RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum01.02.2023 GeschäftszahlW274 2259576-1 Spruch, W274 2259576-1/4E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht erkennt durch Mag. L

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: 1.

1. Mit E-Mail vom 22.12.2021 übersandte XXXX (im Folgenden: Mitbeteiligte, MB) unter Verwendung eines Formulars der Datenschutzbehörde (im Folgenden: belangte Behörde), eine Datenschutzbeschwerde zunächst gegen XXXX und brachte zusammengefasst vor, sie sei im Grundrecht auf Geheimhaltung verletzt. Die MB habe von Oktober 2020 bis November 2021 ein Dienstverhältnis mit der XXXX GmbH gehabt und sei von dieser der Volksschule XXXX als Sekretariatskraft zugeteilt worden. Da sie in diesem Zeitraum dort nur Praktikantentätigkeiten habe verrichten dürfen, habe sie diesbezüglich eine Beschwerde bei der Stadtgemeinde XXXX eingelegt. In einem erniedrigenden Gespräch hinter verschlossenen Türen sei ihr von XXXX in Gegenwart einer Stellvertreterin nahegelegt worden, zu kündigen. Somit sei das Dienstverhältnis beendet worden. Kurze Zeit danach habe die MB erfahren, dass die BF ein E-Mail mit ihren personenbezogenen Daten (Krankenstände, Pflegeurlaub, Dienstverhältnis, Sachverhalte der “Kündigung“) an ca. 40 Lehrpersonen ausgeschickt habe. Weiters sei der MB bei der Schlüsselrückgabe eine Liste ausgehändigt worden, auf welcher das gesamte Personal der Volksschule XXXX bestätigt würde, unter anderem auch ihr Name.1.
2. Mit E-Mail vom 22.12.2021 übersandte römisch 40 (im Folgenden: Mitbeteiligte, MB) unter Verwendung eines Formulars der Datenschutzbehörde (im Folgenden: belangte Behörde), eine Datenschutzbeschwerde zunächst gegen römisch 40 und brachte zusammengefasst vor, sie sei im Grundrecht auf Geheimhaltung verletzt. Die MB habe von Oktober 2020 bis November 2021 ein Dienstverhältnis mit der römisch 40 GmbH gehabt und sei von dieser der Volksschule römisch 40 als Sekretariatskraft zugeteilt worden. Da sie in diesem Zeitraum dort nur Praktikantentätigkeiten habe verrichten dürfen, habe sie diesbezüglich eine Beschwerde bei der Stadtgemeinde römisch 40 eingelegt. In einem erniedrigenden Gespräch hinter verschlossenen Türen sei ihr von römisch 40 in Gegenwart einer Stellvertreterin nahegelegt worden, zu kündigen. Somit sei das Dienstverhältnis beendet worden. Kurze Zeit danach habe die MB erfahren, dass die BF ein E-Mail mit ihren personenbezogenen Daten (Krankenstände, Pflegeurlaub, Dienstverhältnis, Sachverhalte der “Kündigung“) an ca. 40 Lehrpersonen ausgeschickt habe. Weiters sei der MB bei der Schlüsselrückgabe eine Liste ausgehändigt worden, auf welcher das gesamte Personal der Volksschule römisch 40 bestätigt würde, unter anderem auch ihr Name. Angeschlossen waren das beanstandete E-Mail sowie das Schlüsselübergabeprotokoll. Mit Mängelbehebungsauftrag vom 28.12.2021 forderte die belangte Behörde die MB auf, ergänzende Angaben zur Beschwerdegegnerin zu tätigen, insbesondere ob sich ihre Beschwerde weiterhin gegen die natürliche Person und/oder gegen die „Volksschule XXXX “ richte. Als Rechtsträger bzw. Organ, dem die behauptete Rechtsverletzung zugerechnet werde (Beschwerdegegner

§ 24Abs.

2 Z 2 DSG), habe die MB die natürliche Person „ XXXX “ bezeichnet. In der Regel würden für eine Behörde bzw. Einrichtung handelnde natürliche Person der Organisation, für die sie gegebenenfalls tätig seien, zugerechnet.Mit Mängelbehebungsauftrag vom 28.12.2021 forderte die belangte Behörde die MB auf, ergänzende Angaben zur Beschwerdegegnerin zu tätigen, insbesondere ob sich ihre Beschwerde weiterhin gegen die natürliche Person und/oder gegen die „Volksschule römisch 40 “ richte. Als Rechtsträger bzw. Organ, dem die behauptete Rechtsverletzung zugerechnet werde (Beschwerdegegner

