Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak sowie die Hofräte Dr. Mayr und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 9. Juni 2023, Zl. W245 2262672 1/4E, betreffend eine datenschutzrechtliche Angelegenheit (weitere Partei: Bundesministerin für Justiz; mitbeteiligte Parteien: 1. Amt der Tiroler Landesregierung in Innsbruck, vertreten durch die Baker McKenzie Rechtsanwälte LLP Co KG in 1010 Wien, Schottenring 25, und 2. G H in M), zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit seines Inhaltes aufgehoben.
1 1. Mit Schreiben vom 12. Dezember 2021 erstattete die Zweitmitbeteiligte bei der Datenschutzbehörde (belangte Behörde, Amtsrevisionswerberin) eine Datenschutzbeschwerde wegen Verletzung des Rechts auf Geheimhaltung gemäß § 1 Abs. 1 Datenschutzgesetz (DSG). Die Datenschutzbeschwerde richtete sich laut dem Betreff dieses Schreibens gegen die Tiroler Landesregierung und den (damaligen) Tiroler Landeshauptmann. In der Begründung führte die Zweitmitbeteiligte aus, sie sei mit „Schreiben des Amts der Tiroler Landesregierung“ (des Erstmitbeteiligten) zu einem Impftermin eingeladen worden. Es ergebe sich der Verdacht, dass dieser Einladung eine unzulässige Verarbeitung besonders geschützter persönlicher Gesundheitsdaten zugrunde liege.
2 2. Mit Bescheid vom 22. August 2022 gab die belangte Behörde dieser „gegen das Amt der Tiroler Landesregierung (Beschwerdegegner)“ gerichteten Datenschutzbeschwerde (soweit für die vorliegende Revisionssache relevant) mit Spruchpunkt 1. statt und stellte fest, der Erstmitbeteiligte habe die Zweitmitbeteiligte dadurch in ihrem Recht auf Geheimhaltung verletzt, dass er unrechtmäßig auf die Daten der Zweitmitbeteiligten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands des gegenständlichen (Impferinnerungs)Schreibens verarbeitet habe.
3 Die belangte Behörde stellte fest, sie habe (aufgrund einer Vielzahl inhaltlich gleichlautender Datenschutzbeschwerden) den Erstmitbeteiligten zur Abgabe einer Stellungnahme aufgefordert. Dieser habe vorgebracht, er sei der alleinige datenschutzrechtliche Verantwortliche für das gegenständliche Schreiben. Die belangte Behörde habe der Zweitmitbeteiligten diese Stellungnahme zur Kenntnis gebracht und mitgeteilt, dass das Verfahren aufgrund dieser Ausführungen gegen den Erstmitbeteiligten geführt werde. Im Rahmen des eingeräumten Parteiengehörs habe die Zweitmitbeteiligte keine Stellungnahme erstattet. Da der Erstmitbeteiligte so die belangte Behörde in der Sache die Daten der Zweitmitbeteiligten ohne Vorliegen einer tragenden gesetzlichen Grundlage verarbeitet habe, sei die Datenverarbeitung rechtswidrig gewesen.
4 Dagegen erhob der Erstmitbeteiligte Beschwerde, in der er (ua.) vorbrachte, seine datenschutzrechtliche Verantwortlichkeit habe keine Auswirkungen darauf, dass das Verwaltungshandeln des Erstmitbeteiligten als bloßer Geschäftsapparat, nämlich der Zugriff auf das Impfregister, dem Landeshauptmann (als Vorstand des Amtes der Landesregierung) zuzurechnen sei, der wiederum über eine spezifische Zugriffsberechtigung verfüge.
5 3. Mit dem angefochtenen Erkenntnis vom 9. Juni 2023 gab das Bundesverwaltungsgericht (BVwG) dieser Beschwerde Folge und behob Spruchpunkt 1. dieses Bescheides ersatzlos. Die Revision wurde gemäß Art. 133 Abs. 4 B VG für unzulässig erklärt.
