1
1.1. In seiner an die Datenschutzbehörde (im Folgenden: belangte Behörde) gerichteten Beschwerde vom 23. Dezember 2021 machte der Revisionswerber eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG geltend. Er sei mit einem an ihn adressierten Schreiben vom Mitbeteiligten (Beschwerdegegner im behördlichen Verfahren) und vom „Sozialministerium/Service für Bürgerinnen und Bürger“ zu einem Impftermin geladen worden. „Es ergebe sich für ihn der dringende Verdacht“, dass dieser Einladung eine unzulässige Weitergabe und Verarbeitung seiner besonders geschützten personenbezogenen Gesundheitsdaten zugrunde liege. Zudem beantragte der Revisionswerber, die Datenverarbeitung gemäß § 22 Abs. 4 DSG zu untersagen und gemäß § 22 Abs. 5 DSG eine Geldbuße zu verhängen.1.1. In seiner an die Datenschutzbehörde (im Folgenden: belangte Behörde) gerichteten Beschwerde vom 23. Dezember 2021 machte der Revisionswerber eine Verletzung im Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG geltend. Er sei mit einem an ihn adressierten Schreiben vom Mitbeteiligten (Beschwerdegegner im behördlichen Verfahren) und vom „Sozialministerium/Service für Bürgerinnen und Bürger“ zu einem Impftermin geladen worden. „Es ergebe sich für ihn der dringende Verdacht“, dass dieser Einladung eine unzulässige Weitergabe und Verarbeitung seiner besonders geschützten personenbezogenen Gesundheitsdaten zugrunde liege. Zudem beantragte der Revisionswerber, die Datenverarbeitung gemäß Paragraph 22, Absatz 4, DSG zu untersagen und gemäß Paragraph 22, Absatz 5, DSG eine Geldbuße zu verhängen.
2
1.2. Mit dem angefochtenen Bescheid der belangten Behörde vom 15. Juni 2022 wurde die Datenschutzbeschwerde als unbegründet abgewiesen (Spruchpunkt 1.). Der Antrag, die belangte Behörde möge die Datenverarbeitung gemäß § 22 Abs. 4 DSG untersagen, wurde ebenfalls abgewiesen (Spruchpunkt 2.). Der Antrag, die belangte Behörde möge gegen den Mitbeteiligten eine Geldbuße verhängen, wurde zurückgewiesen (Spruchpunkt 3.).1.2. Mit dem angefochtenen Bescheid der belangten Behörde vom 15. Juni 2022 wurde die Datenschutzbeschwerde als unbegründet abgewiesen (Spruchpunkt 1.). Der Antrag, die belangte Behörde möge die Datenverarbeitung gemäß Paragraph 22, Absatz 4, DSG untersagen, wurde ebenfalls abgewiesen (Spruchpunkt 2.). Der Antrag, die belangte Behörde möge gegen den Mitbeteiligten eine Geldbuße verhängen, wurde zurückgewiesen (Spruchpunkt 3.).
3
Begründend führte die belangte Behörde aus, der Mitbeteiligte, der als Körperschaft des öffentlichen Rechts hinsichtlich der verfahrensgegenständlichen Verarbeitung als Behörde im Sinn des § 1 Abs. 2 DSG zu qualifizieren sei, habe zum Zweck des Versands eines Informationsschreibens betreffend das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 die Daten des Beschwerdeführers aus dem zentralen Impfregister und aus dem zentralen Patientenindex verarbeitet. Da sich der Mitbeteiligte in diesem Zusammenhang auf § 750 Abs. 1a und Abs. 2 ASVG und somit auf einen tragenden Eingriffstatbestand gemäß § 1 Abs. 2 DSG habe stützen können, sei die Beschwerde nicht berechtigt.Begründend führte die belangte Behörde aus, der Mitbeteiligte, der als Körperschaft des öffentlichen Rechts hinsichtlich der verfahrensgegenständlichen Verarbeitung als Behörde im Sinn des Paragraph eins, Absatz 2, DSG zu qualifizieren sei, habe zum Zweck des Versands eines Informationsschreibens betreffend das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 die Daten des Beschwerdeführers aus dem zentralen Impfregister und aus dem zentralen Patientenindex verarbeitet. Da sich der Mitbeteiligte in diesem Zusammenhang auf Paragraph 750, Absatz eins a und Absatz 2, ASVG und somit auf einen tragenden Eingriffstatbestand gemäß Paragraph eins, Absatz 2, DSG habe stützen können, sei die Beschwerde nicht berechtigt.
