BVwG W252 2260984-1

Spruch:

W252 2260984-1/12E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT, LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde des XXXX vertreten durch XXXX , mitbeteiligte Partei vor dem Verwaltungsgericht, XXXX , gegen den Bescheid der Datenschutzbehörde vom 19.08.2022, zu GZ: XXXX , nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:

A) Der Beschwerde wird Folge gegeben und der Bescheid ersatzlos behoben.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG unzulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Dem Verfahren liegt der Versand von Impferinnerungsschreiben zu Grunde, die im Namen der Gesundheitsreferentin der XXXX Landesregierung, der Ärztinnen und Ärztekammer XXXX sowie diverser Sozialversicherungsträger Ende November 2021 an Personen über 18 Jahre mit Wohnsitz in XXXX gesendet worden sind, die keine Schutzimpfung gegen COVID-19 erhalten hatten. Dagegen beschwerte sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatten, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei.

2. Mit Datenschutzbeschwerde vom 13.12.2021, eingegangen bei der DSB am 23.12.2021, brachte die mitbeteiligte Partei (Beschwerdeführerin im verwaltungsbehördlichen Verfahren) zusammengefasst vor, dass sie sich aufgrund des eingangs näher beschriebenen Impfschreibens in ihrem Grundrecht auf Datenschutz iSd. § 1 DSG als verletzt erachtet sehe, da sie davon ausgehe, dass zur Erstellung des Schreibens auf Informationen zu ihrem Impfstatus zugegriffen worden sei, ohne dass sie dem zugestimmt habe. In der Beschwerde wurde der Beschwerdeführer (Beschwerdegegner im verwaltungsbehördlichen Verfahren) namentlich genannt. Sie beantragte daher, die Grundrechtsverletzung festzustellen, die Datenverarbeitung gemäß § 22 Abs 4 DSG zu untersagen und gemäß § 22 Abs 5 DSG eine Geldbuße zu verhängen.

3. Der Beschwerdeführer brachte in einem Parallelverfahren sinngemäß vor, dass er in Bezug auf die verfahrensgegenständliche Datenverarbeitung alleiniger Verantwortlicher sei. Die XXXX habe über Auftrag der XXXX die wiederum im Auftrag des Beschwerdeführers tätig gewesen sei, die Empfänger des Impferinnerungsschreiben dadurch ermittelt, indem sie über den zentralen Patientenindex alle Personen erhoben habe, die über eine Adresse in XXXX verfügt hätten und über 18 Jahre alt gewesen seien. Im Anschluss seien alle jene Personen herausgefiltert worden, die über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügt hätten. Der Beschwerdeführer könne die Datenverarbeitung auf Art 9 Abs 2 lit g und i DSGVO iVm dem Gesundheitstelematikgesetz, insbesondere mit § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG und den gesetzlichen Zuständigkeitsregelungen, wie insbesondere dem Reichssanitätsgesetz und dem Übergangsgesetz 1920, stützen.

Die belangte Behörde hielt fest, dass sie auf Grund des Vorbringens davon ausgehe, dass das XXXX als datenschutzrechtlicher Verantwortlicher und damit als Beschwerdegegner anzusehen sei und räumte der mitbeteiligten Partei ein, dazu Stellung zu nehmen. Die mitbeteiligte Partei nahm nicht Stellung.

4. Mit Bescheid vom 19.08.2022, GZ: XXXX , gab die belangte Behörde der Beschwerde statt und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem er unrechtmäßig auf ihre Daten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet habe.

5. Begründend führte die belangte Behörde aus, der Beschwerdeführer habe ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der mitbeteiligten Partei im zentralen Impfregister zugriffen. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. Entgegen der Ansicht des Beschwerdeführers würden § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG sowie die gesetzlichen Zuständigkeitsregelungen nämlich keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des § 24d Abs 2 Z 3 GTelG 2012 setze nämlich nach § 24d Abs 1 Z 4 GTelG 2012 eine spezifische Zugriffsberechtigung gemäß § 24f Abs 4 GTelG 2012 voraus, über die der Beschwerdeführer nicht verfügt habe.

Der Antrag auf Untersagung der Datenverarbeitung sei mangels unmittelbarer Gefährdung ab- und der Antrag auf Verhängung einer Geldbuße mangels subjektiven Rechts zurückzuweisen gewesen.

6. Gegen den stattgebenden Teil des Bescheides richtet sich die Beschwerde vom 15.09.2022 wegen Rechtswidrigkeit. Der Beschwerdeführer beantragte, den bekämpften Bescheid dahingehend abzuändern, dass die datenschutzrechtliche Beschwerde zur Gänze abgewiesen werde und führte – sinngemäß und soweit nicht bereits im verwaltungsbehördlichen Verfahren vorgebracht – begründend aus, er sei in der pandemiebedingten Krisenzeit („harter Lockdown“) von der zuständigen Gesundheitslandesrätin im Namen des Landeshauptmanns angewiesen worden, ein Impferinnerungsschreiben an die Einwohner XXXX in Entsprechung des Impfplans zu senden. Das Verwaltungshandeln des Beschwerdeführers sei daher dem Landeshauptmann zuzurechnen. Datenschutzrechtliche Verantwortlichkeit und die Zurechnung des Verwaltungshandeln fielen in diesem Fall – zulässigerweise – auseinander.

