W258 2263074-1 – Bvwg Entscheidung

W258 2263074-1/7E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden und die fachkundigen Laienrichter Dr. Gerd TRÖTZMÜLLER und Gerhard RAUB als Beisitzer über die Beschwerde des XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG, 1010 Wien, Schottenring 25, mitbeteiligte Partei vor dem Verwaltungsgericht, XXXX , gegen den Bescheid der Datenschutzbehörde vom 25.08.2022, GZ XXXX , nach Durchführung einer mündlichen Verhandlung am 11.01.2023, im Umlaufwege in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:

A) Der Beschwerde wird Folge gegeben und der Bescheid ersatzlos behoben.

B) Die Revision ist gemäß Art 133 Abs 4 B-VG zulässig.

Entscheidungsgründe:

I. Vorbemerkungen:

Dem Verfahren liegt der Versand von Impferinnerungsschreiben zu Grunde, die im Namen der Gesundheitsreferentin der XXXX Landesregierung, der Ärztinnen und Ärztekammer XXXX sowie diverser Sozialversicherungsträger Ende November 2021 an Personen über 18 Jahre mit Wohnsitz in XXXX gesendet worden sind, die keine Schutzimpfung gegen COVID-19 erhalten hatten. Dagegen beschwerten sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatten, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei. Fraglich ist in diesem Zusammenhang weiters, wer als datenschutzrechtlicher Verantwortlicher für diese Datenverarbeitungen zu sehen ist.

II. Verfahrensgang:

1. Mit Eingabe vom 01.12.2021 brachte die mitbeteiligte Partei (Beschwerdeführer im Administrativverfahren) eine Beschwerde bei der belangten Behörde ein und brachte sinngemäß und auf das Wesentlichste zusammengefasst vor, das Amt der XXXX Landesregierung habe sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt, indem sie ihr Ende 2021 ein persönlich adressiertes Impferinnerungsschreiben zugesendet habe, wofür sie ohne Rechtsgrundlage ihre Gesundheitsdaten, nämlich ihren Impfstatus, verarbeitet habe. In der Beschwerde wurde der Beschwerdeführer (Beschwerdegegner im Administrativverfahren) namentlich genannt. Sie beantrage daher, die Grundrechtsverletzung festzustellen, die Datenverarbeitung gemäß § 22 Abs 4 DSG zu untersagen und gemäß § 22 Abs 5 DSG eine Geldbuße zu verhängen.

2. Der Beschwerdeführer brachte in einem der Parallelverfahren sinngemäß vor, er sei in Bezug auf die verfahrensgegenständliche Datenverarbeitung alleiniger Verantwortlicher. Die XXXX habe über Auftrag der XXXX , die wiederrum im Auftrag des Beschwerdeführers tätig gewesen sei, die Empfänger des Impferinnerungsschreiben dadurch ermittelt, indem sie über den zentralen Patientenindex alle Personen erhoben habe, die über eine Adresse in XXXX verfügt hätten und über 18 Jahre alt gewesen seien. Im Anschluss seien alle jene Personen herausgefiltert worden, die über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügt hätten. Der Beschwerdeführer könne die Datenverarbeitung auf Art 9 Abs 2 lit g und i DSGVO iVm dem Gesundheitstelematikgesetz, insbesondere mit § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG und den gesetzlichen Zuständigkeitsregelungen, wie insbesondere dem Reichssanitätsgesetz und dem Übergangsgesetzes 1920, stützen.

3. Die belangte Behörde stellte der mitbeteiligten Partei das Vorbringen des Beschwerdeführers zu, hielt ua sinngemäß fest, dass sie auf Grund des Vorbringens davon ausgehe, dass das Amt der XXXX Landesregierung als datenschutzrechtlicher Verantwortlicher und damit als Beschwerdegegner zu sehen sei und räumte ihr ein, binnen zwei Wochen dazu Stellung zu nehmen. Die mitbeteiligte Partei nahm nicht Stellung.

4. Mit Bescheid vom 25.08.2022, GZ D772.152 2022-0.607.128, gab die belangte Behörde der Beschwerde statt und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem er unrechtmäßig auf ihre Daten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet habe.

5. Begründend führte die belangte Behörde aus, der Beschwerdeführer habe ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der mitbeteiligten Partei im zentralen Impfregister zugriffen. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. Entgegen der Ansicht des Beschwerdeführers würden § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG sowie die gesetzlichen Zuständigkeitsregelungen nämlich keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des § 24d Abs 2 Z 3 GTelG 2012 setze nämlich nach § 24d Abs 1 Z 4 GTelG 2012 eine spezifische Zugriffsberechtigung gemäß § 24f Abs 4 GTelG 2012 voraus, über die der Beschwerdeführer nicht verfügt habe.

Der Antrag auf Untersagung der Datenverarbeitung sei mangels unmittelbarer Gefährdung ab- und der Antrag auf Verhängung einer Geldbuße mangels subjektivem Rechts zurückzuweisen gewesen.