6 Das BVwG stellte nach Darstellung der Vorgeschichte und unter Hinweis darauf, dass von einer Vielzahl von Empfängern Datenschutzbeschwerden betreffend sogenannte „Impferinnerungsschreiben“ erhoben worden seien fest, die Zweitmitbeteiligte habe in ihrer Datenschutzbeschwerde den Beschwerdegegner mit „Tiroler Landesregierung, Landeshauptmann [...]“ bezeichnet. Anschließend stellte das BVwG das an die Zweitmitbeteiligte gerichtete Impferinnerungsschreiben dar, das im Kopf das (Tiroler) Wappen samt dem Schriftzug „Land Tirol“ sowie die Bezeichnung „Amt der Tiroler Landesregierung“ enthalten habe.
7 In seiner rechtlichen Beurteilung verwies das BVwG zunächst auf § 24 Abs. 2 Z 2 DSG, demzufolge die Datenschutzbeschwerde, soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die Rechtsverletzung zugerechnet wird, zu enthalten hat. Die „Feststellung einer Rechtsverletzung einer Person“ (gemeint: durch eine Person), die nicht als Beschwerdegegner in der Datenschutzbeschwerde genannt gewesen sei, überschreite die „Sache“ des Verwaltungsverfahrens. Sei die belangte Behörde der Meinung, dass ein eindeutig bestimmter Beschwerdegegner nicht Verantwortlicher für die Datenverarbeitung sei, habe sie so das BVwG unter Hinweis auf näher zitierte Rechtsprechung des Verwaltungsgerichtshofes die Datenschutzbeschwerde abzuweisen.
8 Im vorliegenden Fall habe die Zweitmitbeteiligte den Beschwerdegegner eindeutig genannt. Eine Umdeutung des Parteiantrags scheide aus, weil sich von der „Tiroler Landesregierung“ bzw. vom „Landeshauptmann“ nicht auf das Hilfsorgan Amt der Tiroler Landesregierung schließen lasse. Die Erklärung der belangten Behörde, das Verfahren gegen den Erstmitbeteiligten zu führen, sowie der Umstand, dass sich die Zweitmitbeteiligte dazu nicht geäußert habe, sei irrelevant, weil die belangte Behörde den Parteiantrag nicht einseitig abändern könne. Indem die belangte Behörde den Bescheid gegen jemand anderen erlassen habe (nämlich den Erstmitbeteiligten), der nicht von der Datenschutzbeschwerde umfasst gewesen sei, habe sie die „Sache“ des Verwaltungsverfahrens überschritten, weshalb der Bescheid ersatzlos zu beheben gewesen sei. Die Datenschutzbeschwerde der Zweitmitbeteiligten sei nach wie vor unerledigt.
9 4. Gegen dieses Erkenntnis richtet sich die außerordentliche Amtsrevision der belangten Behörde.
10 Eine Revisionsbeantwortung wurde in dem vom Verwaltungsgerichtshof eingeleiteten Vorverfahren nicht erstattet.
Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 1 Z 2 VwGG gebildeten Senat erwogen:
11 5. Die Amtsrevisionswerberin bringt zur Zulässigkeit ihrer Revision vor, die Bezeichnung des Beschwerdegegners sei in einer Datenschutzbeschwerde nur gefordert, wenn dies zumutbar sei. Wann dies der Fall sei, sei unbestimmt. Da die Erfüllung der Formalvoraussetzungen des § 24 Abs. 2 DSG Voraussetzung für eine meritorische Entscheidung des BVwG sei, habe diese Frage erhebliche Auswirkungen. Die „Umdeutung“ des Beschwerdegegners sei nicht nur vertretbar, sondern angesichts der auf die vorliegende Konstellation übertragbaren, zum früheren § 67c Abs. 2 Z 2 AVG bzw. zu § 9 Abs. 4 VwGVG ergangenen (näher bezeichneten) Rechtsprechung des Verwaltungsgerichtshofes sogar geboten gewesen. Demzufolge sei bei einer unrichtigen Parteiangabe infolge Unkenntnis schwieriger Zurechnungsfragen nicht mit Zurückweisung vorzugehen, sondern es sei die Behörde ausfindig zu machen, der ein Verhalten zuzurechnen sei.
