IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden und die fachkundigen Laienrichter Mag. Julia Weiss als Beisitzerin und Gerhard Raub als Beisitzer über die Beschwerde XXXX (mitbeteiligte Partei vor dem Verwaltungsgericht XXXX ) gegen den Bescheid der Österreichische Datenschutzbehörde vom 12.08.2021, GZ D124.2380 2020-0.592.069, in einer datenschutzrechtlichen Angelegenheit im Umlaufwege zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Mit Eingabe vom 7. April 2020, ergänzt am 26. April 2020 und am 5. Mai 2020, behauptete die Beschwerdeführerin eine Verletzung im Recht auf Geheimhaltung. Der Beschwerdegegner habe sie betreffende Gesundheitsdaten an unberechtigte Dritte übermittelt, nämlich ein Ultraschallbild ihrer Gebärmutter an die XXXX und einen sie betreffenden Laborbefund an ihre Tochter.
2. Mit Stellungnahme vom 5. Juni 2020 brachte der Beschwerdegegner – soweit im verwaltungsgerichtlichen Beschwerdeverfahren noch relevant – zusammengefasst vor, die Beschwerdeführerin sei im beschwerdegegenständlichen Zeitraum in einem Dienstverhältnis zur XXXX gestanden. Am 8. Oktober 2019 sei eine E-Mail der Beschwerdeführerin eingelangt. Die Beschwerdeführerin habe mit sofortiger Wirkung gekündigt. Dies sei überraschend gekommen, weshalb – unter Einbindung der Tochter der Beschwerdeführerin – versucht worden sei, eine Rücknahme der Kündigung zu erwirken. Die Kontaktaufnahme mit der Tochter sei erforderlich gewesen. Die Beschwerdeführerin hätte bei einem vorzeitigen Austritt viele dienstliche Ansprüche verloren.
3. Mit Stellungnahme vom 31. August 2020, 8. September 2020 und 15. September 2020 brachte die Beschwerdeführerin auf das Wesentlichste zusammengefasst vor, ihre Tochter sei nicht als Mediatorin des Beschwerdegegners tätig. Der Beschwerdegegner greife in das Familienleben der Beschwerdeführerin ein.
4. Mit Bescheid vom 12.08.2021 gab die belangte Behörde der Beschwerde teilweise statt und stellte fest, dass der Beschwerdegegner die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat, indem dieser am 27. Jänner 2020 die Ergebnisse einer Laboruntersuchung an die Tochter der Beschwerdeführerin übermittelt hat (Spruchpunkt 1.). Im Hinblick auf die Übermittlung von Gesundheitsdaten an die XXXX wies sie die Beschwerde ab (Spruchpunkt 2.).
5. Gegen den stattgebenden Spruchteil richtet sich die gegenständliche Bescheidbeschwerde des Beschwerdeführers, in der er begehrt, das Bundesverwaltungsgericht möge die Datenschutzbeschwerde zur Gänze abweisen. Begründend führte er zusammengefasst aus, der Laborbefund sei von der mitbeteiligten Partei im Amtshaus XXXX an der Außenseite ihrer Bürotür angebracht worden. Das Amtshaus und der Gang zu ihrer Türe sei öffentlich zugänglich. Dadurch habe sie der Veröffentlichung dieser Information zugestimmt, weshalb keine Verletzung im Recht auf Geheimhaltung vorliegen könne. Die Tochter der mitbeteiligten Partei hätte den Befund durch Betreten des Amtshauses selbst einsehen können.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Der folgende Sachverhalt steht fest:
1. Die mitbeteiligte Partei stand in einem Dienstverhältnis zur XXXX und war der XXXX zugeteilt. Die mitbeteiligte Partei übermittelte am 8. Oktober 2019 eine E-Mail an den Beschwerdeführer. Mit dieser E-Mail reichte sie ihre sofortige Kündigung ein. Der Beschwerdeführer leitete diese E-Mail jedoch nicht sofort an die XXXX weiter, sondern hat versucht, die Rücknahme der Kündigung zu erwirken. Dies, weil die Beschwerdeführerin bei einem vorzeitigen Austritt viele dienstliche Ansprüche verloren hätte. Zu diesem Zweck hat eine Dezernatsleiterin der Beschwerdeführer die Tochter der mitbeteiligten Partei per E-Mail kontaktiert, die als Mediatorin fungieren sollte. Der E-Mail war ua ein Lichtbild beigefügt, das einen die mitbeteiligte Partei betreffenden Laborbefund zeigt, der auf der Außenseite ihrer Bürotür angebracht ist.
2. Die mitbeteiligte Partei hat den Laborbefund an der Türe angebracht. Die Tür befindet sich in einem Gang in einem Amtshaus der XXXX , der öffentlich zugänglich ist und regelmäßig auch durch nicht bei der mitbeteiligten Partei beschäftigen Personen benutzt wird. Das war der mitbeteiligten Partei bewusst.
