BVwG W214 2117640-1

Spruch:

W214 2117640-1/42E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und den fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde von XXXXgegen den Bescheid der Datenschutzbehörde vom 24.09.2015, Zl. DSB-D122.387/0002-DSB/2015,

A1) zu Recht erkannt:

Gemäß § 28 Abs. 2 VwGVG wird der Beschwerde teilweise stattgegeben und der angefochtene Bescheid dahingehend abgeändert, dass der Spruch insgesamt zu lauten hat:

"Der Beschwerde wird teilweise stattgegeben und festgestellt, dass der Gemeindeverband XXXX die Beschwerdeführerin in ihrem Recht auf Auskunft dadurch verletzt hat, dass er den unter der Kennung der XXXX vorgenommenen Zugriff auf die Dokumentenübersicht über die zur Person gespeicherte Krankengeschichte nicht beauskunftet hat.

Im Übrigen wird die Beschwerde als unbegründet abgewiesen."

A2) beschlossen:

Die darüber hinaus gehenden Anträge, die darauf gerichtet sind,

a) eine Verletzung der Einhaltung der Datensicherheitsmaßnahmen festzustellen,

b) eine Erweiterung aller in Betracht kommenden Gegenstände im Verfahren – wie etwa die Prüfung von Verletzungen im Recht auf Geheimhaltung – vorzunehmen,

c) eine Rechtsgrundlage zu schaffen, die der Richtlinie 95/46/EG gerecht wird, und

d) über die Höhe des Schadens, der der Beschwerdeführerin erwachsen sei oder noch erwachsen werde, zu urteilen,

werden mangels Zuständigkeit zurückgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

1. Die Beschwerdeführerin behauptet in ihrer, unter Verwendung des Beschwerdeformulars der Datenschutzbehörde eingebrachten Beschwerde gemäß § 31 Abs. 1 DSG 2000 (eingelangt am 12.08.2015) eine Verletzung im Recht auf Auskunft dadurch, dass der Gemeindeverband

XXXX (mitbeteiligte Partei vor dem Bundesverwaltungsgericht) ihr Auskunftsersuchen vom 22.08.2014 nur unvollständig beantwortet habe. Sie habe ein Auskunftsbegehren mit Übermittlung der Zugriffslisten [auf ihre Gesundheitsdaten] für den Zeitraum 09.03.2014 bis einschließlich 22.08.2014 begehrt. Die ihr übermittelte Zugriffsliste sei aber nachweislich unvollständig und wahrheitswidrig bzw. abgeändert worden. Auf der Liste sei nicht einmal ersichtlich, um die Daten welchen Betroffenen es sich handle. Die Verwendungsvorgänge seien nicht nachvollziehbar protokolliert worden. Außerdem sei die Auskunft unrichtig, weil sie das protokollierte Dokument "EXT XXXX" 22.08.2014 nachweislich nicht verwendet haben könne. Dieses Dokument sei bis 28.XXXX für sämtliche Patidok- Anwender ungeschützt abrufbar gewesen. Am 05.XXXX sei dieses Dokument spurlos verschwunden und nicht mehr im System aufgetaucht. Unrichtig sei des Weiteren, dass eine (namentlich genannte) Bedienstete zahlreiche Befunde von ihr verwendet haben solle, da diese zu diesem Zeitpunkt nachweislich bereits die zweite Woche aus Krankheitsgründen nicht im Dienst gewesen sei. Dazu wurde von der Beschwerdeführerin ein E-Mail-Wechsel vorgelegt, aus dem ersichtlich ist, dass die genannte Bedienstete tatsächlich krank gewesen sei und angegeben hätte, ihre Benutzerkennung an andere Personen weitergegeben zu haben.

In derselben Eingabe behauptete die Beschwerdeführerin, dass die gegenüber dem Beschwerdegegner ergangene Empfehlung der Datenschutzkommission vom 09.10.2013, Zl. K213.220/0009-DSK/2013, mangelhaft umgesetzt worden sei und beantragte die Einleitung eines Verfahrens nach § 30 DSG 2000. Diese Eingabe wurde von der belangten Behörde zur Zl. DSB-D210.783 behandelt.

2. Mit Schreiben der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) vom 18.08.2015 wurde die Beschwerdeführerin zur Beantwortung von Fragen aufgefordert:

"1) Weshalb forderten Sie die Zugriffsliste an?

2) Hatten Sie je den Verdacht, dass Mitarbeiter des Auftraggebers ohne konkreten Anlass auf ihre Daten zugriffen? Wenn ja, weshalb?

3) Hatten Sie den Verdacht, dass Daten zu Ihrer Person unberechtigt abgefragt wurden, um sie Außenstehenden (d.h. Personen außerhalb des XXXX) zugänglich zu machen? Wenn ja, weshalb?"

3. Daraufhin brachte die Beschwerdeführerin in ihrer Eingabe vom 14.09.2015, unter Vorlage zahlreicher Dokumente, ergänzend bzw. näher begründet vor, dass die ihr übermittelten Zugriffslisten von Zugriffen auf ihre Gesundheitsdaten unvollständig bzw. unrichtig seien. Zudem würden Zugriffe nur mangelhaft protokolliert und es sei möglich, Zugriffsbeschränkungen zu umgehen. Sie habe die Zugriffe deswegen angefordert, weil ihre sensiblen Daten auch ohne Behandlung und ohne Auftrag rege verwendet würden bzw. dies in der Vergangenheit bereits der Fall gewesen sei. Sie stelle – soweit verfahrensrelevant – die Anträge, die mitbeteiligte Partei zur Stellungnahme aufzufordern und zur Unvollständigkeit bzw. Abänderung der Zugriffsliste zu befragen sowie namentlich genannte Personen einzuvernehmen und eine Einschau vor Ort durchzuführen.

Ebenfalls möge darüber abgesprochen werden, dass die vom Beschwerdegegner eingehobene Gebühr von EUR 20,78 unrechtmäßig erfolgt sei.

4. Mit dem angefochtenen Bescheid vom 24.09.2015 wurde die Beschwerde der Beschwerdeführerin abgewiesen und der Antrag der Beschwerdeführerin, der mitbeteiligten Partei den Ersatz der geleisteten Kosten in Höhe von 20,78 Euro aufzutragen, zurückgewiesen.

Begründend führte die belangte Behörde u.a. aus, dass für die Beurteilung, ob ein datenschutzrechtliches Auskunftsbegehren vorliege, das Begehren auf seinen Inhalt zu prüfen sei, wobei jener Maßstab anzulegen sei, der auch für einseitige privatrechtliche Willenserklärungen gelte (Wortlaut und Verständnis der Erklärung aus objektiver Sicht, wie sie der Empfänger nach ihrem Wortlaut und dem Geschäftszweck bei objektiver Betrachtung verstehen habe können). In diesem Zusammenhang verwies die belangte Behörde auf die Rechtsprechung des OGH, EvBl 1974/185 [Kündigung]; und ein Erkenntnis des Bundesverwaltungsgerichtes vom 17.04.2015, GZ W214 2010977-1.

Die Beschwerdeführerin habe in ihrem als Auskunftsbegehren gemäß § 26 DSG 2000 zu wertendem E-Mail vom 22.08.2014 unmissverständlich zu erkennen gegeben, dass sie nur um Beauskunftung der durch andere Mitarbeiter des Beschwerdegegners getätigten Zugriffe auf ihre Gesundheitsdaten ersucht habe (diesbezüglich wurde zum Verständnis eines klar formulierten Auskunftsbegehrens auf das oben zitierte Erkenntnis des Bundesverwaltungsgerichtes verwiesen). Hintergrund dafür seien vermutete unberechtigte Zugriffe gewesen. Dass diese Zugriffe durch außenstehende Dritte erfolgt wären bzw. abgefragte Daten an diese übermittelt wurden, habe nicht festgestellt werden können.

