Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger und die Hofräte Dr. Mayr sowie Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Schara, über die Revision der Datenschutzbehörde in Wien, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 16. Juli 2019, Zl. W101 2135622 1/15E, betreffend Beschwerde nach dem Datenschutzgesetz 2000 (mitbeteiligte Parteien: 1. Magistrat der Landeshauptstadt Salzburg in 5024 Salzburg, Mirabellplatz 4, und 2. S H in S), den Beschluss gefasst:
Die Revision wird zurückgewiesen.
Der Antrag der erstmitbeteiligten Partei auf Aufwandersatz wird abgewiesen.
1 Unstrittig wurde dem Verwaltungsverfahren des Bürgermeisters der Stadt Salzburg über den Antrag des Zweitmitbeteiligten vom 2. Februar 2015 wegen Bedarfsorientierter Mindestsicherung eine das Geburtsdatum des Zweitmitbeteiligten enthaltende Aktenzahl zugeordnet.
2Mit Teilbescheid vom 28. Juli 2016 gab die Datenschutzbehörde (im Folgenden: Amtsrevisionswerberin) der Datenschutzbeschwerde nach § 31 Abs. 2 Datenschutzgesetz 2000 (DSG 2000) des Zweitmitbeteiligten vom 5. Jänner 2016 (bei der Amtsrevisionswerberin eingelangt am 7. Jänner 2016) hinsichtlich des Magistrats der Stadt Salzburg (erstmitbeteiligte Partei) Folge und stellte fest, dass die erstmitbeteiligte Partei den Zweitmitbeteiligten dadurch, dass sie dem Zweitmitbeteiligten für Zwecke von Verfahren betreffend Leistungen der Bedarfsorientierten Mindestsicherung näher genannte Aktenzahl, die das Geburtsdatum des Zweitmitbeteiligten enthalte, zugewiesen und automationsunterstützt verarbeitet habe, im Recht auf Geheimhaltung personenbezogener Daten verletzt habe (Spruchpunkt 1.). Im Übrigen wies die Amtsrevisionswerberin die Datenschutzbeschwerde des Zweitmitbeteiligten gegen das Amt der Salzburger Landesregierung ab (Spruchpunkt 2.).
3Begründend führte die Amtsrevisionswerberin zusammengefasst aus, der erstmitbeteiligten Partei komme als Geschäftsapparat der für die verwaltungsbehördliche Entscheidung über Ansprüche des Zweitmitbeteiligten zuständigen Bezirksverwaltungsbehörde gemäß § 4 Z 4 5. Fall DSG 2000 auftraggeberische Verantwortung zu. Die erstmitbeteiligte Partei habe die Entscheidung getroffen, das Geburtsdatum des Zweitmitbeteiligten als Bestandteil der diesem zugeordneten Aktenzahl zu speichern. Ob diese Form der Bildung einer Aktenzahl in irgendeiner Weise (etwa von einem hierarchisch übergeordneten Betreiber oder technisch durch den Softwarehersteller) vorgegeben gewesen sei, sei in diesem Zusammenhang nicht entscheidend.
Gründe, warum die Verwendung des Geburtsdatums in der Aktenzahl notwendig sei, seien von den Beschwerdegegnern nicht angegeben worden. Diese Datenanwendung widerspreche dem in § 6 Abs. 1 Z 3 DSG 2000 (in Umsetzung von Art. 6 Abs. 1 lit. c der EUDatenschutzrichtlinie 95/46/EG) festgelegten Grundsatz der Datensparsamkeit und dem Grundsatz des gelindesten Mittels gemäß § 7 Abs. 3 DSG 2000. Zwar ermächtige § 39 Abs. 1 Salzburger Mindestsicherungsgesetz (Sgb. MSG) die Verwaltungsbehörde zur Verarbeitung des Geburtsdatums des Zweitmitbeteiligten. Dies sei verfassungskonform so zu verstehen, dass das Geburtsdatum eines Antragstellers als Identifikator, etwa zur Vermeidung von Personenverwechslungen bei Namensgleichheit, verarbeitet werden dürfe. Diese Ermächtigung umfasse jedoch nicht den Zweck, aus dem Geburtsdatum ein Kennzeichen für ein bestimmtes Verwaltungsverfahren zu bilden. Eine ausdrückliche gesetzliche Ermächtigung zu einem solchen Eingriff in das Grundrecht auf Geheimhaltung finde sich im Sbg. MSG (anders als etwa in § 31 Abs. 4 Z 1 ASVG für die ähnlich aufgebaute Sozialversicherungsnummer) nicht. Es sei auch nicht erkennbar, inwieweit die Bildung einer Aktenzahl aus dem Geburtsdatum eines Antragstellers für die erstmitbeteiligte Partei gemäß § 8 Abs. 3 Z 1 DSG 2000 eine wesentliche Voraussetzung für die Wahrnehmung einer ihr gesetzlich übertragenen Aufgabe sein solle. Es liege demnach ein Eingriff in das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG 2000 vor.
