbar an die Erfüllung der jeweiligen Begriffsbestimmung geknüpft ist. Das heißt, derartige Daten fallen immer unter die entsprechende Kategorie von sensiblen Daten, wenn alle Tatbestandselemente der jeweiligen Begriffsbestimmung erfüllt sind, oder eben nicht (Jahnel, Kommentar zur Datenschutz-Grundverordnung (DSGVO) Art. 9, Rz 15). Im Übrigen wird auch in der österreichischen Literatur die Ansicht nicht mehr vertreten, wonach die Sozialversicherungsnummer per se als sensibles Datum zu qualifizieren sei (vgl. dazu noch Feiler/Forgó, EU-DSGVO Art. 4 Rz 35; nunmehr Verweis auf die Rechtsprechung der DSB und Qualifikation als nationale Kennnummer im Sinne des Art 87 DSGVO in Feiler/Forgó, EU-DSGVO2 Art 4 Rz 42).römisch zwei.3.1.6. Fallbezogen bedeutet dies, dass Gesundheitsdaten betreffend Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu identifizieren nur dann vorliegen, wenn sämtliche Tatbestandsvoraussetzungen des Artikel 4, Ziffer 15, DSGVO erfüllt sind. Entsprechend Artikel 4, Ziffer 15, DSGVO bzw. Erwägungsgrund 35 (1. Satz) ist eine Nummer bzw. eine Sozialversicherungsnummer nur dann ein Gesundheitsdatum, wenn sich diese auf den Gesundheitszustand einer betroffenen Person bezieht und daraus Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Geisteszustand der betroffenen Person hervorgehen. Vorgenannte Aspekte können aus einer Sozialversicherungsnummer isoliert betrachtet nicht abgeleitet werden, da diese nur aus einer dreistelligen Laufnummer, einer Prüfziffer und aus einem sechsstelligen Geburtsdatum besteht. Im Ergebnis bezieht sich die Sozialversicherungsnummer als solche weder auf die körperliche oder geistige Gesundheit einer natürlichen Person, noch gehen aus ihr Informationen über den Gesundheitszustand hervor, weshalb sie sich auch nicht unter den Wortlaut von Artikel 4, Ziffer 15, DSGVO subsumieren lässt. Schließlich ist zu beachten, dass die Zuordnung personenbezogener Daten zu den Kategorien der genetischen Daten, der Gesundheitsdaten, der Daten zum Sexualleben sowie der sexuellen Orientierung unmittelbar an die Erfüllung der jeweiligen Begriffsbestimmung geknüpft ist. Das heißt, derartige Daten fallen immer unter die entsprechende Kategorie von sensiblen Daten, wenn alle Tatbestandselemente der jeweiligen Begriffsbestimmung erfüllt sind, oder eben nicht (Jahnel, Kommentar zur Datenschutz-Grundverordnung (DSGVO) Artikel 9,, Rz 15). Im Übrigen wird auch in der österreichischen Literatur die Ansicht nicht mehr vertreten, wonach die Sozialversicherungsnummer per se als sensibles Datum zu qualifizieren sei vergleiche dazu noch Feiler/Forgó, EU-DSGVO Artikel 4, Rz 35; nunmehr Verweis auf die Rechtsprechung der DSB und Qualifikation als nationale Kennnummer im Sinne des Artikel 87, DSGVO in Feiler/Forgó, EU-DSGVO2 Artikel 4, Rz 42).
Unter Berücksichtigung des vorliegenden Sachverhaltes liegt auch kontextbezogen kein Gesundheitsdatum vor (Hödl in Knyrim, DatKomm Art 4 DSGVO (Stand 1.12.2018, rdb.at)). Unter Berücksichtigung des vorliegenden Sachverhaltes liegt auch kontextbezogen kein Gesundheitsdatum vor (Hödl in Knyrim, DatKomm Artikel 4, DSGVO (Stand 1.12.2018, rdb.at)).