4
2. Mit dem angefochtenen Erkenntnis wies das Verwaltungsgericht die gegen Spruchpunkt 1.) des angefochtenen Bescheids gerichtete Beschwerde des Revisionswerbers ab. Die Revision erklärte es für nicht zulässig.
5
In seiner Begründung führte das Verwaltungsgericht zusammengefasst Folgendes aus: Der Revisionswerber habe in seiner an das Verwaltungsgericht gerichteten Beschwerde ergänzend vorgebracht, der Mitbeteiligte habe gegen die in Art. 14 DSGVO vorgesehene Informationspflicht verstoßen. Er wäre überdies verpflichtet gewesen, mit dem Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz (BMSGPK) eine schriftliche Vereinbarung über die gemeinsame Datenverarbeitung gemäß Art. 26 DSGVO abzuschließen. Ebenso hätte der Mitbeteiligte zuvor eine Datenschutz-Folgenabschätzung vornehmen müssen. Auch ein Verstoß gegen die Informationspflicht verletze nach der Entscheidungspraxis der belangten Behörde das Recht eines Beschwerdeführers auf Geheimhaltung. Der Betroffene könne sich danach auf jede Bestimmung der DSGVO stützen, wenn dies im Ergebnis zu einer denkmöglichen Verletzung im Recht auf Geheimhaltung führe.In seiner Begründung führte das Verwaltungsgericht zusammengefasst Folgendes aus: Der Revisionswerber habe in seiner an das Verwaltungsgericht gerichteten Beschwerde ergänzend vorgebracht, der Mitbeteiligte habe gegen die in Artikel 14, DSGVO vorgesehene Informationspflicht verstoßen. Er wäre überdies verpflichtet gewesen, mit dem Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz (BMSGPK) eine schriftliche Vereinbarung über die gemeinsame Datenverarbeitung gemäß Artikel 26, DSGVO abzuschließen. Ebenso hätte der Mitbeteiligte zuvor eine Datenschutz-Folgenabschätzung vornehmen müssen. Auch ein Verstoß gegen die Informationspflicht verletze nach der Entscheidungspraxis der belangten Behörde das Recht eines Beschwerdeführers auf Geheimhaltung. Der Betroffene könne sich danach auf jede Bestimmung der DSGVO stützen, wenn dies im Ergebnis zu einer denkmöglichen Verletzung im Recht auf Geheimhaltung führe.
6
In rechtlicher Hinsicht führte das Verwaltungsgericht aus, gemäß § 1 Abs. 1 DSG habe jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran bestehe. Ein behördlicher Eingriff in das Grundrecht auf Datenschutz wegen überwiegender berechtigter öffentlicher Interessen sei nur dann erlaubt, wenn er durch gesetzliche Grundlagen hinreichend determiniert und im konkreten Fall auch verhältnismäßig sei. Beim Mitbeteiligten handle es sich gemäß § 32 ASVG um eine mit Rechtspersönlichkeit ausgestattete Körperschaft des öffentlichen Rechts, weshalb dieser somit als staatliche Behörde im Sinne des § 1 Abs. 2 DSG zu qualifizieren sei. Die Verantwortlicheneigenschaft des Mitbeteiligten im datenschutzrechtlichen Sinn sei im gegebenen Fall unstrittig.In rechtlicher Hinsicht führte das Verwaltungsgericht aus, gemäß Paragraph eins, Absatz eins, DSG habe jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran bestehe. Ein behördlicher Eingriff in das Grundrecht auf Datenschutz wegen überwiegender berechtigter öffentlicher Interessen sei nur dann erlaubt, wenn er durch gesetzliche Grundlagen hinreichend determiniert und im konkreten Fall auch verhältnismäßig sei. Beim Mitbeteiligten handle es sich gemäß Paragraph 32, ASVG um eine mit Rechtspersönlichkeit ausgestattete Körperschaft des öffentlichen Rechts, weshalb dieser somit als staatliche Behörde im Sinne des Paragraph eins, Absatz 2, DSG zu qualifizieren sei. Die Verantwortlicheneigenschaft des Mitbeteiligten im datenschutzrechtlichen Sinn sei im gegebenen Fall unstrittig.
7
Eine Verletzung von § 1 DSG liege dann nicht vor, wenn der Mitbeteiligte sich auf eine geeignete Rechtsvorschrift berufen könne, welche ihm einen zulässigen Zugriff auf das zentrale Impfregister und den Patientenindex ermögliche. Da die Verwendung besonderer Kategorien von Daten betroffen sei, müsse das Gesetz die Verwendung zur Wahrung wichtiger öffentlicher Interessen vorsehen und gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen.Eine Verletzung von Paragraph eins, DSG liege dann nicht vor, wenn der Mitbeteiligte sich auf eine geeignete Rechtsvorschrift berufen könne, welche ihm einen zulässigen Zugriff auf das zentrale Impfregister und den Patientenindex ermögliche. Da die Verwendung besonderer Kategorien von Daten betroffen sei, müsse das Gesetz die Verwendung zur Wahrung wichtiger öffentlicher Interessen vorsehen und gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen.
