W258 2262874-1/5E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden sowie Dr. Gerd TRÖTZMÜLLER und Gerhard RAUB als fachkundige Laienrichter über die Beschwerde des XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG, 1010 Wien, Schottenring 25, mitbeteiligte Partei vor dem Bundesverwaltungsgericht XXXX gegen den Bescheid der Datenschutzbehörde vom XXXX , GZ XXXX , im Umlaufwege in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:
A) Der Beschwerde wird Folge gegeben und Spruchpunkt 1. des Bescheides ersatzlos behoben.
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Begründung:
I. Allgemeines:
Ende November 2021 sollen im Namen der XXXX sowie diverser XXXX Schreiben an Personen gesendet worden sein, die keine Schutzimpfung gegen COVID-19 erhalten hatten, über 18 Jahre alt waren und einen Wohnsitz in XXXX hatten („Impferinnerungsschreiben“). In den Schreiben wurden die Empfänger eingeladen, einen Termin für eine Impfung gegen COVID-19 wahrzunehmen.
Dagegen beschwerte sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatten, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei.
In einigen Verfahren hat die belangte Behörde Bescheide gegen das XXXX („Beschwerdeführer“ im Verfahren vor dem Bundesverwaltungsgericht) erlassen, obwohl die jeweiligen Datenschutzbeschwerden nicht gegen das XXXX gerichtet waren.
Das gegenständliche Verfahren betrifft eines dieser Beschwerdeverfahren.
II. Verfahrensgang:
1. Mit Datenschutzbeschwerde vom 20.01.2022 brachte die mitbeteiligte Partei sinngemäß und auf das Wesentlichste zusammengefasst vor, ihr sei Ende 2021 ein persönlich adressiertes Impferinnerungsschreiben zugesendet worden, wofür ohne Rechtsgrundlagen ihre Gesundheitsdaten, nämlich ihr Impfstatus, verarbeitet worden sei. Dadurch sei sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt worden, weshalb sie beantrage, eine Verletzung ihrer Rechte festzustellen.
2. Die belangte Behörde holte in einem Parallelverfahren eine Stellungnahme des XXXX ein, in der es sich selbst als alleinigen Verantwortlichen für die Datenverarbeitungen im Zusammenhang mit der Erstellung und dem Versand der Impferinnerungsschreiben bezeichnete.
3. Die belangte Behörde übermittelte der mitbeteiligten Partei die Stellungnahme, führte aus, dass sie auf Grund des Vorbringens des XXXX das Verfahren nunmehr gegen das XXXX führe und räumte der mitbeteiligten Partei eine Stellungnahmefrist von zwei Wochen ein.
4. Die mitbeteiligte Partei brachte keine Stellungnahme ein.
5. Mit Bescheid vom 02.09.2022 gab die belangte Behörde der Beschwerde insoweit statt, als sie feststellte, dass XXXX den Beschwerdeführer [mitbeteiligte Partei im verwaltungsgerichtlichen Verfahren] dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem der Beschwerdegegner unrechtmäßig auf die Daten des Beschwerdeführers im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet hat.“
Begründend führte die belangte Behörde aus, das XXXX habe ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der betroffenen Person im zentralen Impfregister zugriffen. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG sowie die gesetzlichen Zuständigkeitsregelungen würden keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des § 24d Abs 2 Z 3 GTelG 2012 setze nämlich nach § 24d Abs 1 Z 4 GTelG 2012 eine spezifische Zugriffsberechtigung gemäß § 24f Abs 4 GTelG 2012 voraus, über die das XXXX nicht verfügt habe.
6. Dagegen richtet sich die gegenständliche Beschwerde vom 15.09.2022. Der Beschwerdeführer beantragte, den bekämpften Bescheid dahingehend abzuändern, dass die datenschutzrechtliche Beschwerde abgewiesen wird und führte sinngemäß begründend aus, er sei in der pandemiebedingten Krisenzeit („harter Lockdown“) von XXXX angewiesen worden, ein Impferinnerungsschreiben an die Einwohner XXXX in Entsprechung des Impfplans zu senden. Das Verwaltungshandeln des Beschwerdeführers sei daher dem XXXX zuzurechnen. Datenschutzrechtliche Verantwortlichkeit und die Zurechnung des Verwaltungshandeln fielen in diesem Fall – zulässigerweise – auseinander.