Paragraph 24, Absatz 2, Ziffer 2, DSG), habe die MB die natürliche Person „ römisch 40 “ bezeichnet. In der Regel würden für eine Behörde bzw. Einrichtung handelnde natürliche Person der Organisation, für die sie gegebenenfalls tätig seien, zugerechnet. Nach aktenmäßig dokumentierter Belehrung durch die belangte Behörde ergänzte die MB mit E-Mail vom 29.12.2021, „dass das Verfahren gegen die natürliche Person „ XXXX “ und gegen die Volksschulen „ XXXX “ und „ XXXX “ lauten solle. Die MB habe an beiden Schulen gearbeitet und das E-Mail von der BF sei an die Lehrpersonen beider Schulen geschickt worden. Nach aktenmäßig dokumentierter Belehrung durch die belangte Behörde ergänzte die MB mit E-Mail vom 29.12.2021, „dass das Verfahren gegen die natürliche Person „ römisch 40 “ und gegen die Volksschulen „ römisch 40 “ und „ römisch 40 “ lauten solle. Die MB habe an beiden Schulen gearbeitet und das E-Mail von der BF sei an die Lehrpersonen beider Schulen geschickt worden. Beigefügt wurde das dazu ergänzte Beschwerdeformular der belangten Behörde. Nach einem weiteren E-Mail der belangten Behörde am selben Tag „stellte die MB klar“, dass die natürliche Person Leiterin von zwei Schulen sei und daher auch beide Schulen als Beschwerdegegner geführt werden sollten. Nach Übermittlung der Beschwerden „gegen 1.) Volksschule XXXX , 2.) Volksschule XXXX sowie 3.) VD XXXX , BEd, führte VD XXXX , BEd (im Folgenden: Beschwerdeführerin, BF) „in ihrem Namen und als Leiterin der Volksschulen XXXX und XXXX “ mit anwaltlicher Stellungnahme vom 20.01.2022 aus, sie sei Leiterin der Volksschulen XXXX und XXXX . Die MB sei am 05.10.2020 als administrative Assistentin mit 20 Wochenstunden an den oben genannten Volksschulen eingestellt worden. Beim Einstellungsgespräch habe die BF die MB darüber in Kenntnis gesetzt, dass vor allem einfachere Tätigkeiten anfallen würden, was die MB zustimmend zur Kenntnis genommen habe. Die MB habe gegenüber der BF einmal erwähnt, dass sie für die Art der ihr zugewiesenen Tätigkeiten überqualifiziert sei. Durch die in weiterer Folge seitens der MB erhobene Beschwerde bei der Stadtgemeinde XXXX habe diese selbst einen Verstoß gegen die Bestimmungen der DSGVO begangen und gleichzeitig die von ihr bei Dienstantritt abgegebene schriftliche Verschwiegenheitsverpflichtung, welche ihr die Weitergabe von schulinternen Informationen untersagt habe, verletzt. Nach Übermittlung der Beschwerden „gegen 1.) Volksschule römisch 40 , 2.) Volksschule römisch 40 sowie 3.) VD römisch 40 , BEd, führte VD römisch 40 , BEd (im Folgenden: Beschwerdeführerin, BF) „in ihrem Namen und als Leiterin der Volksschulen römisch 40 und römisch 40 “ mit anwaltlicher Stellungnahme vom 20.01.2022 aus, sie sei Leiterin der Volksschulen römisch 40 und römisch 40 . Die MB sei am 05.10.2020 als administrative Assistentin mit 20 Wochenstunden an den oben genannten Volksschulen eingestellt worden. Beim Einstellungsgespräch habe die BF die MB darüber in Kenntnis gesetzt, dass vor allem einfachere Tätigkeiten anfallen würden, was die MB zustimmend zur Kenntnis genommen habe. Die MB habe gegenüber der BF einmal erwähnt, dass sie für die Art der ihr zugewiesenen Tätigkeiten überqualifiziert sei. Durch die in weiterer Folge seitens der MB erhobene Beschwerde bei der Stadtgemeinde römisch 40 habe diese selbst einen Verstoß gegen die Bestimmungen der DSGVO begangen und gleichzeitig die von ihr bei Dienstantritt abgegebene schriftliche Verschwiegenheitsverpflichtung, welche ihr die Weitergabe von schulinternen Informationen untersagt habe, verletzt. Nach längerer dienstlicher Abwesenheit im Zeitraum vom 19.10.2021 bis zum 26.11.2021 habe die BF in Anwesenheit ihrer Vertreterin mit der MB am 29.11.2021 ein „klärendes Gespräch“ geführt. Da mangels vorhandener Aufgaben für die Zukunft die BF nicht die Übertragung anderer Tätigkeiten habe zusagen können, habe die BF von sich aus erklärt, sich eine andere Arbeit zu suchen. Dies habe die BF zur Kenntnis genommen und es sei die weitere Abwicklung der Auflösung des Dienstverhältnisses vorgenommen worden. Am Ende des Gesprächs habe die BF die MB gebeten, die Schlüssel für beide Schulen abzugeben, was die MB auch gemacht habe. Die Rückgabe der Schlüssel sei in dem dafür vorgesehenen Formular eingetragen worden und es sei der MB von der BF eine Kopie der Bestätigung der Schlüsselrückgabe ausgehändigt worden. Da das gesamte Lehrpersonal an den beiden Volksschulen mit der MB zusammengearbeitet habe, sei diesen die Abwesenheit von der MB wegen Krankenständen und/oder Pflegeurlauben bekannt gewesen bzw. aufgefallen. Darüber hinaus habe die MB mit einigen Lehrerinnen auch privaten Kontakt gepflegt, wodurch ihre persönliche Situation und etwa auch ihre Krankenstände und Pflegeurlaube diesen bekannt gewesen sei. Mit dem verfahrensgegenständlichem E-Mail vom 29.11.2021 habe die BF als Leiterin der beiden Volksschulen die dort tätigen Lehrerinnen über ihre jeweilige dienstliche E-Mail-Adresse über die Umstände, die zur Kündigung des Dienstverhältnisses durch die MB geführt hätten, in Kenntnis gesetzt. Dies sei aus dienstlichen und organisatorischen Überlegungen notwendig gewesen. In dem betreffenden E-Mail seien keine personenbezogenen Daten von der MB mitgeteilt worden, es sei nur an die Lehrerinnen der beiden Volksschulen ergangen, wobei die ausdrückliche Weisung bestehe, dass sämtliche Informationen grundsätzlich vertraulich zu behandeln seien und der dienstlichen Verschwiegenheitspflicht unterstünden. Eine Weitergabe einer solchen dienstlichen E-Mail bzw. Weiterverbreitung des Inhalts - wie sie gegenständlich offensichtlich durch eine Kollegin an die MB erfolgt sei – sei untersagt und stelle ein dienstrechtliches Vergehen dar. Die Übermittlung des betreffenden E-Mail sei aufgrund Art. 5 Abs. 1 lit. c, Art. 6 Abs. 1 lit. b und e sowie Art. 9 Abs. 1 lit. b und e DSGVO gerechtfertigt. Mit dem verfahrensgegenständlichem E-Mail vom 29.11.2021 habe die BF als Leiterin der beiden Volksschulen die dort tätigen Lehrerinnen über ihre jeweilige dienstliche E-Mail-Adresse über die Umstände, die zur Kündigung des Dienstverhältnisses durch die MB geführt hätten, in Kenntnis gesetzt. Dies sei aus dienstlichen und organisatorischen Überlegungen notwendig gewesen. In dem betreffenden E-Mail seien keine personenbezogenen Daten von der MB mitgeteilt worden, es sei nur an die Lehrerinnen der beiden Volksschulen ergangen, wobei die ausdrückliche Weisung bestehe, dass sämtliche Informationen grundsätzlich vertraulich zu behandeln seien und der dienstlichen Verschwiegenheitspflicht unterstünden. Eine Weitergabe einer solchen dienstlichen E-Mail bzw. Weiterverbreitung des Inhalts - wie sie gegenständlich offensichtlich durch eine Kollegin an die MB erfolgt sei – sei untersagt und stelle ein dienstrechtliches Vergehen dar. Die Übermittlung des betreffenden E-Mail sei aufgrund Artikel 5, Absatz eins, Litera c,, Artikel 6, Absatz eins, Litera b und e sowie Artikel 9, Absatz eins, Litera b und e DSGVO gerechtfertigt. Beigefügt war das gegenständliche E-Mail mit den Sendungsadressen. Weitere Stellungnahmen der 1.) und 2.) Beschwerdegegnerinnen geführten Schulen erfolgten nicht. Mit Mitteilung über den Verfahrensstand vom 24.01.2022 teilte die belangte Behörde der BF mit, nach vorläufiger Rechtsansicht der Behörde sei davon auszugehen, dass als Verantwortliche iSd Art 4 Z 7 DSGVO die jeweilige öffentliche Einrichtung/Behörde (Volksschule), nicht die natürliche Person anzusehen sei. Es stehe der MB frei, die Beschwerde gegen die natürliche Person („ XXXX “) zurückzuziehen. Eine endgültige rechtliche Prüfung des Sachverhalts samt datenschutzrechtlicher Rollenverteilung könne erst im Rahmen der Bescheiderlassung erfolgen. Weiters werde die Stellungnahme der „Beschwerdegegner vom 24.01.2022“ zum Parteiengehör übermittelt.Mit Mitteilung über den Verfahrensstand vom 24.01.2022 teilte die belangte Behörde der BF mit, nach vorläufiger Rechtsansicht der Behörde sei davon auszugehen, dass als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO die jeweilige öffentliche Einrichtung/Behörde (Volksschule), nicht die natürliche Person anzusehen sei. Es stehe der MB frei, die Beschwerde gegen die natürliche Person („ römisch 40 “) zurückzuziehen. Eine endgültige rechtliche Prüfung des Sachverhalts samt datenschutzrechtlicher Rollenverteilung könne erst im Rahmen der Bescheiderlassung erfolgen. Weiters werde die Stellungnahme der „Beschwerdegegner vom 24.01.2022“ zum Parteiengehör übermittelt. Eine weitere Stellungnahme seitens der MB erging nicht.. 1.

