BVwG W252 2242206-1

Spruch:

W252 2242206-1/7E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde von XXXX , XXXX (mitbeteiligte Partei vor dem Verwaltungsgericht: XXXX Wien), gegen den Bescheid der Datenschutzbehörde vom 03.02.2021, GZ DSB- XXXX , in nichtöffentlicher Sitzung in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:

A)

I. Der Beschwerde wird teilweise stattgegeben und festgestellt, dass die mitbeteiligte Partei den Beschwerdeführer in seinem Recht auf Geheimhaltung dahingehend verletzt hat, indem sie die Daten aus dem Geschäftsfall 1992 bis 1994, wie die Adresse und den Familienstand des BF, bis zum neuerlichen Geschäftsfall am 16.11.2019 ohne Rechtsgrundlage weiterverarbeitet hat.

II. Die Beschwerde wird hinsichtlich der Verletzung im Recht auf Löschung abgewiesen.

B)

Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Eingabe vom 25.11.2019 erhob der Beschwerdeführer (in Folge „BF“) eine Datenschutzbeschwerde an die belangte Behörde und brachte zusammengefasst vor, die mitbeteiligte Partei (in Folge „MP“) habe ihn in seinem Recht auf Geheimhaltung und Löschung verletzt. Als er sich im Jahr 2019 über sein eAMS-Konto arbeitslos melden wollte, habe er bemerkt, dass hierbei bereits Daten aus seiner Arbeitslosigkeit im Jahr 1992-1994 vorausgefüllt seien. Das AMSG sehe eine Löschungsfrist von sieben Jahren vor. Die mitbeteiligte Partei habe seine Daten jedoch nicht gelöscht.

2. Mit Stellungnahme vom 02.03.2020 führte die MP im Wesentlichen aus, dass bei ihr generell keine automatisierte Datenlöschung stattfinde. Eine Weiterverarbeitung auch über die sieben-Jahresfrist des AMSG sei aufgrund der Geltendmachung und Ausübung von Rechtsansprüchen der KundInnen, sowie aufgrund rechtlicher Verpflichtungen bzw der Wahrnehmung von Aufgaben im öffentlichen Interesse notwendig. Es gebe denkbare Szenarien bei denen Informationen auch noch Jahre nach einer Inanspruchnahme von Arbeitslosengeld benötigt werden.

3. Der BF replizierte darauf mit E-Mail vom 12.04.2020 und argumentierte, dass die Praxis der MP gegen den Grundsatz von Treu und Glauben verstoße. Eine Weiterverarbeitung lediglich aufgrund hypothetischer Szenarien, welche auf ihn aber nicht zutreffen würden, sei nicht mit der DSGVO vereinbar.

4. Mit ergänzender Stellungnahme vom 02.03.2020 brachte die MP abermals vor, dass es Konstellationen gebe, in denen ein Anspruch sich erst durch nicht im Vorhinein feststellbare Umstände manifestiere. Eine Löschung komme somit faktisch einer Anspruchsvernichtung gleich, weil eine nachfolgende Anspruchsprüfung de facto unrealisierbar gemacht werde. Darüber hinaus übermittelte sie einen Datenbankauszug zum BF.

5. Mit Stellungnahme vom 05.01.2021 wiederholte der BF im Wesentlichen sein bisheriges Vorbringen. Die MP dürfe seine Daten nicht bloß aufgrund theoretisch möglicher Konstellationen auf Vorrat halten.

6. Mit Bescheid vom 03.02.2021 wies die belangte Behörde die Beschwerde als unbegründet ab. Hinsichtlich der Stammdaten des BF führte die belangte Behörde aus, dass der BF zuletzt im November 2019 Arbeitslosengeld beantragt habe, weshalb die siebenjährige Aufbewahrungsfrist für diese Daten noch nicht verstrichen sei. Hinsichtlich der Vormerk- und Bezugszeiten führte die belangte Behörde aus, dass die vom BF angeführte Löschfrist des AMSG keine absolute Frist sei, sondern unter bestimmten Voraussetzungen verlängert werden könne. Der MP komme eine hoheitliche Aufgabe zu, zu deren Erfüllung die vom BF angeführten Daten notwendig gewesen seien. Deren Verarbeitung sei daher rechtmäßig. Das Löschungsbegehren des BF sei in weiterer Folge nicht erfolgreich.