Der Landeshauptmann verfüge für den hier (vorwiegend) relevanten und zulässigen Zweck des Krisenmanagements nach § 24d Abs 2 Z 5 GTelG 2012 gemäß § 24f Abs 4 Z 6 lit a GTelG 2012 über eine spezifische Zugriffsberechtigung, woraus sich die datenschutzrechtliche Zulässigkeit der Datenverarbeitung durch den Beschwerdeführer ergebe.

Der Beschwerdeführer könne sich darüber hinaus auf den Sondertatbestand des § 24d Abs 2 Z 3 GTelG 2012 für Impferinnerungen stützen. Da für diesen Tatbestand niemandem eine spezifische Zugriffberechtigung nach § 24f Abs 4 GTelG 2012 zukomme, sei das Fehlen einer Zugriffsberechtigung nicht als absolutes Verbot zu sehen.

Die Abfrage im Patientenindex sei erfolgt, um die aktuelle Wohnadresse der betroffenen Personen zu ermitteln, um zu gewährleisten, dass die Impferinnerungsschreiben an die richtige Anschrift gesendet werden. Dahingehend sei der Zugriff zur Überprüfung der eindeutigen Identität natürlicher Personen durchgeführt worden und rechtmäßig gewesen. Sie sei darüber hinaus auch durch § 8 DSG gerechtfertigt.

7. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsaktes dem erkennenden Gericht vor und brachte vor, die Ausführungen des Beschwerdeführers, dass nicht er, sondern der Landeshauptmann der Verantwortliche des Impfschreibens gewesen wäre, seien mit dem Layout des Impferinnerungsschreibens und seinem Vorbringen im verwaltungsbehördlichen (parallelen) Verfahren nicht vereinbar.

Aus § 24d Abs 2 Z 5 GTelG 2012 sei nicht ableitbar, dass der Landeshauptmann berechtigt gewesen sei, zum Zweck des Versands des verfahrensgegenständlichen Impferinnerungsschreibens auf die Daten des zentralen Impfregisters zuzugreifen. Die Bestimmung sei weder ausreichend präzise, noch hinreichend konkret.

Würde man der Argumentation des Beschwerdeführers folgen, wäre die Einführung des § 750 ASVG durch BGBl. I Nr. 35/2021 sowie dessen Novellierung durch BGBl. I Nr. 197/2021 und die Einführung des § 4g Epidemiegesetzes durch BGBl. I Nr. 89/2022, die präzise darlegen, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt sei, überhaupt nicht notwendig gewesen. Es könne dem Gesetzgeber in diesem Zusammenhang nicht unterstellt werden, Sinnloses – weil redundant – regeln zu wollen.

Das Vorbringen des Beschwerdeführers zur einschränkenden Interpretation des § 24d GTelG 2012, wonach nicht jedenfalls eine spezifische Zugriffsberechtigung bestehen muss, sei auf Grund des klaren Gesetzeswortlauts nicht mit dem Legalitätsprinzip des Art 18 Abs 2 B-VG vereinbar.

Schließlich verwies die belangte Behörde auf ein ihr – in einem anderen Verfahren – vorgelegtes Rechtsgutachten, das im Ergebnis belege, dass die durchgeführte Datenverarbeitung auch nicht auf, wie vom Beschwerdeführer vermeint, andere gesetzliche Bestimmungen gestützt werden könne.

8. Mit Beschluss des Bundesverwaltungsgerichts vom 22.04.2023 wurde das gegenständliche Verfahren bis zur Entscheidung durch den Verwaltungsgerichtshof über die ordentliche Revision vom 16.03.2023 gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 31.01.2023, GZ W258 2263074-1/7E ua, gemäß § 34 Abs 3 VwGVG ausgesetzt.

Der Verwaltungsgerichtshof hat über die Revision mit Erkenntnis vom 27.06.2023, Ro 2023/04/0013, entschieden.

9. Aufgrund der Verfügung des Geschäftsverteilungsbeschlusses vom 20.10.2023 wurde die gegenständliche Rechtssache der Gerichtsabteilung W252 zugewiesen.

10. Mit Parteiengehör vom 03.05.2024 wurde es der mitbeteiligten Partei freigestellt, zum oben genannten Erkenntnis des Verwaltungsgerichtshofs Stellung zu nehmen.

11. Am 04.07.2024 fand eine mündliche Verhandlung vor dem Bundesverwaltungsgericht zur Erörterung der Sach- und Rechtslage statt.

Beweis wurden erhoben durch: Einsichtnahme in den Verwaltungsakt sowie Einsichtnahme in folgende Aktenbestandteile des Parallelverfahrens zu W258 2263074-1, welche den Verfahrensparteien zur Verhandlungsvorbereitung bereits im Vorfeld übermittelt und in das Verfahren eingebracht wurden: Verhandlungsprotokoll zu W258 2263074-1 (Beilage 1 der Ladung zur mündlichen Verhandlung, VHP 11.01.2023); Hintergrundinformationen zu den Rechtsgrundlagen der „Impferinnerungsschreiben“ (Beilage 2 der Ladung zur mündlichen Verhandlung); Angebot zur „Unterstützung bei Abwicklung des „Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland XXXX “ vom 19.11.2021 (Beilage 3 der Ladung zur mündlichen Verhandlung).

