Obsah (6)

§ 23§ 1§ 2§ 25Art. 9Art. 4

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum05.11.2020 Geschäftszahl2020-0.714.215 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2020-0.714.215 vo

§ 23Abs.

2 DSG zu veröffentlichenden Entscheidung nicht möglich war.]Der Name des Beschwerdegegners als Körperschaft öffentlichen Rechts ist nicht pseudonymisiert worden, da seine gesetzlich definierten Aufgaben der Arbeitsmarktpolitik im Text der Begründung erwähnt werden, und daher eine sinnvolle und sinnerhaltende Pseudonymisierung des Namens in dieser

Paragraph 23, Absatz 2, DSG zu veröffentlichenden Entscheidung nicht möglich war.] BESCHEID SPRUCH Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Heinrich A*** (Beschwerdeführer) vom

1. Februar 2020 gegen das AMS Österreich (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt: - Die Beschwerde wird als unbegründet abgewiesen. Rechtsgrundlagen: Art. 4 Z 15, Art. 9 Abs. 1 und Abs. 2, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f und Abs. 4 sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und Abs. 2, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 1 Abs. 1 und Abs. 2, 25 Abs. 1 des Bundesgesetzes über das Arbeitsmarktservice (AMSG), BGBl. Nr. 313/1994 idgF; § 54 des Arbeitslosenversicherungsgesetz 1977 (AlVG), BGBl. Nr. 609/1977 idgF; §§ 2 und 3 Abs. 2 der AlVG-Auszahlungsverordnung (AZV), BGBl. II Nr. 470/1999 idgF sowie §§ 2 Abs. 3 und Abs. 9 des Bundesgesetzes über die Bundesrechenzentrum GmbH (BRZ GmbH), BGBl. Nr. 757/1996 idF BGBl. I Nr. 82/1997 idgF.Rechtsgrundlagen: Artikel 4, Ziffer 15,, Artikel 9, Absatz eins und Absatz 2,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f und Absatz 4, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen eins, Absatz eins und Absatz 2, 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Paragraphen eins, Absatz eins und Absatz 2, 25, Absatz eins, des Bundesgesetzes über das Arbeitsmarktservice (AMSG), Bundesgesetzblatt Nr. 313 aus 1994, idgF; Paragraph 54, des Arbeitslosenversicherungsgesetz 1977 (AlVG), Bundesgesetzblatt Nr. 609 aus 1977, idgF; Paragraphen 2, und 3 Absatz 2, der AlVG-Auszahlungsverordnung (AZV), Bundesgesetzblatt Teil 2, Nr. 470 aus 1999, idgF sowie Paragraphen 2, Absatz 3 und Absatz 9, des Bundesgesetzes über die Bundesrechenzentrum GmbH (BRZ GmbH), Bundesgesetzblatt Nr. 757 aus 1996, in der Fassung Bundesgesetzblatt Teil eins, Nr. 82 aus 1997, idgF. BEGRÜNDUNG A. Vorbringen der Parteien und Verfahrensgang
2. Mit Beschwerde vom
3. Februar 2020 brachte der Beschwerdeführer zusammengefasst vor, dass der Beschwerdegegner im Rahmen seiner gesetzlichen Aufgabenerfüllung nach dem AIVG der F*** Sparkasse, die auftrags des Beschwerdegegners Leistungen aus der Arbeitsversicherung bzw. die Buchung von daraus resultierenden Geldbeträgen abwickele, der Sparkasse ohne Einwilligung des Beschwerdeführers dessen Sozialversicherungsnummer offengelegt habe. Dabei handele es sich um eine unrechtmäßige Offenlegung von besonderen Datenkategorien, namentlich eines Gesundheitsdatums, gem. Art. 9 DSGVO. Es könne aufgrund der Natur bzw. des Zwecks der Sozialversicherungsnummer bei einer unrechtmäßigen Offenlegung derselben an Dritte jedenfalls nicht ausgeschlossen werden, dass diese Dritten mithilfe der Sozialversicherungsnummer Zugriff auf Gesundheitsdaten der betroffenen Person erlangen können.
4. Mit Beschwerde vom
5. Februar 2020 brachte der Beschwerdeführer zusammengefasst vor, dass der Beschwerdegegner im Rahmen seiner gesetzlichen Aufgabenerfüllung nach dem AIVG der F*** Sparkasse, die auftrags des Beschwerdegegners Leistungen aus der Arbeitsversicherung bzw. die Buchung von daraus resultierenden Geldbeträgen abwickele, der Sparkasse ohne Einwilligung des Beschwerdeführers dessen Sozialversicherungsnummer offengelegt habe. Dabei handele es sich um eine unrechtmäßige Offenlegung von besonderen Datenkategorien, namentlich eines Gesundheitsdatums, gem. Artikel 9, DSGVO. Es könne aufgrund der Natur bzw. des Zwecks der Sozialversicherungsnummer bei einer unrechtmäßigen Offenlegung derselben an Dritte jedenfalls nicht ausgeschlossen werden, dass diese Dritten mithilfe der Sozialversicherungsnummer Zugriff auf Gesundheitsdaten der betroffenen Person erlangen können.
