[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
B E S C H E I D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KÖNIG, Mag. HUTTERER, Mag. MAITZ-STRASSNIG, Mag. HEILEGGER und Dr. HEISSENBERGER sowie der Schriftführerin Mag. HAJICEK in ihrer Sitzung vom 3. August 2012 folgenden Beschluss gefasst:
S p r u c h
Über die Beschwerde des Emanuel Q***(Beschwerdeführer) aus Y*** vom 28. Jänner 2012 (samt Verbesserungsschriftsatz vom 5. Mai 2012) gegen das Arbeitsmarktservice (im Folgenden kurz: AMS) Österreich (Beschwerdegegner) in Wien wegen Verletzung im Recht auf Geheimhaltung in Folge telefonischer Datenübermittlung an einen Dritten, wird entschieden:
Rechtsgrundlagen: §§ 1 Abs. 1, 6 Abs. 1, 7 Abs. 2, 14 Abs. 1, 26 Abs. 1, 31 Abs. 2 und 7 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF.
B e g r ü n d u n g
A. Vorbringen der Parteien
Der Beschwerdeführer behauptet in seiner am 8. Februar 2012 bei der Datenschutzkommission eingelangten Beschwerde eine Verletzung im Recht auf Geheimhaltung dadurch, dass der Beschwerdegegner, genauer die telefonische Hotline der Landesgeschäftsstelle ***, am 5. Jänner 2012 in einem oder mehreren Anrufen ihn betreffende personenbezogene Daten an einen Dritten (vom Beschwerdeführer als Isidor J*** identifiziert), mit dem er seit einiger Zeit im Streit liege, übermittelt habe. Jener habe diese Daten (u.a. die den Beschwerdeführer betreuende Regionalgeschäftsstelle des AMS, die Höhe seiner Bezüge nach dem Arbeitslosen-Versicherungsgesetz, seine Sozialversicherungsnummer und Tag und Uhrzeit seines nächsten Termins bei der Regionalgeschäftsstelle), zusammen mit höhnischen Kommentaren, sofort auf einer Blogsite (http://Emanuel Q***.wordpress.com) veröffentlicht, um seinem Ansehen zu schaden. Das AMS bzw. die von diesem betriebenen Telefon-Hotlines würden solche Daten, einschließlich von Bankkontonummern und Bezugshöhen, auf bloße Nennung der Sozialversicherungsnummer an jeden beliebigen Anrufer übermitteln. Der Leiter der Rechtsabteilung des AMS *** habe dies auch auf telefonische Anfrage des Beschwerdeführers hin zugegeben. Eine nähere Identitätsprüfung von Anrufern werde aus Gründen der „Kundenfreundlichkeit“ unterlassen. Der Beschwerdeführer beantragte auch, dem Beschwerdegegner derartige Auskünfte für die Zukunft zu untersagen.
Der Beschwerdegegner räumte mit Stellungnahme vom 27. Juni 2012 (unter Vorlage mehrerer Aktenvermerke des AMS *** über die internen Ermittlungen nach dem gegenständlichen Vorfall) ein, es habe sich am 5. Jänner 2012 eine Person durch Nennung der Sozialversicherungsnummer des Beschwerdeführers in mehreren Anrufen als dieser identifiziert und Auskünfte über den Beschwerdeführer erhalten. Welche Daten übermittelt worden seien, könne nicht mehr genau festgestellt werden.
Möglicherweise seien die Mitarbeiter der „ServiceLine“ des AMS dabei über die Identität des Anrufers getäuscht worden. Man sei jedoch davon ausgegangen, dass eine zulässige und gebotene Auskunft gemäß §§ 1 Abs. 3 Z 1 und 26 Abs. 1 DSG 2000 erteilt werde. Die Nennung der Sozialversicherungsnummer, die regelmäßig nur dem Versicherten (und damit dem Kunden des bzw. der Verfahrenspartei vor dem AMS) bekannt sei, sei ein ausreichender Identitätsnachweis. Man erachte dies als Wahrung der gebotenen Sorgfalt und habe nicht vor, von dieser Praxis abzugehen, da der Dienstbetrieb angesichts der enormen telefonischen Kundenfrequenz auch anders gar nicht abzuwickeln sei. Gegen Täuschung gebe es leider keine zuverlässige Abhilfe.