Der XXXX verfüge für den hier (vorwiegend) relevanten und zulässigen Zweck des Krisenmanagements nach § 24d Abs 2 Z 5 GTelG 2012 gemäß § 24f Abs 4 Z 6 lit a GTelG 2012 über eine spezifische Zugriffsberechtigung, woraus sich die datenschutzrechtliche Zulässigkeit der Datenverarbeitung durch den Beschwerdeführer ergebe.
Der Beschwerdeführer könne sich darüber hinaus auf den Sondertatbestand des § 24d Abs 2 Z 3 GTelG 2012 für Impferinnerungen stützen. Da für diesen Tatbestand niemandem eine spezifische Zugriffberechtigung nach § 24f Abs 4 GTelG 2012 zukomme, sei das Fehlen einer Zugriffsberechtigung nicht als absolutes Verbot zu sehen.
Die Abfrage im Patientenindex sei erfolgt, um die aktuelle Wohnadresse der betroffenen Personen zu ermitteln, um zu gewährleisten, dass die Impferinnerungsschreiben an die richtige Anschrift gesendet werden. Dahingehend sei der Zugriff zur Überprüfung der eindeutigen Identität natürlicher Personen durchgeführt worden und rechtmäßig gewesen. Sie sei darüber hinaus auch durch § 8 DSG gerechtfertigt.
7. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts dem erkennenden Gericht vor und beantragte die Beschwerde abzuweisen.
8. Das Bundesverwaltungsgericht räumte der mitbeteiligten Partei Parteiengehör zur Bescheidbeschwerde und Aktenvorlage und Stellungnahme der belangten Behörde ein. Die mitbeteiligte Partei nahm dazu mit Schriftsatz vom 23.05.2023 Stellung. Die Beschwerdeführerin habe Zweck und Mittel der Datenverarbeitung bestimmt und sei daher Verantwortliche. Da § 24f Abs 4 Z 6 GTelG dem Landeshauptmann lediglich im Rahmen seines gesetzlichen Wirkungsbereichs eine spezifische Zugriffsberechtigung auf das zentrale Impfregister einräume, habe zum Zeitpunkt des Zugriffs keine spezifische Zugriffsberechtigung für die Beschwerdeführerin bestanden.
Beweis wurde aufgenommen durch Einsichtnahme in den Verwaltungsakt.
III. Das Bundesverwaltungsgericht hat erwogen:
1. Der folgende Sachverhalt steht fest:
1.1. Der unter II. beschriebene Verfahrensgang steht fest.
1.2. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde den Beschwerdegegner wie folgt bezeichnet:
XXXX
1.3. Das XXXX wird in der Datenschutzbeschwerde nicht genannt.
1.4. Der Datenschutzbeschwerde war das persönlich an die mitbeteiligte Partei adressierte „Impferinnerungsschreiben“ beigefügt. Das Schreiben war für die XXXX sowie diverser XXXX unterfertigt. Es enthält auch sonst keinen Hinweis auf den Beschwerdeführer.
2. Die Feststellungen gründen auf der folgenden Beweiswürdigung:
Die Feststellungen gründen auf dem unbedenklichen Verwaltungsakt.
3. Rechtlich folgt daraus:
Zu A)
Die Beschwerde ist zulässig und berechtigt.
3.1. Zur Rechtslage:
3.1.1. Gemäß § 24 Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen ua die DSGVO verstößt. Soweit das der betroffenen Person zumutbar ist, hat die Beschwerde die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner) zu enthalten (§ 24 Abs 2 Z 2 DSG).
3.1.2. Die Festellung einer Rechtsverletzung einer Person, die nicht als Beschwerdegegner in der Datenschutzbeschwerde genannt war, überschreitet die „Sache“ des Verwaltungsverfahrens (VwGH 25.05.2005 2002/09/0165 mit Verweis auf VwGH 17.01.2000 97/09/0014).
3.1.3. Ist die belangte Behörde der Meinung, dass ein eindeutig bestimmter Beschwerdegegner ihres Erachtens nicht Verantwortlicher für die Datenverarbeitung ist, und das auch nicht im Wege einer vertretbaren Auslegung bereinigt werden kann, hat sie die Datenschutzbeschwerde abzuweisen (VwGH 26.08.2022, Ro 2020/04/0034 Rz 29 bzw. VwGH 18.03.2022, Ro 2020/04/0027 Rz 42).