8
Eine solche Rechtsgrundlage stelle § 750 Abs. 1a und 2 ASVG dar, auf die sich der Mitbeteiligte auch berufen habe. Zudem habe der Mitbeteiligte vorgebracht, in § 750 Abs. 2 ASVG sei der von Art. 5 Abs. 1 lit. b DSGVO geforderte Zweck näher definiert. Aus dem klaren Wortlaut von § 750 Abs. 1a ASVG ergebe sich, dass der Mitbeteiligte über Auftrag des BMSGPK krankenversicherte Personen und deren anspruchsberechtigte Angehörige, die bis zu einem bestimmten Stichtag noch keine Impfung gegen SARS-CoV-2 erhalten hätten, über das Erkrankungsrisiko und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren habe. Um die in Betracht kommenden Personen ermitteln zu können, sei ein Abgleich mit dem zentralen Impfregister erforderlich. Der Mitbeteiligte werde daher berechtigt, diese Daten einmalig mit eigenen Daten abzugleichen.Eine solche Rechtsgrundlage stelle Paragraph 750, Absatz eins a und 2 ASVG dar, auf die sich der Mitbeteiligte auch berufen habe. Zudem habe der Mitbeteiligte vorgebracht, in Paragraph 750, Absatz 2, ASVG sei der von Artikel 5, Absatz eins, Litera b, DSGVO geforderte Zweck näher definiert. Aus dem klaren Wortlaut von Paragraph 750, Absatz eins a, ASVG ergebe sich, dass der Mitbeteiligte über Auftrag des BMSGPK krankenversicherte Personen und deren anspruchsberechtigte Angehörige, die bis zu einem bestimmten Stichtag noch keine Impfung gegen SARS-CoV-2 erhalten hätten, über das Erkrankungsrisiko und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren habe. Um die in Betracht kommenden Personen ermitteln zu können, sei ein Abgleich mit dem zentralen Impfregister erforderlich. Der Mitbeteiligte werde daher berechtigt, diese Daten einmalig mit eigenen Daten abzugleichen.
9
Gemäß § 24b Gesundheitstelematikgesetz 2012 (GTelG) erfülle die Verwendung des eImpfpasses ein erhebliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j DSGVO. Dieses erhebliche öffentliche Interesse ergebe sich insbesondere auch aus der Optimierung der Impfversorgung der Bevölkerung, vor allem durch die Steigerung der Prozess- und Ergebnisqualität von Impfungen und die Wirksamkeit von öffentlichen Impfprogrammen (Z 1 lit. b) und die Erhöhung der Durchimpfungsraten (Z 1 lit. c). Weiters ergebe sich ein öffentliches Interesse aus der Verfügbarkeit digitaler Impfinformationen für die Steuerung des öffentlichen Gesundheitswesens (siehe dazu Z 2). Insoweit könne davon ausgegangen werden, dass der in § 750 Abs. 1a und 2 ASVG ausgeführte Zweck mit den in § 24b iVm § 24c GTelG statuierten öffentlichen Interessen korreliere.Gemäß Paragraph 24 b, Gesundheitstelematikgesetz 2012 (GTelG) erfülle die Verwendung des eImpfpasses ein erhebliches Interesse gemäß Artikel 9, Absatz 2, Litera g, bis j DSGVO. Dieses erhebliche öffentliche Interesse ergebe sich insbesondere auch aus der Optimierung der Impfversorgung der Bevölkerung, vor allem durch die Steigerung der Prozess- und Ergebnisqualität von Impfungen und die Wirksamkeit von öffentlichen Impfprogrammen (Ziffer eins, Litera b,) und die Erhöhung der Durchimpfungsraten (Ziffer eins, Litera c,). Weiters ergebe sich ein öffentliches Interesse aus der Verfügbarkeit digitaler Impfinformationen für die Steuerung des öffentlichen Gesundheitswesens (siehe dazu Ziffer 2,). Insoweit könne davon ausgegangen werden, dass der in Paragraph 750, Absatz eins a, und 2 ASVG ausgeführte Zweck mit den in Paragraph 24 b, in Verbindung mit , Paragraph 24 c, GTelG statuierten öffentlichen Interessen korreliere.
