Entscheidungsdatum
24.11.2023Norm
ASVG §750 Abs1aSpruch
,
W211 2261817-1/9E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA, LL.M als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde von XXXX , vertreten durch XXXX gegen den Bescheid der Datenschutzbehörde vom XXXX ; nach Beschwerdevorentscheidung vom XXXX , zu Recht: Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA, LL.M als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde von römisch 40 , vertreten durch römisch 40 gegen den Bescheid der Datenschutzbehörde vom römisch 40 ; nach Beschwerdevorentscheidung vom römisch 40 , zu Recht:
A)
Die Beschwerde wird als unbegründet abgewiesen, und die Beschwerdevorentscheidung wird bestätigt.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
,
Text
Entscheidungsgründe:, Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
1. Mit Beschwerde vom XXXX .2021 bei der Datenschutzbehörde (idF DSB) machte der Beschwerdeführer (idF BF) eine Verletzung in seinem Recht auf Geheimhaltung wegen eines Schreibens des Dachverbands der Sozialversicherungsträger und des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz (BMSGPK) mit der Einladung zu einem Impftermin geltend. Zudem beantragte der BF, die Datenverarbeitung gem. § 22 Abs. 4 DSG zu untersagen und gemäß § 22 Abs. 5 DSG eine Geldbuße zu verhängen. Beigelegt war das betreffende Impfaufforderungsschreiben.1. Mit Beschwerde vom römisch 40 .2021 bei der Datenschutzbehörde in der Fassung DSB) machte der Beschwerdeführer in der Fassung BF) eine Verletzung in seinem Recht auf Geheimhaltung wegen eines Schreibens des Dachverbands der Sozialversicherungsträger und des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz (BMSGPK) mit der Einladung zu einem Impftermin geltend. Zudem beantragte der BF, die Datenverarbeitung gem. Paragraph 22, Absatz 4, DSG zu untersagen und gemäß Paragraph 22, Absatz 5, DSG eine Geldbuße zu verhängen. Beigelegt war das betreffende Impfaufforderungsschreiben.
2. Mit Hinweis auf eine Vielzahl gleichlautender Beschwerde übermittelte die DSB dem BF eine Stellungnahme des Dachverbands der Sozialversicherungsträger, der nunmehr mitbeteiligten Partei (idF mP), vom XXXX .2022, die zu einem anderen Verfahren ergangen ist, zur allfälligen schriftlichen Stellungnahme binnen zwei Wochen. Aus dem Schreiben der mP vom XXXX .2022 geht zusammengefasst hervor, dass sie - wie in § 750 Abs. 1a ASVG vorgesehen - im Auftrag des BMSGPK Briefe an bestimmte Personen geschickt habe, die bis zu einem Stichtag noch keine Impfung gegen SARS-CoV-2 erhalten hätten. Für den Versand dieser Schreiben sei die mP datenschutzrechtliche Verantwortliche. Die gegenständliche Verarbeitung sei rechtmäßig gemäß Art. 6 Abs. 1 lit. c – hilfsweise lit. e – DSGVO iVm Art. 9 Abs. 2 lit. i – hilfsweise lit. g bzw. lit. h – erfolgt. Insbesondere sei mit § 750 Abs. 1a und Abs. 2 ASVG eine konkrete Rechtsgrundlage für die fallbezogene Verarbeitung geschaffen worden.2. Mit Hinweis auf eine Vielzahl gleichlautender Beschwerde übermittelte die DSB dem BF eine Stellungnahme des Dachverbands der Sozialversicherungsträger, der nunmehr mitbeteiligten Partei in der Fassung mP), vom römisch 40 .2022, die zu einem anderen Verfahren ergangen ist, zur allfälligen schriftlichen Stellungnahme binnen zwei Wochen. Aus dem Schreiben der mP vom römisch 40 .2022 geht zusammengefasst hervor, dass sie - wie in Paragraph 750, Absatz eins a, ASVG vorgesehen - im Auftrag des BMSGPK Briefe an bestimmte Personen geschickt habe, die bis zu einem Stichtag noch keine Impfung gegen SARS-CoV-2 erhalten hätten. Für den Versand dieser Schreiben sei die mP datenschutzrechtliche Verantwortliche. Die gegenständliche Verarbeitung sei rechtmäßig gemäß Artikel 6, Absatz eins, Litera c, – hilfsweise Litera e, – DSGVO in Verbindung mit Artikel 9, Absatz 2, Litera i, – hilfsweise Litera g, bzw. Litera h, – erfolgt. Insbesondere sei mit Paragraph 750, Absatz eins a und Absatz 2, ASVG eine konkrete Rechtsgrundlage für die fallbezogene Verarbeitung geschaffen worden.
3. Der BF replizierte mit Stellungnahme vom XXXX .2022 zusammengefasst dahingehend, dass die übermittelte Stellungnahme der mP zum gegenständlichen Sachverhalt sachfremd und unbeachtlich sei. § 750 Abs. 1a ASVG begründe eine gemeinsame Verantwortlichkeit mit dem BMSGPK und der ELGA GmbH. § 750 Abs. 1a und 2 ASVG würden als Rechtsgrundlage ausscheiden, da die mP nur dann alleinige Verantwortliche der Datenverarbeitung sein könne, wenn sie diese ohne Auftrag des BMSGPK durchgeführt hätte. Es fehle auch an einer gesetzlichen Grundlage dafür, dass das BMSGPK einen solchen Auftrag erteilen dürfe. Darüber hinaus seien die in der Bestimmung normierten Zwecke der Datenverarbeitung überschritten worden. Aus § 24d Abs. 2 Z 3 bzw. 5 GTelG könne ebenfalls keine Rechtsgrundlage abgeleitet werden. Eine Verarbeitung nach § 750 Abs. 1a und 2 ASVG scheitere weiter daran, dass Art. 5 Abs. 1 lit. a DSGVO nicht eingehalten worden sei, da nicht bekannt sei, wann eine Übermittlung der Daten stattgefunden habe, noch sei das Schreiben mit RSa-Brief übermittelt worden. 3. Der BF replizierte mit Stellungnahme vom römisch 40 .2022 zusammengefasst dahingehend, dass die übermittelte Stellungnahme der mP zum gegenständlichen Sachverhalt sachfremd und unbeachtlich sei. Paragraph 750, Absatz eins a, ASVG begründe eine gemeinsame Verantwortlichkeit mit dem BMSGPK und der ELGA GmbH. Paragraph 750, Absatz eins a und 2 ASVG würden als Rechtsgrundlage ausscheiden, da die mP nur dann alleinige Verantwortliche der Datenverarbeitung sein könne, wenn sie diese ohne Auftrag des BMSGPK durchgeführt hätte. Es fehle auch an einer gesetzlichen Grundlage dafür, dass das BMSGPK einen solchen Auftrag erteilen dürfe. Darüber hinaus seien die in der Bestimmung normierten Zwecke der Datenverarbeitung überschritten worden. Aus Paragraph 24 d, Absatz 2, Ziffer 3, bzw. 5 GTelG könne ebenfalls keine Rechtsgrundlage abgeleitet werden. Eine Verarbeitung nach Paragraph 750, Absatz eins a und 2 ASVG scheitere weiter daran, dass Artikel 5, Absatz eins, Litera a, DSGVO nicht eingehalten worden sei, da nicht bekannt sei, wann eine Übermittlung der Daten stattgefunden habe, noch sei das Schreiben mit RSa-Brief übermittelt worden.
4. Mit Bescheid vom XXXX .2022 wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 1.), der Antrag des BF, die belangte Behörde möge die Datenverarbeitung gemäß § 22 Abs. 4 DSG untersagen, abgewiesen (Spruchpunkt 2.) und der Antrag des BF, die belangte Behörde möge gegen die mP eine Geldbuße verhängen, zurückgewiesen (Spruchpunkt 3.). 4. Mit Bescheid vom römisch 40 .2022 wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 1.), der Antrag des BF, die belangte Behörde möge die Datenverarbeitung gemäß Paragraph 22, Absatz 4, DSG untersagen, abgewiesen (Spruchpunkt 2.) und der Antrag des BF, die belangte Behörde möge gegen die mP eine Geldbuße verhängen, zurückgewiesen (Spruchpunkt 3.).
Begründend führte die DSB zunächst aus, dass Beschwerdegegenstand die Frage sei, ob die mP den BF dadurch in seinem Recht auf Geheimhaltung verletzt habe, indem die mP die Daten des BF zum Zweck des Versands eines Schreibens, in welchem die mP den BF über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 informiert habe, unrechtmäßig verarbeitet habe.
Rechtlich führte die DSB zu Spruchpunkt 1. aus, dass die mP als Körperschaft des öffentlichen Rechts hinsichtlich der verfahrensgegenständlichen Verarbeitung als Behörde im Sinn des § 1 Abs. 2 DSG zu qualifizieren sei und zum Zweck des Versands eines Informationsschreibens betreffend das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2, die Daten des BF aus dem zentralen Impfregister und den eigenen Daten, konkret aus dem zentralen Patientenindex, verarbeitet habe. Da sich die mP in diesem Zusammenhang auf § 750 Abs. 1a und Abs. 2 ASVG und somit auf einen tragenden Eingriffstatbestand gemäß § 1 Abs. 2 DSG stützen habe können, habe sich die Beschwerde als nicht berechtigt erwiesen. Rechtlich führte die DSB zu Spruchpunkt 1. aus, dass die mP als Körperschaft des öffentlichen Rechts hinsichtlich der verfahrensgegenständlichen Verarbeitung als Behörde im Sinn des Paragraph eins, Absatz 2, DSG zu qualifizieren sei und zum Zweck des Versands eines Informationsschreibens betreffend das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2, die Daten des BF aus dem zentralen Impfregister und den eigenen Daten, konkret aus dem zentralen Patientenindex, verarbeitet habe. Da sich die mP in diesem Zusammenhang auf Paragraph 750, Absatz eins a und Absatz 2, ASVG und somit auf einen tragenden Eingriffstatbestand gemäß Paragraph eins, Absatz 2, DSG stützen habe können, habe sich die Beschwerde als nicht berechtigt erwiesen.
