W252 2271738-1/15E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde des XXXX , vertreten durch 1) Knyrim Trieb Rechtsanwälte OG, 1060 Wien, Mariahilfer Straße 89a, und 2) Fellner Wratzfeld Partner Rechtsanwälte GmbH, 1010 Wien, Schottenring 12, mitbeteiligte Partei vor dem Verwaltungsgericht, XXXX , gegen den Bescheid der Datenschutzbehörde vom 06.03.2023, GZ XXXX , nach Durchführung einer mündlichen Verhandlung am 26.09.2024, in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:
A) Der Beschwerde wird Folge gegeben und der Bescheid ersatzlos behoben.
B) Die Revision ist nicht zulässig.
Entscheidungsgründe:
I. Vorbemerkungen:
Dem Verfahren liegt der Versand von Impferinnerungsschreiben zu Grunde, die im Namen der Projektleiterin Covid-19 XXXX , dem XXXX , diverser Sozialversicherungsträger sowie in Kooperation mit XXXX Ende November/Anfang Dezember 2021 an sozialversicherte Personen über 18 Jahre mit Wohnsitz in XXXX , die keine Schutzimpfung gegen COVID-19 erhalten hatten, gesendet worden sind. Dagegen beschwerte sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatten, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei. Zu klären ist in diesem Zusammenhang zunächst, wer als datenschutzrechtlicher Verantwortlicher für diese Datenverarbeitungen zu sehen ist.
II. Verfahrensgang:
1.Mit Eingabe vom 02.12.2021 brachte die mitbeteiligte Partei (Beschwerdeführer im Administrativverfahren) eine Beschwerde bei der belangten Behörde ein und brachte sinngemäß und auf das Wesentlichste zusammengefasst vor, die XXXX habe sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt, indem sie ihr Ende 2021 ein persönlich adressiertes Impferinnerungsschreiben zugesendet habe, und dadurch die besonders geschützten persönlichen Gesundheitsdaten der mitbeteiligten Partei unzulässig weitergegeben und verarbeitet habe.
2. Die belangte Behörde leitete gegen XXXX und den Beschwerdeführer am 26.11.2021 ein amtswegiges Prüfungsverfahren ein, welches die belangte Behörde mit Bescheid vom 11.08.2022 schloss und feststellte, dass der Beschwerdeführer für die gegenständliche Datenverarbeitung Verantwortliche gemäß Art 4 Z 7 DSVO sei.
Die belangte Behörde informierte die mitbeteiligte Partei über die Ergebnisse des geführten amtswegigen Prüfverfahrens (Bescheid vom 22.07.2022, GZ XXXX ) und hielt ua sinngemäß fest, dass sie auf Grund der dortigen Erkenntnisse davon ausgehe, dass XXXX als datenschutzrechtlicher Verantwortlicher und damit als Beschwerdegegner zu sehen sei und räumte ihr ein, binnen zwei Wochen dazu Stellung zu nehmen. Die mitbeteiligte Partei nahm nicht Stellung.
3. Mit Bescheid vom 06.03.2023, GZ XXXX , gab die belangte Behörde der Beschwerde statt und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem er unrechtmäßig auf ihre Daten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet habe.
4. Begründend führte die belangte Behörde aus, der Beschwerdeführer habe ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der mitbeteiligten Partei im zentralen Impfregister zugriffen. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. Entgegen der Ansicht des Beschwerdeführers würden § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG sowie die gesetzlichen Zuständigkeitsregelungen keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des § 24d Abs 2 Z 3 GTelG 2012 setze nach § 24d Abs 1 Z 4 GTelG 2012 eine spezifische Zugriffsberechtigung gemäß § 24f Abs 4 GTelG 2012 voraus, über die der Beschwerdeführer nicht verfügt habe.
5. Gegen diesen Bescheid richtet sich die Beschwerde vom 31.03.2023 wegen Rechtswidrigkeit. Der Beschwerdeführer beantragte, den bekämpften Bescheid ersatzlos aufzuheben und das Verfahren einzustellen, in eventu den Bescheid aufzuheben und die Sache an die belangte Behörde zurückzuverweisen, in eventu in der Sache selbst zu entscheiden und den Bescheid dahingehend abzuändern, dass die datenschutzrechtliche Beschwerde abgewiesen wird. Zusammengefasst begründete er dies mit dem Vorliegen einer entschiedenen Sache, der Unvollständigkeit der Beschwerde, fehlenden Ermittlungen und einer mangelhaften Beweiswürdigung. Darüber hinaus sei der Beschwerdeführer nicht datenschutzrechtlicher Verantwortlicher, aber selbst wenn man von einer Verantwortlichkeit ausgehen würde, sei ein Zugriff auf die Impfdaten im Rahmen des pandemiebedingten Krisenmanagements zulässig.
6. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsaktes dem erkennenden Gericht vor und verwies hinsichtlich der bestrittenen datenschutzrechtlichen Verantwortlichkeit auf einen Zeitungsartikel, wonach der Versand der Impferinnerungen laut XXXX die richtige Maßnahme gewesen sei.
7. Der Beschwerde gegen den Bescheid der belangten Behörde bezüglich des amtswegigen Verfahrens wurde mit Erkenntnis vom 04.10.2023 stattgegeben und der Bescheid ersatzlos behoben.
8. Im Parallelverfahren des Bundesverwaltungsgerichts GZ W252 2271937-1 erging am 11.03.2024 ein Erkenntnis welches rechtskräftig wurde. Mit Parteiengehör vom 29.04.2024 wurde das Erkenntnis zu GZ W252 2271937-1 den Parteien übermittelt und freigestellt eine Stellungnahme dazu abzugeben. Mit Ladung vom 18.07.2024 wurden die Verhandlungsprotokolle zu GZ W252 2271937-1 vom 18.10.2023 und 09.11.2023 übermittelt.