7. Gegen diesen Bescheid richtet sich die gegenständliche Beschwerde des BF vom 25.02.2021. In dieser gibt der BF zusammengefasst an, dass der Bescheid nicht auf die konkrete Situation eingehe, sondern sich lediglich auf hypothetische Spezialkonstellationen stütze. Seine Beschwerde richte sich gegen die „alten“ Daten aus dem vergangenem Geschäftsfall und nicht gegen jene aus dem aktuellen Geschäftsfall. Die belangte Behörde habe dies falsch beurteilt. Außerdem seien die vorgelegten Daten unvollständig.

8. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts mit Schriftsatz vom 29.04.2021, hg eingelangt am 06.05.2021, vor und beantragte, unter Verweis auf die Begründung des angefochtenen Bescheids, die Beschwerde abzuweisen.

Beweise wurden erhoben durch Einsichtnahme in den Verwaltungsakt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Der folgende Sachverhalt steht fest:

1.1. Die MP ist ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit. Ihr obliegt die Durchführung der Arbeitsmarktpolitik des Bundes.

1.2. Der BF bezog zwischen dem 1992 und 1994 Arbeitslosengeld bzw Notstandshilfe. Am 16.11.2019 beantragte der BF erneut Arbeitslosengeld bei der MP. Am 19.11.2019 wurden dem BF 364 Tage Arbeitslosengeld in der Höhe von täglich EUR 56,46 zuerkannt.

Die Auskunft des Beschwerdegegners stellt sich diesbezüglich auszugsweise wie folgt dar (Formatierung nicht 1:1 wiedergegeben):

Beim Einrichten des eAMS-Kontos waren Personenstand und Adresse des BF mit Daten aus dem Geschäftsfall von 1992-1994 vorausgefüllt.

1.3. Am 11.11.2019 wandte sich der BF mit folgendem Schreiben an die MP (Formatierung nicht 1:1 wiedergegeben):

„Liebes AMS Datenschutzteam

Scheint da reden wir ein bisschen an einander vorbei:

Meine Frage war:

Warum Daten aus einem 25 Jahre (mehr als 3x 7 Jahre!!) zurückliegendem Geschäftsfall

noch immer beim AMS aktiv sind, wo diese doch It. Ihrem Informationsblatt schon längst

gelöscht hätten sein sollen!

Mit dem eAMS Konto hat das gar nichts zu tun! Ich wage sogar keck zu behaupten, dass es in den 90er Jahren noch kein eAMS Konto gab =>konnte damals diese Löschung nicht aktiv anstoßen!

Formuliere daher die Frage neu/um:

Liegt das daran, dass ihr Löschalgorithmus mit derart alten Daten "überfordert" ist? Daher diese Daten im System (unbeabsichtigt) verbleiben

=> was gedenken Sie daher gegen besagte "Überforderung" zu tun um die vorgesehene Löschung auch dieser Daten von alten AMS Kunden wir mir sicherzustellen?

Oder werden derartige "Stammdaten" sowieso nie gelöscht?

mfg XXXX “ (E-Mail des BF vom 11.11.2019; OZ 1, S 15).

Mit Schreiben vom 21. November 2019 beantwortete der Beschwerdegegner die Fragen des Beschwerdeführers wie folgt (Formatierung nicht 1:1 wiedergegeben):

„Sehr geehrter Herr XXXX ,

ich melde mich wie zugesagt bezüglich ihres Anliegens zurück, zu dem ich nun zwischenzeitlich weitere Informationen vorliegen habe:

1. Vorhandensein "alter" personenbezogener Daten im Personenstamm

Hier wurde mir mitgeteilt, dass im Zeitpunkt Ihres erstmaligen Einstieges in das e-AMS-Konto noch alte Daten vorhanden waren, weil von Ihnen bis zu diesem Zeitpunkt noch keine neuen Bekanntgaben erfolgten und dies erst nachfolgend über das e-AMS geschah.

2. Verarbeitung von Daten über die zulässige Dauer

Das führt dann auch gleich zur Frage, wie lange das AMS Daten verarbeitet und wann es diese löscht. Diesbezüglich ist zu sagen, dass eine Löschung aktuell nur auf Antrag und manuell geschieht, wobei aktuell an einer automatisierten Form gearbeitet wird.

