IM Namen der REpublik
Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden sowie Mag. Gerda Ferch-Fischer und Dr. Wolfgang Goricnik als fachkundige Laienrichter über die Beschwerde des XXXX , gegen den Bescheid der Datenschutzbehörde vom 18.08.2022, GZ D773.122 2022-0.569.804, in nichtöffentlicher Sitzung zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Mit Beschwerde vom 24.12.2021, machte die nunmehr mitbeteiligte Partei (idF mitbeteiligte Partei) eine Verletzung in ihrem Recht auf Geheimhaltung wegen eines Schreibens des XXXX (Beschwerdeführer, in der Folge Beschwerdeführer), das personalisiert über die Möglichkeit der dritten Corona-Schutzimpfung informierte, bei der Datenschutzbehörde (idF DSB) geltend.
2. Mit Hinweis auf eine Vielzahl an gleichlautenden Beschwerden übermittelte die DSB der mitbeteiligte Partei eine Stellungnahme des Beschwerdeführers vom 07.01.2022, die zu einem anderen Verfahren ergangen war. Der Beschwerdeführer brachte darin zusammengefasst soweit wesentlich vor, dass er als alleiniger datenschutzrechtlicher Verantwortlicher in Entsprechung der aktuellen Covid-19-Anwendungsempfehlung des Nationalen Impfgremiums zur Erreichung der Grundimmunisierung an alle Personen, die bereits die erste Impfserie abgeschlossen gehabt hätten, ein personalisiertes Erinnerungsschreiben für eine dritte Impfung auf dem Postweg versandt habe.
3. In ihrer Replik verwies die mitbeteiligte Partei unter anderem auf das Fehlen einer Rechtsgrundlage für die Impferinnerungsschreiben.
4. Mit Bescheid vom 18.08.2022 wurde der Beschwerde der mitbeteiligten Partei stattgegeben und festgestellt, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, dass der Beschwerdeführer unrechtmäßig auf die Daten der mitbeteiligten Partei im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen über den Abschluss der Grundimmunisierung gegen SARS-CoV-2 verarbeitet habe.
Begründend führte die DSB soweit wesentlich und zusammengefasst aus, dass der Beschwerdeführer als Rechtsgrundlage für die in Frage stehenden Datenverarbeitungen die Bestimmungen des § 24d Abs. 2 Z 5 GTelG 2012 iVm § 4 Abs. 3 GTelG herangezogen habe. Hinsichtlich der Datenverarbeitung betreffend die Versendung des Erinnerungsschreibens könne den §§ 24d Abs. 2 Z 5 iVm § 24f Abs. 4 Z 5 GTelG 2012 jedoch lediglich ein allgemeiner Erlaubnistatbestand zum Zweck des Krisenmanagements im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten gemäß § 1 Epidemiegesetz 1950, BGBl. Nr. 186/1950, entnommen werden. Es sei nicht ableitbar, dass der Beschwerdeführer deshalb berechtigt wäre, zum Zweck des Versands eines personalisierten Schreibens mit Informationen über den Abschluss der Grundimmunisierung gegen SARS-CoV-2 auf die Daten des zentralen Impfregisters zuzugreifen. Darüber hinaus sei der Beschwerdeführer auch nicht berechtigt gewesen, die Daten der mitbeteiligten Partei aus dem zentralen Impfregister mit den Daten im Zentralen Patientenindex zur Ermittlung der aktuellen Wohnadresse abzugleichen. § 4 Abs. 3 GTelG 2012 bilde dafür keine taugliche Rechtsgrundlage.
5. Gegen den gegenständlichen Bescheid erhob der Beschwerdeführer fristgerecht Beschwerde.
6. Die belangte Behörde legte mit Schreiben vom 22.06.2023 die Beschwerde unter Anschluss des Verwaltungsaktes dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass das Vorbringen des Beschwerdeführers zur Gänze bestritten und auf den angefochtenen Bescheid verwiesen werde.
7. Dem Beschwerdeführer wurde die Stellungnahme der belangten Behörde übermittelt und es wurde ihm erneut Parteiengehör gewährt.
