TE Bvwg Erkenntnis 2019/8/19 W211 2196871-1

W211 2196871-1/5E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Mag.a Gerda HEILEGGER und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer aufgrund des Vorlageantrags über die Beschwerde der XXXX gegen den Bescheid der Datenschutzbehörde vom XXXX , DSB- XXXX in nichtöffentlicher Sitzung zu Recht:

A)

Die Beschwerde wird als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

1. Am XXXX 2017 brachte die Beschwerdeführerin eine Beschwerde nach § 31 Abs. 2 Datenschutzgesetz 2000 (DSG 2000) ein, worin zusammengefasst vorgebracht wurde, sie sei in ihrem Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten durch die mitbeteiligte Partei ( XXXX ) verletzt worden. Beschwerdegegenstand sei, dass die mitbeteiligte Partei abermals "Datenverwendungen ohne Auftrag" vorgenommen habe. Konkret habe die Beschwerdeführerin am

XXXX 2016 zum wiederholten Mal ein Auskunftsbegehren an die mitbeteiligte Partei gestellt. Mit Schreiben vom XXXX 2016 habe der Verwaltungsdirektor der mitbeteiligten Partei der Beschwerdeführerin mitgeteilt, dass ein Befund an das XXXX in XXXX übermittelt worden sei, mit dem Zweck, dass das Labor die seinerzeitige Anforderung zu diesem Befund aushebe und an die mitbeteiligte Partei übermittle. Zu dieser Datenverwendung für ein anderes Aufgabengebiet habe jedoch kein Auftrag und auch keine Zustimmung vorgelegen, weshalb diese Datenverwendung mit Übermittlung eine Datenschutzverletzung darstelle. Das Bundesverwaltungsgericht habe mit rechtskräftigem Erkenntnis vom 20.04.2017 (W214 2007810-1) festgestellt, dass die mitbeteiligte Partei ohne ihr Wissen oder ihre Zustimmung im Rahmen einer Fehlzuordnung bei ihrer Krankengeschichte sensible Daten verarbeitet habe. Diese Datenschutzverletzung betreffe den Behandlungszeitraum zur Operation vom XXXX 2012; der verfahrensgegenständliche Datenzugriff sei im Jahr 2016 geschehen und sei an keinen Auftrag gebunden gewesen. Zudem sei nach Behandlungsabschluss die unzulässige Datenübermittlung für ein anderes Aufgabengebiet, und nicht zum Zweck der Patientenbehandlung, erfolgt. Dass für die Übermittlung des Befundes kein legitimer Zweck bestanden habe, spiegle sich auch in der Verfügung des Bundesverwaltungsgerichtes zu W214 2007810-1 wider, zumal die Senatsvorsitzende die Aufklärung selbst vorgenommen und der mitbeteiligten Partei keinen Auftrag zur Datenverwendung erteilt habe. Weiter habe die mitbeteiligte Partei nicht den dafür namhaft gemachten Datenschutzbeauftragten damit befasst, sondern erneut den Verwaltungsdirektor. Weiter stellte die Beschwerdeführerin diesbezüglich mehrere Anträge.

2. Mit Schreiben vom XXXX 2018 wurde der mitbeteiligten Partei zur Datenschutzbeschwerde vom XXXX 2017 Parteiengehör eingeräumt.