Hingegen sei das Amt der Salzburger Landesregierung nicht aus Gründen der gesetzlichen Zuständigkeit mit der Führung des den Zweitmitbeteiligten betreffenden Verwaltungsverfahrens nach dem Sbg. MSG befasst, sondern lediglich der Geschäftsapparat der sachlich in Betracht kommenden Oberbehörde. Darauf gründe sich keine datenschutzrechtliche (auftraggeberische) Verantwortung für die Datenverwendung im den Zweitmitbeteiligten betreffenden Verwaltungsverfahren.
4 Der dagegen erhobenen Beschwerde der erstmitbeteiligten Partei gab das Bundesverwaltungsgericht (Verwaltungsgericht) mit dem angefochtenen Erkenntnis hinsichtlich Spruchpunkt 1. Folge und änderte diesen dahin ab, dass die Datenschutzbeschwerde hinsichtlich der erstmitbeteiligten Partei als unbegründet abgewiesen werde (Spruchpunkt A)I.). Im Übrigen wies das Verwaltungsgericht die Beschwerde der erstmitbeteiligten Partei als unzulässig zurück (Spruchpunkt A)II.) und sprach aus, dass die Revision nicht zulässig sei (Spruchpunkt B)).
5 Das Verwaltungsgericht führte im Wesentlichen begründend aus, dass § 69 Abs. 4 Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (DatenschutzgesetzDSG) keine Übergangsbestimmungen bezüglich der anhängigen Verfahren in Datenschutzangelegenheiten vor dem Bundesverwaltungsgericht enthalte, weshalb die zum Zeitpunkt der Entscheidung geltende Rechtslage anzuwenden sei.
Die erstmitbeteiligte Partei sei ausgehend von § 39a Abs. 1 Sbg. MSG, wonach die Landesregierung und die Bezirksverwaltungsbehörden ermächtigt seien, personenbezogene Daten als „gemeinsam Verantwortliche“ gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO gemeinsam zu verarbeiten (Soziales Informationssystem), für die Führung von Aktenzahlen mit inkludiertem Geburtsdatum datenschutzrechtlicher Verantwortlicher iSd Begriffsbestimmung des Art. 4 Z 7 DSGVO und zwar gemeinsam mit dem Amt der Salzburger Landesregierung.
Ausgehend vom unstrittigen Sachverhalt sei bei dem in der Aktenzahl enthaltenen Geburtsdatum zwar ein mittelbarer Personenbezug zum Zweitmitbeteiligten, nicht jedoch ein unmittelbarer Personenbezug möglich.
In § 39 Abs. 2 und § 39a Abs. 2 Sbg. MSG sei das Geburtsdatum als eines von mehreren personenbezogenen Daten festgelegt, das von der erstmitbeteiligten Partei als datenschutzrechtlich Verantwortlicher zum Zweck der Leistungszuerkennung verarbeitet werden dürfe. Durch die Ermächtigung zur Verarbeitung des Geburtsdatums habe der Gesetzgeber bereits eine Interessenabwägung zugunsten des Verantwortlichen getroffen.
Die ins Treffen geführten Argumente der erstmitbeteiligten Partei, die Verwendung einer Aktenzahl mit inkludiertem Geburtsdatum sei in einem Mindestsicherungsverfahren auch im Interesse der Antragsteller bzw. Leistungsempfänger zur leichteren (und damit auch rascheren) Bearbeitung und zur Vermeidung von Verwechslungen bei Namensgleichheit geboten, seien überzeugend und nachvollziehbar. Die Führung einer Aktenzahl mit inkludiertem Geburtsdatum diene ausschließlich dem internen Gebrauch der leichteren Bearbeitung und damit rascheren Leistungszuerkennung iSd Sbg. MSG und sei daher als angemessen iSd Grundsatzes der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO anzusehen. Die Zuweisung einer Aktenzahl mit inkludiertem Geburtsdatum und deren automationsunterstützte Verarbeitung sei auf der Grundlage des § 39c Abs. 1 Sbg. MSG für die Wahrnehmung der Aufgabe der erstmitbeteiligten Partei im öffentlichen Interesse nach Art. 6 Abs. 1 lit. e und Abs. 3 DSGVO erforderlich. Der Zweitmitbeteiligte sei daher durch die Zuweisung der sein Geburtsdatum beinhaltenden Aktenzahl für sein Mindestsicherungsverfahren und durch deren automationsunterstützte Verarbeitung im internen Gebrauch nicht im Grundrecht auf Geheimhaltung personenbezogener Daten verletzt worden.