Eine Löschung von Daten erfolgt, soweit keine der folgenden Ausnahmen vorliegen: So hat das AMS Ihre Daten bis sieben Jahre nach Ende eines Geschäftsfalles aufzubewahren (§ 25 Abs. 9 AMSG), wobei als Beendigung eines Geschäftsfalles Z.B. die Abmeldung von einer Vormerkung als arbeitssuchend oder das Ende der Geltungsdauer einer Beschäftigungsbewilligung zu verstehen ist. Diese Frist von sieben Jahren verlängert sich, wenn die Daten weiterhin zur Geltendmachung. Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden, einzelne gesetzliche Bestimmungen längere Fristen vorsehen (z.B. bei Beihilfen) oder eine weitergehende Verarbeitung aus dem Vorliegen anderer Rechtmäßiqkeitsgründe zulässig ist. Aus diesem Grunde sind beispielsweise Vermerk- und Bezugszeiten von der Löschung auszunehmen, denn diese Daten werden einerseits vom AMS für die Kenntlichmachung aufrechter und nicht gänzlich konsumierter Leistungsansprüche und somit deren bestimmungsgemäßer Durchführung benötigt (Art 17 Abs 3 lit b und e DSGVO), andererseits sind diese Daten dem Hauptverband der Sozialversicherungsträger zur Erfüllung seiner im öffentlichen Interesse liegenden Aufgaben zur Verfügung zu stellen, da beispielsweise Vormerkzeiten und Bezugszeiten als Ersatzzeiten der Pension in Betracht kommen (Art 17 Abs 3 lit b und e DSGVO). Ebenso sind nach ständiger Rechtsprechung der Datenschutzbehörde Verfahrensdaten (Bescheidteile, Ermittlungsverfahren, etc., vgl. K121.972/0008-DSK/2013) und Protokolldaten (Wer einen Zugriff auf einen Datensatz getätigt hat, etc., vgl. K121.038/0006-DSK/2005) keine den Betroffenenrechten zugänglichen Daten (allerdings kann eine "Auskunft" hier im Rahmen der Akteneinsicht erfolgen).

Auch die von uns in begrenztem Umfang im Rahmen statistischer Erhebungen in unserem Data Warehouse verarbeiteten personenbezogenen Daten (Art 89 Abs 1, 3 iVm § 7 Abs 1 Z 2 DSG) zur Erstellung qualitativer Statistiken, Messwerte und Kennzahlen zum Zweck der Verbesserung unseres Leistungsangebotes und der Maximierung der gebotenen Servicequalität sind keiner Löschung zugänglich (Art 17 Abs 3 lit d DSGVO). Da Personenstammdaten untrennbar mit diesen Daten in Verbindung stehen und zu deren Identifizierung im System nötig sind, sind auch diese einer Löschung nicht zugänglich.

In vorliegenden Fall sind die alten Stammdaten beispielsweise noch verfügbar, weil an diese Adresse die Auszahlung erfolgt ist und wiederum, weil die Kenntlichmachung der Bezugszeit technisch zwangsnötig auch die Verbindung zum zugehörigen Personenstammsatz erfasst.

Ich hoffe, dass ich damit Ihren Bedenken nachkommen konnte, bedanke mich für Ihre Anfrage und verbleibe weiterhin

mit freundlichen Grüßen, […]“ (E-Mail der MP vom 21.11.2019; OZ 1, S 14).

2. Die Feststellungen ergeben sich aus der folgenden Beweiswürdigung:

Die Feststellungen gründen auf dem unbedenklichen Verwaltungsakt. Der Bezugszeitraum zwischen 1992 und 1994 ergibt sich aus dem von der MP vorgelegten Datenauszug und stimmt mit den übrigen Angaben der Parteien überein (siehe insbesondere den Datenbankauszug der MP vom 01.11.2020; OZ 1, S 300 ff).

Dass der Personenstand und die Adresse des BF beim Einrichten des eAMS-Kontos bereits vorausgefüllt waren ergibt sich aus den vom BF in seiner Datenschutzbeschwerde vorgelegten E-Mails mit einem beigefügten Screenshot (siehe dazu die E-Mail des BF an die MP vom 05.11.2019; OZ 1, S 17; bzw die E-Mail des BF vom 11.11.2019; OZ 1, S 15). Das „alte“ Daten vom BF vorhanden waren wurde von der MP nicht bestritten.