8. Bis zum Ende des Verfahrens langte keine weitere Stellungnahme ein.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Der Beschwerdeführer ist XXXX . Der Beschwerdeführer versandte an die mitbeteiligte Partei ein personalisiertes Schreiben mit dem Betreff: „Holen Sie sich ab sofort Ihre 3. Corona-Schutzimpfung!“. In diesem Schreiben wurde auf die Möglichkeit der dritten Corona-Schutzimpfung hingewiesen. Die mitbeteiligte Partei erhielt dieses Schreiben jedenfalls vor dem XXXX .
Aus dem Kontext des Schreibens, das sich auf die 3. Impfung bezieht, geht hervor, dass die mitbeteiligte Partei bereits zwei Corona-Schutzimpfungen erhalten hat.
Zur Ermittlung der Daten der mitbeteiligten Partei vor Zusendung des personalisierten Informationsschreibens überprüfte der Beschwerdeführer – über die XXXX als Auftragsverarbeiterin – im zentralen Impfregister, ob zur mitbeteiligtenb Partei ein dritter Impfeintrag vorhanden war und ermittelte, da ein solcher Impfeintrag nicht aufschien, in einem nächsten Schritt die Wohnadresse der mitbeteiligten Partei durch Zugriff auf den zentralen Patientenindex. In der Folge übermittelte der Beschwerdeführer die Adressdaten der mitbeteiligten Partei an einen Druckdienstleister im Rahmen einer Auftragsdatenverarbeitung. Abseits dieser Datei bestehen keine weiteren Verarbeitungen der personenbezogenen Daten der mitbeteiligten Partei.
Die mitbeteiligte Partei wirkte in keiner Phase an der Verarbeitung ihrer personenbezogenen Daten (Zugriff auf das zentrale Impfregister, Zugriff auf den Patientenindex) mit und willigte nicht in die Datenverarbeitung ein.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem Inhalt der von der belangten Behörde vorgelegten Verwaltungsakt sowie dem gegenständlichen Gerichtsakt.
Keine der Verfahrensparteien monierte eine Unrichtigkeit oder Unklarheit betreffend den verfahrensrelevanten Sachverhalt. Dieser ist unstrittig. Vielmehr brachte der BF in seiner Beschwerde vor dem Bundesverwaltungsgericht ausschließlich eine unrichtige rechtliche Beurteilung vor.
3. Rechtliche Beurteilung:
3.1. Gemäß § 6 Bundesverwaltungsgerichtsgesetz (BVwGG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen § 39 DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das Verwaltungsgerichtsverfahrensgesetz (VwGVG) geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkraftretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles sowie andere näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.
Gemäß § 28 Abs. 2 VwGVG hat über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG das Verwaltungsgericht dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.
3.2. Zu den Prozessvoraussetzungen:
Die Beschwerde wurde gemäß § 7 Abs. 4 VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.
3.3. Maßgebliche rechtliche Bestimmungen
§ 1 DSG lautet:
(1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
§ 18 DSG lautet:
(1) Die Datenschutzbehörde wird als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet.
§24 DSG lautet:
1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1.die Bezeichnung des als verletzt erachteten Rechts,
2.soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3.den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4.die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5.das Begehren, die behauptete Rechtsverletzung festzustellen und
6.die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist. (5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
Art. 4 Z 1 DSGVO lautet:
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
Art. 5 Abs. 1 lit. c DSGVO lautet: (1) Personenbezogene Daten müssen
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
Art. 6 Abs. 1 lit. f DSGVO lautet:
(1) Rechtmäßigkeit der Verarbeitung
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Art 9 lautet:
(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
(2) Absatz 1 gilt nicht in folgenden Fällen: […] g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich, […] i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder […]
Art. 51 Abs. 1 DSGVO lautet: (1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden „Aufsichtsbehörde“).
Art. 57 Abs. 1 lit. f DSGVO lautet:
(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet
f) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 80 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;
Art. 77 Abs. 1 DSGVO lautet:
(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.
§ 4g EpiG lautete (Inkrafttreten: 01.07.2022 Außerkrafttreten: 30.06.2023):
(1) Der für das Gesundheitswesen zuständige Bundesminister ist als datenschutzrechtlich Verantwortlicher (Art. 4 Z 7 DSGVO) ermächtigt, Personen, für die gemäß den jeweils aktuellen Anwendungsempfehlungen des Nationalen Impfgremiums für COVID-19-Impfungen eine Auffrischungsimpfung gegen COVID-19 empfohlen wird, an diese Auffrischungsimpfung zu erinnern. Eine Auffrischungsimpfung ist eine erneute Impfung nach Abschluss der Grundimmunisierung, um eine nachlassende Immunantwort wieder zu erhöhen und den Impfschutz aufrechtzuerhalten.
