Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Lukasser sowie die Hofräte Dr. Mayr und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz (nunmehr: Bundesministerin für Arbeit, Soziales, Gesundheit, Pflege und Konsumentenschutz), vertreten durch die Finanzprokuratur in Wien, gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 18. März 2024, Zl. W211 2261881-1/8E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; weitere Partei: Bundesministerin für Justiz; mitbeteiligte Partei: E B), den Beschluss gefasst:
Die Revision wird zurückgewiesen.
1 1. Mit Schreiben vom 22. Dezember 2021 erhob die Mitbeteiligte eine Datenschutzbeschwerde an die Datenschutzbehörde (belangte Behörde). Begründend brachte sie vor, der damalige Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz (der nunmehrige Revisionswerber) habe sie durch die Verarbeitung ihrer Daten im Zusammenhang mit einem Schreiben, in dem die Mitbeteiligte über die Möglichkeit der dritten Schutzimpfung gegen COVID-19 informiert worden sei, in ihrem Recht auf Geheimhaltung verletzt.
2 Mit Bescheid vom 18. August 2022 gab die belangte Behörde dieser Datenschutzbeschwerde statt und stellte fest, der Revisionswerber habe die Mitbeteiligte in ihrem Recht auf Geheimhaltung verletzt, indem er unrechtmäßig auf ihre Daten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen über den Abschluss der Grundimmunisierung gegen SARS-CoV-2 verarbeitet habe (Spruchpunkt 1.). Der Antrag der Mitbeteiligten, die belangte Behörde möge die Datenverarbeitung gemäß § 22 Abs. 4 DSG untersagen, wurde abgewiesen (Spruchpunkt 2.), der Antrag, die belangte Behörde möge eine Geldbuße verhängen, wurde zurückgewiesen (Spruchpunkt 3.).
3 2. Mit dem angefochtenen Erkenntnis wies das Bundesverwaltungsgericht (BVwG) die dagegen erhobene Beschwerde des Revisionswerbers als unbegründet ab und erklärte die Revision für zulässig.
4 2.1. Das BVwG stellte fest, der Revisionswerber habe an die Mitbeteiligte ein personalisiertes Schreiben mit dem Betreff: „Holen Sie sich ab sofort Ihre 3. Corona-Schutzimpfung!“ versendet. Aus dem Kontext des Schreibens, das sich auf die dritte Schutzimpfung beziehe, gehe hervor, dass die Mitbeteiligte bereits zwei Corona-Schutzimpfungen erhalten habe.
5 Zur Ermittlung der Daten der Mitbeteiligten habe der Revisionswerber vor Zusendung des personalisierten Informationsschreibens (über eine Auftragsverarbeiterin) im zentralen Impfregister überprüft, ob zur Mitbeteiligten ein dritter Impfeintrag vorhanden sei, und, weil ein solcher nicht aufgeschienen sei, in einem nächsten Schritt durch Zugriff auf den zentralen Patientenindex die Wohnadresse der Mitbeteiligten ermittelt. In der Folge habe der Revisionswerber die Adressdaten der Mitbeteiligten an einen Druckdienstleister im Rahmen einer Auftragsdatenverarbeitung übermittelt. Die Mitbeteiligte habe an der Verarbeitung ihrer personenbezogenen Daten nicht mitgewirkt bzw. dafür auch keine Zustimmung erteilt.
6 2.2.In der rechtlichen Beurteilung führte das BVwG aus, der Revisionswerber habe seine Verarbeitungstätigkeit als Verantwortlicher im Sinn des Art. 4 Z 7 DSGVO im Hinblick auf die Ermittlung der Impfdaten sowie den Versand des gegenständlichen Impferinnerungsschreibens auf § 24d Abs. 2 Z 5 Gesundheitstelematikgesetz 2012 (GTelG 2012) gestützt. Für die dafür notwendige Zugriffsberechtigung auf das zentrale Impfregister habe er sich auf § 24f Abs. 4 Z 5 GTelG 2012, für die Ermittlung der Adressdaten auf § 4 Abs. 3 GTelG 2012 berufen.