2. Die Feststellungen gründen in der folgenden Beweiswürdigung:
Die Feststellungen gründen in dem Vorbringen des Beschwerdeführers im verwaltungsbehördlichen Verfahren (1.1.) und in der Bescheidbeschwerde (1.2.), das hypothetisch als wahr unterstellt wird (VwGH 12.11.2014, Ra 2014/20/0069).
3. Rechtlich folgt daraus:
Die zulässige Beschwerde ist nicht berechtigt.
Zu A)
3.1. Strittig ist, ob der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem einer ihrer Mitarbeiterinnen der Tochter der mitbeteiligten Partei das Lichtbild eines Laborbefunds betreffend die mitbeteiligte Partei per E-Mail gesendet hat, um die Tochter dazu zu bringen, ihre Mutter dazu zu überreden, ihre Kündigung zurückzuziehen.
Die belangte Behörde hat eine Verletzung im Recht auf Geheimhaltung im Ergebnis bejaht, weil kein Erlaubnistatbestand des Art 9 Abs 2 DSGVO für die Verarbeitung der Gesundheitsdaten durch den Beschwerdeführer gegeben war. Insbesondere erfolgte die Verarbeitung nicht aus lebenswichtigen Interessen der mitbeteiligten Partei.
Der Beschwerdeführer hält dem in der Bescheidbeschwerde entgegen, dass die mitbeteiligte Partei den Laborbefund selbst an die Außenseite einer Tür gehängt hat, die auf einen öffentlich zugänglich Gang führt. Dadurch hätte sie konkludent zugestimmt, dass jede/r Vorbreigehende diesen Befund lesen darf. Die Information an ihre Tochter erfolgte damit lediglich von einem Zustand, den sie selbst ohne Schwierigkeiten durch Betreten des Amtshauses feststellen hätte können. Dem kann nicht gefolgt werden:
3.2. Vorab ist festzuhalten, dass eine leitende Mitarbeiterin des Beschwerdeführers den auf einer Tür befestigten Laborbefund betreffend die mitbeteiligte Partei, sohin Informationen die sich auf die mitbeteiligten Partei beziehen und damit personenbezogene Daten iSd Art 4 Z 1 DSGVO sowie Gesundheitsdaten iSd Art 9 Abs 1 DSGVO, fotografiert und per E-Mail an die Tochter der mitbeteiligten Partei gesendet und sohin iSd Art 4 Z 2 DSGVO verarbeitet hat. Die Daten wurden von der leitenden Mitarbeiterin des Beschwerdeführers verarbeitet, um zu erreichen, dass die mitbeteiligten Partei, eine Mitarbeiterin des Beschwerdeführers, ihre Kündigung über Vermittlung durch ihre Tochter zurückzieht. Sie erfolgt daher zu Zwecken der Personalverwaltung des Beschwerdeführers und ist damit dem Beschwerdeführer zuzurechnen, der als Verantwortlicher iSd Art 4 Z 7DSGVO für die Datenverarbeitung zu sehen ist. Hinweise darauf, dass die Mitarbeiterin aus eigenem Interesse auf die Datenverarbeitung Einfluss genommen hat, wurden weder vorgebracht noch gibt es dafür Anhaltspunkte (vgl VwGH 27.03.2025, Ro 2022/04/0023, Rn 31).
3.3. Gemäß Art 9 Abs 1 DSGVO, ist die Verarbeitung von ua Gesundheitsdaten untersagt, sofern nicht eine Ausnahme nach Art 9 Abs 2 DSGVO gegeben ist.
3.4. Der Beschwerdeführer beruft sich nun auf Art 9 Abs 2 lit a DSGVO. Demnach gilt das Verarbeitungsverbot des Art 9 Abs 1 DSGVO dann nicht, wenn die betroffene Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat.
Gefordert wird somit eine ausdrückliche Einwilligung zur Datenverarbeitung. Eine – wie vom Beschwerdeführer vorgebrachte – konkludente Einwilligung, durch Anbringen des Laborbefundes an einer öffentlich zugänglichen Türe, reicht gerade nicht. Der Beschwerdeführer kann sich somit nicht auf Art 9 Abs 2 lit a DSGVO berufen.
3.5. Der Beschwerdeführer verweist implizit weiters darauf, dass die mitbeteiligte Partei den Laborbefund durch Anbringen in einem öffentlich zugänglichen Bereich in einem Amtsgebäude veröffentlicht habe.
Er beruft sich damit auf Art 9 Abs 2 lit e DSGVO. Demnach gilt das Verarbeitungsverbot des Art 9 Abs 1 DSGVO auch dann nicht, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat.
Fraglich ist, ob die mitbeteiligte Partei den Laborbefund dadurch offensichtlich öffentlich gemacht hat, indem sie ihn in einem öffentlich zugänglichen Gang eines Amtshaus ausgehängt hat.