6. Mit Stellungnahme vom
7. März 2020 replizierte der Beschwerdegegner und beantragte, dass die Beschwerde als unbegründet abzuweisen sei. Im Wesentlichen entgegnete der Beschwerdegegner, dass der Beschwerdeführer keine konkreten Personen angeführt habe, die Kenntnis seiner Sozialversicherungsnummer erhalten haben. Aufgrund der im heutigen Wirtschaftsverkehr vollautomatisiert erfolgenden Buchungen von Konten, tagtäglich würden tausende an Überweisungen und Verbuchungen vollautomatisiert erfolgen, erscheine die seitens des Beschwerdeführers vorausgesetzte Teilhabe von Bankbediensteten am Auszahlungsprozess nicht zu erfolgen. Darüber hinaus würde das Feld mit der Sozialversicherungsnummer nicht in generellen Buchungsansichten, die nur Buchungsbeträge und die zugehörigen Buchungszeiten anzeigen würden, idR erst in Detailbetrachtungen von Buchungen aufscheinen. Ohne die Anführung konkreter Bankbediensteter, denen die Sozialversicherungsnummer zur Kenntnis gelangt wäre, wäre die Beschwerde demnach abzuweisen, da keine tatsächlich erfolgte Rechtsverletzung stattgefunden habe. Weiters sei die Weitergabe der Sozialversicherungsnummer mit den beteiligten Akteuren betreffend die vollständige und ordnungsgemäße Abwicklung des Verfahrens zur gesetzlichen Leistungserbringung (§§ 7 Abs. 1 ff., 51 AIVG iVm Art. 6 Z. I lit. c DSGVO iVm § 25 Abs. 1 Z 1 lit. b [sic!]), unter anderem mit dem Bundesministerium für Finanzen und der Buchhaltungsagentur des Bundes, abgestimmt. Im Rahmen dessen sei nicht nur die tatsächliche Leistungserbringung, sondern alle notwendigen Tätigkeiten und zugehörigen Verarbeitungsvorgänge, die beispielsweise für nachfolgende Kontroll- und Überprüfungsverfahren die notwendigen Datengrundlagen liefern bzw. auch für jene Fälle geschafften worden, wenn der geplante Regelausgang des Verfahrens nicht oder in gravierender anderer Form eintrete. Betreffend Überweisungen eines Geldbetrages an Leistungsbezieher sei dies regelmäßig der Fall, d.h., dass der Geldbetrag regelmäßig nicht problemfrei überwiesen werde, was wiederum zu einem Leistungsrücklaufverfahren führe, im Zuge dessen nicht nur das AMS die übermittelte Sozialversicherungsnummer zur Identifizierung und Pflege des Datensatzes, sondern insbesondere auch die Buchhaltungsagentur des Bundes für die buchhalterischen Arbeiten im Zuge der Rückbuchung benötige. In diesem Zusammenhang merkt der Beschwerdegegner an, dass er selbst nur eine Zahlungsanweisung des Bundesministeriums für Finanzen ausfüllen und im Nachgang keinen Einfluss auf die tatsächlichen Umsetzungsvorgänge ausüben könne.Weiters sei die Weitergabe der Sozialversicherungsnummer mit den beteiligten Akteuren betreffend die vollständige und ordnungsgemäße Abwicklung des Verfahrens zur gesetzlichen Leistungserbringung (Paragraphen 7, Absatz eins, ff., 51 AIVG in Verbindung mit Artikel 6, Z. römisch eins Litera c, DSGVO in Verbindung mit Paragraph 25, Absatz eins, Ziffer eins, Litera b, [sic!]), unter anderem mit dem Bundesministerium für Finanzen und der Buchhaltungsagentur des Bundes, abgestimmt. Im Rahmen dessen sei nicht nur die tatsächliche Leistungserbringung, sondern alle notwendigen Tätigkeiten und zugehörigen Verarbeitungsvorgänge, die beispielsweise für nachfolgende Kontroll- und Überprüfungsverfahren die notwendigen Datengrundlagen liefern bzw. auch für jene Fälle geschafften worden, wenn der geplante Regelausgang des Verfahrens nicht oder in gravierender anderer Form eintrete. Betreffend Überweisungen eines Geldbetrages an Leistungsbezieher sei dies regelmäßig der Fall, d.h., dass der Geldbetrag regelmäßig nicht problemfrei überwiesen werde, was wiederum zu einem Leistungsrücklaufverfahren führe, im