12 Die Revision erweist sich vor diesem Hintergrund als zulässig und aus nachstehenden Erwägungen auch als berechtigt.
13 6.1. Vorauszuschicken ist zunächst, dass keine Notwendigkeit besteht, für die Entscheidung über die vorliegende Revision den Ausgang des (auf dem Ersuchen des Verwaltungsgerichtshofes vom 23. August 2023, EU 2023/0007, basierenden) beim Gerichtshof der Europäischen Union zu C 638/23 protokollierten Vorabentscheidungsverfahrens abzuwarten. Da der Revisionsfall in diesem Zusammenhang in tatsächlicher und rechtlicher Hinsicht jenem Fall gleicht, der vom Verwaltungsgerichtshof mit Erkenntnis vom 3. September 2024, Ra 2023/04/0094, entschieden wurde, kann insoweit gemäß § 43 Abs. 2 zweiter Satz VwGG auf die dort (in Rn. 15 bis 17) erfolgten Ausführungen zum Gegenstand des Revisionsverfahrens verwiesen werden.
14 6.2. Auch der vorliegend zu beurteilende Ausgangssachverhalt, das diesbezügliche Vorbringen des Erstmitbeteiligten im Beschwerdeverfahren, die rechtlichen Ausführungen des BVwG und die als grundsätzlich aufgeworfene Rechtsfrage gleichen in ihren maßgeblichen tatsächlichen und rechtlichen Aspekten derjenigen Konstellation, die dem soeben zitierten Erkenntnis Ra 2023/04/0094 zugrunde lag. Der Verwaltungsgerichtshof hat sich in diesem Erkenntnis mit der Frage der Bezeichnung des Beschwerdegegners im Sinn des (nunmehr) § 24 Abs. 2 Z 2 DSG befasst und festgehalten, dass die Rechtsprechung des Verwaltungsgerichtshofes zu § 9 Abs. 4 VwGVG bzw. zum früheren § 67c Abs. 2 AVG auch für die Auslegung des § 24 Abs. 2 Z 2 DSG herangezogen werden kann. Auch insoweit kann gemäß § 43 Abs. 2 zweiter Satz VwGG auf die dort (in Rn. 24 bis 28) erfolgten Ausführungen verwiesen werden.
15 Das BVwG ist zwar dem Grunde nach zutreffend davon ausgegangen, dass ein Bescheid der Datenschutzbehörde, der sich entgegen einer eindeutigen (und auch zumutbaren) Bezeichnung des Beschwerdegegners in der Datenschutzbeschwerde gegen eine andere (in der Datenschutzbeschwerde nicht genannte) Person (als datenschutzrechtlichen Verantwortlichen) richtet, ersatzlos zu beheben ist (vgl. dazu, dass ein Austausch der Person des Verantwortlichen im verwaltungsgerichtlichen Verfahren unzulässig ist, VwGH 27.6.2023, Ro 2023/04/0013, Rn. 37). Entgegen der Auffassung des BVwG war jedoch auch im vorliegenden Revisionsfall nicht davon auszugehen, dass die Datenschutzbeschwerde der Zweitmitbeteiligten eine eindeutige (und auch zumutbare) Bezeichnung des Beschwerdegegners enthielt (vgl. dazu die im Hinblick auf die Vergleichbarkeit der zugrundeliegenden Konstellationen auch für den vorliegenden Fall maßgeblichen Ausführungen im Erkenntnis VwGH 3.9.2024, Ra 2023/04/0094, Rn. 32).