Der Inhalt der beiden zitierten E-Mails ergibt sich aus dem Verwaltungsakt (siehe E-Mail des BF vom 11.11.2019; OZ 1, S 15; sowie E-Mail der MP vom 21.11.2019; OZ 1, S 14).

3. Rechtlich folgt daraus:

Zu A)

Die zulässige Beschwerde ist teilweise berechtigt.

Beschwerdegegenstand ist, ob die MP den BF dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem sie seine Daten aus einem vergangenem Geschäftsfall nicht gelöscht, sondern weiterverarbeitet hat. Darüber hinaus ist der diesbezügliche Löschungsantrag des BF zu beurteilen.

3.1. Zu den maßgeblichen rechtlichen Bestimmungen:

Die gegenständlich relevanten Bestimmungen der DSGVO lauten auszugsweise:

„Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

[…]

Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

“

Die gegenständlich relevanten Bestimmungen des AMSG lauten auszugsweise:

„Datenverarbeitung

§25. (1) Das Arbeitsmarktservice, das Bundesverwaltungsgericht und das Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz sind zur Verarbeitung von personenbezogenen Daten im Sinne des Datenschutzgesetzes, BGBl. I Nr. 165/1999, insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung sind. Die in Frage kommenden Datenarten sind:

1. Stammdaten der Arbeitsuchenden:

a) Namen (Vornamen, Familiennamen),

b) Sozialversicherungsnummer und Geburtsdatum,

c) Geschlecht,

d) Staatsangehörigkeit, Aufenthalts- und Arbeitsberechtigungen,

e) Adresse des Wohnsitzes oder Aufenthaltsortes,

f) Telefonnummer,

g) E-Mail-Adresse,

h) Bankverbindung und Kontonummer.

[…]

(9) Die Daten gemäß Abs. 1 sind sieben Jahre nach Beendigung des jeweiligen Geschäftsfalles aufzubewahren. Die Aufbewahrungsfrist verlängert sich um Zeiträume, in denen die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen weiterhin benötigt werden oder andere rechtliche Vorschriften längere Fristen vorsehen. Die Löschung von Daten ist aus wirtschaftlichen und technischen Gründen auf ein oder zwei Termine im Jahr zu konzentrieren. Bis dahin besteht kein Anspruch auf vorzeitige Löschung. […]

3.2. Zur Rechtmäßigkeit der Verarbeitung

Dass die MP grundsätzlich zur Verarbeitung personenbezogener Daten des BF ermächtigt ist ergibt sich insbesondere aus § 25 Abs 1 AMSG iVm Art 6 Abs 1 lit e DSGVO. Demnach ist die MP im Rahmen der Durchführung der Arbeitsmarktpolitik des Bundes ermächtigt, die in § 25 Abs 1 AMSG genannten Daten, wie Stammdaten, Daten über Beruf, Ausbildung und Beschäftigungsverläufe, ect zu verarbeiten.

Dies wurde vom BF im Wesentlichen auch nicht bestritten. Der BF führte allerdings aus, dass er die Weiterverarbeitung/Speicherung seiner Daten, aus seiner Arbeitslosigkeit in den Jahren 1992-1994 bis zu seiner erneuten Arbeitslosigkeit im Jahr 2019, für unrechtmäßig halte. Es gehe ihm um sämtliche „alten“ Daten aus dem früheren Geschäftsfall.

Die Verarbeitung personenbezogener Daten ist grundsätzlich dann zulässig, wenn sie – unter Einhaltung der in Art 5 DSGVO genannten Verarbeitungsgrundsätze – auf Grund einer der in Art 6 DSGVO genannten Erlaubnistatbestände erfolgt.

3.2.1. Zur Einhaltung der Verarbeitungsgrundsätze nach Art 5 DSGVO:

Gemäß den Verarbeitungsgrundsätzen nach Art 5 DSGVO müssen personenbezogene Daten – soweit verfahrensrelevant – auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“), dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“), sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein („Richtigkeit“) und in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist („Speicherbegrenzung“).

