Spruch
W258 2263169-1/4E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden sowie Dr. Gerd TRÖTZMÜLLER und Gerhard RAUB als fachkundige Laienrichter über die Beschwerde des XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG, 1010 Wien, Schottenring 25, mitbeteiligte Partei vor dem Bundesverwaltungsgericht XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX , GZ XXXX im Umlaufwege in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:
A) Der Beschwerde wird Folge gegeben und Spruchpunkt 1. des Bescheides ersatzlos behoben.
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Allgemeines:
Ende November 2021 sollen im Namen des XXXX und des XXXX in Kooperation mit diversen XXXX Schreiben an Personen gesendet worden sein, die keine Schutzimpfung gegen COVID-19 erhalten hatten, über 18 Jahre alt waren und einen Wohnsitz in XXXX hatten („Impferinnerungsschreiben“). In den Schreiben wurden die Empfänger eingeladen, einen Termin für eine Impfung gegen COVID-19 wahrzunehmen.
Dagegen beschwerte sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatten, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei.
In einigen Verfahren hat die belangte Behörde Bescheide gegen das XXXX („Beschwerdeführer“ im Verfahren vor dem Bundesverwaltungsgericht) erlassen, obwohl die Beschwerdegegner in den jeweiligen Datenschutzbeschwerden nicht eindeutig bezeichnet waren.
Das gegenständliche Verfahren betrifft eines dieser Beschwerdeverfahren.
II. Verfahrensgang:
1. Mit Datenschutzbeschwerde vom 14.12.2021 brachte die mitbeteiligte Partei sinngemäß und auf das Wesentlichste zusammengefasst vor, ihr sei Ende 2021 ein persönlich adressiertes Impferinnerungsschreiben zugesendet worden, wofür ohne Rechtsgrundlagen ihre Gesundheitsdaten, nämlich ihr Impfstatus, verarbeitet worden sei. Dadurch sei sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt worden, weshalb sie beantrage, eine Verletzung ihrer Rechte festzustellen.
2. Die belangte Behörde holte in einem Parallelverfahren eine Stellungnahme des XXXX ein, in der es sich selbst als alleinigen Verantwortlichen für die Datenverarbeitungen im Zusammenhang mit der Erstellung und dem Versand der Impferinnerungsschreiben bezeichnete.
3. Die belangte Behörde übermittelte der mitbeteiligten Partei die Stellungnahme, führte aus, dass sie auf Grund des Vorbringens des XXXX das Verfahren nunmehr gegen das XXXX führe und räumte der mitbeteiligten Partei eine Stellungnahmefrist von zwei Wochen ein.
4. Die mitbeteiligte Partei brachte keine Stellungnahme ein.
5. Mit Bescheid vom XXXX gab die belangte Behörde der Beschwerde insoweit statt, als sie feststellte, dass XXXX den Beschwerdeführer [mitbeteiligte Partei im verwaltungsgerichtlichen Verfahren] dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem der Beschwerdegegner unrechtmäßig auf die Daten des Beschwerdeführers im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet hat.“
Begründend führte die belangte Behörde aus, das XXXX habe ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der betroffenen Person im zentralen Impfregister zugriffen. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG sowie die gesetzlichen Zuständigkeitsregelungen würden keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des § 24d Abs 2 Z 3 GTelG 2012 setze nämlich nach § 24d Abs 1 Z 4 GTelG 2012 eine spezifische Zugriffsberechtigung gemäß § 24f Abs 4 GTelG 2012 voraus, über die XXXX nicht verfügt habe.
6. Dagegen richtet sich die gegenständliche Beschwerde vom 18.09.2022. Der Beschwerdeführer beantragte, den bekämpften Bescheid dahingehend abzuändern, dass die datenschutzrechtliche Beschwerde abgewiesen wird und führte sinngemäß begründend aus, er sei in der pandemiebedingten Krisenzeit („harter Lockdown“) vom XXXX angewiesen worden, ein Impferinnerungsschreiben an die Einwohner XXXX in Entsprechung des Impfplans zu senden. Das Verwaltungshandeln des Beschwerdeführers sei daher dem XXXX zuzurechnen. Datenschutzrechtliche Verantwortlichkeit und die Zurechnung des Verwaltungshandeln fielen in diesem Fall – zulässigerweise – auseinander.
