W245 2263644-1/8E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Bernhard SCHILDBERGER, LL.M. als Vorsitzenden sowie Dr. Agnes BALTHASAR-WACH als fachkundige Laienrichterin und Mag. Thomas GSCHAAR als fachkundigen Laienrichter über die Beschwerde des Amtes der XXXX Landesregierung, vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG, 1010 Wien, Schottenring 25, mitbeteiligte Partei vor dem Bundesverwaltungsgericht XXXX vertreten durch Rechtsanwalt Dr. Andreas FUSSENEGGER, LL.M., gegen den Bescheid der Datenschutzbehörde vom 02.09.2022, GZ 2022-0.347.251 (DSB-D772.040), im Umlaufwege in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:
A) Der Beschwerde wird Folge gegeben und Spruchpunkt 1. des Bescheides ersatzlos behoben.
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Begründung:
I. Allgemeines:
Ende November 2021 sollen im Namen der Gesundheitsreferentin der XXXX Landesregierung, der Ärztinnen und Ärztekammer XXXX sowie diverser Sozialversicherungsträger Schreiben an Personen gesendet worden sein, die keine Schutzimpfung gegen COVID-19 erhalten hatten, über 18 Jahre alt waren und einen Wohnsitz in XXXX hatten („Impferinnerungsschreiben“). In den Schreiben wurden die Empfänger eingeladen, einen Termin für eine Impfung gegen COVID-19 wahrzunehmen.
Dagegen beschwerte sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatten, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei.
In einigen Verfahren hat die belangte Behörde Bescheide gegen das Amt der XXXX Landesregierung („Beschwerdeführer“ im Verfahren vor dem Bundesverwaltungsgericht) erlassen, obwohl die jeweiligen Datenschutzbeschwerden nicht gegen das Amt der XXXX Landesregierung gerichtet waren.
Das gegenständliche Verfahren betrifft eines dieser Beschwerdeverfahren.
Die Beschwerde der mitbeteiligten Partei, eingebracht durch deren Rechtsvertreter, richtete sich fallgegenständlich gegen XXXX , das Land XXXX , XXXX , Präsident der XXXX Ärztekammer, die Ärztekammer XXXX , XXXX , leitender Chefarzt der XXXX , die XXXX , den XXXX sowie die XXXX . Dennoch führte die belangte Behörde im Bescheid als Beschwerdegegner auch das Amt der XXXX Landesregierung an.
II. Verfahrensgang:
1. Mit Datenschutzbeschwerde vom 13.12.2021 brachte die mitbeteiligte Partei sinngemäß und auf das Wesentlichste zusammengefasst vor, ihr sei Ende 2021 ein persönlich adressiertes Impferinnerungsschreiben zugesendet worden, wofür ohne Rechtsgrundlagen ihre Gesundheitsdaten, nämlich ihr Impfstatus, verarbeitet worden sei. Dadurch sei sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt worden, weshalb sie beantrage, eine Verletzung ihrer Rechte festzustellen.
2. Die belangte Behörde holte in einem Parallelverfahren eine Stellungnahme des Amtes der XXXX Landesregierung ein, in der es sich selbst als alleinigen Verantwortlichen für die Datenverarbeitungen im Zusammenhang mit der Erstellung und dem Versand der Impferinnerungsschreiben bezeichnete.
3. Die belangte Behörde übermittelte der mitbeteiligten Partei die Stellungnahme, führte aus, dass sie auf Grund des Vorbringens des Amtes der XXXX Landesregierung das Verfahren nunmehr gegen das Amt führe und räumte der mitbeteiligten Partei eine Stellungnahmefrist von zwei Wochen ein.
4. Die mitbeteiligte Partei brachte am 10.05.2022 eine Stellungnahme ein, in der sie die Ausführungen des Amtes der XXXX Landesregierung mit näherer Begründung bestritt.
5. Mit Bescheid vom 02.09.2022 gab die belangte Behörde der Beschwerde insoweit statt, als sie feststellte, dass „der Erstbeschwerdegegner Amt der XXXX Landesregierung den Beschwerdeführer XXXX dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem der Erstbeschwerdegegner unrechtmäßig auf die Daten des Beschwerdeführers im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet hat.“
Begründend führte die belangte Behörde aus, das Amt der XXXX Landesregierung habe ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der betroffenen Person im zentralen Impfregister zugriffen. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG sowie die gesetzlichen Zuständigkeitsregelungen würden keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des § 24d Abs 2 Z 3 GTelG 2012 setze nämlich nach § 24d Abs 1 Z 4 GTelG 2012 eine spezifische Zugriffsberechtigung gemäß § 24f Abs 4 GTelG 2012 voraus, über die das Amt der XXXX Landesregierung nicht verfügt habe.
