IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin MMag.a Dr.in Julia KUSZNIER als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde XXXX , vertreten durch XXXX , sowie XXXX , mitbeteiligte Partei vor dem Verwaltungsgericht, XXXX , gegen den Bescheid der Datenschutzbehörde vom 07.03.2023 , GZ: XXXX . zu Recht erkannt:
A)
Der Beschwerde wird Folge gegeben und der Spruch des angefochtenen Bescheids dahingehend abgeändert, dass er insgesamt zu lauten hat:
„Die Datenschutzbeschwerde wird als unbegründet abgewiesen.“.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG unzulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Dem Verfahren liegt der Versand von Impferinnerungsschreiben zu Grunde, die im Namen der XXXX , der XXXX sowie anderer Institutionen Ende November 2021 an ungeimpfte Personen in XXXX , die älter als 18 Jahre waren, versendet worden sein sollen, in welchen zur Impfung eingeladen und über einen für die jeweilige Person reservierten Impftermin informiert wurde. Dagegen beschwerte sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatte, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei. Im gegenständlichen Verfahren geht es um eines dieser Impfschreiben.
2. Mit Datenschutzbeschwerde vom 13.12.2022 brachte die mitbeteiligte Partei (Beschwerdeführer im verwaltungsbehördlichen Verfahren) zusammengefasst vor, dass sie sich aufgrund des eingangs näher beschriebenen Impfschreibens in ihrem Grundrecht auf Datenschutz iSd § 1 DSG als verletzt erachtet sehe, da sie davon ausgehe, dass zur Erstellung des Schreibens auf Informationen zu ihrem Impfstatus zugegriffen worden sei, ohne dass sie dem zugestimmt habe. Sie beantragte daher, die Grundrechtsverletzung festzustellen, die Datenverarbeitung zu untersagen und eine Geldbuße zu verhängen.
Unter einem übermittelte die mitbeteiligte Partei ein Impferinnerungsschreiben, das nicht an sie, jedoch an „ XXXX “ adressiert war.
3. Mit Schreiben vom 07.09.2022 wurde die mitbeteiligte Partei darüber informiert, dass nach Ansicht der belangten Behörde der Beschwerdeführer als Verantwortlicher iSd DSGVO anzusehen sei, das Verfahren nun gegen diesen geführt werde und stellte es der mitbeteiligten Partei frei, zu diesen Ergebnissen Stellung zu nehmen.
4. Mit Schriftsatz vom 21.11.2022 führte der Beschwerdeführer im Wesentlichen aus, dass eine Unzulässigkeit der Beschwerdebehandlung wegen entschiedener Sache vorliege und der Beschwerdeführer aufgrund diverser Umstände nicht als Verantwortlicher angesehen werden könne.
5. Mit Bescheid vom 07.03.2023, GZ XXXX , gab die belangte Behörde der Datenschutzbeschwerde statt und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem er unrechtmäßig auf ihre Daten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet habe.
Begründend führte die belangte Behörde aus, der Beschwerdeführer habe ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der mitbeteiligten Partei im zentralen Impfregister zugriffen. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen.
Der Antrag auf Untersagung der Datenverarbeitung sei mangels unmittelbarer Gefährdung abzuweisen gewesen; der Antrag auf Verhängung einer Geldbuße sei mangels subjektiven Rechts und der Antrag auf Aussetzung des Verfahrens mangels relevanter Vorfrage zurückzuweisen gewesen.
6. Gegen diesen Bescheid richtet sich die Beschwerde vom 04.04.2023 wegen Rechtswidrigkeit, in welcher im Wesentlichen das Gleiche ausgeführt wurde wie in der Stellungnahme vom 21.11.2022. In der Beschwerde wurde festgehalten, dass der Umstand der fehlenden Vorlage eines „Impfschreibens“ in dem jeweiligen Bescheid nicht releviert wurde.