Der Beschwerdeführer brachte nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens noch vor, die Blogseiten http://Emanuel Q***.wordpress.com sei inzwischen vom Betreiber des Dienstes gesperrt worden, Isidor J*** habe darauf aber sofort durch Einrichtung von inhaltlich identen Blogseiten beim selben Anbieter (http://***.wordpress.com und http://o***.wordpress.com) reagiert. Der zeitliche Zusammenhang (u.a. mit der Publikation von Links auf einer Website, die Isidor J*** nachweislich zuzurechnen sei) beweise die Urheberschaft. Außerdem habe sich der Angreifer, der bereits durch Morddrohungen gegen den Beschwerdeführer polizeibekannt sei (weswegen dem Beschwerdeführer u.a. eine melderechtliche Auskunftssperre bewilligt wurde), am 5. Jänner 2012 auch eine Zulassungsauskunft über den Beschwerdeführer per E-Mail von der Bezirkshauptmannschaft XY*** verschafft. Die Praxis des Beschwerdegegners, in solcher Art und Weise telefonische Auskünfte zu erteilen, sei durch keine ausdrückliche gesetzliche Ermächtigung (auch nicht in § 25 AMSG) gedeckt. Der Beschwerdegegner berufe sich zwar auf seine Auskunftspflicht gegenüber dem Betroffenen nach § 26 Abs. 1 DSG 2000, sei aber umgekehrt nicht in der Lage, nachzuvollziehen, an wen telefonisch Daten übermittelt worden seien. Außerdem erlaube § 26 DSG 2000 keine telefonische Auskunftserteilung an unidentifizierte Anrufer. Die Sozialversicherungsnummer scheine im Geschäfts- und Behördenverkehr auf einer Vielzahl von Formularen auf und sei daher einer großen Zahl von Menschen bekannt, dadurch aber auch zur sicheren Identifizierung eines Anrufers ungeeignet (so sei ihm auch längst die Sozialversicherungsnummer seines Kontrahenten Isidor J*** bekannt). Dies sei auch nicht der erste derartige Vorfall seine Person betreffend. So habe ihn ein Unbekannter am 8. März 2010 unter bloßer Nennung der Sozialversicherungsnummer beim AMS krank gemeldet, woraus ihm wegen Einstellung der Auszahlungen durch das AMS ein Schaden entstanden sei. Er habe Verständnis dafür, wenn das AMS telefonische Terminvereinbarungen treffe, wenn der Beschwerdegegner jedoch, wie ihm aus Kontrollanrufen bekannt sei, selbst die Bezugshöhe und Daten von Bankverbindungen freizügig telefonisch auf bloße Nennung der Sozialversicherungsnummer hin bekanntgebe, so sei dies fahrlässig. Die Datenschutzkommission möge daher eine Reihe näher angeführter entsprechende Rechtsverletzung feststellen und den Beschwerdegegner „anhalten, die Weitergabe persönlicher Daten aller Art auf telefonischem Wege zu unterlassen.“
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner durch telefonische Datenübermittlung am 5. Jänner 2012 den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt hat.
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:
Der Beschwerdeführer ist auf Arbeitssuche und bezieht vom Beschwerdegegner (AMS ***, Regionalgeschäftsstelle XY***) Leistungen aus der Arbeitslosenversicherung.