7 Es sei unbestritten, dass zum Zeitpunkt der Versendung des gegenständlichen Impferinnerungsschreibens eine eindeutige Rechtsgrundlage, wie sie später für eine begrenzte Zeit mit § 4g Epidemiegesetz 1950 (EpiG), aber auch mit § 750 Abs. 1a und 2 ASVG für den Dachverband der Sozialversicherungsträger geschaffen worden sei, nicht bestanden habe.
8 Das Argument des Revisionswerbers, die Datenverarbeitung im Hinblick auf das Impferinnerungsschreiben im Herbst 2021 könne auf § 24d Abs. 2 Z 5 GTelG 2012 (Krisenmanagement) gestützt werden, sei nicht überzeugend. Den Gesetzesmaterialien zu dieser Bestimmung (RV 232 BlgNR 27. GP, 33) sei zu entnehmen, dass das Krisenmanagement sowohl das Ausbruchsmanagement als auch die Pharmakovigilanz umfasse, wobei im Rahmen des Ausbruchsmanagements der Zugriff auf die im Impfregister gespeicherten Daten (nur) insoweit zulässig sei, als dieser zur Unterstützung der hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz 1950 erforderlich sei. Im Zeitpunkt der Abfrage des Impfregisters durch den Revisionswerber sei im Epidemiegesetz 1950 keine hoheitliche Aufgabe vorgesehen gewesen, die eine „Erinnerung an Impfungen“ rechtfertigen könnte, weil § 4g EpiG betreffend „Erinnerungen an Auffrischungsimpfungen gegen COVID-19“ erst mit 1. Juli 2022 in Kraft getreten sei. Das gegenständliche Informationsschreiben stelle somit keine Maßnahme des Krisenmanagements gemäß § 24d Abs. 2 Z 5 GTelG 2012 dar.
9 Gegen die Auffassung des Revisionswerbers, dass die hoheitliche Maßnahme nicht im Epidemiegesetz 1950 determiniert sein müsse, spreche auch, dass der Gesetzgeber mit § 4g EpiG (wenn auch erst später) eine entsprechende hoheitliche Maßnahme festgelegt habe. Dass der Gesetzgeber für hoheitliche Maßnahmen durch den Revisionswerber im Zusammenhang mit Erinnerungsschreiben für die COVID-19-Impfung einen engen Berechtigungsrahmen habe vorsehen wollen, zeige sich auch darin, dass diese Maßnahme für ein Jahr befristet worden sei.
10 Im Ergebnis habe für die gegenständliche Verarbeitung der personenbezogenen Daten der Mitbeteiligten keine entsprechende Rechtsgrundlage bestanden, weshalb eine Verletzung ihres Rechts auf Geheimhaltung gemäß § 1 Abs. 1 und 2 DSG vorliege. Mangels Rechtsgrundlage sei die Datenverarbeitung auch nicht gemäß Art. 6 Abs. 1 lit. e in Verbindung mit Art. 6 Abs. 3 DSGVO sowie Art. 9 Abs. 2 lit. g und i DSGVO rechtmäßig.
11 Eine Zugriffsberechtigung auf das zentrale Impfregister habe auch nicht auf Basis des § 24f Abs. 4 Z 5 GTelG 2012 bestanden, zumal diese an Zwecke des Krisenmanagements gemäß § 24d Abs. 2 Z 5 GTelG 2012 gebunden sei. Zudem könne angesichts dessen, dass gegenständlich keine Rechtsgrundlage für die Übermittlung von Gesundheitsdaten bestanden habe, aus § 4 Abs. 3 GTelG 2012 keine Ermächtigung für einen Zugriff auf den zentralen Patientenindex zur Adressermittlung abgeleitet werden.
12 2.3.Die Revision erklärte das BVwG gemäß Art. 133 Abs. 4 B-VG für zulässig, weil es an Rechtsprechung des Verwaltungsgerichtshofes zur Frage fehle, ob die hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz 1950, die durch den Zugriff auf die im Impfregister gespeicherten Daten unterstützt werden können, im Epidemiegesetz 1950 selbst determiniert sein müssen oder nicht.