Der Beschwerdeführer beantragte, den bekämpften Bescheid ersatzlos aufzuheben und das Verfahren einzustellen, in eventu den Bescheid aufzuheben und die Sache an die belangte Behörde zurückzuverweisen, in eventu in der Sache selbst zu entscheiden und den Bescheid dahingehend abzuändern, dass die datenschutzrechtliche Beschwerde abgewiesen werde.
7. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsaktes dem erkennenden Gericht vor und widersprach den Ausführungen des Beschwerdeführers.
8. Mit Schreiben vom 15.09.2023 sowie 18.10.2023 wurde die mitbeteiligte Partei aufgefordert, das an sie adressierte Impferinnerungsschreiben vorzulegen, kam dieser Aufforderung jedoch nicht nach.
Beweis wurde erhoben durch: Einsichtnahme in den Verwaltungsakt.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Der unter Punkt I. dargestellte Verfahrensgang steht fest.
1.2. Die mitbeteiligte Partei richtete eine Datenschutzbeschwerde an die belangte Behörde. Sie führte dabei zusammengefasst aus, dass sie vom XXXX , von der XXXX , von der XXXX , der XXXX und der XXXX zu einem Impftermin eingeladen worden sei und begehrte die Feststellung der Grundrechtsverletzung. Sie legte im Zuge der Datenschutzbeschwerde kein an sie persönlich gerichtetes Impferinnerungsschreiben vor.
1.3. Es kann nicht festgestellt werden, dass die mitbeteiligte Partei ein an sie adressiertes Impferinnerungsschreiben erhalten hat.
2. Beweiswürdigung:
2.1. Die Feststellungen zum Verfahrensgang gründen auf dem unbedenklichen Verwaltungsakt.
2.2. Die Feststellungen zum Inhalt der Datenschutzbeschwerde gründen auf der dem erkennenden Gericht vorliegenden Datenschutzbeschwerde der mitbeteiligten Partei.
2.3. Dass nicht festgestellt werden kann, dass die mitbeteiligte Partei ein an sie persönlich gerichtetes Impferinnerungsschreiben erhalten hat, gründet auf dem Umstand, dass im Zuge der Datenschutzbeschwerde kein an die mitbeteiligte Partei adressiertes Schreiben vorgelegt wurde.
Mit Schreiben vom 15.09.2023 sowie 18.10.2023 wurde die mitbeteiligte Partei vom Bundesverwaltungsgericht aufgefordert, das der Datenschutzbeschwerde zugrundeliegende Impferinnerungsschreiben in Kopie vorzulegen. Dieser Aufforderung ist die mitbeteiligte Partei nicht nachgekommen.
3. Rechtliche Beurteilung:
Zu A)
3.1. Die zulässige Beschwerde ist berechtigt.
3.2. Art. 77 DSGVO räumt jeder betroffenen Person das Recht auf Beschwerde bei einer Aufsichtsbehörde ein, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
3.3. Die notwendigen Voraussetzungen für die Geltendmachung des Rechts auf Beschwerde sind, dass die beschwerdeführende Person selbst durch die Verarbeitung betroffen ist, und die Verarbeitung gegen die Bestimmungen der DSGVO verstößt, sowie die angerufene Behörde zum Kreis der zuständigen Behörden gehört. Art 77 DSGVO legt nicht fest, welche Darlegungsverpflichtung die beschwerdeführende Person hat, wobei sämtliche Verletzungen der Bestimmungen der DSGVO für eine Beschwerde infrage kommen, sohin etwa auch Verletzungen von individuellen Betroffenenrechten auf Auskunft (Art 15 DSGVO). Inhaltliche Vorgaben für die Beschwerde macht Art 77 DSGVO nicht, jedoch wird es notwendig sein, dass ein Beschwerdeführer ausreichende Angaben macht, die es der Datenschutzbehörde ermöglichen, die Art und Weise der Verarbeitung der personenbezogenen Daten sowie den Verstoß gegen die Bestimmungen der DSGVO zumindest nachzuvollziehen, um tätig zu werden. Ein bestimmtes Begehren muss die Beschwerde nicht enthalten (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 24 (Stand 1.2.2022, rdb.at)).