Mit Schreiben der mitbeteiligten Partei vom XXXX .2018 erklärte diese, sie sei seitens des Bundesverwaltungsgerichts im Rahmen des Verfahrens zu W214 2007810-1 mit Schreiben vom XXXX 2016 darum ersucht worden, einen Anforderungsschein, welcher einem Befund zugrunde liege und vom Labor aufbewahrt worden sei, als Beweismittel vorzulegen. Mit Schreiben der mitbeteiligten Partei vom XXXX 2016 habe diese dem Bundesverwaltungsgericht mitgeteilt, dass diesem Auftrag nur nachgekommen werden könne, wenn sie dem Labor jene Daten aus der Krankengeschichte der Beschwerdeführerin weitergebe, die dieses benötige, um den Anforderungsschein zu übermitteln. Mit Schreiben vom XXXX 2016 habe das Bundesverwaltungsgericht der mitbeteiligten Partei mitgeteilt, dass zum Zweck der Beschaffung des angeforderten Beweismittels eine Einsichtnahme in den Befund zulässig sei. Sodann sei in den Befund Einsicht genommen und seien die entsprechenden Daten in Form einer Kopie des Befundes, wobei die medizinischen Ergebnisse geschwärzt worden seien, dem Labor überlassen worden, sodass dieses den zum Befund zugehörigen Anforderungsschein auffinden und herausgeben konnte. Abgesehen davon, dass der Befund dem Labor ohnehin vollinhaltlich bekannt gewesen sei, da er durch eben dieses erstellt worden sei, seien im Zuge der Anfrage jedenfalls nur solche Daten weitergegeben worden, die zur Aushebung des Befundes sachdienlich gewesen seien. Medizinische Resultate seien aufgrund der Schwärzungen nicht übermittelt worden. Die Übermittlung der Daten an das Labor sei somit an einen gerichtlichen Auftrag gebunden und damit rechtskonform gewesen. Die Behauptung der Beschwerdeführerin, wonach die mitbeteiligte Partei nicht vom Bundesverwaltungsgericht beauftragt worden sei, den Anforderungsschein auszuheben und dem Gericht zu übermitteln, sondern sich das Gericht lediglich darauf beschränkt habe, den Leiter des Labors im Rahmen einer Zeugeneinvernahme zu befragen, sei somit nachweislich falsch. Dem Schreiben beigefügt war eine teilweise geschwärzte Kopie eines Befundes vom XXXX 2012.

3. Mit Schreiben vom XXXX 2018 wurde der Beschwerdeführerin zum Schreiben der mitbeteiligten Partei vom XXXX 2018 Parteiengehör eingeräumt.

Mit Schreiben vom XXXX 2018 wiederholte die Beschwerdeführerin ihre in der Datenschutzbeschwerde vom XXXX 2017 gemachten Ausführungen bzw. Anträge und führte ergänzend aus, beim Verwaltungsdirektor handle es sich um kein Organ der mitbeteiligten Partei, weshalb diesem auch keine Parteienrechte zukämen. Behaupte die mitbeteiligte Partei weiter, sie sei vom Bundesverwaltungsgericht beauftragt worden den Anforderungsschein auszuheben und dem Gericht zu übermitteln, so sei dies zwar richtig, sie sei jedoch nicht beauftragt worden, sensible Daten an Dritte weiterzugeben. Somit habe für die Übermittlung des Befundes kein gerichtlicher Auftrag bestanden.

4. Mit Bescheid vom XXXX 2018 wies die Datenschutzbehörde die Beschwerde ab und führte soweit wesentlich aus, dass Beschwerdegegenstand die Frage sei, ob die Beschwerdeführerin durch die Übermittlung des Befundes durch die mitbeteiligte Partei an das Labor in ihrem Recht auf Geheimhaltung verletzt worden sei. Wie der Beschwerdeführerin bereits aus vorangegangenen Verfahren mit ähnlichen Konstellationen bewusst sein müsse, sei im Rahmen des Verfahrens vor dem Bundesverwaltungsgericht zu W214 2007810-1 mehrmals der gerichtliche Auftrag an die mitbeteiligte Partei ergangen, verfahrensrelevante Informationen vorzulegen. So sei auch mit Schreiben des Bundesverwaltungsgerichts vom XXXX 2016 eine Aufforderung an die mitbeteiligte Partei ergangen, den Anforderungsschein als Beweismittel an das Bundesverwaltungsgericht zu übermitteln. Der Anforderungsschein, mit dem seinerzeit der Test beim Labor in Auftrag gegeben worden sei, sei zweifelsohne verfahrensrelevant. Die gegenständliche Übermittlung sei auch durch den Rechtsanwalt der mitbeteiligten Partei, sohin nicht durch den Verwaltungsdirektor selbst, durchgeführt worden. Aufgrund des von der Beschwerdeführerin selbst angestrengten verwaltungsgerichtlichen Verfahrens zu W214 2007810-1 könne die Zulässigkeit der Datenverwendung gemäß § 7 Abs. 1 iVm § 9 Z 9 DSG 2000 daher nicht als rechtswidrig angesehen werden. Darüber hinaus seien die medizinischen Ergebnisse des übermittelten Befundes geschwärzt worden, weshalb nur die für die Erhebung des Anforderungsscheins erforderlichen Daten der Beschwerdeführerin übermittelt worden seien. Auf die weiter von der Beschwerdeführerin gestellten Anträge sei daher nicht einzugehen.