13 3. Gegen dieses Erkenntnis richtet sich die vorliegende ordentliche Revision des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz (nunmehr: Bundesministerin für Arbeit, Soziales, Gesundheit, Pflege und Konsumentenschutz).
14 Die belangte Behörde erstattete eine Revisionsbeantwortung mit dem Antrag, die Revision zurückzuweisen, in eventu als unbegründet abzuweisen.
15 4.Nach Art. 133 Abs. 4 B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
16 Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Art. 133 Abs. 4 B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.
17 Nach § 34 Abs. 1a VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Art. 133 Abs. 4 B-VG an den Ausspruch des Verwaltungsgerichtes gemäß § 25a Abs. 1 VwGG nicht gebunden.
18 Die Zuständigkeit des Verwaltungsgerichtshofes zur Kontrolle der Entscheidungen der Verwaltungsgerichte ist nicht nur für den Fall einer außerordentlichen Revision, sondern auch bei ordentlichen Revisionen auf die Wahrnehmung von Rechtsfragen von grundsätzlicher Bedeutung im Sinn des Art. 133 Abs. 4 B-VG begrenzt. Auch in der ordentlichen Revision hat der Revisionswerber von sich aus die maßgeblichen Gründe für die Zulässigkeit der Revision aufzuzeigen, sofern er der Ansicht ist, dass die Begründung des Verwaltungsgerichtes für die Zulässigkeit der Revision nicht ausreicht oder er andere Rechtsfragen von grundsätzlicher Bedeutung für relevant erachtet (vgl. etwa VwGH 6.3.2026, Ro 2024/04/0003, Rn. 16, mwN).
19 5.1.Der Revisionswerber erachtet den Zulässigkeitsausspruch des BVwG als „zu kurz gegriffen“; verfahrensgegenständlich sei (vielmehr) die Frage, ob § 24d Abs. 2 Z 5 GTelG 2012 eine taugliche Grundlage für die gegenständliche Datenverarbeitung biete. Zudem wird in der Revision zur Zulässigkeit geltend gemacht, das BVwG habe für die Begründung des angefochtenen Erkenntnisses ausschließlich auf die Gesetzesmaterialien zurückgegriffen. Dies widerspreche der Rechtsprechung des Verwaltungsgerichtshofes, wonach bei der Auslegung einer Gesetzesbestimmung zunächst auf den Wortlaut und nur in Zweifelsfällen auf die Materialien zurückzugreifen sei. Darüber hinaus fehle Rechtsprechung des Verwaltungsgerichtshofes zu den Grundsätzen der Impfdatenverarbeitung, insbesondere zum Krisenmanagement gemäß § 24d Abs. 2 Z 5 GTelG 2012.
20 5.2.Eine Rechtsfrage von grundsätzlicher Bedeutung liegt nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes nicht vor, wenn die revisionsgegenständliche Regelung bereits außer Kraft getreten ist und es angesichts eines kleinen Kreises potentiell betroffener Personen nicht wahrscheinlich ist, dass noch über eine nennenswerte Anzahl vergleichbarer Fälle zu entscheiden sein wird. Gleiches gilt, wenn die im Revisionsverfahren gegenständliche Bestimmung zwar nicht (gänzlich) außer Kraft getreten, aber in einer Weise novelliert worden ist, dass die aufgeworfene Rechtsfrage sich für die geltende Rechtslage nicht mehr stellt und der zur früheren Rechtslage aufgeworfenen Rechtsfrage voraussichtlich im genannten Sinn nicht mehr für eine nennenswerte Anzahl vergleichbarer Fälle Bedeutung zukommt (vgl. VwGH 18.5.2026, Ra 2024/04/0434, Rn. 39, mwN).
