Datenschutz: Arbeitsmarktchancen-Assistenzsystem (AMAS)

DSGVO: Art 6, Art 9, Art 22

Das Arbeitsmarktchancen-Assistenzsystem (AMAS) errechnet auf Grundlage personenbezogener Daten - etwa Alter, Geschlecht, Ausbildung und Arbeitserfahrung, aber auch der Gesundheit - die jeweiligen Vermittlungschancen am Arbeitsmarkt für die arbeitssuchenden Personen. Die Datenschutzbehörde untersagte dem AMS diese Datenverarbeitung mit Wirkung vom 1. 1. 2021, „sofern bis zu diesem Zeitpunkt keine geeignete Rechtsgrundlage für die Datenverarbeitung“ vorliege. In Bezug darauf beschäftigt sich der VwGH zunächst mit Art 6 Abs 1 lit e DSGVO (Erforderlichkeit der Verarbeitung personenbezogener Daten für die „Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt“, wobei die Rechtsgrundlage für die Verarbeitung gem Art 6 Abs 3 DSGVO „durch Unionsrecht oder das Recht der Mitgliedstaaten“ festgelegt wird und „das Unionsrecht oder das Recht der Mitgliedstaaten“ ein „im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen“ müssen). Nach Ansicht des VwGH muss der nationale Gesetzgeber zur Erfüllung dieses Rechtfertigungstatbestandes nicht die Datenverarbeitung selbst im Gesetz determinieren; vielmehr ist der Rechtfertigungstatbestand erfüllt, wenn die Aufgabe in der Rechtsgrundlage hinreichend klar und bestimmt beschrieben wird und die betreffende Datenverarbeitung dem Zweck der Erfüllung dieser Aufgabe dient. Die betreffende Rechtsgrundlage kann zwar spezifischere Regelungen enthalten, zwingend vorgesehen ist dies jedoch nicht (arg: „kann“ in Art 6 Abs 3 dritter Satz DSGVO).

IZm besonderer Kategorien personenbezogener Daten bezieht sich der Rechtfertigungsgrund des Art 9 Abs 2 lit g DSGVO ebenso wie Art 6 Abs 1 lit e DSGVO auf das Erfordernis der Verarbeitung aus Gründen eines - iZm Art 9 Abs 2 lit g DSGVO erheblichen - öffentlichen Interesses („auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht“). In Hinblick auf die strukturellen Gemeinsamkeiten der beiden Rechtfertigungstatbestände und des jeweiligen Verweises auf das Unionsrecht oder das Recht eines Mitgliedstaats sowie mangels einer gegenteiligen Anordnung ist auch zur Rechtfertigung der Verarbeitung besonderer Kategorien personenbezogener Daten iSd Art 9 Abs 2 lit g DSGVO davon auszugehen, dass die ausreichend klare Festlegung der mit der Verarbeitung zu erfüllenden Aufgabe - die im Zusammenhang dieser Daten eine besondere Qualität aufzuweisen hat (arg: „erhebliches öffentliches Interesse“) - geboten, aber eben auch hinreichend ist. Diese Sichtweise entspricht der Ansicht des EuGH in C-136/17 (= Rechtsnews 27992), der für die dort strittige Datenverarbeitung eine mögliche rechtfertigende Rechtsgrundlage im Recht auf freie Information gem Art 11 GRC sieht (vgl Rn 61, 66 und 68) und bei seiner Prüfung keineswegs darauf abstellt, ob die rechtfertigende Rechtsgrundlage die strittige Datenverarbeitung selbst bezeichnet.

Es unterliegt keinem Zweifel, dass §§ 29 bis 31 AMSG die Aufgabe, in deren Zusammenhang das AMS zur Verarbeitung der in § 25 Abs 1 AMSG aufgezählten Daten ermächtigt wird, und damit den Rahmen für den erlaubten Zweck der Datenverarbeitung hinreichend klar und präzise bezeichnen.