6. Dagegen richtet sich die gegenständliche Beschwerde vom 15.09.2022. Der Beschwerdeführer beantragte, den bekämpften Bescheid dahingehend abzuändern, dass die datenschutzrechtliche Beschwerde abgewiesen wird und führte sinngemäß begründend aus, er sei in der pandemiebedingten Krisenzeit („harter Lockdown“) von der zuständigen Gesundheitslandesrätin im Namen des Landeshauptmanns angewiesen worden, ein Impferinnerungsschreiben an die Einwohner XXXX in Entsprechung des Impfplans zu senden. Das Verwaltungshandeln des Beschwerdeführers sei daher dem Landeshauptmann zuzurechnen. Datenschutzrechtliche Verantwortlichkeit und die Zurechnung des Verwaltungshandeln fielen in diesem Fall – zulässigerweise – auseinander.
Der Landeshauptmann verfüge für den hier (vorwiegend) relevanten und zulässigen Zweck des Krisenmanagements nach § 24d Abs 2 Z 5 GTelG 2012 gemäß § 24f Abs 4 Z 6 lit a GTelG 2012 über eine spezifische Zugriffsberechtigung, woraus sich die datenschutzrechtliche Zulässigkeit der Datenverarbeitung durch den Beschwerdeführer ergebe.
Der Beschwerdeführer könne sich darüber hinaus auf den Sondertatbestand des § 24d Abs 2 Z 3 GTelG 2012 für Impferinnerungen stützen. Da für diesen Tatbestand niemandem eine spezifische Zugriffberechtigung nach § 24f Abs 4 GTelG 2012 zukomme, sei das Fehlen einer Zugriffsberechtigung nicht als absolutes Verbot zu sehen.
Die Abfrage im Patientenindex sei erfolgt, um die aktuelle Wohnadresse der betroffenen Personen zu ermitteln, um zu gewährleisten, dass die Impferinnerungsschreiben an die richtige Anschrift gesendet werden. Dahingehend sei der Zugriff zur Überprüfung der eindeutigen Identität natürlicher Personen durchgeführt worden und rechtmäßig gewesen. Sie sei darüber hinaus auch durch § 8 DSG gerechtfertigt.
7. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts dem erkennenden Gericht vor und beantragte die Beschwerde abzuweisen.
8. Die mitbeteiligte Partei wurde mit Schreiben vom 05.05.2023 vom BVwG zum Parteiengehör bis zum 25.05.2023 aufgefordert. Die mitbeteiligte Partei nahm dazu mit Schriftsatz vom 23.05.2023 Stellung. Der Beschwerdeführer habe Zweck und Mittel der Datenverarbeitung bestimmt und sei daher Verantwortliche. Da § 24f Abs 4 Z 6 GTelG dem Landeshauptmann lediglich im Rahmen seines gesetzlichen Wirkungsbereichs eine spezifische Zugriffsberechtigung auf das zentrale Impfregister einräume, habe zum Zeitpunkt des Zugriffs keine spezifische Zugriffsberechtigung für den Beschwerdeführer bestanden.
Beweis wurde aufgenommen durch Einsichtnahme in den Verwaltungsakt.
III. Das Bundesverwaltungsgericht hat erwogen:
1. Der folgende Sachverhalt steht fest:
1. Der unter II. beschriebene Verfahrensgang steht fest.
2. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde als Beschwerdegegner ausdrücklich XXXX , das Land XXXX , XXXX Präsident der XXXX Ärztekammer, die Ärztekammer für XXXX , XXXX , leitender Chefarzt der XXXX , die XXXX , den XXXX sowie die XXXX angeführt.
In ihrer Datenschutzbeschwerde fügte die mitbeteiligte Parteie bei den Beschwerdegegnern XXXX und Land XXXX den Zusatz „pA Amt der XXXX Landesregierung“ hinzu.
3. Der Datenschutzbeschwerde war das persönlich an die mitbeteiligte Partei adressierte „Impferinnerungsschreiben“ beigefügt. Das Schreiben war für die Gesundheitsreferentin der XXXX Landesregierung, die Ärztinnen und die Ärztekammer XXXX sowie diverser Sozialversicherungsträger unterfertigt. Es enthält auch sonst keinen Hinweis auf den Beschwerdeführer.
2. Die Feststellungen gründen auf der folgenden Beweiswürdigung:
Die Feststellungen gründen auf dem unbedenklichen Verwaltungsakt.
3. Rechtlich folgt daraus:
Zu A)
Die Beschwerde ist zulässig und berechtigt.
3.1. Zur Rechtslage:
3.1.1. Gemäß § 24 Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen ua die DSGVO verstößt. Soweit das der betroffenen Person zumutbar ist, hat die Beschwerde die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner) zu enthalten (§ 24 Abs 2 Z 2 DSG).
3.1.2. Die Festellung einer Rechtsverletzung einer Person, die nicht als Beschwerdegegner in der Datenschutzbeschwerde genannt war, überschreitet die „Sache“ des Verwaltungsverfahrens (VwGH 25.05.2005 2002/09/0165 mit Verweis auf VwGH 17.01.2000 97/09/0014).
3.1.3. Ist die belangte Behörde der Meinung, dass ein eindeutig bestimmter Beschwerdegegner ihres Erachtens nicht Verantwortlicher für die Datenverarbeitung ist, und das auch nicht im Wege einer vertretbaren Auslegung bereinigt werden kann, hat sie die Datenschutzbeschwerde abzuweisen (VwGH 26.08.2022, Ro 2020/04/0034 Rz 29 bzw. VwGH 18.03.2022, Ro 2020/04/0027 Rz 42).