6. Gegen den stattgebenden Teil des Bescheides richtet sich die Beschwerde vom 15.09.2022 wegen Rechtswidrigkeit. Der Beschwerdeführer beantragte, den bekämpften Bescheid dahingehend abzuändern, dass die datenschutzrechtliche Beschwerde zur Gänze abgewiesen wird und führte – sinngemäß und soweit nicht bereits im Administrativverfahren vorgebracht – begründend aus, er sei in der pandemiebedingten Krisenzeit („harter Lockdown“) von der zuständigen Gesundheitslandesrätin im Namen des Landeshauptmanns angewiesen worden, ein Impferinnerungsschreiben an die Einwohner XXXX s in Entsprechung des Impfplans zu senden. Das Verwaltungshandeln des Beschwerdeführers sei daher dem Landeshauptmann zuzurechnen. Datenschutzrechtliche Verantwortlichkeit und die Zurechnung des Verwaltungshandeln fielen in diesem Fall – zulässigerweise – auseinander.

Der Landeshauptmann verfüge für den hier (vorwiegend) relevanten und zulässigen Zweck des Krisenmanagements nach § 24d Abs 2 Z 5 GTelG 2012 gemäß § 24f Abs 4 Z 6 lit a GTelG 2012 über eine spezifische Zugriffsberechtigung, woraus sich die datenschutzrechtliche Zulässigkeit der Datenverarbeitung durch den Beschwerdeführer ergebe.

Der Beschwerdeführer könne sich darüber hinaus auf den Sondertatbestand des § 24d Abs 2 Z 3 GTelG 2012 für Impferinnerungen stützen. Da für diesen Tatbestand niemandem eine spezifische Zugriffberechtigung nach § 24f Abs 4 GTelG 2012 zukomme, sei das Fehlen einer Zugriffsberechtigung nicht als absolutes Verbot zu sehen.

Die Abfrage im Patientenindex sei erfolgt, um die aktuelle Wohnadresse der betroffenen Personen zu ermitteln, um zu gewährleisten, dass die Impferinnerungsschreiben an die richtige Anschrift gesendet werden. Dahingehend sei der Zugriff zur Überprüfung der eindeutigen Identität natürlicher Personen durchgeführt worden und rechtmäßig gewesen. Sie sei darüber hinaus auch durch § 8 DSG gerechtfertigt.

7. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsaktes dem erkennenden Gericht vor und brachte vor, die Ausführungen des Beschwerdeführers, dass nicht er, sondern der Landeshauptmann der Verantwortliche des Impfschreibens gewesen wäre, seien mit dem Layout des Impferinnerungsschreibens und seinem Vorbringen im Administrativverfahren nicht vereinbar.

Aus § 24d Abs 2 Z 5 GTelG 2012 sei nicht ableitbar, dass der Landeshauptmann berechtigt gewesen sei, zum Zweck des Versands des verfahrensgegenständlichen Impferinnerungsschreibens auf die Daten des zentralen Impfregisters zuzugreifen. Die Bestimmung sei weder ausreichend präzise, noch hinreichend konkret.

Würde man der Argumentation des Beschwerdeführers folgen, wäre die Einführung des § 750 ASVG durch BGBl. I Nr. 35/2021 sowie dessen Novellierung durch BGBl. I Nr. 197/2021 und die Einführung des § 4g Epidemiegesetzes durch BGBl. I Nr. 89/2022, die präzise darlegen, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt sei, überhaupt nicht notwendig gewesen. Es könne dem Gesetzgeber in diesem Zusammenhang nicht unterstellt werden, Sinnloses – weil redundant – regeln zu wollen.

Das Vorbringen des Beschwerdeführers zur einschränkenden Interpretation des § 24d GTelG 2012, wonach nicht jedenfalls eine spezifische Zugriffsberechtigung bestehen muss, sei auf Grund des klaren Gesetzeswortlauts nicht mit dem Legalitätsprinzip des Art 18 Abs 2 B-VG vereinbar.

Schließlich verwies die belangte Behörde auf ein ihr – in einem anderen Verfahren – vorgelegtes Rechtsgutachten, das im Ergebnis belege, dass die durchgeführte Datenverarbeitung auch nicht auf, wie vom Beschwerdeführer vermeint, andere gesetzliche Bestimmungen gestützt werden könne.

8. Am 11.01.2023 wurde über die Angelegenheit mündlich verhandelt.

Beweis wurden erhoben durch Einsichtnahme in den Verwaltungsakt und das in der Verhandlung vorgelegte Angebot zur „Unterstützung bei Abwicklung des „Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland XXXX “ vom 19.11.2021 (Beilage ./B) sowie durch Einvernahme des XXXX , Landesamtsdirektor XXXX , als Partei und des XXXX , Leiter für Abteilung Gesundheit und Sport des XXXX , und des XXXX , Leiter der Pressestelle des XXXX , jeweils als Zeuge.