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die mitbeteiligte Partei richtete unter Verwendung eines Musterformulars eine Datenschutzbeschwerde an die belangte Behörde. Sie führte dabei folgendes aus (Formatierung nicht wie im Original):

„[…]

Betrifft: Beschwerde gegen die Absender des beiliegenden Impfaufforderungsschreibens wegen Verletzung des Grundrechts auf Geheimhaltung gem. § 1 Abs. 1 DSG.

[…]

Mit Schreiben der nachfolgenden Absender

XXXX

wurde ich zu einem Impftermin am 18.12.2021 in XXXX eingeladen – Schriftstück in Kopie anbei.

Es ergibt sich für mich der dringende Verdacht, dass dieser Einladung eine unzulässige Weitergabe und Verarbeitung meiner besonders geschützten persönlichen Gesundheitsdaten (Art. 5, 6 und 9 DSGVO) zugrunde liegt, zumal § 750 ASVG nur dem Dachverband der Sozialversicherungsträger, nicht aber Behörden oder Gebietskörperschaften das Recht zu entsprechenden Datenverarbeitungen und –verknüpfungen einräumt und auch § 21 des Gesundheitstelematikgesetzes keine Zugriffsberechtigung vorsieht. Ebenso liegt kein Anwendungsfall der § 8 und 10 DSG vor.

Ich beantrage daher, die Grundrechtsverletzung festzustellen, die Datenverarbeitung gem. § 22 Abs. 4 DSG zu untersagen und gem. § 22 Abs. 5 DSG eine Geldbuße zu verhängen.

[…]“

Der Beschwerde war das folgende an die mitbeteiligte Partei adressierte Schreiben beigefügt:„Jetzt anmelden XXXX XXXX [Logo „ XXXX impft.“]

P Österreichische Post AG Prio Brief

Retouren an Postfach 555, 1008 Wien

[1. Optionsfeld: Name und Adresse der mitbeteiligten Partei]

Ihr persönlicher Termin für die COVID-Schutzimpfung ist da!

Die COVID-Schutzimpfung ist derzeit die wichtigste Maßnahme, um die Pandemie zu beherrschen und ein weitgehend normales Leben wieder zu ermöglichen. Das Europäische Gremium für Gesundheit sowie das Nationale Impfgremium empfehlen ausdrücklich die COVID-Schutzimpfung.

Warum ist diese Impfung so wichtig?

Durch die Impfung sinkt nachweislich das persönliche Risiko bei einer Infektion einen schweren Erkrankungsverlauf zu erleiden und somit auch das Risiko eines damit verbundenen Aufenthalts auf einer Intensivstation bzw. zu versterben. Auch die Gefahr an Long-COVID zu erkranken (das ist auch bei einem leichten Verlauf durchaus möglich) wird stark reduziert. Sie schützen mit der Impfung aufgrund des geringeren Erkrankungsrisikos nicht nur sich persönlich, sondern auch Ihre Mitmenschen.

Zum Schutz Ihrer eigenen Gesundheit und damit Sie auch in Zukunft problemlos einen normalen Alltag führen können, wurde für Sie eine COVID-Schutzimpfung reserviert:

[2. Optionsfeld: Impftermin und Impfort]

Wir laden Sie ein, von diesem Angebot Gebrauch zu machen.

Wenn Sie am oben genannten Termin keine Zeit haben, können Sie auch einen Alternativtermin online unter XXXX oder telefonisch unter XXXX buchen. Diese gilt auch, wenn Sie akut erkrankt sind oder z.B. aufgrund einer anderen Therapie diesen Termin nicht wahrnehmen können. Im Falle, dass Sie sich inzwischen haben impfen lassen, bedanken wir uns bei Ihnen dafür!

Sollte Ihnen bekannt sein, dass für Sie aus medizinischen Gründen (Gegenanzeigen) eine COVID-Impfung nicht möglich ist, so erachten Sie das vorliegende Schreiben bitte als gegenstandslos. Wenn Sie unsicher sind, ob Sie gegen COVID geimpft werden können, so empfehlen wir zur Abklärung ein ärztliches Aufklärungs-/Beratungsgespräch zu nutzen.

Bringen Sie zur Impfung bitte Ihren Lichtbildausweis und – wenn vorhanden – Ihre E-Card mit.“

[Unterschrift] [Unterschrift] [Unterschrift]

XXXX XXXX XXXX Gesundheitsreferentin der Präsident der Ärztekammer für Leitender Chefarzt XXXX Landesregierung XXXX XXXX

Unter den Unterschriften scheinen die folgenden Logos auf:

1.2. Der unter Punkt I. dargestellte Verfahrensgang steht fest.

1.3. Die Landesrätin in XXXX wies das Amt der XXXX Landesregierung im Namen des Landeshauptmanns an, ein Impferinnerungsschreiben an die Einwohner XXXX in Entsprechung des (damals aktuellen) Impfplans zu senden.