3.2. Angewendet auf den Sachverhalt bedeutet das:
3.2.1. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde die Beschwerdegegner eindeutig bestimmt. Die belangte Behörde hat den Bescheid aber gegen jemand anderen, nämlich das Amt der XXXX Landesregierung, erlassen.
3.2.2. Eine Umdeutung des Parteiantrags dahingehend, dass er als Beschwerdegegner auch das Amt der XXXX Landesregierung umfasst, scheidet auf Grund der Gestaltung des Impferinnerungsschreibens, das keinen Hinweis auf das Amt der XXXX Landesregierung enthält, aus. Insbesondere lässt sich von der im Impferinnerungsschreiben genannten Gesundheitsreferentin der XXXX Landesregierung bzw. Gebietskörperschaft Land XXXX nicht auf das Hilfsorgan Amt der XXXX Landesregierung schließen, weil das Amt der XXXX Landesregierung im datenschutzrechtlichen Sinne mehr als nur ein unselbstständiger Hilfsapparat der Landesregierung sein könnte. So könnte es als „andere Stelle“ selbst Verantwortlicher im Sinne des Art 4 Z 7 DSGVO sein, sofern es Zweck und Mittel der Datenverarbeitung bestimmt bzw nach dem Unionsrecht oder nationalem Recht als Verantwortlicher benannt wird (Art 4 Z 7 DSGVO), wie es etwa in § 2 Tiroler Datenverarbeitungsgesetz (TDVG) vorgesehen ist.
Soweit die mitbeteiligte Partei in Datenschutzbeschwerde bei den Beschwerdegegnern XXXX und Land XXXX den Zusatz „pA Amt der XXXX Landesregierung, …“ verwendete, so kann daraus nicht gewonnen werden, dass die mitbeteiligte Partei den Beschwerdeführer als Beschwerdegegner bezeichnen wollte. Die Nennung des Amtes der Landesregierung „pA“ dient lediglich der Adressierung und es ergibt sich daraus gerade nicht, dass die mitbeteiligte Partei das Amt als Beschwerdegegner bestimmen wollte.
3.2.3. Ob die belangte Behörde – wie hier – gegenüber der mitbeteiligten Partei erklärt, dass sie das Verfahren gegen jemand anderen als den in der Datenschutzbeschwerde genannten Beschwerdegegner führen wird und die mitbeteiligte Partei sich dagegen ausspricht oder dazu trotz Möglichkeit keine Erklärung abgibt, ist ohne Bedeutung, weil die Behörde den Parteiantrag nicht einseitig abändern kann (vgl wiederum VwGH 25.05.2005, 2002/09/0165; eine Überschreitung der „Sache“ des Verwaltungsverfahrens durch die Behörde ist logisch zwingend nur dann möglich, wenn der Behörde gerade nicht die Kompetenz zukommt, den Parteiantrag abzuändern).
3.2.4. Auch der Verweis der belangten Behörde auf das hg Erkenntnis vom 30.03.2020, W274 2220424-1, bzw auf die darin genannte Entscheidung des Verwaltungsgerichtshofes vom 16.09.2009, 2007/05/0188, vermag nicht zu überzeugen, zumal die Entscheidungen die interpretative Ermittlung einer Partei bzw die Möglichkeit der Richtigstellung einer verfehlten Parteienbezeichnung, nicht jedoch – wie hier – die Änderung einer eindeutig bestimmten Partei zum Inhalt hatten.
3.2.5. Letztlich wäre der Behörde auch nicht geholfen, wenn man davon ausgehen würde, dass die belangte Behörde das Verfahren gegen den Beschwerdeführer von Amts wegen eingeleitet hat und die Feststellung der Rechtswidrigkeit der Datenverarbeitung in Spruchpunkt 1. auf diesem Verfahren gründet. Der Datenschutzbehörde kommt in einem amtswegig eingeleiteten Verfahren nämlich nicht die Kompetenz zu, in einer rechtlich verbindlichen Weise Rechtsverletzungen festzustellen (vgl jüngst VwGH 01.09.2022, Ra 2022/04/0066 bzw die Grundsatzentscheidung VwGH 14.12.2021, Ro 2020/04/0032).
3.3. Indem die belangte Behörde den Bescheid gegen jemanden erlassen hat, der nicht von der Datenschutzbeschwerde umfasst war, hat sie die „Sache“ des Verwaltungsverfahrens überschritten, weshalb der Bescheid ersatzlos zu beheben war.
3.4. Da bereits auf Grund der Aktenlage feststand, dass der bekämpfte Bescheid aufzuheben ist, konnte von der Durchführung einer – nicht beantragten – mündlichen Verhandlung gemäß § 24 Abs 2 Z 1 VwGVG abgesehen werden.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich auf die jeweils zitierte gefestigte Rechtsprechung des Verwaltungsgerichtshofes stützen.
Rückverweise
