W605 2273359-1 – BVwG Entscheidung

W605 2273359-1/6E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch Richterin Mag.a Julia LUDWIG als Vorsitzende und die fachkundige Laienrichterin Dr.in Barbara FELLNER-RESCH und den fachkundigen Laienrichter Mag. Florian SCHULTES, LL.M. über die Beschwerde des Amtes der XXXX Landesregierung, vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG, 1010 Wien, gegen den Bescheid der Datenschutzbehörde vom 24.01.2023, XXXX , (Mitbeteiligte: DEVICH Herlinde, vertreten durch Dr. Andreas Fussenegger, LL.M., 6850 Dornbirn) zu Recht erkannt:

A) Der Beschwerde wird Folge gegeben und Spruchpunkt 1. des Bescheides ersatzlos behoben.

B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang

1. Dem Verfahren liegt der Versand von Impferinnerungsschreiben zu Grunde, die im Namen der Gesundheitsreferentin der XXXX Landesregierung, der Ärztinnen und XXXX sowie diverser Sozialversicherungsträger Ende November 2021 an Personen über 18 Jahre mit Wohnsitz in XXXX gesendet worden sind, die keine Schutzimpfung gegen COVID-19 erhalten hatten. Dagegen beschwerten sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatten, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei.

Zu klären war in diesem Zusammenhang unter anderem, wer als datenschutzrechtlich verantwortlich für diese Datenverarbeitungen zu sehen ist. Das Bundesverwaltungsgericht hat ua mit Leitentscheidung vom 31.01.2023, GZ W258 2263074-1/7E, nach Durchführung einer mündlichen Beschwerdeverhandlung den do. gegenständlichen Bescheid – infolge des Führens des Verwaltungsverfahrens gegen den Beschwerdeführer als Beschwerdegegner ohne bzw. unter ungeklärter Deckung im Rechtsschutzantrag der jeweiligen mitbeteiligten Partei – ersatzlos behoben. Die Entscheidung wurde vom Verwaltungsgerichtshof mit Erkenntnis vom 27.06.2023, Ro 2023/04/0013, bestätigt.

2. Das gegenständliche Verfahren betrifft eines dieser Beschwerdeverfahren:

Mit Eingabe vom 28.10.2022 brachte die mitbeteiligte Partei (Beschwerdeführerin im Administrativverfahren) eine Datenschutzbeschwerde bei der belangten Behörde ein und brachte sinngemäß und auf das Wesentlichste zusammengefasst vor, die Absender des begelegten Impfaufforderungsschreibens, näher genannt XXXX , das Land XXXX , XXXX , die XXXX , XXXX , die XXXX , der XXXX und die XXXX , hätten sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt, indem sie ihr Ende 2021 ein persönlich adressiertes Impferinnerungsschreiben ohne Rechtsgrundlage zugesendet hätten, wodurch sie sich in ihrem Recht auf Achtung des Privatlebens sowie im Recht auf Geheimhaltung ihrer personenbezogenen Gesundheitsdaten als verletzt erachte.

Weiters stellte die mitbeteiligte Partei einen Antrag, die Datenverarbeitung zu untersagen und eine Geldbuße zu erteilen.

3. Der Beschwerdeführer im hg. Verfahren brachte in einem der Parallelverfahren sinngemäß vor, er sei in Bezug auf die verfahrensgegenständliche Datenverarbeitung alleiniger Verantwortlicher. Die XXXX habe über Auftrag der XXXX , die wiederrum im Auftrag des Beschwerdeführers tätig gewesen sei, die Empfänger des Impferinnerungsschreiben dadurch ermittelt, indem sie über den zentralen Patientenindex alle Personen erhoben habe, die über eine Adresse in XXXX verfügt hätten und über 18 Jahre alt gewesen seien. Im Anschluss seien alle jene Personen herausgefiltert worden, die über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügt hätten. Der Beschwerdeführer könne die Datenverarbeitung auf Art 9 Abs. 2 lit g und i DSGVO iVm dem Gesundheitstelematikgesetz, insbesondere mit § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG und den gesetzlichen Zuständigkeitsregelungen, wie insbesondere dem Reichssanitätsgesetz und dem Übergangsgesetzes 1920, stützen.

4. Die belangte Behörde stellte der mitbeteiligten Partei das Vorbringen des Beschwerdeführers (im Parallelverfahren) zu, hielt ua. sinngemäß fest, dass sie auf Grund des Vorbringens das Verfahren gegen das Amt der XXXX Landesregierung als datenschutzrechtlicher Verantwortlichen und damit als Beschwerdegegner führe und räumte ihr ein, binnen zwei Wochen dazu Stellung zu nehmen. Hierzu langte eine Stellungnahme ein, in der die mitbeteiligte Partei die Ausführungen des Amtes der XXXX Landesregierung bestritt.