Aus § 24 Abs. 2 ist eine »hinreichend deutliche Anordnung« zu entnehmen. In dieser Regelung sind die Angaben bzw. die Unterlagen bei Antragstellung genau beschrieben, welche zur Antragstellung bei der Datenschutzbehörde erforderlich sind (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 24 (Stand 1.2.2022, rdb.at)).
3.4. Dort, wo es der Behörde nicht möglich ist, den entscheidungswesentlichen Sachverhalt ohne Mitwirkung der Partei festzustellen, ist von einer Mitwirkungspflicht der Partei auszugehen. Die Mitwirkungspflicht der Partei ist gerade dort von Bedeutung, wo ein Sachverhalt nur im Zusammenwirken mit der Partei geklärt werden kann, weil die Behörde außerstande ist, sich die Kenntnis von ausschließlich in der Sphäre der Partei liegenden Umständen von Amts wegen zu beschaffen (VwGH 25.05.2022, Ra 2022/02/077).
Eine erhöhte Mitwirkungspflicht nimmt der VwGH grundsätzlich dann an, wenn es um Umstände geht, die in der persönlichen Sphäre der Parteien liegen (vgl dazu Hengstschläger/Leeb, AVG § 39 Rz 9 ff (Stand 1.4.2021, rdb.at); zur Mitwirkungspflicht von Parteien, wenn diese im Besitz von Beweismitteln sind vgl. VwGH 15.09.2004, 2002/09/0200).
3.5. Gemäß § 24 Abs. 5 letzter Satz DSG ist eine Beschwerde, soweit sie sich als nicht berechtigt erweist, abzuweisen. Die Frage, ob sich eine Datenschutzbeschwerde als berechtigt erweist, ist auf der Ebene der Sachlegitimation und nicht auf der Ebene der Prozesslegitimation zu beurteilen (VwGH 27.06.2023, Ro 2023/04/0013).
3.6. Für den vorliegenden Fall bedeutet dies folgendes:
Die mitbeteiligte Partei machte eine Verletzung ihres Rechts auf Geheimhaltung personenbezogener (Gesundheits-)daten geltend und erfüllte mit ihrem Vorbringen den notwendigen Inhalt einer Datenschutzeschwerde. Die mitbeteiligte Partei legte in weiterer Folge jedoch kein Impferinnerungsschreiben vor, auf das sie sich in ihrer Datenschutzbeschwerde bezieht und aus dem eben jene behauptete Datenschutzverletzung hervorgehen soll.
Der Beschwerdeführer machte diesen Umstand im Rahmen seiner Bescheidbeschwerde auch explizit geltend.
Die mitbeteiligte Partei hätte im Rahmen der oben näher dargelegten Mitwirkungspflicht spätestens nach Aufforderung durch das erkennende Gericht die Pflicht gehabt, das in Rede stehende, persönlich an sie gerichtete Impferinnerungsschreiben vorzulegen, um den Beweis zu erbringen, dass ihre personenbezogenen (Gesundheits-)daten tatsächlich verarbeitet wurden.
Da eine Verletzung des Rechts auf Geheimhaltung allerdings nur dann vorliegen kann, wenn tatsächlich Daten der betroffenen Person verarbeitet wurden, eine solche Verarbeitung im gegenständlichen Verfahren durch die mitbeteiligte Partei aber nicht dargelegt werden konnte und eine Datenschutzverletzung sohin nicht festgestellt werden konnte, war der dagegen erhobenen Beschwerde mit der Maßgabe stattzugeben, dass der angefochtene Spruch diesbezüglich spruchgemäß zu lauten hat.
3.7. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Darüber hinaus kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).
Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 VwGVG abzusehen.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Im Übrigen war eine Beurteilung des Einzelfalls vorzunehmen.
Es war daher spruchgemäß zu entscheiden
Rückverweise
