Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak sowie die Hofräte Dr. Mayr und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 7. Juni 2023, Zl. W258 2262953-1/4E, betreffend eine datenschutzrechtliche Angelegenheit (weitere Partei: Bundesministerin für Justiz; mitbeteiligte Parteien: 1. Amt der Tiroler Landesregierung in Innsbruck, vertreten durch die Baker McKenzie Rechtsanwälte LLP Co KG in 1010 Wien, Schottenring 25, und 2. J T in N), zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit seines Inhaltes aufgehoben.
1Mit Schreiben vom 6. Dezember 2021 erstattete der Zweitmitbeteiligte bei der Datenschutzbehörde (belangte Behörde, Amtsrevisionswerberin) eine Datenschutzbeschwerde wegen Verletzung des Rechts auf Geheimhaltung gemäß § 1 Abs. 1 Datenschutzgesetz (DSG) und näher bezeichneter Bestimmungen der Datenschutz Grundverordnung (DSGVO). Die Datenschutzbeschwerde richtete sich gegen die Tiroler Landesregierung. Der Zweitmitbeteiligte brachte vor, dass seine Gesundheitsdaten missbraucht würden. Zum Beweis legte er ein „Schreiben der Landesregierung“ vor.
2 In der Folge teilte die belangte Behörde dem Zweitmitbeteiligten Folgendes mit: Sie habe (aufgrund einer Vielzahl inhaltlich gleichlautender Datenschutzbeschwerden) das Amt der Tiroler Landesregierung (den Erstmitbeteiligten) zur Abgabe einer Stellungnahme aufgefordert. Aufgrund der Ausführungen des Erstmitbeteiligten, denen zufolge er der datenschutzrechtliche Verantwortliche der verfahrensgegenständlichen Datenverarbeitung sei, werde das Verfahren gegen diesen geführt. Der Zweitmitbeteiligte habe die Gelegenheit, dazu binnen einer Frist von zwei Wochen eine Stellungnahme abzugeben.
3 Mit Bescheid vom 24. August 2022 gab die belangte Behörde der „gegen das Amt der Tiroler Landesregierung (Beschwerdegegner)“ gerichteten Datenschutzbeschwerde (soweit für die vorliegende Revisionssache relevant) mit Spruchpunkt 1. statt und stellte fest, der Erstmitbeteiligte habe den Zweitmitbeteiligten dadurch in seinem Recht auf Geheimhaltung verletzt, dass er unrechtmäßig auf die Daten des Zweitmitbeteiligten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands des gegenständlichen (Impferinnerungs)Schreibens verarbeitet habe.
Die belangte Behörde hielt (ua.) fest, der Zweitmitbeteiligte habe im Rahmen des erteilten Parteiengehörs (siehe Rn. 2) keine Stellungnahme abgegeben. Da der Erstmitbeteiligte so die belangte Behörde in der Sache die Daten des Zweitmitbeteiligten ohne Vorliegen einer tragenden gesetzlichen Grundlage verarbeitet habe, sei die Datenverarbeitung rechtswidrig gewesen.
4 Dagegen erhob der Erstmitbeteiligte Beschwerde, in der er (ua.) vorbrachte, seine datenschutzrechtliche Verantwortlichkeit habe keine Auswirkungen darauf, dass das Verwaltungshandeln des Erstmitbeteiligten als bloßer Geschäftsapparat, nämlich der Zugriff auf das Impfregister, dem Landeshauptmann (als Vorstand des Amtes der Landesregierung) zuzurechnen sei, der wiederum über eine spezifische Zugriffsberechtigung verfüge.
5 Mit dem angefochtenen Erkenntnis gab das Verwaltungsgericht dieser Beschwerde Folge und behob Spruchpunkt 1. dieses Bescheides ersatzlos. Die Revision wurde für nicht zulässig erklärt.
6 Das Verwaltungsgericht stellte nach Darstellung der Vorgeschichte und unter Hinweis darauf, dass von einer Vielzahl von Empfängern Datenschutzbeschwerden betreffend sogenannte „Impferinnerungsschreiben“ erhoben worden seien fest, der Zweitmitbeteiligte habe in seiner Datenschutzbeschwerde den Beschwerdegegner mit „Tiroler Landesregierung“ bezeichnet. Anschließend stellte das Verwaltungsgericht das an den Zweitmitbeteiligten gerichtete Impferinnerungsschreiben dar, das im Kopf das (Tiroler) Wappen samt dem Schriftzug „Land Tirol“ sowie die Bezeichnung „Amt der Tiroler Landesregierung“ enthalten habe.