9. Am 26.09.2024 wurde über die Angelegenheit mündlich verhandelt.
Beweis wurde erhoben durch: Einsichtnahme in den Verwaltungsakt sowie Einsichtnahme in folgende Aktenbestandteile des Parallelverfahrens zu GZ W252 2271937-1, welche den Verfahrensparteien zur Verhandlungsvorbereitung bereits im Vorfeld übermittelt und in das Verfahren eingebracht wurden: Verhandlungsprotokolle zu GZ W252 2271937-1 vom 18.10.2023 und 09.11.2023 (Beilage zur Ladung zur mündlichen Verhandlung am 26.09.2024).
III. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Zum Verfahrensgang:
1.1.1. Zur Datenschutzbeschwerde:
Am 02.12.2021 richtete die mitbeteiligte Partei eine Datenschutzbeschwerde unter Verwendung des Formulars der belangten Behörde an die belangte Behörde. Die mitbeteiligte Partei brachte vor, dass die XXXX sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt habe, indem sie ihr Ende 2021 ein persönlich adressiertes Impfschreiben zugesendet habe und indem die besonders geschützten persönlichen Gesundheitsdaten der mitbeteiligten Partei unzulässig weitergegeben und verarbeitet habe.
Der Beschwerde war ua das folgende Impferinnerungsschreiben beigefügt (Fehler im Original):
„P XXXX Prio Brief XXXX
Retouren an XXXX
[1. Optionsfeld: Name und Adresse der mitbeteiligten Partei]
Ihr persönlicher Termin für die COVID-Schutzimpfung ist da!
Die COVID-Schutzimpfung ist derzeit die wichtigste Maßnahme [sic!] um die Pandemie zu beherrschen und ein weitgehend normales Leben wieder zu ermöglichen. Das Europäische Gremium für Gesundheit sowie das Nationale Impfgremium empfehlen in diesem Zusammenhang ausdrücklich die COVID-Schutzimpfung.
Warum ist diese Impfung so wichtig?
Durch die Impfung sinkt das persönliche Risiko bei einer Infektion einen schweren Erkrankungsverlauf zu erleiden und somit auch das Risiko eines damit verbundenen Aufenthalts auf einer Intensivstation bzw. zu versterben. Auch die Gefahr an Long-Covid zu erkranken (das ist auch bei einem leichten Verlauf durchaus möglich) wird stark reduziert. Sie schützen mit der Impfung aufgrund des geringeren Erkrankungsrisikos nicht nur sich persönlich [sic!] sondern auch Ihre Mitmenschen.
Mit fortschreitender Dauer der Pandemie werden in ganz Österreich – zum Schutz aller – immer mehr Bereiche auf die 2G-Regel (Zutritt nur für vollständig geimpfte Personen oder Genesene) umgestellt werden.
Zum Schutz Ihrer eigenen Gesundheit und damit Sie auch in Zukunft problemlos einen normalen Alltag führen können [sic!] wurde für Sie eine COVID-Schutzimpfung reserviert:
[2. Optionsfeld: Impftermin und Impfort]
Wir laden Sie ein, von diesem Angebot Gebrauch zu machen.
Um etwaige Wartezeiten vor Ort zu vermeiden, können Sie statt des oben reservierten Termins auch einen Alternativtermin online unter XXXX oder telefonisch unter XXXX buchen. Dies gilt auch, wenn Sie akut erkrankt sind oder z.B. aufgrund einer anderen Therapie diesen Termin nicht wahrnehmen können. Um das Storno des obigen Termins kümmert sich in diesem Fall gerne XXXX . Im Falle, dass Sie sich inzwischen haben impfen lassen, wollen wir uns bei Ihnen dafür ganz herzlich bedanken!
Sollte Ihnen bekannt sein, dass für Sie aus medizinischen Gründen (Gegenanzeigen) eine COVID-Impfung nicht möglich ist, so erachten Sie das vorliegende Schreiben bitte als gegenstandslos. Wenn Sie unsicher sind, ob Sie gegen COVID geimpft werden können, so empfehlen wir zur Abklärung ein ärztliches Aufklärungs-/Beratungsgespräch zu nutzen.
Bringen Sie zur Impfung bitte Ihren Lichtbildausweis und – wenn vorhanden – Ihre E-Card mit.
Unter den Namen scheinen die folgenden Logos auf:
Der zu den Punkten II.2 ausgeführte Verfahrensgang steht fest.
1.2. Zur Erstellung und zum Versand des Impferinnerungsschreibens:
Im Sommer 2021 wurde im Rahmen des Pandemiemanagements eine bundesweite Diskussion über das Verfassen eines Impferinnerungschreibens an ungeimpfte Personen geführt.
XXXX der Stadt XXXX , XXXX wies XXXX über das Stadtratsbüro an, ein Impferinnerungsschreiben an sozialversicherte Personen über 18 Jahre mit Wohnsitz in XXXX , die keine Schutzimpfung gegen COVID-19 erhalten hatten, zu versenden. XXXX trat an den Generaldirektor XXXX , heran und bat ihn diesbezüglich um Unterstützung. XXXX wies seine Mitarbeiterin der Kommunikationsabteilung, XXXX , an, das Projekt „Impferinnerungsschreiben“ zu unterstützen. Von Seiten XXXX wurde die Druckstraße zur Verfügung gestellt.