III. Das Bundesverwaltungsgericht hat erwogen:

1. Der folgende Sachverhalt steht fest:

1.1. Zum Verfahrensgang:

1.1.1. Zur Datenschutzbeschwerde:

Die beschwerdeführende Partei richtete eine Datenschutzbeschwerde unter Verwendung eines Musterformulars an die belangte Behörde. Dazu führte sie folgendes aus (Fehler im Original):

„[…]

Verantwortlicher (Beschwerdegegner):

Name: Amt der XXXX Landesregierung

[…]

Der Beschwerdegegner hat bei der Verarbeitung meiner personenbezogenen Daten gegen mein Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verstoßen indem er Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 DSGVO/Rechtmäßigkeit der Verarbeitung gemäß Art. 6 bzw. 9 DSGVO nicht beachtet hat.

[…]

Ich habe einen persönlichen Termin zur COVID Schutzimpfung erhalten.

Meine Frage lautet woher hat das Land XXXX bzw die Landesregierung Daten über meinen Impfstatus?

Ich bin nicht einverstanden über die Weitergabe persönlicher Daten!!!

[…]“

Der Beschwerde war ua das folgende Impferinnerungsschreiben beigefügt:

„Jetzt anmelden www. XXXX [Logo „ XXXX impft.“]

XXXX

Retouren an XXXX

[1. Optionsfeld: Name und Adresse der mitbeteiligten Partei]

Ihr persönlicher Termin für die COVID-Schutzimpfung ist da!

Die COVID-Schutzimpfung ist derzeit die wichtigste Maßnahme, um die Pandemie zu beherrschen und ein weitgehend normales Leben wieder zu ermöglichen. Das Europäische Gremium für Gesundheit sowie das Nationale Impfgremium empfehlen ausdrücklich die COVID-Schutzimpfung.

Warum ist diese Impfung so wichtig?

Durch die Impfung sinkt nachweislich das persönliche Risiko bei einer Infektion einen schweren Erkrankungsverlauf zu erleiden und somit auch das Risiko eines damit verbundenen Aufenthalts auf einer Intensivstation bzw. zu versterben. Auch die Gefahr an Long-COVID zu erkranken (das ist auch bei einem leichten Verlauf durchaus möglich) wird stark reduziert. Sie schützen mit der Impfung aufgrund des geringeren Erkrankungsrisikos nicht nur sich persönlich, sondern auch Ihre Mitmenschen.

Zum Schutz Ihrer eigenen Gesundheit und damit Sie auch in Zukunft problemlos einen normalen Alltag führen können, wurde für Sie eine COVID-Schutzimpfung reserviert:

[2. Optionsfeld: Impftermin und Impfort]

Wir laden Sie ein, von diesem Angebot Gebrauch zu machen.

Wenn Sie am oben genannten Termin keine Zeit haben, können Sie auch einen Alternativtermin online unter XXXX oder telefonisch unter XXXX buchen. Diese gilt auch, wenn Sie akut erkrankt sind oder z.B. aufgrund einer anderen Therapie diesen Termin nicht wahrnehmen können. Im Falle, dass Sie sich inzwischen haben impfen lassen, bedanken wir uns bei Ihnen dafür!

Sollte Ihnen bekannt sein, dass für Sie aus medizinischen Gründen (Gegenanzeigen) eine COVID-Impfung nicht möglich ist, so erachten Sie das vorliegende Schreiben bitte als gegenstandslos. Wenn Sie unsicher sind, ob Sie gegen COVID geimpft werden können, so empfehlen wir zur Abklärung ein ärztliches Aufklärungs-/Beratungsgespräch zu nutzen.

Bringen Sie zur Impfung bitte Ihren Lichtbildausweis und – wenn vorhanden – Ihre E-Card mit.

Unter den Unterschriften scheinen die folgenden Logos auf:

1.1.2. Zum Vorbringen des Beschwerdeführers, Verantwortlicher und Beschwerdegegner zu sein, und zum hiezu der beschwerdeführenden Partei eingeräumten Parteiengehör:

Der zu den Punkten II.2 f ausgeführte Verfahrensgang stehen fest.

1.2. Zur Erstellung und zum Versand des Impferinnerungsschreibens:

Die Landesrätin in XXXX , XXXX , wies das Amt der XXXX Landesregierung im Namen des Landeshauptmanns an, ein Impferinnerungsschreiben an die Einwohner XXXX in Entsprechung des (damals aktuellen) Impfplans zu senden.

Am 25.11.2021 wurde das Impferinnerungsschreiben, wie unter Punkt 1.1.1 beschrieben, unter anderem an die mitbeteiligte Partei per Post versendet.

Das Schreiben war persönlich an die mitbeteiligte Partei adressiert.

Im 1. Optionsfeld wurden hierfür Name und Adresse des jeweiligen Empfängers eingesetzt. Im 2. Optionsfeld wurden mögliche Impftermine und Orte eingefügt.

Für die Ermittlung der Adressaten des Schreibens beauftragte die Landerätin die XXXX , die den Auftrag an die XXXX weitergegeben hat.

In Erfüllung des Auftrags ermittelte die XXXX am 23.11.2021 sämtliche Personen aus dem Patientenindex, die über 18 Jahre alt sind und eine Adresse in XXXX angegeben haben. Im Anschluss filterte sie die Personen aus, die im zentralen Impfregister über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügt haben. Die XXXX hat die Namen und Adressen der verbleibenden Personen am 23.11.2021 an einen Druckdienstleister übermittelt, der die Briefe gedruckt, kuvertiert und zum Versand aufgegeben hat.