5. Mit Bescheid vom 24.01.2023, GZ XXXX , gab die belangte Behörde der Beschwerde insoweit statt als sie feststellte, dass der „[der Beschwerdegegner] die [mitbeteiligte Partei] dadurch in ihrem Recht auf Geheimhaltung verletzt [habe], indem [er] unrechtmäßig auf ihre Daten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet [habe]“ (Spruchpunkt 1.).

Im Übrigen wies sie die Beschwerde ab und wies auch die Anträge, die Datenverarbeitung zu untersagen und eine Geldbuße zu erteilen, ab bzw. zurück (Spruchpunkte 2. bis 4.).

6. Gegen den stattgebenden Teil des Bescheides zu Spruchpunkt 1. richtet sich die hier gegenständliche Beschwerde vom 09.02.2023 wegen Rechtswidrigkeit. Die Übrigen Spruchpunkte 2. bis 4. erwuchsen in Rechtskraft.

7. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsaktes dem erkennenden Gericht vor und brachte vor, die Ausführungen des Beschwerdeführers, dass nicht er, sondern der Landeshauptmann der Verantwortliche des Impfschreibens gewesen wäre, seien mit dem Layout des Impferinnerungsschreibens und seinem Vorbringen im Administrativverfahren nicht vereinbar.

8. Die mitbeteiligte Partei nahm dazu mit hg. Am 15.06.2023 eingelangten Schriftsatz Stellung.

9. UA mit Erkenntnis des Bundesverwaltungsgerichtes vom 31.01.2023, GZ W258 2263074-1/7E, hat das Bundesverwaltungsgericht ein Leiterkenntnis in Sachen „Impferinnerungsschreiben XXXX “ gefällt.

10. Der Verwaltungsgerichtshof hat über die Revision gegen ua die hg Entscheidung vom 31.01.2023, GZ W258 2263074-1/7E, mit Erkenntnis vom 27.06.2023, Ro 2023/04/0013, entschieden.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Der folgende Sachverhalt steht fest:

Zur Datenschutzbeschwerde:

Die Beschwerdeführende Partei richtete eine Datenschutzbeschwerde an die belangte Behörde, in der sie explizit nachfolgende Beschwerdegegner:innen benannte:

 XXXX , MBA, pA Amt der XXXX Landesregierung, XXXX

 Land XXXX , pA Amt der XXXX Landesregierung, XXXX

 XXXX , pA XXXX , Körperschaft des öffentlichen Rechts, XXXX

 XXXX , Körperschaft des öffentlichen Rechts, XXXX

 XXXX , pA Hauptstelle der XXXX

 XXXX

 XXXX

 XXXX

Der Beschwerdeführer wurde in der verfahrenseinleitenden Datenschutzbeschwerde nicht als Beschwerdegegner bezeichnet.

Der Beschwerde war das an die mitbeteiligte Partei adressierte Impferinnerungsschreiben beigefügt und war dies wie folgt ausgestaltet:

„Jetzt anmelden www. XXXX .at/ XXXX impft 0800 201 361 [Logo „ XXXX impft.“]

P XXXX Prio Brief

Retouren XXXX

[1. Optionsfeld: Name und Adresse der mitbeteiligten Partei]

Ihr persönlicher Termin für die COVID-Schutzimpfung ist da!

Die COVID-Schutzimpfung ist derzeit die wichtigste Maßnahme, um die Pandemie zu beherrschen und ein weitgehend normales Leben wieder zu ermöglichen. Das Europäische Gremium für Gesundheit sowie das Nationale Impfgremium empfehlen ausdrücklich die COVID-Schutzimpfung.

Warum ist diese Impfung so wichtig?

Durch die Impfung sinkt nachweislich das persönliche Risiko bei einer Infektion einen schweren Erkrankungsverlauf zu erleiden und somit auch das Risiko eines damit verbundenen Aufenthalts auf einer Intensivstation bzw. zu versterben. Auch die Gefahr an Long-COVID zu erkranken (das ist auch bei einem leichten Verlauf durchaus möglich) wird stark reduziert. Sie schützen mit der Impfung aufgrund des geringeren Erkrankungsrisikos nicht nur sich persönlich, sondern auch Ihre Mitmenschen.

Zum Schutz Ihrer eigenen Gesundheit und damit Sie auch in Zukunft problemlos einen normalen Alltag führen können, wurde für Sie eine COVID-Schutzimpfung reserviert:

[2. Optionsfeld: Impftermin und Impfort]

Wir laden Sie ein, von diesem Angebot Gebrauch zu machen.

Wenn Sie am oben genannten Termin keine Zeit haben, können Sie auch einen Alternativtermin online unter www. XXXX .at/ XXXX impft oder telefonisch unter XXXX buchen. Diese gilt auch, wenn Sie akut erkrankt sind oder z.B. aufgrund einer anderen Therapie diesen Termin nicht wahrnehmen können. Im Falle, dass Sie sich inzwischen haben impfen lassen, bedanken wir uns bei Ihnen dafür!