Ende 2021 wurde das Impferinnerungsschreiben, wie unter Punkt 1.1. beschrieben, unter anderem an die mitbeteiligte Partei per Post versendet. Im 1. Optionsfeld wurden hierfür Name und Adresse des jeweiligen Empfängers eingesetzt. Im 2. Optionsfeld wurden mögliche Impftermine und Orte eingefügt.

Das Schreiben war persönlich an die mitbeteiligte Partei adressiert.

Für die Ermittlung der Adressaten des Schreibens beauftragte die Landerätin die XXXX , die den Auftrag an die XXXX weitergab.

In Erfüllung des Auftrags ermittelte die XXXX am 23.11.2021 sämtliche Personen aus dem Patientenindex, die über 18 Jahre alt waren und eine Adresse in XXXX angegeben haben. Im Anschluss filterte sie die Personen aus, die im zentralen Impfregister über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügt haben. Die XXXX hat die Namen und Adressen der verbleibenden Personen am 23.11.2021 an einen Druckdienstleister übermittelt, der die Briefe gedruckt, kuvertiert und zum Versand aufgegeben hat.

1.4. Nachdem das Amt der Landesregierung die Weisung von der Landesrätin erhalten hat, das Impferinnerungsschreiben zu senden, erstellte es Vorschläge zur weiteren Vorgehensweise, dh es erstellte den Entwurf des Impferinnerungsschreibens, schlug die Empfängerkreise vor und schlug vor, die Daten zur Bestimmung der konkreten Empfänger über den Patientenindex und das zentrale Impfregister zu ermitteln. Die Landesrätin stand dabei im regelmäßigen Kontakt mit den Sachbearbeitern des Amts der Landesregierung und besprach und genehmigte die wesentlichen Schritte, etwa die endgültige Ausgestaltung des Schreibens, die Empfängerkreise und den hierfür erforderlichen Zugriff auf den Patientenindex und das zentrale Impfregister.

2. Beweiswürdigung:

2.1. Die Feststellungen zum Verfahrensgang gründen auf dem unbedenklichen Verwaltungsakt.

2.2. Die Feststellungen zur Erstellung und zum Versand des gegenständlichen Impferinnerungsschreibens gründen auf den Angaben des Beschwerdeführers zu „Frage 2“ in der Stellungnahme vom 21.01.2022 im Administrativverfahren, die mit Schreiben vom 27.04.2022 an die mitbeteiligte Partei übermittelt wurde und die sich im Wesentlichen mit den in der Einvernahme des XXXX , des XXXX und des XXXX getätigten Angaben decken (VHP vom 11.01.2023 zum Verfahren W258 2263074).

Die Feststellung, dass die Landesrätin die XXXX beauftragt hat, gründet auf dem Vertrag „Unterstützung bei Abwicklung des „Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland XXXX “ vom 19.11.2021, der von der Landesrätin unterfertigt worden ist (Beilage 3 der Ladung zur mündlichen Verhandlung).

Die Feststellungen zum Inhalt und zur namentlichen Adressierung des Impferinnerungsschreibens gründen auf dem im verwaltungsbehördlichen Verfahren von der mitbeteiligten Partei vorgelegten und an sie adressierten Impferinnerungsschreiben.

2.3. Die Feststellung zur Rolle der Landerätin gründet einerseits in dem in der Beschwerde vorgelegten Aktenvermerk vom 15.09.2022 der Landesrätin XXXX und des Landesamtsdirektors XXXX , wonach die Landesrätin das Amt der Landesregierung am 05.11.2021 angewiesen habe, ein Informationsschreiben betreffend einen Termin für eine COVID-19 Schutzimpfung an die Einwohner XXXX in Übereinstimmung mit dem aktuellen Impfplan zu senden.

Anderseits gründen sie in der Parteieneinvernahme des Landesamtsdirektors (Verhandlungsprotokoll vom 11.01.2023 S 5) und in der Einvernahme des Zeugen XXXX .

