W245 2262379-1/4E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Bernhard SCHILDBERGER, LL.M. als Vorsitzenden sowie Dr. Agnes BALTHASAR-WACH als fachkundige Laienrichterin und Mag. Thomas GSCHAAR als fachkundigen Laienrichter über die Beschwerde des Amtes der XXXX Landesregierung, vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG, 1010 Wien, Schottenring 25, mitbeteiligte Partei vor dem Bundesverwaltungsgericht XXXX , gegen den Bescheid der Datenschutzbehörde vom 22.08.2022, GZ 2022-0.573.678 (DSB-D771.219), im Umlaufwege in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:
A) Der Beschwerde wird Folge gegeben und Spruchpunkt 1. des Bescheides ersatzlos behoben.
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Allgemeines:
Ende November 2021 sollen im Namen des Landes XXXX und des Amtes der XXXX Landesregierung in Kooperation mit diversen Sozialversicherungsträgern Schreiben an Personen gesendet worden sein, die keine Schutzimpfung gegen COVID-19 erhalten hatten, über 18 Jahre alt waren und einen Wohnsitz in XXXX hatten („Impferinnerungsschreiben“). In den Schreiben wurden die Empfänger eingeladen, einen Termin für eine Impfung gegen COVID-19 wahrzunehmen.
Dagegen beschwerte sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatten, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei.
In einigen Verfahren hat die belangte Behörde Bescheide gegen das Amt der XXXX Landesregierung („Beschwerdeführer“ im Verfahren vor dem Bundesverwaltungsgericht) erlassen, obwohl die jeweiligen Datenschutzbeschwerden nicht gegen das Amt der XXXX Landesregierung gerichtet waren.
Das gegenständliche Verfahren betrifft eines dieser Beschwerdeverfahren.
II. Verfahrensgang:
1. Mit Datenschutzbeschwerde vom 10.12.2021, eingelangt am 14.12.2021, brachte die mitbeteiligte Partei sinngemäß und auf das Wesentlichste zusammengefasst vor, ihr sei Ende 2021 ein persönlich adressiertes Impferinnerungsschreiben zugesendet worden, wofür ohne Rechtsgrundlagen ihre Gesundheitsdaten, nämlich ihr Impfstatus, verarbeitet worden sei. Dadurch sei sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt worden, weshalb sie beantrage, eine Verletzung ihrer Rechte festzustellen.
2. Die belangte Behörde holte in einem Parallelverfahren eine Stellungnahme des Amtes der XXXX Landesregierung ein, in der es sich selbst als alleinigen Verantwortlichen für die Datenverarbeitungen im Zusammenhang mit der Erstellung und dem Versand der Impferinnerungsschreiben bezeichnete.
3. Die belangte Behörde übermittelte der mitbeteiligten Partei die Stellungnahme, führte aus, dass sie auf Grund des Vorbringens des Amtes der XXXX Landesregierung das Verfahren nunmehr gegen das Amt führe und räumte der mitbeteiligten Partei eine Stellungnahmefrist von zwei Wochen ein.
4. Die mitbeteiligte Partei brachte keine Stellungnahme ein.
5. Mit Bescheid vom 22.08.2022 gab die belangte Behörde der Beschwerde insoweit statt, als sie feststellte, dass „das Amt der XXXX Landesregierung die Beschwerdeführerin [mitbeteiligte Partei im verwaltungsgerichtlichen Verfahren] dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem der Beschwerdegegner unrechtmäßig auf die Daten der Beschwerdeführerin im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet hat.“
Begründend führte die belangte Behörde aus, das Amt der XXXX Landesregierung habe ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der betroffenen Person im zentralen Impfregister zugriffen. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG sowie die gesetzlichen Zuständigkeitsregelungen würden keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des § 24d Abs 2 Z 3 GTelG 2012 setze nämlich nach § 24d Abs 1 Z 4 GTelG 2012 eine spezifische Zugriffsberechtigung gemäß § 24f Abs 4 GTelG 2012 voraus, über die das Amt der XXXX Landesregierung nicht verfügt habe.