5. In der gegen diesen Bescheid eingebrachten Beschwerde führte der BF zusammengefasst aus, dass die DSB im Bescheid auf die Stellungnahme des BF nicht eingegangen sei, insbesondere betreffend die Einbeziehung der Stellungnahme der mP vom XXXX .2022, der allfälligen Mitverantwortlichkeit des BMSGPK und der ELGA GmbH, der Untauglichkeit der Rechtsgrundlage und der Verarbeitungszwecke.5. In der gegen diesen Bescheid eingebrachten Beschwerde führte der BF zusammengefasst aus, dass die DSB im Bescheid auf die Stellungnahme des BF nicht eingegangen sei, insbesondere betreffend die Einbeziehung der Stellungnahme der mP vom römisch 40 .2022, der allfälligen Mitverantwortlichkeit des BMSGPK und der ELGA GmbH, der Untauglichkeit der Rechtsgrundlage und der Verarbeitungszwecke.
6. Daraufhin erließ die DSB am XXXX .2022 eine Beschwerdevorentscheidung, mit der die Beschwerde als unbegründet abgewiesen wurde. Begründend führte die DSB zusätzlich zur rechtlichen Begründung im Bescheid vom XXXX .2022 aus, dass die Stellungnahme der mP die Verarbeitungsschritte der mP nachvollziehbar dargestellt habe und sie daher für die Feststellung des gegenständlich maßgeblichen Sachverhalts geeignet gewesen sei. Eine allfällige gemeinsame Verantwortlichkeit der mP mit dem BMSGPK und der ELGA GmbH würde am Ergebnis nichts ändern, da auch dann das gegenständlich gerügte Vorgehen von der gesetzlichen Grundlage gedeckt gewesen sei. Eine Zwecküberschreitung sei für die DSB nicht erkennbar, gehe doch aus dem Schreiben der mP an den BF zB keine Werbung für einen bestimmten Impfstoff oder für einen bestimmten Hersteller hervor. Der DSB komme schließlich keine Prüfkompetenz zur Vereinbarkeit der gesetzlichen Grundlage mit dem DSG und der DSGVO zu. Aus dem Ermittlungsverfahren hätten sich keine Anhaltspunkte für eine mehrmalige Datenübermittlung ergeben. Schließlich, wenn der BF moniere, dass ihm das Schreiben nicht mit RSa zugegangen sei, und demnach das Risiko bestanden hätte, dass seine Gesundheitsdaten Dritten offengelegt werden könnten, sei darauf hinzuweisen, dass einer Beschwerde betreffend die Verletzung des Rechts auf Geheimhaltung, die sich nur möglicherweise zutragen könnte, mangels Beschwer der Erfolg versagt sei. 6. Daraufhin erließ die DSB am römisch 40 .2022 eine Beschwerdevorentscheidung, mit der die Beschwerde als unbegründet abgewiesen wurde. Begründend führte die DSB zusätzlich zur rechtlichen Begründung im Bescheid vom römisch 40 .2022 aus, dass die Stellungnahme der mP die Verarbeitungsschritte der mP nachvollziehbar dargestellt habe und sie daher für die Feststellung des gegenständlich maßgeblichen Sachverhalts geeignet gewesen sei. Eine allfällige gemeinsame Verantwortlichkeit der mP mit dem BMSGPK und der ELGA GmbH würde am Ergebnis nichts ändern, da auch dann das gegenständlich gerügte Vorgehen von der gesetzlichen Grundlage gedeckt gewesen sei. Eine Zwecküberschreitung sei für die DSB nicht erkennbar, gehe doch aus dem Schreiben der mP an den BF zB keine Werbung für einen bestimmten Impfstoff oder für einen bestimmten Hersteller hervor. Der DSB komme schließlich keine Prüfkompetenz zur Vereinbarkeit der gesetzlichen Grundlage mit dem DSG und der DSGVO zu. Aus dem Ermittlungsverfahren hätten sich keine Anhaltspunkte für eine mehrmalige Datenübermittlung ergeben. Schließlich, wenn der BF moniere, dass ihm das Schreiben nicht mit RSa zugegangen sei, und demnach das Risiko bestanden hätte, dass seine Gesundheitsdaten Dritten offengelegt werden könnten, sei darauf hinzuweisen, dass einer Beschwerde betreffend die Verletzung des Rechts auf Geheimhaltung, die sich nur möglicherweise zutragen könnte, mangels Beschwer der Erfolg versagt sei.
7. Mit Schreiben vom XXXX .2022 beantragte der BF die Vorlage der Beschwerde an das Bundesverwaltungsgericht (BVwG) und monierte ua, dass die Begründung der DSB nur Scheinargumente beinhalte; inhaltlich sei auf das Beschwerdevorbringen des BF nicht eingegangen worden. 7. Mit Schreiben vom römisch 40 .2022 beantragte der BF die Vorlage der Beschwerde an das Bundesverwaltungsgericht (BVwG) und monierte ua, dass die Begründung der DSB nur Scheinargumente beinhalte; inhaltlich sei auf das Beschwerdevorbringen des BF nicht eingegangen worden.
8. Mit Schreiben vom XXXX .2022 legte die DSB die Beschwerde sowie den Verwaltungsakt dem BVwG zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass das Beschwerdevorbringen zur Gänze bestritten und auf den angefochtenen Bescheid verwiesen werde.8. Mit Schreiben vom römisch 40 .2022 legte die DSB die Beschwerde sowie den Verwaltungsakt dem BVwG zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass das Beschwerdevorbringen zur Gänze bestritten und auf den angefochtenen Bescheid verwiesen werde.
9. Am XXXX .2023 übermittelte das BVwG die Beschwerde der mP zur Kenntnis und gab Gelegenheit zur Abgabe einer Stellungnahme.9. Am römisch 40 .2023 übermittelte das BVwG die Beschwerde der mP zur Kenntnis und gab Gelegenheit zur Abgabe einer Stellungnahme.
10. Mit Stellungnahme vom XXXX .2023 äußerte sich die mP erneut zur Rechtsgrundlage, zu den Zwecken der Verarbeitung und zur datenschutzrechtlichen Verantwortlichkeit. Eine Verfassungswidrigkeit von § 750 Abs. 1a und Abs. 2 ASVG würde nicht vorliegen. Bestritten werden ausdrücklich, dass eine Arzneimittelwerbung vorgenommen worden sei. Ein Widerspruch zum Transparenzgebot und zum Grundsatz der Integrität und Vertraulichkeit des Art. 5 Abs. 1 lit. a und f DSGVO sei nicht konkretisiert worden. Eine Verpflichtung zur Versendung via RSa bestehe schließlich nicht; wichtige Gründe dafür seien nicht auszumachen. 10. Mit Stellungnahme vom römisch 40 .2023 äußerte sich die mP erneut zur Rechtsgrundlage, zu den Zwecken der Verarbeitung und zur datenschutzrechtlichen Verantwortlichkeit. Eine Verfassungswidrigkeit von Paragraph 750, Absatz eins a und Absatz 2, ASVG würde nicht vorliegen. Bestritten werden ausdrücklich, dass eine Arzneimittelwerbung vorgenommen worden sei. Ein Widerspruch zum Transparenzgebot und zum Grundsatz der Integrität und Vertraulichkeit des Artikel 5, Absatz eins, Litera a und f DSGVO sei nicht konkretisiert worden. Eine Verpflichtung zur Versendung via RSa bestehe schließlich nicht; wichtige Gründe dafür seien nicht auszumachen.
11. Der BF replizierte auf diese Stellungnahme der mP nicht.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.Der unter Punkt römisch eins. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.
Insbesondere wird folgender Sachverhalt festgestellt:
Die mP ist eine Körperschaft des öffentlichen Rechts und hat Rechtspersönlichkeit.
Sie verarbeitete personenbezogene Daten des BF und schickte an diesen ein Schreiben, in welchem sie ihn über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 informierte.
Zur Ermittlung der Daten des BF überprüfte die mP im zentralen Impfregister, ob zum BF zum Stichtag XXXX .2021 zumindest ein Impfeintrag vorhanden war und ermittelte, da ein solcher Impfeintrag nicht vorhanden war, in einem nächsten Schritt die Wohnadresse des BF im zentralen Patientenindex.Zur Ermittlung der Daten des BF überprüfte die mP im zentralen Impfregister, ob zum BF zum Stichtag römisch 40 .2021 zumindest ein Impfeintrag vorhanden war und ermittelte, da ein solcher Impfeintrag nicht vorhanden war, in einem nächsten Schritt die Wohnadresse des BF im zentralen Patientenindex.
In der Folge übermittelte die mP einen Lückenbrief mit allgemeinem Brieftext und Impfvorschlag sowie die Daten des BF an einen Druckdienstleister im Rahmen einer Auftragsdatenverarbeitung.
Beim Impfvorschlag handelte es sich nicht um eine personenbezogene Zuweisung eines Impftermins, weshalb in diesem Zusammenhang auch keine Daten des BF an Dritte weitergegeben wurden.
Nach der Übermittlung der Daten an den Druckdienstleister löschte die mP die Daten des BF. Der Druckdienstleister bestätigte gegenüber der mP die Löschung der Daten des BF.
Der BF wirkte in keiner Phase der Verarbeitung seiner personenbezogenen Daten (Zugriff auf das zentrale Impfregister, Zugriff auf den Patientenindex) mit bzw. erteilte hierfür eine Zustimmung.
2. Beweiswürdigung:
Diese Feststellungen ergeben sich aus dem Verwaltungs- und dem Gerichtsakt.