1. Mit dem bekämpften Bescheid gab die belangte Behörde der Beschwerde gegen die „Leiterin der Volksschule XXXX sowie der Volksschule XXXX “ statt und stellte fest diese habe die MB in ihrem Recht auf Geheimhaltung verletzt, indem sie durch den rechtsgrundlosen Versand einer E-Mail am 29.11.2021 personenbezogene Daten der MB gegenüber Dritten unrechtmäßig offengelegt habe.1.
2. Mit dem bekämpften Bescheid gab die belangte Behörde der Beschwerde gegen die „Leiterin der Volksschule römisch 40 sowie der Volksschule römisch 40 “ statt und stellte fest diese habe die MB in ihrem Recht auf Geheimhaltung verletzt, indem sie durch den rechtsgrundlosen Versand einer E-Mail am 29.11.2021 personenbezogene Daten der MB gegenüber Dritten unrechtmäßig offengelegt habe. Die belangte Behörde stellte folgenden Sachverhalt fest (Parteienbezeichnungen wurden angepasst): „
3. Bei der BF handelte es sich zum verfahrensrelevanten Zeitpunkt (
4. November 2021) um die Leiterin der sich an der Adresse Stadtpark 1, XXXX befindlichen Volksschule XXXX sowie der sich an der Adresse XXXX befindlichen Volksschule XXXX .„
5. Bei der BF handelte es sich zum verfahrensrelevanten Zeitpunkt (
6. November 2021) um die Leiterin der sich an der Adresse Stadtpark 1, römisch 40 befindlichen Volksschule römisch 40 sowie der sich an der Adresse römisch 40 befindlichen Volksschule römisch 40 .
7. Die MB war im Zeitraum
8. Oktober 2020 bis
9. November 2021 an den unter Punkt C.
10. genannten Volksschulen im administrativen Bereich tätig. Das Dienstverhältnis wurde über ein drittes Unternehmen vermittelt und bestand zwischen der Marktgemeinde XXXX und der Beschwerdeführerin.
11. Die MB war im Zeitraum
12. Oktober 2020 bis
13. November 2021 an den unter Punkt C.
14. genannten Volksschulen im administrativen Bereich tätig. Das Dienstverhältnis wurde über ein drittes Unternehmen vermittelt und bestand zwischen der Marktgemeinde römisch 40 und der Beschwerdeführerin.
15. Das unter Punkt C.
16. genannte Dienstverhältnis endete am
17. November 2021 infolge eines Gespräches zwischen BF und MB. Die BF richtete daraufhin von ihrem dienstlichen E-Mail-Konto (Volksschule XXXX ) eine Nachricht an die dienstliche E-Mail-Adresse von rund 30 Lehrerinnen, welche an den unter Punkt C.
18. genannten Schulen tätig waren, mit folgendem Inhalt:
19. Das unter Punkt C.
20. genannte Dienstverhältnis endete am
21. November 2021 infolge eines Gespräches zwischen BF und MB. Die BF richtete daraufhin von ihrem dienstlichen E-Mail-Konto (Volksschule römisch 40 ) eine Nachricht an die dienstliche E-Mail-Adresse von rund 30 Lehrerinnen, welche an den unter Punkt C.
22. genannten Schulen tätig waren, mit folgendem Inhalt:
23. Die MB hat in den Versand der unter Punkt C.
24. genannten E-Mail zu keinem Zeitpunkt eingewilligt.“ Rechtlich führte die belangte Behörde zunächst „zur rechtlichen Qualifikation der verfahrensgegenständlichen Informationen“ aus, dass die betreffende E-Mail sowohl persönliche als auch sachliche Informationen enthalte, die sich ausdrücklich auf die MB als identifizierte natürliche Person bezögen. Des Weiteren habe die BF „Krankenstände“ als Gründe für die dienstliche Abwesenheit genannt. Bei einer Krankschreibung und dem Umstand der krankheitsbedingten dienstlichen Abwesenheit handle es sich um ein Gesundheitsdatum iSv Art. 4 Z 15 bzw um ein Datum besonderer Kategorie nach Art. 9 Abs. 1 DSGVO. Der Versand einer E-Mail erfülle zweifelsohne den Verarbeitungsbegriff des Art. 4 Z 2 DSGVO.Rechtlich führte die belangte Behörde zunächst „zur rechtlichen Qualifikation der verfahrensgegenständlichen Informationen“ aus, dass die betreffende E-Mail sowohl persönliche als auch sachliche Informationen enthalte, die sich ausdrücklich auf die MB als identifizierte natürliche Person bezögen. Des Weiteren habe die BF „Krankenstände“ als Gründe für die dienstliche Abwesenheit genannt. Bei einer Krankschreibung und dem Umstand der krankheitsbedingten dienstlichen Abwesenheit handle es sich um ein Gesundheitsdatum iSv Artikel 4, Ziffer 15, bzw um ein Datum besonderer Kategorie nach Artikel 9, Absatz eins, DSGVO. Der Versand einer E-Mail erfülle zweifelsohne den Verarbeitungsbegriff des Artikel 4, Ziffer 2, DSGVO. Hinsichtlich der Verantwortlichkeit der BF wurde ausgeführt, dass diese in ihrer Funktion als Leiterin entschieden habe, bestimmte personenbezogene Daten der MB gegenüber dem Lehrpersonal offenzulegen. Im Bereich der Schulen sei bereits nach der Spruchpraxis der Datenschutzkommission davon auszugehen gewesen, dass die Schulen selbst nur „unselbstständige Anstalten“ seien, während die Schulleiterin datenschutzrechtlich Verantwortliche sei. An dieser Rechtsansicht habe sich insofern nichts geändert, als § 56 SchUG weiterhin die Leiterin als entscheidungsbefugtes Organ auf Ebene der einzelnen Schule benenne. Soweit verfahrenseinleitend neben der BF auch die jeweiligen Schulen bezeichnet worden seien, sei folglich die BF als alleinige Verantwortliche zu qualifizieren.Hinsichtlich der Verantwortlichkeit der BF wurde ausgeführt, dass diese in ihrer Funktion als Leiterin entschieden habe, bestimmte personenbezogene Daten der MB gegenüber dem Lehrpersonal offenzulegen. Im Bereich der Schulen sei bereits nach der Spruchpraxis der Datenschutzkommission davon auszugehen gewesen, dass die Schulen selbst nur „unselbstständige Anstalten“ seien, während die Schulleiterin datenschutzrechtlich Verantwortliche sei. An dieser Rechtsansicht habe sich insofern nichts geändert, als Paragraph 56, SchUG weiterhin die Leiterin als entscheidungsbefugtes Organ auf Ebene der einzelnen Schule benenne. Soweit verfahrenseinleitend neben der BF auch die jeweiligen Schulen bezeichnet worden seien, sei folglich die BF als alleinige Verantwortliche zu qualifizieren. Gesundheitsdaten dürften im Hinblick auf die Offenlegung des Datums „Krankenstand“ im Sinne einer engen Auslegung nur dann verarbeitet werden, sofern diese für das konkrete Arbeitsverhältnis tatsächlich von Relevanz seien. Zudem bedürfe es einer geeigneten Rechtsgrundlage, die von der BF weder angeführt worden sei, noch nach Ansicht der belangten Behörde gegenständlich vorliege. Die allgemeinen Verpflichtungen der BF nach dem SchUG, wie etwa die Schulleitung, Management sowie die Schul-, Unterrichts-, und Personalführung, stellen keine ausreichend determinierte Rechtsgrundlage dar. Selbst die von der BF angeführte und weiter gefasste Bestimmung des Art. 9 Abs. 2 lit. g DSGVO sei im vorliegenden Fall nicht anwendbar. Wenn sie vermeine, aus den privaten Gesprächen der MB könne abgeleitet werden, dass diese die verfahrensgegenständlichen Daten „öffentlich“ gemacht habe (vgl. Art. 9 Abs.