6. Dagegen richtet sich die gegenständliche Beschwerde vom 19.09.2022. Der Beschwerdeführer beantragte, den bekämpften Bescheid dahingehend abzuändern, dass die datenschutzrechtliche Beschwerde abgewiesen wird und führte sinngemäß begründend aus, er sei in der pandemiebedingten Krisenzeit („harter Lockdown“) vom XXXX Landeshauptmann angewiesen worden, ein Impferinnerungsschreiben an die Einwohner XXXX in Entsprechung des Impfplans zu senden. Das Verwaltungshandeln des Beschwerdeführers sei daher dem Landeshauptmann zuzurechnen. Datenschutzrechtliche Verantwortlichkeit und die Zurechnung des Verwaltungshandeln fielen in diesem Fall – zulässigerweise – auseinander.
Der Landeshauptmann verfüge für den hier (vorwiegend) relevanten und zulässigen Zweck des Krisenmanagements nach § 24d Abs 2 Z 5 GTelG 2012 gemäß § 24f Abs 4 Z 6 lit a GTelG 2012 über eine spezifische Zugriffsberechtigung, woraus sich die datenschutzrechtliche Zulässigkeit der Datenverarbeitung durch den Beschwerdeführer ergebe.
Der Beschwerdeführer könne sich darüber hinaus auf den Sondertatbestand des § 24d Abs 2 Z 3 GTelG 2012 für Impferinnerungen stützen. Da für diesen Tatbestand niemandem eine spezifische Zugriffberechtigung nach § 24f Abs 4 GTelG 2012 zukomme, sei das Fehlen einer Zugriffsberechtigung nicht als absolutes Verbot zu sehen.
Die Abfrage im Patientenindex sei erfolgt, um die aktuelle Wohnadresse der betroffenen Personen zu ermitteln, um zu gewährleisten, dass die Impferinnerungsschreiben an die richtige Anschrift gesendet werden. Dahingehend sei der Zugriff zur Überprüfung der eindeutigen Identität natürlicher Personen durchgeführt worden und rechtmäßig gewesen. Sie sei darüber hinaus auch durch § 8 DSG gerechtfertigt.
7. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts dem erkennenden Gericht vor und beantragte die Beschwerde abzuweisen.
8. Das Bundesverwaltungsgericht räumte der mitbeteiligten Partei Parteiengehör zur Bescheidbeschwerde und Aktenvorlage und Stellungnahme der belangten Behörde ein. Die mitbeteiligte Partei machte von dieser Möglichkeit keinen Gebrauch.
Beweis wurde aufgenommen durch Einsichtnahme in den Verwaltungsakt.
III. Das Bundesverwaltungsgericht hat erwogen:
1. Der folgende Sachverhalt steht fest:
1.1. Der unter II. beschriebene Verfahrensgang steht fest.
1.2. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde den Beschwerdegegner wie folgt bezeichnet:
„Land XXXX “
1.3. Der Datenschutzbeschwerde war ein persönlich an die mitbeteiligte Partei adressierte „Impferinnerungsschreiben“ mit dem folgenden Inhalt beigefügt:
„[Wappen XXXX mit Schriftzug „LAND XXXX “]
XXXX
XXXX
XXXX
XXXX
XXXX
[Name und Adresse des Mitbeteiligten]
Ihr persönlicher Termin für die COVID-Schutzimpfung ist da!
Die COVID-Schutzimpfung ist derzeit die wichtigste Maßnahme, um die Pandemie zu beherrschen und ein weitgehend normales Leben wieder zu ermöglichen. Das Europäische Gremium für Gesundheit sowie das Nationale Impfgremium (NIG) empfehlen in diesem Zusammenhang ausdrücklich die COVID-Schutzimpfung.
Warum ist diese Impfung so wichtig?
Durch die Impfung sinkt das persönliche Risiko, bei einer Impfung einen schweren Erkrankungsverlauf zu erleiden und somit auch das Risiko eines damit verbundenen Aufenthalts auf einer Intensivstation bzw. zu versterben. Auch die Gefahr an Long-COVID zu erkranken (das ist auch bei einem leichten Verlauf durchaus möglich) wird stark reduziert. Sie schützen mit der Impfung aufgrund des geringeren Erkrankungsrisikos nicht nur sich persönlich, sondern auch Ihre Mitmenschen.