5. In ihrer Beschwerde an das Bundesverwaltungsgericht vom XXXX 2018 führte die Beschwerdeführerin aus, dass der Bescheid vom XXXX 2018 unter der Verletzung von Verfahrensvorschriften, unrichtiger Tatsachenfeststellung infolge unrichtiger Beweiswürdigung sowie unrichtiger rechtlicher Beurteilung leide. Die unzulässige Datenübermittlung an das Labor sei nicht zum Zweck der Patientenbehandlung (eine solche sei bereits im Jahr 2012 abgeschlossen gewesen) erfolgt, sondern für ein anderes Aufgabengebiet. Die Übermittlung des Befundes an das Labor im Jahr 2016 sei somit nach Ansicht der Beschwerdeführerin rechtswidrig, ohne Auftrag, ohne Behandlung und ohne ihre Zustimmung erfolgt. Auch habe die erkennende Richterin im Verfahren zu W214 2007810-1 die Aufklärung zum Befund mit dem Labor von Amts wegen vorgenommen und nicht die mitbeteiligte Partei beauftragt. Weiter negiere die belangte Behörde im angefochtenen Bescheid, dass, selbst wenn von einem Auftrag an die mitbeteiligte Partei auszugehen sei, diese nicht berechtigt sei, einen Befund unbefugt an Dritte weiterzuleiten, zumal es hierfür nicht den geringsten Anlass gegeben habe. Vermeine die belangte Behörde im angefochtenen Bescheid, mit Schreiben des Bundesverwaltungsgerichts vom XXXX 2016 im Verfahren zu W214 2007810-1 sei ein Zugriff des Verwaltungsdirektors erlaubt worden, werde übersehen, dass in der hierzu ergangenen Manuduktion eine Weiterleitung des Befundes an Dritte nicht erwähnt werde. Auch habe die mitbeteiligte Partei, trotz diesbezüglicher Ausführungen des Bundesverwaltungsgerichts die Einsichtnahme in fragliche Befunde nicht durch den Datenschutzbeauftragten, sondern durch den Verwaltungsdirektor durchführen lassen. Darüber hinaus werde darauf hingewiesen, dass Beschwerdegegenstand nicht nur die Verletzung im Recht auf Geheimhaltung durch eine unzulässige Übermittlung des Befundes an das Labor sei, sondern überdies, dass der Verwaltungsdirektor der mitbeteiligten Partei als weisungsbefugter Personalchef den Befund am XXXX 2018 abermals unzulässigerweise [im Zuge des Parteiengehörs im gegenständlichen Verfahren] an die belangte Behörde übermittelt habe. Weiter habe die belangte Behörde im angefochtenen Bescheid die Eingaben der Beschwerdeführerin vom