Nach der Rechtsprechung der (ehemaligen) Datenschutzkommission seien nur Übermittlungsvorgänge gemäß § 4 Z 12 DSG 2000 zu beauskunften, die darin bestünden, dass die Daten einem neuen Auftraggeber zukommen, nicht aber einzelne Vorgänge der Datenverarbeitung gemäß § 4 Z 9 DSG 2000 durch Organwalter oder Bedienstete des Auftraggebers wie das Abfragen oder Ausgeben (inkl. Ausdrucken) von Daten. Die Namen von Mitarbeitern eines Auftraggebers seien, auch wenn die Vornahme von Eintragungen durch sie gemäß § 14 Abs. 2 Z 7 DSG 2000 protokolliert wurde, weder "zur Person des Beschwerdeführers verarbeitete Daten" noch "verfügbare Informationen über ihre Herkunft" und daher nicht vom Recht auf Auskunft nach § 26 Abs. 1 DSG 2000 umfasst. Die Datensicherheitsmaßnahmen nach § 14 DSG 2000 – auf welche die Beschwerdegegnerin offenkundig verweise – würden lediglich Verpflichtungen des Auftraggebers, nicht aber subjektive Rechtsansprüche der Betroffenen auf deren Einhaltung und schon gar kein Recht auf Auskunft über (reine) Protokolldaten begründen.

Neben dem Wortlaut des § 26 Abs. 1 DSG 2000 folge dies auch aus dem von der Datenschutzkommission bereits mehrfach betonten Zweck des Auskunftsrechts als "Begleitgrundrecht", dessen Zweck es ist, dem Betroffenen die Durchsetzung seiner Rechte auf Geheimhaltung (§ 1 Abs. 1 DSG 2000) und Löschung (§ 1 Abs. 3 Z 2 DSG 2000) zu sichern.

Die belangte Behörde als Nachfolgebehörde der Datenschutzkommission sehe keinen Grund, von dieser Rechtsprechung abzuweichen.

Im Umkehrschluss bedeute dies, dass die Benennung konkreter Organwalter oder Bediensteter eines Auftraggebers, die Eintragungen oder Abfragen vorgenommen hätten, nur dann als vom Auskunftsrecht nach § 26 DSG 2000 umfasst angesehen werden könnte, wenn ein Betroffener hinreichend konkrete Hinweise habe, dass diese ihn in seinen datenschutzrechtlichen Rechten verletzen bzw. verletzten und er gegen diese die Durchsetzung seiner Rechte anstrengen wolle. Dies müsste ein Betroffener jedoch gegenüber dem Auftraggeber im Auskunftsbegehren klar offenlegen, damit der Auftraggeber eine Abwägung vornehmen könne, ob das Recht auf Auskunft eines Betroffenen das Recht konkreter Organwalter oder Bediensteter auf Geheimhaltung (und damit an der Nichtnennung der Namen) überwiege. In ihrem Auskunftsbegehren vom 22.08.2014 habe die Beschwerdeführerin jedoch keinen konkreten (namensbezogenen) Verdacht eines unzulässigen Zugriffes geäußert, sondern pauschal und ohne nähere Begründung ("aus gegebenem Anlass") eine Zugriffsliste angefordert.

Soweit die Beschwerdeführerin in ihren Eingaben auf eine mangelhafte Protokollierung der Zugriffe bzw. unberechtigte Zugriffe verweise, so sei dies einerseits vom Beschwerdegegenstand des vorliegenden Verfahrens nicht erfasst bzw. einer bescheidmäßigen Absprache unzugänglich, weshalb auf diese Punkte nicht näher einzugehen gewesen sei.

Eine Belehrung über diese Umstände habe aufgrund der Rechtsprechung des Verwaltungsgerichtshofes zur Manuduktion einer unvertretenen Partei unterbleiben können (dazu wurde bspw. auf das Erkenntnis vom 26.07.2012, Zl. 2011/07/0143, mwN verwiesen).

Bei der Inrechnungstellung von insgesamt EUR 20,78 durch die mitbeteiligte Partei (die von der Beschwerdeführerin beglichen wurden) handle es sich nicht um Verfahrenskosten im Sinne des § 74 AVG. Sollte die mitbeteiligte Partei Kosten rechtswidrig auf die Beschwerdeführerin übergewälzt und damit deren Vermögen gemindert haben, liege auf Seiten der Beschwerdeführerin ein Anspruch mit dem Charakter eines Schadenersatz- oder Bereicherungsanspruches gegen die mitbeteiligte Partei vor. Dabei handelt es sich um einen Leistungsanspruch zivilrechtlichen Charakters, über dessen Bestehen oder Nichtbestehen die belangte Behörde in Ermangelung einer entsprechenden Zuständigkeitsnorm nicht entscheiden könne ohne in die Zuständigkeit der Gerichte einzugreifen (dazu wurde auf den Bescheid vom 18.09.2009, GZ K121.521/0007-DSK/2009, verwiesen).

5. Gegen diesen Bescheid erhob die Beschwerdeführerin mit Schreiben vom 20.10.2015, eingelangt bei der belangten Behörde am 22.10.1015, Beschwerde an das Bundesverwaltungsgericht. Sie habe um die Übermittlung von Originalzugriffslisten gebeten und stattdessen eine abgeänderte Zugriffsliste, die inhaltlich nachweislich unrichtig und unvollständig sei, erhalten. Aus der Zugriffsliste sei nicht einmal ersichtlich, um wessen Daten es sich handle. Auch die illegalen Zugriffe des Verwaltungsdirektors selbst seien in diesem klar definierten Zugriffszeitraum entfernt worden. Protokollereignisse, die sie selbst zu Zwecken der Nachverfolgung durchgeführt hatte, würden beinahe zur Gänze fehlen. Jene Person auf der Zugriffsliste, die ihre Befunde für die Patientenvertretung ausgehoben hätte, sei zu diesem Zeitpunkt bereits die zweite Woche krank gewesen und habe daher nicht anwesend sein können. Weiters machte sie geltend, dass ihre Daten unzulässigerweise an die XXXX Patientenvertretung übermittelt worden seien. Die Beschwerdeführerin behauptete weiters, dass die von der belangten Behörde zitierten Bescheide der Datenschutzkommission nicht mit ihrem Fall vergleichbar wären, wo es um sensible Daten gehe. Auch monierte die Beschwerdeführerin, dass die belangte Behörde die Beschwerde abgewiesen habe, bevor überhaupt noch eine Stellungnahme der mitbeteiligten Partei eingeholt worden war. Außerdem habe die belangte Behörde ihre Manuduktionspflicht verletzt. Die Beschwerde enthielt auch Ausführungen zu mangelhaften Sicherheitsmaßnahmen der mitbeteiligten Partei.

6. Mit Schreiben vom 27.10.2015 übermittelte die belangte Behörde die Beschwerde und den Bescheid an die mitbeteiligte Partei. Sie wies darauf hin, dass die Beschwerdeführerin nun erstmals eine unzulässige Datenübermittlung an die XXXX Patientenvertretung geltend mache. Die mitbeteiligte Partei werde hierzu um Stellungnahme gebeten.

7. Mit Stellungnahme vom 04.11.2015 teilte die mitbeteiligte Partei mit, dass sie von der XXXX Patientenvertretung schriftlich informiert worden sei, im Auftrag der Beschwerdeführerin aktiv geworden zu sein, und dass diese die mitbeteiligte Partei um die Übermittlung sämtlicher relevanter Teile der Krankengeschichte ersucht habe, welche den XXXX beträfen. Die XXXX Patientenvertretung habe der mitbeteiligten Partei auch eine diesbezügliche Handlungsvollmacht von der Beschwerdeführerin vorgewiesen, in welcher die mitbeteiligte Partei gegenüber der XXXX Patientenvertretung von der Verschwiegenheit entbunden worden sei (diese wurde als Beilage der belangten Behörde übermittelt). Die rechtlichen Voraussetzungen dieser Datenweitergabe seien daher gegeben gewesen. Die Datenübermittlung habe auch im Interesse und mit schriftlicher Zustimmung der Beschwerdeführerin stattgefunden. Es sei der mitbeteiligten Partei völlig unverständlich, weshalb die Beschwerdeführerin nunmehr die Ermittlung als unzulässig bezeichne.

8. Mit Schreiben vom 24.11.2015 wurde die Beschwerde samt der Stellungnahme der mitbeteiligten Partei sowie dem Verwaltungsakt dem Bundesverwaltungsgericht vorgelegt.