Mit fortschreitender Dauer der Pandemie werden in ganz Österreich – zum Schutz aller – immer mehr Bereich auf die 2G-Regel (Zutritt nur für vollständig geimpfte Personen oder Genesene) umgestellt werden. Zudem wird mit Februar 2022 die Impflicht bundesweit eingeführt.
Für Sie wurde ein Termin für eine COVID-Schutzimpfung reserviert:
[Impftermin und Impfort]
Wir laden Sie ein, von diesem Angebot Gebrauch zu machen.
Um etwaige Wartezeiten vor Ort zu vermeiden, können Sie statt des oben reservierten Termins auch einen Alternativtermin online in einem Impfzentrum oder bei niedergelassenen ÄrztInnen unter XXXX buchen. Diese gilt auch, wenn Sie akut erkrankt sind oder z.B. aufgrund einer anderen Therapie diesen Termin nicht wahrnehmen können. Im Falle, dass Sie sich inzwischen haben impfen lassen, wollen wir uns bei Ihnen dafür ganz herzlich bedanken!
Sollte Ihnen bekannt sein, dass für Sie aus medizinischen Gründen (beispielsweise Gegenanzeigen) eine COVID-Impfung nicht möglich ist, so erachten Sie das vorliegende Schreiben bitte als gegenstandslos. Wenn Sie unsicher sind, ob Sie gegen COVID geimpft werden können, so empfehlen wir zur Abklärung ein ärztliches Aufklärungs-/Beratungsgespräch zu nutzen. Bei Fragen zur COVID-Impfung in XXXX (beispielsweise Anmeldung), steht Ihnen auch die Hotline des Landes unter XXXX zur Verfügung. Bringen Sie zur Impfung bitte Ihren Lichtbildausweis und – wenn vorhanden – Ihre e-card mit.
Danke! XXXX impft. Gegen Corona. Gemeinsam.
in Kooperation mit
2. Die Feststellungen gründen auf der folgenden Beweiswürdigung:
Die Feststellungen gründen auf dem unbedenklichen Verwaltungsakt.
3. Rechtlich folgt daraus:
Zu A)
Die Beschwerde ist zulässig und berechtigt.
3.1. Zur Rechtslage:
3.1.1. Gemäß § 24 Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen ua die DSGVO verstößt. Soweit das der betroffenen Person zumutbar ist, hat die Beschwerde die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner) zu enthalten (§ 24 Abs 2 Z 2 DSG).
3.1.2. Die Festellung einer Rechtsverletzung einer Person, die nicht als Beschwerdegegner in der Datenschutzbeschwerde genannt war, überschreitet die „Sache“ des Verwaltungsverfahrens (VwGH 25.05.2005 2002/09/0165 mit Verweis auf VwGH 17.01.2000 97/09/0014).
3.1.3. Ist die belangte Behörde der Meinung, dass ein eindeutig bestimmter Beschwerdegegner ihres Erachtens nicht Verantwortlicher für die Datenverarbeitung ist, und das auch nicht im Wege einer vertretbaren Auslegung bereinigt werden kann, hat sie die Datenschutzbeschwerde abzuweisen (VwGH 26.09.2022, Ro 2020/04/0034 Rz 29 bzw. VwGH 18.03.2022, Ro 2020/04/0027 Rz 42).
3.2. Angewendet auf den Sachverhalt bedeutet das:
3.2.1. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde den Beschwerdegegner eindeutig genannt. Da das Land XXXX auch im Kopf des Impferinnerungsschreibens aufscheint, bleibt für Zweifel an der Parteienerklärung kein Raum. Dass in der Datenschutzbeschwerde ausgeführt wird, "mit Schreiben des (z.B. Amts der XXXX Landesregierung) vom 04.12.2021 (Datum) […]" kann daran nichts ändern, weil die mitbeteiligte Partei für die Erstellung der Datenschutzbeschwerde offenbar ein Formular verwendet hat und das Amt lediglich als eine mögliche Eintragung im Formular genannt wird, von der die mitbeteiligte Partei gerade keinen Gebrauch gemacht hat.
3.2.2. Die belangte Behörde hat den Bescheid aber gegen jemand anderen, nämlich das Amt der XXXX Landesregierung, erlassen.