Die Feststellungen zur Abwicklung des monierten Schreibens bei der mP entstammen der Stellungnahme der mP vom XXXX .2022. Für das BVwG ergeben sich an der Nachvollziehbarkeit und Richtigkeit dieser Angaben der mP keine Zweifel. Insoweit der BF diesbezüglich am XXXX .2022 moniert, dass die Stellungnahme sachfremd sei, weil sie auf die Datenschutzbeschwerde einer anderen Person Bezug nehme, erstattet er damit kein Vorbringen, das an der Richtigkeit der Angaben der mP in Bezug auf die Erstellung der monierten Serienbriefe zweifeln lässt. Wenn der BF in seiner Beschwerde gegen den Bescheid der DSB anführt, dass die Stellungnahme der mP vom XXXX .2022 unsubstantiiert sei, wird dieser Vorwurf durch den BF nicht näher und damit auch nicht nachvollziehbar begründet. Die Angabe, dass der BF – nicht näher genannte - Personen kennen würde, die keinen solchen Brief erhalten hätten, obwohl sie dafür die Voraussetzungen erfüllt haben sollen, lässt begründete Zweifel an der Schilderung der mP über ihr diesbezügliches Vorgehen, wie es in der Stellungnahme vom XXXX .2022 dargestellt wurde, nicht aufkommen. Die Feststellungen zur Abwicklung des monierten Schreibens bei der mP entstammen der Stellungnahme der mP vom römisch 40 .2022. Für das BVwG ergeben sich an der Nachvollziehbarkeit und Richtigkeit dieser Angaben der mP keine Zweifel. Insoweit der BF diesbezüglich am römisch 40 .2022 moniert, dass die Stellungnahme sachfremd sei, weil sie auf die Datenschutzbeschwerde einer anderen Person Bezug nehme, erstattet er damit kein Vorbringen, das an der Richtigkeit der Angaben der mP in Bezug auf die Erstellung der monierten Serienbriefe zweifeln lässt. Wenn der BF in seiner Beschwerde gegen den Bescheid der DSB anführt, dass die Stellungnahme der mP vom römisch 40 .2022 unsubstantiiert sei, wird dieser Vorwurf durch den BF nicht näher und damit auch nicht nachvollziehbar begründet. Die Angabe, dass der BF – nicht näher genannte - Personen kennen würde, die keinen solchen Brief erhalten hätten, obwohl sie dafür die Voraussetzungen erfüllt haben sollen, lässt begründete Zweifel an der Schilderung der mP über ihr diesbezügliches Vorgehen, wie es in der Stellungnahme vom römisch 40 .2022 dargestellt wurde, nicht aufkommen.
3. Rechtliche Beurteilung:
3.1. Allgemeines (Beschwerdevorentscheidung):
Gemäß § 14 Abs. 1 VwGVG steht es der Behörde im Verfahren über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG frei, den angefochtenen Bescheid innerhalb von zwei Monaten aufzuheben, abzuändern oder die Beschwerde zurückzuweisen oder abzuweisen.Gemäß Paragraph 14, Absatz eins, VwGVG steht es der Behörde im Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG frei, den angefochtenen Bescheid innerhalb von zwei Monaten aufzuheben, abzuändern oder die Beschwerde zurückzuweisen oder abzuweisen.
Nach § 15 Abs. 1 VwGVG kann jede Partei binnen zwei Wochen nach Zustellung der Beschwerdevorentscheidung bei der Behörde den Antrag stellen, dass die Beschwerde dem Verwaltungsgericht zur Entscheidung vorgelegt wird (Vorlageantrag).Nach Paragraph 15, Absatz eins, VwGVG kann jede Partei binnen zwei Wochen nach Zustellung der Beschwerdevorentscheidung bei der Behörde den Antrag stellen, dass die Beschwerde dem Verwaltungsgericht zur Entscheidung vorgelegt wird (Vorlageantrag).
Das Rechtsmittel, über das das Verwaltungsgericht zu entscheiden hat, bleibt im Fall eines zulässigen Vorlageantrages die Beschwerde. Der Vorlageantrag richtet sich darauf, dass die Beschwerde dem Verwaltungsgericht vorgelegt wird, mag er auch eine (zusätzliche) Begründung enthalten. Da sich die Beschwerde gegen den Ausgangsbescheid richtet (und sich ihre Begründung auf diesen beziehen muss), bleibt der Ausgangsbescheid auch Maßstab dafür, ob die Beschwerde berechtigt ist oder nicht. Aufgehoben, abgeändert oder bestätigt werden kann aber nur die - außer in Fällen einer Zurückweisung der Beschwerde - an die Stelle des Ausgangsbescheides getretene Beschwerdevorentscheidung (vgl. VwGH, 17.12.0215, Ro 2015/08/0026). Das Rechtsmittel, über das das Verwaltungsgericht zu entscheiden hat, bleibt im Fall eines zulässigen Vorlageantrages die Beschwerde. Der Vorlageantrag richtet sich darauf, dass die Beschwerde dem Verwaltungsgericht vorgelegt wird, mag er auch eine (zusätzliche) Begründung enthalten. Da sich die Beschwerde gegen den Ausgangsbescheid richtet (und sich ihre Begründung auf diesen beziehen muss), bleibt der Ausgangsbescheid auch Maßstab dafür, ob die Beschwerde berechtigt ist oder nicht. Aufgehoben, abgeändert oder bestätigt werden kann aber nur die - außer in Fällen einer Zurückweisung der Beschwerde - an die Stelle des Ausgangsbescheides getretene Beschwerdevorentscheidung vergleiche VwGH, 17.12.0215, Ro 2015/08/0026).
3.2. Zu Spruchteil A)
3.2.1. Rechtsgrundlagen:
§ 1 DSG lautet:Paragraph eins, DSG lautet:
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins, (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
Art. 5 Abs. 1 DSGVO lautet soweit wesentlich:Artikel 5, Absatz eins, DSGVO lautet soweit wesentlich:
„Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssenGrundsätze für die Verarbeitung personenbezogener Daten, (1) Personenbezogene Daten müssen
a)
auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b)
für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c)
dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“); […]
f)
in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
Art. 6 DSGVO lautet:Artikel 6, DSGVO lautet:
„Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a)
Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b)
die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c)
die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d)
die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e)
die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f)
die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel römisch neun.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a)
Unionsrecht oder
b)
das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem
a)
jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b)
den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c)
die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
d)
die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e)
das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann“.
Art. 9 DSGVO:Artikel 9, DSGVO:
„Artikel 9
Verarbeitung besonderer Kategorien personenbezogener Daten
(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.Verarbeitung besonderer Kategorien personenbezogener Daten, (1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
(2) Absatz 1 gilt nicht in folgenden Fällen:
a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,
b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,
c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,
d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,
e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,
f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,
g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,
h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,
i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder
j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.
(3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.
(4) Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.“
§ 750 Abs. 1a und 2 ASVG lauten:Paragraph 750, Absatz eins a und 2 ASVG lauten:
„(1a) Der Dachverband hat über Auftrag des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz die nach den Bundesgesetzen krankenversicherten Personen und deren anspruchsberechtigte Angehörige, die bis 22. November 2021 noch keine Impfung gegen SARS-CoV-2 erhalten haben, über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren. Abs. 1 letzter Satz ist anzuwenden.„(1a) Der Dachverband hat über Auftrag des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz die nach den Bundesgesetzen krankenversicherten Personen und deren anspruchsberechtigte Angehörige, die bis 22. November 2021 noch keine Impfung gegen SARS-CoV-2 erhalten haben, über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren. Absatz eins, letzter Satz ist anzuwenden.
(2) Zum Zweck der Ermittlung der gemäß Abs. 1 und Abs. 1a in Betracht kommenden Personen ist der Dachverband berechtigt, die im zentralen Impfregister (§ 24c GTelG 2012) gespeicherten Daten zu den COVID-19-Impfungen einmalig mit eigenen Daten zu verknüpfen (abzugleichen). Für die Verknüpfung ist das bPK-SV zu verwenden. Eine Verarbeitung dieser Daten für andere Zwecke ist unzulässig. Nach der Verarbeitung sind diese Daten umgehend zu löschen. Die ELGA GmbH als für das Impfregister Verantwortliche (§ 27 Abs. 17 GTelG 2012 iVm § 4b eHealth-Verordnung, BGBl. II Nr. 449/2020) ist verpflichtet, dem Dachverband die notwendigen Daten bereitzustellen. Bei der Protokollierung nach § 24f Abs. 5 GTelG ist ein Hinweis darauf aufzunehmen, dass die Datenverarbeitung zum Zweck der Ermittlung der gemäß Abs. 1 und Abs. 1a in Betracht kommenden Personen erfolgt ist.“(2) Zum Zweck der Ermittlung der gemäß Absatz eins und Absatz eins a, in Betracht kommenden Personen ist der Dachverband berechtigt, die im zentralen Impfregister (Paragraph 24 c, GTelG 2012) gespeicherten Daten zu den COVID-19-Impfungen einmalig mit eigenen Daten zu verknüpfen (abzugleichen). Für die Verknüpfung ist das bPK-SV zu verwenden. Eine Verarbeitung dieser Daten für andere Zwecke ist unzulässig. Nach der Verarbeitung sind diese Daten umgehend zu löschen. Die ELGA GmbH als für das Impfregister Verantwortliche (Paragraph 27, Absatz 17, GTelG 2012 in Verbindung mit Paragraph 4 b, eHealth-Verordnung, Bundesgesetzblatt Teil 2, Nr. 449 aus 2020,) ist verpflichtet, dem Dachverband die notwendigen Daten bereitzustellen. Bei der Protokollierung nach Paragraph 24 f, Absatz 5, GTelG ist ein Hinweis darauf aufzunehmen, dass die Datenverarbeitung zum Zweck der Ermittlung der gemäß Absatz eins und Absatz eins a, in Betracht kommenden Personen erfolgt ist.“
§ 18 Gesundheitstelematikgesetz 2012 (GTelG) lautet:Paragraph 18, Gesundheitstelematikgesetz 2012 (GTelG) lautet:
„Überprüfung der Identität von ELGA-Teilnehmer/inne/n
§ 18. (1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient: Paragraph 18, (1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient:
1. der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen sowie 1. der Überprüfung der eindeutigen Identität (Paragraph 2, Ziffer 2, E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen sowie
2. der Lokalisierung von Verweisregistern, in denen sich Verweise auf ELGA-Gesundheitsdaten dieser natürlichen Personen befinden können.
(2) Im Patientenindex sind folgende Daten natürlicher Personen zu verarbeiten:
1. Namensangaben: (2) Im Patientenindex sind folgende Daten natürlicher Personen zu verarbeiten: , 1. Namensangaben:
a) Vorname(n)
b) Familienname
c) Geburtsname
d) akademische Grade
2. Personenmerkmale:d) akademische Grade , 2. Personenmerkmale:
a) Geburtsdatum
b) Geburtsort, soweit verfügbar
c) Geschlecht
d) Sterbedatum, soweit verfügbar
e) Staatsangehörigkeit
3. Adressdaten
4. Identitätsdaten: e) Staatsangehörigkeit , 3. Adressdaten , 4. Identitätsdaten:
a) Sozialversicherungsnummer
b) lokale Patient/inn/en/kennungen
c) bPK-GH
d) über die Z 1 bis 3 hinausgehenden Daten der europäischen Krankenversicherungskarte d) über die Ziffer eins bis 3 hinausgehenden Daten der europäischen Krankenversicherungskarte
e) sonstige staatliche Identifikatoren.