10
Nach § 18 Abs. 1 GTelG habe der Mitbeteiligte im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben, der insbesondere der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen (Z 1) diene. In § 18 Abs. 2 GTelG würden die im Patientenindex zu verarbeitenden Daten angeführt, darunter auch die Adressdaten von natürlichen Personen (Z 3).Nach Paragraph 18, Absatz eins, GTelG habe der Mitbeteiligte im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben, der insbesondere der Überprüfung der eindeutigen Identität (Paragraph 2, Ziffer 2, E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen (Ziffer eins,) diene. In Paragraph 18, Absatz 2, GTelG würden die im Patientenindex zu verarbeitenden Daten angeführt, darunter auch die Adressdaten von natürlichen Personen (Ziffer 3,).
11
Der Mitbeteiligte habe auf der Grundlage des § 750 Abs. 1a und 2 ASVG rechtmäßiger Weise Zugriff auf das zentrale Impfregister genommen. Es liege keine Verletzung der Art. 5, 6 oder 9 DSGVO vor, die einen Grundrechtsverstoß bewirken würde: Mit der vorliegenden gesetzlichen Regelung werde der Zweck der Verarbeitung von Daten aus dem Impfregister und von Daten des Mitbeteiligten vorgesehen und somit der Zweck der Verarbeitung normiert. Da der Zweck ausdrücklich in der genannten Bestimmung determiniert sei und selbst alle für die Zulässigkeit einer zweckändernden Weiterverarbeitung (auch sensibler) Daten erforderlichen Voraussetzungen nach Art. 6 Abs. 1, Art. 9 Abs. 2 und Art. 6 Abs. 4 DSGVO kumulativ erfüllt seien, könne keine Verletzung des Art. 5 Abs. 1 lit. b DSGVO festgestellt werden.Der Mitbeteiligte habe auf der Grundlage des Paragraph 750, Absatz eins a und 2 ASVG rechtmäßiger Weise Zugriff auf das zentrale Impfregister genommen. Es liege keine Verletzung der Artikel 5, 6, oder 9 DSGVO vor, die einen Grundrechtsverstoß bewirken würde: Mit der vorliegenden gesetzlichen Regelung werde der Zweck der Verarbeitung von Daten aus dem Impfregister und von Daten des Mitbeteiligten vorgesehen und somit der Zweck der Verarbeitung normiert. Da der Zweck ausdrücklich in der genannten Bestimmung determiniert sei und selbst alle für die Zulässigkeit einer zweckändernden Weiterverarbeitung (auch sensibler) Daten erforderlichen Voraussetzungen nach Artikel 6, Absatz eins,, Artikel 9, Absatz 2 und Artikel 6, Absatz 4, DSGVO kumulativ erfüllt seien, könne keine Verletzung des Artikel 5, Absatz eins, Litera b, DSGVO festgestellt werden.
12
Aus dem Impfstatus gingen Informationen über den Gesundheitszustand der betroffenen Person hervor, weshalb das Datum „Impfstatus“ als Gesundheitsdatum iSd. Art. 9 Abs. 1 DSGVO zu klassifizieren sei. Es bedürfe daher einer Ausnahme im Sinne des Art. 9 Abs. 2 DSGVO vom Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO. Aus der ausdrücklichen gesetzlichen Regelung des § 750 ASVG - einem Gesetz iSd. des Art. 9 Abs. 2 lit. g bzw. Art. 9 Abs. 2 lit. i DSGVO - iVm. § 18 GTelG ergebe sich, dass die Verarbeitung der in Rede stehenden Daten durch den Mitbeteiligten rechtmäßig gewesen sei. Vor dem Hintergrund dieser ausdrücklichen gesetzlichen Grundlage gingen - wie bereits oben ausgeführt - die Argumente des Beschwerdeführers bezüglich einer allfällig unberechtigten Zweckänderung und einer Verletzung der Art. 5 bzw. 6 DSGVO ins Leere.Aus dem Impfstatus gingen Informationen über den Gesundheitszustand der betroffenen Person hervor, weshalb das Datum „Impfstatus“ als Gesundheitsdatum iSd. Artikel 9, Absatz eins, DSGVO zu klassifizieren sei. Es bedürfe daher einer Ausnahme im Sinne des Artikel 9, Absatz 2, DSGVO vom Verarbeitungsverbot des Artikel 9, Absatz eins, DSGVO. Aus der ausdrücklichen gesetzlichen Regelung des Paragraph 750, ASVG - einem Gesetz iSd. des Artikel 9, Absatz 2, Litera g, bzw. Artikel 9, Absatz 2, Litera i, DSGVO - in Verbindung mit , Paragraph 18, GTelG ergebe sich, dass die Verarbeitung der in Rede stehenden Daten durch den Mitbeteiligten rechtmäßig gewesen sei. Vor dem Hintergrund dieser ausdrücklichen gesetzlichen Grundlage gingen - wie bereits oben ausgeführt - die Argumente des Beschwerdeführers bezüglich einer allfällig unberechtigten Zweckänderung und einer Verletzung der Artikel 5, bzw. 6 DSGVO ins Leere.