Im vorliegenden Fall wurde vom Beschwerdeführer keine Gesundheitsleistung in Anspruch genommen. Der Beschwerdeführer wurde lediglich durch einen postalischen Benachrichtigungsvermerk über die anstehende Auszahlung einer Leistung nach dem Arbeitslosenversicherungsgesetz informiert und wurde im Feld „Verwendungszweck“ die Sozialversicherungsnummer des Beschwerdeführers angeführt; diese wurde somit lediglich als Identifikator verwendet. Dem Benachrichtigungsvermerk sind keine Gesundheitsdaten oder Informationen, welche Rückschlüsse auf den Gesundheitszustand des Beschwerdeführers ermöglichen würden, zu entnehmen.
II.3.1.7. Im Ergebnis war daher aus Sicht des erkennenden Senates festzustellen, dass die Sozialversicherungsnummer kein Gesundheitsdatum gemäß Art. 9 Abs. 1 DSGVO darstellt. Die mitbeteiligte Partei hat in deren Eigenschaft als für die Gewährung von Leistungen aus der Arbeitslosenversicherung zuständige öffentliche Stelle somit kein Gesundheitsdatum gemäß Art. 9 Abs. 1 DSGVO Dritten gegenüber auf unrechtmäßige Weise offengelegt. römisch zwei.3.1.7. Im Ergebnis war daher aus Sicht des erkennenden Senates festzustellen, dass die Sozialversicherungsnummer kein Gesundheitsdatum gemäß Artikel 9, Absatz eins, DSGVO darstellt. Die mitbeteiligte Partei hat in deren Eigenschaft als für die Gewährung von Leistungen aus der Arbeitslosenversicherung zuständige öffentliche Stelle somit kein Gesundheitsdatum gemäß Artikel 9, Absatz eins, DSGVO Dritten gegenüber auf unrechtmäßige Weise offengelegt.
Es war daher spruchgemäß zu entscheiden.
II.3.1.8. Zum weiteren Vorbringen beziehungsweise zu den Beweisanträgen des Beschwerdeführers: römisch zwei.3.1.8. Zum weiteren Vorbringen beziehungsweise zu den Beweisanträgen des Beschwerdeführers:
Was das Vorbringen des Beschwerdeführers in seiner Datenschutzbeschwerde, seine Sozialversicherungsnummer sei Dritten, konkret Nachbarn gegenüber, offengelegt worden, betrifft, so war dazu festzustellen, dass der Beschwerdeführer infolge des behördlichen Verbesserungsauftrages mit Schriftsatz vom 27.07.2021 zwar den Namen und das Geburtsdatum eines Nachbarn bekanntgab, das diesbezügliche Vorbringen blieb im Übrigen jedoch völlig unsubstantiiert und beinhaltet keine näheren Ausführungen dahingehend, inwiefern der betreffende Nachbar konkret Kenntnis von der Sozialversicherungsnummer des Beschwerdeführers erlangt haben soll. Abgesehen davon ist anzumerken, dass die Verarbeitung der Sozialversicherungsnummer durch die mitbeteiligte Partei, wie oben dargestellt, zu Recht erfolgte und es nicht mehr der mitbeteiligten Partei zuzurechnen wäre, wenn der Zustelldienst den postalischen Benachrichtigungsvermerk Dritten (also etwa anderen Mitbewohnern) gegenüber offengelegt haben sollte.
Auch das weitere Vorbringen des Beschwerdeführers vom 04.08.2023, es sei für die Durchführung von Auszahlungen nicht erforderlich, die Sozialversicherungsnummer des Zahlungsempfängers anzuführen, da er selbst in der Vergangenheit bereits Postbenachrichtigungen betreffend bereitgestellter Leistungen der mitbeteiligten Partei erhalten habe, in denen die Sozialversicherungsnummer geschwärzt gewesen sei, vermag am Verfahrensergebnis nichts zu ändern; wie bereits oben detailliert dargestellt, hat die mitbeteiligte Partei im Rahmen der Erfüllung gesetzlicher Aufgaben gehandelt und war die Verwendung der Sozialversicherungsnummer des Beschwerdeführers für die Erreichung des angestrebten Zwecks geeignet, erforderlich und verhältnismäßig.