Zuge dessen nicht nur das AMS die übermittelte Sozialversicherungsnummer zur Identifizierung und Pflege des Datensatzes, sondern insbesondere auch die Buchhaltungsagentur des Bundes für die buchhalterischen Arbeiten im Zuge der Rückbuchung benötige. In diesem Zusammenhang merkt der Beschwerdegegner an, dass er selbst nur eine Zahlungsanweisung des Bundesministeriums für Finanzen ausfüllen und im Nachgang keinen Einfluss auf die tatsächlichen Umsetzungsvorgänge ausüben könne. Schließlich liege auch keine Verarbeitung besonderer Datenkategorien, konkret eines Gesundheitsdatums iSv. Art. 9 DSGVO vor. Dies sei bei dem Datum Sozialversicherungsnummer differenziert zu betrachten. Im gegenständlich Fall würde die Sozialversicherungsnummer in einer nicht-gesundheitsbezogenen Weise verarbeitet werden. Schließlich liege auch keine Verarbeitung besonderer Datenkategorien, konkret eines Gesundheitsdatums iSv. Artikel 9, DSGVO vor. Dies sei bei dem Datum Sozialversicherungsnummer differenziert zu betrachten. Im gegenständlich Fall würde die Sozialversicherungsnummer in einer nicht-gesundheitsbezogenen Weise verarbeitet werden.
8. Der Beschwerdeführer antwortete auf das ihm gewährte Parteiengehör vom
9. April 2020 nicht.
10. Mit Schreiben vom
11. August 2020 (eingelangt bei der Datenschutzbehörde am
12. August 2020) erhob der Beschwerdeführer Säumnisbeschwerde gem. Art. 132 Abs. 3 B-VG iVm §§ 7 ff VwGVG.
13. Mit Schreiben vom
14. August 2020 (eingelangt bei der Datenschutzbehörde am
15. August 2020) erhob der Beschwerdeführer Säumnisbeschwerde gem. Artikel 132, Absatz 3, B-VG in Verbindung mit Paragraphen 7, ff VwGVG. B. Beschwerdegegenstand Ausgehend vom Vorbringen des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem dieser im Zuge der gesetzlichen Leistungserbringung (Überweisung einer Geldleistung) die Sozialversicherungsnummer des Beschwerdeführers dessen Bankinstitut, der B*** Bank AG, offengelegt hat. C. Sachverhaltsfeststellungen Der Beschwerdegegner ist ein Dienstleistungsunternehmen des öffentlichen Rechts, dem die Durchführung der Arbeitsmarktpolitik obliegt. Im Zuge der gesetzlichen Leistungserbringung nach dem Arbeitslosenversicherungsgesetz übermittelte der Beschwerdegegner dem Bankinstitut, bei dem der Beschwerdeführer – zu diesem Zeitpunkt Leistungsbezieher des Beschwerdegegners – sein Empfänger-Konto hat – das ist die B*** Bank AG – u.A. die Sozialversicherungsnummer des Beschwerdeführers, welche im Überweisungsfeld „Buchungsinfo“ neben einer Information zum Bezugszeitraums der Leistung eingetragen war: [Anmerkung Bearbeiter/in: Der an dieser Stelle als grafische Datei wiedergegebene Kontoauszug bzw. Telebanking-Screenshot kann im RIS nicht problemlos dargestellt und pseudonymisiert werden und wurde daher entfernt.] In eine derartige Übermittlung seiner Sozialversicherungsnummer hat der Beschwerdeführer nicht eingewilligt. Beweiswürdigung: Die getroffenen Feststellungen beruhen auf den Eingaben der Verfahrensparteien sowie dem Akteninhalt. D. In rechtlicher Hinsicht folgt daraus:
16. Allgemeines und maßgebliche Rechtsvorschriften Eingangs ist festzuhalten, dass im gegenständlichen Fall eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG zu überprüfen ist und sich Beschränkungen dieses Anspruchs aus Abs. 2 leg. cit., allerdings nicht aus Art. 6 Abs. 1 bzw. Art. 9 Abs. 2 DSGVO ergeben. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung zu berücksichtigen (vgl. den Bescheid der DSB vom
17. Oktober 2018, GZ: DSB-D123.076/0003-DSB/2018).Eingangs ist festzuhalten, dass im gegenständlichen Fall eine Verletzung im Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG zu überprüfen ist und sich Beschränkungen dieses Anspruchs aus Absatz 2, leg. cit., allerdings nicht aus Artikel 6, Absatz eins, bzw. Artikel 9, Absatz 2, DSGVO ergeben. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung zu berücksichtigen vergleiche den Bescheid der DSB vom
18. Oktober 2018, GZ: DSB-D123.076/0003-DSB/2018).