(3) Die Daten gemäß Abs. 2 sind vorrangig aus den Anwendungen des Dachverbandes gemäß § 30c Abs. 1 Z 2 lit. a ASVG sowie dem Ergänzungsregister gemäß § 6 Abs. 4 E-GovG zu erheben. (3) Die Daten gemäß Absatz 2, sind vorrangig aus den Anwendungen des Dachverbandes gemäß Paragraph 30 c, Absatz eins, Ziffer 2, Litera a, ASVG sowie dem Ergänzungsregister gemäß Paragraph 6, Absatz 4, E-GovG zu erheben.
(4) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (§ 14 Abs. 1 Z 1) hat in elektronischer Form unter Mitwirkung des ELGA-Teilnehmers/der ELGA-Teilnehmerin zu erfolgen. Dabei sind die im Patientenindex gespeicherten Identitätsdaten mit den im Rahmen der Identifikation erhobenen Identitätsdaten zu vergleichen. Die Erhebung der Identitätsdaten kann durch (4) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (Paragraph 14, Absatz eins, Ziffer eins,) hat in elektronischer Form unter Mitwirkung des ELGA-Teilnehmers/der ELGA-Teilnehmerin zu erfolgen. Dabei sind die im Patientenindex gespeicherten Identitätsdaten mit den im Rahmen der Identifikation erhobenen Identitätsdaten zu vergleichen. Die Erhebung der Identitätsdaten kann durch
1. eine elektronische Prüfung der Gültigkeit der e-card und dem Auslesen von Daten der e-card mittels e- card-System (§§ 31a ff ASVG) oder 1. eine elektronische Prüfung der Gültigkeit der e-card und dem Auslesen von Daten der e-card mittels e- card-System (Paragraphen 31 a, ff ASVG) oder
2. Verwenden eines E-ID (§ 2 Z 10 E-GovG) oder 2. Verwenden eines E-ID (Paragraph 2, Ziffer 10, E-GovG) oder
3. Verarbeiten von Identitätsdaten einer gemäß § 4 Abs. 2 eindeutig identifizierten natürlichen Person, die bei einem ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. d und e gespeichert sind wobei das IT-Sicherheitskonzept gemäß § 8 die Überprüfung der Identität der ELGA-Teilnehmer/innen technisch abzusichern hat zum Zweck der Verarbeitung der ELGA-Gesundheitsdaten gemäß § 14 Abs. 2 Z 1 oder 3. Verarbeiten von Identitätsdaten einer gemäß Paragraph 4, Absatz 2, eindeutig identifizierten natürlichen Person, die bei einem ELGA-Gesundheitsdiensteanbieter gemäß Paragraph 2, Ziffer 10, Litera d und e gespeichert sind wobei das IT-Sicherheitskonzept gemäß Paragraph 8, die Überprüfung der Identität der ELGA-Teilnehmer/innen technisch abzusichern hat zum Zweck der Verarbeitung der ELGA-Gesundheitsdaten gemäß Paragraph 14, Absatz 2, Ziffer eins, oder
4. Verarbeiten von Daten einer elektronischen oder sonst eindeutig identifizierbaren Verordnung oder Zuweisung (§ 14 Abs. 2 Z 1 lit. b), sofern die Erhebung der Identitätsdaten nicht gemäß Z 1 bis 3 erfolgt, oder 4. Verarbeiten von Daten einer elektronischen oder sonst eindeutig identifizierbaren Verordnung oder Zuweisung (Paragraph 14, Absatz 2, Ziffer eins, Litera b,), sofern die Erhebung der Identitätsdaten nicht gemäß Ziffer eins bis 3 erfolgt, oder
5. das Auslesen von Daten der e-card oder eines amtlichen Lichtbildausweises im Format ID-1 mittels geeigneter Technologie für die Identifizierung im Rahmen des elektronischen Impfpasses, wobei als amtlicher Lichtbildausweis in diesem Sinne von einer staatlichen Behörde ausgestellte Dokumente, die mit einem nicht austauschbaren erkennbaren Kopfbild der betreffenden Person versehen sind, und den Namen, das Geschlecht, das Geburtsdatum und die Unterschrift der Person sowie die ausstellende Behörde enthalten, gelten,
erfolgen.
(5) Im Zuge der Erhebung der Identitätsdaten mittels e-card System (§§ 31a ff ASVG) ist im selben Arbeitsschritt, aber technisch von den Datenflüssen des ELSY (§§ 31a ff ASVG) getrennt, auch ein allfälliger Widerspruch gemäß § 16 Abs. 2 Z 2 zu dokumentieren. (5) Im Zuge der Erhebung der Identitätsdaten mittels e-card System (Paragraphen 31 a, ff ASVG) ist im selben Arbeitsschritt, aber technisch von den Datenflüssen des ELSY (Paragraphen 31 a, ff ASVG) getrennt, auch ein allfälliger Widerspruch gemäß Paragraph 16, Absatz 2, Ziffer 2, zu dokumentieren.
(6) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (Abs. 4) darf für den Zugriff und die Verarbeitung der ELGA-Gesundheitsdaten zu den in § 14 Abs. 2 genannten Zwecken durch (6) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (Absatz 4,) darf für den Zugriff und die Verarbeitung der ELGA-Gesundheitsdaten zu den in Paragraph 14, Absatz 2, genannten Zwecken durch
1. ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. a, b, d und e und die ELGA-Ombudsstelle gemäß § 2 Z 14 nicht länger als 90 Tage und 1. ELGA-Gesundheitsdiensteanbieter gemäß Paragraph 2, Ziffer 10, Litera a, b, d und e und die ELGA-Ombudsstelle gemäß Paragraph 2, Ziffer 14, nicht länger als 90 Tage und
2. ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. c nicht länger als zwei Stunden zurückliegen. 2. ELGA-Gesundheitsdiensteanbieter gemäß Paragraph 2, Ziffer 10, Litera c, nicht länger als zwei Stunden zurückliegen.
(7) Abweichend von Abs. 6 kann ein ELGA-Teilnehmer/eine ELGA-Teilnehmerin einem oder mehreren ELGA- Gesundheitsdiensteanbieter des besonderen Vertrauens gemäß § 2 Z 10 lit. a, b, c und e in Verbindung mit § 21 Abs. 2 mit dessen Zustimmung, eine Frist von bis zu 365 Tagen einräumen.(7) Abweichend von Absatz 6, kann ein ELGA-Teilnehmer/eine ELGA-Teilnehmerin einem oder mehreren ELGA- Gesundheitsdiensteanbieter des besonderen Vertrauens gemäß Paragraph 2, Ziffer 10, Litera a, b, c und e in Verbindung mit Paragraph 21, Absatz 2, mit dessen Zustimmung, eine Frist von bis zu 365 Tagen einräumen.
(8) Abgesehen von den Fällen gemäß § 17 Abs. 4 dürfen Vertretungen von ELGA-Teilnehmer/inne/n im elektronischen Verkehr ausschließlich gemäß § 5 Abs. 1 E-GovG eingetragen werden, wobei: 1. an Stelle der Stammzahl ein bPK des ELGA-Teilnehmers/der ELGA-Teilnehmerin einzutragen ist sowie 2. die Berechtigung zum Zugriff auf ELGA gesondert eingetragen werden muss. (9) Zehn Jahre nach Kenntnis des Sterbedatums eines ELGA-Teilnehmers/einer ELGA-Teilnehmerin hat der Dachverband die im Patientenindex gespeicherten Daten des/der Verstorbenen automatisch zu löschen.“(8) Abgesehen von den Fällen gemäß Paragraph 17, Absatz 4, dürfen Vertretungen von ELGA-Teilnehmer/inne/n im elektronischen Verkehr ausschließlich gemäß Paragraph 5, Absatz eins, E-GovG eingetragen werden, wobei: 1. an Stelle der Stammzahl ein bPK des ELGA-Teilnehmers/der ELGA-Teilnehmerin einzutragen ist sowie 2. die Berechtigung zum Zugriff auf ELGA gesondert eingetragen werden muss. (9) Zehn Jahre nach Kenntnis des Sterbedatums eines ELGA-Teilnehmers/einer ELGA-Teilnehmerin hat der Dachverband die im Patientenindex gespeicherten Daten des/der Verstorbenen automatisch zu löschen.“
3.2.2. Die vorstehend dargestellte Rechtslage bedeutet für die behauptete Verletzung im Recht auf Geheimhaltung und das Beschwerdevorbringen zur Verantwortlicheneigenschaft wie folgt: der erkennende Senat übernimmt dabei die Begründung des Erkenntnisses des BVwG vom 11.07.2023 zur GZ W214 2257639-1/8E, das in einer vergleichbaren Beschwerdeangelegenheit ergangen ist, worauf die mP in ihrer Stellungnahme vom XXXX 2023 hingewiesen hat:3.2.2. Die vorstehend dargestellte Rechtslage bedeutet für die behauptete Verletzung im Recht auf Geheimhaltung und das Beschwerdevorbringen zur Verantwortlicheneigenschaft wie folgt: der erkennende Senat übernimmt dabei die Begründung des Erkenntnisses des BVwG vom 11.07.2023 zur GZ W214 2257639-1/8E, das in einer vergleichbaren Beschwerdeangelegenheit ergangen ist, worauf die mP in ihrer Stellungnahme vom römisch 40 2023 hingewiesen hat:
3.2.2.1. Zur behaupteten Verletzung im Recht auf Geheimhaltung:
Gemäß § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Gemäß Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.
Ein behördlicher Eingriff in das Grundrecht auf Datenschutz wegen überwiegender berechtigter öffentlicher Interessen ist nur dann erlaubt, wenn er durch gesetzliche Grundlagen hinreichend determiniert ist. Weiters muss jeder an sich zulässige Eingriff im konkreten Fall auch verhältnismäßig sein, dh dem Prinzip des gelindesten Mittels nach § 1 Abs. 2 letzter Satz entsprechen (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG) § 1, Rz 77).Ein behördlicher Eingriff in das Grundrecht auf Datenschutz wegen überwiegender berechtigter öffentlicher Interessen ist nur dann erlaubt, wenn er durch gesetzliche Grundlagen hinreichend determiniert ist. Weiters muss jeder an sich zulässige Eingriff im konkreten Fall auch verhältnismäßig sein, dh dem Prinzip des gelindesten Mittels nach Paragraph eins, Absatz 2, letzter Satz entsprechen vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG) Paragraph eins,, Rz 77).