9. Mit Schreiben vom 08.07.2016 übermittelte die Beschwerdeführerin u. a. ein "Ergänzendes Vorbringen mit Anträgen". Darin wird vorwiegend auf ein anderes beim Bundesverwaltungsgericht anhängiges Verfahren der Beschwerdeführerin, insbesondere eine mündliche Verhandlung, in der hervorgekommen sei, dass ihr divergierende Zugriffslisten vorgelegt worden seien, Bezug genommen.

10. Aufgrund einer Verfügung des Geschäftsverteilungsausschusses wurde am 02.11.2016 der gegenständliche Gerichtsakt der bisher zuständigen Gerichtsabteilung abgenommen und der Gerichtsabteilung W214 neu zugewiesen.

11. Nach Übermittlung der Stellungnahme der belangten Behörde sowie der Stellungnahme der mitbeteiligten Partei an die Beschwerdeführerin nahm diese mit Schreiben vom 20.12.2016 Stellung. Darin behauptete sie, dass der Verwaltungsdirektor auch hier wieder "ohne Parteistellung" unzulässige Stellungnahmen im Verfahren eingebracht habe. Es handle sich um eine unzulässige Übermittlung des XXXX, der unmöglich von ihr sein könne, an Dritte. Wenn die belangte Behörde ausführe, dass es für sie nur schwer möglich gewesen sei, den wahren Willen der Beschwerdeführerin zu erfassen, so liege das an der mangelnden Manuduktion durch die belangte Behörde. Außerdem habe sie hervorgehoben, dass erkennbar geworden sei, dass wieder eine Datenverwendung stattgefunden haben könnte. Diese habe sie aufgrund der verweigerten Auskunft nicht konkretisieren können. Die Übermittlung des XXXX an die XXXX Patientenvertretung hätte beauskunftet werden müssen. Es gehe nicht an, dass ihre Daten ohne ihre Zustimmung an Dritte weitergegeben würden. Unklar sei auch, wie nach Vorstellung der belangten Behörde eine missbräuchliche Datenverwendung mangels erteilter Auskunft "klar dargelegt" werden könne. Die Beschwerdeführerin stellt eine Reihe von Anträgen, unter anderem auch auf Vorlage diverser Schriftstücke und auf Ausspruch der unverzüglichen Unterlassung der Zugriffe auf ihre sensible Daten oder auf ihre geheimhaltungspflichtigen Verfahrenskorrespondenzen durch den unzuständigen Verwaltungsdirektor wegen Gefahr in Verzug.

12. Aufgrund der Schreiben des Bundesverwaltungsgerichtes vom 31.03.2017 und 24.04.2017 führte die mitbeteiligte Partei in ihrer Stellungnahme vom 08.05.2017 aus, dass vom Auskunftsrecht nur Übermittlungsvorgänge an Dritte betroffen seien. Um Auskunft über solche Übermittlungsvorgänge sei im beschwerdegegenständlichen Auskunftsersuchen nicht gebeten worden. Interne Verwendungsvorgänge seien nach Ansicht der mitbeteiligten Partei nur dann vom Auskunftsrecht erfasst, wenn es spezielle Anhaltspunkte gebe, missbräuchliche Verwendungen befürchten zu müssen. Solche Anhaltspunkte habe die Beschwerdeführerin in ihrem Antrag auf Auskunft nicht genannt. Dennoch sei Auskunft über die Dokumentenzugriffe bzw. Einsicht in die Dokumenteninhalte erteilt worden.

Die Liste der Dokumentenzugriffe umfasse die tatsächlichen Zugriffe auf Dokumente bzw. Einsicht in den Dokumenteninhalt. Sie umfasse hingegen nicht die Auflistung der vorhandenen Dokumente bzw. der Übersichtsdarstellung. Die Übersichtsdarstellung sei bekanntlich aus technischen Gründen von zahlreichen Mehrfacheinträgen ins Protokoll geprägt. Zur Ursache dieser Mehrfacheinträge werde auf die Zeugenaussagen der Vertreter der Firma XXXX in Verfahren W214 2007810 verwiesen. Die Umstellung gegenüber der bis etwa Frühjahr 2014 geübten Vorgehensweise sei gewählt worden, da die ausufernden Listen mit zahlreichen Mehrfacheinträgen in der Vergangenheit zu Unverständnis und Verwirrung geführt hätten. Bei den bis dato verwendeten Listen sei nicht das geöffnete Dokument selbst erkennbar, sondern lediglich eine Dokumentennummer angeführt gewesen. Insbesondere bei Besprechungen mit Personen, die solche Auswertungen gewünscht hätten, habe sich für den Datenschutzbeauftragten der mitbeteiligten Partei herausgestellt, dass die beschriebene Beschränkung auf tatsächliche Dokumentenzugriffe, das Weglassen der teilweise dutzendfach angeführten Übersichtsaufrufe, aber auch der Verzicht auf die Darstellung von technischen Spezifikationen wie Arbeitsstelle, IP-Nummer, Programmkürzel etc. im Hinblick auf die allgemeine Verständlichkeit der Protokolle erforderlich sei. Im Bedarfsfall, also wenn es konkrete Verdachtsmomente für missbräuchliche Zugriffe geben sollte, könnte der Datenschutzbeauftragte der mitbeteiligten Partei in gesonderter Auswertung noch auf den Inhalt zugreifen, allenfalls Auskunft geben oder einen Sachverhalt ausforschen. Hierfür sei aber eine entsprechende Zusammenarbeit iSd § 26 Abs. 3 DSG mit dem Auskunftswerber erforderlich. Das Erfordernis des DSG 2000, welches eine Liste in möglichst verständlicher Form postuliere, sei daher entsprechend umgesetzt worden. Im Schreiben vom 22.08.2014 habe die Beschwerdeführerin auch ausdrücklich um eine Liste "in allgemein verständlicher Form" ersucht. In ihrer Reklamation vom 04.09.2014 habe die Beschwerdeführerin die Mitteilung technischer Angaben wie Arbeitsstelle und Programmname begehrt. Die Mitteilung solcher technischen Angaben sei hingegen nicht allgemein verständlich und es bestehe sohin kein Rechtsanspruch darauf.

Dass sich die Liste auf die Fälle der Beschwerdeführerin beziehe, ergebe sich aus der Benennung der Datei "XXXXpdf". Die Datei sei an die Beschwerdeführerin übermittelt worden. Darüber hinaus habe es bei der Übermittlung der Liste ein ergänzendes und erklärendes Begleitschreiben gegeben.

Die Liste entspreche jedenfalls der damals gängigen Auflistung, die der Datenschutzbeauftragte der mitbeteiligten Partei auch selbst bei seinen Stichprobenkontrollen zur Analyse sowie bei seinen Besprechungen mit Betroffenen verwendet habe. Dies sei auch damals schon vom Datenschutzbeauftragten der mitbeteiligten Partei der Beschwerdeführerin dargelegt worden.

Von der Beschwerdeführerin sei ausdrücklich eine Liste der Zugriffe ab dem 09.03.2014 angefordert worden. Der Datenschutzbeauftragte habe daher die im Programm übliche Voreinstellung entsprechend auf den ausdrücklich gewünschten Zeitraum eingeschränkt. Softwarebedingt sei dennoch der standardmäßig voreingestellte Zeitraum als Auswertungszeitraum ausgedruckt worden, was dem Datenschutzbeauftragten damals nicht aufgefallen sei. Eine Einschränkung auf spezielle Behandlungsfälle sei nicht vorgenommen worden. In der Auflistung nicht enthalten seien jene Zugriffe mit dem Patientenexplorer, die nur eine Vorschau auf Dokumente zeigten. Wie bereits der Beschwerdeführerin sowie auch der belangten Behörde und dem Bundesverwaltungsgericht mitgeteilt worden sei, habe der Explorer diesbezüglich einen Programmierfehler aufgewiesen. Der Explorer sei daher außer Betrieb genommen worden. Der Beschwerdeführerin sei auch mitgeteilt worden, dass keine Zugriffe, außer den von ihr selbst vorgenommenen, mit dem Explorer stattgefunden hätten.