13
Über eine allfällig geltend gemachte Rechtsverletzung durch den BMSGPK als Verantwortlichen sei im vorliegenden Bescheid nicht abgesprochen worden.
14
In der Beschwerde an die belangte Behörde sei eine Verletzung des Grundrechts auf Geheimhaltung gemäß § 1 Abs. 1 DSG iVm Art. 5, 6 und 9 DSGVO geltend gemacht worden. Gegenstand des Beschwerdeverfahrens vor dem Verwaltungsgericht sei daher nicht eine allfällige fehlende Datenschutz-Folgeabschätzung, eine allfällige Missachtung der Informationspflichten sowie eine mögliche fehlende Vereinbarung über die gemeinsame Verantwortung. Gegenstand des Beschwerdeverfahrens vor dem Verwaltungsgericht sei nur gewesen, ob der Mitbeteiligte den Revisionswerber dadurch in seinem Recht auf Geheimhaltung (allenfalls iZm. Verletzungen der Art. 5, 6 und 9 DSGVO) verletzt habe, dass der Mitbeteiligte die Daten des Revisionswerbers zum Zweck des Versands eines Schreibens, in welchem der Mitbeteiligte über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 informiert habe, unrechtmäßig verarbeitet habe.In der Beschwerde an die belangte Behörde sei eine Verletzung des Grundrechts auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG in Verbindung mit , Artikel 5, 6, und 9 DSGVO geltend gemacht worden. Gegenstand des Beschwerdeverfahrens vor dem Verwaltungsgericht sei daher nicht eine allfällige fehlende Datenschutz-Folgeabschätzung, eine allfällige Missachtung der Informationspflichten sowie eine mögliche fehlende Vereinbarung über die gemeinsame Verantwortung. Gegenstand des Beschwerdeverfahrens vor dem Verwaltungsgericht sei nur gewesen, ob der Mitbeteiligte den Revisionswerber dadurch in seinem Recht auf Geheimhaltung (allenfalls iZm. Verletzungen der Artikel 5, 6, und 9 DSGVO) verletzt habe, dass der Mitbeteiligte die Daten des Revisionswerbers zum Zweck des Versands eines Schreibens, in welchem der Mitbeteiligte über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 informiert habe, unrechtmäßig verarbeitet habe.
15
3. Gegen dieses Erkenntnis richtet sich die außerordentliche Revision.
16
4. Nach Art. 133 Abs. 4 B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.4. Nach Artikel 133, Absatz 4, B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
17
Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegens der Voraussetzungen des Art. 133 Abs. 4 B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.Nach Paragraph 34, Absatz eins, VwGG sind Revisionen, die sich wegen Nichtvorliegens der Voraussetzungen des Artikel 133, Absatz 4, B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.
18
Nach § 34 Abs. 1a VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Art. 133 Abs. 4 B-VG an den Ausspruch des Verwaltungsgerichtes gemäß § 25a Abs. 1 VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 B-VG hat der Verwaltungsgerichtshof im Rahmen der dafür in der Revision vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen.Nach Paragraph 34, Absatz eins a, VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Artikel 133, Absatz 4, B-VG an den Ausspruch des Verwaltungsgerichtes gemäß Paragraph 25 a, Absatz eins, VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Artikel 133, Absatz 4, B-VG hat der Verwaltungsgerichtshof im Rahmen der dafür in der Revision vorgebrachten Gründe (Paragraph 28, Absatz 3, VwGG) zu überprüfen.