Beschränkungen des Grundrechts auf Datenschutz sind nach dem Gesetzesvorbehalt des § 1 Abs. 2 bei Eingriffen einer staatlichen Behörde nur aufgrund von Gesetzen zulässig, die aus den in Art 8 Abs. 2 EMRK genannten Gründen notwendig sind und die ausreichend präzise, also für jedermann vorhersehbar regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist. Der Gesetzgeber muss somit nach den Vorgaben des § 1 Abs. 2 eine materienspezifische Regelung in dem Sinn vorsehen, dass die Fälle zulässiger Eingriffe in das Grundrecht auf Datenschutz konkretisiert und begrenzt werden (VfGH 23.6.2014, G 90/2013 [Erkennungsdienstliche Behandlung]). Es liegt dem Eingriffsvorbehalt des § 1 Abs. 2 DSG daher zugrunde, dass der Gesetzgeber in der jeweiligen materiengesetzlichen Regelung die Voraussetzungen und Grenzen zulässiger Eingriffe in das Recht auf Datenschutz durch staatliche Verantwortliche festzulegen, zu konkretisieren und – bei gleichzeitig vorzusehenden angemessenen Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen – zu begrenzen hat (VwGH 10.12.2018, Ra 2018/12/0060 [Ungeschwärzte Atteste]; vgl auch VwGH 14.11.2013, 2012/17/0048 [Kundendatenherausgabe an FMA]; VfGH 9.12.2008, B 1944/07 [Section Control II]), (vgl. wie oben, Rz 55).Beschränkungen des Grundrechts auf Datenschutz sind nach dem Gesetzesvorbehalt des Paragraph eins, Absatz 2, bei Eingriffen einer staatlichen Behörde nur aufgrund von Gesetzen zulässig, die aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sind und die ausreichend präzise, also für jedermann vorhersehbar regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist. Der Gesetzgeber muss somit nach den Vorgaben des Paragraph eins, Absatz 2, eine materienspezifische Regelung in dem Sinn vorsehen, dass die Fälle zulässiger Eingriffe in das Grundrecht auf Datenschutz konkretisiert und begrenzt werden (VfGH 23.6.2014, G 90 aus 2013, [Erkennungsdienstliche Behandlung]). Es liegt dem Eingriffsvorbehalt des Paragraph eins, Absatz 2, DSG daher zugrunde, dass der Gesetzgeber in der jeweiligen materiengesetzlichen Regelung die Voraussetzungen und Grenzen zulässiger Eingriffe in das Recht auf Datenschutz durch staatliche Verantwortliche festzulegen, zu konkretisieren und – bei gleichzeitig vorzusehenden angemessenen Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen – zu begrenzen hat (VwGH 10.12.2018, Ra 2018/12/0060 [Ungeschwärzte Atteste]; vergleiche auch VwGH 14.11.2013, 2012/17/0048 [Kundendatenherausgabe an FMA]; VfGH 9.12.2008, B 1944/07 [Section Control II]), vergleiche wie oben, Rz 55).
Eine Behörde ist iSd § 1 Abs 2 DSG im funktionellen Sinn zu verstehen. Auch Selbstverwaltungskörper und alle Stellen der Hoheitsverwaltung, die dem Legalitätsprinzip des B-VG unterliegen, sind hiervon erfasst (vgl. wie oben, Rz 49 mwN).Eine Behörde ist iSd Paragraph eins, Absatz 2, DSG im funktionellen Sinn zu verstehen. Auch Selbstverwaltungskörper und alle Stellen der Hoheitsverwaltung, die dem Legalitätsprinzip des B-VG unterliegen, sind hiervon erfasst vergleiche wie oben, Rz 49 mwN).
Bei der mP handelt es sich gemäß § 32 ASVG um eine mit Rechtspersönlichkeit ausgestattete Körperschaft des öffentlichen Rechts, weshalb sie als staatliche Behörde im Sinne des § 1 Abs. 2 DSG zu qualifizieren ist.Bei der mP handelt es sich gemäß Paragraph 32, ASVG um eine mit Rechtspersönlichkeit ausgestattete Körperschaft des öffentlichen Rechts, weshalb sie als staatliche Behörde im Sinne des Paragraph eins, Absatz 2, DSG zu qualifizieren ist.
Die Verantwortlicheneigenschaft der mP im gegebenen Fall steht außer Frage:
„Der Dachverband der Sozialversicherungsträger ist aber ausnahmsweise auch datenschutzrechtlicher Verantwortlicher, bspw in Hinblick auf seine eigenen Bediensteten als die bei der Verarbeitung ihrer personenbezogenen Daten im Rahmen des Dienstverhältnisses betroffenen Personen; vgl. aber auch bspw § 750 ASVG BGBl 189/1955 betreffend das „Informationsschreiben Impfung gegen SARS-CoV-2““ (siehe dazu Pinggera/Stadler in Brameshuber/Blasch [Hrsg], Sozialversicherungsrecht [2022] Von verantwortungsvollen Verantwortlichen, S. 109).„Der Dachverband der Sozialversicherungsträger ist aber ausnahmsweise auch datenschutzrechtlicher Verantwortlicher, bspw in Hinblick auf seine eigenen Bediensteten als die bei der Verarbeitung ihrer personenbezogenen Daten im Rahmen des Dienstverhältnisses betroffenen Personen; vergleiche aber auch bspw Paragraph 750, ASVG Bundesgesetzblatt 189 aus 1955, betreffend das „Informationsschreiben Impfung gegen SARS-CoV-2““ (siehe dazu Pinggera/Stadler in Brameshuber/Blasch [Hrsg], Sozialversicherungsrecht [2022] Von verantwortungsvollen Verantwortlichen, S. 109).
Nach § 1 Abs. 2 DSG sind Beschränkungen des Geheimhaltungsanspruchs nur zulässig, wenn die Verwendung personenbezogener Daten im lebenswichtigen Interesse der Betroffenen oder mit ihrer Zustimmung erfolgt, bei überwiegenden berechtigten Interessen von anderen oder bei Vorhandensein einer qualifizierten gesetzlichen Grundlage.Nach Paragraph eins, Absatz 2, DSG sind Beschränkungen des Geheimhaltungsanspruchs nur zulässig, wenn die Verwendung personenbezogener Daten im lebenswichtigen Interesse der Betroffenen oder mit ihrer Zustimmung erfolgt, bei überwiegenden berechtigten Interessen von anderen oder bei Vorhandensein einer qualifizierten gesetzlichen Grundlage.
Vorliegen einer qualifizierten gesetzlichen Grundlage eine Verarbeitung nach § 1 Abs. 2 DSG:Vorliegen einer qualifizierten gesetzlichen Grundlage eine Verarbeitung nach Paragraph eins, Absatz 2, DSG:
Wie sich aus der zitierten Judikatur ergibt, müssen diesbezügliche Gesetze aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sein und ausreichend präzise regeln, unter welchen Voraussetzungen die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist.Wie sich aus der zitierten Judikatur ergibt, müssen diesbezügliche Gesetze aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sein und ausreichend präzise regeln, unter welchen Voraussetzungen die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist.
Eine Eingriffsnorm im Sinne des § 1 Abs. 2 DSG hat ausreichend präzise, also für jedermann vorhersehbar zu sein. Überdies muss sie regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist (VfGH 11.12.2019, G72/2019 ua; 12.12.2019, G164/2019 ua). Eine Eingriffsnorm im Sinne des Paragraph eins, Absatz 2, DSG hat ausreichend präzise, also für jedermann vorhersehbar zu sein. Überdies muss sie regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist (VfGH 11.12.2019, G72/2019 ua; 12.12.2019, G164/2019 ua).
Somit liegt eine Verletzung von § 1 DSG nicht vor, wenn die mP sich auf eine geeignete Rechtsvorschrift berufen kann, welche ihr einen zulässigen Zugriff auf das zentrale Impfregister und den Patientenindex ermöglicht. Da dabei gegenständlich die Verwendung besonderer Kategorien von Daten normiert wird, muss das Gesetz die Verwendung zur Wahrung wichtiger öffentlicher Interessen vorsehen und gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Somit liegt eine Verletzung von Paragraph eins, DSG nicht vor, wenn die mP sich auf eine geeignete Rechtsvorschrift berufen kann, welche ihr einen zulässigen Zugriff auf das zentrale Impfregister und den Patientenindex ermöglicht. Da dabei gegenständlich die Verwendung besonderer Kategorien von Daten normiert wird, muss das Gesetz die Verwendung zur Wahrung wichtiger öffentlicher Interessen vorsehen und gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen.
Eine solche Rechtsgrundlage ist in § 750 Abs. 1a und 2 ASVG zu sehen: Eine solche Rechtsgrundlage ist in Paragraph 750, Absatz eins a und 2 ASVG zu sehen:
Aus dem klaren Wortlaut von § 750 Abs. 1a ASVG ergibt sich zunächst, dass die mP über Auftrag des BMSGPK die nach den Bundesgesetzen krankenversicherten Personen und deren anspruchsberechtigte Angehörige, die bis XXXX .2021 noch keine Impfung gegen SARS-CoV-2 erhalten haben, über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren hat.Aus dem klaren Wortlaut von Paragraph 750, Absatz eins a, ASVG ergibt sich zunächst, dass die mP über Auftrag des BMSGPK die nach den Bundesgesetzen krankenversicherten Personen und deren anspruchsberechtigte Angehörige, die bis römisch 40 .2021 noch keine Impfung gegen SARS-CoV-2 erhalten haben, über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren hat.
„Diese Maßnahme ist Teil der COVID-19-Impfstrategie, welche das Ziel verfolgt, eine möglichst hohe Durchimpfungsrate zu erreichen und dadurch schwere Krankheitsverläufe und Tod durch COVID-19 zu vermeiden. Die genannten Personengruppen haben ein erhöhtes Risiko, schwer an COVID-19 zu erkranken, sodass ihre Impfung daher von Priorität ist“ (Poperl in Poperl/Trauner/Weißenböck (Hrsg), Allgemeines Sozialversicherungsgesetz [74. Lfg 2022] § 750 ASVG, Rz 2).„Diese Maßnahme ist Teil der COVID-19-Impfstrategie, welche das Ziel verfolgt, eine möglichst hohe Durchimpfungsrate zu erreichen und dadurch schwere Krankheitsverläufe und Tod durch COVID-19 zu vermeiden. Die genannten Personengruppen haben ein erhöhtes Risiko, schwer an COVID-19 zu erkranken, sodass ihre Impfung daher von Priorität ist“ (Poperl in Poperl/Trauner/Weißenböck (Hrsg), Allgemeines Sozialversicherungsgesetz [74. Lfg 2022] Paragraph 750, ASVG, Rz 2).