Am 5. Jänner 2012 rief ein nicht identifizierter Dritter mehrfach bei der telefonisch erreichbaren „ServiceLine“ (Rufnummer 0810/*** ***) des AMS *** an. Der Unbekannte gab sich als der Beschwerdeführer aus, nannte dessen Sozialversicherungsnummer (+++0000****), und erhielt jedenfalls folgende Daten des Beschwerdeführers übermittelt:
Am 5. Jänner 2012 wurden auf der Blogsite http://Emanuel Q***.wordpress.com (gehostet von einem Betreiber in den Vereinigten Staaten von Amerika), über die, trotz des Namens, nicht der Beschwerdeführer die Kontrolle hat, folgende Informationen veröffentlicht:
„ACHTUNG! TOLLE NEWS ÜBER UNSEREN SAUBERMANN EMANUEL Q***!
Seine Sozialversicherungsnummer lautet **++! Er ist derzeit beim AMS XY*** gemeldet und hat für Dezember 2011 einen monatlichen Bezug von 701,22 EUR erhalten!
Sein nächster Termin beim AMS XY*** ist am 11.01.2012 um 7.45 Uhr, wer ihn begleiten will, kann das gerne machen!
BALD NEUE NEWS!!!! We are watching you!
Wenn wer eine Kontopfändung bei Emanuel Q*** vornehmen will, hier die Kontonummer:
++++0000 bei der Blz.: ****0
Unser Emanuel wurde im Jahr 2000 vom AMS abgelehnt und unser Saubermann Emanuel Q*** ist seit 2002 !!!!! beim AMS gemeldet und geht keiner geregelten Beschäftigung nach!!!“
Beweiswürdigung : Diese Feststellungen beruhen auf dem glaubwürdigen Vorbringen des Beschwerdeführers, das, insbesondere hinsichtlich der telefonischen Datenübermittlung, auf Tatsachenebene vom Beschwerdegegner nicht widerlegt werden konnte. So beweisen die vom Beschwerdegegner (AMS ***) am 27. Juni 2012 (einliegend zu GZ: DSK-K121.817/0008-DSK/2012) übermittelten Screenshots der Zugriffsliste auf den Datensatz des Beschwerdeführers, dass allein am 5. Jänner 2012 11 Zugriffe auf die Daten des Beschwerdeführers erfolgt sind, davon die chronologisch ersten vier durch vier verschiedene Mitarbeiterinnen der Landesgeschäftsstelle (Gst-Nr. ***), was mit dem Vorbringen des Beschwerdeführers im Einklang steht. Die Mitarbeiterinnen, die für die „ServiceLine“ (0810 / 810 500) tätig sind, sind laut Aktenvermerk über das Telefonat vom 27. Juni 2012 mit Frau Mag. *W***, AMS ***, Mitarbeiterinnen des AMS, die genannte „ServiceLine“ ist laut Website des AMS nur für das AMS *** zuständig (andere Landesgeschäftsstellen verfügen über andere Servicenummern). Die vom Beschwerdegegner als Beilagen zur Stellungnahme vom 27. Juni 2012 vorgelegten Aktenvermerke, die der Leiter der Rechtsabteilung des AMS ***, Dr. Gustav S***, über seine internen Ermittlungen am 9. Jänner 2012 angelegt hat, bestätigen dieses Bild. Demnach konnten die ServiceLine-Mitarbeiterinnen Caro B*** und Heidi V*** sich an konkrete telefonische Anfragen einer Person zwischen ca. 8:30 und kurz vor 11:00 Uhr erinnern, die den Namen des Beschwerdeführers nannte. Ein Anruf um 12:30 Uhr wiederum kann bereits dem Beschwerdeführer selbst zugerechnet werden, der sich bei Frau Auguste T*** (Schreibweise laut Zugriffsliste) über „eine Internetseite mit seinen AMS-Daten“ beschwerte und weiter verbunden werden wollte. Die Feststellungen zum Inhalt der Blogsite stützen sich wiederum auf den Ausdruck, den der Beschwerdeführer als Beilage zum Schreiben vom 5. Mai 2012 vorgelegt hat.