Die Frage des Vorliegens eines öffentlichen Interesses an den Aufgaben, die dem AMS durch die §§ 29 ff AMSG übertragen werden, wird - auch von der Revision - nicht in Abrede gestellt. Nach den Vorgaben der Rsp des EuGH kann es auch keinem Zweifel unterliegen, dass die Zielsetzung des Gesetzgebers – nämlich die bestmögliche Integration arbeitssuchender Personen am nationalen Arbeitsmarkt – ein erhebliches öffentliches Interesse iSd Art 9 Abs 2 lit g DSGVO verfolgt, steht doch diese Zielsetzung im Zusammenhang mit dem effizienten Einsatz staatlicher Unterstützungsmittel und Optimierung sozialer Zufriedenheit arbeitssuchender Personen einerseits und bestmöglicher Versorgung des Arbeitsmarkts andererseits. Dass die fallbezogene Datenverarbeitung in einem angemessenen Verhältnis zu den verfolgten Zielen steht, wird nicht in Abrede gestellt und ist auch nicht ersichtlich (insb auch, weil nur diejenigen Gesundheitsdaten verarbeitet werden, die die Ausübung von Tätigkeiten am Arbeitsmarkt einschränken und daher unmittelbar in Beziehung zu der Beschäftigungsvermittlung stehen).

VwGH 21. 12. 2023, Ro 2021/04/0010

Entscheidung

DSG-Prüfungsmaßstab

Insofern die Revision auf die Anforderungen des § 1 Abs 2 DSG, die Rsp des VfGH zum Legalitätsprinzip des Art 18 B-VG und die ungenügende Rechtsgrundlage der „Bundesrichtlinie“ des AMS wegen deren unzureichender Verbindlichkeit verweist, hält der VwGH fest, dass weder die Beratung im Rahmen der Arbeitsvermittlung selbst noch die Erstellung des Betreuungsplans (einer Betreuungsvereinbarung) iSd § 38c AMSG dem (sei es auch schlicht) hoheitlichen Tätigkeitsbereich des AMS zuzurechnen ist. Vielmehr handelt es sich hier um einen Teil des privatwirtschaftlichen Handelns des AMS, das vor dem Hintergrund des funktionalen Behördenbegriffs des § 1 Abs 2 DSG in datenschutzrechtlicher Hinsicht nicht dem dort determinierten Maßstab für Eingriffstatbestände in das Grundrecht auf Geheimhaltung personenbezogener Daten unterliegt.

Schon aus diesem Grund ist die umstrittene Rechtmäßigkeit der verfahrensgegenständlichen Datenverarbeitung unter Heranziehung der maßgeblichen Bestimmungen der DSGVO zu prüfen, ohne den Maßstab des § 1 Abs 2 DSG zu berücksichtigen.

Automatisierte Entscheidung iSd Art 22 Abs 1 DSGVO?

Gem Art 22 Abs 1 DSGVO hat die betroffene Person das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruht und ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

An der Einordnung der vom AMS angewendeten automatisierten Verarbeitung der personenbezogenen Daten der Arbeitssuchenden auf Basis eines mathematisch-statistischen Programms (in AMAS) als „Profiling“ iSd Art 4 Z 4 DSGVO ist nach dem Maßstab der Rsp des EuGH in C-634/21 (= Rechtsnews 34842) nicht zu zweifeln.

Nun ist den Ausführungen des EuGH zufolge bereits die automatisierte Verarbeitung - hier die Ermittlung des IC-Werts, der die Wahrscheinlichkeit der Integration in den Arbeitsmarkt ermittelt - selbst (bereits) als eine „automatisierte Entscheidung“ iSd Art 22 Abs 1 DSGVO anzusehen, sofern dieser Wahrscheinlichkeitswert maßgeblich die Zuordnung in die vorgesehenen Gruppen von Arbeitssuchenden bestimmt, und so den betroffenen Arbeitssuchenden gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Dass die Letztentscheidung über die Gruppenzuordnung bei den BeraterInnen des AMS liege, vermag damit die Qualifikation des AMAS als eine automatisierte Entscheidung iSd Art 22 Abs 1 DSGVO nicht zu hindern, liegt dem Urteil des EuGH ja auch der Sachverhalt zugrunde, dass letztlich der potentielle Kreditgeber über die Frage des Zustandekommens des Kreditvertrages entscheidet. Die - womöglich - rein formale Abtrennung der von der automatisierten Datenverarbeitung maßgeblich beeinflussten Entscheidung von der automatisierten Datenverarbeitung selbst, hindert die Einordnung Letzterer als vor dem Hintergrund des Art 22 DSGVO grundsätzlich verbotene Entscheidung nämlich gerade nicht (vgl nochmals EuGH C-634/21, Rn 73).