§ 1Abs.

1 DSG hat Jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.

Paragraph eins, Absatz eins, DSG hat Jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.

§ 1Abs.

2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. Die Durchführung der Arbeitsmarktpolitik des Bundes obliegt

§ 1Abs.

1 AMSG dem „Arbeitsmarktservice“. Es handelt sich dabei um ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit.Die Durchführung der Arbeitsmarktpolitik des Bundes obliegt

Paragraph eins, Absatz eins, AMSG dem „Arbeitsmarktservice“. Es handelt sich dabei um ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit. Laut § 54 AlVG iVm. §§ 2, 3 Abs. 2 der AlVG-Auszahlungsverordnung obliegt die Anweisung der Leistungen nach dem AlVG der örtlich zuständigen regionalen Geschäftsstelle des Arbeitsmarktservice. Laut Paragraph 54, AlVG in Verbindung mit Paragraphen 2, 3, Absatz 2, der AlVG-Auszahlungsverordnung obliegt die Anweisung der Leistungen nach dem AlVG der örtlich zuständigen regionalen Geschäftsstelle des Arbeitsmarktservice. Die Mitwirkung bei der Zahlbarstellung obliegt

§ 2Abs. 3 des Bundesgesetzes über die Bundesrechenzentrum Gmb

H der Bundesrechenzentrum GmbH. Diese ist als Dienstleister

Abs. 9 leg. cit. bei der Verwendung von Daten an die Weisungen des jeweiligen Auftraggebers gebunden.Die Mitwirkung bei der Zahlbarstellung obliegt

Paragraph 2, Absatz 3, des Bundesgesetzes über die Bundesrechenzentrum GmbH der Bundesrechenzentrum GmbH. Diese ist als Dienstleister

Absatz 9, leg. cit. bei der Verwendung von Daten an die Weisungen des jeweiligen Auftraggebers gebunden.