D. In rechtlicher Hinsicht folgt daraus :
1. anzuwendende Rechtsvorschriften
Die Verfassungsbestimmung § 1 Abs. 1 und 2 DSG 2000 lautet samt Überschrift:
„Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.“
§ 6 Abs. 1 und 2 DSG 2000 lautet samt Überschrift:
„Grundsätze
§ 6. (1) Daten dürfen nur
(2) Der Auftraggeber trägt bei jeder seiner Datenanwendungen die Verantwortung für die Einhaltung der in Abs. 1 genannten Grundsätze; dies gilt auch dann, wenn er für die Datenanwendung Dienstleister heranzieht.“
§ 7 Abs. 2 DSG 2000 lautet samt Überschrift:
„Zulässigkeit der Verwendung von Daten
§ 7. (1) [...]
(2) Daten dürfen nur übermittelt werden, wenn
§ 14 Abs. 1 und 2 DSG 2000 lautet samt Überschrift:
„Datensicherheitsmaßnahmen
§ 14. (1) Für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, sind Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit sicherzustellen, daß die Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, daß ihre Verwendung ordnungsgemäß erfolgt und daß die Daten Unbefugten nicht zugänglich sind.
(2) Insbesondere ist, soweit dies im Hinblick auf Abs. 1 letzter Satz erforderlich ist,
Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei der Durchführung erwachsenden Kosten ein Schutzniveau gewährleisten, das den von der Verwendung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.“
§ 15 Abs. 1 bis 3 DSG 2000 lautet samt Überschrift:
„Datengeheimnis
§ 15. (1) Auftraggeber, Dienstleister und ihre Mitarbeiter - das sind Arbeitnehmer (Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis - haben Daten aus Datenanwendungen, die ihnen ausschließlich auf Grund ihrer berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen Daten besteht (Datengeheimnis).
(2) Mitarbeiter dürfen Daten nur auf Grund einer ausdrücklichen Anordnung ihres Arbeitgebers (Dienstgebers) übermitteln. Auftraggeber und Dienstleister haben, sofern eine solche Verpflichtung ihrer Mitarbeiter nicht schon kraft Gesetzes besteht, diese vertraglich zu verpflichten, daß sie Daten aus Datenanwendungen nur auf Grund von Anordnungen übermitteln und das Datengeheimnis auch nach Beendigung des Arbeits(Dienst)verhältnisses zum Auftraggeber oder Dienstleister einhalten werden.
(3) Auftraggeber und Dienstleister dürfen Anordnungen zur Übermittlung von Daten nur erteilen, wenn dies nach den Bestimmungen dieses Bundesgesetzes zulässig ist. Sie haben die von der Anordnung betroffenen Mitarbeiter über die für sie geltenden Übermittlungsanordnungen und über die Folgen einer Verletzung des Datengeheimnisses zu belehren.“
§ 26 Abs. 1 DSG 2000 lautet samt Überschrift:
„Auskunftsrecht
§ 26. (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.“
§ 31 Abs. 2 und 7 DSG 2000 lautet samt Überschrift:
„Beschwerde an die Datenschutzkommission
§ 31. (1) [...]
(2) Die Datenschutzkommission erkennt weiters über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Geheimhaltung (§ 1 Abs. 1) oder in ihrem Recht auf Richtigstellung oder auf Löschung (§§ 27 und 28) verletzt zu sein, sofern der Anspruch nicht nach § 32 Abs. 1 vor einem Gericht geltend zu machen ist oder sich gegen ein Organ im Dienste der Gesetzgebung oder der Gerichtsbarkeit richtet.
