DSB stattet AMS-Algorithmus mit Ablaufdatum aus

Das Arbeitsmarktservice Österreich (AMS) ist für die gesamte im Zusammenhang mit dem AMAS oder AMS-Algorithmus stehende Datenverarbeitung von Arbeitssuchenden als Verantwortlicher gemäß Art 4 Z 7 DSGVO zu qualifizieren, selbst wenn die gegenständlich relevanten Daten nicht in Bundes-, sondern in Landes- oder Regionalorganisationen verarbeitet werden.

Die Einrichtung als Dienstleistungsunternehmen des öffentlichen Rechts bedingt, dass der Verantwortliche als „Behörde“ im Sinne des § 1 Abs 2 DSG zu qualifizieren ist und seine Handlungen nur auf Basis einer ausreichend determinierten Rechtsgrundlage erfolgen dürfen.

Die unter Zuhilfenahme des Arbeitsmarktchancen-Assistenz-Systems („AMAS“) erfolgte Datenverarbeitung stellt ein Handeln im Rahmen der Hoheitsverwaltung dar. Dadurch ist es erforderlich, dass sie sich auf eine hinreichend determiniert gesetzliche Ermächtigung gemäß § 1 Abs 2 DSG stützt.

Im amtswegigen Prüfverfahren nach Art 58 Abs 1 lit b DSGVO iVm § 24 DSG gehört es nicht zu den Aufgaben der Datenschutzbehörde zu prüfen, ob die vom Geprüften angegebenen Gesetzesbestimmungen im Widerspruch zu § 1 Abs 2 DSG stehen. Jedoch kann die DSB sehr wohl prüfen, ob eine Datenverarbeitung Deckung in gesetzlichen Bestimmungen findet. Das AMAS ist durch §§ 25 Abs 1, 29, und 31 Abs 5 AMSG nicht erfasst.

Es handelt sich bei den mithilfe des AMAS berechneten Informationen („Scoringwerte“) – im Wesentlichen die Arbeitsmarktchancen einer betroffenen Person – um Profiling iSv Art 4 Z 4 DSGVO, auf welches die Sonderbestimmung des Art 22 DSGVO anzuwenden ist.

Da eine „echte Aufsicht“ durch einen Menschen – also durch die Berater des AMS – nicht für alle Einzelfälle verbindlich (iSe Rechtsgarantie) angeordnet und damit auch nicht lückenlos gewährleistet ist, erfüllt das AMAS die Voraussetzungen der automatisierten Einzelentscheidung gemäß Art 22 Abs 1 DSGVO.

Da die mit dem AMAS verarbeiteten Daten auch besonders kategorisiert sind, bedarf es nach Art 22 Abs 4 iVm Art 9 Abs 2 lit g DSGVO geeigneter Garantien zum Schutz der Betroffenen, die vom verantwortlichen Betreiber derzeit nicht erfüllt werden.

Eine Abhilfebefugnis nach Art 58 Abs 2 lit f DSGVO, wonach die DSB eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, verhängen kann, kommt immer dann in Betracht, wenn für die beanstandete Verarbeitungstätigkeit einer Behörde die spezifische gesetzliche Grundlage fehlt.

Redaktionelle Leitsätze

• Thiele, Clemens