W211 2272384-1 – Bundesverwaltungsgericht Entscheidung

W211 2272384–1/16E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA, LL.M. als Vorsitzende und die fachkundigen Laienrichter Mag. Christoph KUNZ und Dr. Ulrich E. ZELLENBERG als Beisitzer über die Beschwerde des XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX , zu Recht:

A)

Der Beschwerde wird mit der Maßgabe Folge gegeben, dass der Spruch des angefochtenen Bescheids zu lauten hat:

„Die Datenschutzbeschwerde vom XXXX .2021 wird als unbegründet abgewiesen.“.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Datenschutzbeschwerde vom XXXX .2021 brachte die nunmehr mitbeteiligte Partei zusammengefasst vor, sie habe von der XXXX eine Impfaufforderung erhalten und den dringenden Verdacht, dass dieser Einladung eine unzulässige Weitergabe und Verarbeitung ihrer besonders geschützten persönlichen Gesundheitsdaten zugrunde liegen würde. Sie berief sich auf § 1 DSG sowie die Art. 5, 6 und 9 DSGVO. Der Datenschutzbeschwerde war kein Impferinnerungsscheiben, das persönlich an die mitbeteiligte Partei gerichtet war, beigefügt.

2. Mit Schreiben vom XXXX .2022 informierte die Datenschutzbehörde (idF belangte Behörde) die mitbeteiligte Partei, dass nach ihrer Ansicht der (nunmehrige) Beschwerdeführer als Verantwortlicher iSd DSGVO in Bezug auf die monierten Impferinnerungsschreiben anzusehen sei, das Verfahren nun gegen diesen geführt werde, und stellte es der mitbeteiligten Partei frei, zu diesen Ergebnissen binnen einer zweiwöchigen Frist Stellung zu nehmen. Die mitbeteiligte Partei reagierte auf dieses Schreiben nicht.

3. Der Beschwerdeführer brachte eine Stellungnahme zur Datenschutzbeschwerde der mitbeteiligten Partei ein.

4. Mit dem angefochtenen Bescheid gab die belangte Behörde der Beschwerde vom XXXX .2021 statt und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem er unrechtmäßig auf ihre Daten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine COVID-19-Schutzimpfung verarbeitet habe. Weitere Anträge der mitbeteiligten Partei wurden ab- bzw. zurückgewiesen.

5. Gegen diesen Bescheid brachte der Beschwerdeführer am XXXX 2023 rechtzeitig eine Beschwerde ein und beantragte, den bekämpften Bescheid ersatzlos zu beheben, und das Verfahren einzustellen, in eventu den Bescheid aufzuheben und zur neuerlichen Entscheidung an die belangte Behörde zurückzuverweisen oder in eventu nach Durchführung einer mündlichen Verhandlung in der Sache selbst zu entscheiden und die Beschwerde abzuweisen.

6. Die belangte Behörde legte mit Stellungnahme vom XXXX 2023 die Beschwerde und den Verwaltungsakt dem Bundesverwaltungsgericht vor.

Dieses erteilte am XXXX .2024 ein schriftliches Parteiengehör, auf das der Beschwerdeführer mit Stellungnahme vom XXXX 2024 replizierte. Am XXXX .2024 fand eine mündliche Beschwerdeverhandlung am Bundesverwaltungsgericht statt, an der der Beschwerdeführer und seine Vertretung, nicht aber die mitbeteiligte Partei teilgenommen haben.

Im Zuge einer weiteren Aktendurchsicht wurde festgestellt, dass ein Impfaufforderungsschreiben adressiert an die mitbeteiligte Partei im Verwaltungsakt nicht aufliegt. Mit Parteiengehör vom XXXX .2025, von der mitbeteiligten Partei übernommen am XXXX .2025, wurde diese aufgefordert, das Impfaufforderungsschreiben innerhalb von einer Frist von 3 Wochen zu übermitteln. Die mitbeteiligte Partei brachte innerhalb der gewährten Frist weder eine Stellungnahme noch das Impfaufforderungsschreiben ein.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die mitbeteiligte Partei richtete eine Datenschutzbeschwerde an die belangte Behörde, in der sie ausführte, sie habe von XXXX eine Impfaufforderung erhalten und den dringenden Verdacht, dass dieser Einladung eine unzulässige Weitergabe und Verarbeitung ihrer besonders geschützten persönlichen Gesundheitsdaten zugrunde liegen würde. Sie berief sich dabei auf § 1 DSG sowie die Art. 5, 6 und 9 DSGVO.