(3) [...] (6)
(7) Soweit sich eine Beschwerde nach Abs. 1 oder 2 als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung im Recht auf Auskunft (Abs. 1) einem Auftraggeber des privaten Bereichs zuzurechnen, so ist diesem auf Antrag zusätzlich die – allenfalls erneute – Reaktion auf das Auskunftsbegehren nach § 26 Abs. 4, 5 oder 10 in jenem Umfang aufzutragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.“
§ 25 AMSG lautet (auszugsweise) samt Überschrift:
„Datenverarbeitung
§ 25. (1) Das Arbeitsmarktservice und das Bundesministerium für Arbeit, Soziales und Konsumentenschutz sind zur Verarbeitung von personenbezogenen Daten im Sinne des Datenschutzgesetzes, BGBl. I Nr. 165/1999, insoweit ermächtigt, als diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung sind. Gesundheitsdaten im Sinne der Z 4 dürfen nur vom Arbeitsmarktservice für die den lit. a und b jeweils entsprechenden Zwecke verarbeitet werden. Die in Frage kommenden Datenarten sind:
[Z 1 bis 9, Aufzählung der Datenarten und Betroffenenkreise, gekürzt]
(2) Die vom Arbeitsmarktservice oder vom Bundesministerium für Arbeit, Soziales und Konsumentenschutz verarbeiteten Daten gemäß Abs. 1, mit Ausnahme von Gesundheitsdaten gemäß Abs. 1 Z 4, dürfen an Behörden, Gerichte, Träger der Sozialversicherung und die Bundesanstalt Statistik Österreich im Wege der automationsunterstützten Datenverarbeitung übermittelt werden, soweit die entsprechenden Daten für die Vollziehung der jeweiligen gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bilden. Die Behörden, Gerichte und die Träger der Sozialversicherung dürfen von ihnen verarbeitete Daten gemäß Abs. 1, mit Ausnahme von Gesundheitsdaten gemäß Abs. 1 Z 4, an das Arbeitsmarktservice und an das Bundesministerium für Arbeit, Soziales und Konsumentenschutz im Wege der automationsunterstützten Datenverarbeitung übermitteln, soweit diese Daten für die Vollziehung der dem Arbeitsmarktservice und dem Bundesministerium für Arbeit, Soziales und Konsumentenschutz gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bilden. Von den Trägern der Sozialversicherung übermittelte Daten gemäß Abs. 1 Z 9 dürfen vom Arbeitsmarktservice und vom Bundesministerium für Arbeit, Soziales und Konsumentenschutz personenbezogen für Zwecke der nachhaltigen Arbeitsmarktintegration dieser Personengruppe verarbeitet werden.
(3) Die vom Arbeitsmarktservice verarbeiteten Daten gemäß Abs. 1 Z 1 dürfen an die Kammern für Arbeiter und Angestellte und an die Landarbeiterkammern im Wege der automationsunterstützten Datenverarbeitung übermittelt werden, soweit die entsprechenden Daten zum Zweck der Erfassung der wahlberechtigten Arbeitslosen benötigt werden (§ 34 Abs. 2 des Arbeiterkammergesetzes 1992, BGBl. Nr. 626/1991, und entsprechende landesgesetzliche Regelungen).
(4) Die vom Arbeitsmarktservice verarbeiteten Daten gemäß Abs. 1 dürfen an die Bundesrechenzentrum GmbH und an Einrichtungen, denen Aufgaben des Arbeitsmarktservice übertragen sind (§ 30 Abs. 3), im Rahmen der von diesen zu erbringenden Dienstleistungen im Wege der automationsunterstützten Datenverarbeitung überlassen werden.
(5) Das Arbeitsmarktservice und das Bundesministerium für Arbeit, Soziales und Konsumentenschutz dürfen die von ihnen verarbeiteten Daten gemäß Abs. 1, mit Ausnahme von Gesundheitsdaten gemäß Abs. 1 Z 4, an einen beauftragten Rechtsträger im Wege der automationsunterstützten Datenverarbeitung überlassen, soweit die entsprechenden Daten eine unabdingbare Voraussetzung für die Erfüllung eines zur Beurteilung der Dienstleistungen, Beihilfen und sonstigen finanziellen Leistungen des Arbeitsmarktservice vergebenen Forschungsauftrages sind.
