Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak sowie die Hofräte Dr. Mayr und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 7. Juni 2023, Zl. W258 2263059 1/4E, betreffend eine datenschutzrechtliche Angelegenheit (weitere Partei: Bundesministerin für Justiz; mitbeteiligte Parteien: 1. Amt der Tiroler Landesregierung in Innsbruck, vertreten durch die Baker McKenzie Rechtsanwälte LLP Co KG in 1010 Wien, Schottenring 25, und 2. A H in V), zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit seines Inhaltes aufgehoben.
1Mit Schreiben vom 10. Dezember 2021 erstattete der Zweitmitbeteiligte bei der Datenschutzbehörde (belangte Behörde, Amtsrevisionswerberin) eine Datenschutzbeschwerde wegen Verletzung des Rechts auf Geheimhaltung gemäß § 1 Abs. 1 Datenschutzgesetz (DSG). Die Datenschutzbeschwerde richtete sich laut dem Betreff dieses Schreibens gegen das Land Tirol. In der Begründung führte der Zweitmitbeteiligte aus, er sei mit „Schreiben des Amtes der Tiroler Landesregierung“ (des Erstmitbeteiligten) zu einem Impftermin eingeladen worden. Es ergebe sich der Verdacht, dass dieser Einladung eine unzulässige Weitergabe und Verarbeitung besonders geschützter persönlicher Gesundheitsdaten zugrunde liege.
2 Mit Bescheid vom 22. August 2022 gab die belangte Behörde dieser „gegen das Amt der Tiroler Landesregierung (Beschwerdegegner)“ gerichteten Datenschutzbeschwerde (soweit für die vorliegende Revisionssache relevant) mit Spruchpunkt 1. statt und stellte fest, der Erstmitbeteiligte habe den Zweitmitbeteiligten dadurch in seinem Recht auf Geheimhaltung verletzt, dass er unrechtmäßig auf die Daten des Zweitmitbeteiligten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands des gegenständlichen (Impferinnerungs)Schreibens verarbeitet habe.
3 Die belangte Behörde stellte fest, sie habe (aufgrund einer Vielzahl inhaltlich gleichlautender Datenschutzbeschwerden) den Erstmitbeteiligten zur Abgabe einer Stellungnahme aufgefordert. Dieser habe vorgebracht, er sei der alleinige datenschutzrechtliche Verantwortliche für das gegenständliche Schreiben. Die belangte Behörde habe dem Zweitmitbeteiligten diese Stellungnahme zur Kenntnis gebracht und mitgeteilt, dass das Verfahren aufgrund dieser Ausführungen gegen den Erstmitbeteiligten geführt werde. Im Rahmen des eingeräumten Parteiengehörs habe der Zweitmitbeteiligte keine Stellungnahme erstattet. Da der Erstmitbeteiligte so die belangte Behörde in der Sache die Daten des Zweitmitbeteiligten ohne Vorliegen einer tragenden gesetzlichen Grundlage verarbeitet habe, sei die Datenverarbeitung rechtswidrig gewesen.
4 Dagegen erhob der Erstmitbeteiligte Beschwerde, in der er (ua.) vorbrachte, seine datenschutzrechtliche Verantwortlichkeit habe keine Auswirkungen darauf, dass das Verwaltungshandeln des Erstmitbeteiligten als bloßer Geschäftsapparat, nämlich der Zugriff auf das Impfregister, dem Landeshauptmann (als Vorstand des Amtes der Landesregierung) zuzurechnen sei, der wiederum über eine spezifische Zugriffsberechtigung verfüge.
5 Mit dem angefochtenen Erkenntnis gab das Verwaltungsgericht dieser Beschwerde Folge und behob Spruchpunkt 1. des Bescheides der belangten Behörde ersatzlos. Die Revision wurde für nicht zulässig erklärt.
6 Das Verwaltungsgericht stellte nach Darstellung der Vorgeschichte und unter Hinweis darauf, dass von einer Vielzahl von Empfängern Datenschutzbeschwerden betreffend sogenannte „Impferinnerungsschreiben“ erhoben worden seien fest, der Zweitmitbeteiligte habe in seiner Datenschutzbeschwerde den Beschwerdegegner mit „Land Tirol“ bezeichnet. Anschließend stellte das Verwaltungsgericht das an den Zweitmitbeteiligten gerichtete Impferinnerungsschreiben dar, das im Kopf das (Tiroler) Wappen samt dem Schriftzug „Land Tirol“ sowie die Bezeichnung „Amt der Tiroler Landesregierung“ enthalten habe.