7In seiner rechtlichen Beurteilung verwies das Verwaltungsgericht zunächst auf § 24 Abs. 2 Z 2 DSG (demzufolge die Datenschutzbeschwerde, soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die Rechtsverletzung zugerechnet wird, zu enthalten hat) sowie auf die Regelung des § 13 Abs. 3 AVG. Sei für die belangte Behörde zweifelhaft, wen der Beschwerdeführer als Beschwerdegegner benannt habe, so habe sie ihn gemäß § 13 Abs. 3 AVG zur Verbesserung anzuleiten. Wenn sie dies unterlasse und den Beschwerdegegner selbst bestimme, sei der Bescheid ersatzlos zu beheben.
Im vorliegenden Fall sei unklar, ob der Zweitmitbeteiligte tatsächlich die Tiroler Landesregierung als Beschwerdegegnerin habe bezeichnen wollen, zumal sich auf dem gegenständlichen Impferinnerungsschreiben kein Hinweis auf die Landesregierung finde. Da die belangte Behörde es unterlassen habe, den Zweitmitbeteiligten gemäß § 13 Abs. 3 AVG zur Verbesserung aufzufordern, sei unklar, ob der Erstmitbeteiligte vom Rechtsschutzantrag des Zweitmitbeteiligten umfasst gewesen sei. Eine Umdeutung scheide aus, weil von der Landesregierung nicht auf das Amt der Landesregierung geschlossen werden könne. Dass der Zweitmitbeteiligte zur Mitteilung der belangten Behörde, das Verfahren gegen den Erstmitbeteiligten zu führen, keine Erklärung abgegeben habe, sei ohne Bedeutung, weil die belangte Behörde den Parteiantrag nicht einseitig abändern könne.
Die belangte Behörde werde daher in der Folge nach § 13 Abs. 3 AVG vorzugehen und den Zweitmitbeteiligten aufzufordern haben, den Beschwerdegegner klarzustellen oder zu begründen, warum ihm die eindeutige Bezeichnung des Beschwerdegegners unzumutbar sei.
8 Gegen dieses Erkenntnis richtet sich die außerordentliche Amtsrevision der belangten Behörde.
9 Eine Revisionsbeantwortung wurde in dem vom Verwaltungsgerichtshof eingeleiteten Vorverfahren nicht erstattet.
Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 1 Z 2 VwGG gebildeten Senat erwogen:
10Die Amtsrevisionswerberin bringt zur Zulässigkeit ihrer Revision vor, die Bezeichnung des Beschwerdegegners sei in einer Datenschutzbeschwerde nur gefordert, wenn dies zumutbar sei. Wann dies der Fall sei, sei unbestimmt. Da die Erfüllung der Formalvoraussetzungen des § 24 Abs. 2 DSG Voraussetzung für eine meritorische Entscheidung des Verwaltungsgerichtes sei, habe diese Frage erhebliche Auswirkungen. Zudem wäre so die belangte Behörde weiterentgegen der Auffassung des Verwaltungsgerichtes vorliegend nicht § 13 Abs. 3 AVG anzuwenden, sondern die zum früheren § 67c Abs. 2 Z 2 AVG bzw. zu § 9 Abs. 4 VwGVG ergangene (näher bezeichnete) Rechtsprechung des Verwaltungsgerichtshofes heranzuziehen gewesen, der zufolge bei einer unrichtigen Parteiangabe nicht mit Zurückweisung vorzugehen, sondern die Behörde ausfindig zu machen sei, der ein Verhalten zuzurechnen sei.