Bezüglich des protokollierten Zugriffs der Beschwerdeführerin vom 22.08.2014 sei davon auszugehen, dass dieser tatsächlich stattgefunden habe. Der Softwarefehler habe darin bestanden, dass der Explorer das Berechtigungskonzept nicht ausreichend berücksichtigt habe, was dazu geführt habe, dass die Beschwerdeführerin überhaupt Zugriff auf ihren XXXX Befund gehabt hätte und die Vorschauergebnisse (bei Anklicken der Dokumente) nicht protokolliert worden seien.

13. Das Bundesverwaltungsgericht hat Einsicht in den hg. Akt W214 2007810-1 genommen.

14. Mit Schreiben vom 11.05.2017 erfolgte durch das Bundesverwaltungsgericht eine Rechtsbelehrung der Beschwerdeführerin.

15. Mit Schreiben vom 22.05.2017 nahm die Beschwerdeführerin zu den Schriftsätzen der mitbeteiligten Partei Stellung und stellte fest, dass die Protokollliste unvollständig und unrichtig sei. Auch Zugriffe auf Dokumentübersichten seien zu beauskunften. Die Beschwerdeführerin beantragte u.a. die Beiziehung eines deutschen Sachverständigen.

16. Mit Schreiben vom 06.06.2017 bestätigte auf Nachfrage des Bundesverwaltungsgerichtes die mitbeteiligte Partei, dass in der übermittelten Liste nur jene Zugriffe aufgelistet wurden, bei denen Dokumente geöffnet worden seien und somit auch der Inhalt lesbar geworden sei. Aufrufe von Dokumentübersichten, bei denen keine Dokumentinhalte lesbar gewesen seien, seien nicht dargestellt, denn die Protokollierung solcher Übersichtsaufrufe sei bekanntlich sehr unübersichtlich und führe zu Mehrfachprotokollierungen, Fehlinterpretationen und Missverständnissen. Im angefragten Zeitraum, also vom 09.03.2014 bis 22.08.2014, sei nur mit den auf der Liste ausgewiesenen Benutzerkennungen (alsoXXXX und XXXX auf Dokumentübersichten der Beschwerdeführerin zugegriffen worden.

Mit dem Programm "Patientenexplorer" hätten im angerfragten Zeitraum keine anderen Personen als die Beschwerdeführerin selbst auf ihre Daten zugegriffen. Die Beschwerdeführerin habe im angefragten Zeitraum nur am 22.08.2014 mit dem Patientenexplorer Zugriffe vorgenommen.

Nach dem Wissensstand der mitbeteiligten Partei seien Dokumente, zu denen seitens des Programmes Patientenexplorer ein Zugriff vorgenommen worden sei, auch tatsächlich geöffnet worden. Dies gelte auch für den Zugriff am 22.08.2014.

17. Mit Schreiben vom 04.07.2017 führte die Beschwerdeführerin aus, dass auch das Abfragen von Dokumentenübersichten zu beauskunften sei. Weiters könne sie nicht auf ihren XXXX Befund zugegriffen haben, weil diese dem Betriebsarzt zugeordnet gewesen sei. Auch habe sie mit dem Patientenexplorer auf weitere Dokumente im Rahmen der Vorschau Zugriff genommen. Weiters wurde erneut eine Reihe von Anträgen gestellt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1. Die mitbeteiligte Partei ist Anstaltsträger des XXXX und verwendet das elektronische Patientendokumentationssystem "Patidok" zur Führung von Krankengeschichten der Patienten. Die Beschwerdeführerin versah bis Juli 2016 in diesem Krankenhaus ihren Dienst als diplomierte Gesundheits- und Krankenschwester. Die Beschwerdeführerin hat sich am XXXX einem operativen Eingriff im Krankenhaus unterzogen, anlässlich dessen Gesundheitsdaten der Beschwerdeführerin in "Patidok" gespeichert wurden.

2. Aufgrund einer am 16.07.2013 bei der (damaligen) Datenschutzkommission eingelangten Eingabe der Beschwerdeführerin, wonach der Beschwerdegegner unzulässigerweise Einsicht in ihre in "Patidok" gespeicherten Patientendaten genommen habe, leitete die Datenschutzkommission zur Grundzahl K213.220 amtswegig ein Verfahren nach § 30 DSG 2000 ein. Gleichzeitig wurde die Eingabe der Beschwerdeführerin als Beschwerde nach § 31 DSG 2000 gewertet und zur Grundzahl K121.990 protokolliert.

3. Mit Beschluss der Datenschutzkommission vom 09.10.2013, GZ K213.220/0009 DSK/2013, wurde gegenüber der mitbeteiligten Partei zur Herstellung des rechtmäßigen Zustandes die Empfehlung ausgesprochen, diese möge die Zugriffsberechtigung auf die in der EDV-gestützten Patientendokumentation "Patidok" verarbeiteten Patientendaten so gestalten, dass die zugreifende Person nur Einblick in jene Daten erhält, die für die Erfüllung ihrer Aufgaben berufsgruppenspezifisch erforderlich sind. Für die Umsetzung dieser Empfehlung wurde eine Frist von zwölf Monaten gesetzt.

4. Mit Bescheid der Datenschutzkommission vom 25.10.2013, GZ K121.990/0016 DSK/2013, wurde der Beschwerde der Beschwerdeführerin teilweise stattgegeben und festgestellt, dass die mitbeteiligte Partei die Beschwerdeführerin durch Einsicht in die in der EDV-gestützten Patientenverwaltung "Patidok" gespeicherte Krankengeschichte der Beschwerdeführerin am XXXX im Zeitraum zwischen 12:06:16 Uhr und 12:07:15 Uhr in ihrem Grundrecht auf Geheimhaltung schutzwürdiger personenbezogener Daten verletzt hat.

5. Am 22.08.2014 richtete die Beschwerdeführerin ein E-Mail an den Datenschutzbeauftragten des Krankenhauses mit folgendem (auszugsweisen) Wortlaut:

"Aus gegebenem Anlass stelle ich den Antrag auf Übermittlung meiner Zugriffslisten ab 9. März 2014 bis zum aktuellen Datum.

Auch wenn ich laut [ ] gemäß Datenschutzgesetz (?) nur einmal jährlich Anspruch auf eine kostenlose Bearbeitung habe, betrifft das nicht meinen Antrag, weil ich diese Zugriffslisten innerhalb des oben definierten Zeitraumes erstmalig anfordere.

Dazu verweise ich auf das DSG 2000

[ ]

Für Zugriffe während dieser Zeitspanne ersuche ich gleichzeitig um hinreichende Beauskunftung gemäß DSG 2000 § 26 Abs. 1.

[ ]"

6. Die mitbeteiligte Partei übermittelte mit Schreiben vom 27.08.2014 eine Zugriffsliste über den gewünschten Zeitraum und stellte der Beschwerdeführerin eine Gebühr von EUR 18,89 zzgl. 10% USt., sohin in Summe EUR 20,78 Euro, in Rechnung (Rechnung Nr. 2327). Dieser Betrag wurde von der Beschwerdeführerin am 07.09.2014 mittels Zahlungsanweisung überwiesen.

7. Mit E-Mail vom 04.09.2014 an den Datenschutzbeauftragten des Krankenhauses ersuchte die Beschwerdeführerin um Übermittlung der Originalzugriffsprotokolle mit Anführung von "ArbSt" [nicht näher erklärt] und Programmelementen in tatsächlicher Reihenfolge.

8. Der Datenschutzbeauftragte teilte der Beschwerdeführerin mit Schreiben vom selben Tag mit, dass es sich beim übermittelten Zugriffsprotokoll um das "original Zugriffsprotokoll", welches seit Mai 2014 in diesem Format bei Anfragen ausgehändigt und für Stichprobenkontrollen verwendet wird, handle.

9. Die Zugriffslisten geben nur Zugriffe auf geöffnete Dokumente, nicht aber auf die Dokumentenübersicht wieder. Weiters wurden einige der Zugriffe nicht von der genannten Person (XXXX) getätigt, sondern von einer anderen Bediensteten, die das Passwort der XXXX verwendete, das an sie von der Vertretung XXXX weitergegeben worden war. Zugriffe, die mittels Patientennavigator getätigt wurden und nur zu einer Vorschau auf die Dokumente führten, sind ebenfalls nicht enthalten und wurden aufgrund eines Softwarefehlers gar nicht mitprotokolliert.