Zur zulässigen Speicherdauer:

Der Grundsatz der Datenminimierung besagt, dass Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Keinesfalls ist eine Speicherung von personenbezogenen Daten über die festgelegten Zwecke hinaus, also auf Vorrat, mit dem Grundsatz der Datenminimierung in Einklang zu bringen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO Rz 32, 36). Der Grundsatz der Speicherbegrenzung konkretisiert den Grundsatz der Datenminimierung in Bezug auf die zulässige Speicherdauer. Der Verantwortliche soll Fristen für die Löschung oder regelmäßige Überprüfungen der personenbezogenen Daten vorsehen um sicherzustellen, dass diese nicht länger als notwendig gespeichert werden. Die konkrete Festlegung der Speicherfristen kann sich auch unmittelbar aus dem Gesetz ergeben. Nach Ablauf der Speicherfrist sind personenbezogene Daten grundsätzlich zu löschen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO Rz 46 ff).

In § 25 Abs 9 AMSG legte der Gesetzgeber eine eindeutige Frist von sieben Jahren für die Aufbewahrung der in § 25 Abs 1 AMSG genannten Daten fest. Wie den diesbezüglichen Erläuterungen des Materien-Datenschutz-Anpassungsgesetz 2018 zu entnehmen ist, beginnt die Frist mit der „Beendigung eines Geschäftsfalles“ somit im konkreten Fall der Abmeldung von der Vormerkung des BF als arbeitssuchend. Sollten lang zurückliegende Daten eines Leistungsbezuges oder einer Vormerkung für einen späteren Leistungsantrag wiederum benötigt werden, können diese Daten im Wege der beim Hauptverband der Sozialversicherungsträger bestehenden Versicherungsdatei übernommen werden (ErlRV 65 BlgNR XXVI. GP , 27).

Aufgrund der Eindeutigkeit der Regelung sowie den erläuternden Ausführungen, wie lange derartige Daten aufzubewahren sind und woher diese (erneut) zu beziehen sind, kann der Argumentation der MP nicht gefolgt werden. Es ist für den konkreten Fall des BF somit unerheblich, dass die rein hypothetische Rekonstruierung von Sachverhalten (nach über sieben Jahren) aus den Daten der Versicherungsdatei des Hauptverbandes der Sozialversicherungsträger aufwändiger erscheint (siehe die Stellungnahme der MP vom 02.03.2020, S 11 f; OZ 1, S 114 f). Dem Grundsatz „Datenschutz durch Technikgestaltung“ folgend (siehe Art 25 DSGVO) hat die MP durch geeignete technische und organisatorische Maßnahmen dafür zu sorgen, dass die Regelungen der DSGVO eingehalten werden.

Die von der MP vorgebrachte Ausnahme von der Löschungsfrist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (siehe § 25 Abs 9 AMSG bzw Art 17 Abs 3 lit e DSGVO) kann gegenständlich ebenso nicht zur Anwendung gelangen, da die MP keine, ihr als Verantwortliche zukommenden, Rechtsansprüche aufgezeigt hat. Für die etwaige Geltendmachung von Rechtsansprüchen des BF kann die MP als Verantwortliche diese Ausnahme nicht heranziehen. Hinsichtlich der Rechtsansprüche von Betroffenen wird auf Art 18 Abs 1 lit c DSGVO verwiesen, wonach die betroffene Person – hier der BF – eine Einschränkung der Verarbeitung aktiv beantragen könnte. Einen solchen Antrag hat der BF allerdings nicht gestellt, schließlich will er seinem Vorbringen nach geradezu die Löschung seiner Daten bewirken (siehe Haidinger in Knyrim, DatKomm Art 18 DSGVO Rz 19).

Auf die Übrigen von der MP vorgebrachten – allerdings rein hypothetischen – Fallkonstellationen (siehe hierzu die Stellungnahme der MP vom 02.03.2020; OZ 1, S 104 ff; sowie die Stellungnahme der MP vom 13.10.2020; OZ 1, S 186 ff; siehe ebenfalls den Bescheid vom 03.02.2021, S 23; OZ 1, S 400) war angesichts dessen, dass diese nicht auf den konkreten Fall des BF zutreffen, nicht näher einzugehen.