Da sich Spruchpunkt 2. des angefochtenen Bescheides nicht an die erstmitbeteiligte Partei richte, mangle es dieser an der Beschwerdelegitimation.
6 Ausschließlich gegen Spruchpunkt A)I. des angefochtenen Erkenntnisses richtet sich die vorliegende außerordentliche Amtsrevision. Die erstmitbeteiligte Partei beantragte in ihrer nach Einleitung des Vorverfahrens eingebrachten Revisionsbeantwortung die Abweisung der Revision gegen Aufwandersatz. Der Zweitmitbeteiligte erstattete keine Revisionsbeantwortung.
7 Nach Art. 133 Abs. 4 B VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
8Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Art. 133 Abs. 4 B VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.
9Nach § 34 Abs. 1a VwGG hat der Verwaltungsgerichtshof die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 BVG im Rahmen der dafür in der Revision vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen.
10 Die Amtsrevision bringt zu ihrer Zulässigkeit zunächst vor, das Verwaltungsgericht habe zu Unrecht die zum Entscheidungszeitpunkt geltende Rechtslage angewendet.
11Das Verwaltungsgericht ist von einer Maßgeblichkeit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DatenschutzGrundverordnung [im Folgenden: DSGVO]) sowie des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 24/2018, ausgegangen und hat dies mit der Übergangsbestimmung des § 69 Abs. 4 DSG begründet.
12Dem angefochtenen Erkenntnis liegt eine datenschutzrechtliche Beschwerde des Zweitmitbeteiligten betreffend eine behauptete Verletzung im Recht auf Geheimhaltung wegen Zuweisung einer das Geburtsdatum des Zweitmitbeteiligten enthaltenden Aktenzahl durch die erstmitbeteiligte Partei für das Verfahren über den Antrag des Zweitmitbeteiligten vom 2. Februar 2015 wegen Bedarfsorientierter Mindestsicherung, also eines Vorgangs mehr als drei Jahre vor Inkrafttreten der DSGVO und des DSG, zugrunde. Die datenschutzrechtliche Beschwerde des Zweitmitbeteiligten vom 5. Jänner 2016 langte bei der Datenschutzbehörde am 7. Jänner 2016 ein. Die gegen den Teilbescheid der Datenschutzbehörde vom 28. Juli 2016 erhobene Beschwerde stammt vom 29. August 2016.
13Ausgehend von diesen Verfahrensdaten kann zur Rechtsfrage, ob für die in Beschwerde gezogene Zuweisung einer das Geburtsdatum des Zweitmitbeteiligten enthaltende Aktenzahl die zum Zeitpunkt dieses Vorgangs geltende Rechtslage, also das Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 83/2013, oder die Rechtslage zum Zeitpunkt der Entscheidung durch das Verwaltungsgericht, also nach Inkrafttreten der DSGVO und des DSG, maßgeblich ist, gemäß § 43 Abs. 2 VwGG auf die Ausführungen im Erkenntnis des Verwaltungsgerichtshofes vom 23. Februar 2021, Ra 2019/04/0054, Rn. 23 bis 29, verwiesen werden. Demnach ist in einem Fall, in dem wie vorliegend darüber abzusprechen ist, was zu einem konkreten vor Inkrafttreten der DSGVO und des DSG gelegenen Zeitpunkt rechtens ist, die zu diesem Zeitpunkt geltende Rechtslage, also das DSG 2000 idF BGBl. I Nr. 83/2013 bzw. das Salzburger Mindestsicherungsgesetz (Sbg. MSG) LGBl. Nr. 63/2010 idF LGBl. Nr. 90/2014 (nunmehr Salzburger SozialunterstützungsgesetzSUG), anzuwenden.
14Das Verwaltungsgericht hat demgegenüber zu Unrecht den maßgeblichen Sachverhalt nicht nach der zum Zeitpunkt des in Beschwerde gezogenen vor dem Inkrafttreten der DSGVO und des DSG gelegenen und abgeschlossenen Vorgangs, sondern nach der zum Entscheidungszeitpunkt geltenden Rechtslage beurteilt.
