Spruch
W256 2247276-1/23E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline KIMM als Vorsitzende und die fachkundigen Laienrichterinnen Dr. Claudia Rosenmayr-Klemenz und Mag. Adriana Mandl als Beisitzerinnen über die Beschwerde des XXXX , vertreten durch Mag. Robert HAUPT, Rechtsanwalt in 1010 Wien, Rotenturmstraße 29/12, gegen die Spruchpunkte 1. und 3. des Bescheids der Datenschutzbehörde vom 8. September 2021, GZ.: D124.3001 (2021-0.612.523), zu Recht erkannt:
A) Die Beschwerde wird mit der Maßgabe abgewiesen, dass es in Spruchpunkt 1. und 3. des angefochtenen Bescheids anstelle von „abgewiesen“ „zurückgewiesen“ zu lauten hat.
B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:
In seiner am 10. Juni 2020 bei der belangten Behörde eingebrachten Datenschutzbeschwerde vom selben Tag behauptete der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung gemäß § 1 DSG durch die XXXX (im Folgenden: Erstmitbeteiligte) und durch das XXXX (im Folgenden: Zweitmitbeteiligte). Er habe vor dem Landesgericht XXXX ein gerichtliches Verfahren wegen eines ärztlichen Kunstfehlers gegen die Erstmitbeteiligte als beklagte Partei geführt. Die Zweitmitbeteiligte sei, nachdem ihr von der Erstmitbeteiligten der Streit verkündet worden sei, dem gerichtlichen Verfahren am 29. November 2017 als Nebenintervenient auf Seiten der beklagten Partei beigetreten. Mit Beschluss des Landesgerichtes XXXX vom 28. Februar 2018 sei der Zweitmitbeteiligten gerichtlich aufgetragen worden, die radiologischen Befunde (Spiral-CT des Gehirnschädels) vom 29. November 2006 sowie das MRT des Gehirnschädels vom 28. Dezember 2006 dem Gericht sowie den Parteien des Verfahrens vorzulegen. Die Vorlage – soweit hier wesentlich – des MRT Cerebral vom 27. Februar 2007 sei nicht gerichtlich aufgetragen worden. Die Zweitmitbeteiligte räume selbst ein, dass sie den Befund vom 27. Februar 2007 „telefonisch“ im Klinikum XXXX , deren Rechtsträgerin die Erstmitbeteiligte sei, angefordert habe, und in weiterer Folge auch am 5. Dezember 2017 elektronisch erhalten hätte. Die Zweitmitbeteiligte sei im Gerichtsverfahren nicht als beklagte Partei beteiligt gewesen, sondern bloß als Nebenintervenient. Sohin sei die Verarbeitung nicht zur Abwehr von (eigenen) Ansprüchen der Zweitmitbeteiligten erfolgt. Die Abfrage der gegenständlichen Befunde sei für die Zweitmitbeteiligte somit nicht erforderlich gewesen, weil sie ohne diese Abfrage weder an der Verteidigung (fremder Ansprüche) gehindert gewesen wäre, noch ihr dies wesentlich erschwert gewesen wäre, weil der Befund von der Erstmitbeteiligten jederzeit selbst vorgelegt hätte werden hätte können. Die Übermittlung sei demnach nicht zulässig und würden die (berechtigte) Interessen des Beschwerdeführers an der Geheimhaltung seiner Gesundheitsdaten überwiegen. Demgegenüber erscheine das Interesse der Zweitmitbeteiligten bloß als Interesse an der Information, was aber nicht ausreichend sei. Der konkrete Verstoß sei dem Beschwerdeführer erst durch ein Schreiben von Rechtsanwalt Dr. XXXX vom 11. September 2019 bekannt geworden. Der Beschwerde beigelegt war ein per E-Mail an die Zweitmitbeteiligte gerichtetes Auskunftsbegehren des Beschwerdeführers vom 12. August 2019, das bereits erwähnte Antwortschreiben des Anwalts der Zweitmitbeteiligten vom 11. September 2019 sowie ein an die Erstmitbeteiligte per E-Mail gerichtetes Auskunftsbegehren vom 9. Mai 2019 samt Antwortschreiben der Erstmitbeteiligten vom 20. Mai 2019.