19
4.1. Der Revisionswerber brachte zur Zulässigkeit seiner Revision vor, er habe mit seiner Datenschutzbeschwerde eine Verletzung in seinem Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG iVm. Art. 5, 6, und 9 DSGVO geltend gemacht. In seiner Beschwerde an das Verwaltungsgericht habe er auch vorgebracht, die mitbeteiligte Partei habe den Revisionswerber nicht entsprechend § 14 Abs. 1 bis 4 DSGVO informiert, ferner mit dem BMSGPK keine Vereinbarung über die gemeinsame Verantwortlichkeit abgeschlossen und keine Datenschutz-Folgenabschätzung durchgeführt. Das Verwaltungsgericht sei davon ausgegangen, dass dieses Vorbringen die „Sache“ des Verwaltungsverfahrens überschreite. Damit verkenne das Verwaltungsgericht jedoch die Judikatur des Verwaltungsgerichtshofes zum Verfahrensgegenstand, weil im Beschwerdeverfahren vor den Verwaltungsgerichten prinzipiell kein Neuerungsverbot gelte, weshalb es dem Revisionswerber gestattet sei, neue Tatsachen und neue Beweismittel vorzubringen.4.1. Der Revisionswerber brachte zur Zulässigkeit seiner Revision vor, er habe mit seiner Datenschutzbeschwerde eine Verletzung in seinem Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG in Verbindung mit , Artikel 5, 6,, und 9 DSGVO geltend gemacht. In seiner Beschwerde an das Verwaltungsgericht habe er auch vorgebracht, die mitbeteiligte Partei habe den Revisionswerber nicht entsprechend Paragraph 14, Absatz eins bis 4 DSGVO informiert, ferner mit dem BMSGPK keine Vereinbarung über die gemeinsame Verantwortlichkeit abgeschlossen und keine Datenschutz-Folgenabschätzung durchgeführt. Das Verwaltungsgericht sei davon ausgegangen, dass dieses Vorbringen die „Sache“ des Verwaltungsverfahrens überschreite. Damit verkenne das Verwaltungsgericht jedoch die Judikatur des Verwaltungsgerichtshofes zum Verfahrensgegenstand, weil im Beschwerdeverfahren vor den Verwaltungsgerichten prinzipiell kein Neuerungsverbot gelte, weshalb es dem Revisionswerber gestattet sei, neue Tatsachen und neue Beweismittel vorzubringen.
20
Dem ist zu entgegnen, dass der Verwaltungsgerichtshof in seinem Erkenntnis vom 9. Mai 2023, Ro 2020/04/0037, Rn. 34 ff, bereits Folgendes ausgeführt hat:
„34 Die Rechtmäßigkeit der Verarbeitung wird aber, wie sich aus der Überschrift von Art. 6 DSGVO selbst ergibt, gerade in ebendiesem Artikel geregelt. Dieser sieht vor, dass die Verarbeitung nur rechtmäßig ist, wenn mindestens eine der in seinem Abs. 1 lit. a bis f aufgeführten Bedingungen erfüllt ist, somit, wie sich auch aus dem 40. Erwägungsgrund der DSGVO ergibt, wenn entweder die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat oder die Verarbeitung für einen der genannten Zwecke erforderlich ist; diese Zwecke betreffen die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder die Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, die Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, den Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person, die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, bzw. die berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.„34 Die Rechtmäßigkeit der Verarbeitung wird aber, wie sich aus der Überschrift von Artikel 6, DSGVO selbst ergibt, gerade in ebendiesem Artikel geregelt. Dieser sieht vor, dass die Verarbeitung nur rechtmäßig ist, wenn mindestens eine der in seinem Absatz eins, Litera a bis f aufgeführten Bedingungen erfüllt ist, somit, wie sich auch aus dem 40. Erwägungsgrund der DSGVO ergibt, wenn entweder die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat oder die Verarbeitung für einen der genannten Zwecke erforderlich ist; diese Zwecke betreffen die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder die Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, die Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, den Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person, die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, bzw. die berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
35 Diese Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann, ist erschöpfend und abschließend, so dass eine Verarbeitung unter einen der in Art. 6 Abs. 1 DSGVO vorgesehenen Fälle subsumierbar sein muss, um als rechtmäßig angesehen werden zu können.35 Diese Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann, ist erschöpfend und abschließend, so dass eine Verarbeitung unter einen der in Artikel 6, Absatz eins, DSGVO vorgesehenen Fälle subsumierbar sein muss, um als rechtmäßig angesehen werden zu können.