15Die Amtsrevisionswerberin zeigt in diesem Zusammenhang jedoch nicht auf, dass der unstrittige, vom Verwaltungsgericht seiner Entscheidung zugrunde gelegte Sachverhalt unter Anwendung des DSG 2000 in der zum Zeitpunkt der Zuweisung der das Geburtsdatum des Zweitmitbeteiligten enthaltenden Aktenzahl geltenden Fassung im Ergebnis rechtlich anders zu beurteilen wäre. Vielmehr blieb die hier wesentliche Bestimmung des § 1 Abs. 2 DSG 2000 und der im letzten Satz dieser Bestimmung normierte Grundsatz, dass jeder Eingriff in das Grundrecht auf Datenschutz jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden darf, auch nach Inkrafttreten des DSG unverändert. Ebenso entspricht Art. 6 Abs. 1 DSGVO über die Rechtmäßigkeit der Verarbeitung weitestgehend Art. 7 DSRL, der in Österreich durch § 8 DSG 2000 umgesetzt wurde. Die Rechtslage nach dem DSG 2000 hat sich durch Art. 6 Abs. 1 DSGVO betreffend den vorliegend maßgeblichen Zulässigkeitstatbestand des § 8 Abs. 3 Z 1 DSG 2000 nicht geändert (vgl. Knyrim , Der DatKomm, 39. Lfg., Art. 6 DSGVO Rn. 10).
16Im Übrigen verweist die Amtsrevision auf die seit Inkrafttreten des DSG 2000 unverändert in Geltung stehende Verfassungsbestimmung des § 1 Abs. 2 letzter Satz DSG. Entsprechend dem Vorbringen der Amtsrevisionswerberin im Beschwerdeverfahren vor dem Verwaltungsgericht wäre der erstmitbeteiligten Partei mit dem System der bereichsspezifischen Personenkennzeichen gemäß §§ 9 ff EGovG ein gesetzlich vorgezeichnetes gelinderes Mittel iSd § 1 Abs. 2 letzter Satz DSG zur Verfügung gestanden, um den Zweitmitbeteiligten innerhalb eines Verwaltungsbereichs sicher und ohne Offenlegung personenbezogener Daten verfahrensübergreifend zu identifizieren, und damit das Ziel der ordnungsgemäßen Verwaltungsführung iSd § 8 Abs. 3 Z 1 DSG 2000 (nunmehr Art. 6 Abs. 1 lit. e DSGVO) zu erreichen.
17Nach der Rechtsprechung des Verfassungsgerichtshofes ist die Ermittlung und Verwendung personenbezogener Daten durch Eingriffe einer staatlichen Behörde wegen des Gesetzesvorbehalts des § 1 Abs. 2 DSG 2000 nur auf Grund von Gesetzen zulässig, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind und ausreichend präzise, also für jedermann vorhersehbar regeln müssen, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben zulässig ist. Die Grundkonstruktion des Eingriffsvorbehalts des § 1 Abs. 2 DSG 2000 geht somit davon aus, dass der Gesetzgeber in der jeweiligen materiengesetzlichen Regelung die Voraussetzungen und Grenzen zulässiger Eingriffe in das Recht auf Datenschutz durch staatliche Auftraggeber festzulegen, zu konkretisieren und zu begrenzen hat (vgl. zu alldem VwGH 28.2.2018, Ra 2015/04/0087, Rn. 22, mwN). In der Folge verpflichten insbesondere die Anforderungen aus dem Verhältnismäßigkeitsgebot des § 1 Abs. 2 letzter Satz DSG 2000 die so ermächtigten Behörden, die je und je konkrete Datenermittlung und verwendung jeweils nur in der gelindesten, zum Ziel führenden Art vorzunehmen (vgl. VfGH 29.9.2012, B 54/12, ua.).
18 Vorliegend regelte zum maßgeblichen Zeitpunkt der Zuweisung der das Geburtsdatum des Zweitmitbeteiligten beinhaltenden Aktenzahl § 39 Abs. 1 und 2 Sbg. MSG in der Stammfassung LGBl. Nr. 63/2010 die Voraussetzungen für die Ermittlung bzw. Verwendung personenbezogener Daten zum Zweck der Feststellung der Voraussetzungen oder der Höhe einer Leistung der Bedarfsorientierten Mindestsicherung oder von Rückerstattungs- oder Ersatzpflichten. Demnach durften zu diesem Zweck die zur Besorgung der Aufgaben nach dem Sbg. MSG erforderlichen Daten wie etwa vorliegend wesentlich das Geburtsdatum des Zweitmitbeteiligten als „Hilfe suchende Person“ iSd Sbg. MSG automationsunterstützt verwendet werden.