Über Aufforderung der belangten Behörde brachte die Erstmitbeteiligte in ihrer Stellungnahme vom 21. Oktober 2020 zusammengefasst und sofern hier wesentlich vor, § 34 Abs. 1 K-KAO bestimme, dass in Krankenanstalten für jeden Patienten eine Krankengeschichte anzulegen und aufzubewahren sei, in welcher u.a. bestimmte personenbezogene Gesundheitsdaten darzustellen seien. Die in MRT-Untersuchungen gewonnenen Bild- und Befunddaten von Patienten seien Teil der Krankengeschichten. Zur sicheren und ordnungsgemäßen Übertragung medizinischer Bilddaten zwischen der Erstmitbeteiligten und externen Gesundheitsdienstleistern bediene sich die Erstmitbeteiligte eines EDV-Systems und stelle diese neben dem postalischen Versand dazu eine Plattform (PACS-Datendrehscheibe) zur digitalen Bereitstellung, Abholung und Übermittlung medizinischer Bilddaten mit zugehörigem Befund bereit. Im vorliegenden Fall seien die in Rede stehenden Befunde aufgrund des telefonischen Ersuchens der Zweitmitbeteiligten an die Zweitmitbeteiligte über diese Datendrehscheibe übermittelt worden. Dabei werde zuerkannt, dass das von der Erstmitbeteiligten in Bezug auf die PACS-Datendrehscheibe aufgestellte Erfordernis der Schriftlichkeit im konkreten Fall nicht eingehalten worden sei. Die Übermittlung sei aber aufgrund der Stellung der Zweitmitbeteiligten als Nebenintervenient im Verfahren vor dem Landesgericht XXXX rechtmäßig gewesen. Um die prozessualen Handlungen und Erklärungen zwischen der beklagten Partei und dem Nebenintervenienten zweckmäßig koordinieren zu können, sei nämlich naturgemäß auch die wechselseitige Information über den prozessgegenständlichen Sachverhalt im relevanten Ausmaß erforderlich und gerechtfertigt.
In seiner Stellungnahme vom 12. November 2020 wiederholte der Beschwerdeführer im Wesentlichen sein bisheriges Vorbringen. Seine gegen die Erstmitbeteiligte gerichtete Beschwerde richte sich gegen die Übermittlung seines Befundes vom 27. Februar 2007 an die Zweitmitbeteiligte. Diese habe seinen Befund telefonisch ohne Berechtigung bei der Erstmitbeteiligten angefordert und habe die Erstmitbeteiligte in weiterer Folge dieser den Befund auch über die „Datendrehscheibe“ übermittelt. Dass sein Befund über die für medizinische Zwecke installierte „Datendrehscheibe“ an die Zweitmitbeteiligte übermittelt worden sei, habe er erst durch die Stellungnahme vom 21. Oktober 2020 erfahren. Die Datendrehscheibe sei für Diagnosezwecke eingerichtet worden und somit im vorliegenden Fall als „Beweismitteltool“ missbraucht worden. Es handle es sich dabei um einen Verstoß gegen den Zweckbindungsgrundsatz und liege auch deshalb eine Verletzung im Recht auf Geheimhaltung vor.