Eine Gruppe, bestehend aus Mitarbeitern der XXXX , der XXXX , der XXXX GmbH und der XXXX GmbH, erbrachte Vorschläge zur weiteren Vorgehensweise, dh Erstellung eines Entwurfs des Impferinnerungsschreibens, erarbeitete eine Plan, wie die Daten zur Bestimmung der konkreten Empfänger über den Patientenindex und das zentrale Impfregister zu ermitteln waren und wie der Versand zu erfolgen hatte.
XXXX , Mitarbeiterin XXXX , koordinierte das Projekt innerhalb XXXX , sie organisierte die Projektagenden innerhalb XXXX , koordinierte die Projektagenden mit XXXX , den Sozialversicherungen, der XXXX GmbH und der XXXX GmbH. Herr XXXX von der XXXX GmbH war Projektleiter von Seiten der XXXX GmbH.
Für die Ermittlung der Adressaten des Schreibens wurde die XXXX GmbH beauftragt. Die XXXX GmbH hat den Auftrag an die XXXX GmbH weitergegeben.
Das Angebot der XXXX GmbH vom 19.11.2021 wurde von XXXX als Projektleiterin für medizinische Maßnahmen im Zusammenhang mit dem Coronavirus unterzeichnet.
In Erfüllung des Auftrags ermittelte die XXXX GmbH ab 09.11.2021 sämtliche Personen aus dem Patientenindex, mit Wohnsitz in XXXX , die über 18 Jahre alt sind. Im Anschluss filterte sie die Personen aus, die im zentralen Impfregister über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügten. Die XXXX GmbH übermittelte die Namen und Adressen der verbleibenden Personen in fünf Tranchen (09.11.2021, 14.11.2021, 17.11.2024, 22.11.2024 und 28.11.2024) an XXXX als Druckdienstleister, der die Briefe gedruckt, kuvertiert und zum Versand aufgegeben hat.
Die Kosten für den Versand des Impferinnerungsschreiben wurden 50:50 von XXXX und XXXX getragen.
Das Finanzierungsbudget von Pandemiemaßnahmen XXXX lag zu diesem Zeitpunkt bei der XXXX .
Ende 2021 wurde das Impferinnerungsschreiben, wie unter Punkt 1.1.1 beschrieben, unter anderem an die mitbeteiligte Partei per Post versendet.
Das Schreiben war persönlich an die mitbeteiligte Partei adressiert.
Im 1. Optionsfeld wurden hierfür Name und Adresse des jeweiligen Empfängers eingesetzt. Im 2. Optionsfeld wurden mögliche Impftermine und Orte eingefügt.
2. Beweiswürdigung:
2.1. Zum Verfahrensgang:
Die Feststellungen zum Verfahrensgang gründen auf dem unbedenklichen Verwaltungsakt und den ins Verfahren eingebrachten Verhandlungsprotokollen zu GZ W252 2271937-1 vom 18.10.2023 und 09.11.2023.
2.2. Zur Erstellung und zum Versand des Impferinnerungsschreibens:
Die Feststellungen zur Erstellung und zum Versand des Impferinnerungsschreibens gründen auf den Angaben der in den Verhandlungen zu GZ W252 2271937-1 vom 18.10.2023 und 09.11.2023 einvernommenen Zeugen.
Die Feststellung zur bundesweiten Diskussion im Rahmen des Pandemiemanagements gründet sich auf die Angaben der in den Verhandlungen zu GZ W252 2271937-1 vor dem Bundesverwaltungsgericht einvernommenen Zeugen, die sich diesbezüglich decken.
Die Feststellung, dass XXXX , XXXX , die XXXX über das Stadtratsbüro angewiesen hat, ein Impferinnerungsschreiben an sozialversicherte Personen über 18 Jahre mit Wohnsitz in XXXX , die keine Schutzimpfung gegen COVID-19 erhalten hatten zu versenden, ist einerseits auf die Aussage XXXX vor dem Bundesverwaltungsgericht gestützt, dass sich der Gesundheitsminister, die Gesundheitspolitiker und die Landesräte schon im Sommer 2021 darüber einig waren, dass man ein entsprechendes Impferinnerungsschreiben an die ungeimpfte Bevölkerung brauche (GZ W252 2271937-1, OZ 19, S.12). Nachdem drei Bundesländer, XXXX und XXXX bereits über die Logistik verfügten, Impftermine zu vergeben und Impfungen durchzuführen, kommunizierte XXXX allen Involvierten (der Gesundheitsbehörde, den Sozialversicherungen), dass ein entsprechendes Impferinnerungsschreiben an sozialversicherte Personen über 18 Jahre mit Wohnsitz in XXXX , die keine Schutzimpfung gegen COVID-19 erhalten hatten verschickt werden solle (GZ W252 2271937-1, OZ 19; S.13). Andererseits ist diese Feststellung auf die Aussagen von XXXX gegründet, die angab, dass sie mit der Abwicklung des Projekts begonnen habe, als sie vom Stadtratsbüro den Auftrag bekommen habe. Dieser Auftrag basierte auf dem Wunsch des amtsführenden Stadtrats, ein entsprechendes Schreiben zu verfassen und zu versenden (GZ W252 2271937-1, OZ 13, S.24). Diese Aussage ist nachvollziehbar, da davon auszugehen ist, dass XXXX als Mitarbeiterin der XXXX ohne einen entsprechenden Auftrag keine weiteren Schritte gesetzt hätte. Aus dem im Verfahren vorgelegten Emailverkehr geht hervor, dass das Stadtratsbüro mit XXXX bezüglich des Impferinnerungsschreibens in Kontakt stand und wichtige Details, wie die der Finanzierung, an XXXX weitergeleitet hat (OZ 2; Verfahrensübergreifende Vorlage weiterer Aktenbestandteile der belangten Behörde). Die Beauftragung der XXXX durch das Stadtratsbüro im Namen des amtsführenden Stadtrats ist insofern nachvollziehbar, als die XXXX , als Magistratsabteilung der Geschäftsgruppe XXXX zugeordnet ist, welcher XXXX vorsteht. Der mit dem Auftrag verfolgte Zweck ergibt sich aus der Aussage XXXX , wonach das Schreiben den Zweck verfolgt habe, die Impfrate der Bevölkerung zu erhöhen, dies könne nur erreicht werden, wenn die nicht geimpften Personen impfen gehen (GZ W252 2271937-1, OZ 19, S. 20).