XXXX 2017 und XXXX 2018 nicht gewürdigt. Dem Bundesverwaltungsgericht habe der Befund längst vorgelegen, weshalb die Datenübermittlung auch aus diesem Grund als unzulässig anzusehen sei. Dass die Übermittlung des Befundes mangels Auftrages nicht zulässig gewesen sei, zeige auch der Umstand, dass der Leiter des Labors im Verfahren zu W214 2007810-1 im Zuge seiner Zeugenaussage am XXXX 2016 von sich aus einen Ausdruck des Anforderungsscheins vorlegen habe können. Für die Anforderung eines Anforderungsscheins sei lediglich die Bekanntgabe des Namens mit Geburtsdatum und die Art des Befundes erforderlich. Die Beschwerdeführerin stellte die Anträge, das Bundesverwaltungsgericht möge eine mündliche Verhandlung durchführen, einen unabhängigen deutschen Gutachter bestellen, der die tatsächlichen Datenzugriffe bei der mitbeteiligten Partei vor Ort ermittle, den angefochtenen Bescheid aufheben und die unzulässigen Datenverwendungen im Hinblick auf die unzulässigen Zugriffe mit Weiterleitung des Befundes an Dritte sowie die unzulässigen Parteihandlungen des Verwaltungsdirektors als Verletzungen der schutzwürdigen Geheimhaltungsinteressen feststellen, in eventu den angefochtenen Bescheid aufheben und an die belangte Behörde zurückverweisen bzw. ihr im Rahmen der Manuduktionspflicht eine ausführliche Rechtsbelehrung erteilen. Schließlich beantragte die Beschwerdeführerin, das Bundesverwaltungsgericht möge die Vollmacht des Verwaltungsdirektors der mitbeteiligten Partei und sämtliche Zustellnachweise der zugrundeliegenden Verfahrenskorrespondenzen an die mitbeteiligte Partei einholen sowie die Befugnisse nach § 30 Abs 2, 4, 6 und 6a DSG 2000 ausüben. Der Beschwerde beigefügt waren zahlreiche Beilagen.

6. Mit Schreiben vom XXXX2018 an das Bundesverwaltungsgericht nahm die belangte Behörde zur Beschwerde vom XXXX 2018 Stellung und führte aus, dass nach Ansicht der Datenschutzbehörde aufgrund der grundsätzlich meritorischen Entscheidungspflicht der Verwaltungsgerichte der vorliegende Sachverhalt gemäß der seit XXXX 2018 geltenden Rechtslage (Datenschutzgrundverordnung (DSGVO)) zu beurteilen sei. Das Datenschutzgesetz (DSG) enthalte keine anderslautenden Übergangsbestimmungen. Der vorliegende Sachverhalt sei jedoch auch unter Zugrundelegung der neuen Rechtslage nicht anders zu beurteilen und führe zum selben Ergebnis. Die belangte Behörde habe aufgrund der Eingabe der Beschwerdeführerin vom XXXX 2017 ordnungsgemäß ein Beschwerdeverfahren gemäß § 31 Abs. 1 DSG 2000 eingeleitet. Auf Aufforderung der belangten Behörde habe der Verwaltungsdirektor der mitbeteiligten Partei mit Schreiben vom XXXX 2018 hierzu Stellung genommen und im Wesentlichen dargelegt, dass die dem Beschwerdeverfahren vor der Datenschutzbehörde (D122.789) zugrundeliegende Datenverarbeitung aufgrund des gerichtlichen Auftrags des Bundesverwaltungsgerichts, verfahrensrelevante Informationen im Verfahren zu W214 2007810-1 vorzulegen, erfolgt sei. In diesem Zusammenhang sei insbesondere darauf hinzuweisen, dass nur die für die Erhebung des Anforderungsscheins erheblichen Daten der Beschwerdeführerin übermittelt worden seien. Medizinische Resultate des Befundes seien hingegen geschwärzt und nicht übermittelt worden.

7. Mit Schreiben vom XXXX 2018 legte die belangte Behörde den Akt vor.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Festgestellt wird, dass die mitbeteiligte Partei vom Bundesverwaltungsgericht mit Schreiben vom XXXX 2016 im Rahmen des verwaltungsgerichtlichen Verfahrens zu W214 2007810-1 um Übermittlung des Dokuments, mit dem die Durchführung des die Beschwerdeführerin betreffenden Tests beim XXXX beauftragt wurde, und um Mitteilung, welchem Mitarbeiter/welcher Mitarbeiterin die Unterschrift/Paraphe zuzuordnen ist, ersucht wurde.