In ihrer Stellungnahme vom 12. November 2020 brachte die Zweitmitbeteiligte im Wesentlichen vor, in dem genannten Verfahren habe der Beschwerdeführer die Erstmitbeteiligte wegen eine auf das Jahr 2007 zurückgehende fehlerhafte Diagnoseerstellung geklagt. Der Beschwerdeführer habe in seiner Klage die Vorlage sämtlicher pathologischer Befunde sowie CT- und MRT-Befunde zum Beweis seines Prozessvorbringens begehrt. Sein Klagebegehren habe der Beschwerdeführer insbesondere auf die falsche Befundung eines MRT-Bildes vom 27. Februar 2007 gestützt. Da der Beschwerdeführer sein Klagebegehren wesentlich auf diese MRT-Aufnahmen gestützt habe und die Vorlage dieser MRT-Aufnahmen zum Beweis seines Klageanspruches mehrfach beantragt habe, habe die Zweitmitbeteiligte, nachdem sie dem Verfahren als Nebenintervenient beigetreten sei, in die betreffenden Aufnahmen Einsicht genommen. Diese MRT-Aufnahmen seien nur in digitaler Version aussagekräftig und habe der damalige Geschäftsführer der Zweitmitbeteiligten daher diese Bilder bei den sie diagnostizierenden Einrichtungen über die gesicherte Datendrehscheibe mit dem Verweis auf das anhängige Gerichtsverfahren angefordert.
In weiterer Folge wurden von den Mitbeteiligten diverse Stellungnahmen eingebracht.
Dazu wiederholte der Beschwerdeführer in seinen Stellungnahmen vom 5. Jänner 2021 und vom 31. August 2021 im Wesentlichen sein Vorbringen, wonach die in Rede stehende Datenverarbeitung unzulässig gewesen sei und ein „Beweismittelpool“ nicht Ziel und Zweck der Datendrehscheibe gewesen sein könne.
Mit dem angefochtenen Bescheid wurde die Beschwerde des Beschwerdeführers in Bezug auf den hier gegenständlichen Befund vom 27. Februar 2007 gegen die Erstmitbeteiligte in Spruchpunkt 1. und gegen die Zweitmitbeteiligte in Spruchpunkt 3. Jeweils als unbegründet abgewiesen. Die Erstmitbeteiligte habe der Zweitmitbeteiligten am 1. August 2017 den Streit verkündet und sei diese am 29. November 2017 dem gerichtlichen Verfahren wegen eines Behandlungsfehlers beigetreten. Die hier verfahrensgegenständliche Übermittlung des MRT Cerebral vom 27. Februar 2007 sei am 5. Dezember 2017 erfolgt, also zu einem Zeitpunkt, als die Zweitmitbeteiligte bereits als Nebenintervenient dem Streit beigetreten gewesen sei. Aufgrund des anhängigen zivilgerichtlichen Verfahrens und der prozessualen Stellung der Mitbeteiligten könne die Zulässigkeit der vorliegenden Datenverwendung nicht als rechtswidrig angesehen werden. Naturgemäß sei auch die wechselseitige Information über den prozessgegenständlichen Sachverhalt erforderlich und gerechtfertigt. Die verfahrensgegenständliche Datenübermittlung könne als von § 1 DSG gedeckt angesehen werden, da eine erfolgreiche Prozessführung bzw. Rechtsdurchsetzung oder- verteidigung ansonsten schwer möglich wäre und es in der Natur der Sache liege, dass zur effektiven und zielführenden Verteidigung Daten der Gegenpartei verarbeitet werden. Das MRT Cerebral vom 27. Februar 2007 sei als Beweismittel zumindest denkmöglich geeignet, den Prozessstandpunkt der Parteien im zivilgerichtlichen Verfahren zu verbessern bzw. brauchbar als zum Beweis der ordnungsgemäßen Behandlung in Bezug auf behauptete Behandlungsfehler.
Gegen Spruchpunkt 1. und 3. richtet sich die vorliegende Beschwerde. Darin erachtet sich der Beschwerdeführer in seinem subjektiven Recht auf Feststellung einer Verletzung des Rechts auf Geheimhaltung und zwar aufgrund der Weitergabe des MRT Cerebral vom 27. Februar 2007 durch die Erstmitbeteiligte am 05. Dezember 2017 einerseits und aufgrund der Anforderung des MRT Cerebral vom 27. Februar 2007 im Klinikum XXXX , deren Rechtsträgerin die Erstmitbeteiligte sei, durch die Zweitmitbeteiligte am 05. Dezember 2017 verletzt. Die belangte Behörde habe keine Feststellungen zur „Datendrehscheibe“ der Erstmitbeteiligten getroffen. Die „Datendrehscheibe“ sei vorliegend als ein nicht für Diagnose-Zwecke tauglicher „Beweismittel- Pool“ herangezogen worden und habe die Erstmitbeteiligte den Grundsatz der Zweckbindung damit missachtet. Die Erstmitbeteiligte habe auch selbst eingeräumt, dass sie die Regulative der „Datendrehscheibe“ missachtet habe.