Die Feststellung, dass XXXX herangetreten ist und um Unterstützung gebeten hat, ist auf die Aussage von XXXX in der Verhandlung zurückzuführen, der nachvollziehbar angab, dass ihn XXXX kontaktiert habe und XXXX seine Mitarbeiter zur Unterstützung angewiesen habe (GZ W252 2271937-1, OZ 19, S. 29). Diese Aussage wurde von Frau XXXX bestätigt (GZ W252 2271937-1, OZ 19, S.32).
Die Feststellung, dass eine Gruppe, bestehend aus Mitarbeitern der XXXX , der XXXX , der XXXX GmbH und der XXXX GmbH Vorschläge zur weiteren Vorgehensweise erarbeitet hat, ergibt sich aus den Aussagen der Zeugen XXXX und Frau XXXX . Sie gaben übereinstimmend an, dass eine Arbeitsgruppe ins Leben gerufen worden sei, in der XXXX von XXXX , Herr XXXX von der XXXX GmbH, Herr XXXX von der XXXX GmbH und Frau XXXX von der XXXX ständig vertreten waren und weitere unterschiedliche Leute aus anderen Bereichen teilnahmen (GZ W252 2271937-1, OZ 19, S.32; OZ13, S. 25).
Aus den übereinstimmenden Zeugenaussagen vor dem Bundesverwaltungsgericht geht hervor, dass XXXX das Projekt „Impferinnerungsschreiben an die ungeimpfte Bevölkerung XXXX “ koordiniert hat. Dies wurde von XXXX in ihrer Aussage vor dem Bundesverwaltungsgericht auch bestätigt (GZ W252 2271937-1, OZ 13, S.23).
Die Feststellung, dass die XXXX GmbH beauftragt wurde und die XXXX GmbH den Auftrag an die XXXX GmbH weitergegeben hat, gründet sich auf die Aussage von XXXX , ehemaliger Geschäftsführer der XXXX GmbH, vom 10.01.2022 im Rahmen des amtswegigen Verfahrens vor der Datenschutzbehörde.
Die Feststellung, dass XXXX das Angebot der XXXX GmbH vom 19.11.2021 unterzeichnet hat, gründet sich auf das Angebot, welches von der belangten Behörde mit Schriftsatz vom 09.06.2023 (OZ 2; Verfahrensübergreifende Vorlage weiterer Aktenbestandteile der belangten Behörde) dem Bundesverwaltungsgericht vorgelegt wurde.
Die Feststellung, wie die XXXX GmbH den Auftrag erfüllt hat, gründet sich auf die Aussage des XXXX , Abteilungsleiter Recht und Sicherheit der XXXX GmbH im Rahmen des amtswegigen Verfahrens vor der Datenschutzbehörde vom 24.02.2024.
Die Feststellung, dass die Kosten 50:50 von XXXX und der XXXX getragen wurden, gründet sich auf das Email von Frau XXXX an XXXX vom 03.11.2021, in welchem vom Stadtratsbüro bestätigt wurde, dass XXXX und XXXX die Finanzierungszusage getätigt haben (OZ 2; Verfahrensübergreifende Vorlage weiterer Aktenbestandteile der belangten Behörde).
Die Feststellung, dass das Finanzierungsbudget von Pandemiemaßnahmen zu diesem Zeitpunkt bei der XXXX lag, wurde durch die Aussage von XXXX bestätigt (GZ W252 2271937-1, OZ 19, S 41).
Die Feststellungen zum Inhalt und zur namentlichen Adressierung des Impferinnerungsschreibens gründen auf dem im Administrativverfahren vorgelegten Impferinnerungsschreiben, das dem von der mitbeteiligten Partei in ihrer Datenschutzbeschwerde vorgelegten Impferinnerungsschreiben entspricht.
3. Rechtliche Beurteilung:
Zu A)
Die zulässige Beschwerde ist berechtigt.
3.1. Zu den maßgeblichen Rechtsvorschriften:
Artikel 4 der Verordnung (EU) 2016/679 (DSGVO) lautet: „Im Sinne dieser Verordnung bezeichnet der Ausdruck:
[…]
7. Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; […]“
§ 24 DSG lautet:
(1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2)Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
Artikel 102 Abs 1 und 2 B-VG lauten:
„(1) Im Bereich der Länder üben die Vollziehung des Bundes, soweit nicht eigene Bundesbehörden bestehen (unmittelbare Bundesverwaltung), der Landeshauptmann und die ihm unterstellten Landesbehörden aus (mittelbare Bundesverwaltung). Soweit in Angelegenheiten, die in mittelbarer Bundesverwaltung besorgt werden, Bundesbehörden mit der Vollziehung betraut sind, unterstehen diese Bundesbehörden in den betreffenden Angelegenheiten dem Landeshauptmann und sind an dessen Weisungen (Art. 20 Abs. 1) gebunden; ob und inwieweit solche Bundesbehörden mit Akten der Vollziehung betraut werden, bestimmen die Bundesgesetze; sie dürfen, soweit es sich nicht um die Betrauung mit der Vollziehung von im Abs. 2 angeführten Angelegenheiten handelt, nur mit Zustimmung der beteiligten Länder kundgemacht werden.