19Nach der in der Amtsrevision unbekämpft gebliebenen Feststellung des Verwaltungsgerichts ist die Verwendung einer Aktenzahl mit darin enthaltenem Geburtsdatum in Verfahren wegen Bedarfsorientierter Mindestsicherung zur leichteren und rascheren Bearbeitung und zur Vermeidung von Verwechslungen bei Namensgleichheit geboten und dient daher der rascheren Leistungszuerkennung. Die Zuweisung einer das Geburtsdatum des Zweitbeklagten behaltenden Aktenzahl zu dessen verwaltungsbehördlichen Verfahren wegen Bedarfsorientierter Mindestsicherung entspricht daher dem Datenverarbeitungszweck iSd § 39 Abs. 1 Sbg. MSG und erfüllt diese Datenanwendung den Zulässigkeitstatbestand des § 8 Abs. 3 Z 1 DSG 2000.
20 Gemäß § 9 Abs. 1 E GovG in der hier maßgeblichen Fassung BGBl. I Nr. 7/2008 dient das bereichsspezifische Personenkennzeichen der Identifikation einer betroffenen natürlichen Person in einem bestimmten staatlichen Tätigkeitsbereich. Für den Fall des Kontakts eines Betroffenen mit einer Behörde setzte die Erzeugung eines bereichsspezifischen Personenkennzeichens eines Betroffenen im elektronischen Verfahren gemäß § 10 Abs. 1 EGovG idF BGBl. I Nr. 7/2008 den Einsatz der Bürgerkarte voraus. Bezogen auf den hier maßgeblichen Zeitpunkt der Zuweisung der das Geburtsdatum des Zweitmitbeteiligten beinhaltenden Aktenzahl war die Erzeugung eines bereichsspezifischen Personenkennzeichens für Parteien eines Verfahrens wegen Bedarfsorientierter Mindestsicherung im Falle der Kontaktaufnahme mit der Behörde nur möglich, wenn diese sich mittels Bürgerkarte elektronisch an die Behörde wandten, nicht jedoch wenn die Parteien auf sonstige Weise ihre Anbringen einbrachten bzw. grundsätzlich über keine Bürgerkarte verfügten.
21 Mit dem Hinweis auf die Verwendung eines bereichsspezifischen Personenkennzeichens gemäß §§ 9 ff EGovG zeigt die Amtsrevisionswerberin daher im Vergleich zur Verwendung eines das Geburtsdatum von Betroffenen beinhaltendes Aktenzeichens für Verwaltungsverfahren wegen Bedarfsorientierter Mindestsicherung für den Zweck des rascheren Auffindens von Akten und der rascheren Aktenbearbeitung für den Fall der Kontaktaufnahme einer Partei mit der Behörde kein gelinderes zum Ziel führendes Mittel iSd § 1 Abs. 2 letzter Satz DSG 2000 auf.
22 In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinne des Art. 133 Abs. 4 B VG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.
23Der Ausspruch über den Aufwandersatz beruht auf den §§ 47 ff VwGG, insbesondere § 48 Abs. 3 Z 2 (iVm § 51) VwGG. Danach hat ein Mitbeteiligter nur Anspruch auf Ersatz des Aufwandes, der für ihn mit der Einbringung des Schriftsatzes durch einen Rechtsanwalt (Steuerberater oder Wirtschaftsprüfer) verbunden war. Für die von ihr selbst verfasste und nicht durch einen Rechtsanwalt eingebrachte Revisionsbeantwortung kommt der erstmitbeteiligten Partei daher kein Anspruch auf Ersatz des Schriftsatzaufwandes zu (vgl. VwGH 20.10.2016, Ro 2014/13/0010, Rn. 5; sowie in Bezug auf von einer Gebietskörperschaft als mitbeteiligte Partei eingebrachte Gegenschrift nach der diesbezüglich im Wesentlichen gleichen Rechtslage vor der Verwaltungsgerichtsbarkeits Novelle 2012 etwa VwGH 20.9.2012, 2008/07/0183; 14.10.2015, 2013/17/0232; 29.9.2016, 2013/07/0152, Rn. 40).
Wien, am 2. September 2021
Rückverweise
RIS