Der XXXX verfüge für den hier (vorwiegend) relevanten und zulässigen Zweck des Krisenmanagements nach § 24d Abs 2 Z 5 GTelG 2012 gemäß § 24f Abs 4 Z 6 lit a GTelG 2012 über eine spezifische Zugriffsberechtigung, woraus sich die datenschutzrechtliche Zulässigkeit der Datenverarbeitung durch den Beschwerdeführer ergebe.
Der Beschwerdeführer könne sich darüber hinaus auf den Sondertatbestand des § 24d Abs 2 Z 3 GTelG 2012 für Impferinnerungen stützen. Da für diesen Tatbestand niemandem eine spezifische Zugriffberechtigung nach § 24f Abs 4 GTelG 2012 zukomme, sei das Fehlen einer Zugriffsberechtigung nicht als absolutes Verbot zu sehen.
Die Abfrage im Patientenindex sei erfolgt, um die aktuelle Wohnadresse der betroffenen Personen zu ermitteln, um zu gewährleisten, dass die Impferinnerungsschreiben an die richtige Anschrift gesendet werden. Dahingehend sei der Zugriff zur Überprüfung der eindeutigen Identität natürlicher Personen durchgeführt worden und rechtmäßig gewesen. Sie sei darüber hinaus auch durch § 8 DSG gerechtfertigt.
7. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts dem erkennenden Gericht vor und beantragte die Beschwerde abzuweisen.
8. Das Bundesverwaltungsgericht räumte der mitbeteiligten Partei Parteiengehör zur Bescheidbeschwerde und Aktenvorlage und Stellungnahme der belangten Behörde ein. Die mitbeteiligte Partei machte von dieser Möglichkeit keinen Gebrauch.
Beweis wurde aufgenommen durch Einsichtnahme in den Verwaltungsakt.
III. Das Bundesverwaltungsgericht hat erwogen:
1. Der folgende Sachverhalt steht fest:
1.1. Der unter II. beschriebene Verfahrensgang steht fest.
1.2. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde den Beschwerdegegner wie folgt bezeichnet:
XXXX 1.3. Der Datenschutzbeschwerde war ein persönlich an die mitbeteiligte Partei adressierte „Impferinnerungsschreiben“ mit dem folgenden Inhalt beigefügt:
„[Wappen XXXX mit Schriftzug „ XXXX
Amt der XXXX Landesregierung
XXXX [Name und Adresse des Mitbeteiligten]
Ihr persönlicher Termin für die COVID-Schutzimpfung ist da!
Die COVID-Schutzimpfung ist derzeit die wichtigste Maßnahme, um die Pandemie zu beherrschen und ein weitgehend normales Leben wieder zu ermöglichen. Das Europäische Gremium für Gesundheit sowie das Nationale Impfgremium (NIG) empfehlen in diesem Zusammenhang ausdrücklich die COVID-Schutzimpfung.
Warum ist diese Impfung so wichtig?
Durch die Impfung sinkt das persönliche Risiko, bei einer Impfung einen schweren Erkrankungsverlauf zu erleiden und somit auch das Risiko eines damit verbundenen Aufenthalts auf einer Intensivstation bzw. zu versterben. Auch die Gefahr an Long-COVID zu erkranken (das ist auch bei einem leichten Verlauf durchaus möglich) wird stark reduziert. Sie schützen mit der Impfung aufgrund des geringeren Erkrankungsrisikos nicht nur sich persönlich, sondern auch Ihre Mitmenschen.
Mit fortschreitender Dauer der Pandemie werden in ganz Österreich – zum Schutz aller – immer mehr Bereich auf die 2G-Regel (Zutritt nur für vollständig geimpfte Personen oder Genesene) umgestellt werden. Zudem wird mit Februar 2022 die Impflicht bundesweit eingeführt.
Für Sie wurde ein Termin für eine COVID-Schutzimpfung reserviert:
[Impftermin und Impfort]
Wir laden Sie ein, von diesem Angebot Gebrauch zu machen.