(2) Folgende Angelegenheiten können im Rahmen des verfassungsmäßig festgestellten Wirkungsbereiches unmittelbar von Bundesbehörden besorgt werden:
Grenzvermarkung; Waren- und Viehverkehr mit dem Ausland; Zollwesen; Regelung und Überwachung des Eintrittes in das Bundesgebiet und des Austrittes aus ihm; Aufenthaltsrecht aus berücksichtigungswürdigen Gründen; Passwesen; Aufenthaltsverbot, Ausweisung und Abschiebung; Asyl; Auslieferung; Bundesfinanzen; Monopolwesen; Geld-, Kredit-, Börse- und Bankwesen; Maß- und Gewichts-, Normen- und Punzierungswesen; Justizwesen; Pressewesen; Aufrechterhaltung der öffentlichen Ruhe, Ordnung und Sicherheit einschließlich der ersten allgemeinen Hilfeleistung, jedoch mit Ausnahme der örtlichen Sicherheitspolizei; Vereins- und Versammlungsrecht; Fremdenpolizei und Meldewesen; Waffen-, Munitions- und Sprengmittelwesen, Schießwesen; Kartellrecht; Patentwesen sowie Schutz von Mustern, Marken und anderen Warenbezeichnungen; Verkehrswesen; Strom- und Schifffahrtspolizei; Post- und Fernmeldewesen; Bergwesen; Regulierung und Instandhaltung der Donau; Wildbachverbauung; Bau und Instandhaltung von Wasserstraßen; Vermessungswesen; Arbeitsrecht; Sozial- und Vertragsversicherungswesen; Pflegegeldwesen; Sozialentschädigungsrecht; geschäftlicher Verkehr mit Saat- und Pflanzgut, Futter-, Dünge- und Pflanzenschutzmitteln sowie mit Pflanzenschutzgeräten, einschließlich der Zulassung und bei Saat- und Pflanzgut auch der Anerkennung; Denkmalschutz; allgemeine Angelegenheiten des Schutzes personenbezogener Daten; Organisation und Führung der Bundespolizei; militärische Angelegenheiten; Angelegenheiten des Zivildienstes; Bevölkerungspolitik; land- und forstwirtschaftliches Schul- und Erziehungswesen in den Angelegenheiten des Art. 14a Abs. 2 sowie Zentrallehranstalten; Universitäts- und Hochschulwesen sowie das Erziehungswesen betreffend Studentenheime in diesen Angelegenheiten; Ausbildungspflicht für Jugendliche; öffentliches Auftragswesen.“
Art 103 Abs 2 B-VG lautet:
„Die Landesregierung kann bei Aufstellung ihrer Geschäftsordnung beschließen, dass einzelne Gruppen von Angelegenheiten der mittelbaren Bundesverwaltung wegen ihres sachlichen Zusammenhanges mit Angelegenheiten des selbständigen Wirkungsbereiches des Landes im Namen des Landeshauptmannes von Mitgliedern der Landesregierung zu führen sind. In diesen Angelegenheiten sind die betreffenden Mitglieder der Landesregierung an die Weisungen des Landeshauptmannes ebenso gebunden (Art. 20) wie dieser an die Weisungen der Bundesregierung oder der einzelnen Bundesminister.“
Punkt III. der Geschäftseinteilung für XXXX lautet:
„Die der Landeshauptfrau bzw. dem Landeshauptmann zukommenden Angelegenheiten der mittelbaren Bundesverwaltung sind in Anwendung des Art. 103 Abs. 2 des Bundes-Verfassungsgesetzes von den Magistratsabteilungen unter Leitung und Verantwortung der zuständigen amtsführenden Stadträtin bzw. des zuständigen amtsführenden Stadtrats als Mitglied der Landesregierung zu besorgen, sofern die Geschäftseinteilung nichts anderes bestimmt. Dies gilt sinngemäß für die gemäß Art. 104 Abs. 2 des Bundes-Verfassungsgesetzes der Landeshauptfrau bzw. dem Landeshauptmann übertragene Verwaltung des Bundesvermögens.“
Gemäß der Geschäftseinteilung für XXXX (GZ XXXX bzw XXXX ) oblag der XXXX – insbesondere der XXXX – Ende 2021 das Gesundheits- und Impfwesen.
3.2. Angewendet auf den Sachverhalt bedeutet das:
3.2.1. Zum Beschwerdeführer als Verantwortlichen iSd Art 4 Z 7 DSGVO:
Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Art 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.
Der EuGH hat festgehalten, dass die Entscheidung über die Zwecke und Mittel der Verarbeitung nach den zugrundeliegenden Vorschriften nicht (zwingend) mittels schriftlicher Anweisung erfolgen muss (siehe EuGH 10.07.2018, C-25/17, Tietosuojavaltuutettu, Rn. 67)
Der Versand eines Impferinnerungsschreibens ist eine Angelegenheit des Gesundheitswesens, das in mittelbarer Bundesverwaltung, dh grundsätzlich durch den jeweiligen Landeshauptmann, zu vollziehen ist (Art 10 Abs 1 Z 12 iVm Art 102 Abs 1 und 2 B-VG). Im Falle des Art 103 Abs 2 B-VG erfolgt die Vollziehung von Mitgliedern der Landesregierung im Namen des Landeshauptmannes, im Fall von XXXX durch den Stadtsenat bzw XXXX im Namen des Bürgermeisters (vgl ua § 114 XXXX Stadtverfassung).