10. Auf der Liste scheinen Zugriffe unter der Benutzerkennung der Beschwerdeführerin selbst und unter der Benutzerkennung von XXXX auf. Letztere Zugriffe wurden getätigt, um ein Schreiben der XXXX Patientenvertretung zu beantworten.

11. Es kann nicht festgestellt werden, dass außenstehende Dritte auf die Daten der Beschwerdeführerin zugegriffen haben. Es wurden aber Daten aus der Krankengeschichte der Beschwerdeführerin an die XXXX Patientenvertretung übermittelt.

12. Die Beschwerdeführerin ermächtigte die XXXX Patientenvertretung durch eine von ihr am 28.09.2013 unterfertigte Vollmacht unter anderem, sie in ihrer Funktion als Patientenvertretung zu vertreten und nach deren Ermessen sämtliche Aufgaben im gesetzlichen Rahmen wahrzunehmen, insbesondere Krankengeschichten mit sämtlichen Berichten, Dokumentationen, Befunden etc. einzuholen. Sie entband mit dieser Vollmacht weiters alle Angehörigen der Gesundheitsberufe gegenüber den Bediensteten der XXXX Patientenvertretung in Ausübung ihrer Tätigkeit von ihrer gesetzlichen Verschwiegenheitspflicht.

2. Beweiswürdigung:

Die Feststellungen ergeben sich zweifelsfrei aus dem Verwaltungsakt und dem gegenständlichen Gerichtsakt sowie aus dem hg. Akt Zl. W214 2007810-1.

3. Rechtliche Beurteilung:

3.1.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 39 Abs. 1 Datenschutzgesetz 2000 (DSG 2000) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide sowie wegen Verletzung der Entscheidungspflicht in den Angelegenheiten dieses Bundesgesetzes durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

3.1.2. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.1.3. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder

(2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu Spruchteil A):

3.2.1. Die belangte Behörde hat ihren Bescheid auf folgende Rechtsgrundlagen gegründet: §§ 1, 14, 26 und 31 des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999 idgF, die auch im gegenständlichen Verfahren anzuwenden sind.

Die relevanten Bestimmungen des Datenschutzgesetzes 2000 – DSG 2000 BGBl. I Nr. 165/1999 idgF lauten:

"Artikel 1

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. [ ]

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

Definitionen

§ 4. Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:

Z 1 bis 11 [ ]

12. Übermitteln von Daten: die Weitergabe von Daten an andere Empfänger als den Betroffenen, den Auftraggeber oder einen Dienstleister, insbesondere auch das Veröffentlichen von Daten;

darüber hinaus auch die Verwendung von Daten für ein anderes Aufgabengebiet des Auftraggebers;

Z 13 bis 15 { ]

Datensicherheitsmaßnahmen

§ 14. (1) Für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, sind Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit sicherzustellen, daß die Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, daß ihre Verwendung ordnungsgemäß erfolgt und daß die Daten Unbefugten nicht zugänglich sind.

(2) Insbesondere ist, soweit dies im Hinblick auf Abs. 1 letzter Satz erforderlich ist,

1. die Aufgabenverteilung bei der Datenverwendung zwischen den Organisationseinheiten und zwischen den Mitarbeitern ausdrücklich festzulegen,

2. die Verwendung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden,

3. jeder Mitarbeiter über seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,

4. die Zutrittsberechtigung zu den Räumlichkeiten des Auftraggebers oder Dienstleisters zu regeln,

5. die Zugriffsberechtigung auf Daten und Programme und der Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln,

6. die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,

7. Protokoll zu führen, damit tatsächlich durchgeführte Verwendungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können,

8. eine Dokumentation über die nach Z 1 bis 7 getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern.

Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei der Durchführung erwachsenden Kosten ein Schutzniveau gewährleisten, das den von der Verwendung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.

(3) Nicht registrierte Übermittlungen aus Datenanwendungen, die einer Verpflichtung zur Auskunftserteilung gemäß § 26 unterliegen, sind so zu protokollieren, daß dem Betroffenen Auskunft gemäß § 26 gegeben werden kann. In der Standardverordnung (§ 17 Abs. 2 Z 6) oder in der Musterverordnung (§ 19 Abs. 2) vorgesehene Übermittlungen bedürfen keiner Protokollierung.

(4) Protokoll- und Dokumentationsdaten dürfen nicht für Zwecke verwendet werden, die mit ihrem Ermittlungszweck – das ist die Kontrolle der Zulässigkeit der Verwendung des protokollierten oder dokumentierten Datenbestandes – unvereinbar sind. Unvereinbar ist insbesondere die Weiterverwendung zum Zweck der Kontrolle von Betroffenen, deren Daten im protokollierten Datenbestand enthalten sind, oder zum Zweck der Kontrolle jener Personen, die auf den protokollierten Datenbestand zugegriffen haben, aus einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, daß es sich um die Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach § 278a StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt.

(5) Sofern gesetzlich nicht ausdrücklich anderes angeordnet ist, sind Protokoll- und Dokumentationsdaten drei Jahre lang aufzubewahren. Davon darf in jenem Ausmaß abgewichen werden, als der von der Protokollierung oder Dokumentation betroffene Datenbestand zulässigerweise früher gelöscht oder länger aufbewahrt wird.

(6) Datensicherheitsvorschriften sind so zu erlassen und zur Verfügung zu halten, daß sich die Mitarbeiter über die für sie geltenden Regelungen jederzeit informieren können.

Auskunftsrecht

§ 26. (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Auskunftswerbers aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen. Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit

1. des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich oder

2. der Sicherung der Einsatzbereitschaft des Bundesheeres oder

3. der Sicherung der Interessen der umfassenden Landesverteidigung oder

4. des Schutzes wichtiger außenpolitischer, wirtschaftlicher oder finanzieller Interessen der Republik Österreich oder der Europäischen Union oder

5. der Vorbeugung, Verhinderung oder Verfolgung von Straftaten

ergeben. Die Zulässigkeit der Auskunftsverweigerung aus den Gründen der Z 1 bis 5 unterliegt der Kontrolle durch die Datenschutzbehörde nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzbehörde gemäß § 31 Abs. 4.

(3) Der Auskunftswerber hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

(5) [ ]

(6) Die Auskunft ist unentgeltlich zu erteilen, wenn sie den aktuellen Datenbestand einer Datenanwendung betrifft und wenn der Auskunftswerber im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber zum selben Aufgabengebiet gestellt hat. In allen anderen Fällen kann ein pauschalierter Kostenersatz von 18,89 Euro verlangt werden, von dem wegen tatsächlich erwachsender höherer Kosten abgewichen werden darf. Ein etwa geleisteter Kostenersatz ist ungeachtet allfälliger Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

(7) Ab dem Zeitpunkt der Kenntnis von einem Auskunftsverlangen darf der Auftraggeber Daten über den Auskunftswerber innerhalb eines Zeitraums von vier Monaten und im Falle der Erhebung einer Beschwerde gemäß § 31 an die Datenschutzbehörde bis zum rechtskräftigen Abschluß des Verfahrens nicht vernichten. Diese Frist gilt nicht, wenn einem Löschungsantrag des Auskunftswerbers nach § 27 Abs. 1 Z 2 oder § 28 zu entsprechen ist.

(8) [ ]

(9) [ ]

(10) [ ]

Beschwerde an die Datenschutzbehörde

§ 31. (1) Die Datenschutzbehörde erkennt über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Auskunft nach § 26 oder nach § 50 Abs. 1 dritter Satz oder in ihrem Recht auf Darlegung einer automatisierten Einzelentscheidung nach § 49 Abs. 3 verletzt zu sein, soweit sich das Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) nicht auf die Verwendung von Daten für Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit bezieht.

(2) [ ]

(3) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(4) Einer Beschwerde nach Abs. 1 sind außerdem das zu Grunde liegende Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) und eine allfällige Antwort des Beschwerdegegners anzuschließen. Einer Beschwerde nach Abs. 2 sind außerdem der zu Grunde liegende Antrag auf Richtigstellung oder Löschung und eine allfällige Antwort des Beschwerdegegners anzuschließen.