Sie gaben übereinstimmend an, dass die Landesrätin und Mitarbeiter des Amts der Landesregierung an den Entscheidungsprozessen gemeinsam beteiligt gewesen wären, die Letztentscheidung aber immer die Landesrätin getroffen habe (VHP vom 11.01.2023 S 33: „Aber die Entscheidung trifft zuletzt dann die politische Verantwortliche. Dass wir von uns aus hier den Prozess ins Rollen bringen, das ist nicht vorstellbar.“; Verhandlungsprotokoll vom 11.01.2023 S 5: „[Die Konkretisierung der Weisung erfolgte] in Abstimmung mit der Landesrätin“ VHP vom 11.01.2023 S 19: „Wenn ich gefragt werde, wenn die Landesrätin „Nein“ gesagt hätte zu unserem Vorschlag, was ich dann gemacht hätte: Ihr einen neuen Vorschlag unterbreitet.“; VHP vom 11.01.2023 S 19: „Wir haben dann in weiterer Folge der Landesrätin eine Vorgangsweise vorgeschlagen, die diese gutiert hat.“). Dies habe insbesondere betroffen, den Zugriff auf den Patientenindex und das zentrale Impfregister (Verhandlungsprotokoll vom 11.01.2023 S 8: „Zweck und Mittel hat das Amt der Landesregierung konkretisiert, aber die Entscheidung die Datenverarbeitung durchzuführen, hat die Landesrätin getroffen.“ und „Das wird aber dann wohl die Landesrätin gewesen sein“; VHP vom 11.01.2023 S 21: „Sie hat dann dem Zugriff auf diese Daten zugestimmt. Meines Wissens hat sie auch mit der XXXX selbst einmal telefoniert.“ und „Wenn ich gefragt werde, wer entschieden hat, dass die XXXX bzw. die XXXX die Daten für das Impferinnerungsschreiben organisieren soll: Die Landesrätin. Das lag auf der Hand, weil wie hätten wir sonst die Daten haben sollen.“), die Ausgestaltung des Schreibens (VHP vom 11.01.2023 S 5: „Über Frage, ob die Landesrätin den Inhalt des Schreibens gesehen hat und genehmigt hat: Ja, sie hat es sogar unterschrieben.“) und die Unterzeichner des Schreibens (VHP vom 11.01.2023 S 10: „Zuletzt die Landesrätin, die gesagt hat, mit wem sie auf dem Schreiben draufstehen will. Die Letztverantwortlichkeit lag bei ihr.“).

Die Angaben des Zeugen XXXX standen dazu nicht im Widerspruch. Er konnte zwar keine Angaben zum detaillierten Entscheidungsprozess machen, weil er nach einer Erstbesprechung nicht mehr eingebunden gewesen sein will (VHP vom 11.01.2023 S 15) und daher etwa auch nicht wisse, wer letztverantwortlich den Inhalt des Impferinnerungsschreiben festgelegt hat (VHP vom 11.01.2023 S 16), aber auch er gab in Übereinstimmung mit dem Landesamtsdirektor und dem Zeugen XXXX an, dass die Letztentscheidung (offenbar generell) bei der Landesrätin gelegen ist (VHP vom 11.01.2023 S 15).

Der durch die Weisung verfolgte Zweck ergibt sich aus der Aussage des Landesamtsdirektors XXXX , wonach das Schreiben den Zweck verfolgt habe, die Impfquote zu erhöhen „um schwere Verläufe zu verhindern oder zu reduzieren und eine Überlastung des Gesundheitssystems hintanzuhalten“ und sich die Landesrätin auf Grund internationaler Beispiele, insbesondere sei in Spanien die Impfquote auf Grund eines Impferinnerungsschreibens erhöht worden, veranlasst sah, ebenfalls ein Impferinnerungsschreiben für XXXX zu versenden (VHP 11.01.2023, S. 6).

2.4. Die Feststellung, dass die Landesrätin den Vertrag mit der XXXX über die Ermittlung der konkreten Empfänger samt Adressdaten unterfertigt hat, gründet auf dem zur Verhandlungsvorbereitung übermittelten Vertrag (Beilage 3 der Ladung zur mündlichen Verhandlung).

3. Rechtliche Beurteilung:

Zu A)

Die zulässige Beschwerde ist berechtigt.

3.1. Zu den maßgeblichen Rechtsvorschriften:

Artikel 4 der Verordnung (EU) 2016/679 (DSGVO) lautet:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

[…]

7. Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; […]“

§ 24 des Datenschutzgesetzes (DSG) lautet:

„(1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

[…]

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner), […]“

Artikel 102 Abs 1 und 2 B-VG lauten:

„(1) Im Bereich der Länder üben die Vollziehung des Bundes, soweit nicht eigene Bundesbehörden bestehen (unmittelbare Bundesverwaltung), der Landeshauptmann und die ihm unterstellten Landesbehörden aus (mittelbare Bundesverwaltung). Soweit in Angelegenheiten, die in mittelbarer Bundesverwaltung besorgt werden, Bundesbehörden mit der Vollziehung betraut sind, unterstehen diese Bundesbehörden in den betreffenden Angelegenheiten dem Landeshauptmann und sind an dessen Weisungen (Art. 20 Abs. 1) gebunden; ob und inwieweit solche Bundesbehörden mit Akten der Vollziehung betraut werden, bestimmen die Bundesgesetze; sie dürfen, soweit es sich nicht um die Betrauung mit der Vollziehung von im Abs. 2 angeführten Angelegenheiten handelt, nur mit Zustimmung der beteiligten Länder kundgemacht werden.