Gemäß § 106 der XXXX Stadtverfassung ist XXXX in Geschäftsgruppen und innerhalb dieser in Abteilungen eingeteilt. Jeder Geschäftsgruppe steht ein amtsführender Stadtrat vor. Gemäß der Geschäftseinteilung XXXX vom 13.01.2021 besteht im XXXX die Geschäftsgruppe XXXX , der die Magistratsabteilungen XXXX und der XXXX Gesundheitsbund zugeordnet sind. Dieser Geschäftsgruppe steht XXXX vor.
Dennoch kann der Magistrat als „Behörde“ oder „andere Stelle“ iSd Art 4 Z 7 DSGVO selbst datenschutzrechtlich Verantwortlicher sein: Entweder wenn er nach Unions-, Landes- oder Bundesrecht iSd Art 4 Z 7 letzter Halbsatz DSGVO als Verantwortlicher festgelegt wird, oder wenn der Verantwortliche nicht nach Unions-, Landes- oder Bundesrecht bestimmt wird und das Amt der Landesregierung selbst Zweck und Mittel einer Datenverarbeitung bestimmt.
Von einer Bestimmung von Zweck und Mittel einer Datenverarbeitung durch den Magistrat kann nicht mehr ausgegangen werden, wenn diese durch den Bürgermeister bzw das zuständige Mitglied der Landesregierung (Stadtrat) detailliert bestimmt werden. In einem solchen Fall kann der Magistrat nicht mehr als Verantwortlicher für die Datenverarbeitung gesehen werden.
Für den konkreten Fall bedeutet das:
Gegenständlich ist der Versand eines Impferinnerungsschreiben, dh eine Angelegenheit des Gesundheitswesens, die in mittelbarer Bundesverwaltung in XXXX durch XXXX für XXXX im Namen des Landeshauptmanns vollzogen wird (Art 10 Abs 1 Z 12, Art 102 Abs 2 und 103 Abs 2 B-VG iVm § 133 XXXX Stadtverfassung, Geschäftseinteilung für XXXX ).
Zur Bestimmung des Verantwortlichen auf Grund von Unions-, Landes- oder Bundesrecht:
Der datenschutzrechtlich Verantwortliche wird in XXXX nicht von Unions-, Landes- oder Bundesrecht bestimmt.
Zur Frage, wer über Zweck und Mittel der Datenverarbeitung entschieden hat:
Den Zweck des Schreibens, dh die Impfquote zu erhöhen, um die Bürger des Landes und das Gesundheitssystem zu schützen, sowie den Zweck des Zugriffs auf den Patientenindex und das zentrale Impfregister, nämlich zur Bestimmung der Adressaten des Impferinnerungsschreibens, hat XXXX vorgegeben.
XXXX hat ebenfalls die wesentlichen Mittel der Datenverarbeitung bestimmt, nämlich den wesentlichen Inhalt des Schreibens, die Festlegung der Empfängerkreise und den hierfür erforderlichen Zugriff auf den Patientenindex und das zentrale Impfregister. Zwar wurde das Impferinnerungsschreiben von den zuständigen Mitarbeitern der Magistratsabteilungen koordiniert und umgesetzt; die Letztverantwortung und die konkrete Entscheidung blieben aber immer dem amtsführenden Stadtrat vorbehalten. XXXX gab in seiner Einvernahme vor dem Bundesverwaltungsgericht an, dass die XXXX GmbH für die Umsetzung als Dienstleisterin in Anspruch genommen wurde (OZ 19, S. 15). Auch wenn XXXX das Angebot der XXXX GmbH nicht selbst unterschrieben hat, hat er bestimmt, dass die XXXX GmbH für den Zugriff auf den Patientenindex und das zentrale Impfregister herangezogen wird.
XXXX hat keine schriftliche Weisung an seine Mitarbeiter XXXX gegeben, jedoch können die Organe im Rahmen ihrer sachlichen und funktionellen Zuständigkeit Aufträge in Form von individuellen oder generellen, konkreten oder abstrakten Weisungen erteilen. Daraus ist abzuleiten, dass die Mitarbeiter der XXXX und XXXX , die XXXX zuzuordnen sind, durch die generelle Weisung des amtsführenden Stadtrats, ein Impferinnerungsschreiben an sozialversicherte ungeimpfte Personen über 18 Jahre mit Wohnsitz in XXXX zur versenden, beauftragt wurden.
Der Beschwerdeführer hat somit weder über den Zweck noch die Mittel der Datenverarbeitung entschieden und kann für sie daher nicht Verantwortlicher iSd Art 4 Z 7 DSGVO sein.
3.2.2. Zur Bedeutung der fehlerhaften Bestimmung des Verantwortlichen für das Administrativverfahren:
Nach der Rechtsprechung des Verwaltungsgerichtshofes sind Parteierklärungen nach ihrem objektiven Erklärungswert auszulegen, dh es kommt darauf an, wie die Erklärung unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszweckes und der der Behörde vorliegenden Aktenlage objektiv verstanden werden muss. Bei undeutlichem Inhalt eines Anbringens ist die Absicht der Partei zu erforschen. Im Zweifel ist dem Anbringen einer Partei, das sie zur Wahrung ihrer Rechte stellt, nicht ein solcher Inhalt beizumessen, der ihr die Rechtsverteidigungsmöglichkeit nimmt (vgl. etwa VwGH 28.05.2019, Ra 2018/15/0036).