7In seiner rechtlichen Beurteilung verwies das Verwaltungsgericht zunächst auf § 24 Abs. 2 Z 2 DSG, demzufolge die Datenschutzbeschwerde, soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die Rechtsverletzung zugerechnet wird, zu enthalten hat. Die „Feststellung einer Rechtsverletzung einer Person“ (gemeint: durch eine Person), die nicht als Beschwerdegegner in der Datenschutzbeschwerde genannt gewesen sei, überschreite die „Sache“ des Verwaltungsverfahrens. Sei die belangte Behörde der Meinung, dass ein eindeutig bestimmter Beschwerdegegner nicht Verantwortlicher für die Datenverarbeitung sei, habe sie so das Verwaltungsgericht unter Hinweis auf näher zitierte Rechtsprechung des Verwaltungsgerichtshofes die Datenschutzbeschwerde abzuweisen.
Im vorliegenden Fall habe der Zweitmitbeteiligte den Beschwerdegegner eindeutig genannt. Eine Umdeutung des Parteiantrags scheide aus, weil sich von der Gebietskörperschaft „Land Tirol“ nicht auf das Hilfsorgan Amt der Tiroler Landesregierung schließen lasse. Die Erklärung der belangten Behörde, das Verfahren gegen den Erstmitbeteiligten zu führen, sowie der Umstand, dass sich der Zweitmitbeteiligte dazu nicht geäußert habe, seien irrelevant, weil die belangte Behörde den Parteiantrag nicht einseitig abändern könne. Indem die belangte Behörde den Bescheid gegen jemand anderen erlassen habe (nämlich den Erstmitbeteiligten), der nicht von der Datenschutzbeschwerde umfasst gewesen sei, habe sie die „Sache“ des Verwaltungsverfahrens überschritten, weshalb der Bescheid ersatzlos zu beheben gewesen sei.
8 Gegen dieses Erkenntnis richtet sich die außerordentliche Amtsrevision der belangten Behörde.
9 Eine Revisionsbeantwortung wurde in dem vom Verwaltungsgerichtshof eingeleiteten Vorverfahren nicht erstattet.
Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 1 Z 2 VwGG gebildeten Senat erwogen:
10Die Amtsrevisionswerberin bringt zur Zulässigkeit ihrer Revision vor, die Bezeichnung des Beschwerdegegners sei in einer Datenschutzbeschwerde nur gefordert, wenn dies zumutbar sei. Wann dies der Fall sei, sei unbestimmt. Da die Erfüllung der Formalvoraussetzungen des § 24 Abs. 2 DSG Voraussetzung für eine meritorische Entscheidung des Verwaltungsgerichts sei, habe diese Frage erhebliche Auswirkungen. Die „Umdeutung“ des Beschwerdegegners sei nicht nur vertretbar, sondern angesichts der auf die vorliegende Konstellation übertragbaren, zum früheren § 67c Abs. 2 Z 2 AVG bzw. zu § 9 Abs. 4 VwGVG ergangenen (näher bezeichneten) Rechtsprechung des Verwaltungsgerichtshofes sogar geboten gewesen. Demzufolge sei bei einer unrichtigen Parteiangabe infolge Unkenntnis schwieriger Zurechnungsfragen nicht mit Zurückweisung vorzugehen, sondern es sei die Behörde ausfindig zu machen, der ein Verhalten zuzurechnen sei.
11 Die Revision erweist sich vor diesem Hintergrund als zulässig und aus nachstehenden Erwägungen auch als berechtigt.
12 Vorauszuschicken ist zunächst, dass keine Notwendigkeit besteht, für die Entscheidung über die vorliegende Revision den Ausgang des (auf dem Ersuchen des Verwaltungsgerichtshofes vom 23. August 2023, EU 2023/0007, basierenden) beim Gerichtshof der Europäischen Union zu C638/23 protokollierten Vorabentscheidungsverfahrens abzuwarten. Da der Revisionsfall in diesem Zusammenhang in tatsächlicher und rechtlicher Hinsicht jenem Fall gleicht, der vom Verwaltungsgerichtshof mit Erkenntnis vom 3. September 2024, Ra 2023/04/0094, entschieden wurde, kann insoweit gemäß § 43 Abs. 2 zweiter Satz VwGG auf die dort (in Rn. 15 bis 17) erfolgten Ausführungen zum Gegenstand des Revisionsverfahrens verwiesen werden.
13Auch der vorliegend zu beurteilende Ausgangssachverhalt, das diesbezügliche Vorbringen des Erstmitbeteiligten im Beschwerdeverfahren, die rechtlichen Ausführungen des Verwaltungsgerichtes und die als grundsätzlich aufgeworfene Rechtsfrage gleichen in ihren maßgeblichen tatsächlichen und rechtlichen Aspekten derjenigen Konstellation, die dem soeben zitierten Erkenntnis Ra 2023/04/0094 zugrunde lag. Der Verwaltungsgerichtshof hat sich in diesem Erkenntnis mit der Frage der Bezeichnung des Beschwerdegegners im Sinn des (nunmehr) § 24 Abs. 2 Z 2 DSG befasst und festgehalten, dass die Rechtsprechung des Verwaltungsgerichtshofes zu § 9 Abs. 4 VwGVG bzw. zum früheren § 67c Abs. 2 AVG auch für die Auslegung des § 24 Abs. 2 Z 2 DSG herangezogen werden kann. Auch insoweit kann gemäß § 43 Abs. 2 zweiter Satz VwGG auf die dort (in Rn. 24 bis 28) erfolgten Ausführungen verwiesen werden.