Festgestellt wird weiter, dass die mitbeteiligte Partei dem Bundesverwaltungsgericht mit Schreiben vom XXXX 2016 mitteilte, dass für die Anforderung des Auftragsscheins des Labors gewisse Informationsmerkmale der Beauftragung, wie beispielweise Befunddatum, Befundnummer etc., bekanntgegeben werden müssen, und die dafür notwendigen Informationen nur durch Einsichtnahme in den Befund beschafft werden können. Die mitbeteiligte Partei hielt deshalb fest, dass sie nicht in der Lage ist, die angeforderten Informationen beizuschaffen bzw. beizustellen, ohne in die entsprechenden Unterlagen selbst Einsicht zu nehmen. Die Einsichtnahme müsste dabei durch die Verwaltungsdirektion erfolgen, nachdem die Verwaltungsdirektion Kraft ihrer Agenden mit der Abwicklung behördlicher Verfahren beauftragt ist. Es wurde daher um Auskunft durch das Bundesverwaltungsgericht ersucht, ob für die Erfüllung des entsprechenden Auftrages zur Beweismittelvorlage seitens der Verwaltungsdirektion auf die Urkunden in der Krankengeschichte der Beschwerdeführerin zugegriffen werden darf und soll.

Festgestellt wird auch, dass das Bundesverwaltungsgericht der mitbeteiligten Partei mit Schreiben vom XXXX 2016 mitteilte, dass, soweit es notwendig ist, diese Beweise zu erbringen, auch eine Einsicht in die von der mitbeteiligten Partei genannten Dokumentenliste bzw. in den Befund zulässig ist, und dass bei einer Einsichtnahme das gelindeste Mittel zu wählen ist. Es wäre in diesem Zusammenhang vorstellbar, dass die Einsicht nicht durch den Verwaltungsdirektor selbst, sondern durch den Datenschutzbeauftragten, oder durch einen Arzt, der den Befund bereits kennt, erfolgt, der der mitbeteiligten Partei die relevanten Informationen anschließend mitteilt.

Schließlich wird festgestellt, dass die mitbeteiligte Partei in weiterer Folge in den Befund Einsicht nahm und diesen dem Labor unter Schwärzung der medizinischen Resultate übermittelte.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt sowie aus den im Rahmen des Verfahrens zu W214 2007810-1 ergangenen Schreiben des Bundesverwaltungsgerichts vom XXXX 2016 (OZ121) bzw. XXXX 2016 (OZ129), dem Schreiben der mitbeteiligten Partei vom XXXX 2016 (OZ125), dem gegenständlichen Verfahren vor der belangten Behörde und der gegenständlichen Beschwerde.

Die Feststellung, dass die mitbeteiligte Partei im Rahmen des Verfahrens zu W214 2007810-1 in den Befund Einsicht nahm und diesen dem Labor unter Schwärzung der medizinischen Resultate übermittelte, ergibt sich aus dem Schreiben der mitbeteiligten Partei vom XXXX 2018 und der beigefügten und im Akt befindlichen Kopie des geschwärzten Befundes.

3. Rechtliche Beurteilung:

Zu A)

1. Rechtsgrundlagen:

§ 1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) lautet:

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO), lauten:

Artikel 4 Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. -14. [...]

15. "Gesundheitsdaten" personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;

16.-26. [...]

Artikel 9 Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

a) - e)

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

g) - j) [...]

(3) - (4) [...]

2. Anwendung der Rechtsgrundlagen auf die gegenständliche Beschwerde:

2.1. Entsprechend der ab XXXX 2018 geltenden Rechtslage war das bisher nach § 31 DSG 2000 geführte Verfahren als Beschwerdeverfahren nach § 24 DSG fortzuführen (vgl. dazu § 69 Abs. 4 DSG). § 69 DSG enthält keine Übergangsbestimmungen bezüglich des Verfahrens in Datenschutzangelegenheiten vor dem Bundesverwaltungsgericht. Damit ist die zum Zeitpunkt der Entscheidung geltende Rechtslage anzuwenden (VwG 2015/07/0074, 19.02.2018; VwGH 2017/22/0125, 22.02.2018 uva).

2.2. Gegenstand des angefochtenen Bescheids ist die Frage, ob die Beschwerdeführerin durch eine Übermittlung eines Befundes an das Labor im Rahmen des verwaltungsgerichtlichen Verfahrens zu W214 2007810-1 durch die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt wurde: in ihrer Beschwerde an die belangte Behörde führte die Beschwerdeführerin aus, dass "zentraler Fokus meiner gegenwärtigen Beschwerde [...] ist, dass der Auftraggeber [...] augenscheinlich erneut Datenverwendungen ohne Auftrag vorgenommen hat. [...] Der verfahrensgegenständliche Datenzugriff auf den [...]-Befund erfolgte im Jahr 2016 [...] und war an keinen Auftrag mehr gebunden." (Seiten 4f der Beschwerde vom XXXX 2017).