3.2.3. Zwar wird im Impferinnerungsschreiben auch das Amt der XXXX Landesregierung genannt. Eine Umdeutung des Parteiantrags dahingehend, dass er als Beschwerdegegner auch das Amt der XXXX Landesregierung umfasst, scheidet aber aus, weil sich von der Gebietskörperschaft „Land XXXX “ nicht auf das Hilfsorgan Amt der XXXX Landesregierung schließen lässt, weil das Amt der XXXX Landesregierung im datenschutzrechtlichen Sinne mehr als nur ein unselbstständiger Hilfsapparat der Landesregierung bzw für die Gebietskörperschaft „Land XXXX “ sein könnte. So könnte es als „andere Stelle“ selbst Verantwortlicher im Sinne des Art 4 Z 7 DSGVO sein, sofern es Zweck und Mittel der Datenverarbeitung bestimmt bzw nach dem Unionsrecht oder nationalem Recht als Verantwortlicher benannt wird (Art 4 Z 7 DSGVO), wie es etwa in § 2 XXXX Datenverarbeitungsgesetz XXXX vorgesehen ist.
3.2.4. Ob die belangte Behörde – wie hier – gegenüber der mitbeteiligten Partei erklärt, dass sie das Verfahren gegen jemand anderen als den in der Datenschutzbeschwerde genannten Beschwerdegegner führen wird und die mitbeteiligte Partei sich dagegen ausspricht oder dazu trotz Möglichkeit keine Erklärung abgibt, ist ohne Bedeutung, weil die Behörde den Parteiantrag nicht einseitig abändern kann (vgl wiederum VwGH 25.05.2005, 2002/09/0165; eine Überschreitung der „Sache“ des Verwaltungsverfahrens durch die Behörde ist logisch zwingend nur dann möglich, wenn der Behörde gerade nicht die Kompetenz zukommt, den Parteiantrag abzuändern).
3.2.5. Auch der Verweis der belangten Behörde auf das hg Erkenntnis vom 30.03.2020, W274 2220424-1, bzw auf die darin genannte Entscheidung des Verwaltungsgerichtshofes vom 16.09.2009, 2007/05/0188, vermag nicht zu überzeugen, zumal die Entscheidungen die interpretative Ermittlung einer Partei bzw die Möglichkeit der Richtigstellung einer verfehlten Parteienbezeichnung, nicht jedoch – wie hier – die Änderung einer eindeutig bestimmten Partei zum Inhalt hatten.
3.2.6. Letztlich wäre der Behörde auch nicht geholfen, wenn man davon ausgehen würde, dass die belangte Behörde das Verfahren gegen die Beschwerdeführerin von Amts wegen eingeleitet hat und die Feststellung der Rechtswidrigkeit der Datenverarbeitung im bekämpften Bescheid auf diesem Verfahren gründet. Der Datenschutzbehörde kommt in einem amtswegig eingeleiteten Verfahren nämlich nicht die Kompetenz zu, in einer rechtlich verbindlichen Weise Rechtsverletzungen festzustellen (vgl jüngst VwGH 01.09.2022, Ra 2022/04/0066 bzw die Grundsatzentscheidung VwGH 14.12.2021, Ro 2020/04/0032).
3.3. Indem die belangte Behörde den Bescheid gegen jemanden erlassen hat, der nicht von der Datenschutzbeschwerde umfasst war, hat sie die „Sache“ des Verwaltungsverfahrens überschritten, weshalb der Bescheid ersatzlos zu beheben war. Daher wurde über die Datenschutzbeschwerde der mitbeteiligten Partei vom 10.12.2021 noch nicht antragsgemäß von der Datenschutzbehörde abgesprochen. Die Datenschutzbeschwerde der mitbeteiligten Partei ist nach wie vor unerledigt.
3.4. Da bereits auf Grund der Aktenlage feststand, dass der bekämpfte Bescheid aufzuheben ist, konnte von der Durchführung einer mündlichen Verhandlung gemäß § 24 Abs 2 Z 1 VwGVG abgesehen werden.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich auf die jeweils zitierte gefestigte Rechtsprechung des Verwaltungsgerichtshofes stützen.
Rückverweise