(6) Die Bundesanstalt Statistik Österreich darf von ihr verarbeitete Stammdaten der Arbeitgeber gemäß Abs. 1 Z 6 und Daten über Ausbildungen gemäß Abs. 1 Z 2 lit. b und Z 7 lit. b an das Arbeitsmarktservice und an das Bundesministerium für Arbeit, Soziales und Konsumentenschutz im Wege der automationsunterstützten Datenverarbeitung übermitteln, soweit diese Daten für Zwecke in ihren gesetzlichen Aufgabenbereich fallender wissenschaftlicher oder arbeitsmarktstatistischer Untersuchungen, die keine personenbezogenen Ergebnisse zum Ziel haben (§ 46 DSG 2000), eine wesentliche Voraussetzung bilden.
(7) Gesundheitsdaten (Abs. 1 Z 4) dürfen ausschließlich zur Beurteilung der Arbeitsfähigkeit vom Arbeitsmarktservice an den zuständigen Träger der Sozialversicherung und an den zuständigen Träger der Sozialhilfe sowie von diesen Trägern an das Arbeitsmarktservice übermittelt werden. Jede Übermittlung von Gesundheitsdaten ist zu protokollieren.
(8) An Arbeitgeber dürfen ausschließlich solche Daten gemäß Abs. 1 übermittelt werden, die für die Begründung eines Arbeitsverhältnisses und die Beurteilung der beruflichen Eignung der Arbeitsuchenden benötigt werden. Gesundheitsdaten dürfen an Arbeitgeber nicht übermittelt werden.“
2. rechtliche Schlussfolgerungen
Die Beschwerde hat sich in der Sache als berechtigt erwiesen.
Dem Beschwerdeführer ist beizupflichten, wenn er ausführt, dass der Beschwerdegegner durch die Praxis, Auskünfte zu konkreten Verfahren (Arbeitsvermittlung, Gewährung von Leistungen durch das AMS) auch telefonisch gegen bloße Nennung der Sozialversicherungsnummer zu erteilen, entgegen §§ 6 Abs. 1 und 14 Abs. 1 DSG 2000 handelt.
Insbesondere hat sich der Beschwerdegegner hier zu Unrecht auf seine Auskunftspflicht gemäß § 26 Abs. 1 DSG 2000 bzw. das einem Betroffenen zukommende Recht auf Auskunft über eigene Daten berufen.
Der Gesetzgeber bindet die Ausübung dieses Rechts nämlich mit guten Gründen an strenge Kautelen, nämlich ein grundsätzlich schriftlich zu stellendes Auskunftsverlangen samt Erbringung eines Identitätsnachweises.
Der Verwaltungsgerichtshof fordert in seiner Rechtsprechung für einen solchen Identitätsnachweis einen „hohen Grad an Verlässlichkeit“:
Das Ansuchen um Auskunftserteilung nach § 26 DSG 2000 hat nach dem Wortlaut des Gesetzes schriftlich zu ergehen, wobei es mit Zustimmung des Auftraggebers auch mündlich gestellt werden kann. Die vom Gesetz vorgesehene Formvorschrift soll damit (auch) sicherstellen, dass für den Auftraggeber der Umfang des Auskunftsbegehrens klar umrissen ist (siehe dazu das hg. Erkenntnis vom 27. November 2007, Zl. 2006/06/0262). Der Auskunftswerber hat nicht nur im Auskunftsverfahren mitzuwirken (§ 26 Abs. 3 DSG 2000), sondern er hat zunächst einmal seine Identität nachzuweisen, wobei der Nachweis der Identität des Antragsteller "in geeigneter Form" zu erfolgen hat. Im Hinblick auf die Zielsetzung des Gesetzes und zur Verhinderung von Missbrauch ist ein hoher Grad an Verlässlichkeit hinsichtlich des Identitätsnachweises zu fordern. (VwGH E 09.09.2008, 2004/06/0221, RS 2, RIS)
Hier allein ist die Nennung der Sozialversicherungsnummer jedenfalls nicht geeignet , die Identität eines Anrufers mit der versicherten Person mit der gebotenen Verlässlichkeit nachzuweisen .