Dazu ist Folgendes auszuführen:
Da Art 9 Abs 2 lit e DSGVO eine Ausnahme vom Grundsatz des Verbots der Verarbeitung besonderer Kategorien personenbezogener Daten vorsieht, ist er eng auszulegen (EuGH 04.10.2024, C-446/21, Rn 76)
Es ist zu prüfen, ob die betroffene Person die Absicht hatte, die fraglichen personenbezogenen Daten ausdrücklich und durch eine eindeutige bestätigende Handlung „der breiten Öffentlichkeit“ zugänglich zu machen (EuGH 04.10.2024, C-446/21, Rn 77). Eine breite Öffentlichkeit hat der EuGH etwa angenommen, bei einer Aussage über die sexuelle Orientierung eines Diskutanten bei einer Podiumsdiskussion, die der Öffentlichkeit innerhalb der Grenzen der verfügbaren Plätze zugänglich war und zusätzlich per Streaming übertragen sowie später als Podcast sowie auf einem Youtube-Kanal veröffentlicht worden ist (EuGH 04.10.2024, C-446/21, Rn 78); ebenso bei der Aufnahme personenbezogener Daten in der Ergebnisliste einer Suchmaschine (EuGH 24.09.2019, C‑136/17, Rn 53).
Im gegenständlichen Fall hat die Beschwerdeführerin den Laborbefund an der Außenseite einer Tür angebracht, die zu einem öffentlichen zugänglichen Gang eines Amtshauses führt, der regelmäßig sowohl durch Mitarbeiter:innen des Beschwerdeführers, als auch von Personen benutzt wird, die nicht beim Beschwerdeführer tätig sind. Damit hat die mitbeteiligte Partei eine Handlung gesetzt, die ihren Laborbefund der Öffentlichkeit zugänglich macht; die vom EuGH geforderte breite Öffentlichkeit, liegt damit aber nicht vor, zumal die Anzahl der potentiellen externen Besucher:innen und Mitarbeiter:innen begrenzt ist.
3.6. Der Beschwerdeführer kann sich auch auf keinen anderen Ausnahmetatbestand des Art 9 Abs 2 DSGVO stützen. Insbesondere kann er sich, wie die belangte Behörde zutreffend ausgeführt hat, nicht auf den Schutz lebenswichtige Interessen der mitbeteiligten Partei iSd Art 9 Abs 2 lit c DSGVO berufen, weil es sich beim Verlust dienstrechtlicher Ansprüche um wirtschaftliche, nicht jedoch um lebenswichtige Interessen der mitbeteiligten Partei handelt.
3.7. Zur Erforderlichkeit der Weiterleitung des Lichtbildes des Laborbefundes:
Selbst wenn man annehmen würde, dass die Verarbeitung der Gesundheitsdaten der mitbeteiligten Partei auf Grund des Aushanges des Befundes nach Art 9 Abs 1 lit e DSGVO zulässig wäre, wäre dem Beschwerdeführer nicht geholfen:
So muss eine Datenverarbeitung auch dann, wenn sie nicht dem Verarbeitungsverbot des Art 9 DSGVO unterliegt, die Grundsätze für die Verarbeitung personenbezogener Daten des Art 5 DSGVO erfüllen (vgl EuGH 24.09.2019, C‑136/17, Rn 64). Nach Art 5 Abs 1 lit c DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.
Im gegenständlichen Fall hat der Beschwerdeführer das Lichtbild des Laborbefundes an die Tochter der mitbeteiligten Partei weitergeleitet, um die Tochter dazu zu bringen, zwischen der Mutter und dem Beschwerdeführer zu vermitteln, damit die Mutter ihre Kündigung zurückzieht.
Dafür wäre es aber ausreichend gewesen, die Tochter über die Kündigung der Mutter zu informieren und sie um Vermittlung zu ersuchen; uU wäre es auch erforderlich gewesen, die Tochter darüber zu informieren, dass die Mutter einen sie betreffenden Laborbefund in einem öffentlich zugänglichen Bereich, nämlich an der Außenseite ihrer Bürotür, aufgehängt hat. Keinesfalls wäre es allerdings erforderlich gewesen, der Tochter den Inhalt des Laborbefundes zukommen zu lassen.
3.8. Die Weiterleitung des Lichtbildes eines Laborbefundes betreffend die mitbeteiligte Partei an die Tochter der mitbeteiligten Partei erweist sich somit als rechtswidrig.
3.9. Die belangte Behörde hat daher zu Recht eine Verletzung im Recht der Geheimhaltung der mitbeteiligten Partei durch den Beschwerdeführer festgestellt, weshalb die dagegen gerichtete Beschwerde abzuweisen war.
3.10. Da bereits auf Grund des als wahr unterstellten Vorbringens des Beschwerdeführers die Beschwerde abzuweisen war, konnte gemäß § 24 Abs 4 DSG von einer Verhandlung abgesehen werden.
3.11. Es war daher spruchgemäß zu entscheiden.
Zu B) (Un)Zulässigkeit der Revision:
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Einerseits konnte sich das Verwaltungsgericht bei der Entscheidung auf die jeweils zitierte Judikatur des EuGH stützen, anderseits war die Rechtlage – in Bezug auf das Erfordernis einer ausdrücklichen Einwilligung für die Anwendung des Art 9 Abs 2 lit a DSGVO – eindeutig.
Rückverweise