Gemäß § 24 Abs 2 Z 2 DSG hat eine Datenschutzbeschwerde die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird, nur dann zu enthalten, soweit dies zumutbar ist. Der VwGH hat im Zusammenhang mit der in die Datenschutzbeschwerde aufzunehmenden Bezeichnung des als verletzt erachteten Rechts im Sinn des § 24 Abs 2 Z 1 DSG unter Verweis auf die als Vorbildregelung erachtete Bestimmung des früheren § 67c Abs 2 AVG festgehalten, dass dem AVG insofern "jeglicher Formalismus fremd" ist (vgl. VwGH 22.11.2022, Ra 2019/04/0003, Rn. 24, mwN). Nichts Anderes kann für die Vorgaben des § 24 Abs 2 DSG gelten (vgl. VwGH 03.09.2024, Ra 2023/04/0094). Die ungenaue oder auch unrichtige Bezeichnung des Verantwortlichen kann der Unzumutbarkeit seiner Namhaftmachung gleichzuhalten sein (vgl. VwGH 27.6.2023, Ro 2023/04/0013, Rn. 34, mwN).
Der VwGH hat dem Grunde nach anerkannt, dass die Berichtigung einer Bezeichnung des Beschwerdegegners im Rahmen einer vertretbaren Auslegung der Parteierklärung durch die DSB zulässig sein kann (vgl. VwGH 27.6.2023, Ro 2023/04/0013, Rn. 34, mwN; vgl. auch VwGH 18.3.2022, Ro 2020/04/0027, Rn. 41 sowie VwGH 28.4.2021, Ra 2019/04/0138, Rn. 15 f). Wenn es nach dem DSG (konkret seinem § 24 Abs. 2 Z 2) Fälle geben kann, in denen es für die von der Datenverarbeitung betroffene Person unzumutbar sein kann, den Verantwortlichen selbst zu eruieren und dementsprechend in der Datenschutzbeschwerde zu benennen, dann sind wohl auch Konstellationen anzuerkennen, in denen die betroffene Person den Verantwortlichen ungenau bzw. allenfalls auch unrichtig bezeichnet, ohne dass dies zwingend zu einer Abweisung der Datenschutzbeschwerde führen muss (vgl. VwGH 27.6.2023, Ro 2023/04/0013, Rn. 34, mwN).
Wie oben ausgeführt, hat gemäß § 24 Abs 2 Z 2 DSG eine Datenschutzbeschwerde die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird, nur dann zu enthalten, soweit dies zumutbar ist. Im gegenständlichen Fall ist eine Zumutbarkeit jedoch nicht gegeben:
Die mitbeteiligte Partei hat in der Datenschutzbeschwerde XXXX als Beschwerdegegner bezeichnet. Das der Datenschutzbeschwerde beigefügte Impferinnerungsschreiben ist von Organwaltern von zwei verschiedenen Rechtsträgern unterfertigt worden und es enthält Logos von vier verschiedenen Krankenkassen und einer Magistratsabteilung. Die Ausgestaltung des gegenständlichen Impferinnerungsschreibens hat es der mitbeteiligten Partei nicht erleichtert, den Rechtsträger bzw das Organ, dem die behauptete Rechtsverletzung zuzurechnen ist, namhaft zu machen bzw eindeutig zu bezeichnen. Auch die in der Verhandlung zu GZ W252 2271937-1 geführte rechtliche Diskussion zwischen dem Vertreter der belangten Behörde und dem Rechtsvertreter des Beschwerdeführers über eine mögliche Verantwortlichkeit zeigt, dass es der mitbeteiligten Partei bei Beschwerdeerhebung nicht zumutbar war, den (richtigen) Verantwortlichen zu benennen bzw. ihren ursprünglichen Antrag zu konkretisieren.
Wenn die mitbeteiligte Partei daher ihre Datenschutzbeschwerde gegen XXXX richtete, deren Logo auf dem Schreiben aufscheint, für die auch das Schreiben ua unterschrieben wurde und die als Absenderin angeführt wurde, so war ihr im gegenständlichen Kontext und im Lichte der Ausgestaltung des Schreibens sowie im Lichte der diesbezüglich kürzlich ergangenen Rechtsprechung des VwGH (03.09.2024, Ra 2023/04/0092 und Ra 2023/04/0094) die konkrete Bezeichnung des von der belangten Behörde schließlich festgelegten Beschwerdegegners unzumutbar. Das Vorgehen der belangten Behörde im gegenständlichen Verwaltungsverfahren ist demnach nicht zu beanstanden. Der Stellungnahme des Beschwerdeführers vom 09.10.2024 ist daher nicht zu folgen, wenn aus dieser hervorgeht, dass die rezenten VwGH-Erkenntnisse vom 03.09.2024 nicht einschlägig sein sollen: der erkennende Senat vertritt hierbei die Ansicht, dass die gegenständliche Fallkonstellation, insbesondere in Hinblick auf die verwirrende Darstellung von Absendern, Unterzeichnenden und Logos, sehr wohl mit jenen in den zitierten VwGH-Entscheidungen vergleichbar ist.
Wer vom möglichen Personenkreis tatsächlich über Zweck und Mittel der Datenverarbeitung entschieden hat, ist für die mitbeteiligte Partei weder aus dem Impferinnerungsschreiben noch auf andere Art feststellbar, weshalb ihr die Benennung des Verantwortlichen nicht zumutbar war.