Eine weitere Ausnahme von der siebenjährigen Löschungsfrist ist für Fälle vorgesehen, in denen andere rechtliche Vorschriften längere Fristen vorsehen (§ 25 Abs 9 AMSG). Solche sind – den Erläuterungen folgend – beispielsweise bei bestimmten Förderungen vorgesehen. Außerdem ist eine Ausnahme für Bezugs- und Vormerkzeiträume von ehemals arbeitslosen Personen vorgesehen, deren Daten nicht aus der Versicherungsdatei beim Hauptverband der Sozialversicherungsträger übernommen werden können. Dies Betrifft allerdings nur Zeiten vor 1976 (siehe ErlRV 65 BlgNR XXVI. GP , 27). Der BF war im Zeitraum von 1992 bis 1994 arbeitslos gemeldet und hat daher keine Bezugszeiten vor 1976. Die Ausnahme trifft somit auf ihn ebenfalls nicht zu.

Sofern die belangte Behörde in ihrem Bescheid auf die Bestimmungen zur Rahmenfrist nach §§ 14, 15 AlVG und der Aufgabe im Dienste der sozialen Sicherheit der MP verweist, so ist dazu auszuführen, dass die von der MP aufgezählten, hypothetischen Fallkonstellationen auf den BF nicht zutreffen. Die konkrete Rahmenfrist des BF war vom 18.11.2017 bis zum 18.11.2019 (siehe den Datenbankauszug der MP vom 01.11.2020, S 11; OZ 1, S 310). Eine über die sieben Jahre hinausgehende Verarbeitung war daher im konkreten Fall nicht erforderlich.

Die Weiterverarbeitung/Speicherung bis zum neuerlichen Geschäftsfall im Jahr 2019 verstößt somit (seit Inkrafttreten des Materien-Datenschutz-Anpassungsgesetz 2018; 25.05.2018) gegen den Grundsatz der Speicherbegrenzung (Art 5 Abs 1 lit e DSGVO). Korrespondierend mit dem Grundsatz der Speicherbegrenzung besteht nach Art 17 eine Löschpflicht (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO Rz 53). Die Daten des BF aus dem Geschäftsfall von 1992-1994 hätten demnach von der MP gelöscht werden müssen. Die Verarbeitung war daher unrechtmäßig. Die MP hat dadurch den BF in seinem Grundrecht auf Geheimhaltung verletzt.

Die gegenwärtige Verarbeitung der Daten aus dem aktuellen Geschäftsfall erweist sich im Hinblick auf § 25 Abs 1 AMSG iVm Art 6 Abs 1 lit e DSGVO als unproblematisch.

3.3. Zum Recht auf Löschung:

Der BF brachte in seinem Löschungsantrag bzw seiner Datenschutzbeschwerde vor, dass Adresse, Familienstand, Name und Titel aus seinem „alten“ Geschäftsfall bei der Einrichtung seines eAMS-Kontos bereits vorausgefüllt waren (siehe das E-Mail des BF an die MP vom 05.11.2019; OZ 1, S 17; bzw die E-Mail des BF vom 11.11.2019; OZ 1, S 15; sowie die Datenschutzbeschwerde vom 25.11.2019; OZ 1, S 10). In seiner Replik auf den aktuellen Datenbankauszug der MP vom 01.11.2020 (OZ 1, S 300 ff) führte der BF aus, dass nunmehr folgende Daten unrechtmäßig verarbeitet werden: Der Hinweis auf seinen Notstandshilfebezug 1992-1994, sämtliche Arbeitsverhältnisse die mehr als sieben Jahre zurückliegen, die falsche Angabe über die Anzahl seiner Kinder, sowie etwaige Besprechungsnotizen aus 1992-1994.

Die vom BF in seiner Datenschutzbeschwerde angeführte „alte“ Adresse wurde, wie sich aus dem aktuellen Datenbankauszug der MP ergibt, mittlerweile berichtigt und wird nicht mehr verarbeitet, wodurch sich deren Löschung erübrigt.

Die Verarbeitung der Bezugszeiten über die Notstandshilfe, wie auch die Daten über Arbeitsverhältnisse, die mehr als sieben Jahre zurückliegen, sind – aufgrund des nunmehr aktuellen Geschäftsfalls – von der MP zu verarbeiten. Diese Daten ergeben sich, wie auch gesetzlich vorgesehen, aus dem Datenbestand des Hauptverbandes der Sozialversicherungsträger (siehe dazu den Datenbankauszug der MP vom 01.11.2020, S 30; OZ 1, S 329; wo ausgeführt ist woher die Daten über Beschäftigungsverhältnisse bzw Versicherungszeiten stammen). Da die Löschungsfrist für diese Daten im Entscheidungszeitpunkt noch nicht abgelaufen ist, besteht hierfür – unabhängig von der zwischenzeitlich unrechtmäßigen Verarbeitung – aktuell kein Löschungsanspruch des BF.