Die Feststellung des BVwG, dass durch Handlungsanleitungen und Schulungen sichergestellt worden sei, dass die BeraterInnen des AMS das Ergebnis des Algorithmus nicht unhinterfragt übernehmen würden, mag nun zwar die Annahme rechtfertigen, die Einordnung in die jeweilige Gruppe von Arbeitssuchenden erfolge nicht ausschließlich aufgrund des AMAS. Diese Feststellung schließt aber nicht aus, dass AMAS - als automatisierte Entscheidung - letztlich maßgeblich für diese Einordnung ist.

Da das BVwG keine Feststellungen zur genauen Verwendung des AMAS getroffen hat - insb keine konkreten Feststellungen zur Frage, welche anderen Parameter in welchem Ausmaß Berücksichtigung finden bzw welche Vorgangsweise bei der Verwertung des AMAS vorgesehen ist -, kann bereits die Frage der Maßgeblichkeit der automatisierten Verarbeitung im vorliegenden Fall nicht erschöpfend rechtlich beurteilt werden.

Zulässigkeit einer automatisierten Entscheidung

Sollte die Verwendung des AMAS unter den Tatbestand des Art 22 Abs 1 DSGVO fallen, hätte dies zur Folge, dass sie verboten ist, es sei denn, eine der Ausnahmen des Art 22 Abs 2 DSGVO ist anwendbar und die besonderen Anforderungen von Art 22 Abs 3 und 4 DSGVO sind erfüllt.

Art 22 Abs 2 lit b DSGVO enthält eine Öffnungsklausel, die es der Union und den Mitgliedstaaten eröffnet, Rechtsvorschriften für automatisierte Entscheidungen zu schaffen. Die betreffenden - rechtfertigenden - nationalen Rechtsvorschriften müssten jedoch den Erlass der automatisierten Entscheidung im Einzelfall erlauben und zudem angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten (vgl die Ausführungen des EuGH in C-634/21, Rn 65). Ferner müssten diese den Anforderungen der Art 5 und 6 DSGVO in deren Auslegung durch die Rsp des EuGH genügen (vgl wiederum EuGH C-634/21, Rn 68).

Das AMSG enthält nun ersichtlich keine Vorschrift, die in Hinblick auf die fallbezogene Verarbeitung - den AMAS - den Rechtfertigungstatbestand des Art 22 Abs 2 lit b DSGVO erfüllen würde.

Zwar versteht die DSGVO unter „Rechtsgrundlage“ - und demnach auch unter „Rechtsvorschrift“ in Art 22 Abs 2 lit b DSGVO - dem Erwägungsgrund 41 zufolge nicht notwendigerweise einen „von einem Parlament angenommenen Gesetzgebungsakt“. Ob jedoch für die Anwendung von AMAS eine entsprechende rechtliche Grundlage zur Rechtfertigung dieses Profiling existiert, die den Ansprüchen des Erwägungsgrundes 41 hinsichtlich Klarheit, Präzision und Vorhersehbarkeit und den Anforderungen des EuGH zur Öffnungsklausel genügt (vgl wiederum C-634/21, Rn 65 und 68), wurde vom BVwG nicht geprüft.

Das BVwG wird nun im fortgesetzten Verfahren im Rahmen einer mündlichen Verhandlung vor dem Hintergrund der dargestellten Rechtslage mit den Parteien die Rechtslage zu erörtern und diesen Gelegenheit zur Stellungnahme bzw zu ergänzendem Tatsachenvorbringen zu geben haben.