Die belangte Behörde legte die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor.
Dazu wurde den weiteren Parteien des Verfahrens von Seiten des Gerichts Parteiengehör gewährt.
In ihrer Stellungnahme vom 7. März 2023 führte die Erstmitbeteiligte im Wesentlichen dazu aus, dass das Beschwerderecht des Beschwerdeführers präkludiert sei, weil er bereits – wie einem beiliegenden E-Mail zu entnehmen sei – am 23. Mai 2019, also mehr als ein Jahr vor Erhebung der Beschwerde bei der belangten Behörde, Kenntnis von der Datenweitergabe erlangt habe. Auch das vom Bundesverwaltungsgericht in einer Entscheidung verlangte „Problembewusstsein“ sei mit diesem Zeitpunkt anzusetzen. Auf den Zeitpunkt einer erst später erfolgten Auseinandersetzung mit den datenschutzrechtlichen Bestimmungen komme es für den Beginn des Fristenlaufs hingegen nicht an.
Dazu führte der Beschwerdeführer mit Schreiben vom 28. März 2024 aus, dass die Beantwortung des Auskunftsbegehrens vom 20. Mai 2019 durch die Erstmitbeteiligte ungenügend gewesen sei. Die Rechtsgrundlage der Verarbeitung sei nicht explizit vom Inhalt der Auskunftserteilung umfasst gewesen. Richtig sei, dass der Beschwerdeführer anlässlich der Auskunft vom 20. Mai 2019 „ein Problembewusstsein zeigte“, aber erhielt er vollends Kenntnis vom Verstoß erst durch das Schreiben vom 11. September 2019, weil erstmals dort die Rede von der „Datendrehscheibe des Klinikums XXXX “ gewesen sei. Weder aus dem Wortlaut von § 24 Abs. 4 DSG, noch aus den ErlRV zur Vorgängerbestimmung des früheren § 34 Abs. 1 DSG 2000 könne abgeleitet werden, ab wann von einer Kenntnis eines Einschreiters über das beschwerende Ereignis auszugehen sei. Anhaltspunkte biete vorliegend die zivilrechtliche Rechtsprechung zum Schadenersatzrecht, wonach von keinem Beginn der Verjährungsfrist auszugehen sei, wenn der Geschädigte als Laie keinen Einblick in die für das Verschulden maßgebenden Zusammenhänge habe.
Dazu wurde den weiteren Parteien des Verfahrens Parteiengehör eingeräumt.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Sachverhalt:
Der Beschwerdeführer hat mit Schriftsatz vom 22. Juni 2017 Klage gegen die Erstmitbeteiligte beim Landesgericht XXXX eingebracht. Zur Zahl XXXX wurde daraufhin ein Verfahren wegen dem vom Beschwerdeführer behaupteten ärztlichen Kunstfehlers (fehlerhafte Diagnoseerstellung) geführt. Die Zweitmitbeteiligte ist, nachdem ihr von der Erstmitbeteiligten der Streit verkündet wurde, dem gerichtlichen Verfahren am 29. November 2017 beigetreten.
Die Erstmitbeteiligte beantwortete mit einem Schreiben vom 20. Mai 2019 ein Ersuchen des Beschwerdeführers um Auskunft nach der DSGVO vom 9. Mai 2019. In diesem Schreiben hielt sie unter anderem Folgendes fest:
[..]
Die Rechtsgrundlagen für die Verwendung der PatientInnendaten (personenbezogene, insbesondere Gesundheitsdaten) ergeben sich unter anderem aus dem Behandlungsvertrag, § 10 Krankenanstalten- und Kuranstaltengesetz, (Führung von Krankengeschichten und sonstigen Vormerkungen) in Verbindung mit § 34 der Kärntner Krankenanstaltenordnung.