36 Da die Art. 7 bis 11 DSGVO, die genau wie die Art. 5 und 6 DSGVO in deren Kapitel II stehen, das die Grundsätze betrifft, zum Ziel haben, den Umfang der dem Verarbeiter nach Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 DSGVO obliegenden Pflichten näher zu bestimmen, ist die Verarbeitung personenbezogener Daten, wie sich aus der Rechtsprechung des EuGH ergibt, zudem nur rechtmäßig, wenn sie diese anderen Bestimmungen des genannten Kapitels einhält, die im Wesentlichen die Einwilligung, die Verarbeitung besonderer Kategorien sensibler personenbezogener Daten und die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten betreffen (vgl. zu alldem wiederum EuGH 4.5.2023, C-60/22, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], ECLI:EU:C:2023:373, Rz 52, 54 bis 56, 58, mwN).36 Da die Artikel 7 bis 11 DSGVO, die genau wie die Artikel 5 und 6 DSGVO in deren Kapitel römisch zwei stehen, das die Grundsätze betrifft, zum Ziel haben, den Umfang der dem Verarbeiter nach Artikel 5, Absatz eins, Litera a und Artikel 6, Absatz eins, DSGVO obliegenden Pflichten näher zu bestimmen, ist die Verarbeitung personenbezogener Daten, wie sich aus der Rechtsprechung des EuGH ergibt, zudem nur rechtmäßig, wenn sie diese anderen Bestimmungen des genannten Kapitels einhält, die im Wesentlichen die Einwilligung, die Verarbeitung besonderer Kategorien sensibler personenbezogener Daten und die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten betreffen vergleiche , zu alldem wiederum EuGH 4.5.2023, C-60/22, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], ECLI:EU:C:2023:373, Rz 52, 54 bis 56, 58, mwN).
37 Demgegenüber zählt die lückenlose Einhaltung der Informationspflicht nach Art. 13 Abs. 1 und 2 DSGVO nicht zu den in Art. 6 Abs. 1 DSGVO genannten Gründen für die Rechtmäßigkeit der Verarbeitung. Im Gegensatz zur Missachtung der Bestimmungen des Kapitels II der DSGVO hat nicht jede Verletzung der Informationspflicht nach Art. 13 Abs. 1 und 2 DSGVO zur Folge, dass die Verarbeitung von personenbezogenen Daten den in Art. 5 Abs. 1 DSGVO aufgestellten Grundsätzen in Bezug auf die Verarbeitung der Daten widerspricht bzw. nicht zumindest einen in Art. 6 Abs. 1 DSGVO genannten Grund für die Rechtmäßigkeit der Verarbeitung erfüllt.“37 Demgegenüber zählt die lückenlose Einhaltung der Informationspflicht nach Artikel 13, Absatz eins und 2 DSGVO nicht zu den in Artikel 6, Absatz eins, DSGVO genannten Gründen für die Rechtmäßigkeit der Verarbeitung. Im Gegensatz zur Missachtung der Bestimmungen des Kapitels römisch zwei der DSGVO hat nicht jede Verletzung der Informationspflicht nach Artikel 13, Absatz eins und 2 DSGVO zur Folge, dass die Verarbeitung von personenbezogenen Daten den in Artikel 5, Absatz eins, DSGVO aufgestellten Grundsätzen in Bezug auf die Verarbeitung der Daten widerspricht bzw. nicht zumindest einen in Artikel 6, Absatz eins, DSGVO genannten Grund für die Rechtmäßigkeit der Verarbeitung erfüllt.“
21
Diese Ausführungen, die sich dort explizit auf die Informationspflicht nach Art. 13 Abs. 1 und 2 DSGVO beziehen, sind ebenso auf die Informationspflicht gemäß Art. 14 DSGVO übertragbar. Somit ist bereits klargestellt, dass nicht jede Verletzung der Informationspflicht per se zur Unrechtmäßigkeit einer Datenverarbeitung und damit zu einer Verletzung im Recht auf Geheimhaltung führt. Inwiefern im vorliegenden Fall einer einmaligen, dem Revisionswerber bereits durch Übermittlung des verfahrensgegenständlichen „Impferinnerungsschreibens“ bekannten Datenverwendung die unterlassene Information eine Unrechtmäßigkeit vor dem Hintergrund der relevanten Bestimmungen der DSGVO begründen könnte, zeigt die Revision nicht auf.Diese Ausführungen, die sich dort explizit auf die Informationspflicht nach Artikel 13, Absatz eins und 2 DSGVO beziehen, sind ebenso auf die Informationspflicht gemäß Artikel 14, DSGVO übertragbar. Somit ist bereits klargestellt, dass nicht jede Verletzung der Informationspflicht per se zur Unrechtmäßigkeit einer Datenverarbeitung und damit zu einer Verletzung im Recht auf Geheimhaltung führt. Inwiefern im vorliegenden Fall einer einmaligen, dem Revisionswerber bereits durch Übermittlung des verfahrensgegenständlichen „Impferinnerungsschreibens“ bekannten Datenverwendung die unterlassene Information eine Unrechtmäßigkeit vor dem Hintergrund der relevanten Bestimmungen der DSGVO begründen könnte, zeigt die Revision nicht auf.