§ 25Abs.

1 AMSG ist das Arbeitsmarktservice zur Verarbeitung von personenbezogenen Daten insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung ist. Die in Frage kommenden Datenarten sind

Z 1 lit. b leg. cit. unter anderem Sozialversicherungsnummer und Geburtsdatum. Die vom Arbeitsmarktservice verarbeiteten Daten dürfen

Abs. 4 leg. cit. an die Bundesrechenzentrum GmbH im Rahmen der von diesen zu erbringenden Dienstleistungen übermittelt werden.

Paragraph 25, Absatz eins, AMSG ist das Arbeitsmarktservice zur Verarbeitung von personenbezogenen Daten insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung ist. Die in Frage kommenden Datenarten sind

Ziffer eins, Litera b, leg. cit. unter anderem Sozialversicherungsnummer und Geburtsdatum. Die vom Arbeitsmarktservice verarbeiteten Daten dürfen

Absatz 4, leg. cit. an die Bundesrechenzentrum GmbH im Rahmen der von diesen zu erbringenden Dienstleistungen übermittelt werden.

Art. 9Abs.

1 DSGVO ist die Verarbeitung von Gesundheitsdaten untersagt, sofern kein Ausnahmetatbestand des Abs. 2 leg. cit. vorliegt. Laut Art. 4 Z 15 DSGVO handelt es sich bei Gesundheitsdaten um personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

Artikel 9

, Absatz eins, DSGVO ist die Verarbeitung von Gesundheitsdaten untersagt, sofern kein Ausnahmetatbestand des Absatz 2, leg. cit. vorliegt. Laut Artikel 4, Ziffer 15, DSGVO handelt es sich bei Gesundheitsdaten um personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. 2. In der Sache a. Zur datenschutzrechtlichen Rollenverteilung Wie den Feststellungen zu entnehmen ist, handelt es sich beim Beschwerdegegner

§ 1Abs.

1 AMSG um ein Dienstleistungsunternehmen des öffentlichen Rechts zur Durchführung der Arbeitsmarktpolitik des Bundes. Trotz organisatorischer Gliederung in Bundes-, Landes- und Regionalorganisationen besitzen die Teilorganisationen des Beschwerdegegners keine eigene Rechtspersönlichkeit, weshalb die Eigenschaft als datenschutzrechtlicher Verantwortlicher nur dem Beschwerdegegner zukommt, nicht jedoch seinen Teilorganisationen (vgl. Jahnel, Handbuch Datenschutzrecht Rz. 3/33). Wie den Feststellungen zu entnehmen ist, handelt es sich beim Beschwerdegegner