Um die in Betracht kommenden Personen ermitteln zu können, ist ein Abgleich mit dem zentralen Impfregister erforderlich. Die mP wird daher berechtigt, diese Daten einmalig mit eigenen Daten abzugleichen. Die Verwendung der Daten für sonstige Zwecke ist unzulässig, und die Daten sind nach der Verarbeitung unverzüglich zu löschen. Nach § 24f Abs. 5 GTelG 2012 erfolgt eine Protokollierung der Datenverarbeitung, es wird jedoch gesetzlich vorgesehen, dass die Protokollierung eine Anmerkung hinsichtlich des verfolgten Zweckes erhält (vgl. wieder wie oben, Rz 4; siehe dazu insb. schon § 750 Abs. 2 ASVG). Somit sind auch besondere Sicherheitsvorkehrungen zum Schutz der betroffenen Personen im Gesetz vorgesehen.Um die in Betracht kommenden Personen ermitteln zu können, ist ein Abgleich mit dem zentralen Impfregister erforderlich. Die mP wird daher berechtigt, diese Daten einmalig mit eigenen Daten abzugleichen. Die Verwendung der Daten für sonstige Zwecke ist unzulässig, und die Daten sind nach der Verarbeitung unverzüglich zu löschen. Nach Paragraph 24 f, Absatz 5, GTelG 2012 erfolgt eine Protokollierung der Datenverarbeitung, es wird jedoch gesetzlich vorgesehen, dass die Protokollierung eine Anmerkung hinsichtlich des verfolgten Zweckes erhält vergleiche wieder wie oben, Rz 4; siehe dazu insb. schon Paragraph 750, Absatz 2, ASVG). Somit sind auch besondere Sicherheitsvorkehrungen zum Schutz der betroffenen Personen im Gesetz vorgesehen.
Zum zentralen Impfregister:
Nach § 24c Abs. 1 GTelG ist zur Sicherstellung der in § 24b genannten Ziele von dem für das Gesundheitswesen zuständigen Bundesminister als Verantwortlichem (Art. 4 Z 7 DSGVO) die eHealth-Anwendung eImpfpass zu betreiben. Wesentlicher Bestandteil dieser Anwendung ist ein zentrales Impfregister, das der elektronischen Dokumentation aller durchgeführten Impfungen dient. Nach Paragraph 24 c, Absatz eins, GTelG ist zur Sicherstellung der in Paragraph 24 b, genannten Ziele von dem für das Gesundheitswesen zuständigen Bundesminister als Verantwortlichem (Artikel 4, Ziffer 7, DSGVO) die eHealth-Anwendung eImpfpass zu betreiben. Wesentlicher Bestandteil dieser Anwendung ist ein zentrales Impfregister, das der elektronischen Dokumentation aller durchgeführten Impfungen dient.
„Die Unterscheidung zwischen ELGA- und eHealth-Anwendungen wurde erst mit dem Gesundheitsreformumsetzungsgesetz 2017 (GRUG 2017), BGBl I 2017/131, notwendig, da mit diesem ins GTelG 2012 ein 5. Abschnitt („eHealth-Anwendungen“) und ein § 24a (Primärversorgung als erste eHealth-Anwendung) eingefügt wurden. Es ist wichtig festzuhalten, dass zwar sowohl ELGA per se und ELGA-Anwendungen unter den Begriff „eHealth“ fallen, aber ELGA keine „eHealth-Anwendung“ iSd GTelG 2012 ist. Gemäß § 2 Z 16 GTelG 2012 ist eine ELGA-Anwendung die auf einen bestimmten Zweck gerichtete Verwendung von ELGA durch ELGA-GDA und ELGA-Teilnehmer:innen gemäß dem 4. Abschnitt. Eine eHealth-Anwendung ist dahingegen gemäß § 2 Z 17 GTelG 2012 die auf einen bestimmten Zweck gerichtete Verwendung von ELGA-Komponenten durch Bürger:innen und GDA gemäß dem 5. Abschnitt“ (Milisits/Pfandlsteiner in Aigner/Kletecka/Kletecka-Pulker/Memmer, Handbuch Medizinrecht Kap. I.9.4. [Stand 1.10.2022, rdb.at]).„Die Unterscheidung zwischen ELGA- und eHealth-Anwendungen wurde erst mit dem Gesundheitsreformumsetzungsgesetz 2017 (GRUG 2017), BGBl römisch eins 2017/131, notwendig, da mit diesem ins GTelG 2012 ein 5. Abschnitt („eHealth-Anwendungen“) und ein Paragraph 24 a, (Primärversorgung als erste eHealth-Anwendung) eingefügt wurden. Es ist wichtig festzuhalten, dass zwar sowohl ELGA per se und ELGA-Anwendungen unter den Begriff „eHealth“ fallen, aber ELGA keine „eHealth-Anwendung“ iSd GTelG 2012 ist. Gemäß Paragraph 2, Ziffer 16, GTelG 2012 ist eine ELGA-Anwendung die auf einen bestimmten Zweck gerichtete Verwendung von ELGA durch ELGA-GDA und ELGA-Teilnehmer:innen gemäß dem 4. Abschnitt. Eine eHealth-Anwendung ist dahingegen gemäß Paragraph 2, Ziffer 17, GTelG 2012 die auf einen bestimmten Zweck gerichtete Verwendung von ELGA-Komponenten durch Bürger:innen und GDA gemäß dem 5. Abschnitt“ (Milisits/Pfandlsteiner in Aigner/Kletecka/Kletecka-Pulker/Memmer, Handbuch Medizinrecht Kap. römisch eins.9.4. [Stand 1.10.2022, rdb.at]).
Gemäß § 24b GTelG erfüllt die Verwendung des eImpfpasses ein erhebliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j DSGVO. Dieses erhebliche öffentliche Interesse ergibt sich (ua) insbesondere aus der Optimierung der Impfversorgung der Bevölkerung, vor allem durch die Steigerung der Prozess- und Ergebnisqualität von Impfungen und die Wirksamkeit von öffentlichen Impfprogrammen (Z 1 lit. b) und die Erhöhung der Durchimpfungsraten (Z 1 lit. c). Weiters ergibt sich dieses öffentliche Interesse auch aus der Verfügbarkeit digitaler Impfinformationen für die Steuerung des öffentlichen Gesundheitswesens (siehe dazu Z 2). Insoweit kann auch festgehalten werden, dass der in § 750 Abs. 1a und 2 ASVG ausgeführte Zweck mit den in §24b iVm § 24c GTelG statuierten öffentlichen Interessen korreliert. Gemäß Paragraph 24 b, GTelG erfüllt die Verwendung des eImpfpasses ein erhebliches Interesse gemäß Artikel 9, Absatz 2, Litera g bis j DSGVO. Dieses erhebliche öffentliche Interesse ergibt sich (ua) insbesondere aus der Optimierung der Impfversorgung der Bevölkerung, vor allem durch die Steigerung der Prozess- und Ergebnisqualität von Impfungen und die Wirksamkeit von öffentlichen Impfprogrammen (Ziffer eins, Litera b,) und die Erhöhung der Durchimpfungsraten (Ziffer eins, Litera c,). Weiters ergibt sich dieses öffentliche Interesse auch aus der Verfügbarkeit digitaler Impfinformationen für die Steuerung des öffentlichen Gesundheitswesens (siehe dazu Ziffer 2,). Insoweit kann auch festgehalten werden, dass der in Paragraph 750, Absatz eins a und 2 ASVG ausgeführte Zweck mit den in §24b in Verbindung mit Paragraph 24 c, GTelG statuierten öffentlichen Interessen korreliert.
Zum Patientenindex:
Nach § 18 Abs. 1 GTelG hat die mP im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient insbesondere der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen (Z 1). Nach Paragraph 18, Absatz eins, GTelG hat die mP im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient insbesondere der Überprüfung der eindeutigen Identität (Paragraph 2, Ziffer 2, E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen (Ziffer eins,).
„Der Patientenindex ist ein wesentlicher Faktor für die Identifikation von ELGA-Teilnehmer:innen. Der Patientenindex ist das Verzeichnis aller Versicherten. Er enthält personenbezogene Daten zu einer Person, wie etwa Name, Geburtsdatum und Adresse. Er ist ua notwendig, um in einem elektronischen System Daten oder Dokumente eindeutig einer Person zuordnen zu können. Der Patientenindex ist weiters eine wesentliche Voraussetzung dafür, Personen den elektronischen Zugriff auf die eigenen Gesundheitsdaten zu ermöglichen“ (Milisits/Pfandlsteiner in Aigner/Kletecka/Kletecka-Pulker/Memmer, Handbuch Medizinrecht Kap. I.9.5.6.1. [Stand 1.10.2022, rdb.at]).„Der Patientenindex ist ein wesentlicher Faktor für die Identifikation von ELGA-Teilnehmer:innen. Der Patientenindex ist das Verzeichnis aller Versicherten. Er enthält personenbezogene Daten zu einer Person, wie etwa Name, Geburtsdatum und Adresse. Er ist ua notwendig, um in einem elektronischen System Daten oder Dokumente eindeutig einer Person zuordnen zu können. Der Patientenindex ist weiters eine wesentliche Voraussetzung dafür, Personen den elektronischen Zugriff auf die eigenen Gesundheitsdaten zu ermöglichen“ (Milisits/Pfandlsteiner in Aigner/Kletecka/Kletecka-Pulker/Memmer, Handbuch Medizinrecht Kap. römisch eins.9.5.6.1. [Stand 1.10.2022, rdb.at]).
In § 18 Abs. 2 GTelG werden die im Patientenindex zu verarbeitenden Daten angeführt, darunter auch – wie die mP zutreffend hervorhob – die Adressdaten von natürlichen Personen (Z 3). Der Patientenindex wird vorrangig aus anderen E-Government-Registern, wie etwa der bei der mP geführten Zentralen Partnerverwaltung (ZPV) oder dem von der Stammzahlenregisterbehörde geführten Ergänzungsregister, gebildet (§ 18 Abs. 3 GTelG) (vgl. Stärker in Neumayr/Resch/Wallner, GmundKomm2 § 18 GTelG 2012 [Stand 1.1. 2022, rdb.at] Rz 2-3).In Paragraph 18, Absatz 2, GTelG werden die im Patientenindex zu verarbeitenden Daten angeführt, darunter auch – wie die mP zutreffend hervorhob – die Adressdaten von natürlichen Personen (Ziffer 3,). Der Patientenindex wird vorrangig aus anderen E-Government-Registern, wie etwa der bei der mP geführten Zentralen Partnerverwaltung (ZPV) oder dem von der Stammzahlenregisterbehörde geführten Ergänzungsregister, gebildet (Paragraph 18, Absatz 3, GTelG) vergleiche Stärker in Neumayr/Resch/Wallner, GmundKomm2 Paragraph 18, GTelG 2012 [Stand 1.1. 2022, rdb.at] Rz 2-3).