Die rechtlichen Ausführungen des Beschwerdeführers im Rahmen des Beschwerdeschriftsatzes, wonach die Anweisung von Leistungen nach dem Arbeitslosenversicherungsgesetz eine Aufgabe der Bundesbehörde XXXX Österreich sei, jedoch gerade keine gesetzliche Aufgabe des XXXX und § 25 AMSG nur für das XXXX gelte, waren für den erkennenden Senat nicht nachvollziehbar, zumal sich eine solche Unterscheidung schon aus dem Gesetzestext zu § 25 AMSG nicht ergibt. Auf das diesbezügliche Vorbringen war daher auch nicht näher einzugehen. Die rechtlichen Ausführungen des Beschwerdeführers im Rahmen des Beschwerdeschriftsatzes, wonach die Anweisung von Leistungen nach dem Arbeitslosenversicherungsgesetz eine Aufgabe der Bundesbehörde römisch 40 Österreich sei, jedoch gerade keine gesetzliche Aufgabe des römisch 40 und Paragraph 25, AMSG nur für das römisch 40 gelte, waren für den erkennenden Senat nicht nachvollziehbar, zumal sich eine solche Unterscheidung schon aus dem Gesetzestext zu Paragraph 25, AMSG nicht ergibt. Auf das diesbezügliche Vorbringen war daher auch nicht näher einzugehen.
Hinsichtlich des in der Bescheidbeschwerde sowie in der Eingabe des Beschwerdeführers vom 04.08.2023 gestellten Antrags auf Beiziehung eines Sachverständigen aus dem Fachgebiet der Softwaretechnik und Programmierung zum Beweis dafür, dass die Verwendung der Sozialversicherungsnummer für den Datenverarbeitungsprozess „Anweisung von Leistungen nach dem AlVG für einen bestimmten Arbeitslosenversicherten“ nicht erforderlich wäre, war zu bemerken, dass, wie oben ausgeführt, die Verarbeitung der Sozialversicherungsnummer durch die mitbeteiligte Partei in der Form, dass diese im postalischen Benachrichtigungsvermerk angeführt wurde, rechtmäßig war; bei der Frage, ob eine bestimmte Datenverwendung gesetzmäßig war, handelt es sich naturgemäß um eine Rechtsfrage und keine Sachfrage. Die Beiziehung eines Sachverständigen in diesem Zusammenhang war daher nicht geboten (vgl zur Erheblichkeit von Beweisanträgen etwa VwGH vom 24.10.2016, Ra 2016/02/0189). Hinsichtlich des in der Bescheidbeschwerde sowie in der Eingabe des Beschwerdeführers vom 04.08.2023 gestellten Antrags auf Beiziehung eines Sachverständigen aus dem Fachgebiet der Softwaretechnik und Programmierung zum Beweis dafür, dass die Verwendung der Sozialversicherungsnummer für den Datenverarbeitungsprozess „Anweisung von Leistungen nach dem AlVG für einen bestimmten Arbeitslosenversicherten“ nicht erforderlich wäre, war zu bemerken, dass, wie oben ausgeführt, die Verarbeitung der Sozialversicherungsnummer durch die mitbeteiligte Partei in der Form, dass diese im postalischen Benachrichtigungsvermerk angeführt wurde, rechtmäßig war; bei der Frage, ob eine bestimmte Datenverwendung gesetzmäßig war, handelt es sich naturgemäß um eine Rechtsfrage und keine Sachfrage. Die Beiziehung eines Sachverständigen in diesem Zusammenhang war daher nicht geboten vergleiche zur Erheblichkeit von Beweisanträgen etwa VwGH vom 24.10.2016, Ra 2016/02/0189).