Paragraph eins, Absatz eins, AMSG um ein Dienstleistungsunternehmen des öffentlichen Rechts zur Durchführung der Arbeitsmarktpolitik des Bundes. Trotz organisatorischer Gliederung in Bundes-, Landes- und Regionalorganisationen besitzen die Teilorganisationen des Beschwerdegegners keine eigene Rechtspersönlichkeit, weshalb die Eigenschaft als datenschutzrechtlicher Verantwortlicher nur dem Beschwerdegegner zukommt, nicht jedoch seinen Teilorganisationen vergleiche Jahnel, Handbuch Datenschutzrecht Rz. 3/33). Der Beschwerdegegner war somit als staatliche Behörde im Sinne des § 1 Abs. 2 DSG zu qualifizieren. Der Beschwerdegegner war somit als staatliche Behörde im Sinne des Paragraph eins, Absatz 2, DSG zu qualifizieren. Auch der Umstand, dass im Rahmen der gegenständlichen Abwicklung der Auszahlung die Bundesrechenzentrum GmbH eingebunden wurde, ist für Qualifizierung des Beschwerdegegners als datenschutzrechtlicher Verantwortlicher unerheblich, zumal diese betreffend die Verarbeitung personenbezogener Daten an die Weisungen des Beschwerdegegners gebunden ist (vgl. § 2 Abs. 9 des Bundesgesetzes über die Bundesrechenzentrum GmbH). Auch der Umstand, dass im Rahmen der gegenständlichen Abwicklung der Auszahlung die Bundesrechenzentrum GmbH eingebunden wurde, ist für Qualifizierung des Beschwerdegegners als datenschutzrechtlicher Verantwortlicher unerheblich, zumal diese betreffend die Verarbeitung personenbezogener Daten an die Weisungen des Beschwerdegegners gebunden ist vergleiche Paragraph 2, Absatz 9, des Bundesgesetzes über die Bundesrechenzentrum GmbH). Im Übrigen wurde die datenschutzrechtliche Verantwortlichkeit seitens des Beschwerdegegners auch zu keinem Zeitpunkt bestritten. b. Zur Rechtmäßigkeit der Datenverarbeitung Einleitend ist festzuhalten, dass es sich bei der Sozialversicherungsnummer um ein personenbezogenes Datum handelt, an dem grundsätzlich ein schutzwürdiges Geheimhaltungsinteresse des Beschwerdeführers im Sinne des § 1 Abs. 1 DSG besteht: diese wird im Geschäfts- und Behördenverkehr sowie gegenständlich im Rahmen der Inanspruchnahme sozialversicherungsrechtlicher Leistungen regelmäßig als Identifikator verwendet (vgl. den Bescheid der ehemaligen DSK vom