(2) Zum Zweck der Versendung von Erinnerungsschreiben an Auffrischungsimpfungen gegen COVID19 hat die ELGA GmbH als Auftragsverarbeiterin (Art. 4 Z 8 DSGVO) des für das Gesundheitswesen zuständigen Bundesministers 1. auf Basis der jeweils aktuellen Anwendungsempfehlungen des Nationalen Impfgremiums für COVID-19-Impfungen aus den im zentralen Impfregister gespeicherten COVID-19- bezogenen Angaben (§ 24c Abs. 2 Z 2 GTelG 2012) jene Personen zu ermitteln, für die eine Auffrischungsimpfung gegen COVID-19 empfohlen wird und zwar unabhängig davon, ob eine Impfung zum Zeitpunkt der Erinnerung aufgrund einer aktuellen Genesung oder einer Kontraindikation nicht empfohlen wird, und 2. den gemäß Z 1 ermittelten Personen ein Erinnerungsschreiben an die empfohlene Auffrischungsimpfung gegen COVID-19 zu übermitteln. Der für das Gesundheitswesen zuständige Bundesminister hat der ELGA GmbH jeweils die sich aus der jeweiligen Anwendungsempfehlung des Nationalen Impfgremiums ergebenden Anforderungen an die Ermittlung gemäß Z 1 sowie den Zeitpunkt für die Versendung der Erinnerungsschreiben bekannt zu geben und hat zum Zweck der Versendung der Erinnerungsschreiben eine spezifische Zugriffsberechtigung gemäß § 24f Abs. 4 GTelG 2012 auf die im zentralen Impfregister gespeicherten Angaben.
(3) Das Erinnerungsschreiben hat zumindest Folgendes zu enthalten: 1. eine Datenschutzinformation gemäß Art. 14 DSGVO, 2. fachliche Informationen über die empfohlene Auffrischungsimpfung gegen COVID-19, 3. den Hinweis, dass die Information unabhängig davon erfolgt, ob eine Impfung zum Zeitpunkt der Erinnerung aufgrund einer aktuellen Genesung oder einer Kontraindikation nicht empfohlen wird, und eine Aufklärung durch einen Arzt nicht ersetzt wird, sowie 4. die Informationen gemäß Abs. 4 und 5.
(4) Die gemäß § 4b Abs. 8 benannte Stelle hat Anfragen und Beschwerden der betroffenen Personen im Zusammenhang mit dem Erinnerungsschreiben entgegenzunehmen, gegebenenfalls die Art des Fehlers zu erheben sowie für die Behebung des Fehlers zu sorgen. Die betroffenen Personen sind darüber zu informieren.
(5) Für die Zurverfügungstellung von Informationen über die auf Antrag der betroffenen Personen gemäß den Art. 15 bis Art. 22 DSGVO ergriffenen Maßnahmen zu im Zusammenhang mit dem Erinnerungsschreiben stehenden Verarbeitungstätigkeiten steht dem datenschutzrechtlich Verantwortlichen gemäß Art. 23 Abs. 1 lit. e DSGVO eine Frist von drei Monaten zu. Die betroffenen Personen sind über diese Beschränkung des Art. 12 Abs. 3 DSGVO in geeigneter Weise zu informieren.
(6) Der für das Gesundheitswesen zuständige Bundesminister hat geeignete Datensicherheitsmaßnahmen zu ergreifen, insbesondere 1. ist eine Weiterverarbeitung der aus dem zentralen Impfregister erhobenen personenbezogenen Daten zu anderen Zwecken als der gegenständlichen Versendung von Erinnerungsschreiben unzulässig, soweit in diesem und anderen Bundesgesetzen nicht anderes bestimmt ist, 2. sind die Zugriffe auf das zentrale Impfregister zum Zweck der Versendung der Erinnerungsschreiben zu protokollieren.
§ 4 Abs. 3 GTelG lautet:
(3) Der Patientenindex gemäß § 18 kann zur Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) von Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, auch außerhalb von ELGA (4. Abschnitt) verwendet werden.