Es ist daher festzuhalten, dass die mP jedenfalls auf der Grundlage des § 750 Abs. 1a und 2 ASVG rechtmäßiger Weise Zugriff auf das zentrale Impfregister nehmen konnte, indem sie darin einen Abgleich mit eigenen Daten vornahm, ob zum BF zum Stichtag 22.11.2021 zumindest ein Impfeintrag vorhanden war, und die Wohnadresse im zentralen Patientenindex ermittelte.Es ist daher festzuhalten, dass die mP jedenfalls auf der Grundlage des Paragraph 750, Absatz eins a und 2 ASVG rechtmäßiger Weise Zugriff auf das zentrale Impfregister nehmen konnte, indem sie darin einen Abgleich mit eigenen Daten vornahm, ob zum BF zum Stichtag 22.11.2021 zumindest ein Impfeintrag vorhanden war, und die Wohnadresse im zentralen Patientenindex ermittelte.
Es liegt aber auch aus folgenden Gründen keine Verletzung der Art. 5, 6 oder 9 DSGVO vor, die einen Grundrechtsverstoß bewirken könnte:Es liegt aber auch aus folgenden Gründen keine Verletzung der Artikel 5, 6, oder 9 DSGVO vor, die einen Grundrechtsverstoß bewirken könnte:
Mit der vorliegenden gesetzlichen Regelung wird der Zweck der Verarbeitung von Daten aus dem Impfregister und aus Daten der mP vorgesehen, und somit der Zweck der Verarbeitung determiniert. Da der Zweck ausdrücklich in der genannten Bestimmung determiniert ist, und selbst alle für die Zulässigkeit einer zweckändernden Weiterverarbeitung (auch sensibler) Daten erforderlichen Voraussetzungen nach Art. 6 Abs. 1 DSGVO, Art. 9 Abs. 2 und Art. 6 Abs. 4 kumulativ erfüllt sind, kann keine Verletzung des Art. 5 Abs. 1 lit. b DSGVO festgestellt werden.Mit der vorliegenden gesetzlichen Regelung wird der Zweck der Verarbeitung von Daten aus dem Impfregister und aus Daten der mP vorgesehen, und somit der Zweck der Verarbeitung determiniert. Da der Zweck ausdrücklich in der genannten Bestimmung determiniert ist, und selbst alle für die Zulässigkeit einer zweckändernden Weiterverarbeitung (auch sensibler) Daten erforderlichen Voraussetzungen nach Artikel 6, Absatz eins, DSGVO, Artikel 9, Absatz 2 und Artikel 6, Absatz 4, kumulativ erfüllt sind, kann keine Verletzung des Artikel 5, Absatz eins, Litera b, DSGVO festgestellt werden.
Weiters wird angemerkt, dass mit dieser gesetzlichen Ermächtigung auch die Voraussetzungen des Art. 6 Abs. 1 lit. c bzw. e und Abs. 3 DSGVO erfüllt sind. Weiters wird angemerkt, dass mit dieser gesetzlichen Ermächtigung auch die Voraussetzungen des Artikel 6, Absatz eins, Litera c, bzw. e und Absatz 3, DSGVO erfüllt sind.
Was die Verarbeitung besonderer Kategorien von Daten nach Art. 9 DSGVO betrifft, ist Folgendes festzuhalten:Was die Verarbeitung besonderer Kategorien von Daten nach Artikel 9, DSGVO betrifft, ist Folgendes festzuhalten:
Wie oben schon festgestellt, hat die mP zum Zweck des Versands eines Informationsschreibens betreffend das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2, die Daten des BF aus dem zentralen Impfregister und die eigenen Daten, konkret aus dem zentralen Patientenindex, verarbeitet. Es ist unstrittig, dass es sich hierbei um personenbezogene Daten gemäß Art. 4 Z 1 DSGVO und überdies teilweise um sensible Daten handelt.Wie oben schon festgestellt, hat die mP zum Zweck des Versands eines Informationsschreibens betreffend das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2, die Daten des BF aus dem zentralen Impfregister und die eigenen Daten, konkret aus dem zentralen Patientenindex, verarbeitet. Es ist unstrittig, dass es sich hierbei um personenbezogene Daten gemäß Artikel 4, Ziffer eins, DSGVO und überdies teilweise um sensible Daten handelt.
In diesem Zusammenhang ist darauf hinzuweisen, dass schon den ErwGr zur DSGVO zu entnehmen ist, dass die DSGVO unter Gesundheitsdaten auch Krankheitsrisiken erfasst (vgl. DSGVO ErwGr 35, so auch Plucinska/Zankel, Rechtliche Rahmenbedingungen für Testungen und Impfungen im Zusammenhang mit SARS-CoV-2 im Arbeitsverhältnis. Zusammenspiel von Arbeits- und Datenschutzrecht, ASoK 2021, 82). Der aufrechte Impfstatus gegen SARS-CoV-2 der betroffenen Person kann nun Informationen darüber geben, ob die betroffene Person eine körperliche Immunität gegen SARS-CoV-2 hat oder hatte und ob die betroffene Person ein verringertes Risiko für eine SARS-CoV-2-Erkrankung trifft oder traf. Folglich ist davon auszugehen, dass aus dem Impfstatus Informationen über den Gesundheitszustand (gegebenenfalls sowohl über den vergangenen, gegenwärtigen als auch künftigen) der betroffenen Person hervorgehen, womit das Datum „Impfstatus“ als Gesundheitsdatum iSd Art. 9 Abs. 1 DSGVO zu klassifizieren ist (Plucinska/Zankel, Rechtliche Rahmenbedingungen für Testungen und Impfungen im Zusammenhang mit SARS-CoV-2 im Arbeitsverhältnis. Zusammenspiel von Arbeits- und Datenschutzrecht, ASoK 2021, 82).In diesem Zusammenhang ist darauf hinzuweisen, dass schon den ErwGr zur DSGVO zu entnehmen ist, dass die DSGVO unter Gesundheitsdaten auch Krankheitsrisiken erfasst vergleiche DSGVO ErwGr 35, so auch Plucinska/Zankel, Rechtliche Rahmenbedingungen für Testungen und Impfungen im Zusammenhang mit SARS-CoV-2 im Arbeitsverhältnis. Zusammenspiel von Arbeits- und Datenschutzrecht, ASoK 2021, 82). Der aufrechte Impfstatus gegen SARS-CoV-2 der betroffenen Person kann nun Informationen darüber geben, ob die betroffene Person eine körperliche Immunität gegen SARS-CoV-2 hat oder hatte und ob die betroffene Person ein verringertes Risiko für eine SARS-CoV-2-Erkrankung trifft oder traf. Folglich ist davon auszugehen, dass aus dem Impfstatus Informationen über den Gesundheitszustand (gegebenenfalls sowohl über den vergangenen, gegenwärtigen als auch künftigen) der betroffenen Person hervorgehen, womit das Datum „Impfstatus“ als Gesundheitsdatum iSd Artikel 9, Absatz eins, DSGVO zu klassifizieren ist (Plucinska/Zankel, Rechtliche Rahmenbedingungen für Testungen und Impfungen im Zusammenhang mit SARS-CoV-2 im Arbeitsverhältnis. Zusammenspiel von Arbeits- und Datenschutzrecht, ASoK 2021, 82).
Eine Verarbeitung des Impfstatus ist daher nur dann möglich, wenn eine Ausnahme des Art. 9 Abs. 2 DSGVO vom Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO vorliegt. Die Verarbeitung besonderer Kategorien von Daten iSd Art. 9 Abs. 1 DSGVO ist u.a. zulässig, wenn sie auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist (Art. 9 Abs. 2 lit. g DSGVO) oder die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich ist (Art. 9 Abs. 2 lit. i DSGVO).Eine Verarbeitung des Impfstatus ist daher nur dann möglich, wenn eine Ausnahme des Artikel 9, Absatz 2, DSGVO vom Verarbeitungsverbot des Artikel 9, Absatz eins, DSGVO vorliegt. Die Verarbeitung besonderer Kategorien von Daten iSd Artikel 9, Absatz eins, DSGVO ist u.a. zulässig, wenn sie auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist (Artikel 9, Absatz 2, Litera g, DSGVO) oder die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich ist (Artikel 9, Absatz 2, Litera i, DSGVO).
Wie oben ausgeführt, ergibt sich aus der ausdrücklichen gesetzlichen Regelung gemäß § 750 ASVG (welche ein Gesetz iSd des Art. 9 abs. 2 lit g bzw. Art. 9 Abs. 2 lit i DSGVO darstellt) iVm § 18 GTelG, dass die Verarbeitung der in Rede stehenden Daten durch die mP auch in diesem Zusammenhang rechtmäßig war. Wie oben ausgeführt, ergibt sich aus der ausdrücklichen gesetzlichen Regelung gemäß Paragraph 750, ASVG (welche ein Gesetz iSd des Artikel 9, abs. 2 Litera g, bzw. Artikel 9, Absatz 2, Litera i, DSGVO darstellt) in Verbindung mit Paragraph 18, GTelG, dass die Verarbeitung der in Rede stehenden Daten durch die mP auch in diesem Zusammenhang rechtmäßig war.
Vor dem Hintergrund dieser ausdrücklichen gesetzlichen Grundlage gehen die Argumente des BF bezüglich einer allfällig unberechtigten Zweckänderung und einer Verletzung der Art. 5 bzw. 6 DSGVO ins Leere. Vor dem Hintergrund dieser ausdrücklichen gesetzlichen Grundlage gehen die Argumente des BF bezüglich einer allfällig unberechtigten Zweckänderung und einer Verletzung der Artikel 5, bzw. 6 DSGVO ins Leere.
Somit lag im gegenständlichen Fall keine Verletzung im Recht des BF auf Geheimhaltung vor.