1.3. Zur weiteren Rolle der Landesrätin und des Amts der Landesregierung bei der Planung und Umsetzung des Impferinnerungsschreibens:

Nachdem das Amt der Landesregierung die Weisung von der Landesrätin erhalten hat, das Impferinnerungsschreiben zu senden, erstellte es Vorschläge zur weiteren Vorgehensweise, dh es erstellte den Entwurf des Impferinnerungsschreibens, schlug die Empfängerkreise vor und schlug vor, die Daten zur Bestimmung der konkreten Empfänger über den Patientenindex und das zentrale Impfregister zu ermitteln. Die Landesrätin stand dabei im regelmäßigen Kontakt mit den Sachbearbeitern des Amts der Landesregierung und besprach und genehmigte die wesentlichen Schritte, etwa die endgültige Ausgestaltung des Schreibens, die Empfängerkreise und den hierfür erforderlichen Zugriff auf den Patientenindex und das zentrale Impfregister.

2. Die Feststellungen ergeben sich aus der folgenden Beweiswürdigung:

2.1. Zum Verfahrensgang:

Die Feststellungen zum Verfahrensgang gründen auf dem unbedenklichen Verwaltungsakt.

2.2. Zur Erstellung und zum Versand des Impferinnerungsschreibens:

Die Feststellungen zur Erstellung und zum Versand des Impferinnerungsschreibens gründen auf den Angaben des Beschwerdeführers zu „Frage 2“ in seiner Stellungnahme vom 21.01.2022 im Administrativverfahren, die sich im Wesentlichen mit den in der Einvernahme des XXXX , des XXXX und des XXXX getätigten Angaben decken.

Die Feststellung, dass die Landesrätin die XXXX beauftragt hat, gründet im Vertrag „Unterstützung bei Abwicklung des „Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland XXXX “ vom 19.11.2021 (Beilage ./B), der von der Landesrätin unterfertigt worden ist.

Die Feststellungen zum Inhalt und zur namentlichen Adressierung des Impferinnerungsschreibens gründen in dem im Administrativverfahren vorgelegten Impferinnerungsschreiben, das dem von der mitbeteiligten Partei in ihrer Datenschutzbeschwerde vorgelegten Impferinnerungsschreiben entspricht.

2.3. Zur Rolle der Landesrätin und des Amts der Landesregierung bei der Planung und Umsetzung des Impferinnerungsschreibens:

Die Feststellung zur Rolle der Landerätin gründet einerseits in dem in der Beschwerde vorgelegten Aktenvermerk vom 15.09.2022 der Landesrätin XXXX und des Landesamtsdirektors XXXX , wonach die Landesrätin das Amt der Landesregierung am 05.11.2021 angewiesen habe, ein Informationsschreiben betreffend einen Termin für eine COVID-19 Schutzimpfung an die Einwohner XXXX in Übereinstimmung mit dem aktuellen Impfplan zu senden.

Anderseits gründen sie in der Parteieneinvernahme des Landesamtsdirektors (Verhandlungsprotokoll vom 11.01.2023 S 5) und in der Einvernahme des Zeugen XXXX .

Sie gaben übereinstimmend an, dass die Landesrätin und Mitarbeiter:innen des Amts der Landesregierung an den Entscheidungsprozessen gemeinsam beteiligt gewesen wären, die Letztentscheidung aber immer die Landesrätin getroffen habe (Verhandlungsprotokoll vom 11.01.2023 S 33: „Aber die Entscheidung trifft zuletzt dann die politische Verantwortliche. Dass wir von uns aus hier den Prozess ins Rollen bringen, das ist nicht vorstellbar.“; Verhandlungsprotokoll vom 11.01.2023 S 5: „[Die Konkretisierung der Weisung erfolgte] in Abstimmung mit der Landesrätin“ Verhandlungsprotokoll vom 11.01.2023 S 19: „Wenn ich gefragt werde, wenn die Landesrätin „Nein“ gesagt hätte zu unserem Vorschlag, was ich dann gemacht hätte: Ihr einen neuen Vorschlag unterbreitet.“; Verhandlungsprotokoll vom 11.01.2023 S 19: „Wir haben dann in weiterer Folge der Landesrätin eine Vorgangsweise vorgeschlagen, die diese gutiert hat.“). Dies habe insbesondere betroffen, den Zugriff auf den Patientenindex und das zentrale Impfregister (Verhandlungsprotokoll vom 11.01.2023 S 8: „Zweck und Mittel hat das Amt der Landesregierung konkretisiert, aber die Entscheidung die Datenverarbeitung durchzuführen, hat die Landesrätin getroffen.“ und „Das wird aber dann wohl die Landesrätin gewesen sein“; Verhandlungsprotokoll vom 11.01.2023 S 21: „Sie hat dann dem Zugriff auf diese Daten zugestimmt. Meines Wissens hat sie auch mit der XXXX selbst einmal telefoniert.“ und „Wenn ich gefragt werde, wer entschieden hat, dass die XXXX bzw. die XXXX die Daten für das Impferinnerungsschreiben organisieren soll: Die Landesrätin. Das lag auf der Hand, weil wie hätten wir sonst die Daten haben sollen.“), die Ausgestaltung des Schreibens (Verhandlungsprotokoll vom 11.01.2023 S 5: „Über Frage, ob die Landesrätin den Inhalt des Schreibens gesehen hat und genehmigt hat: Ja, sie hat es sogar unterschrieben.“) und die Unterzeichner des Schreibens (Verhandlungsprotokoll vom 11.01.2023 S 10: „Zuletzt die Landesrätin, die gesagt hat, mit wem sie auf dem Schreiben draufstehen will. Die Letztverantwortlichkeit lag bei ihr.“).