25. lit. e), liege dies im Sinne einer strengen Auslegung nur bei Verlautbarungen, die eindeutig einer auf die Veröffentlichung abzielenden Tätigkeit des Betroffenen zugeordnet werden könnten, vor. Die Offenlegung des Gesundheitsdatums „Krankenstand“ sei sohin rechtsgrundlos und somit rechtswidrig erfolgt. Gesundheitsdaten dürften im Hinblick auf die Offenlegung des Datums „Krankenstand“ im Sinne einer engen Auslegung nur dann verarbeitet werden, sofern diese für das konkrete Arbeitsverhältnis tatsächlich von Relevanz seien. Zudem bedürfe es einer geeigneten Rechtsgrundlage, die von der BF weder angeführt worden sei, noch nach Ansicht der belangten Behörde gegenständlich vorliege. Die allgemeinen Verpflichtungen der BF nach dem SchUG, wie etwa die Schulleitung, Management sowie die Schul-, Unterrichts-, und Personalführung, stellen keine ausreichend determinierte Rechtsgrundlage dar. Selbst die von der BF angeführte und weiter gefasste Bestimmung des Artikel 9, Absatz 2, Litera g, DSGVO sei im vorliegenden Fall nicht anwendbar. Wenn sie vermeine, aus den privaten Gesprächen der MB könne abgeleitet werden, dass diese die verfahrensgegenständlichen Daten „öffentlich“ gemacht habe vergleiche Artikel 9, Absatz 2, Litera e,), liege dies im Sinne einer strengen Auslegung nur bei Verlautbarungen, die eindeutig einer auf die Veröffentlichung abzielenden Tätigkeit des Betroffenen zugeordnet werden könnten, vor. Die Offenlegung des Gesundheitsdatums „Krankenstand“ sei sohin rechtsgrundlos und somit rechtswidrig erfolgt. In Bezug auf die Offenlegung der übrigen Daten komme der von der BF angeführt Art. 6 Abs. 1 lit. b DSGVO schon alleine aufgrund des hoheitlichen Handelns der BF und damit zusammenhängend aufgrund der mangelnden gesetzlichen Grundlage sowie mangels jeglicher Erforderlichkeit iZm der (Dienst-)Vertragserfüllung schon von vornherein nicht in Betracht. Ebenso sei die Offenlegung für die Wahrnehmung der gesetzlich normierten (öffentlichen) Aufgaben der BF (Art. 6 Abs. 1 lit. e DSGVO) nicht erforderlich. Die BF habe lediglich auf „dienstliche und organisatorische“ Zwecke verwiesen. Zwar könne möglicherweise die Offenlegung der Tatsache, dass das Dienstverhältnis mit der MB beendet worden sei, als Personalführungsmaßnahme von § 56 Abs. 2 SchUG gedeckt sein. Dies gelte jedoch nicht für die Offenlegung der näheren Umstände, die zur Beendigung geführt hätten, würde sich dies doch weder auf die Schul- oder Unterrichtsorganisation auswirken, noch diene dies sonstigen administrativen und verwaltungstechnischen Zwecken. Im Ergebnis habe die BF daher die verfahrensgegenständlichen Daten der MB durch die rechtsgrundlose Offenlegung gegenüber Dritten unrechtmäßig verarbeitet.In Bezug auf die Offenlegung der übrigen Daten komme der von der BF angeführt Artikel 6, Absatz eins, Litera b, DSGVO schon alleine aufgrund des hoheitlichen Handelns der BF und damit zusammenhängend aufgrund der mangelnden gesetzlichen Grundlage sowie mangels jeglicher Erforderlichkeit iZm der (Dienst-)Vertragserfüllung schon von vornherein nicht in Betracht. Ebenso sei die Offenlegung für die Wahrnehmung der gesetzlich normierten (öffentlichen) Aufgaben der BF (Artikel 6, Absatz eins, Litera e, DSGVO) nicht erforderlich. Die BF habe lediglich auf „dienstliche und organisatorische“ Zwecke verwiesen. Zwar könne möglicherweise die Offenlegung der Tatsache, dass das Dienstverhältnis mit der MB beendet worden sei, als Personalführungsmaßnahme von Paragraph 56, Absatz 2, SchUG gedeckt sein. Dies gelte jedoch nicht für die Offenlegung der näheren Umstände, die zur Beendigung geführt hätten, würde sich dies doch weder auf die Schul- oder Unterrichtsorganisation auswirken, noch diene dies sonstigen administrativen und verwaltungstechnischen Zwecken. Im Ergebnis habe die BF daher die verfahrensgegenständlichen Daten der MB durch die rechtsgrundlose Offenlegung gegenüber Dritten unrechtmäßig verarbeitet. 1.
26. Gegen diesen gegen diesen Bescheid richtet sich die anwaltlich erhobene Beschwerde, wegen unrichtiger rechtlicher Beurteilung mit dem Antrag, den bekämpften Bescheid ersatzlos aufzuheben bzw. die datenschutzrechtliche Beschwerde der MB abzuweisen. Weiters wurde die Durchführung einer mündlichen Verhandlung beantragt. 1.
27. Die belangte Behörde legte die Beschwerde samt dem elektronischen Akt, einlangend beim Verwaltungsgericht am 14.09.2022, vor und führte aus, dass es an einer nachvollziehbaren Erklärung seitens der BF mangle, inwiefern die Offenlegung von (als solche nicht weiter bestrittenen) Gesundheitsdaten der MB zur Erfüllung der in § 56 Abs. 2 SchUG normierten Verpflichtung erforderlich (Art. 9 Abs. 2 lit. g DSGVO) gewesen sei bzw. aus welchen Gründen gelindere zum Ziel führende Mittel (vgl. § 1 Abs. 2 letzter Satz) nicht in Erwägung zu ziehen gewesen wären. Betreffend die „überschießende“ behördliche Datenverarbeitung verwies die belangte Behörde auf ihre Bescheide vom 07.08.2019, GZ: DSB-D123.737/0003-DSB/2019, und 03.11.2020, GZ: 2020-0.293.
28. Der (behauptete) Umstand, der Krankenstand der MB sei ohnedies (allgemein) bekannt gewesen, könne für den Eingriff der BF als „staatliche Behörde“ (§ 1 Abs. 2 DSG) nicht von Relevanz sein. Hinsichtlich der Offenlegung der „übrigen“ Daten übersehe die BF (erneut), dass jedwede Datenverarbeitung vor dem Hintergrund des Verhältnismäßigkeits- und Datenminimierungsprinzips dahingehend geprüft werden müsse, ob die jeweilige Verarbeitung auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sei (Art. 5 Abs. 1 lit. c DSGVO) oder gelindere, zum Ziel führenden Mittel in Betracht gekommen wären. Aus Sicht der belangten Behörde erscheine es nach wie vor nicht ersichtlich, inwiefern die Offenlegung der näheren Umstände, die zur Beendigung des Dienstverhältnisses mit der MB geführt hätten, administrativen und verwaltungstechnischen Zwecken iSd. SchUG gedient haben solle.1.
29. Die belangte Behörde legte die Beschwerde samt dem elektronischen Akt, einlangend beim Verwaltungsgericht am 14.09.2022, vor und führte aus, dass es an einer nachvollziehbaren Erklärung seitens der BF mangle, inwiefern die Offenlegung von (als solche nicht weiter bestrittenen) Gesundheitsdaten der MB zur Erfüllung der in Paragraph 56, Absatz 2, SchUG normierten Verpflichtung erforderlich (Artikel 9, Absatz 2, Litera g, DSGVO) gewesen sei bzw. aus welchen Gründen gelindere zum Ziel führende Mittel vergleiche Paragraph eins, Absatz 2, letzter Satz) nicht in Erwägung zu ziehen gewesen wären. Betreffend die „überschießende“ behördliche Datenverarbeitung verwies die belangte Behörde auf ihre Bescheide vom 07.08.2019, GZ: DSB-D123.737/0003-DSB/2019, und 03.11.2020, GZ: 2020-0.293.
30. Der (behauptete) Umstand, der Krankenstand der MB sei ohnedies (allgemein) bekannt gewesen, könne für den Eingriff der BF als „staatliche Behörde“ (Paragraph eins, Absatz 2, DSG) nicht von Relevanz sein. Hinsichtlich der Offenlegung der „übrigen“ Daten übersehe die BF (erneut), dass jedwede Datenverarbeitung vor dem Hintergrund des Verhältnismäßigkeits- und Datenminimierungsprinzips dahingehend geprüft werden müsse, ob die jeweilige Verarbeitung auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sei (Artikel 5, Absatz eins, Litera c, DSGVO) oder gelindere, zum Ziel führenden Mittel in Betracht gekommen wären. Aus Sicht der belangten Behörde erscheine es nach wie vor nicht ersichtlich, inwiefern die Offenlegung der näheren Umstände, die zur Beendigung des Dienstverhältnisses mit der MB geführt hätten, administrativen und verwaltungstechnischen Zwecken iSd. SchUG gedient haben solle. Die Beschwerde ist im Ergebnis teilweise berechtigt:
31. Die oben wiedergegebenen unstrittigen Feststellungen der Behörde werden auch vom Verwaltungsgericht als Sachverhalt dem Erkenntnis zu Grunde gelegt. Daraus folgt rechtlich: 3.
32. Zu den hier relevanten Rechtsgrundlagen: 3.1.
33. Datenschutz allgemein:

§ 1

Abs 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Art. 4

Z 1 DSGVO handelt es sich bei „personenbezogenen Daten“ um „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Der Ausdruck „alle Informationen“ ist äußerst weit zu verstehen und umfasst sowohl Tatsachen als auch Werturteile. In der Rechtssache Novak bezieht der EuGH – noch zur Begrifflichkeit der Datenschutz-Richtlinie – neben sensiblen und privaten Informationen auch potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur mit ein, soweit es sich dabei um Informationen „über“ eine Person handelt (EuGH 20.12.2017, C-434/16 Rz 33). So können neben (objektiv) beweisbaren Tatsachen auch (subjektive) Werturteile, Vermutungen, Beurteilungen und Prognosen, die sich auf eine natürliche Person beziehen, personenbezogene Inhalte darstellen. Es spielt keine Rolle, ob solche Aussagen tatsächlich zutreffen und wahr sind oder es sich dabei nur um Gerüchte oder Unwahrheiten handelt (Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 1 DSGVO [Stand 01.12.2020, rdb.at] Rz 9).

Artikel 4

, Ziffer eins, DSGVO handelt es sich bei „personenbezogenen Daten“ um „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Der Ausdruck „alle Informationen“ ist äußerst weit zu verstehen und umfasst sowohl Tatsachen als auch Werturteile. In der Rechtssache Novak bezieht der EuGH – noch zur Begrifflichkeit der Datenschutz-Richtlinie – neben sensiblen und privaten Informationen auch potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur mit ein, soweit es sich dabei um Informationen „über“ eine Person handelt (EuGH 20.12.2017, C-434/16 Rz 33). So können neben (objektiv) beweisbaren Tatsachen auch (subjektive) Werturteile, Vermutungen, Beurteilungen und Prognosen, die sich auf eine natürliche Person beziehen, personenbezogene Inhalte darstellen. Es spielt keine Rolle, ob solche Aussagen tatsächlich zutreffen und wahr sind oder es sich dabei nur um Gerüchte oder Unwahrheiten handelt (Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer eins, DSGVO [Stand 01.12.2020, rdb.at] Rz 9). Der Begriff „personenbezogene Daten“ ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (EuGH 20.12.2017, Rs C-434/16, Novak, Rz 34 f). Unter „Verarbeitung“ ist

Art. 4

Z 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung zu verstehen. Übermittlung (transmission) iSd DSGVO ist eine Unterform der Offenlegung und ist die Mitteilung an individuell bestimmte Adressaten, sei es mündlich, schriftlich, elektronisch oder auf andere Weise. (Hödl in Knyrim, DatKomm Art 4 DSGVO (Stand 1.12.2018, rdb.at).Unter „Verarbeitung“ ist