3.2.2.2. Verantwortlicheneigenschaft:
Soweit der BF bemängelt, dass der BMSGPK und die ELGA GmbH ebenfalls eine (gemeinsame) datenschutzrechtliche Verantwortlichkeit mit der mP aufweisen würden, und die DSB es diesbezüglich verabsäumt habe, entsprechende Feststellungen zu treffen, ist zunächst festzuhalten, dass der BF in seiner verfahrenseinleitenden Datenschutzbeschwerde die Beschwerdegegner eindeutig bestimmt hat, nämlich die mP (=Dachverband) als auch den BMSGPK. Die DSB hat den bekämpften Bescheid aber nur gegenüber die mP erlassen.
Ist die DSB der Meinung, dass ein eindeutig bestimmter Beschwerdegegner ihres Erachtens nicht Verantwortlicher für die Datenverarbeitung ist, und das auch nicht im Wege einer vertretbaren Auslegung bereinigt werden kann, hat sie die Datenschutzbeschwerde abzuweisen (VwGH 26.08.2022, Ro 2020/04/0034 Rz 29 bzw. VwGH 18.03.2022, Ro 2020/04/0027 Rz 42).
Hat die Verwaltungsbehörde in einer Angelegenheit, die eine Trennung nach mehreren Punkten zulässt, nur über einzelne Punkte abgesprochen, so ist sie hinsichtlich der unerledigten Punkte säumig (VwGH 27.06.1989, 89/08/0109). Da sich die DSB im bekämpften Bescheid nur mit einer möglichen Rechtsverletzung durch die mP auseinandersetzte, ist davon auszugehen, dass sie über eine Rechtsverletzung durch den BMSGPK als Verantwortlichen noch nicht entschieden hat, oder dies Gegenstand eines gesonderten, nicht hier verfahrensgegenständlichen Bescheides war. Gegenstand des verwaltungsgerichtlichen Verfahrens war daher nur die mögliche Rechtsverletzung durch die mP als Verantwortliche (vgl. zudem VwGH 06.10.2020, Ra 2020/12/0039).Hat die Verwaltungsbehörde in einer Angelegenheit, die eine Trennung nach mehreren Punkten zulässt, nur über einzelne Punkte abgesprochen, so ist sie hinsichtlich der unerledigten Punkte säumig (VwGH 27.06.1989, 89/08/0109). Da sich die DSB im bekämpften Bescheid nur mit einer möglichen Rechtsverletzung durch die mP auseinandersetzte, ist davon auszugehen, dass sie über eine Rechtsverletzung durch den BMSGPK als Verantwortlichen noch nicht entschieden hat, oder dies Gegenstand eines gesonderten, nicht hier verfahrensgegenständlichen Bescheides war. Gegenstand des verwaltungsgerichtlichen Verfahrens war daher nur die mögliche Rechtsverletzung durch die mP als Verantwortliche vergleiche zudem VwGH 06.10.2020, Ra 2020/12/0039).
„Sache“ des Beschwerdeverfahrens ist nur jene Angelegenheit, die den Inhalt des bescheidmäßigen Spruchs der belangten Behörde gebildet hat. Der äußerste Rahmen für die Prüfbefugnis des Verwaltungsgerichts ist daher die „Sache“ des bekämpften Bescheids (vgl. etwa VwGH 18.10.2022, Ra 2022/01/0276, Rn. 19, mwN). „Sache“ des Beschwerdeverfahrens ist nur jene Angelegenheit, die den Inhalt des bescheidmäßigen Spruchs der belangten Behörde gebildet hat. Der äußerste Rahmen für die Prüfbefugnis des Verwaltungsgerichts ist daher die „Sache“ des bekämpften Bescheids vergleiche etwa VwGH 18.10.2022, Ra 2022/01/0276, Rn. 19, mwN).
Als Zwischenergebnis schließt sich der gegenständlich erkennende Senat der Begründung des BVwG im Erkenntnis vom 11.07.2023 zur GZ 214 2257639-1/8E, wie sie soeben dargestellt wurde, an.
3.2.2.3. Zum weiteren Vorbringen im gegenständlichen Verfahren:
Insoweit der BF weiter rügt, dass die DSB die Stellungnahme der mP vom XXXX .2022 zur Sachverhaltsfeststellung heranzieht, geht aus den Ausführungen des BF nicht hervor, inwieweit diese Stellungnahme und die darin enthaltenen Informationen auf das gegenständliche Verfahren keine Anwendung finden sollten. Der DSB ist dahingehend recht zu geben, dass sie sich im Rahmen ihrer Pflicht, den maßgeblichen Sachverhalt festzustellen, aller Beweismittel bedienen kann, die dafür geeignet und zweckdienlich sind (vgl. § 46 AVG). Dass das Schreiben der mP vom XXXX .2022 nicht geeignet oder zweckdienlich gewesen sein soll, bringt der BF, dem das Schreiben im Rahmen des Parteiengehörs übermittelt wurde, nicht substantiiert vor. Insoweit der BF weiter rügt, dass die DSB die Stellungnahme der mP vom römisch 40 .2022 zur Sachverhaltsfeststellung heranzieht, geht aus den Ausführungen des BF nicht hervor, inwieweit diese Stellungnahme und die darin enthaltenen Informationen auf das gegenständliche Verfahren keine Anwendung finden sollten. Der DSB ist dahingehend recht zu geben, dass sie sich im Rahmen ihrer Pflicht, den maßgeblichen Sachverhalt festzustellen, aller Beweismittel bedienen kann, die dafür geeignet und zweckdienlich sind vergleiche Paragraph 46, AVG). Dass das Schreiben der mP vom römisch 40 .2022 nicht geeignet oder zweckdienlich gewesen sein soll, bringt der BF, dem das Schreiben im Rahmen des Parteiengehörs übermittelt wurde, nicht substantiiert vor.
Die Rüge des BF, die mP habe insoferne eine Zweckänderung bei der Verarbeitung vorgenommen, weil sie Werbung für die Impfung gemacht habe, lässt sich aus dem monierten Schreiben der mP an den BF nicht bestätigen: auch hier ist der DSB dahingehend recht zu geben, dass aus diesem Schreiben eine Werbung zB für einen bestimmten Impfstoff oder einen bestimmten Hersteller nicht hervorgeht.
Schließlich ist, wieder im Einklang mit der DSB, noch darauf hinzuweisen, dass aus dem Vorbringen des BF zur Versendung des Briefes nicht zu seinen eigenen Handen keine konkrete Beschwer des BF iZm einer Verletzung im Recht auf Datenschutz hervorgeht.
Während die Beschwerde des BF sich zwar formell gegen alle Spruchpunkte des Bescheids vom XXXX .2022 richtet, werden zu den Spruchpunkten 2. und 3. (Abweisung der Beschwerde betreffend eine Untersagung der Datenverarbeitung nach § 22 Abs. 4 DSG und Zurückweisung des Antrags auf Verhängung einer Geldbuße) keine weiteren Ausführungen durch den BF eingebracht. Für den erkennenden Senat haben sich bei Prüfung des Verwaltungsaktes keine Anhaltspunkte ergeben, dass die Spruchpunkte 2. und 3. im angefochtenen Bescheid zu Unrecht erfolgt sein sollen. Während die Beschwerde des BF sich zwar formell gegen alle Spruchpunkte des Bescheids vom römisch 40 .2022 richtet, werden zu den Spruchpunkten 2. und 3. (Abweisung der Beschwerde betreffend eine Untersagung der Datenverarbeitung nach Paragraph 22, Absatz 4, DSG und Zurückweisung des Antrags auf Verhängung einer Geldbuße) keine weiteren Ausführungen durch den BF eingebracht. Für den erkennenden Senat haben sich bei Prüfung des Verwaltungsaktes keine Anhaltspunkte ergeben, dass die Spruchpunkte 2. und 3. im angefochtenen Bescheid zu Unrecht erfolgt sein sollen.
Genauswenig geht der erkennende Senat von einer Verfassungswidrigkeit des § 750 Abs. 1a und 2 ASVG aus, weshalb der Anregung des BF, einen entsprechenden Antrag an den VfGH zu stellen, nicht gefolgt wird. Zur Qualität der gesetzlichen Grundlage wurde bereits in den obigen Absätzen ausführlich Stellung genommen. Genauswenig geht der erkennende Senat von einer Verfassungswidrigkeit des Paragraph 750, Absatz eins a und 2 ASVG aus, weshalb der Anregung des BF, einen entsprechenden Antrag an den VfGH zu stellen, nicht gefolgt wird. Zur Qualität der gesetzlichen Grundlage wurde bereits in den obigen Absätzen ausführlich Stellung genommen.
3.2.2.4. Ergebnis:
Die DSB wies daher die Datenschutzbeschwerde des BF gegen die mP zu recht ab bzw. zurück.
3.2.3. Zum Entfall einer mündlichen Verhandlung:
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Gemäß Paragraph 24, Absatz 4, VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen.
Es wurde zwar ein Antrag auf Durchführung einer mündlichen Verhandlung gestellt, jedoch war im gegenständlichen Fall der Sachverhalt eindeutig aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.
Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12). Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12).
Insoweit aus der Beschwerde des BF eine Bestreitung des Sachverhalts dahingehend erkennbar sein sollte, wonach die Stellungnahme der mP vom XXXX .2022 betreffend ihr Vorgehen zur Erstellung und zum Versand des monierten Schreibens der mP sachfremd sei, so ist diese Rüge nicht begründet und daher nicht geeignet, den diesem Erkenntnis zugrundeliegenden Sachverhalt substantiiert zu bestreiten. Insoweit aus der Beschwerde des BF eine Bestreitung des Sachverhalts dahingehend erkennbar sein sollte, wonach die Stellungnahme der mP vom römisch 40 .2022 betreffend ihr Vorgehen zur Erstellung und zum Versand des monierten Schreibens der mP sachfremd sei, so ist diese Rüge nicht begründet und daher nicht geeignet, den diesem Erkenntnis zugrundeliegenden Sachverhalt substantiiert zu bestreiten.
3.3. Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes (vgl. dazu oben unter 3.) noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes vergleiche dazu oben unter 3.) noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Artikel 133, Absatz 4, B-VG nicht zulässig ist.
Schlagworte
Datenschutz Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Datenverarbeitungszweck Datenzugriff Geheimhaltung gesetzliche Grundlage Gesundheitsdaten Impferinnerungsschreiben Körperschaft öffentlichen Rechts Pandemie personenbezogene Daten Sache des Verfahrens sensible Daten VerantwortlicherEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2023:W211.2261817.1.00Im RIS seit
04.01.2024Zuletzt aktualisiert am
04.01.2024