Um etwaige Wartezeiten vor Ort zu vermeiden, können Sie statt des oben reservierten Termins auch einen Alternativtermin online in einem Impfzentrum oder bei niedergelassenen ÄrztInnen unter XXXX buchen. Diese gilt auch, wenn Sie akut erkrankt sind oder z.B. aufgrund einer anderen Therapie diesen Termin nicht wahrnehmen können. Im Falle, dass Sie sich inzwischen haben impfen lassen, wollen wir uns bei Ihnen dafür ganz herzlich bedanken!
Sollte Ihnen bekannt sein, dass für Sie aus medizinischen Gründen (beispielsweise Gegenanzeigen) eine COVID-Impfung nicht möglich ist, so erachten Sie das vorliegende Schreiben bitte als gegenstandslos. Wenn Sie unsicher sind, ob Sie gegen COVID geimpft werden können, so empfehlen wir zur Abklärung ein ärztliches Aufklärungs-/Beratungsgespräch zu nutzen. Bei Fragen zur COVID-Impfung in XXXX (beispielsweise Anmeldung), steht Ihnen auch die Hotline des Landes XXXX zur Verfügung. Bringen Sie zur Impfung bitte Ihren Lichtbildausweis und – wenn vorhanden – Ihre e-card mit.
Danke! XXXX impft. Gegen Corona. Gemeinsam.
in Kooperation mit
XXXX 2. Die Feststellungen gründen auf der folgenden Beweiswürdigung:
Die Feststellungen gründen auf dem unbedenklichen Verwaltungsakt.
3. Rechtlich folgt daraus:
Zu A)
Die Beschwerde ist zulässig und berechtigt.
3.1. Zur Rechtslage:
3.1.1. Gemäß § 24 Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen ua die DSGVO verstößt. Soweit das der betroffenen Person zumutbar ist, hat die Beschwerde die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner) zu enthalten (§ 24 Abs 2 Z 2 DSG).
3.1.2 Gemäß § 13 Abs 3 AVG, der auch im dateschutzrechtlichen Verfahren anzuwenden ist, ermächtigen Mängel schriftlicher Anbringen die Behörde nicht zur Zurückweisung. Die Behörde hat vielmehr von Amts wegen unverzüglich deren Behebung zu veranlassen und kann dem Einschreiter die Behebung des Mangels innerhalb einer angemessenen Frist mit der Wirkung auftragen, dass das Anbringen nach fruchtlosem Ablauf dieser Frist zurückgewiesen wird. Wird der Mangel rechtzeitig behoben, so gilt das Anbringen als ursprünglich richtig eingebracht.
3.1.3. Hat die belangte Behörde Zweifel, wen der Beschwerdeführer als Beschwerdegegner benannt hat, hat sie ihn gemäß § 13 Abs 3 AVG zur Verbesserung seines Rechtsmittels anzuleiten. Unterlässt sie dies und bestimmt den Beschwerdegegner selbst, ist der Bescheid ersatzlos zu beheben (vgl in vergleichbaren und auf den gegenständlichen Sachverhalt übertragbaren Fällen zur ersatzlosen Behebung von Entscheidungen der Verwaltungsgerichte durch den Verwaltungsgerichtshof etwa VwGH 26.07.2012 2011/07/0143).
3.2. Angewendet auf den Sachverhalt bedeutet das:
3.2.1. Die mitbeteiligte Partei hat den Beschwerdegegner in der Datenschutzbeschwerde zwar wie folgt bezeichnet XXXX 3.2.2. Indem die belangte Behörde es trotz der gebotenen Zweifel an dem von der mitbeteiligten Partei gewollten Beschwerdegegner unterlassen hat, sie gemäß § 13 Abs 3 AVG aufzufordern, den Beschwerdegegner konkret zu bezeichnen oder vorzubringen, warum ihr die Bezeichnung des Beschwerdegegners gemäß § 24 Abs 2 Z 2 DSG unzumutbar ist, bleibt unklar, ob das XXXX tatsächlich vom Rechtschutzantrag der mitbeteiligten Partei umfasst war. Der Bescheid war daher ersatzlos zu beheben.