3.2. Angewendet auf den Sachverhalt bedeutet das:
3.2.1. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde den Beschwerdegegner eindeutig bestimmt. Die Nennung des Amtes der Landesregierung „pA“ dient lediglich der Adressierung und es ergibt sich daraus gerade nicht, dass die mitbeteiligte Partei das Amt als Beschwerdegegner bezeichnen wollte.
Die belangte Behörde hat den Bescheid aber gegen jemand anderen, nämlich das XXXX erlassen.
3.2.2. Eine Umdeutung des Parteiantrags dahingehend, dass er als Beschwerdegegner auch das XXXX umfasst, scheidet auf Grund der Gestaltung des Impferinnerungsschreibens, das keinen Hinweis auf das XXXX enthält, aus. Insbesondere lässt sich von der im Impferinnerungsschreiben genannten XXXX nicht auf ihr (grundsätzlich für sie tätiges) Hilfsorgan XXXX schließen, weil das XXXX im datenschutzrechtlichen Sinne mehr als nur ein unselbstständiger Hilfsapparat der Landesregierung sein könnte. So könnte es als „andere Stelle“ selbst Verantwortlicher im Sinne des Art 4 Z 7 DSGVO sein, sofern es Zweck und Mittel der Datenverarbeitung bestimmt bzw nach dem Unionsrecht oder nationalem Recht als Verantwortlicher benannt wird (Art 4 Z 7 DSGVO), wie es etwa in § 2 Tiroler Datenverarbeitungsgesetz (TDVG) vorgesehen ist.
3.2.3. Ob die belangte Behörde – wie hier – gegenüber der mitbeteiligten Partei erklärt, dass sie das Verfahren gegen jemand anderen als den in der Datenschutzbeschwerde genannten Beschwerdegegner führen wird und die mitbeteiligte Partei sich dagegen ausspricht oder dazu trotz Möglichkeit keine Erklärung abgibt, ist ohne Bedeutung, weil die Behörde den Parteiantrag nicht einseitig abändern kann (vgl wiederum VwGH 25.05.2005, 2002/09/0165; eine Überschreitung der „Sache“ des Verwaltungsverfahrens durch die Behörde ist logisch zwingend nur dann möglich, wenn der Behörde gerade nicht die Kompetenz zukommt, den Parteiantrag abzuändern).
3.2.4. Auch der Verweis der belangten Behörde auf das hg Erkenntnis vom 30.03.2020, W274 2220424-1, bzw auf die darin genannte Entscheidung des Verwaltungsgerichtshofes vom 16.09.2009, 2007/05/0188, vermag nicht zu überzeugen, zumal die Entscheidungen die interpretative Ermittlung einer Partei bzw die Möglichkeit der Richtigstellung einer verfehlten Parteienbezeichnung, nicht jedoch – wie hier – die Änderung einer eindeutig bestimmten Partei zum Inhalt hatten.
3.2.5. Letztlich wäre der Behörde auch nicht geholfen, wenn man davon ausgehen würde, dass die belangte Behörde das Verfahren gegen die Beschwerdeführerin von Amts wegen eingeleitet hat und die Feststellung der Rechtswidrigkeit der Datenverarbeitung in Spruchpunkt 1. auf diesem Verfahren gründet. Der Datenschutzbehörde kommt in einem amtswegig eingeleiteten Verfahren nämlich nicht die Kompetenz zu, in einer rechtlich verbindlichen Weise Rechtsverletzungen festzustellen (vgl jüngst VwGH 01.09.2022, Ra 2022/04/0066 bzw die Grundsatzentscheidung VwGH 14.12.2021, Ro 2020/04/0032).
3.3. Indem die belangte Behörde den Bescheid gegen jemanden erlassen hat, der nicht von der Datenschutzbeschwerde umfasst war, hat sie die „Sache“ des Verwaltungsverfahrens überschritten, weshalb der Bescheid ersatzlos zu beheben war.
3.4. Da bereits auf Grund der Aktenlage feststand, dass der bekämpfte Bescheid aufzuheben ist, konnte von der Durchführung einer mündlichen Verhandlung gemäß § 24 Abs 2 Z 1 VwGVG abgesehen werden.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich auf die jeweils zitierte gefestigte Rechtsprechung des Verwaltungsgerichtshofes stützen.
Rückverweise