Artikel 4

, Ziffer 2, DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung zu verstehen. Übermittlung (transmission) iSd DSGVO ist eine Unterform der Offenlegung und ist die Mitteilung an individuell bestimmte Adressaten, sei es mündlich, schriftlich, elektronisch oder auf andere Weise. (Hödl in Knyrim, DatKomm Artikel 4, DSGVO (Stand 1.12.2018, rdb.at). Der Begriff „Verantwortlicher“ löst den Begriff „Auftraggeber“ nach dem DSG 2000 ab (Hödl in Knyrim, DatKomm Art 4 DSGVO, Rz 76 (Stand 1.12.2018, rdb.at).Der Begriff „Verantwortlicher“ löst den Begriff „Auftraggeber“ nach dem DSG 2000 ab (Hödl in Knyrim, DatKomm Artikel 4, DSGVO, Rz 76 (Stand 1.12.2018, rdb.at). Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und der Begriff dient der Zuweisung von Verantwortlichkeiten (s Hötzendorfer/Kastelitz/Tschohl in Knyrim DatKomm Art Art 24 Rz 1, Stand Mai 2022). Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde (s Art 24; ErwGr 74) (wie oben, Rz 77).Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und der Begriff dient der Zuweisung von Verantwortlichkeiten (s Hötzendorfer/Kastelitz/Tschohl in Knyrim DatKomm Art Artikel 24, Rz 1, Stand Mai 2022). Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde (s Artikel 24,; ErwGr 74) (wie oben, Rz 77). Entscheidungsfunktion: Die Verantwortung wird dem übertragen, der die Entscheidungsmacht hat. Entscheidend für die Zuweisung der Verantwortlichkeit ist daher, wer über die wesentlichen Aspekte der Mittel der Verarbeitung entscheidet. Für die Zuschreibung der Verantwortlichen-Eigenschaft ist es nicht erforderlich, dass der Verantwortliche selbst Daten verarbeitet, sich im Besitz der verarbeiteten Daten befindet oder über die physische Herrschaft verfügt. Trifft er die Entscheidung, dass Daten zu verarbeiten sind, sind ihm sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane) (Rz 83). Bei der Ausrichtung der Definition als Verantwortlicher als jene Person oder Stelle, die über Zweck(e) und Mittel der Verarbeitung entscheidet, handelt sich um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird. Hierfür kann eine explizite Rechtsgrundlage vorliegen, in diesem Fall ist die Zuweisung des Verantwortlichen und des Zwecks samt Datenkategorien und Datenempfänger meist klar identifizierbar. Wenn eine Rechtsnorm allerdings nur implizite rechtliche Verpflichtungen vorsieht, ist als Verantwortlicher jene Person oder Stelle anzusehen, die diese rechtliche Verpflichtung trifft und dafür personenbezogene Daten verarbeitet (Rz 87).

Art. 6Abs.

1 DSGVO ist eine Verarbeitung nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

Artikel 6

, Absatz eins, DSGVO ist eine Verarbeitung nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: …

1. b)die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; …
2. e)die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; Nach der Art 29-Datenschutzgruppe gilt Art 6 Abs 1 lit e für Situationen, in denen der Verantwortliche selbst eine Aufgabe hat, die in Ausübung öffentlicher Gewalt erfolgt oder im öffentlichen Interesse liegt (was jedoch nicht notwendigerweise auch eine rechtliche Verpflichtung zur Verarbeitung von Daten umfasst), und die Verarbeitung für die Ausübung dieser Gewalt oder die Wahrnehmung dieser Aufgabe erforderlich ist. Beispielsweise kann eine Steuerbehörde die Steuererklärung einer natürlichen Person erfassen und verarbeiten, um die Höhe der zu entrichtenden Steuer zu bestimmen und zu überprüfen. Eine Berufsvereinigung, wie eine Anwalts- oder eine Ärztekammer, die mit der entsprechenden öffentlichen Gewalt ausgestattet ist, kann Disziplinarverfahren gegen einige ihrer Mitglieder durchführen. Ein weiteres Beispiel könnte eine lokale Gebietskörperschaft, wie eine kommunale Behörde, sein, die mit der Aufgabe betraut ist, einen Bibliotheksdienst, eine Schule oder ein kommunales Schwimmbad zu betreiben (WP 217, 27). Unter diesen Rechtfertigungstatbestand fällt auch die Verarbeitung von Studierendendaten und die Lehr- und Prüfungsverwaltung an staatlichen Universitäten, die durch Art 6 Abs 1 lit e gerechtfertigt ist …, (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO [Stand 1.12.2020, rdb.at] Rz 59).Nach der Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, gilt Artikel 6, Absatz eins, Litera e, für Situationen, in denen der Verantwortliche selbst eine Aufgabe hat, die in Ausübung öffentlicher Gewalt erfolgt oder im öffentlichen Interesse liegt (was jedoch nicht notwendigerweise auch eine rechtliche Verpflichtung zur Verarbeitung von Daten umfasst), und die Verarbeitung für die Ausübung dieser Gewalt oder die Wahrnehmung dieser Aufgabe erforderlich