3.2.3. Zwar wird im Impferinnerungsschreiben auch das XXXX genannt. Eine Umdeutung des Parteiantrags dahingehend, dass er als Beschwerdegegner auch das Amt umfasst, scheidet aber aus, weil sich von der XXXX nicht auf ihr Hilfsorgan XXXX schließen lässt. Das XXXX könnte im datenschutzrechtlichen Sinne nämlich mehr als nur ein unselbstständiger Hilfsapparat der XXXX sein. So wäre es als „andere Stelle“ selbst Verantwortlicher im Sinne des Art 4 Z 7 DSGVO, sofern es Zweck und Mittel der Datenverarbeitung bestimmt bzw nach dem Unionsrecht oder nationalem Recht als Verantwortlicher benannt wird (Art 4 Z 7 DSGVO), wie es etwa in § 2 XXXX ) vorgesehen ist.
3.2.4. Ob die belangte Behörde – wie hier – gegenüber der mitbeteiligten Partei erklärt, dass sie das Verfahren gegen jemand anderen als den in der Datenschutzbeschwerde genannten Beschwerdegegner führen wird und die mitbeteiligte Partei sich dagegen ausspricht oder dazu trotz Möglichkeit keine Erklärung abgibt, ist ohne Bedeutung, weil die Behörde den Parteiantrag nicht einseitig abändern kann (vgl wiederum VwGH 25.05.2005, 2002/09/0165; eine Überschreitung der „Sache“ des Verwaltungsverfahrens durch die Behörde ist logisch zwingend nur dann möglich, wenn der Behörde gerade nicht die Kompetenz zukommt, den Parteiantrag abzuändern).
3.2.5. Auch der Verweis der belangten Behörde auf das hg Erkenntnis vom 30.03.2020, W274 2220424-1, bzw auf die darin genannte Entscheidung des Verwaltungsgerichtshofes vom 16.09.2009, 2007/05/0188, vermag nicht zu überzeugen, zumal die Entscheidungen die interpretative Ermittlung einer Partei bzw die Möglichkeit der Richtigstellung einer verfehlten Parteienbezeichnung, nicht jedoch – wie hier – die Festlegung einer nicht eindeutig bestimmten Partei zum Inhalt hatten.
3.2.6. Letztlich wäre der Behörde auch nicht geholfen, wenn man davon ausgehen würde, dass die belangte Behörde das Verfahren gegen die Beschwerdeführerin von Amts wegen eingeleitet hat und die Feststellung der Rechtswidrigkeit der Datenverarbeitung im bekämpften Bescheid auf diesem Verfahren gründet. Der Datenschutzbehörde kommt in einem amtswegig eingeleiteten Verfahren nämlich nicht die Kompetenz zu, in einer rechtlich verbindlichen Weise Rechtsverletzungen festzustellen (vgl jüngst VwGH 01.09.2022, Ra 2022/04/0066 bzw die Grundsatzentscheidung VwGH 14.12.2021, Ro 2020/04/0032).
3.3. Es war daher spruchgemäß zu entscheiden.
3.4. Die Behörde wird in Folge nach § 13 Abs 3 AVG vorzugehen und die mitbeteiligte Partei aufzufordern haben, den Beschwerdegegner klarzustellen oder allenfalls zu begründen, warum ihr die eindeutige Bezeichnung des Beschwerdegegners unzumutbar ist.
3.5. Da bereits auf Grund der Aktenlage feststand, dass der bekämpfte Bescheid aufzuheben ist, konnte von der Durchführung einer mündlichen Verhandlung gemäß § 24 Abs 2 Z 1 VwGVG abgesehen werden.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich auf die jeweils zitierte gefestigte Rechtsprechung des Verwaltungsgerichtshofes stützen. Die Frage, ob ein konkreter Verbesserungsauftrag gemäß § 13 Abs 3 AVG erforderlich ist oder nicht, ist als einzelfallbezogene Beurteilung grundsätzlich nicht revisibel (vgl etwa zum vergleichbaren Fall, ob ein Verbesserungsauftrag nach § 13 Abs 3 AVG dem Gesetz entspricht, VwGH 21.12.2022, Ra 2022/05/0145 Rz 10).