§ 18 GTelG lautet auszugsweise:
(1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient: 1. der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen sowie 2. der Lokalisierung von Verweisregistern, in denen sich Verweise auf ELGA-Gesundheitsdaten dieser natürlichen Personen befinden können.
§ 24d GTelG lautet auszugsweise:
(1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von Daten im zentralen Impfregister gemäß § 24c Abs. 2 bis 7 sowie zu den in Abs. 2 genannten Zwecken ist nur zulässig, wenn […] 5. die Bürger/innen, soweit es sich um Zwecke gemäß Abs. 2 Z 1, Z 2, Z 5, Z 6 oder Z 7 handelt, gemäß § 18 Abs. 4 oder durch Abgleich von Daten mit dem oder Abfrage des Stammzahlenregisters gemäß § 2 Z 9 E-GovG eindeutig identifiziert wurden. Für den Abgleich von Daten mit dem Stammzahlenregister gilt § 18 Abs. 4 Z 5 sinngemäß.
(2) Die im Impfregister gespeicherten Daten dürfen personenbezogen ausschließlich für folgende Zwecke verarbeitet werden: […] 5. Krisenmanagement, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten gemäß § 1 Epidemiegesetz 1950, BGBl. Nr. 186/1950, als auch im Rahmen der Pharmakovigilanz, […]
§ 24f GTelG lautet auszugsweise:
(2) Soweit der Patientenindex (§ 18) zur Überprüfung der eindeutigen Identität der Bürger/innen (§ 24d Abs. 1 Z 5, 1. Fall) genutzt wird, darf die Überprüfung der eindeutigen Identität in den Fällen gemäß Abs. 4 Z 1 lit. a bis c, Z 2 und Z 4 nicht länger als 28 Tage zurückliegen.
(3) Der Gesundheitsdiensteanbieterindex (§ 19) dient der Überprüfung der eindeutigen Identität von Gesundheitsdiensteanbietern gemäß § 24d Abs. 1 Z 1.
(4) Das Berechtigungssystem (§ 21) dient der Verwaltung der spezifischen Zugriffsberechtigungen und Steuerung der Zugriffe. Eine spezifische Zugriffsberechtigung auf die im zentralen Impfregister gespeicherten Daten haben 5. der für das Gesundheitswesen zuständige Bundesminister für das bundesweite Krisenmanagement gemäß § 24d Abs. 2 Z 5, […]
3.4. Auf den korrekten Fall umgelegt bedeutet dies Folgendes:
Der Beschwerdeführer stützt seine Verarbeitungstätigkeit als Verantwortlicher im Zusammenhang mit der Ermittlung der gegen SARS-COVID-19 geimpften und ungeimpften Personen wie auch das Versenden des gegenständlichen Impferinnerungsschreiben auf § 24d Abs. 2 Z 5 GTelG (zum Zwecke des Krisenmanagements). Die hierfür notwendige Zugriffsberechtigung auf das zentrale Impfregister sah der Beschwerdeführer gemäß § 24f Abs. 4 Z 5 GTelG (Nutzung von XXXX Komponenten; Zugriffsberechtigung für den XXXX für das bundesweite Krisenmanagement) gewährleistet. Die Ermittlung der Adressdaten durch die Auftragsverarbeitung wurde auf § 4 Abs. 3 GTelG (Nutzung Patientenindex zur Überprüfung der Identität auch außerhalb von XXXX ) gestützt. Unstrittig ist, dass zum Zeitpunkt der Versendung der in Frage stehenden Impferinnerungsschreiben durch den Beschwerdeführer eine eindeutige Rechtsgrundlage, wie sie später für eine begrenzte Zeit mit § 4g Epidemiegesetz 1950 und mit § 750 Abs. 1a und 2 ASVG für den Dachverband der Sozialversicherungsträger geschaffen wurde (siehe BGBl. 197/2021 vom 03.12.2021; Außerkrafttreten am 30.06.2023), nicht bestanden hat.