(2) Folgende Angelegenheiten können im Rahmen des verfassungsmäßig festgestellten Wirkungsbereiches unmittelbar von Bundesbehörden besorgt werden:

Grenzvermarkung; Waren- und Viehverkehr mit dem Ausland; Zollwesen; Regelung und Überwachung des Eintrittes in das Bundesgebiet und des Austrittes aus ihm; Aufenthaltsrecht aus berücksichtigungswürdigen Gründen; Passwesen; Aufenthaltsverbot, Ausweisung und Abschiebung; Asyl; Auslieferung; Bundesfinanzen; Monopolwesen; Geld-, Kredit-, Börse- und Bankwesen; Maß- und Gewichts-, Normen- und Punzierungswesen; Justizwesen; Pressewesen; Aufrechterhaltung der öffentlichen Ruhe, Ordnung und Sicherheit einschließlich der ersten allgemeinen Hilfeleistung, jedoch mit Ausnahme der örtlichen Sicherheitspolizei; Vereins- und Versammlungsrecht; Fremdenpolizei und Meldewesen; Waffen-, Munitions- und Sprengmittelwesen, Schießwesen; Kartellrecht; Patentwesen sowie Schutz von Mustern, Marken und anderen Warenbezeichnungen; Verkehrswesen; Strom- und Schifffahrtspolizei; Post- und Fernmeldewesen; Bergwesen; Regulierung und Instandhaltung der Donau; Wildbachverbauung; Bau und Instandhaltung von Wasserstraßen; Vermessungswesen; Arbeitsrecht; Sozial- und Vertragsversicherungswesen; Pflegegeldwesen; Sozialentschädigungsrecht; geschäftlicher Verkehr mit Saat- und Pflanzgut, Futter-, Dünge- und Pflanzenschutzmitteln sowie mit Pflanzenschutzgeräten, einschließlich der Zulassung und bei Saat- und Pflanzgut auch der Anerkennung; Denkmalschutz; allgemeine Angelegenheiten des Schutzes personenbezogener Daten; Organisation und Führung der Bundespolizei; militärische Angelegenheiten; Angelegenheiten des Zivildienstes; Bevölkerungspolitik; land- und forstwirtschaftliches Schul- und Erziehungswesen in den Angelegenheiten des Art. 14a Abs. 2 sowie Zentrallehranstalten; Universitäts- und Hochschulwesen sowie das Erziehungswesen betreffend Studentenheime in diesen Angelegenheiten; Ausbildungspflicht für Jugendliche; öffentliches Auftragswesen.“

Art 103 Abs 2 B-VG lautet:

„Die Landesregierung kann bei Aufstellung ihrer Geschäftsordnung beschließen, dass einzelne Gruppen von Angelegenheiten der mittelbaren Bundesverwaltung wegen ihres sachlichen Zusammenhanges mit Angelegenheiten des selbständigen Wirkungsbereiches des Landes im Namen des Landeshauptmannes von Mitgliedern der Landesregierung zu führen sind. In diesen Angelegenheiten sind die betreffenden Mitglieder der Landesregierung an die Weisungen des Landeshauptmannes ebenso gebunden (Art. 20) wie dieser an die Weisungen der Bundesregierung oder der einzelnen Bundesminister.“

Artikel 50 Abs 4 Verfassungsgesetz über die Verfassung des Landes XXXX lautet:

„In der Geschäftsordnung der Landesregierung kann festgelegt werden, dass einzelne Gruppen von Angelegenheiten der mittelbaren Bundesverwaltung und der dem Landeshauptmann übertragenen Verwaltung von Bundesvermögen wegen ihres sachlichen Zusammenhanges mit Angelegenheiten der Landesverwaltung im Namen des Landeshauptmannes von anderen Mitgliedern der Landesregierung geführt werden.“

§ 2 Abs 2 der Geschäftsordnung der ( XXXX ) Landesregierung lautet:

„Die Landesregierung kann bei Aufstellung ihrer Geschäftsverteilung beschließen, dass einzelne Gruppen von Angelegenheiten der mittelbaren Bundesverwaltung und der dem Landeshauptmann oder der Landeshauptfrau übertragenen Verwaltung von Bundesvermögen wegen ihres sachlichen Zusammenhanges mit Angelegenheiten des selbständigen Wirkungsbereiches des Landes im Namen des Landeshauptmannes oder der Landeshauptfrau von Regierungsmitgliedern zu führen sind.“

§ 1 Geschäftsverteilung der ( XXXX ) Landesregierung lautet:

„Die von der Landesregierung zu besorgenden Geschäfte der Landesverwaltung sowie die dem Landeshauptmann obliegenden Geschäfte der mittelbaren Bundesverwaltung und der Vermögensverwaltung des Bundes werden auf die Mitglieder der Landesregierung nach den Bestimmungen dieser Verordnung aufgeteilt.“

§ 6 Abs 1 Geschäftsverteilung der ( XXXX ) Landesregierung lautet:

„Landesrätin XXXX ist für folgende Bereiche zuständig:

b) Geschäftsbereich der Abteilung IVb – Gesundheit und Sport sowie Geschäftsbereich des Sportreferates;“

§ 13 Abs 3 AVG lautet:

„Mängel schriftlicher Anbringen ermächtigen die Behörde nicht zur Zurückweisung. Die Behörde hat vielmehr von Amts wegen unverzüglich deren Behebung zu veranlassen und kann dem Einschreiter die Behebung des Mangels innerhalb einer angemessenen Frist mit der Wirkung auftragen, dass das Anbringen nach fruchtlosem Ablauf dieser Frist zurückgewiesen wird. Wird der Mangel rechtzeitig behoben, so gilt das Anbringen als ursprünglich richtig eingebracht.“