Es oblag daher der belangten Behörde im Rahmen der Ermittlung der materiellen Wahrheit festzustellen, wer Zweck und Mittel der Datenverarbeitung bestimmt hat und damit Verantwortlicher der Datenverarbeitung und Gegner der Datenschutzbeschwerde ist.
Indem sie letztlich den Beschwerdeführer irrtümlich als Verantwortlichen bestimmt hat, hat sie das Verwaltungsverfahren gegen jemanden geführt, der nicht vom Rechtschutzantrag der mitbeteiligten Partei umfasst war. Der Bescheid war daher ersatzlos zu beheben.
3.3. Angesichts dieses Ergebnisses ist die Datenschutzbeschwerde der mitbeteiligten Partei nach wie vor unerledigt.
3.4. Es war daher spruchgemäß zu entscheiden.
3.5. Zum weiteren Vorbringen und Anträgen
3.5.1. res iudicata
Der vom Beschwerdeführer vorgebrachten Argumentation, wonach das BVwG wegen res iudicata nicht entscheiden dürfte, kann im Ergebnis nicht gefolgt werden, da es sich beim gegenständlichen Verfahren (antragsgebundenes Verfahren) und beim parallelen amtswegigen Prüfverfahren um zwei voneinander zu unterscheidende Verfahren handelt. Die Tatsache, dass ein Sachverhalt sowohl von Betroffenen, als auch von einer dazu bestimmten öffentlichen Einrichtung oder Behörde aufgegriffen und in einem gerichtlichen Verfahren überprüft werden kann, führt nicht zu einer res iudicata. Den Ausführungen der belangten Behörde ist insofern nicht entgegenzutreten.
3.5.2. Mangelhaftes Verfahren
Soweit von Seiten des Beschwerdeführers vorgebracht wird, dass die Datenschutzbehörde das Verfahren zum einen mangelhaft geführt habe und zum anderen unzulässiger Weise Ermittlungsergebnisse aus anderen Verfahren verwertet habe, so ist dazu auszuführen, dass allfällige Verfahrensmängel vor der belangten Behörde durch ein mängelfreies Verfahren vor dem VwG saniert werden (vgl. Ra 2021/09/0251, RS-Nr.: 9) und das VwG im Rahmen der Unbeschränktheit der Beweismittel iSd § 46 AVG berechtigt ist, alles als Beweismittel heranzuziehen, was zur Entscheidungsfindung sachdienlich ist. Insofern wurden die Bestandteile des parallelen DSB-Verfahrens im Zuge der mündlichen Verhandlung vom 18.10.2023 zum Verfahrensinhalt erhoben. Das Vorbringen des Beschwerdeführers geht daher fehl (vgl. Ra 2021/09/0251, RS-Nr.: 11).
3.5.3. Aussetzung des Verfahrens
Aus den eben genannten Gründen konnte auch die mit ergänzendem Vorbringen des Beschwerdeführers vom 08.11.2023 beantragte Aussetzung des Verfahrens hinsichtlich des Vorlageantrags durch den VwGH an den EuGH zur Rechtssache Ra 2023/04/0024 (EU 2023/0007-1) vom 23. August 2023, in welchem ua die Frage gestellt wurde, ob Institutionen wie das Amt der Landesregierung oder der Magistrat als datenschutzrechtliche Verantwortliche auftreten können, unterbleiben. Die Frage, ob XXXX datenschutzrechtlicher Verantwortlicher iSd Art 4 Z 7 sein kann, ist angesichts der Feststellungen, wonach dieser Zwecke und Mittel nicht bestimmt hat, für das gegenständliche Verfahren unerheblich.
3.5.4. Zum Vorliegen eines nichtigen Bescheides
Der Beschwerdeführer argumentierte in der Verhandlung vor dem Bundesverwaltungsgericht und in seinem Schriftsatz vom 19.12.2023, dass zu prüfen sei, ob überhaupt ein Bescheid vorliege. Der Beschwerdeführer führte an, dass bei Fehlen des Bescheidadressaten der Bescheid absolut nichtig sei. XXXX sei eine bloße Dienststelle, die weder eine natürliche noch eine juristische Person sei und als Hilfsapparat für XXXX auftrete. Entscheidend sei, dass XXXX – als Hilfsapparat – (auch) im Wege der mittelbaren Bundesverwaltung Dienstleistungen erbringe. Der Magistrat übe Funktionen aus, die dem Bund zuzurechnen seien und gelte daher als Bundesorgan im funktionellen Sinne. Dieser Argumentation des Beschwerdeführers ist nicht zu folgen: Wie bereits oben ausgeführt, kann der Magistrat als „Behörde“ oder „andere Stelle“ iSd Art 4 Z 7 DSGVO selbst datenschutzrechtlich Verantwortlicher sein: Entweder wenn er nach Unions-, Landes- oder Bundesrecht iSd Art 4 Z 7 letzter Halbsatz DSGVO als Verantwortlicher festgelegt wird, oder wenn der Verantwortliche nicht nach Unions-, Landes- oder Bundesrecht bestimmt wird und der Magistrat selbst Zweck und Mittel einer Datenverarbeitung bestimmt. Der Magistrat kann in diesem Fall grundsätzlich Bescheidadressat sein, weshalb der gegenständliche Bescheid nicht nichtig ist.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Aufgrund der eindeutigen (zitierten) Rechtsprechung des EuGH, welche auf die aktuelle Rechtslage übertragbar ist, stellen sich keine Rechtsfragen von grundsätzlicher Bedeutung.
Rückverweise