Hinsichtlich Ihres angefragten Radiologiebefundes vom 27.02.2007 informieren wir Sie, dass es in den letzten drei Jahren Zugriffe im Rahmen des aufrechten Berechtigungskonzeptes gegeben hat.
Es wurde in diesem Zusammenhang zugegriffen durch
[..]
- das Institut für Radiologie im Zuge der Übermittlung der Aufnahmen an [die Zweitmitbeteiligte] [..] 05.12.2017
- [..]“
In seinem an die Erstmitbeteiligte gerichteten E-Mail vom 23. Mai 2019 führte der Beschwerdeführer zur erteilten Auskunft der Erstmitbeteiligten Folgendes aus:
„[..]
Nach kurzer Durchsicht der übermittelten Unterlagen habe ich aber fehlerhafte und auch unvollständige Beantwortungen festgestellt. In Bezug auf meinen Befund vom 27.02.2007 habe ich bei einem ambulanten Termin, im Dezember 2016, an der Abteilung für Neurochirurgie eine Besprechung absolviert. Bei dieser Besprechung wurden meine MR Aufnahmen besprochen und mit mir erörtert. Diesen Zugriff kann ich auf Ihrer geschätzten Beantwortung jedoch nicht erkennen.
[..]
In der Beantwortung habe ich auch über eine Übermittlung meiner Aufnahmen an [die Zweitmitbeteiligte] gelesen. Hier stellt sich wirklich die ernsthafte Frage, wie es zu dieser Übermittlung kommen konnte und welche Rechtsgrundlage hier besteht. Ich habe hier keinesfalls eine Erlaubnis erteilt!
[..]
In diesem Sinne ersuche ich um korrekte Beantwortung meiner Anfrage vom 9.5.2019 innerhalb offener Frist. Insbesondere sämtliche Zugriffe auf meine, bei Ihnen abgespeicherten Daten. Welche Daten davon an wen übermittelt wurden und auch warum. Weiters im Detail die Übermittlung an [die Zweitmitbeteiligte]. Wer dies beauftragt hat, wer diese Anfrage/Übermittlung geprüft hat. Was war am 5.12.2017 der Grund für diese Übermittlung?
[..]“
In weiterer Folge richtete der Beschwerdeführer am 12. August 2019 ein Auskunftsbegehren an die Zweitmitbeteiligte. Darin führte er u.a. aus, dass er im Zuge der Datenauskunft durch die Erstmitbeteiligte erfahren habe, dass die Zweitmitbeteiligte auf seine radiologischen Befunde zugegriffen habe. Da er dazu kein Einverständnis erteilt habe, ersuche er um Aufklärung bzw. um Bekanntgabe der Rechtsgrundlage.
Dazu wurde dem Beschwerdeführer ein Schreiben der Zweitmitbeteiligten, vertreten durch ihren Rechtsanwalt vom 11. September 2019 übermittelt. Darin wurde dem Beschwerdeführer – sofern hier wesentlich – mitgeteilt, dass die Abfrage des MRT Befundes vom 27. Februar 2007 erforderlich gewesen sei, um die vom Beschwerdeführer geltend gemachten Schmerzensgeldansprüche im Verfahren vor dem Landesgericht XXXX abzuwehren. Insofern werde die Datenverarbeitung auf Art 9 Abs. 2 lit f DSGVO gestützt.
2. Beweiswürdigung: Die obigen Feststellungen zum Sachverhalt ergeben sich aus dem vorgelegten Verwaltungsakt und sind im Übrigen unstrittig.