(5) Die der Datenschutzbehörde durch § 30 Abs. 2 bis 4 eingeräumten Kontrollbefugnisse kommen ihr auch in Beschwerdeverfahren nach Abs. 1 und 2 gegenüber dem Beschwerdegegner zu. Ebenso besteht auch hinsichtlich dieser Verfahren die Verschwiegenheitspflicht nach § 30 Abs. 5.

(6) Im Fall der Einbringung einer zulässigen Beschwerde nach Abs. 1 oder 2 ist ein auf Grund einer Eingabe nach § 30 Abs. 1 über denselben Gegenstand eingeleitetes Kontrollverfahren durch eine entsprechende Information (§ 30 Abs. 7) zu beenden. Die Datenschutzbehörde kann aber dennoch auch während der Anhängigkeit des Beschwerdeverfahrens von Amts wegen nach § 30 Abs. 2 vorgehen, wenn ein begründeter Verdacht einer über den Beschwerdefall hinausgehenden Verletzung datenschutzrechtlicher Verpflichtungen besteht. § 30 Abs. 3 bleibt unberührt.

(7) Soweit sich eine Beschwerde nach Abs. 1 oder 2 als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung im Recht auf Auskunft (Abs. 1) einem Auftraggeber des privaten Bereichs zuzurechnen, so ist diesem auf Antrag zusätzlich die – allenfalls erneute – Reaktion auf das Auskunftsbegehren nach § 26 Abs. 4, 5 oder 10 in jenem Umfang aufzutragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(8) [ ]"

3.2.2. Umgelegt auf den konkreten Fall bedeutet dies Folgendes:

3.2.2.1. Zum Umfang des vorliegenden Auskunftsbegehrens

Wie sowohl die belangte Behörde als auch die mitbeteiligte Partei zutreffend ausführten, hat die Beschwerdeführerin mit Schreiben vom 22.08.2014 (lediglich) eine Liste von Zugriffen auf ihre Daten gefordert.

Nach § 26 Abs. 1 DSG 2000 ist ein Auskunftsbegehren an eine bestimmte Form gebunden: Es hat grundsätzlich schriftlich zu erfolgen, kann aber auch mit Zustimmung des Auftraggebers mündlich gestellt werden. Es geht dabei nicht bloß darum, sicherzustellen, dass wirklich der Betroffene (und nicht eine dritte Person) Auskunft verlangt. Das Einlangen des Antrages auf Auskunft beim Auftraggeber löst nämlich für diesen gewisse Verpflichtungen aus, nämlich insbesondere nach § 26 Abs. 4 leg. cit. die Auskunft innerhalb von acht Wochen zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Die vom Gesetz vorgesehene Formvorschrift (grundsätzlich: Schriftlichkeit) soll damit (auch) sicherstellen, dass für den Auftraggeber der Umfang des Auskunftsbegehrens klar umrissen ist (siehe dazu das VwGH vom 27. November 2007, Zl. 2006/06/0262).

Für die Beurteilung, ob ein datenschutzrechtliches Auskunftsbegehren vorliegt, ist das Begehren auf seinen Inhalt zu prüfen, wobei jener Maßstab anzulegen ist, der auch für einseitige privatrechtliche Willenserklärungen gilt (Wortlaut und Verständnis der Erklärung aus objektiver Sicht; "wie sie der Empfänger nach ihrem Wortlaut und dem Geschäftszweck bei objektiver Betrachtung verstehen konnte", OGH EvBl 1974/185 [Kündigung]; vgl. dazu BVwG vom 17. April 2015, Zl. W214 2010977-1).

Die Beschwerdeführerin hat in ihrem als Auskunftsbegehren gemäß § 26 DSG 2000 zu wertendem E-Mail vom 22.08.2014 unmissverständlich zu erkennen gegeben, dass sie nur um Beauskunftung der durch andere Mitarbeiterinnen und Mitarbeiter der mitbeteiligten Partei getätigten Zugriffe auf ihre Gesundheitsdaten ersuchte (vgl. zum Verständnis eines klar formulierten Auskunftsbegehrens nochmals das zitierte Erkenntnis des Bundesverwaltungsgerichtes). Dass diese Zugriffe durch außenstehende Dritte erfolgt wären, konnte nicht festgestellt werden.

3.2.2.2. Zur begehrten Beauskunftung interner Zugriffe

Wie bereits aus dem Wortlaut des § 26 Abs. 1 DSG 2000 hervorgeht, hat der Auftraggeber auf entsprechendes Ersuchen Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben.

Bei den gemäß § 14 DSG 2000 erstellten Protokolldaten handelt es sich jedoch um keine zu einer bestimmten Person verarbeiteten Daten.

Auch in der Lehre wird dies bekräftigt: Während "Zugangsprotokolle" wie Internet-Verbindungen zu beaufkunften sind, liegt der Fall bei Protolldaten nach § 14 DSG 2000 anders: "Von derartigen Zugangsprotokollen sind Protokolldaten im Rahmen der Datensicherheitsmaßnahmen gemäß § 14 Abs. 2 Z 7 [DSG 2000] zu unterscheiden. Wenn Mitarbeiter des Auftraggebers auf eine Datenanwendung zugreifen, also Daten eingeben oder abfragen, so handelt es sich dabei weder um ,zur Person des Beschwerdeführers verarbeitete Daten¿, noch um ,verfügbare Information über ihre Herkunft¿, auch wenn die Vornahme der Eintragungen durch sie gemäß § 14 Abs. 2 Z 7 protokolliert wurde. Diese Daten sind nicht vom Recht auf nach § 26 Abs. 1 erfasst." (Jahnel, Datenschutzrecht, Rz 7/26 unter Verweis auf Rechtsprechung der Datenschutzkommission [DSK]).

Die belangte Behörde hat auf die diesbezügliche gefestigte Rechtsprechung ihrer Vorgängerbehörde, der Datenschutzkommission (DSK), verwiesen. Zur Frage, ob auftraggeberinterne Zugriffe auf oder Eintragungen in Datenbestände zur Person eines Auskunftswerbers der datenschutzrechtlichen Auskunft unterliegen, existiert eine Reihe von Judikaten der DSK:

"Zu beauskunften sind demnach nur Übermittlungsvorgänge gemäß § 4 Z 12 DSG 2000, die darin bestehen, dass die Daten einem neuen Auftraggeber zukommen, nicht aber einzelne Vorgänge der Datenverarbeitung gemäß § 4 Z 9 DSG 2000 durch Organwalter oder Bedienstete des Auftraggebers wie das Abfragen oder Ausgeben (inkl. Ausdrucken) von Daten (vgl. dazu die Bescheide vom 23.05.2003, GZ K120.840/007-DSK/2003, und vom 02.08.2005, GZ K121.038/0006-DSK/2005)."

"Die Namen von Mitarbeitern eines Auftraggebers sind, auch wenn die Vornahme von Eintragungen durch sie gemäß § 14 Abs. 2 Z 7 DSG 2000 protokolliert wurde, weder "zur Person des Beschwerdeführers verarbeitete Daten" noch "verfügbare Informationen über ihre Herkunft" und daher nicht vom Recht auf Auskunft nach § 26 Abs. 1 DSG 2000 umfasst. Die Datensicherheitsmaßnahmen nach § 14 DSG 2000 – auf welche die Beschwerdegegnerin offenkundig verweist – begründen lediglich Verpflichtungen des Auftraggebers, nicht aber subjektive Rechtsansprüche der Betroffenen auf deren Einhaltung und schon gar kein Recht auf Auskunft über (reine) Protokolldaten (vgl. dazu nochmals den Bescheid vom 02.08.2005)."

"Neben dem Wortlaut des § 26 Abs. 1 DSG 2000 folgt dies auch aus dem von der Datenschutzkommission bereits mehrfach betonten Zweck des Auskunftsrechts als "Begleitgrundrecht", dessen Zweck es ist, dem Betroffenen die Durchsetzung seiner Rechte auf Geheimhaltung (§ 1 Abs. 1 DSG 2000) und Löschung (§ 1 Abs. 3 Z 2 DSG 2000) zu sichern. Aus dieser Perspektive verschafft es dem Betroffenen aber keinerlei Vorteil, wenn er die Namen der Personen kennt, welche seine Daten eingegeben (oder abgerufen) haben, weil die "Begleitgrundrechte" nur gegenüber dem Auftraggeber durchgesetzt werden können.