2.3. Insoweit aus der Beschwerde hervorgeht, dass die Vertretungsbefugnis des Verwaltungsdirektors in Bezug auf die mitbeteiligte Partei angezweifelt wird, muss darauf hingewiesen werden, dass diese Frage vom angefochtenen Bescheid nicht umfasst ist und darüber hinaus hierzu bereits mehrere Entscheidungen des Bundesveraltungsgerichts ergangen sind (zuletzt Erkenntnis des Bundesverwaltungsgerichts vom 10.09.2018, W258 2134678-1, Seiten 7 - 11), in denen die Zulässigkeit der Betrauung des Verwaltungsdirektors mit der Führung behördlicher und verwaltungsgerichtlicher Verfahren eindeutig bejaht wurde.

2.4. Es wird festgehalten, dass die verarbeiteten Daten der Beschwerdeführerin ohne Zweifel Gesundheitsdaten im Sinne des Art. 4 Z 15 DSGVO darstellen, an denen die Beschwerdeführerin ein schutzwürdiges Geheimhaltungsinteresse hat.

Da fallbezogen der Verantwortliche (die mitbeteiligte Partei) unstrittig besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (nämlich Gesundheitsdaten) verarbeitet, richtet sich die Rechtsgrundlage der Verarbeitung dieser Daten nach Art. 9 Abs. 2

DSGVO.

Art. 9 Abs. 1 DSGVO enthält eine taxative Aufzählung besonderer Kategorien personenbezogener Daten, die aus verschiedenen Gründen als besonders schutzwürdig eingestuft wurden. Damit einher geht ein grundsätzliches Verarbeitungsverbot, soweit kein in Abs. 2 angeführter Ausnahmetatbestand vorliegt ("Verbot mit Erlaubnisvorbehalt"). Die Verarbeitung personenbezogener Daten ist danach nur rechtmäßig, wenn eine Rechtsnorm dies zulässt oder anordnet oder die Betroffene ihre Einwilligung erteilt hat (siehe Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO Rz 16).

Der Erwägungsgrund 52 der DSGVO besagt hierzu: "Ausnahmen vom Verbot der Verarbeitung besonderer Kategorien von personenbezogenen Daten sollten auch erlaubt sein, wenn sie im Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen sind, und - vorbehaltlich angemessener Garantien zum Schutz der personenbezogenen Daten und anderer Grundrechte - wenn dies durch das öffentliche Interesse gerechtfertigt ist, insbesondere für die Verarbeitung von personenbezogenen Daten auf dem Gebiet des Arbeitsrechts und des Rechts der sozialen Sicherheit einschließlich Renten und zwecks Sicherstellung und Überwachung der Gesundheit und Gesundheitswarnungen, Prävention oder Kontrolle ansteckender Krankheiten und anderer schwerwiegender Gesundheitsgefahren. Eine solche Ausnahme kann zu gesundheitlichen Zwecken gemacht werden, wie der Gewährleistung der öffentlichen Gesundheit und der Verwaltung von Leistungen der Gesundheitsversorgung, insbesondere wenn dadurch die Qualität und Wirtschaftlichkeit der Verfahren zur Abrechnung von Leistungen in den sozialen Krankenversicherungssystemen sichergestellt werden soll, oder wenn die Verarbeitung im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken dient. Die Verarbeitung solcher personenbezogener Daten sollte zudem ausnahmsweise erlaubt sein, wenn sie erforderlich ist, um rechtliche Ansprüche, sei es in einem Gerichtsverfahren oder in einem Verwaltungsverfahren oder einem außergerichtlichen Verfahren, geltend zu machen, auszuüben oder zu verteidigen."