Die Angaben des Zeugen XXXX standen dazu nicht im Widerspruch. Er konnte zwar keine Angaben zum detaillierten Entscheidungsprozess machen, weil er nach einer Erstbesprechung nicht mehr eingebunden gewesen sein will (Verhandlungsprotokoll vom 11.01.2023 S 15) und daher etwa auch nicht wisse, wer letztverantwortlich den Inhalt des Impferinnerungsschreiben festgelegt hat (Verhandlungsprotokoll vom 11.01.2023 S 16), aber auch er gab in Übereinstimmung mit dem Landesamtsdirektor und dem Zeugen XXXX an, dass die Letztentscheidung (offenbar generell) bei der Landesrätin gelegen ist (Verhandlungsprotokoll vom 11.01.2023 S 15).

Der durch die Weisung verfolgte Zweck ergibt sich aus der Aussage des Landesamtsdirektors XXXX , wonach das Schreiben den Zweck verfolgt hat, die Impfquote zu erhöhen „um schwere Verläufe zu verhindern oder zu reduzieren und eine Überlastung des Gesundheitssystems hintanzuhalten“ und sich die Landesrätin auf Grund internationaler Beispiele, insbesondere sei in Spanien die Impfquote auf Grund eines Impferinnerungsschreibens erhöht worden, veranlasst sah, ebenfalls ein Impferinnerungsschreiben für XXXX zu versenden (Verhandlungsprotokoll vom 11.01.2023 S 6).

Die Feststellung, dass die Landesrätin den Vertrag mit der XXXX über die Ermittlung der konkreten Empfänger samt Adressdaten unterfertigt hat, gründet auf dem in der Verhandlung vorgelegten Vertrag (Beilage ./B).

3. Rechtlich folgt daraus:

Zu A)

Die zulässige Beschwerde ist berechtigt.

3.1. Zu den maßgeblichen Rechtsvorschriften:

Artikel 4 der Verordnung (EU) 2016/679 (DSGVO) lautet: „Im Sinne dieser Verordnung bezeichnet der Ausdruck:

[…]

7. Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; […]“

§ 24 des Datenschutzgesetzes (DSG) lautet:

„(1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

[…]

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner), […]“

Artikel 102 Abs 1 und 2 B-VG lauten:

„(1) Im Bereich der Länder üben die Vollziehung des Bundes, soweit nicht eigene Bundesbehörden bestehen (unmittelbare Bundesverwaltung), der Landeshauptmann und die ihm unterstellten Landesbehörden aus (mittelbare Bundesverwaltung). Soweit in Angelegenheiten, die in mittelbarer Bundesverwaltung besorgt werden, Bundesbehörden mit der Vollziehung betraut sind, unterstehen diese Bundesbehörden in den betreffenden Angelegenheiten dem Landeshauptmann und sind an dessen Weisungen (Art. 20 Abs. 1) gebunden; ob und inwieweit solche Bundesbehörden mit Akten der Vollziehung betraut werden, bestimmen die Bundesgesetze; sie dürfen, soweit es sich nicht um die Betrauung mit der Vollziehung von im Abs. 2 angeführten Angelegenheiten handelt, nur mit Zustimmung der beteiligten Länder kundgemacht werden.

(2) Folgende Angelegenheiten können im Rahmen des verfassungsmäßig festgestellten Wirkungsbereiches unmittelbar von Bundesbehörden besorgt werden:

Grenzvermarkung; Waren- und Viehverkehr mit dem Ausland; Zollwesen; Regelung und Überwachung des Eintrittes in das Bundesgebiet und des Austrittes aus ihm; Aufenthaltsrecht aus berücksichtigungswürdigen Gründen; Passwesen; Aufenthaltsverbot, Ausweisung und Abschiebung; Asyl; Auslieferung; Bundesfinanzen; Monopolwesen; Geld-, Kredit-, Börse- und Bankwesen; Maß- und Gewichts-, Normen- und Punzierungswesen; Justizwesen; Pressewesen; Aufrechterhaltung der öffentlichen Ruhe, Ordnung und Sicherheit einschließlich der ersten allgemeinen Hilfeleistung, jedoch mit Ausnahme der örtlichen Sicherheitspolizei; Vereins- und Versammlungsrecht; Fremdenpolizei und Meldewesen; Waffen-, Munitions- und Sprengmittelwesen, Schießwesen; Kartellrecht; Patentwesen sowie Schutz von Mustern, Marken und anderen Warenbezeichnungen; Verkehrswesen; Strom- und Schifffahrtspolizei; Post- und Fernmeldewesen; Bergwesen; Regulierung und Instandhaltung der Donau; Wildbachverbauung; Bau und Instandhaltung von Wasserstraßen; Vermessungswesen; Arbeitsrecht; Sozial- und Vertragsversicherungswesen; Pflegegeldwesen; Sozialentschädigungsrecht; geschäftlicher Verkehr mit Saat- und Pflanzgut, Futter-, Dünge- und Pflanzenschutzmitteln sowie mit Pflanzenschutzgeräten, einschließlich der Zulassung und bei Saat- und Pflanzgut auch der Anerkennung; Denkmalschutz; allgemeine Angelegenheiten des Schutzes personenbezogener Daten; Organisation und Führung der Bundespolizei; militärische Angelegenheiten; Angelegenheiten des Zivildienstes; Bevölkerungspolitik; land- und forstwirtschaftliches Schul- und Erziehungswesen in den Angelegenheiten des Art. 14a Abs. 2 sowie Zentrallehranstalten; Universitäts- und Hochschulwesen sowie das Erziehungswesen betreffend Studentenheime in diesen Angelegenheiten; Ausbildungspflicht für Jugendliche; öffentliches Auftragswesen.“

Art 103 Abs 2 B-VG lautet:

„Die Landesregierung kann bei Aufstellung ihrer Geschäftsordnung beschließen, dass einzelne Gruppen von Angelegenheiten der mittelbaren Bundesverwaltung wegen ihres sachlichen Zusammenhanges mit Angelegenheiten des selbständigen Wirkungsbereiches des Landes im Namen des Landeshauptmannes von Mitgliedern der Landesregierung zu führen sind. In diesen Angelegenheiten sind die betreffenden Mitglieder der Landesregierung an die Weisungen des Landeshauptmannes ebenso gebunden (Art. 20) wie dieser an die Weisungen der Bundesregierung oder der einzelnen Bundesminister.“

Artikel 50 Abs 4 Verfassungsgesetz über die Verfassung des Landes XXXX lautet:

„In der Geschäftsordnung der Landesregierung kann festgelegt werden, dass einzelne Gruppen von Angelegenheiten der mittelbaren Bundesverwaltung und der dem Landeshauptmann übertragenen Verwaltung von Bundesvermögen wegen ihres sachlichen Zusammenhanges mit Angelegenheiten der Landesverwaltung im Namen des Landeshauptmannes von anderen Mitgliedern der Landesregierung geführt werden.“

§ 2 Abs 2 der Geschäftsordnung der ( XXXX ) Landesregierung lautet:

„Die Landesregierung kann bei Aufstellung ihrer Geschäftsverteilung beschließen, dass einzelne Gruppen von Angelegenheiten der mittelbaren Bundesverwaltung und der dem Landeshauptmann oder der Landeshauptfrau übertragenen Verwaltung von Bundesvermögen wegen ihres sachlichen Zusammenhanges mit Angelegenheiten des selbständigen Wirkungsbereiches des Landes im Namen des Landeshauptmannes oder der Landeshauptfrau von Regierungsmitgliedern zu führen sind.“

§ 1 Geschäftsverteilung der ( XXXX ) Landesregierung lautet:

„Die von der Landesregierung zu besorgenden Geschäfte der Landesverwaltung sowie die dem Landeshauptmann obliegenden Geschäfte der mittelbaren Bundesverwaltung und der Vermögensverwaltung des Bundes werden auf die Mitglieder der Landesregierung nach den Bestimmungen dieser Verordnung aufgeteilt.“

§ 6 Abs 1 Geschäftsverteilung der ( XXXX ) Landesregierung lautet:

„Landesrätin XXXX . ist für folgende Bereiche zuständig:

b) Geschäftsbereich der Abteilung IVb – Gesundheit und Sport sowie Geschäftsbereich des Sportreferates;“

§ 13 Abs 3 AVG lautet:

„Mängel schriftlicher Anbringen ermächtigen die Behörde nicht zur Zurückweisung. Die Behörde hat vielmehr von Amts wegen unverzüglich deren Behebung zu veranlassen und kann dem Einschreiter die Behebung des Mangels innerhalb einer angemessenen Frist mit der Wirkung auftragen, dass das Anbringen nach fruchtlosem Ablauf dieser Frist zurückgewiesen wird. Wird der Mangel rechtzeitig behoben, so gilt das Anbringen als ursprünglich richtig eingebracht.“

3.2. Angewendet auf den Sachverhalt bedeutet das:

3.2.1. Zum Beschwerdeführer als Verantwortlicher iSd Art 4 Z 7 DSGVO:

Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Art 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