3. Rechtliche Beurteilung:
Zu Spruchteil A):
Gegenstand der am 10. Juni 2020 bei der belangten Behörde eingebrachten Datenschutzbeschwerde des Beschwerdeführers war eine behauptete Verletzung im Recht auf Geheimhaltung durch die Mitbeteiligten. Der Beschwerdeführer brachte dazu – sofern hier maßgeblich – vor, die Zweitmitbeteiligte habe seinen Befund vom 27. Februar 2007 bei der Erstmitbeteiligten unzulässig angefordert und die Erstmitbeteiligte habe in weiterer Folge diesen Befund unzulässig an die Zweitmitbeteiligte am 5. Dezember 2017 auch weitergeleitet. Die belangte Behörde hat diese Beschwerde und die darin behauptete Verletzung im Recht auf Geheimhaltung in Bezug auf die Erstmitbeteiligte in Spruchpunkt 1. sowie in Bezug auf die Zweitmitbeteiligte in Spruchpunkt 3. als unbegründet abgewiesen.
Wie unbestritten festgestellt wurde, hat der Beschwerdeführer per E-Mail vom 9. Mai 2019 ein Auskunftsbegehren an die Erstmitbeteiligte gerichtet und wurde ihm dazu von der Erstmitbeteiligten mit Schreiben vom 20. Mai 2019 auch mitgeteilt, dass der Befund vom 27. Februar 2007 am 5. Dezember 2017 von der Zweitmitbeteiligten abgefragt worden sei. In seiner daraufhin an die Erstmitbeteiligte ergangenen E-Mail vom 23. Mai 2019 stellte der Beschwerdeführer die in der Auskunft genannte Rechtsgrundlage bzw. die Zulässigkeit dieser Weitergabe in Zweifel und forderte er dazu weitere Informationen von der Erstmitbeteiligten.
Die Erstmitbeteiligte wendet nun im Verfahren angesichts dieser mit dem Beschwerdeführer geführten Korrespondenz im Mai 2019 Präklusion gemäß § 24 Abs. 4 1. HS DSG ein.
§ 24 Abs. 1 und 4 DSG lautet wie folgt:
Beschwerde an die Datenschutzbehörde
(1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
Die Verjährungsregelung des § 24 Abs. 4 DSG (Präklusion) entspricht hinsichtlich der Zeitvorgaben für das Erlöschen des Anspruches auf Behandlung einer Beschwerde weitgehend § 34 Abs. 4 DSG 2000 (Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG, S 190 zu § 24 DSG). Dabei handelt es sich um Präklusivfristen, die nicht verlängerbar und von Amts wegen wahrgenommen werden müssen und die die Lebensdauer eines Rechts begrenzen (vgl. dazu OGH, 31.07.2015, 6 Ob 45/15h).
§ 24 DSG legt (nationale) Modalitäten zur Durchsetzung des in Art 77 DSGVO geregelten Rechts einer jeden betroffenen Person, sich zum Schutz ihres nach Art 8 Abs. 1 GRC sowie Art 16 Abs. 1 AEUV garantierten Grundrechts auf Datenschutz mit einer Eingabe an die nationalen Aufsichtsbehörden zu wenden.
Da die DSGVO selbst keine Vorschriften (insbesondere über Fristen) für die Rechtsverfolgung enthält, ist es auch insoweit Sache jedes einzelnen Mitgliedstaats, das Verfahren in seiner innerstaatlichen Rechtsordnung unter Wahrung der Grundsätze der Äquivalenz und der Effektivität auszugestalten. Danach dürfen die Verjährungsfristen für unionsrechtlich begründete Ansprüche nicht kürzer sein als für sonstige nationale Rechtsansprüche und dürfen die Verjährungsfristen auch nicht einer effektiven Geltendmachung entgegenstehen (EuGH C-429/12 Pohl u.v.m.).
Außerdem ist dabei zu beachten, dass das in Art 8 Abs. 1 GRC sowie Art 16 Abs. 1 AEUV garantierte Grundrecht auf Datenschutz nur unter Einhaltung der in Art 52 Abs. 1 GRC vorgesehenen strengen Bedingungen eingeschränkt werden darf, d. h., diese Einschränkungen müssen gesetzlich vorgesehen sein, den Wesensgehalt des betreffenden Rechts achten sowie unter Wahrung des Grundsatzes der Verhältnismäßigkeit erforderlich sein und von der Europäischen Union anerkannten dem Gemeinwohl dienenden Zielsetzungen tatsächlich entsprechen (EuGH C-518/20 und C-727/20 sowie C-120/21 zur Verjährung des in Art 31 Abs. 2 GRC verankerten Grundrechts auf bezahlten Jahresurlaub).