14Das Verwaltungsgericht ist zwar dem Grunde nach zutreffend davon ausgegangen, dass ein Bescheid der Datenschutzbehörde, der sich entgegen einer eindeutigen (und auch zumutbaren) Bezeichnung des Beschwerdegegners in der Datenschutzbeschwerde gegen eine andere (in der Datenschutzbeschwerde nicht genannte) Person (als datenschutzrechtlichen Verantwortlichen) richtet, ersatzlos zu beheben ist (vgl. dazu, dass ein Austausch der Person des Verantwortlichen im verwaltungsgerichtlichen Verfahren unzulässig ist, VwGH 27.6.2023, Ro 2023/04/0013, Rn. 37). Entgegen der Auffassung des Verwaltungsgerichtes war jedoch auch im vorliegenden Revisionsfall nicht davon auszugehen, dass die Datenschutzbeschwerde des Zweitmitbeteiligten eine eindeutige (und auch zumutbare) Bezeichnung des Beschwerdegegners enthielt (vgl. dazu die im Hinblick auf die Vergleichbarkeit der zugrundeliegenden Konstellationenauch für den vorliegenden Fall maßgeblichen Ausführungen im Erkenntnis VwGH 3.9.2024, Ra 2023/04/0094, Rn. 32).
15 Die belangte Behörde hat in ihrem Bescheid zwar nicht (wie dies angezeigt gewesen wäre) ausdrücklich festgehalten, dass sie eine Namhaftmachung des Beschwerdegegners durch den Zweitmitbeteiligten im vorliegenden Fall als unzumutbar erachtet und demnach selbst den (ihrer Ansicht nach für die gegenständliche Datenverarbeitung maßgeblichen) Verantwortlichen ermittelt hat. Allerdings ist das dargestellte Vorgehen der belangten Behörde (Aufforderung an den Erstmitbeteiligten zur Abgabe einer Stellungnahme, Einräumung von Parteiengehör gegenüber dem Zweitmitbeteiligten zu dem insofern erzielten Ermittlungsergebnis) unschwer in diese Richtung zu deuten (und dies wird seitens der belangten Behörde in ihrer Amtsrevision dem Grunde nach bestätigt). Dabei ist auch zu beachten, dass es die oben skizzierte Ausgestaltung des der Datenschutzbeschwerde zugrundeliegenden „Impferinnerungsschreibens“ der betroffenen Person nicht erleichterte, den Rechtsträger bzw. das Organ, dem die behauptete Rechtsverletzung zuzurechnen ist, namhaft zu machen. Ausgehend davon ist es aber zumindest in verfahrensrechtlicher Hinsicht (und nur dies ist Gegenstand des vorliegenden Revisionsverfahrens; siehe diesbezüglich auch den Hinweis in Rn. 17) nicht zu beanstanden, dass die belangte Behörde die zugrundeliegende Datenschutzbeschwerde in einer hinsichtlich der Bezeichnung des Beschwerdegegners aufgrund ihrer Ermittlungsergebnisse berichtigenden Auslegung als gegen das Amt der Tiroler Landesregierung gerichtet ansah.
16 Vor diesem Hintergrund lag in der Erlassung eines gegen den Erstmitbeteiligten gerichteten Bescheides durch die belangte Behörde aber auch keine Überschreitung der „Sache“ des Verwaltungsverfahrens.
17Der Vollständigkeit halber ist noch auf Folgendes hinzuweisen: Aus dem Umstand, dass die belangte Behörde in verfahrensrechtlich zulässiger Weise den Erstmitbeteiligten als die in der Datenschutzbeschwerde als Beschwerdegegner angesprochene Person bzw. Stelle ansehen durfte, kann nicht der Schluss gezogen werden, dass der Erstmitbeteiligte auch tatsächlich der Verantwortliche für die zugrundeliegende Datenverarbeitung im Sinn des Art. 4 Z 7 DSGVO war. Diese Frage kann im Hinblick auf den Gegenstand des vorliegenden Revisionsverfahrens (vgl. bereits Rn. 12 und den darin erfolgten Hinweis auf die Ausführungen in VwGH 3.9.2024, Ra 2023/04/0094, Rn. 15 bis 17) hier allerdings noch nicht beantwortet werden (vgl. aber inhaltlich die Ausführungen im bereits erwähnten Beschluss zur Einleitung eines Vorabentscheidungsverfahrens VwGH 23.8.2023, EU 2023/0007).
18Ausgehend davon war das angefochtene Erkenntnis gemäß § 42 Abs. 2 Z 1 VwGG wegen Rechtswidrigkeit seines Inhaltes aufzuheben.
Wien, am 3. September 2024
RIS