Die mitbeteiligte Partei legte im Zuge der Datenschutzbeschwerde kein an sie persönlich gerichtetes Impferinnerungsschreiben vor.

1.2. Es kann nicht festgestellt werden, dass die mitbeteiligte Partei ein an sie adressiertes Impferinnerungsschreiben erhalten hat.

2. Beweiswürdigung:

2.1. Die Feststellungen zum Inhalt der Datenschutzbeschwerde gründen auf der dem erkennenden Gericht vorliegenden Datenschutzbeschwerde der mitbeteiligten Partei.

2.2. Dass nicht festgestellt werden kann, dass die mitbeteiligte Partei ein an sie persönlich gerichtetes Impferinnerungsschreiben erhalten hat, gründet auf dem Umstand, dass im Zuge der Datenschutzbeschwerde vom XXXX .2021 und auch danach im Verfahren kein an die mitbeteiligte Partei adressiertes Schreiben vorgelegt wurde.

2.3. Mit Schreiben vom XXXX 2025 wurde die mitbeteiligte Partei vom Bundesverwaltungsgericht aufgefordert, das der Datenschutzbeschwerde zugrundeliegende Impferinnerungsschreiben binnen drei Wochen in Kopie vorzulegen. Die Zustellung dieses Schreibens erfolgte nachweislich durch persönliche Übernahme am XXXX 2025. Der Zustellnachweis liegt im Verwaltungsakt auf.

3. Rechtliche Beurteilung:

Zu A)

3.1. Die zulässige Beschwerde ist berechtigt.

3.2. Art. 77 DSGVO räumt jeder betroffenen Person das Recht auf Beschwerde bei einer Aufsichtsbehörde ein, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

3.3. Die notwendigen Voraussetzungen für die Geltendmachung des Rechts auf Beschwerde sind, dass die beschwerdeführende Person selbst durch die Verarbeitung betroffen ist, und die Verarbeitung gegen die Bestimmungen der DSGVO verstößt, sowie die angerufene Behörde zum Kreis der zuständigen Behörden gehört. Art 77 DSGVO legt nicht fest, welche Darlegungsverpflichtung die beschwerdeführende Person hat, wobei sämtliche Verletzungen der Bestimmungen der DSGVO für eine Beschwerde infrage kommen, sohin etwa auch Verletzungen von individuellen Betroffenenrechten auf Auskunft (Art 15 DSGVO). Inhaltliche Vorgaben für die Beschwerde macht Art 77 DSGVO nicht, jedoch wird es notwendig sein, dass ein:e Beschwerdeführer:in ausreichende Angaben macht, die es der Datenschutzbehörde ermöglichen, die Art und Weise der Verarbeitung der personenbezogenen Daten sowie den Verstoß gegen die Bestimmungen der DSGVO zumindest nachzuvollziehen, um tätig zu werden. Ein bestimmtes Begehren muss die Beschwerde nicht enthalten (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz [DSG]2 § 24 Rz 334 [Stand 01.02.2022, rdb.at]).

3.4. § 13 Abs. 3 AVG sieht – unter bestimmten Voraussetzungen - die Möglichkeit von Mängelbehebungen bei Anbringen im Verwaltungsverfahren vor: Eine Behörde darf nur dann gemäß § 13 Abs. 3 AVG vorgehen, wenn das Anbringen einen „Mangel“ aufweist (VwGH 16. 4. 2004, 2003/01/0032; 17. 4. 2012, 2008/04/0217), also von für die Partei erkennbaren Anforderungen des Materiengesetzes (VwGH 28. 4. 2006, 2006/05/0010; 16. 9. 2009, 2008/05/0206) oder des AVG (VwGH 17. 1. 1997, 96/07/0184; 23. 3. 1999, 96/05/0297; VfSlg 13.047/1992) an ein vollständiges, fehlerfreies Anbringen abweicht (vgl. Hengstschläger/Leeb, AVG § 13 Rz 27 [Stand 1.1.2014, rdb.at]).

Dem § 24 Abs. 2 DSG ist eine „hinreichend deutliche Anordnung“ zu entnehmen. In dieser Regelung sind die Angaben bzw. die Unterlagen bei Antragstellung genau beschrieben, welche zur Antragstellung bei der Datenschutzbehörde erforderlich sind (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz [DSG]2 § 24 Rz 337 [Stand 01.02.2022, rdb.at]).