Dazu ist zunächst festzuhalten, dass die Einschränkung, der die Ausübung des in Art 8 Abs. 1 GRC sowie Art 16 Abs. 1 AEUV geregelten Grundrechts unterliegt und die aus der Anwendung der in Rede stehenden Verjährungsfrist folgt, gesetzlich vorgesehen ist, nämlich in § 24 Abs. 4 DSG. Durch die Anwendung dieser Vorschrift wird auch der Wesensgehalt des Rechts auf Datenschutz insofern nicht angetastet, als sie, die Möglichkeit für die betroffene Person, ihren Anspruch auf Datenschutz geltend zu machen, lediglich einer zeitlichen Begrenzung unterwirft. Auch bestehen keine Bedenken daran, dass diese Vorschrift nicht über das hinausgeht, was zur Erreichung des mit ihr verfolgten Ziels, nämlich der Gewährleistung von Rechtssicherheit, erforderlich ist. Nach den Erläuterungen zur Vorgängerbestimmung § 34 Abs. 4 DSG 2000 (1613 BlgNR 20. GP50) ist die Statuierung von Verjährungsfristen gerade für die Geltendmachung der Interessen der Betroffenen nach dem DSG sachlich geboten. Die Ermittlung von Sachverhalten, die lange zurückliegen, verhindert – nach diesen Ausführungen – eine verlässliche Beurteilung des Vorliegens von Datenschutzverletzungen. Auch im eigenen Interesse sollten die Betroffenen daher angehalten werden, behauptete Datenschutzverletzungen möglichst frühzeitig anhängig zu machen.
Zum Erfordernis der effizienten Rechtsdurchsetzung ist anzumerken, dass die hier anzuwendende Verjährungsregel des § 24 Abs. 4 1. HS DSG eine Kenntnis der betroffenen Person vom „beschwerenden Ereignis“ fordert und erst ab diesem Zeitpunkt die einjährige Frist zur möglichen Rechtsverfolgung zu laufen beginnt. Nach dem Wortlaut dieser Bestimmung genügt es für den Beginn der Verjährungsfrist dementsprechend, dass die Person von der – später allenfalls als Datenschutzverletzung zu würdigenden – Tatsache einer ihrer Ansicht belastenden Verarbeitung sie betreffender Daten Mitteilung erhalten hat.
Art 77 Abs. 1 DSGVO stellt lediglich geringe Anforderungen an eine Beschwerde. Nach dieser Bestimmung reicht es, dass die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. Vor dem Hintergrund sowohl des Ziels der Vorschrift, die Einreichung von Beschwerden zu erleichtern, als auch der grundrechtlichen Implikationen genügt daher eine Darstellung des Sachverhaltes in einem Umfang, der der Aufsichtsbehörde die erforderlichen Feststellungen ermöglicht. Die rechtliche Würdigung des Sachverhaltes ist Aufgabe der Aufsichtsbehörde und kann vom Beschwerdeführer keinesfalls verlangt werden (siehe dazu Bergt in Kühling/Buchner, DSGVO4, Art 77 Rn 10).
Darüberhinausgehende Anforderungen in Bezug auf den Sachverhalt, aus dem die Rechtsverletzung nach Ansicht des Beschwerdeführers abgeleitet wird, finden sich auch in § 24 Abs. 2 und zwar in den Z 3 und 4 DSG nicht. Die nach § 24 Abs. 2 Z 2 und Abs. 3 in der Beschwerde zusätzlich zu nennenden Informationen bzw. beizulegenden Dokumente sind nach dem klaren Wortlaut jedenfalls nicht zwingendes Erfordernis („soweit zumutbar“ „gegebenenfalls“).