Somit besteht im Rahmen des Auskunftsrechts nach § 26 Abs. 1 DSG 2000, soweit kein besonderes Interesse eines Betroffenen an einer Benennung der konkreten Personen, die die Daten eingegeben oder abgefragt haben, für Zwecke der Verfolgung seiner Rechte dargetan wird, kein Anspruch eines Betroffenen auf Bekanntgabe dieser Personen (siehe dazu nochmals den Bescheid vom 02.08.2005 sowie das Urteil des Europäischen Gerichtshofes vom 07.05.2009, C-553/07, Rijkeboer, Rz 49 ff.)"

Auch der Verwaltungsgerichtshof geht davon aus, dass interne Abfragen durch Mitarbeiter des Auftraggebers grundsätzlich nicht dem Auskunftsrecht unterliegen:

"Ausgehend davon, dass das in § 26 Abs. 1 dritter Satz DSG 2000 normierte, hier in Betracht kommende Recht auf Auskunft als Recht auf Anführung "allfällige(r) Empfänger oder Empfängerkreise von Übermittlungen" festgelegt ist, und in § 4 Z. 12 DSG 2000 das "Übermitteln von Daten'' als "die Weitergabe von Daten einer Datenanwendung an andere Empfänger als den Betroffenen, den Auftraggeber oder einen Dienstleister, insbesondere auch das Veröffentlichen solcher Daten; darüber hinaus auch die Verwendung von Daten für ein anderes Aufgabengebiet des Auftraggebers" definiert ist, kann die Deutung des Ansuchens des Beschwerdeführers als Auskunftsbegehren nach § 26 Abs. 1 DSG 2000 durch die belangte Behörde und ihre Auffassung nicht als rechtswidrig erkannt werden, dass sich die Auskunftspflicht des § 26 Abs. 1 DSG 2000 nicht auf Abfragen von Daten durch Mitarbeiter desselben Finanzamtes bezog, jedenfalls soweit seine Daten nicht für ein anderes Aufgabengebiet des Auftraggebers (Finanzamtes) verwendet wurden." (VwGH 28.04.2009, Zl. 2005/06/194).

Somit unterliegen Abfragen durch Mitarbeiter des Auftraggebers, die sich innerhalb des ursprünglichen Aufgabengebietes bewegen, nicht der Auskunftspflicht nach § 26 DSG 2000, solange sie keine Übermittlungen im Sinne des § 4 Z 12 DSG 2000 darstellen.

Im Übrigen ist auch nicht ersichtlich, dass im beauskunfteten Zeitraum Mitarbeiter im Rahmen des Aufgabengebietes zugegriffen hätten, da lediglich Zugriffe unter der Benutzerkennung der Beschwerdeführerin selbst ersichtlich sind (zu den Zugriffen unter der Benutzerkennung der XXXX siehe sogleich unten).

Anders liegt der Fall jedoch, wenn Daten für ein anderes Aufgabengebiet verwendet werden:

Wie der VwGH im oben zitierten Erkenntnis ausführt, liegt eine Übermittlung auch bei Abfragen für ein anderes Aufgabengebiet des Auftraggebers vor:

"Es erscheint auch sachgerecht, das Vorliegen einer Übermittlung im Sinne des § 26 Abs. 1 DSG 2000 nur dann anzunehmen, wenn ein solches auch nach der Definition des § 4 Z. 12 DSG 2000 vorliegt. Allerdings liegt im Sinne dieser Gesetzesstelle ein "Übermitteln von Daten" auch dann vor, wenn Daten innerhalb der Sphäre ein und desselben Auftraggebers für ein anderes Aufgabengebiet des Auftraggebers verwendet werden."

Soweit die Zugriffe unter der Kennung von XXXX durchgeführt wurden erfolgten diese tatsächlich für ein anderes Aufgabengebiet als zur Behandlung der Beschwerdeführerin (nämlich zur weiteren Übermittlung an die XXXX Patientenvertretung, bei der eine Beschwerde der Beschwerdeführerin anhängig war). Soweit hier Dokumente geöffnet wurden, wurden diese Zugriffe auch der Beschwerdeführerin beauskunftet. Die Tatsache, dass eine andere Mitarbeiterin unter der Kennung ihrer Kollegin zugegriffen hat, ist insofern irrelevant, als es sich offensichtlich bei der Benützung einer fremden Kennung um einen Datensicherheitsmangel handelt, der jedoch nicht in einem Verfahren nach § 31 DSG 2000 geltend zu machen war (siehe dazu auch die Ausführungen im hg. Verfahren W214 2007810-1).

Wie aus dem Schreiben der mitbeteiligten Partei vom 06.06.2017 hervorgeht, wurde jedoch der Zugriff auf die Dokumentenübersicht der Krankengeschichte der Beschwerdeführerin, welcher unter der Kennung von XXXX erfolgte, der Beschwerdeführerin nicht beauskunftet. Insofern wurde daher das Auskunftsrecht der Beschwerdeführerin verletzt. Daher war der Beschwerde in diesem Punkt stattzugeben.

Darüber hinausgehende Beauskunftungen über konkrete Empfänger der Daten waren deshalb nicht geboten, weil die Beschwerdeführerin ihr Auskunftsbegehren konkret auf die Vorlage einer Zugriffsliste begrenzte.

Zu hinterfragen wäre nach Auffassung des Bundesverwaltungsgerichts die Ansicht der belangten Behörde, dass Protokolldaten dann im Rahmen des Auskunftsrechts zu beauskunften wären, wenn der Betroffene konkrete Hinweise hat, dass diese ihn in seinem datenschutzrechtlichen Rechten verletzen bzw. in seinen Rechten verletzen. Soweit derartige Daten gar nicht unter das Auskunftsrecht fallen, können sie auch nicht bei Vorliegen eines überwiegenden Interesses Gegenstand der Beauskunftung nach dem DSG 2000 sein. Das schließt jedoch nicht aus, dass allenfalls eine Auskunftserteilung dieser Daten an die Beschwerdeführerin aufgrund anderer Bestimmungen des DSG 2000 möglich sein kann oder sogar ein Rechtsanspruch aufgrund anderer Rechtsnormen gegeben sein könnte.

Soweit es sich um Übermittlungen handelt, wären derartige Daten jedenfalls zu beauskunften, sofern ein entsprechendes Auskunftsbegehren gestellt wurde.

In ihrem (für das vorliegende Verfahren maßgebenden) Auskunftsbegehren vom 22.08.2014 hat die Beschwerdeführerin pauschal und ohne nähere Begründung ("aus gegebenem Anlass") lediglich eine Zugriffsliste angefordert.

Sofern die Beschwerdeführerin vorbringt, am 22.08.2014 keinen Zugriff auf ihren XXXX Befund getätigt zu haben, weil der dem betriebsärztlichen Bereich zugeordnet war, wurde dies von der mitbeteiligten Partei damit erklärt, dass man aufgrund eines Softwarefehlers mit dem Patientenexplorer auch auf jene Dokumente zugreifen konnte, die dem betriebsärztlichen Bereich zugeordnet waren. Soweit die Beschwerdeführerin ausführte, dass sie selbst eine Vorschau auf eine größere Zahl von Dokumenten vorgenommen habe, wurde von der mitbeteiligten Partei ausgeführt und hat sich auch im Verfahren W214 200780-1 (Protokoll vom 26.01.2017) ergeben, dass die mit dem Patientenexplorer durch Anklicken des Dokumentes vorgenommene Dokumentenvorschau nicht protokolliert wurde. Sofern (externe) Dokumente jedoch doppelt angeklickt und geöffnet wurden, fand ein Protokollierungsvorgang statt. Es ist daher davon auszugehen, dass aufgrund dieser Softwareeinstellung die Zugriffe der Beschwerdeführerin auf ihre eigenen Daten im Rahmen des Anklickens einzelner Dokumente und der Vorschau auf diese Dokumente nicht protokolliert wurden und daher nicht auf der Protokollliste aufschienen. Externe Dokumente konnten im Rahmen der Vorschau nicht angesehen werden. Um den XXXX Befund zu öffnen, war daher ein Doppelklicken notwendig, welches auch protokolliert wurde. Da die Beschwerdeführerin ausdrücklich "ihre" Zugriffsliste anforderte und es sich noch dazu um Zugriffe der Beschwerdeführerin selbst handelte, war diese "Unvollständigkeit" nicht im gegenständlichen Verfahren zu monieren, sondern stellte – wie schon wiederholt ausgeführt wurde – ein Problem der Datensicherheit dar, das inzwischen behoben wurde. Soweit andere Personen über den Pateientenexplorer zugegriffen hätten, müsste diesbezüglich zumindest eine Protokollierung der Dokumentenübersicht vorliegen. Die mitbeteiligte Partei hat jedoch glaubwürdig mitgeteilt, dass im fraglichen Zeitraum Zugriffe auf die Dokumentenübersicht nur unter der Kennung der Beschwerdeführerin selbst und der XXXX vorgenommen wurden.