Sollte Ihnen bekannt sein, dass für Sie aus medizinischen Gründen (Gegenanzeigen) eine COVID-Impfung nicht möglich ist, so erachten Sie das vorliegende Schreiben bitte als gegenstandslos. Wenn Sie unsicher sind, ob Sie gegen COVID geimpft werden können, so empfehlen wir zur Abklärung ein ärztliches Aufklärungs-/Beratungsgespräch zu nutzen.

Bringen Sie zur Impfung bitte Ihren Lichtbildausweis und – wenn vorhanden – Ihre E-Card mit.

Unter den Unterschriften scheinen die folgenden Logos auf:

2. Die Feststellungen ergeben sich aus der folgenden Beweiswürdigung:

2.1. Die Feststellungen zum Verfahrensgang gründen auf dem unbedenklichen (einbezogenen) Verwaltungsakt.

2.2. Der Inhalt der dem Verfahren zugrundeliegenden Datenschutzbeschwerde und des beiliegenden Impferinnerungsschreibens ergibt sich unzweifelhaft aus der im Verwaltungsakt befindlichen Eingabe der mitbeteiligten Partei. Aus diesem geht klar hervor, dass die mitbeteiligte Partei im Rahmen einer Auflistung explizit die og. natürlichen und juristischen Personen als Beschwerdegegner bezeichnete. Ebenso unzweifelhaft ersichtlich ist, dass der hg. Beschwerdeführer hierbei nicht aufgelistet ist.

Die Feststellungen zum Inhalt und zur namentlichen Adressierung des Schreibens gründen auf dem vorgelegten und im Akt befindlichen Impferinnerungsschreiben.

3. Rechtlich folgt daraus:

Zu A)

Die Beschwerde ist zulässig und berechtigt.

3.1. Zur Rechtslage:

3.1.1. Gemäß § 24 Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen ua die DSGVO verstößt. Soweit das der betroffenen Person zumutbar ist, hat die Beschwerde die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner) zu enthalten (§ 24 Abs 2 Z 2 DSG).

3.1.2. Die Feststellung einer Rechtsverletzung einer Person, die nicht als Beschwerdegegner in der Datenschutzbeschwerde genannt war, überschreitet die „Sache“ des Verwaltungsverfahrens (VwGH 25.05.2005 2002/09/0165 mit Verweis auf VwGH 17.01.2000 97/09/0014).

3.1.3. Ist die belangte Behörde der Meinung, dass ein eindeutig bestimmter Beschwerdegegner ihres Erachtens nicht Verantwortlicher für die Datenverarbeitung ist, und das auch nicht im Wege einer vertretbaren Auslegung bereinigt werden kann, hat sie die Datenschutzbeschwerde abzuweisen (VwGH 26.08.2022, Ro 2020/04/0034 Rz 29 bzw. VwGH 18.03.2022, Ro 2020/04/0027 Rz 42).

3.2. Anders als in dem der eingangs erwähnten Entscheidung des Bundesverwaltungsgerichtes vom 31.01.2023, GZ. W258 2263074-1/7E (bestätigt in VwGH vom 27.06.2023, Ro 2023/04/0013), zugrundeliegenden Verfahren, in welchem zwar das „Amt der XXXX Landesregierung“ als Beschwerdegegner bezeichnet war, aber insofern unklar war, dass diese auch als Gegner der Datenschutzbeschwerde intendiert war, da sich in dem beigefügten Impferinnerungsschreiben kein Hinweis auf das Amt der XXXX Landesregierung gefunden hatte, war im hier gegenständlichen Fall das Amt der XXXX Landesregierung nicht einmal als Beschwerdegegner benannt worden.

Die mitbeteiligte Partei hat in ihrer und hier gegenständlichen Datenschutzbeschwerde die von ihr intendierten Beschwerdegegner eindeutig bestimmt. Die Nennung des Amtes der XXXX Landesregierung „pA“ diente lediglich der Adressierung und es ergibt sich daraus gerade nicht, dass die mitbeteiligte Partei das Amt der XXXX Landesregierung als Beschwerdegegner bezeichnen wollte.

Die belangte Behörde hat den Bescheid unbeschadet dessen gegen das Amt der XXXX Landesregierung und somit gegen jemand anderen erlassen als die in der Datenschutzbeschwerde bezeichneten Beschwerdegegner.