3.2. Angewendet auf den Sachverhalt bedeutet das:

3.2.1. Zum Beschwerdeführer als Verantwortlicher iSd Art 4 Z 7 DSGVO:

Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Art 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

Der Versand eines Impferinnerungsschreibens ist eine Angelegenheit des Gesundheitswesens, das in mittelbarer Bundesverwaltung, dh grundsätzlich durch den jeweiligen Landeshauptmann, zu vollziehen ist (Art 10 Abs 1 Z 12 iVm Art 102 Abs 1 und 2 B-VG). Im Falle des Art 103 Abs 2 B-VG erfolgt die Vollziehung von Mitgliedern der Landesregierung im Namen des Landeshauptmannes. Dem Landeshauptmann bzw. den zuständigen Mitgliedern der Landesregierung ist das Amt der jeweiligen Landesregierung als administrativer Hilfsapparat beigestellt. Dennoch kann das Amt der Landesregierung als „Behörde“ oder „andere Stelle“ iSd Art 4 Z 7 DSGVO selbst datenschutzrechtlich Verantwortlicher sein: Entweder wenn es nach Unions-, Landes- oder Bundesrecht iSd Art 4 Z 7 letzter Halbsatz DSGVO als Verantwortlicher festgelegt wird, oder wenn der Verantwortliche nicht nach Unions-, Landes- oder Bundesrecht bestimmt wird und das Amt der Landesregierung selbst Zweck und Mittel einer Datenverarbeitung bestimmt.

Von einer Bestimmung von Zweck und Mittel einer Datenverarbeitung durch das Amt der Landesregierung kann nicht mehr ausgegangen werden, wenn sie durch den Landeshauptmann bzw das zuständige Mitglied der Landesregierung detailliert bestimmt werden. In einem solchen Fall, kann das Amt der Landesregierung nicht mehr als Verantwortlicher für die Datenverarbeitung gesehen werden.

Für den konkreten Fall bedeutet das:

Gegenständlich ist der Versand eines Impferinnerungsschreiben, dh eine Angelegenheit des Gesundheitswesens, die in mittelbarer Bundesverwaltung in XXXX durch die Gesundheitslandesrätin im Namen des Landeshauptmanns vollzogen wird (Art 10 Abs 1 Z 12, Art 102 Abs 2 und 103 Abs 2 B-VG iVm Art 50 Abs 4 des Verfassungsgesetzes über die Verfassung des Landes XXXX iVm § 2 Abs 2 der Geschäftsordnung der Landesregierung und den §§ 1 und 6 der Geschäftsverteilung der Landesregierung).

Der datenschutzrechtlich Verantwortliche wird in XXXX nicht von Unions-, Landes- oder Bundesrecht bestimmt.

Den Zweck des Schreibens, dh die Impfquote zu erhöhen, um die Bürger des Landes und das Gesundheitssystem zu schützen, sowie den Zweck des Zugriffs auf den Patientenindex und das zentrale Impfregister, nämlich zur Bestimmung der Adressaten des Impferinnerungsschreibens, hat die Landesrätin vorgegeben.

Die Landesrätin hat ebenfalls die wesentlichen Mittel der Datenverarbeitung bestimmt, nämlich die endgültige Ausgestaltung des Schreibens, die Festlegung der Empfängerkreise und den hierfür erforderlichen Zugriff auf den Patientenindex und das zentrale Impfregister. Zwar stand der Beschwerdeführer der Landesrätin beratend zur Seite und hat ihr Vorschläge zur Umsetzung des Impferinnerungsschreibens unterbreitet; die Letztverantwortung und die konkrete Entscheidung blieb aber immer der Landesrätin vorbehalten.

Der Beschwerdeführer hat somit weder über den Zweck noch die Mittel der Datenverarbeitung entschieden und kann für sie daher nicht Verantwortlicher iSd Art 4 Z 7 DSGVO sein.

3.2.2. Zur Bedeutung der fehlerhaften Bestimmung des Verantwortlichen für das verwaltungsbehördliche Verfahren:

Nach der Rechtsprechung des Verwaltungsgerichtshofes sind Parteierklärungen nach ihrem objektiven Erklärungswert auszulegen, dh es kommt darauf an, wie die Erklärung unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszweckes und der der Behörde vorliegenden Aktenlage objektiv verstanden werden muss. Bei undeutlichem Inhalt eines Anbringens ist die Absicht der Partei zu erforschen. Im Zweifel ist dem Anbringen einer Partei, das sie zur Wahrung ihrer Rechte stellt, nicht ein solcher Inhalt beizumessen, der ihr die Rechtsverteidigungsmöglichkeit nimmt (vgl. etwa VwGH 28.05.2019, Ra 2018/15/0036).

Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde eine Verletzung im Recht auf Geheimhaltung geltend gemacht und das „ XXXX “ sowie weitere Akteure bezeichnet. Da eine Datenschutzbeschwerde wegen Verletzung im Recht auf Geheimhaltung nur erfolgreich sein kann, wenn der Beschwerdegegner iSd Art 4 Z 7 DSGVO Verantwortlicher für die Datenverarbeitung ist und sich herausgestellt hat, dass der Beschwerdegegner tatsächlich nicht Verantwortlicher ist, hätte die Datenschutzbehörde die Datenschutzbeschwerde grundsätzlich abweisen müssen.

Im gegenständlichen Fall ist aber zu berücksichtigen, dass die mitbeteiligte Partei in der Datenschutzbeschwerde zwar das „ XXXX “ als Beschwerdegegner bezeichnet hat, sich auf dem beigefügten Impferinnerungsschreiben, das auf einer Verletzung im Recht auf Geheimhaltung fußen soll, aber kein Hinweis auf das Amt der XXXX Landesregierung befindet und das Schreiben ua von der Landesrätin unterfertigt worden ist.

Damit scheint der Sachverhalt der Entscheidung VwGH 24.01.2018, 2017/09/0055, zu gleichen, in der der Verwaltungsgerichtshof ausgesprochen hat, dass im Falle einer Berufung bzw. Bescheidbeschwerde, in der das Amt der Landesregierung als Berufungs- bzw. Beschwerdegegner genannt wird und der der Berufung bzw Beschwerde beigefügten Bescheid für den Landeshauptmann unterfertigt worden ist, der Wille der Partei zweifelsfrei dahin erkennbar ist, dass tatsächlich der Landeshauptmann Gegner der Berufung bzw der Beschwerde sein soll.

Allerdings unterscheidet sich der Sachverhalt des eben zitierten Erkenntnisses vom gegenständlichen Sachverhalt: Während der korrekte Berufungs- oder Beschwerdegegner ausschließlich davon abhängt, für welches Organ der bekämpfte Bescheid unterfertigt worden ist, hängt die Frage, wer Verantwortlicher für die Datenverarbeitung ist und damit Beschwerdegegner sein kann, nicht von einer Unterfertigung, sondern davon ab, wer über Zwecke und Mittel der Datenverarbeitung entschieden hat.

Es bleibt daher unklar, ob die mitbeteiligte Partei tatsächlich das Amt der Landesregierung als Gegner der Datenschutzbeschwerde bezeichnen wollte, oder etwa rechtsirrtümlich von einer Identität des Amtes der Landesregierung mit der Landesrätin ausgegangen ist.

Dennoch war die belangte Behörde nicht gehalten, die mitbeteiligte Partei gemäß Art 13 Abs 3 AVG aufzufordern, die Zweifel auszuräumen.

Gemäß § 24 Abs 2 Z 2 DSG hat nämlich eine Datenschutzbeschwerde die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird, nur dann zu enthalten, soweit dies zumutbar ist. Im gegenständlichen Fall ist eine Zumutbarkeit jedoch nicht gegeben:

So ist das Impferinnerungsschreiben von Organwaltern von drei verschiedenen Rechtsträgern unterfertigt worden und es enthält Logos von zumindest zwei weiteren Rechtsträgern. Da es für die Frage, wer Verantwortlicher für eine Datenverarbeitung ist, nicht auf die Unterfertigung eines Schreibens, sondern darauf ankommt, wer über ihren Zweck und ihre Mittel entscheidet, bleibt unklar, ob einer oder mehrere der Rechtsträger, die auf dem Schreiben genannt werden, die Zugriffe auf den Patientenindex und das zentrale Impfregister zu verantworten hat. Hinzu kommt, dass auf Grund der engen Verflechtung zwischen Landesrätin und dem Amt der Landesregierung, auch das Amt der Landesregierung Verantwortlicher sein hätte können.

Wer vom möglichen Personenkreis tatsächlich über Zweck und Mittel der Datenverarbeitung entschieden hat, ist für die mitbeteiligte Partei weder aus dem Impferinnerungsschreiben noch auf andere Art feststellbar, weshalb ihr die Benennung des Verantwortlichen nicht zumutbar gewesen ist.

Es oblag daher der belangten Behörde im Rahmen der Ermittlung der materiellen Wahrheit festzustellen, wer Zweck und Mittel der Datenverarbeitung bestimmt hat und damit Verantwortlicher der Datenverarbeitung und Gegner der Datenschutzbeschwerde ist. Indem Sie letztlich den Beschwerdegegner irrtümlich als Verantwortlichen bestimmt hat, hat sie das Verwaltungsverfahren gegen jemanden geführt, der nicht vom Rechtschutzantrag – welcher sich auf den tatsächlich Verantwortlichen bezog – der mitbeteiligten Partei umfasst war. Der Bescheid war daher ersatzlos zu beheben.

Angesichts dieses Ergebnisses ist die Datenschutzbeschwerde der mitbeteiligten Partei nach wie vor unerledigt.

3.2.3. Es war daher spruchgemäß zu entscheiden.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung, sondern konnte sich das Bundesverwaltungsgericht auf Rechtsprechung des VwGH stützen (VwGH 27.06.2023, Ro 2023/04/0013).