22
4.2. Der Revisionswerber bringt zur Begründung der Zulässigkeit seiner Revision vor, es fehle Judikatur zu Zugriffen auf den Patientenindex gemäß § 18 GTelG. Nach dem Wortlaut des § 18 Abs. 1 GTelG diene die Datenanwendung „Patientenindex“ ausschließlich der Identifikation natürlicher Personen im Zusammenhang mit der ELGA oder den im 5. Abschnitt des GTelG ausdrücklich geregelten eHealth-Anwendungen. Der Patientenindex werde zu diesen Zwecken von der mitbeteiligten Partei betrieben und mit personenbezogenen Daten aus deren Datenbeständen gespeist. Das Verwaltungsgericht gehe in seiner rechtlichen Begründung davon aus, dass der Mitbeteiligte auf Grundlage des § 750 Abs. 1a und 2 ASVG rechtmäßig auf das zentrale Impfregister habe zugreifen können. Ob auch ein Abgleich mit den Wohnadressen im zentralen Patientenindex rechtmäßig gewesen sei, lasse sich aus der Begründung nicht ableiten. Damit entferne sich das Verwaltungsgericht vom klaren Wortlaut der Bestimmung, die einen Abgleich mit im zentralen Patientenindex gespeicherten Daten ausschließlich bei Überprüfung der eindeutigen Identität natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen zulasse (§ 18 Abs. 1 Z 1 GTelG).4.2. Der Revisionswerber bringt zur Begründung der Zulässigkeit seiner Revision vor, es fehle Judikatur zu Zugriffen auf den Patientenindex gemäß Paragraph 18, GTelG. Nach dem Wortlaut des Paragraph 18, Absatz eins, GTelG diene die Datenanwendung „Patientenindex“ ausschließlich der Identifikation natürlicher Personen im Zusammenhang mit der ELGA oder den im 5. Abschnitt des GTelG ausdrücklich geregelten eHealth-Anwendungen. Der Patientenindex werde zu diesen Zwecken von der mitbeteiligten Partei betrieben und mit personenbezogenen Daten aus deren Datenbeständen gespeist. Das Verwaltungsgericht gehe in seiner rechtlichen Begründung davon aus, dass der Mitbeteiligte auf Grundlage des Paragraph 750, Absatz eins a, und 2 ASVG rechtmäßig auf das zentrale Impfregister habe zugreifen können. Ob auch ein Abgleich mit den Wohnadressen im zentralen Patientenindex rechtmäßig gewesen sei, lasse sich aus der Begründung nicht ableiten. Damit entferne sich das Verwaltungsgericht vom klaren Wortlaut der Bestimmung, die einen Abgleich mit im zentralen Patientenindex gespeicherten Daten ausschließlich bei Überprüfung der eindeutigen Identität natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen zulasse (Paragraph 18, Absatz eins, Ziffer eins, GTelG).
23
Aus der Begründung des Verwaltungsgerichts geht demgegenüber klar hervor, dass der Mitbeteiligte auf Basis der ausdrücklichen Bestimmung des § 750 Abs. 2 ASVG zum Zweck der Ermittlung der gemäß Abs. 1 und Abs. 1a leg. cit. in Betracht kommenden Personen die im zentralen Impfregister (§ 24c GTelG 2012) gespeicherten Daten zu den COVID-19-Impfungen einmalig mit eigenen Daten zu verknüpfen bzw. abzugleichen ermächtigt war, wobei die Adressermittlung aus dem beim Mitbeteiligten selbst eingerichteten Patientenindex zum Zweck der Übermittlung der gemäß § 750 Abs. 1a ASVG ausdrücklich angeordneten Information ohne Zweifel mitumfasst sein musste.Aus der Begründung des Verwaltungsgerichts geht demgegenüber klar hervor, dass der Mitbeteiligte auf Basis der ausdrücklichen Bestimmung des Paragraph 750, Absatz 2, ASVG zum Zweck der Ermittlung der gemäß Absatz eins und Absatz eins a, leg. cit. in Betracht kommenden Personen die im zentralen Impfregister (Paragraph 24 c, GTelG 2012) gespeicherten Daten zu den COVID-19-Impfungen einmalig mit eigenen Daten zu verknüpfen bzw. abzugleichen ermächtigt war, wobei die Adressermittlung aus dem beim Mitbeteiligten selbst eingerichteten Patientenindex zum Zweck der Übermittlung der gemäß Paragraph 750, Absatz eins a, ASVG ausdrücklich angeordneten Information ohne Zweifel mitumfasst sein musste.
24
In der Revision werden keine Rechtsfragen aufgeworfen, denen im Sinne des Art. 133 Abs. 4 B-VG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.In der Revision werden keine Rechtsfragen aufgeworfen, denen im Sinne des Artikel 133, Absatz 4, B-VG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.
Wien, am 8. Oktober 2025