Daraus folgt, dass bereits der in § 24 Abs. 4 1. HS DSG die Verjährungsfrist auslösende Wissenstand der betroffenen Person für eine Beschwerde nach Art 77 DSGVO bzw. § 24 DSG ausreicht. Gründe, weshalb die betroffene Person aufgrund der Bestimmung des § 24 Abs. 4 1. HS DSG an ihrer effektiven Rechtsdurchsetzung gehindert wäre, sind daher, insbesondere auch im Hinblick auf die in Art 57 Abs. 2 DSGVO vorgesehene erleichterte Form der Beschwerdeeinreichung im Bereich des Datenschutzes, nicht ersichtlich (vgl. dazu auch BVwG 13.08.2018, W211 2181809-1; BVwG 20.11.2023, W214 2274026-1 sowie BVwG 05.07.2024, W292 2284228-1).
Im vorliegenden Fall wurde dem Beschwerdeführer – wie bereits dargelegt – am 20. Mai 2019 vom Erstmitbeteiligten mitgeteilt, dass der verfahrensgegenständliche Befund am 5. Dezember 2017 von der Zweitmitbeteiligten abgefragt worden ist. Wie seinem daraufhin an die Erstmitbeteiligte gerichtetem E-Mail vom 23. Mai 2019 unstrittig zu entnehmen ist, war dem Beschwerdeführer daher bereits ab diesem Zeitpunkt der Umstand der in Beschwerde gezogenen Datenverarbeitung ausreichend bekannt und hegte er auch bereits Zweifel an deren Zulässigkeit. Der Beschwerdeführer war daher bereits zu diesem Zeitpunkt in der Lage, das zur Begründung seines Anspruchs erforderliche Sachvorbringen konkret zu erstatten. Gründe, die ihn zu diesem Zeitpunkt an einer (rechtzeitigen) Geltendmachung seines Beschwerderechtes gehindert hätten, sind daher nicht ersichtlich.
Daran ändert auch nichts, dass der Beschwerdeführer – wie von ihm moniert – über die näheren Umstände der Datenverarbeitung, wie z.B. über den die Zulässigkeit begründeten exakten Rechtsgrund oder über die Art und Weise der Datenverarbeitung und zwar in Form einer „telefonischen“ Abfrage durch die Zweitmitbeteiligte bzw. einer elektronischen Weiterleitung der Erstmitbeteiligten über eine „Datendrehscheibe“ erst durch ein Schreiben der Zweitmitbeteiligten am 11. September 2019 Kenntnis erlangt habe, weil die Feststellung der Begleitumstände einer behaupteten Datenschutzverletzung und auch deren rechtliche Beurteilung – wie oben dargelegt – Aufgabe der Aufsichtsbehörde ist und damit nicht der betroffenen Person auferlegt werden kann bzw. darf. Die vom Beschwerdeführer in diesem Zusammenhang genannte Judikatur zur Ausnahmebestimmung des § 1489 ABGB ist hier nicht einschlägig (vgl. VwGH 28.01.2004, 2000/12/0215).
Die einjährige subjektive Frist des § 24 Abs. 4 DSG betreffend die Möglichkeit der Erhebung einer Datenschutzbeschwerde bezüglich einer Verletzung im Recht auf Geheimhaltung durch die Erst- und Zweitmitbeteiligte war daher am 10. Juni 2020 (Zeitpunkt der Erhebung der Datenschutzbeschwerde) bereits abgelaufen.
Es war daher spruchgemäß zu entscheiden.
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Im vorliegenden Fall konnte die Verhandlung nach § 24 Abs 2 Z 1 VwGVG entfallen, da der das vorangegangene Verwaltungsverfahren einleitende Antrag der Partei – hier die Datenschutzbeschwerde des Beschwerdeführers – zurückzuweisen war. Darüber hinaus hatte das Bundesverwaltungsgericht ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Dem Entfall der Verhandlung stehen auch weder Art 6 Abs 1 EMRK noch Art 47 der Charta der Grundrechte entgegen.
Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.
Zu Spruchpunkt B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor.
Es war daher spruchgemäß zu entscheiden.