1. August 2012, GZ: K121.817/0016-DSK/2012).Einleitend ist festzuhalten, dass es sich bei der Sozialversicherungsnummer um ein personenbezogenes Datum handelt, an dem grundsätzlich ein schutzwürdiges Geheimhaltungsinteresse des Beschwerdeführers im Sinne des Paragraph eins, Absatz eins, DSG besteht: diese wird im Geschäfts- und Behördenverkehr sowie gegenständlich im Rahmen der Inanspruchnahme sozialversicherungsrechtlicher Leistungen regelmäßig als Identifikator verwendet vergleiche den Bescheid der ehemaligen DSK vom
2. August 2012, GZ: K121.817/0016-DSK/2012). Es liegt auch keine – wie vom Beschwerdegegner vorgebracht – bloß „abstrakte Gefährdungsmöglichkeit“ vor. Der Beschwerdegegner übersieht dabei, dass, selbst wenn Buchungen von Konten regelmäßig vollautomatisiert erfolgen sollten, die personenbezogenen Daten des Beschwerdeführers jedenfalls gegenüber der B*** Bank AG – und somit gegenüber einem Dritten – offengelegt wurden. Die Qualifikation des Beschwerdegegners als „Behörde“ im Sinne des § 1 Abs. 2 DSG setzt überdies voraus, dass Eingriffe in das Grundrecht auf Datenschutz nur auf Basis einer ausreichend determinierten Rechtsgrundlage erfolgen dürfen. Die Ausführungen des Beschwerdeführers, wonach er hinsichtlich der Verarbeitung seiner Daten keine Zustimmung abgegeben habe, sind daher unbeachtlich.Die Qualifikation des Beschwerdegegners als „Behörde“ im Sinne des Paragraph eins, Absatz 2, DSG setzt überdies voraus, dass Eingriffe in das Grundrecht auf Datenschutz nur auf Basis einer ausreichend determinierten Rechtsgrundlage erfolgen dürfen. Die Ausführungen des Beschwerdeführers, wonach er hinsichtlich der Verarbeitung seiner Daten keine Zustimmung abgegeben habe, sind daher unbeachtlich. Wie § 25 Abs. 1 AMSG zu entnehmen ist, ist der Beschwerdegegner zur Verarbeitung der Sozialversicherungsnummer insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung ist.Wie Paragraph 25, Absatz eins, AMSG zu entnehmen ist, ist der Beschwerdegegner zur Verarbeitung der Sozialversicherungsnummer insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung ist. Der Beschwerdegegner führt in diesem Zusammenhang aus, die Verarbeitung der Sozialversicherungsnummer ermögliche einerseits die ordnungsgemäße Abwicklung der Auszahlung, andererseits sei dies auch für nachfolgende Kontroll- und Überprüfungsverfahren (insbesondere im Falle eines Leistungsrücklaufverfahrens) jedenfalls notwendig. Bei der Abwicklung von Auszahlungen aus der Arbeitslosenversicherung handelt es sich zweifelsohne um eine gesetzliche Aufgabe des Beschwerdegegners. Die Verarbeitung der Sozialversicherungsnummer zur ordnungsgemäßen und richtigen Zuordnung der Leistung zum jeweiligen Leistungsempfänger stellt auch insofern keine zweckfremde oder überschießende Datenverwendung dar, als unzweifelhaft ein sozialversicherungsrechtlicher Sachverhalt vorliegt. Als Zwischenergebnis kann somit festgehalten werden, dass die Verwendung der Sozialversicherungsnummer im Rahmen der Zahlungsanweisung im Zusammenhang mit einer Leistung aus der Arbeitslosenversicherung als grundsätzlich zulässig zu erachten ist. In weiterer Folge ist zu überprüfen, ob die Verwendung der genannten Daten verhältnismäßig war, da nach § 1 Abs. 2 DSG auch im Falle zulässiger Beschränkungen der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden darf (Datenminimierungspflicht).Als Zwischenergebnis kann somit festgehalten werden, dass die Verwendung der Sozialversicherungsnummer im Rahmen der Zahlungsanweisung im Zusammenhang mit einer Leistung aus der Arbeitslosenversicherung als grundsätzlich zulässig zu erachten ist. In weiterer Folge ist zu überprüfen, ob die Verwendung der genannten Daten verhältnismäßig war, da nach Paragraph eins, Absatz 2, DSG auch im Falle zulässiger Beschränkungen der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden darf (Datenminimierungspflicht). Für den durchschnittlichen Rechtsunterworfenen ist es jedenfalls nachvollziehbar, dass der Beschwerdegegner einige – in § 25 Abs. 1 AMSG aufgezählte – Datenarten zwangsläufig verarbeiten muss, damit gewisse Leistungen (beispielsweise die Bearbeitung eines Antrags für den Bezug von gewissen Leistungen aus der Arbeitslosenversicherung) erbracht werden können. Auch liegt es innerhalb der allgemeinen Lebenserfahrung, dass es aufgrund des großen Arbeitsaufkommens des Beschwerdegegners durchaus zu Leistungsrücklaufverfahren kommen kann, in dessen Rahmen eine eindeutige Identifizierung der Leistungsempfänger – insbesondere auch aus buchhalterischen Zwecken – zwangsläufig geboten ist.Für den durchschnittlichen Rechtsunterworfenen ist es jedenfalls nachvollziehbar, dass der Beschwerdegegner einige – in Paragraph 25, Absatz eins, AMSG aufgezählte – Datenarten zwangsläufig verarbeiten muss, damit gewisse Leistungen (beispielsweise die Bearbeitung eines Antrags für den Bezug von gewissen Leistungen aus der Arbeitslosenversicherung) erbracht werden können. Auch liegt es innerhalb der allgemeinen Lebenserfahrung, dass es aufgrund des großen Arbeitsaufkommens des Beschwerdegegners durchaus zu Leistungsrücklaufverfahren kommen kann, in dessen Rahmen eine eindeutige Identifizierung der Leistungsempfänger – insbesondere auch aus buchhalterischen Zwecken – zwangsläufig geboten ist. Die Verwendung der genannten Daten war für die Erreichung des angestrebten Zwecks jedenfalls wesentliche Voraussetzung und liegt im Ergebnis somit ein verhältnismäßiger Eingriff in das Recht auf Geheimhaltung vor. c. Zur Sozialversicherungsnummer als Gesundheitsdatum Zuletzt war noch auf das Vorbringen des Beschwerdeführers einzugehen, wonach es sich bei der Sozialversicherungsnummer um ein Gesundheitsdatum im Sinne des Art. 9 Abs. 1 DSGVO handle. Zuletzt war noch auf das Vorbringen des Beschwerdeführers einzugehen, wonach es sich bei der Sozialversicherungsnummer um ein Gesundheitsdatum im Sinne des Artikel 9, Absatz eins, DSGVO handle. Festzuhalten ist, dass Gesetze in Sinne des § 1 Abs. 2 DSG die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen dürfen und gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen müssen.Festzuhalten ist, dass Gesetze in Sinne des Paragraph eins, Absatz 2, DSG die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen dürfen und gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen müssen. Bei Gesundheitsdaten handelt es sich im Lichte des Art. 9 Abs. 1 DSGVO zweifelsohne um besonders schutzwürdige Daten, wobei der Begriff im Sinne der Rsp. des EuGH weit auszulegen ist (vgl. zu Art. 8 Abs. 1 der Richtlinie 95/46 das Urteil des EuGH vom
3. November 2003, C-101/01, Rs Lindqvist, Rz 50). Erfasst sind