Der Versand eines Impferinnerungsschreibens ist eine Angelegenheit des Gesundheitswesens, das in mittelbarer Bundesverwaltung, dh grundsätzlich durch den jeweiligen Landeshauptmann, zu vollziehen ist (Art 10 Abs 1 Z 12 iVm Art 102 Abs 1 und 2 B-VG). Im Falle des Art 103 Abs 2 B-VG erfolgt die Vollziehung von Mitgliedern der Landesregierung im Namen des Landeshauptmannes. Dem Landeshauptmann bzw. den zuständigen Mitgliedern der Landesregierung ist das Amt der jeweiligen Landesregierung als administrativer Hilfsapparat beigestellt. Dennoch kann das Amt der Landesregierung als „Behörde“ oder „andere Stelle“ iSd Art 4 Z 7 DSGVO selbst datenschutzrechtlich Verantwortlicher sein: Entweder wenn es nach Unions-, Landes- oder Bundesrecht iSd Art 4 Z 7 letzter Halbsatz DSGVO als Verantwortlicher festgelegt wird, oder wenn der Verantwortliche nicht nach Unions-, Landes- oder Bundesrecht bestimmt wird und das Amt der Landesregierung selbst Zweck und Mittel einer Datenverarbeitung bestimmt.

Von einer Bestimmung von Zweck und Mittel einer Datenverarbeitung durch das Amt der Landesregierung kann nicht mehr ausgegangen werden, wenn sie durch den Landeshauptmann bzw das zuständige Mitglied der Landesregierung detailliert bestimmt werden. In einem solchen Fall, kann das Amt der Landesregierung nicht mehr als Verantwortlicher für die Datenverarbeitung gesehen werden.

Für den konkreten Fall bedeutet das:

Gegenständlich ist der Versand eines Impferinnerungsschreiben, dh eine Angelegenheit des Gesundheitswesens, die in mittelbarer Bundesverwaltung in XXXX durch die Gesundheitslandesrätin im Namen des Landeshauptmanns vollzogen wird (Art 10 Abs 1 Z 12, Art 102 Abs 2 und 103 Abs 2 B-VG iVm Art 50 Abs 4 des Verfassungsgesetzes über die Verfassung des Landes XXXX iVm § 2 Abs 2 der Geschäftsordnung der Landesregierung und den §§ 1 und 6 der Geschäftsverteilung der Landesregierung).

Zur Bestimmung des Verantwortlichen auf Grund von Unions-, Landes- oder Bundesrecht:

Der datenschutzrechtlich Verantwortliche wird in XXXX nicht von Unions-, Landes- oder Bundesrecht bestimmt.

Zur Frage, wer über Zweck und Mittel der Datenverarbeitung entschieden hat:

Den Zweck des Schreibens, dh die Impfquote zu erhöhen, um die Bürger des Landes und das Gesundheitssystem zu schützen, sowie den Zweck des Zugriffs auf den Patientenindex und das zentrale Impfregister, nämlich zur Bestimmung der Adressaten des Impferinnerungsschreibens, hat die Landesrätin vorgegeben.

Die Landesrätin hat ebenfalls die wesentlichen Mittel der Datenverarbeitung bestimmt, nämlich die endgültige Ausgestaltung des Schreibens, die Festlegung der Empfängerkreise und den hierfür erforderlichen Zugriff auf den Patientenindex und das zentrale Impfregister. Zwar stand der Beschwerdeführer der Landesrätin beratend zur Seite und hat ihr Vorschläge zur Umsetzung des Impferinnerungsschreibens unterbreitet; die Letztverantwortung und die konkrete Entscheidung blieb aber immer der Landesrätin vorbehalten.

Der Beschwerdeführer hat somit weder über den Zweck noch die Mittel der Datenverarbeitung entschieden und kann für sie daher nicht Verantwortlicher iSd Art 4 Z 7 DSGVO sein.

3.2.2. Zur Bedeutung der fehlerhaften Bestimmung des Verantwortlichen für das Administrativverfahren:

Nach der Rechtsprechung des Verwaltungsgerichtshofes sind Parteierklärungen nach ihrem objektiven Erklärungswert auszulegen, dh es kommt darauf an, wie die Erklärung unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszweckes und der der Behörde vorliegenden Aktenlage objektiv verstanden werden muss. Bei undeutlichem Inhalt eines Anbringens ist die Absicht der Partei zu erforschen. Im Zweifel ist dem Anbringen einer Partei, das sie zur Wahrung ihrer Rechte stellt, nicht ein solcher Inhalt beizumessen, der ihr die Rechtsverteidigungsmöglichkeit nimmt (vgl. etwa VwGH 28.05.2019, Ra 2018/15/0036).

Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde eine Verletzung im Recht auf Geheimhaltung geltend gemacht und das „Amt der XXXX Landesregierung“ sowie (erkennbar aus den Beschwerdeausführungen) das „Land XXXX bzw die Landesregierung“ bezeichnet. Da eine Datenschutzbeschwerde wegen Verletzung im Recht auf Geheimhaltung nur erfolgreich sein kann, wenn der Beschwerdegegner iSd Art 4 Z 7 DSGVO Verantwortlicher für die Datenverarbeitung ist und sich herausgestellt hat, dass der Beschwerdegegner tatsächlich nicht Verantwortlicher ist, hätte die Datenschutzbehörde die Datenschutzbeschwerde grundsätzlich abweisen müssen.