3.2.2. Mit dem Argument, die Datenverarbeitung iZm den in Rede stehenden Impferinnerungsschreiben des Beschwerdeführers im Dezember 2021 könne sich auf die Rechtfertigung bzw. Rechtsgrundlage des Krisenmanagements in § 24d Abs. 2 Z 5 GTelG stützen, kann der Beschwerdeführer nicht durchdringen: Gemäß § 24d Abs. 2 Z 5 GTelG 2012 dürfen die im Impfregister gespeicherten Daten personenbezogen für den Zweck des Krisenmanagements, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten gemäß § 1 Epidemiegesetz 1950, BGBl. Nr. 186/1950, als auch im Rahmen der Pharmakovigilanz, verarbeitet werden. Den Gesetzesmaterialien ist dazu zu entnehmen, dass das Krisenmanagement sowohl das Ausbruchsmanagement als auch die Pharmakovigilanz umfasst, wobei im Rahmen des Ausbruchsmanagements der Zugriff auf die im Impfregister gespeicherten Daten [nur] insoweit zulässig ist, als dieser zur Unterstützung der hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz (insbesondere Umgebungsanalysen) erforderlich ist (ErlRV 232 BlgNR XXVII. GP, 33). Im Zeitpunkt der Abfrage im Impfregister (vor dem XXXX 2021) gab es allerdings im Epidemiegesetz 1950 keine hoheitliche Ermächtigung die eine gültige Datenverarbeitungsgrundlage darstellt und eine Aufgabe, die eine „Erinnerung an Impfungen“ rechtfertigen könnte. Die in § 4g Epidemiegesetz 1950 vorgesehene Regelung „Erinnerungen an Auffrischungsimpfungen gegen COVID-19“ ist erst nach dem 01.07.2022 (BGBl. I Nr. 89/2022) in Kraft getreten – betrifft daher nicht den Zeitraum der Abfrage der Daten der mitbeteiligten Partei und die Verarbeitung zum Zwecke der Erinnerung an die dritte Impfung. Entgegen der Meinung des Beschwerdeführers stellt das gegenständliche Informationsschreiben zur dritten Corona-Schutzimpfung somit keine Maßnahme des Krisenmanagements gemäß § 24d Abs. 2 Z 5 GTelG 2012 dar, weshalb dieser bereits deshalb die verfahrensgegenständliche Datenverarbeitung nicht darauf stützen kann (vgl. dazu auch BVwG 07.02.2023, W245 2263552-1/20E).
3.2.3. Der Beschwerdeführer führt in seiner Beschwerde dazu aus, der Wortlaut der Erläuterungen würde nicht verlangen, dass die hoheitliche Aufgabe im Epidemiegesetz determiniert wäre, dass der Begriff des Krisenmanagements selbst ausgelegt werden müsse, und, dass die akute epidemische Situation Ende des Herbstes 2021 eine entsprechende Maßnahme – wie das Impferinnerungsschreiben zur 3. Corona-Schutzimpfung – als Krisenmanagement erfordert habe. Zu diesem Vorbingen ist auf die Ausführungen unter 3.2.2. zu verweisen: der erkennende Senat vertritt die Ansicht, dass sich aus den Erläuterungen zum GTelG ausreichend klar ergibt, dass im Rahmen des Ausbruchsmanagements (als Teil des Krisenmanagements) der Zugriff auf die im Impfregister gespeicherten Daten eben nur insoweit zulässig ist, als dieser zur Unterstützung der hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz 1950 erforderlich ist. Für die Rechtsmeinung des Beschwerdeführers, dass eine solche hoheitliche Maßnahme nicht im Epidemiegesetz 1950 determiniert werden müsse, besteht in diesem Lichte kein Raum, da auch sonst, später, die entsprechende hoheitliche Maßnahme im Epidemiegesetz 1950 geschaffen hat (vgl. erneut § 4g Epidemiegesetz 1950), sowie, dass sich die entsprechende Maßnahme für den XXXX aus sonst keinen Rechtsgrundlagen ergibt. Dass der Gesetzgeber bereits von sich aus eine hoheitliche Maßnahme durch den XXXX im Zusammenhang mit Erinnerungsschreiben für die COVID-19-Impfung in einen engen Berechtigungsrahmen setzen wollte, ergibt sich zB auch daraus, dass die Berechtigung im § 4g Epidemiegesetz schon beim Inkrafttreten bis 30.06.2023, also für ein Jahr, befristet wurde (vgl. § 50 Abs. 31 Epidemiegesetz, BGBl. I Nr. 89/2022). Im Ergebnis kann sich der BF daher auf den § 24d Abs. 2 Z 5 GTelG als Rechtsgrundlage für die vorgenommene Datenverarbeitung nicht stützen.