21 5.3. Zur Entwicklung der hier maßgeblichen Rechtslage ist Folgendes festzuhalten:
22 Das BVwG hat (wie schon zuvor die belangte Behörde) die Rechtfertigung für die gegenständliche Datenverarbeitung am Maßstab des § 24d Abs. 2 Z 5 GTelG 2012 geprüft. Dieser Bestimmung zufolge dürfen die im Impfregister gespeicherten Daten für Zwecke des Krisenmanagements (im Rahmen des Ausbruchsmanagements sowie der Pharmakovigilanz) verarbeitet werden, wobei § 24f Abs. 4 Z 5 GTelG 2012 (in der Fassung BGBl. I Nr. 115/2020) dem für das Gesundheitswesen zuständigen Bundesminister eine spezifische Zugriffsberechtigung auf die im zentralen Impfregister gespeicherten Daten für das bundesweite Krisenmanagement gemäß § 24d Abs. 2 Z 5 GTelG 2012 eingeräumt hat. Das BVwG hat das Vorliegen dieses Rechtfertigungsgrundes für die gegenständliche Datenverarbeitung verneint. Begründend wurde ua. darauf verwiesen, dass eine dem (mit 1. Juli 2022 in Kraft und mit 30. Juni 2023 wieder außer Kraft getretenen) § 4g EpiG vergleichbare Regelung zum maßgeblichen Verarbeitungszeitpunkt im Herbst 2021 nicht bestanden habe. Gemäß § 4g EpiG (in der Fassung BGBl. I Nr. 89/2022 bzw. BGBl. I Nr. 195/2022) war der für das Gesundheitswesen zuständige Bundesminister als datenschutzrechtlich Verantwortlicher ermächtigt, (bestimmte) Personen (gemäß den jeweils aktuellen Anwendungsempfehlungen des Nationalen Impfgremiums für COVID-19-Impfungen) an die Auffrischungsimpfung gegen COVID-19 zu erinnern.
23 Eine der Sache nach vergleichbare Regelung enthält § 24d Abs. 2 Z 3 GTelG 2012, der bereits in der vorliegend maßgeblichen Fassung BGBl. I Nr. 115/2020 eine Verarbeitung der im Impfregister gespeicherten Daten für Zwecke der Erinnerung an empfohlene Impfungen gemäß dem jeweils aktuellen Impfplan Österreich vorgesehen hat. Allerdings war in § 24f Abs. 4 GTelG 2012 (in der Fassung BGBl. I Nr. 115/2020) bezogen auf diesen Verarbeitungszweck keine spezifische Regelung einer Zugriffsberechtigung enthalten, weshalb die Bestimmung des § 24d Abs. 2 Z 3 GTelG 2012 in (Teilen) der Praxis als unanwendbar erachtet wurde (vgl. dazu die Erläuterungen zur Novelle BGBl. I Nr. 105/2024 in RV 2530 BlgNR 27. GP, 7, mit Hinweis auf eine näher bezeichnete Entscheidung des BVwG). Darüber hinaus war die im vorliegenden Fall gegenständliche COVID-19-Schutzimpfung im Impfplan Österreich 2021 (abrufbar unter https://epub.bka.gv.at/obvbkabib/periodical/titleinfo/13869900?query=impfplan%202021; maßgeblich für den Zeitraum Jänner 2021 bis Dezember 2021) noch nicht enthalten, sondern es wurde ausdrücklich darauf hingewiesen, dass die diesbezügliche Empfehlung (im Hinblick auf den absehbaren regelmäßigen Anpassungsbedarf) „außerhalb des Impfplans“ in einem eigenen Dokument abgehandelt werden solle.