In diesem Fall ist aber zu berücksichtigen, dass die mitbeteiligte Partei in der Datenschutzbeschwerde zwar das „Amt der XXXX Landesregierung“ als Beschwerdegegner bezeichnet hat, sich auf dem beigefügten Impferinnerungsschreiben, das auf einer Verletzung im Recht auf Geheimhaltung fußen soll, aber keinen Hinweis auf das Amt der XXXX Landesregierung findet und das Schreiben ua von der Landesrätin unterfertigt worden ist.

Damit scheint der Sachverhalt der Entscheidung VwGH 24.01.2018, 2017/09/0055 zu gleichen, in der der Verwaltungsgerichtshof ausgesprochen hat, dass im Falle einer Berufung bzw Bescheidbeschwerde, in der das Amt der Landesregierung als Berufungs- bzw Beschwerdegegner genannt wird und der der Berufung bzw Beschwerde beigefügten Bescheid für den Landeshauptmann unterfertigt worden ist, der Wille der Partei zweifelsfrei dahin erkennbar ist, dass tatsächlich der Landeshauptmann Gegner der Berufung bzw der Beschwerde sein soll.

Tatsächlich unterscheidet sich der dem zitierten Erkenntnis zu Grunde liegenden Sachverhalt aber wesentlich vom gegenständlichen Fall: Während der korrekte Berufungs- oder Beschwerdegegner ausschließlich davon abhängt, für welches Organ der bekämpfte Bescheid unterfertigt worden ist, hängt die Frage, wer Verantwortlicher für die Datenverarbeitung ist und damit Beschwerdegegner sein kann, nicht von einer Unterfertigung sondern davon ab, wer über Zweck und Mittel der Datenverarbeitung entschieden hat.

Es bleibt daher unklar, ob die mitbeteiligte Partei tatsächlich das Amt der Landesregierung als Gegner der Datenschutzbeschwerde bezeichnen wollte, oder etwa rechtsirrtümlich von einer Identität des Amtes der Landesregierung mit der Landesrätin ausgegangen ist.

Dennoch war die belangte Behörde nicht gehalten, die mitbeteiligte Partei gemäß Art 13 Abs 3 AVG aufzufordern, die Zweifel auszuräumen.

Gemäß § 24 Abs 2 Z 2 DSG hat nämlich eine Datenschutzbeschwerde die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird, nur dann zu enthalten, soweit dies zumutbar ist. Im gegenständlichen Fall ist eine Zumutbarkeit jedoch nicht gegeben:

So ist das Impferinnerungsschreiben von Organwaltern von drei verschiedenen Rechtsträgern unterfertigt worden und es enthält Logos von zumindest zwei weiteren Rechtsträgern. Da es für die Frage, wer Verantwortlicher für eine Datenverarbeitung ist, nicht auf die Unterfertigung eines Schreibens, sondern darauf ankommt, wer über ihren Zweck und ihre Mittel entscheidet, bleibt unklar, ob einer oder mehrere der Rechtsträger, die auf dem Schreiben genannt werden, die Zugriffe auf den Patientenindex und das zentrale Impfregister zu verantworten hat. Hinzu kommt, dass auf Grund der engen Verflechtung zwischen Landesrätin und dem Amt der Landesregierung, auch das Amt der Landesregierung Verantwortlicher sein hätte können.

Wer vom möglichen Personenkreis tatsächlich über Zweck und Mittel der Datenverarbeitung entschieden hat, ist für die mitbeteiligte Partei weder aus dem Impferinnerungsschreiben noch auf andere Art feststellbar, weshalb ihr die Benennung des Verantwortlichen nicht zumutbar gewesen ist.

Es oblag daher der belangten Behörde im Rahmen der Ermittlung der materiellen Wahrheit festzustellen, wer Zweck und Mittel der Datenverarbeitung bestimmt hat und damit Verantwortlicher der Datenverarbeitung und Gegner der Datenschutzbeschwerde ist. Indem Sie letztlich den Beschwerdegegner irrtümlich als Verantwortlichen bestimmt hat, hat sie das Verwaltungsverfahren gegen jemanden geführt, der nicht vom Rechtschutzantrag der mitbeteiligten Partei umfasst war. Der Bescheid war daher ersatzlos zu beheben.

Angesichts dieses Ergebnisses ist die Datenschutzbeschwerde der mitbeteiligten Partei nach wie vor unerledigt.

3.3. Es war daher spruchgemäß zu entscheiden.

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art 133 Abs 4 B-VG zulässig, weil es an Rechtsprechung des Verwaltungsgerichtshofs zur Frage fehlt, unter welchen Voraussetzungen die Nennung eines Beschwerdegegners in einer Datenschutzbeschwerde unzumutbar iSd § 24 Abs 2 Z 2 DSG ist, wie die Datenschutzbehörde in so einem Fall verfahrensrechtlich vorzugehen hat und wie das Bundesverwaltungsgericht zu entscheiden hat, wenn die Datenschutzbehörde einen Verantwortlichen und damit Beschwerdegegner im Administrativverfahren bestimmt hat, gegen diesen Beschwerdegegner einen Bescheid erlässt und sich im Beschwerdeverfahren herausstellt, dass der Beschwerdegegner tatsächlich nicht Verantwortlicher gewesen ist.