Art. 9 Abs. 2 lit. f DSGVO entspricht weitgehend Art. 8 Abs. 2 lit. e zweite Alternative DS-RL (in Österreich bislang umgesetzt durch § 9 Z 9 DSG 2000) und ermöglicht die Verarbeitung sensibler Daten bei der "Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit", soweit diese dafür erforderlich ist. Durch diese Regelung soll vermieden werden, dass ein Rechtsanspruch vor Gerichten, in einem Verwaltungsverfahren oder außergerichtlich nicht geltend gemacht [werden] kann (und damit letztlich nicht durchsetzbar ist), weil dies ohne die Verarbeitung (insbesondere der Offenlegung im Verfahren) sensibler Daten einer anderen Person nicht möglich ist. Gleichzeitig wird normiert, dass auch Gerichte im Rahmen ihrer justiziellen Tätigkeit sensible Daten (wie z.B. Gesundheitsdaten zur Schmerzensgeldberechnung oder zur Feststellung anderer Ansprüche) verarbeiten (insbesondere erheben, erfassen, speichern und - sofern erforderlich - auch anderen Verfahrensbeteiligten offenlegen) dürfen, die insbesondere für die Verfahrensabwicklung und Entscheidungsfindung ("Funktionsfähigkeit") notwendig sind.Die Verarbeitung muss zur Rechtswwawww Der Begriff "Rechtsanspruch" ist weit auszulegen, Ansprüche können sich aufgrund gesetzlicher oder vertraglicher Regelung ergeben. Erfasst sind sowohl öffentlich-rechtliche als auch privatrechtliche Rechtspositionen (siehe Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO Rz 45 - 46).

Die Verarbeitung muss zur Rechtswahrung bzw. justiziellen Tätigkeit erforderlich sein. Dabei liegt es nahe, dass ein Verantwortlicher, der seine Ansprüche geltend macht, ausübt oder verteidigt, regelmäßig nicht mit letzter Zuverlässigkeit abschätzen kann, welche Daten für ein Gericht entscheidungsrelevant sein können. Maßstab für die Erforderlichkeit muss deshalb eine ex-ante-Sicht sein, die naturgemäß Beurteilungsspielräume eröffnet. Danach sollte nicht der Tatsachenvorgang mit sensiblen Daten allein gegen Art. 9 DSGVO verstoßen, weil ein Gericht diesen Vorgang für unerheblich angesehen habe. Unzweifelhaft ist die Erforderlichkeit dann zu verneinen, wenn der Verantwortliche bewusst sensible Daten offenlegt, die mit dem Streitstoff in keiner Verbindung steht (siehe Petri in Simitis/Hornung/Spiecker, Datenschutzrecht - DSGVO mit GDSG, Seite 594).

Im vorliegenden Fall erfolgte die Übermittlung des Befundes durch die mitbeteiligte Partei an das Labor im Auftrag des Bundesverwaltungsgerichts im Rahmen des damals anhängigen verwaltungsgerichtlichen Verfahrens zu W214 2007810-1. Die Übermittlung des Befundes erwies sich insofern als erforderlich im Sinne des Art. 9 DSGVO, als dieser notwendig war, um den entsprechenden Anforderungsschein auszuheben und diesen als Beweismittel dem Bundesverwaltungsgericht vorzulegen. Dass der Zugriff auf die genannten Daten durch die mitbeteiligte Partei notwendig war, um die Aushebung des Anforderungsscheines beim Labor zu ermöglichen, ist nachvollziehbar, und die Übermittlung der Daten, wie in der Befundkopie dargestellt, nicht unverhältnismäßig. In diesem Zusammenhang muss außerdem festgehalten werden, dass die medizinischen Ergebnisse des übermittelten Befundes geschwärzt wurden.