ist. Beispielsweise kann eine Steuerbehörde die Steuererklärung einer natürlichen Person erfassen und verarbeiten, um die Höhe der zu entrichtenden Steuer zu bestimmen und zu überprüfen. Eine Berufsvereinigung, wie eine Anwalts- oder eine Ärztekammer, die mit der entsprechenden öffentlichen Gewalt ausgestattet ist, kann Disziplinarverfahren gegen einige ihrer Mitglieder durchführen. Ein weiteres Beispiel könnte eine lokale Gebietskörperschaft, wie eine kommunale Behörde, sein, die mit der Aufgabe betraut ist, einen Bibliotheksdienst, eine Schule oder ein kommunales Schwimmbad zu betreiben (WP 217, 27). Unter diesen Rechtfertigungstatbestand fällt auch die Verarbeitung von Studierendendaten und die Lehr- und Prüfungsverwaltung an staatlichen Universitäten, die durch Artikel 6, Absatz eins, Litera e, gerechtfertigt ist …, (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 6, DSGVO [Stand 1.12.2020, rdb.at] Rz 59). Art 6 Abs 1 lit e steht (wie Abs 1 lit
3. c)in einem engen Zusammenhang mit Art 6 Abs 2 und 3, die nähere Anforderungen an die Rechtsgrundlagen enthalten. Nach Art 6 Abs 3 S 2 muss in der Rechtsgrundlage zwar nicht der Zweck der Datenverarbeitung festgelegt sein, jedoch der Zweck notwendig zur Erfüllung der gesetzlich übertragenen Aufgabe sein. Letztere muss in der Rechtsgrundlage hinreichend bestimmt beschrieben werden (siehe in diesem Zusammenhang ErwGr 45 S 1: „[. . .] ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen.“) Die Rechtmäßigkeit der Verarbeitung bedarf daher immer einer zusätzlichen rechtlichen Regelung, die sich an Art 6 Abs 2 und 3 messen lassen muss. Art 6 Abs 1 lit e besitzt ein sehr weit gefächertes Anwendungsspektrum, was laut Artikel-29-Datenschutzgruppe „eine strenge Auslegung und eine klare Benennung des gegebenen öffentlichen Interesses und der öffentlichen Gewalt, die die Verarbeitung rechtfertigen, auf Einzelfallbasis gebietet.“ Besonders streng sind die Anforderungen der DSB an die Qualität der gesetzlichen Grundlage bei staatlichen Behörden im hoheitlichen Bereich, demzufolge etwa das ElWOG 2010 nicht als Rechtsgrundlage für intelligente Wasserzähler herangezogen werden könne, da sich dessen Bestimmungen ausschließlich an den Elektrizitätsmarkt richten und eine Analogie zur Aushöhlung des Datenschutzes und der Verfassungsbestimmung des § 1 Abs 2 DSG führen würde. An die Erforderlichkeit iSv der Verhältnismäßigkeit gem Art 52 Abs 1 GRC und Art 6 Abs 3 S 4 sowie § 1 Abs 2 DSG iVm Art 8 Abs 2 EMRK sind hohe Maßstäbe anzulegen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO [Stand 7.5.2020, rdb.at] Rz 47 mwN).Artikel 6, Absatz eins, Litera e, steht (wie Absatz eins, Litera c,) in einem engen Zusammenhang mit Artikel 6, Absatz 2 und 3, die nähere Anforderungen an die Rechtsgrundlagen enthalten. Nach Artikel 6, Absatz 3, S 2 muss in der Rechtsgrundlage zwar nicht der Zweck der Datenverarbeitung festgelegt sein, jedoch der Zweck notwendig zur Erfüllung der gesetzlich übertragenen Aufgabe sein. Letztere muss in der Rechtsgrundlage hinreichend bestimmt beschrieben werden (siehe in diesem Zusammenhang ErwGr 45 S 1: „[. . .] ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen.“) Die Rechtmäßigkeit der Verarbeitung bedarf daher immer einer zusätzlichen rechtlichen Regelung, die sich an Artikel 6, Absatz 2 und 3 messen lassen muss. Artikel 6, Absatz eins, Litera e, besitzt ein sehr weit gefächertes Anwendungsspektrum, was laut Artikel-29-Datenschutzgruppe „eine strenge Auslegung und eine klare Benennung des gegebenen öffentlichen Interesses und der öffentlichen Gewalt, die die Verarbeitung rechtfertigen, auf Einzelfallbasis gebietet.“ Besonders streng sind die Anforderungen der DSB an die Qualität der gesetzlichen Grundlage bei staatlichen Behörden im hoheitlichen Bereich, demzufolge etwa das ElWOG 2010 nicht als Rechtsgrundlage für intelligente Wasserzähler herangezogen werden könne, da sich dessen Bestimmungen ausschließlich an den Elektrizitätsmarkt richten und eine Analogie zur Aushöhlung des Datenschutzes und der Verfassungsbestimmung des Paragraph eins, Absatz 2, DSG führen würde. An die Erforderlichkeit iSv der Verhältnismäßigkeit gem Artikel 52, Absatz eins, GRC und Artikel 6, Absatz 3, S 4 sowie Paragraph eins, Absatz 2, DSG in Verbindung mit Artikel 8, Absatz 2, EMRK sind hohe Maßstäbe anzulegen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO [Stand 7.5.2020, rdb.at] Rz 47 mwN). 3.1.2. Zu sensiblen Daten: Nach Art. 9 Abs. 1 DSGVO ist die Verarbeitung von Gesundheitsdaten einer natürlichen Person untersagt.Nach Artikel 9, Absatz eins, DSGVO ist die Verarbeitung von Gesundheitsdaten einer natürlichen Person untersagt.