Fehlt es hingegen an einer hinreichend deutlichen Anordnung (etwa, dass einem Antrag auf Verleihung der österreichischen Staatsbürgerschaft eine Geburtsurkunde aus dem Heimatstaat anzuschließen ist), so kommt bei deren Nichtvorlage weder die Erteilung eines Verbesserungsauftrages noch – nach fruchtlosem Verstreichen der zu Unrecht gesetzten Frist – die Zurückweisung des Anbringens in Frage. Vielmehr kann die unterlassene Beibringung von Unterlagen, welche die Behörde benötigt und die sie sich nicht selbst beschaffen kann, allenfalls – als Verletzung der „Mitwirkungspflicht“ – bei der Sachentscheidung Berücksichtigung finden (vgl. Hengstschläger/Leeb, AVG § 13 Rz 27 [Stand 1.1.2014, rdb.at]).

Dort, wo es der Behörde nicht möglich ist, den entscheidungswesentlichen Sachverhalt ohne Mitwirkung der Partei festzustellen, ist somit von einer Mitwirkungspflicht der Partei auszugehen. Die Mitwirkungspflicht der Partei ist gerade dort von Bedeutung, wo ein Sachverhalt nur im Zusammenwirken mit der Partei geklärt werden kann, weil die Behörde außerstande ist, sich die Kenntnis von ausschließlich in der Sphäre der Partei liegenden Umständen von Amts wegen zu beschaffen (vgl. VwGH 25.05.2022, Ra 2022/02/077 Rn 14).

Eine erhöhte Mitwirkungspflicht nimmt der VwGH grundsätzlich dann an, wenn es um Umstände geht, die in der persönlichen Sphäre der Parteien liegen (vgl. Hengstschläger/Leeb, AVG § 39 Rz 9 ff [Stand 01.04.2021, rdb.at]). Die Mitwirkungspflicht trifft eine Verfahrenspartei insbesondere dort, wo ein Sachverhalt nur im Zusammenwirken mit der Partei oder etwa durch Vorlage von im Besitz der Partei befindlichen Beweismitteln geklärt werden kann (vgl. VwGH 15.09.2004, 2002/09/0200).

3.5. Gemäß § 24 Abs. 5 letzter Satz DSG ist eine Beschwerde, soweit sie sich als nicht berechtigt erweist, abzuweisen. Die Frage, ob sich eine Datenschutzbeschwerde als berechtigt erweist, ist auf der Ebene der Sachlegitimation und nicht auf der Ebene der Prozesslegitimation zu beurteilen (vgl. VwGH 27.06.2023, Ro 2023/04/0013 Rn 16).

3.6. Für den vorliegenden Fall bedeutet dies folgendes:

Die mitbeteiligte Partei machte eine Verletzung ihres Rechts auf Geheimhaltung personenbezogener (Gesundheits-)daten geltend. Sie erfüllte mit ihrem Vorbringen den notwendigen Inhalt einer Datenschutzeschwerde. Die mitbeteiligte Partei legte in weiterer Folge jedoch kein Impfaufforderungsschreiben vor, auf das sie sich in ihrer Datenschutzbeschwerde bezieht und aus dem eben jene behauptete Datenschutzverletzung hervorgehen soll.

Die mitbeteiligte Partei hätte im Rahmen der oben näher dargelegten Mitwirkungspflicht spätestens nach Aufforderung durch das erkennende Gericht die Pflicht gehabt, das in Rede stehende, persönlich an die mitbeteiligte Partei gerichtete Impferinnerungsschreiben vorzulegen, um den Nachweis zu erbringen, dass ihre personenbezogenen (Gesundheits-) daten auch tatsächlich verarbeitet wurden. Das Schreiben des Gerichts vom XXXX .2025 wurde ordnungsgemäß zugestellt. Eine Vorlage des personalisierten Impferinnerungsschreibens an die mitbeteiligte Partei erfolgte durch diese nicht.

Da eine Verletzung des Rechts auf Geheimhaltung allerdings nur dann vorliegen kann, wenn tatsächlich Daten der betroffenen Person verarbeitet wurden, eine solche Verarbeitung im gegenständlichen Verfahren durch die mitbeteiligte Partei aber nicht dargelegt werden konnte, und eine Datenschutzverletzung sohin nicht festgestellt werden kann, war der gegenständlichen Beschwerde mit einer entsprechenden Spruchkorrektur Folge zu geben.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Entscheidung weicht nicht von der Rechtsprechung des Verwaltungsgerichtshofes ab, die oben unter A) dargestellt wurde. Es fehlt auch nicht an einer Rechtsprechung, und die zu lösende Rechtsfrage wird in der Rechtsprechung auch nicht uneinheitlich beantwortet.