Daran vermag auch der von der Beschwerdeführerin in ihrer Beschwerde an das Bundesverwaltungsgericht geltend gemachte Umstand, dass der Leiter des Labors im Zuge seiner Zeugenaussage am XXXX 2016 von sich aus einen Ausdruck des Anforderungsscheines vorlegen habe können, aufgrund der zuvor erwähnten, im Zusammenhang mit Art. 9 Abs. 2 lit. f DSGVO anzuwendenden ex-ante-Betrachtung nichts zu ändern. Aus den Angaben der Beschwerdeführerin dazu geht außerdem, genauso wie aus dem Verhandlungsprotokoll vom XXXX 2016 zu W214 2007810-1/159Z (S. 18), nicht hervor, inwieweit die Anfrage durch die mitbeteiligte Partei die Vorlage der Anforderung in der mündlichen Verhandlung vom XXXX 2016 im Sinne von notwendigen Vorbereitungen überhaupt erst ermöglichte.

Es war daher spruchgemäß zu entscheiden.

2.5. Zu den in der Beschwerde gestellten sonstigen Anträgen:

Dem Antrag der Beschwerdeführerin, ihr eine Rechtsbelehrung zu übermitteln (Antrag 8, S. 37 der Beschwerde), war nicht zu folgen, weil die Manuduktionspflicht nach § 13a AVG nur die zur Vornahme von Verfahrenshandlungen nötigen Anleitungen, aber keine umfassenden Rechtsbelehrungen umfasst (vgl. Hengstschläger/Leeb, AVG2, § 13a, RZ 4ff). Da im Verfahren der Wille der Beschwerdeführerin auf Grund ihres Beschwerdevorbringens interpretativ feststellbar war und in weiterer Folge im Wesentlichen Rechtsfragen zu klären waren, konnte auf weiterführende Rechtsbelehrungen verzichtet werden.

Auf die von der Beschwerdeführerin beantragte Bestellung eines deutschen Gutachters, der die tatsächlichen Datenzugriffe bei der mitbeteiligten Partei vor Ort ermittelt (Antrag 3, S 36 der Beschwerde), konnte verzichtet werden, da die erfolgten Datenzugriffe vom Bundesverwaltungsgericht nicht angezweifelt werden.

Soweit die Beschwerdeführerin die Vorlage der Vollmacht des Verwaltungsdirektors der mitbeteiligten Partei samt den Zustellnachweisen der zugrundeliegenden Verfahrenskorrespondenzen an die mitbeteiligte Partei beantragte (Antrag 4, S 36 der Beschwerde), war hierauf nicht weiter einzugehen, da hierbei einerseits auf die Ausführungen oben unter 2.3. verwiesen werden kann und andererseits, da hinsichtlich der Zustellnachweise nicht ersichtlich ist, inwiefern eine Vorlage derselben zur Entscheidungsfindung beitragen sollte.

Auf die Anträge der Beschwerdeführerin, die Befugnisse gemäß (ehemals) § 30 Abs 2, 4, 6 und 6a DSG 2000, die nunmehr den Befugnissen gemäß § 22 Abs 1, 2 und 4 DSG entsprechen, auszuüben, war nicht weiter einzugehen, weil die genannten Befugnisse nur der belangten Behörde, nicht aber dem erkennenden Gericht zukommen.

Vor diesem Hintergrund waren die von der Beschwerdeführerin in ihrer Beschwerde gestellten Anträge nicht weiter zu verfolgen.

Schließlich muss noch angeführt werden, dass die Anmerkung der Beschwerdeführerin, der Verwaltungsdirektor habe am XXXX 2018 ein weiteres Mal ohne Auftrag den Befund an die belangte Behörde weitergeleitet, den Beschwerdegegenstand, nämlich den angefochtenen Bescheid, überschreitet.

3. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann - soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist - das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall kann das Unterbleiben einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt zur Beurteilung der Beschwerde aus der Aktenlage in Verbindung mit dem Vorbringen der Beschwerdeführerin geklärt ist. Weder war der Sachverhalt in wesentlichen Punkten ergänzungsbedürftig noch erschien er in entscheidenden Punkten als unrichtig. Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über Rechtsfragen zu erkennen (vgl. EGMR 05.09.2002, Appl. Nr. 42057/98, Speil/Österreich). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B 155/12).

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Entscheidung weicht nicht von der Rechtsprechung des Verwaltungsgerichtshofes ab. Es fehlt auch nicht an einer Rechtsprechung und die zu lösende Rechtsfrage wird in der Rechtsprechung auch nicht uneinheitlich beantwortet.