16 Die belangte Behörde hat in ihrem Bescheid zwar nicht (wie dies angezeigt gewesen wäre) ausdrücklich festgehalten, dass sie eine Namhaftmachung des Beschwerdegegners durch die Zweitmitbeteiligte im vorliegenden Fall als unzumutbar erachtet und demnach selbst den (ihrer Ansicht nach für die gegenständliche Datenverarbeitung maßgeblichen) Verantwortlichen ermittelt hat. Allerdings ist das dargestellte Vorgehen der belangten Behörde (Aufforderung an den Erstmitbeteiligten zur Abgabe einer Stellungnahme, Einräumung von Parteiengehör gegenüber der Zweitmitbeteiligten zu dem insofern erzielten Ermittlungsergebnis) unschwer in diese Richtung zu deuten (und dies wird seitens der belangten Behörde in ihrer Amtsrevision dem Grunde nach bestätigt). Dabei ist auch zu beachten, dass es die oben skizzierte Ausgestaltung des der Datenschutzbeschwerde zugrundeliegenden „Impferinnerungsschreibens“ der betroffenen Person nicht erleichterte, den Rechtsträger bzw. das Organ, dem die behauptete Rechtsverletzung zuzurechnen ist, namhaft zu machen. Ausgehend davon ist es aber zumindest in verfahrensrechtlicher Hinsicht (und nur dies ist Gegenstand des vorliegenden Revisionsverfahrens; siehe diesbezüglich auch den Hinweis in Rn. 19) nicht zu beanstanden, dass die belangte Behörde die zugrundeliegende Datenschutzbeschwerde in einer hinsichtlich der Bezeichnung des Beschwerdegegners aufgrund ihrer Ermittlungsergebnisse berichtigenden Auslegung als gegen das Amt der Tiroler Landesregierung gerichtet ansah.
17 Vor diesem Hintergrund lag in der Erlassung eines gegen den Erstmitbeteiligten gerichteten Bescheides durch die belangte Behörde aber auch keine Überschreitung der „Sache“ des Verwaltungsverfahrens.
18 Daran vermag auch der Umstand nichts zu ändern, dass in der Datenschutzbeschwerde der Zweitmitbeteiligten als Beschwerdegegner neben der Tiroler Landesregierung auch der Landeshauptmann angeführt war. Es kann dahinstehen, ob die belangte Behörde die Datenschutzbeschwerde in einer berichtigenden Auslegung insgesamt (oder nur hinsichtlich der Tiroler Landesregierung) als gegen das Amt der Tiroler Landesregierung gerichtet ansah, weil im Hinblick auf die wie dargelegt zulässige berichtigende Auslegung jedenfalls in Bezug auf die von der Zweitmitbeteiligten als Beschwerdegegner bezeichnete Tiroler Landesregierung keine Überschreitung der „Sache“ des Verwaltungsverfahrens vorlag.
19 6.3. Der Vollständigkeit halber ist noch auf Folgendes hinzuweisen: Aus dem Umstand, dass die belangte Behörde in verfahrensrechtlich zulässiger Weise den Erstmitbeteiligten als die in der Datenschutzbeschwerde als Beschwerdegegner angesprochene Person bzw. Stelle ansehen durfte, kann nicht der Schluss gezogen werden, dass der Erstmitbeteiligte auch tatsächlich der Verantwortliche für die zugrundeliegende Datenverarbeitung im Sinn des Art. 4 Z 7 DSGVO war. Diese Frage kann im Hinblick auf den Gegenstand des vorliegenden Revisionsverfahrens (vgl. bereits Rn. 13 und den darin erfolgten Hinweis auf die Ausführungen in VwGH 3.9.2024, Ra 2023/04/0094, Rn. 15 bis 17) hier allerdings noch nicht beantwortet werden (vgl. aber inhaltlich die Ausführungen im bereits erwähnten Beschluss zur Einleitung eines Vorabentscheidungsverfahrens VwGH 23.8.2023, EU 2023/0007).
20 7. Ausgehend davon war das angefochtene Erkenntnis gemäß § 42 Abs. 2 Z 1 VwGG wegen Rechtswidrigkeit seines Inhaltes aufzuheben.
Wien, am 3. September 2024
Codara Summary
Sachverhalt, Spruch und rechtliche Beurteilung – kompakt zusammengefasst.
Rückverweise
RIS