Soweit eine (Weiter-)Übermittlung an die XXXX Patientenvertretung festgestellt wurde, war diese vom Ersuchen der Beschwerdeführerin gar nicht erfasst. Überdies ist der Beschwerdeführerin die Auskunft, dass die unter der Kennung von XXXX abgefragten Daten an die XXXX Patientenvertretung übermittelt wurden, inzwischen von der mitbeteiligten Partei gegeben worden, sodass diesbezüglich eine allfällige Beschwer wegen unvollständiger Beauskunftung nicht besteht.

Sofern die Beschwerdeführerin monierte, dass etwa im September 2013 getätigte Abfragen des Verwaltungsdirektors nicht auf der Liste aufscheinen, ist dem entgegenzuhalten, dass diese Abfragen nicht in den im Auskunftsbegehren angegebenen Zeitraum fallen.

Bezüglich der Beauskunftung konkreter Personen, die Abfragen unter der Kennung XXXX getätigt haben bzw. der Übermittlung an die XXXX Patientenvertretung sowie von Abfragen, die nicht in dem von der Beschwerdeführerin im Auskunftsbegehren angegebenen Zeitraum getätigt wurden, war daher die Beschwerde abzuweisen.

3.2.2.3. Zum Antrag auf Rückerstattung der Gebühren

Der Beschwerdegegner hat der Beschwerdeführerin für die erteilte Auskunft eine Gebühr in Höhe von insgesamt EUR 20,78 Euro in Rechnung gestellt. Diese Gebühr wurde von der Beschwerdeführerin vor Einleitung des gegenständlichen Verfahrens beglichen.

Damit handelt es sich nicht um Verfahrenskosten im Sinne des § 74 AVG. Sollte der Beschwerdegegner Kosten rechtswidrig auf die Beschwerdeführerin übergewälzt und damit deren Vermögen gemindert haben, liegt auf Seiten der Beschwerdeführerin ein Anspruch mit dem Charakter eines Schadenersatz- oder Bereicherungsanspruches gegen den Beschwerdegegner vor. Dabei handelt es sich um einen Leistungsanspruch zivilrechtlichen Charakters, über dessen Bestehen oder Nichtbestehen die Datenschutzbehörde in Ermangelung einer entsprechenden Zuständigkeitsnorm nicht entscheiden kann, ohne in die Zuständigkeit der Gerichte einzugreifen (vgl. dazu den Bescheid der DSK vom 18.09.2009, Zl. K121.521/0007-DSK/2009).

Die belangte Behörde hat daher den Antrag auf Rückerstattung der Gebühr zu Recht zurückgewiesen.

3.2.2.4. Zu den sonstigen Anträgen:

Soweit die Beschwerdeführerin in ihren Eingaben an die belangte Behörde sowie an das Bundesverwaltungsgericht auf eine mangelhafte Protokollierung der Zugriffe bzw. unberechtigte Zugriffe verwies, so ist dies einerseits vom Beschwerdegegenstand des vorliegenden Verfahrens nicht erfasst bzw. war einer bescheidmäßigen Absprache nicht zugänglich (vgl. dazu auch BVwG W214 2007810-1/232E). Die Beschwerdeführerin wurde in mehreren Verfahren, so auch in diesem, darüber belehrt, dass unzureichende Datensicherheitsmaßnahmen zwar in einem Verfahren nach § 30 DSG 2000 bei der belangten Behörde releviert werden können, nicht aber in einer an die belangte Behörde gerichteten Beschwerde nach § 31 DSG 2000 bzw. einer nach Bescheiderlassung an das Bundesverwaltungsgericht erhobenen Bescheidbeschwerde.

Soweit die Beschwerdeführerin eine Erweiterung aller in Betracht kommenden Gegenstände im Verfahren – wie etwa die Prüfung von Verletzungen im Recht auf Geheimhaltung vorzunehmen oder eine Rechtsgrundlage zu schaffen, die der Richtlinie 95/46/EG gerecht wird – oder beantragte, über die Höhe des Schadens, der der Beschwerdeführerin erwachsen sei oder noch erwachsen werde, zu urteilen, so wurde die Beschwerdeführerin darüber belehrt, dass es dem Bundesverwaltungsgericht an einer Rechtsgrundlage hiefür mangle.

Diese Anträge waren daher insgesamt zurückzuweisen.

3.2.3. Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Der Verwaltungsgerichtshof hat zu Art. II Abs. 2 Z 43a EGVG (aufgehoben durch BGBl. I Nr. 4/2008) – jeweils in Bezug auf eine durch § 67d AVG in der Fassung vor der Novelle begründete Verhandlungspflicht – ausgesprochen, die Voraussetzung eines aus der Aktenlage in Verbindung mit der Berufung geklärten Sachverhaltes sei nicht erfüllt, wenn die erstinstanzliche Beweiswürdigung in der Berufung substantiiert bekämpft wird oder der Berufungsbehörde ergänzungsbedürftig oder in entscheidenden Punkten nicht richtig erscheint, wenn rechtlich relevante Neuerungen vorgetragen werden oder wenn die Berufungsbehörde ihre Entscheidung auf zusätzliche Ermittlungsergebnisse stützen will (zum Erfordernis einer schlüssigen Beweiswürdigung im erstinstanzlichen Bescheid und zur Verhandlungspflicht bei Neuerungen VwGH 11.11.1998, 98/01/0308, und 21.01.1999, 98/20/0339; zur Bekämpfung der Beweiswürdigung in der Berufung VwGH 25.03.1999, 98/20/0577, und 22.04.1999, 98/20/0389; zum Abgehen von der erstinstanzlichen Beweiswürdigung VwGH 18.02.1999, 98/20/0423; zu Ergänzungen des Ermittlungsverfahrens VwGH 25.03.1999, 98/20/0475).

Gemäß der Rechtsprechung des Europäischen Gerichtshofes für Menschenrechte zu Art. 6 EMRK, dessen Garantien nach Art. 47 Abs. 2 der Grundrechte-Charta der EU auch im vor-liegenden Fall Anwendung finden, kann eine mündliche Verhandlung unter bestimmten Vor-aussetzungen unterbleiben, etwa wenn der Fall auf der Grundlage der Akten und der schriftlichen Äußerungen der Parteien angemessen entschieden werden kann (EGMR 12.11.2002, Appl. Nr. 28.394/95, Döry vs. Schweden; 8.2.2005, Appl. Nr. 55.853/00, Miller vs. Schweden).

Im gegenständlichen Fall ist keine Mangelhaftigkeit des Verfahrens ersichtlich. Der Sachverhalt wurde im schriftlichen Verfahren hinreichend ergänzt und festgestellt. Daran ändert auch ein im Rahmen des Verfahrens gestellter Antrag nichts, eine mündliche Verhandlung durchzuführen (vgl. VwGH 17.10.2006, 2005/20/0329; 23.11.2006, 2005/20/0406).

3.3. Zu Spruchteil B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Rechtsprechung steht – wie unter Punkt 3.2. ersichtlich - im Einklang mit der Rechtsprechung der Höchstgerichte. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

3.4. Es war daher spruchgemäß zu entscheiden.