Art. 4Z 15 DSGVO in Zusammenschau mit Erw

Gr. 35 zweiter Satz DSGVO auch Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese Person für gesundheitliche Zwecke eindeutig zu identifizieren.Bei Gesundheitsdaten handelt es sich im Lichte des Artikel 9, Absatz eins, DSGVO zweifelsohne um besonders schutzwürdige Daten, wobei der Begriff im Sinne der Rsp. des EuGH weit auszulegen ist vergleiche zu Artikel 8, Absatz eins, der Richtlinie 95/46 das Urteil des EuGH vom 6. November 2003, C-101/01, Rs Lindqvist, Rz 50). Erfasst sind

Artikel 4, Ziffer 15, DSGVO in Zusammenschau mit Erw

Gr. 35 zweiter Satz DSGVO auch Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese Person für gesundheitliche Zwecke eindeutig zu identifizieren. Die Datenschutzbehörde vertritt allerdings in ihrer ständigen Rechtsprechung, dass aus Gesundheitsdaten jedenfalls Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen müssen. Unter Berücksichtigung dieser Überlegung sind Kennziffern iSv ErwGr. 35 zweiter Satz DSGVO nicht per se als Gesundheitsdatum zu qualifizieren, sondern muss auch im Hinblick auf solche Kennziffern ein gewisser Bezug zu Informationen über den Gesundheitszustand bestehen (vgl. etwa den Bescheid der DSB vom

1. April 2019, DSB-D123.526/0001-DSB/2019). Die Datenschutzbehörde vertritt allerdings in ihrer ständigen Rechtsprechung, dass aus Gesundheitsdaten jedenfalls Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen müssen. Unter Berücksichtigung dieser Überlegung sind Kennziffern iSv ErwGr. 35 zweiter Satz DSGVO nicht per se als Gesundheitsdatum zu qualifizieren, sondern muss auch im Hinblick auf solche Kennziffern ein gewisser Bezug zu Informationen über den Gesundheitszustand bestehen vergleiche etwa den Bescheid der DSB vom
2. April 2019, DSB-D123.526/0001-DSB/2019). Wird die Sozialversicherungsnummer daher als bloßer Indikator – also wie gegenständlich unabhängig von der Inanspruchnahme einer Gesundheitsdienstleistung – verwendet, liegt kein Gesundheitsdatum und somit kein besonders schutzwürdiges Datum im Sinne des § 1 Abs. 2 DSG bzw. Art. 9 Abs. 1 DSGVO vor. Wird die Sozialversicherungsnummer daher als bloßer Indikator – also wie gegenständlich unabhängig von der Inanspruchnahme einer Gesundheitsdienstleistung – verwendet, liegt kein Gesundheitsdatum und somit kein besonders schutzwürdiges Datum im Sinne des Paragraph eins, Absatz 2, DSG bzw. Artikel 9, Absatz eins, DSGVO vor. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2020:2020.0.714.215