Abschließend war festzustellen, dass die belangte Behörde zurecht davon ausgegangen ist, dass von einer exzessiven Beschwerdeführung seitens des Beschwerdeführers im vorliegenden Zusammenhang nicht ausgegangen werden konnte. Es war daher auch nicht näher auf die im Zuge der Bescheidbeschwerde (sowie im Rahmen der Eingabe vom 04.08.2023) gestellten Beweisanträge des Beschwerdeführers, Mitarbeiter der belangten Behörde zum Beweis dafür, dass noch nie ein Beschwerdeverfahren gegen die mitbeteiligte Partei im nunmehrigen Verfahren geführt worden sei, einzugehen.
II.3.2. Zum Entfall einer mündlichen Verhandlung:römisch zwei.3.2. Zum Entfall einer mündlichen Verhandlung:
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.Gemäß Paragraph 24, Absatz 4, VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen.
Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.
Das Bundesverwaltungsgericht hatte vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.); diese bestand in der rechtlichen Beurteilung der verfahrensgegenständlichen und unstrittigen Verwendung der Sozialversicherungsnummer als bloßer Indikator durch eine staatliche Behörde. Das Bundesverwaltungsgericht hatte vorliegend ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.); diese bestand in der rechtlichen Beurteilung der verfahrensgegenständlichen und unstrittigen Verwendung der Sozialversicherungsnummer als bloßer Indikator durch eine staatliche Behörde.
Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12).
Die Durchführung einer mündlichen Verhandlung war fallbezogen daher nicht erforderlich.
II.3.3. Zu Spruchpunkt B) – Unzulässigkeit der Revision:römisch zwei.3.3. Zu Spruchpunkt B) – Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinausgehende – Bedeutung zukommt.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinausgehende – Bedeutung zukommt.
Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt keine Rechtsfrage von grundsätzlicher Bedeutung iSd Art 133 Abs. 4 B-VG vor, und zwar selbst dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen ist (VwGH 11. 9. 2020, Ra 2018/04/0157). Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt keine Rechtsfrage von grundsätzlicher Bedeutung iSd Artikel 133, Absatz 4, B-VG vor, und zwar selbst dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen ist (VwGH 11. 9. 2020, Ra 2018/04/0157).
Zwar liegt zur Frage, ob es sich bei der Sozialversicherungsnummer isoliert betrachtet um ein Gesundheitsdatum im Sinne von Art. 4 Z 15 DSGVO handelt, soweit ersichtlich keine Rechtsprechung des Verwaltungsgerichtshofes vor. Jedoch ist der Wortlaut der unionsrechtlichen Legaldefinition des Begriffes „Gesundheitsdaten“ klar und eindeutig dahingehend, welche Tatbestandsvoraussetzungen kumulativ vorliegen müssen, damit ein Datum unter dieses Begriffsverständnis der DSGVO subsummiert werden kann.Zwar liegt zur Frage, ob es sich bei der Sozialversicherungsnummer isoliert betrachtet um ein Gesundheitsdatum im Sinne von Artikel 4, Ziffer 15, DSGVO handelt, soweit ersichtlich keine Rechtsprechung des Verwaltungsgerichtshofes vor. Jedoch ist der Wortlaut der unionsrechtlichen Legaldefinition des Begriffes „Gesundheitsdaten“ klar und eindeutig dahingehend, welche Tatbestandsvoraussetzungen kumulativ vorliegen müssen, damit ein Datum unter dieses Begriffsverständnis der DSGVO subsummiert werden kann.
Es war daher spruchgemäß zu entscheiden.
Schlagworte
Arbeitslosengeld Aufgabenerfüllung Auszahlung Datenschutz Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Datenverwendung Geheimhaltung Gesundheitsdaten personenbezogene Daten SozialversicherungsnummerEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2023:W292.2256176.1.00Im RIS seit
17.10.2023Zuletzt aktualisiert am
17.10.2023