3.2.4. Demnach bestand für die gegenständliche Datenverarbeitung der personenbezogenen Daten der mitbeteiligte Partei iZm der personalisierten Versendung eines Impferinnerungsschreibens für die 3. Corona Schutzimpfung keine entsprechende Rechtsgrundlage, weshalb dadurch eine Verletzung des Rechts auf Geheimhaltung der mitbeteiligten Partei durch die Datenverarbeitung iSd § 1 Abs. 1 und 2 DSG vorgenommen wurde. Eine Rechtmäßigkeit der Datenverarbeitung ergibt sich außerdem mangels Rechtsgrundlage auch nicht aus den Art. 6 Abs. 1 lit e iVm Art. 6 Abs. 3 DSGVO sowie Art. 9 Abs. 2 lit. g und i DSGVO.
Zu den Zugriffen auf das Impfregister und den Patientenindex
Insoweit der BF vorbringt, eine Zugriffsberechtigung auf das zentrale Impfregister auf Basis des § 24f Abs. 4 Z 5 GTelG zu haben, ist diese Zugriffsberechtigung an Zwecke des Krisenmanagements des § 24d Abs. 2 Z 5 GTelG gebunden: in Hinblick auf das Vorhergesagte, wonach sich der BF jedoch bei der gegenständlichen Datenverwendung nicht auf die Rechtsgrundlage des § 24d Abs. 2 Z 5 GTelG und damit auf Krisenmanagement berufen konnte, konnte auch eine entsprechende Zugriffsberechtigung nicht bestehen.
3.2.6. Nach § 18 Abs. 1 GTelG hat der Dachverband im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient insbesondere der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von XXXX oder anderen eHealth-Anwendungen (Z 1). In § 18 Abs. 2 GTelG werden die im Patientenindex zu verarbeitenden Daten angeführt, darunter auch die Adressdaten von natürlichen Personen (Z 3). Der Patientenindex wird vorrangig aus anderen E-Government-Registern, wie etwa der Zentralen Partnerverwaltung (ZPV) oder dem von der Stammzahlenregisterbehörde geführten Ergänzungsregister, gebildet (§ 18 Abs. 3 GTelG) (vgl. Stärker in Neumayr/Resch/Wallner, GmundKomm2 § 18 GTelG 2012 [Stand 1.1. 2022, rdb.at] Rz 2-3). Wie der Beschwerdeführer in seiner Stellungnahme auch ausführte, wurden die Adressdaten der Personen, denen ein Impferinnerungsschreiben geschickt werden sollte, auf Basis des § 4 Abs. 3 GTelG dem zentralen Patientenindex entnommen. Da aber bereits nach dem oben Gesagten keine Rechtsgrundlage für die Übermittlung von Gesundheitsdaten im gegenständlichen Fall bestanden hat, kann aus § 4 Abs. 3 GTelG keine Ermächtigung für einen Zugriff auf den Patientenindex zur Adressermittlung abgelesen werden.
3.5. Die Durchführung einer mündlichen Verhandlung konnte gemäß § 24 Abs. 1 VwGVG entfallen. Die mündliche Erörterung lässt eine weitere Klärung der Rechtssache nicht erwarten. Die Notwendigkeit der Durchführung einer Verhandlung ist auch im Hinblick auf Art. 6 Abs. 1 EMRK und Art. 47 GRC nicht ersichtlich. Der entscheidungsrelevante Sachverhalt ist hier geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung hier nicht entgegen.
Zu Spruchpunkt B) Unzulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist nicht zulässig, weil keine Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Art 133 Abs 4 B-VG zukommt. Zur Beantwortung der Frage, ob die „hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz“, die durch den Zugriff auf die im Impfregister gespeicherten Daten unterstützt werden können, im Epidemiegesetz selbst determiniert sein müssen (wie zB durch § 4g Epidemiegesetz 1950), oder nicht besteht bereits einschlägige VfGH Judikatur vom 19.12.2019 VfGH G164/2019 ua (G164/2019-25, G171/2019-24) wonach der Umfang des Datenzugriffs mit Verweis auf § 1 Abs. 2 DSG aus dem Gesetz selbst klar ersichtlich sein muss.
Rückverweise
RIS