Wie der Beschwerdeführer zutreffend dargelegt hat, wird die Sozialversicherungsnummer im Geschäfts- und Behördenverkehr häufig als Identifikator verwendet. Sie muss beim Eintritt in ein Dienstverhältnis dem Arbeitgeber (zwecks Anmeldung des Dienstverhältnisses beim zuständigen Sozialversicherungsträger) ebenso bekanntgegeben werden wie (durch Vorweisung der Sozialversicherungskarte oder „E-Card“) bei jeder Konsultation eines Kassenarztes. Sie scheint auf häufig gebrauchten sozialversicherungsrechtlichen Urkunden wie Krankenstandsbestätigungen, ärztlichen Verordnungen und Kassenrezepten in vielfacher Zahl auf und dient (u.a. in Verfahren des Beschwerdegegners) als Personenkennzahl und Ordnungsbegriff, wird daher in Datenanwendungen einer Vielzahl von Behörden und Betrieben (wie Spitälern, Arztpraxen und Apotheken) verarbeitet werden. Zwar sind die jeweiligen datenschutzrechtlichen Auftraggeber an das Datengeheimnis gebunden, doch muss allein aus dem hohen Verbreitungsgrad des Datums der zwingende Schluss gezogen werden, dass es als telefonischer Identitätsnachweis faktisch ungeeignet ist.
Die Datenschutzkommission übersieht nicht, dass dem Beschwerdegegner bei seinen gesetzlichen Aufgaben ein schwieriger Balanceakt zwischen Datenschutz und Kunden- bzw. Parteienfreundlichkeit aufgetragen ist. § 25 AMSG schweigt zu dieser Frage, schließt aber eine Datenübermittlung an unbeteiligte Dritte ebenso aus wie die allgemeine Vorschrift des § 7 Abs. 2 DSG 2000. In Ermangelung einer speziellen gesetzlichen Regelung, die überdies die verfassungsrechtlichen Grenzen des § 1 Abs. 2 DSG 2000 zu beachten hätte, muss jedoch der Schluss gezogen werden, dass die hier aufgezeigte Praxis der telefonischen Datenübermittlung unzulässig ist.
Im Beschwerdefall hat dies dazu geführt, dass Daten des Beschwerdeführers zu dessen Nachteil entgegen § 7 Abs. 2 Z 2 DSG 2000 einem nicht-legitimierten Empfänger, der vor einer vergleichsweise simplen Täuschungshandlung (telefonische Nennung eines fremden Namens und einer fremden Sozialversicherungsnummer) nicht zurückschreckte, übermittelt wurden. Dadurch wurde der Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt. Es waren daher die spruchgemäßen Feststellungen zu treffen.
Es wird zu den Pflichten des Beschwerdegegners gemäß § 14 Abs. 1 DSG 2000 gehören, unverzüglich organisatorische und technische Vorkehrungen zu treffen, die eine Wiederholung derartiger Vorfälle ausschließen (etwa die Vergabe einer nur der Partei des AMS-Verfahrens bekanntzugebenden verfahrens- oder transaktionsbezogenen Geheimzahl, die bei telefonischen Auskunftsbegehren nachweislich zu nennen ist, ähnlich der Praxis im telefonischen Geschäftsverkehr von Banken).
Auf die Pflicht gemäß § 40 Abs. 4 DSG 2000, den der Rechtsansicht der Datenschutzkommission entsprechenden Zustand herzustellen, wird verwiesen. Auftraggeber des öffentlichen Bereiches haben den der Rechtsanschauung der Datenschutzkommission entsprechenden Zustand herzustellen.
Soweit der Beschwerdeführer die Erlassung eines entsprechenden Auftrags begehrt hat, war sein Anbringen jedoch auf Grund von § 31 Abs. 7 DSG 2000 in Verbindung mit § 40 Abs. 4 DSG 2000 als unzulässig zurückzuweisen.
Rückverweise