Eine Umdeutung des Parteiantrags dahingehend, dass er als Beschwerdegegner auch das Amt der XXXX Landesregierung umfasst, scheidet auf Grund der Gestaltung des Impferinnerungsschreibens, das keinen Hinweis auf das Amt der XXXX Landesregierung enthält, aus. Insbesondere lässt sich von der im Impferinnerungsschreiben genannten Gesundheitsreferentin der XXXX Landesregierung nicht auf ihr (grundsätzlich für sie tätiges) Hilfsorgan Amt der XXXX Landesregierung schließen, weil das Amt der XXXX Landesregierung im datenschutzrechtlichen Sinne mehr als nur ein unselbstständiger Hilfsapparat der Landesregierung sein könnte. So könnte es als „andere Stelle“ selbst Verantwortlicher im Sinne des Art 4 Z 7 DSGVO sein, sofern es Zweck und Mittel der Datenverarbeitung bestimmt bzw. nach dem Unionsrecht oder nationalem Recht als Verantwortlicher benannt wird (Art 4 Z 7 DSGVO), wie es etwa in § 2 Tiroler Datenverarbeitungsgesetz (TDVG) vorgesehen ist.

Ob die belangte Behörde – wie hier – gegenüber der mitbeteiligten Partei erklärt, dass sie das Verfahren gegen jemand anderen als den in der Datenschutzbeschwerde genannten Beschwerdegegner führen, ist ohne Bedeutung, weil die Behörde den Parteiantrag nicht einseitig abändern kann (vgl wiederum VwGH 25.05.2005, 2002/09/0165; eine Überschreitung der „Sache“ des Verwaltungsverfahrens durch die Behörde ist logisch zwingend nur dann möglich, wenn der Behörde gerade nicht die Kompetenz zukommt, den Parteiantrag abzuändern).

Dies trifft vor dem Hintergrund umso mehr zu, als die mitbeteiligte Partei im Rahmen des diesbezüglichen Parteiengehörs vom 30.11.2022 nochmals explizit begehrte, dass die unter Pkt. 1.1. aufgelisteten natürlichen und juristischen Personen aufgefordert würden Stellung zur verfahrensgegenständlichen Datenschutzbeschwerde zu nehmen.

Auch der Verweis der belangten Behörde auf das hg. Erkenntnis vom 30.03.2020, W274 2220424-1, bzw. auf die darin genannte Entscheidung des Verwaltungsgerichtshofes vom 16.09.2009, 2007/05/0188, vermag nicht zu überzeugen, zumal die Entscheidungen die interpretative Ermittlung einer Partei bzw. die Möglichkeit der Richtigstellung einer verfehlten Parteienbezeichnung, nicht jedoch – wie hier – die Änderung einer eindeutig bestimmten Partei zum Inhalt hatten.

Letztlich wäre der Behörde auch nicht geholfen, wenn man davon ausgehen würde, dass die belangte Behörde das Verfahren gegen den Beschwerdeführer von Amts wegen eingeleitet hat und die Feststellung der Rechtswidrigkeit der Datenverarbeitung in Spruchpunkt 1. auf diesem Verfahren gründet. Der Datenschutzbehörde kommt in einem amtswegig eingeleiteten Verfahren nämlich nicht die Kompetenz zu, in einer rechtlich verbindlichen Weise Rechtsverletzungen festzustellen (vgl. jüngst VwGH 01.09.2022, Ra 2022/04/0066 bzw. die Grundsatzentscheidung VwGH 14.12.2021, Ro 2020/04/0032).

3.3. Indem die belangte Behörde den Bescheid gegen jemanden erlassen hat, der nicht von der Datenschutzbeschwerde umfasst war, hat sie die „Sache“ des Verwaltungsverfahrens überschritten, weshalb Spruchpunkt 1. des Bescheides ersatzlos zu beheben war.

3.4. Da bereits auf Grund der Aktenlage feststand, dass Spruchpunkt 1. des bekämpften Bescheides aufzuheben ist, konnte von der Durchführung einer mündlichen Verhandlung gemäß § 24 Abs 2 Z 1 VwGVG abgesehen werden.

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil keine Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Art 133 Abs 4 B-VG zukommt. Zur Frage, unter welchen Voraussetzungen die Nennung eines Beschwerdegegners in einer Datenschutzbeschwerde unzumutbar iSd § 24 Abs 2 Z 2 DSG ist, wie die Datenschutzbehörde in so einem Fall verfahrensrechtlich vorzugehen hat und wie das Bundesverwaltungsgericht zu entscheiden hat, wenn die Datenschutzbehörde einen Verantwortlichen und damit Beschwerdegegner im Administrativverfahren bestimmt hat, gegen diesen Beschwerdegegner einen Bescheid erlässt und sich im Beschwerdeverfahren herausstellt, dass der Beschwerdegegner tatsächlich nicht Verantwortlicher gewesen ist, konnte sich das erkennende Gericht auf die (zitierte) Rechtsprechung des Verwaltungsgerichtshofs stützen (VwGH 27.06.2023, Ro 2023/04/0013).