24 Mit der Novelle BGBl. I Nr. 105/2024 wurde das GTelG 2012 zum einen dahingehend geändert, dass die Regelung seines § 24d Abs. 2 Z 3 um den Beisatz „auf Basis der im zentralen Impfregister gespeicherten Daten“ ergänzt wurde. In den Erläuterungen wurde dazu festgehalten, dass für die Erinnerungen gemäß dem Impfplan Österreich nicht nur die im zentralen Impfregister gespeicherten Angaben zu Impfungen, sondern etwa auch die dort gespeicherten Antikörperbestimmungen oder impfrelevanten Vorerkrankungen erforderlich seien (vgl. RV 2530 BlgNR 27. GP, 13). Bedeutsamer ist im vorliegenden Kontext allerdings die ebenfalls mit dieser Novelle erfolgte Änderung im Bereich der spezifischen Zugriffsberechtigungen auf die im zentralen Impfregister gespeicherten Daten, die nicht mehr (wie zuvor) in § 24f Abs. 4 GTelG 2012, sondern mittels Verordnung des für das Gesundheitswesen zuständigen Bundesministers bzw. der zuständigen Bundesministerin normiert werden sollten, wobei in § 28b Abs. 2 Z 4 GTelG 2012 eine entsprechende Verordnungsermächtigung geschaffen wurde (vgl. dazu RV 2530 BlgNR 27. GP, 9, 22).
25 § 8 Abs. 6 der (darauf gestützten) eHealth-Verordnung 2025 (eHealthV 2025), BGBl. II Nr. 11/2025, sieht eine spezifische Zugriffberechtigung für den für das Gesundheitswesen zuständigen Bundesminister oder die zuständige Bundesministerin zur automatisierten Erinnerung an empfohlene Impfungen gemäß dem jeweils aktuellen Impfplan Österreich gemäß § 24d Abs. 2 Z 3 GTelG 2012 vor. Eine derartige Zugriffberechtigung besteht nach § 11 Abs. 1 Z 2 iVm Abs. 2 Z 1 eHealthV 2025 zudem im Hinblick auf das Krisenmanagement zur Erinnerung an empfohlene Impfungen gemäß dem jeweils aktuellen Impfplan Österreich gemäß § 24d Abs. 2 Z 5 GTelG 2012. Im derzeit gültigen Impfplan Österreich 2025/2026 (abrufbar unter https://www.sozialministerium.gv.at/Themen/Gesundheit/Impfen/impfplan.html) wird, für näher umschriebene Personengruppen, eine Impfempfehlung für die Impfung gegen COVID-19 ausgesprochen.
26 Ausgehend davon wurden die maßgeblichen Regelungen für die hier gegenständliche Datenverarbeitung, nämlich die Verarbeitung von im Impfregister gespeicherten Daten zum Zweck der Erinnerung an die Impfung gegen COVID-19 (für die gemäß dem aktuellen Impfplan Österreich eine Empfehlung ausgesprochen wird), einer grundlegenden Änderung unterzogen. Für eine Datenverarbeitung wie die hier gegenständliche besteht aufgrund der nunmehr geltenden, oben dargestellten Bestimmungen eine-von der im Ausgangsverfahren angewandten Regelung-abweichende Rechtsgrundlage.
27 5.4. Die für das Revisionsverfahren maßgeblichen Bestimmungen sind somit zwar nicht außer Kraft getreten, aber in einer Weise novelliert worden, dass sich die im vorliegenden Revisionsverfahren aufgeworfenen Rechtsfragen für die geltende Rechtslage nicht mehr in gleicher Weise stellen. Zudem ist anzunehmen, dass den aufgeworfenen Fragen zur Auslegung des § 24d Abs. 2 Z 5 in Verbindung mit § 24f Abs. 4 Z 5 GTelG 2012, jeweils in der Fassung BGBl. I Nr. 115/2020, im Hinblick auf im Herbst 2021 versendete Impferinnerungsschreiben betreffend die Schutzimpfung gegen COVID-19 voraussichtlich nicht mehr für eine nennenswerte Anzahl vergleichbarer Fälle Bedeutung zukommt, und wird auch vom Revisionswerber nichts Gegenteiliges dargelegt.
28 6.Vorliegend wird somit keine Rechtsfrage aufgeworfen, der im Sinn des Art. 133 Abs. 4 B-VG grundsätzliche Bedeutung zukäme.
29 Die Revision war daher gemäß § 34 Abs. 1 VwGG zurückzuweisen.
Wien, am 27. Juli 2026
Codara Summary
Sachverhalt, Spruch und rechtliche Beurteilung – kompakt zusammengefasst.
Rückverweise
RIS