Selbiges gilt für den Namen und Titel des BF.

Sofern der BF die Anzahl seiner Kinder bzw seinen Personenstand für unrichtig erachtet, so hat er diesbezüglich keinen Antrag auf Berichtigung bei der MP gestellt und die korrekte Anzahl auch sonst nicht bekannt gegeben. Eine Löschung dieser Daten kommt angesichts des aktuellen Geschäftsfalles und in Ermangelung aktuellerer Informationen ebenso nicht in Betracht. Es steht dem BF frei sich bezüglich einer Richtigstellung an die MP zu wenden. Eine etwaige Verletzung im Recht auf Berichtigung (Art 16 DSGVO) ist nicht vom Verfahrensgegenstand umfasst.

Die MP hat mit dem Datenbankauszug vom 01.11.2020 (OZ 1, S 300 ff) sämtliche zum BF vorhandenen Daten offengelegt. Sofern der BF deren Unvollständigkeit vorbrachte, so bezog er sich dabei auf Daten zu seinem aktuellen Geschäftsfall. Die Auskunft enthielt keinerlei Hinweise auf das Vorhandensein von Besprechungsnotizen aus den Jahren 1992-1994, weshalb auch nicht über deren Löschung abgesprochen werden kann. Im Übrigen ist eine Verletzung im Recht auf Auskunft (Art 15 DSGVO) bzw deren Vollständigkeit nicht Verfahrensgegenstand.

Eine Feststellung über eine in der Vergangenheit liegende Verletzung im Recht auf Löschung – dh eine „verspätete“ Löschung – ist nicht vom Beschwerderecht nach § 24 DSG iVm Art 17 DSGVO umfasst (VwGH 27.09.2007, 2006/06/0330; VwGH 19.10.2022, Ro 2022/04/0001).

Die Beschwerde wegen einer Verletzung im Recht auf Löschung war daher im Ergebnis abzuweisen.

3.3. Eine (nicht beantragte) mündliche Verhandlung konnte entfallen, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. In der Beschwerde wurde auch kein dem Ergebnis des behördlichen Ermittlungsverfahrens entgegenstehender bzw darüberhinausgehender relevanter Sachverhalt behauptet (VwGH am 24.02.2015, Ra 2014/19/0171). Das Vorbringen des BF in der Bescheidbeschwerde, dass die von der MP vorgelegte Auskunft in Bezug auf Daten aus seinem aktuellen Geschäftsfall unvollständig sei, wirkt sich dies nicht auf die zu beurteilenden „alten“ Daten des BF aus. Die vom BF vorgelegten Screenshots deuten höchstens auf eine Unvollständigkeit der Daten zum aktuellen Geschäftsfall hin. Es gab keine Hinweise darauf, dass weitere Daten zum Geschäftsfall aus 1992-1994 vorhanden wären. Das somit unsubstantiierte Bestreiten des BF und die Behauptung es gäbe „dunkle“ Daten, konnte daher außer Betracht bleiben (VwGH 28.05.2014, Ra 2014/20/0017). Im Übrigen wiederholte der BF im Wesentlichen sein bisheriges Vorbringen vor der belangten Behörde (VwGH am 27.05.2015, Ra 2015/18/0021). Das Bundesverwaltungsgericht hatte vorliegend daher ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz. 34 ff). Dem Entfall der Verhandlung stehen auch weder Art 6 Abs 1 EMRK noch Art 47 der Charta der Grundrechte entgegen.

3.4. Es war daher spruchgemäß zu entscheiden.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die Rechtslage bezüglich der Löschungsfrist erscheint angesichts der detaillierten Erläuterungen zu § 25 Abs 9 AMSG und dem Umstand, dass die aufgezählten Sonderfälle nicht auf den zu beurteilenden konkreten Sachverhalt des BF zutreffen, so eindeutig, dass von einer Rechtsfrage von grundsätzlicher Bedeutung nicht gesprochen werden kann; vgl. VwGH 28.05.2014, Ro 2014/07/0053.