Verstößt das AMS gegen das Datenschutzrecht?

#Strenge Kriterien für Datenermittlung

Das AMS ist nämlich laut

§ 25 Arbeitsmarktservicegesetz (AMSG) zur Ermittlung und Verarbeitung personenbezogener Daten nur dann ermächtigt, wenn "diese zur Erfüllung der gesetzlichen Aufgaben eine wesentliche Voraussetzung sind". Sonst dürfen die Daten nach dieser Bestimmung gar nicht ermittelt oder verarbeitet werden. Die Kriterien für die Übermittlung der Daten an Einrichtungen, denen Aufgaben des AMS übertragen wurden, sind sogar noch enger: Gemäß § 25 Abs 2 AMSG ist die Übermittlung nur zulässig, "soweit die Daten unabdingbare Voraussetzung für die Erfüllung der übertragenen Aufgaben sind" - das heißt, wenn die Betreuungseinrichtungen ohne diese Daten ihre Aufgaben nicht erfüllen könnten. Das wird wohl nur in Ausnahmefällen zutreffen.

Die DSK beurteilte in der erwähnten Entscheidung die Speicherung der Daten der Beschwerdeführerin und ihre Weitergabe an die Betreuungseinrichtung nicht nach dem AMSG, sondern nach den allgemeinen Regeln des Datenschutzgesetzes 2000 (DSG 2000). Demnach ist die Verwendung von sensiblen, also insbesondere auch gesundheitsbezogenen Daten unter anderem dann zulässig, wenn sich die Ermächtigung hierzu aus einer gesetzlichen Vorschrift ergibt. Aus Sicht der DSK sind

§ 25 Abs 1 und 2 AMSG solche gesetzlichen Regelungen. Die Ermittlung und Verarbeitung der gesundheitsbezogenen Daten wäre deshalb zulässig. Außerdem betrachtete die DSK die Betreuungseinrichtungen des AMS als Dienstleister im Sinn des DSG 2000. Jene müssen grundsätzlich bloß ausreichende Gewähr für eine rechtmäßige und sichere Datenanwendung bieten. Sonst gibt es keine besonderen rechtlichen Voraussetzungen für die Überlassung von Daten, weshalb die Datenüberlassung an Betreuungseinrichtungen als zulässig erachtet wurde. Den Widerspruch zwischen den engen Voraussetzungen des AMSG und jenen nach den allgemeinen und großzügigeren Regeln des DSG 2000 "bereinigte" die DSK mit der Begründung, dass das jüngere DSG 2000 dem älteren AMSG aus dem Jahr 1998 derogieren, also aufheben würde. Diese Argumentation hinkt allerdings bereits insofern, als die DSK in ihrer Begründung für die rechtmäßige Ermittlung und Verarbeitung der gegenständlichen Daten ja selbst auf § 25 Abs 1 und 2 AMSG verweist. Dieser Verweis würde im Fall der Derogation dieser Bestimmungen des AMSG ins Leere gehen.

Bestimmungen des AMSG nicht derogiert

Es sprechen also gute Gründe dafür, dass § 25 AMSG weiterhin in Geltung steht. Die Derogation einer Rechtsnorm tritt grundsätzlich nur in dem Umfang ein, in dem derselbe Sachverhalt im späteren Rechtsakt abweichend geregelt wird und nichts gegen die Annahme spricht, dass eine Derogation bezweckt war. Bei § 25 AMSG und dem DSG ist das nicht der Fall, weil das AMSG nur den speziellen Fall der Verarbeitung und Ermittlung von Daten durch das AMS und die Überlassung dieser Daten an Dritte regelt. Hingegen befasst sich das DSG 2000 ganz allgemein mit den Voraussetzungen für die Datenüberlassung. Die speziellere Norm des § 25 AMSG bleibt daher nach dem Grundsatz lex generalis non derogat legi speciali in Geltung. Die Ermittlung und Verarbeitung von gesundheitsbezogenen Daten durch das AMS ist nur zulässig, wenn dies zur Erfüllung der übertragenen Aufgaben eine "wesentliche Voraussetzung" ist. Die Weitergabe der vom AMS ermittelten und verarbeiteten Daten an Betreuungseinrichtungen ist darüber hinaus nur zulässig, wenn dies im Einzelfall "unabdingbare Voraussetzung" für die Erfüllung der der Betreuungseinrichtung übertragenen Aufgaben ist. Das wird wohl bei gesundheitsbezogenen Daten in der Regel nicht der Fall sein.

Gerald Otto ist Rechtsanwalt bei der Brauneis Klauser Prändl Rechtsanwälte GmbH.