11 Die Revision erweist sich vor diesem Hintergrund als zulässig und aus nachstehenden Erwägungen auch als berechtigt.
12 Vorauszuschicken ist zunächst, dass keine Notwendigkeit besteht, für die Entscheidung über die vorliegende Revision den Ausgang des (auf dem Ersuchen des Verwaltungsgerichtshofes vom 23. August 2023, EU 2023/0007, basierenden) beim EuGH zu C638/23 protokollierten Vorabentscheidungsverfahrens abzuwarten. Da der Revisionsfall in diesem Zusammenhang in tatsächlicher und rechtlicher Hinsicht jenem Fall gleicht, der vom Verwaltungsgerichtshof mit Erkenntnis vom 3. September 2024, Ra 2023/04/0092, entschieden wurde, kann insoweit gemäß § 43 Abs. 2 zweiter Satz VwGG auf die dort (in Rn. 17 bis 19) erfolgten Ausführungen zum Gegenstand des Revisionsverfahrens verwiesen werden.
13Auch der vorliegend zu beurteilende Ausgangssachverhalt, das diesbezügliche Vorbringen des Erstmitbeteiligten im Beschwerdeverfahren, die rechtlichen Ausführungen des Verwaltungsgerichtes und die als grundsätzlich aufgeworfene Rechtsfrage gleichen in ihren maßgeblichen tatsächlichen und rechtlichen Aspekten derjenigen Konstellation, die dem oben zitierten Erkenntnis Ra 2023/04/0092 zugrunde lag. Auch insoweit kann gemäß § 43 Abs. 2 zweiter Satz VwGG auf dessen Entscheidungsgründe (Rn. 21 bis 36) verwiesen werden.
14 Im Hinblick darauf ist es auch im vorliegenden Fall zumindest in verfahrensrechtlicher Hinsicht (und nur dies ist Gegenstand des vorliegenden Revisionsverfahrens; siehe diesbezüglich auch den Hinweis in Rn. 15) nicht zu beanstanden, dass die belangte Behörde die zugrundeliegende Datenschutzbeschwerde in einer hinsichtlich der Bezeichnung des Beschwerdegegnersaufgrund ihrer Ermittlungsergebnisse berichtigenden Auslegung als gegen das Amt der Tiroler Landesregierung gerichtet ansah. Vor diesem Hintergrund bestand aber entgegen der Auffassung des Verwaltungsgerichtes keine Notwendigkeit für die belangte Behörde, ein Verfahren nach § 13 Abs. 3 AVG durchzuführen. Ein solcher Mängelbehebungsauftrag wäre vielmehr (nur) dann erforderlich gewesen, wenn die belangte Behörde von einer Zumutbarkeit der Benennung des Beschwerdegegners für den Zweitmitbeteiligten ausgegangen wäre und sich die diesbezüglichen Angaben in der Datenschutzbeschwerde als unvollständig (oder unklar) erwiesen hätten. Von Ersterem ist im vorliegenden Fall aber nicht auszugehen (vgl. erneut VwGH 3.9.2024, Ra 2023/04/0092, Rn. 36, dem wie dargelegt eine mit dem vorliegenden Fall auch in tatsächlicher Hinsicht vergleichbare Konstellation zugrunde lag). Indem das Verwaltungsgericht dies verkannte, belastete es sein Erkenntnis mit inhaltlicher Rechtswidrigkeit.
15Der Vollständigkeit halber ist noch auf Folgendes hinzuweisen: Aus dem Umstand, dass die belangte Behörde in verfahrensrechtlich zulässiger Weise den Erstmitbeteiligten als die in der Datenschutzbeschwerde als Beschwerdegegner angesprochene Person bzw. Stelle ansehen durfte, ist nicht der Schluss zu ziehen, dass der Erstmitbeteiligte auch tatsächlich der Verantwortliche für die zugrundeliegende Datenverarbeitung im Sinn des Art. 4 Z 7 DSGVO war. Diese Frage kann im Hinblick auf den Gegenstand des vorliegenden Revisionsverfahrens (vgl. bereits Rn. 12 und den darin erfolgten Hinweis auf die Ausführungen in VwGH 3.9.2024, Ra 2023/04/0092, Rn. 17 bis 19) hier allerdings noch nicht beantwortet werden (vgl. aber inhaltlich die Ausführungen im bereits erwähnten Beschluss zur Einleitung eines Vorabentscheidungsverfahrens VwGH 23.8.2023, EU 2023/0007).
16Das angefochtene Erkenntnis war somit gemäß § 42 Abs. 2 Z 1 VwGG wegen Rechtswidrigkeit seines Inhaltes aufzuheben.
Wien, am 3. September 2024
Rückverweise
RIS