Abs. 2 gilt Absatz 1 nicht in folgenden Fällen:

Absatz 2, gilt Absatz 1 nicht in folgenden Fällen:

1. b)die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,
2. e)die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,
3. g)die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,

Art. 4

Z. 15 DSGVO sind „Gesundheitsdaten“ personenbezogenen Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

Artikel 4

, Ziffer 15, DSGVO sind „Gesundheitsdaten“ personenbezogenen Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Ein Gesundheitsdatum ist auch der Umstand einer partiellen oder vollständigen Krankschreibung (Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Art. 9, Rz 29, unter Verweis auf EuGH 06.11.2003, C-101/01 [Lindqvist], Rz 50).Ein Gesundheitsdatum ist auch der Umstand einer partiellen oder vollständigen Krankschreibung (Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Artikel 9,, Rz 29, unter Verweis auf EuGH 06.11.2003, C-101/01 [Lindqvist], Rz 50). Der EuGH beurteilte die Angabe, dass sich eine Person am Fuß verletzt hat und krankgeschrieben ist, als personenbezogene Daten über die Gesundheit im Sinne von Art. 8 Abs. 1 DS-RL. Laut EuGH war angesichts des Zwecks der DS-RL der in Art. 8 Abs. 1 DS-RL verwendete Begriff „Daten über Gesundheit“ in dem Sinne weit auszulegen, dass er sich auf alle Informationen bezieht, die die Gesundheit einer Person unter allen Aspekten (körperlichen wie psychischen) betreffen. Unstrittig ist, dass medizinische Daten (als Teilmenge) unter den Begriff der Gesundheitsdaten fallen, letzterer aber vielmehr erfasst (Kastelitz/Hötzendorfer/Tschohl in Knyrim, Datkomm Art. 9 DSGVO, Stand 07.05.2022, rdb.at, Rz 28).Der EuGH beurteilte die Angabe, dass sich eine Person am Fuß verletzt hat und krankgeschrieben ist, als personenbezogene Daten über die Gesundheit im Sinne von Artikel 8, Absatz eins, DS-RL. Laut EuGH war angesichts des Zwecks der DS-RL der in Artikel 8, Absatz eins, DS-RL verwendete Begriff „Daten über Gesundheit“ in dem Sinne weit auszulegen, dass er sich auf alle Informationen bezieht, die die Gesundheit einer Person unter allen Aspekten (körperlichen wie psychischen) betreffen. Unstrittig ist, dass medizinische Daten (als Teilmenge) unter den Begriff der Gesundheitsdaten fallen, letzterer aber vielmehr erfasst (Kastelitz/Hötzendorfer/Tschohl in Knyrim, Datkomm Artikel 9, DSGVO, Stand 07.05.2022, rdb.at, Rz 28). Lit b ist kein selbstständiger Zulässigkeitstatbestand, vielmehr muss sich die Erforderlichkeit der Verarbeitung sensibler Daten aus einer gesonderten unionsrechtlichen oder innerstaatlichen Norm ergeben, wozu auch Kollektivvereinbarungen und Betriebsvereinbarungen zählen. Die (erforderliche) Verarbeitung von Gesundheitsdaten durch den Dienstgeber kann zB auf lit b iVm den einschlägigen Bestimmungen zur Fürsorgepflicht (insb § 1157 ABGB, § 18 AngG) gestützt werden. […] Darüber hinaus muss das Recht geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsehen. Letztere sind nicht näher definiert, einen möglichen Anhaltspunkt bietet Art 6 Abs 4 lit e, wo bspw die Verschlüsselung und Pseudonymisierung angeführt werden. Darunter fallen auch die Rechte der betroffenen Personen auf Auskunft, Berichtigung, Löschung etc. (wie oben, Rz 36 mwN).Lit b ist kein selbstständiger Zulässigkeitstatbestand, vielmehr muss sich die Erforderlichkeit der Verarbeitung sensibler Daten aus einer gesonderten unionsrechtlichen oder innerstaatlichen Norm ergeben, wozu auch Kollektivvereinbarungen und Betriebsvereinbarungen zählen. Die (erforderliche) Verarbeitung von Gesundheitsdaten durch den Dienstgeber kann zB auf Litera b, in Verbindung mit den einschlägigen Bestimmungen zur Fürsorgepflicht (insb Paragraph 1157, ABGB, Paragraph 18, AngG) gestützt werden. […] Darüber hinaus muss das Recht geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsehen. Letztere sind nicht näher definiert, einen möglichen Anhaltspunkt bietet Artikel 6, Absatz 4, Litera e,, wo bspw die Verschlüsselung und Pseudonymisierung angeführt werden. Darunter fallen auch die Rechte der betroffenen Personen auf Auskunft, Berichtigung, Löschung etc. (wie oben, Rz 36 mwN). Nach Abs. 2 Buchst. e ist die Verarbeitung sensibler Daten ferner erlaubt, wenn die betroffene Person diese „offensichtlich öffentlich gemacht hat“. Unter Öffentlichkeit in diesem Sinne ist die Allgemeinheit, also ein individuell nicht bestimmbarer Personenkreis zu verstehen. Danach fallen solche sensiblen Daten nicht unter diesen Ausnahmetatbestand, die die betroffene Person einer anderen Person oder einem individuell bestimmbaren Personenkreis, etwa im familiären Bereich oder im Wege des kommunikativen Austauschs zwischen bestimmten Personen, mitgeteilt hat. Erst wenn tatsächlich ein individuell nicht bestimmbarer Personenkreis die Gelegenheit hat, von dem sensiblen Datum Kenntnis zu nehmen, greift Abs. 2 Buchst. e. Bei Angaben in sozialen Netzwerken oder anderen, jedermann zugänglichen Anwendungen im Internet kann dies davon abhängen, welche Privatsphäre-Einstellungen die betroffene Person hinsichtlich der betreffenden Information gewählt hat. Außerdem muss die betroffene Person die sensiblen Daten „offensichtlich“ öffentlich gemacht haben. Dies setzt einen unzweideutigen, bewussten Willensakt voraus, der final auf die Entäußerung des Datums in die Öffentlichkeit in dem erläuterten Sinne gerichtet ist. Dies ist etwa bei der Veröffentlichung des Lebenslaufes der Fall, der bspw. Informationen über politische Meinungen oder die sexuelle Orientierung enthält. Für die Beurteilung der Frage, ob die Anforderungen des Buchst. e vorliegen, soll es auf die Sicht eines objektiven Dritten ankommen. Dies wird dem hohen Schutzniveau des Art. 9 nur gerecht, wenn Zweifel zulasten des Verantwortlichen bzw. Auftragsverarbeiters gehen (Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Art. 9, Rz 45).Nach Absatz 2, Buchst. e ist die Verarbeitung sensibler Daten ferner erlaubt, wenn die betroffene Person diese „offensichtlich öffentlich gemacht hat“. Unter Öffentlichkeit in diesem Sinne ist die Allgemeinheit, also ein individuell nicht bestimmbarer Personenkreis zu verstehen. Danach fallen solche sensiblen Daten nicht unter diesen Ausnahmetatbestand, die die betroffene Person einer anderen Person oder einem individuell bestimmbaren Personenkreis, etwa im familiären Bereich oder im Wege des kommunikativen Austauschs zwischen bestimmten Personen, mitgeteilt hat. Erst wenn tatsächlich ein individuell nicht bestimmbarer Personenkreis die Gelegenheit hat, von dem sensiblen Datum Kenntnis zu nehmen, greift Absatz 2, Buchst. e. Bei Angaben in sozialen Netzwerken oder anderen, jedermann zugänglichen Anwendungen im Internet kann dies davon abhängen, welche Privatsphäre-Einstellungen die betroffene Person hinsichtlich der betreffenden Information gewählt hat. Außerdem muss die betroffene Person die sensiblen Daten „offensichtlich“ öffentlich gemacht haben. Dies setzt einen unzweideutigen, bewussten Willensakt voraus, der final auf die Entäußerung des Datums in die Öffentlichkeit in dem erläuterten Sinne gerichtet ist. Dies ist etwa bei der Veröffentlichung des Lebenslaufes der Fall, der bspw. Informationen über politische Meinungen oder die sexuelle Orientierung enthält. Für die Beurteilung der Frage, ob die Anforderungen des Buchst. e vorliegen, soll es auf die Sicht eines objektiven Dritten ankommen. Dies wird dem hohen Schutzniveau des Artikel 9, nur gerecht, wenn Zweifel zulasten des Verantwortlichen bzw. Auftragsverarbeiters gehen (Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Artikel 9,, Rz 45). Da die Ausnahmetatbestände des Art 9 Abs 2 eng auszulegen sind, sollte derjenige, der sich auf Art 9 Abs 2 lit e berufen will, im Zweifel Vorsicht walten lassen. Die Grundsätze der Verarbeitung (Art 5) sind auch hier zu berücksichtigen, insb ergibt sich ein gewisses Spannungsfeld im Hinblick auf den Grundsatz der Zweckbindung, der hier sicherlich gelockert, aber wohl nicht völlig aufgegeben wird. Dies ist besonders relevant in Fällen des sog „Harvesting“ bzw „Scraping“, dh dem (teil-)automatisierten Durchsuchen des Internet mit darauffolgender Profilbildung in Datenbanken von Auskunfteien etc. Grundsätzlich ist für jede Verarbeitung eine eigene Rechtsgrundlage erforderlich (zur zweckkompatiblen Weiterverarbeitung Art 6 Abs 4, s näher bei Art 6 Rz 58 ff), auch die Zweckbindung ist zu beachten. Hervorzuheben ist die Entscheidungspraxis der DSB (zu Art 6, wobei die Rechtsansicht ohne Weiteres übertragen werden kann), wonach es sich zB bei einer Verknüpfung zulässigerweise veröffentlichter Daten mit anderen „Elementen“ (zB zur Schaffung eines informationellen Mehrwerts) um eine Verarbeitung gem Art 4 Z 2 handelt, und eine solche Verknüpfung stets eines Erlaubnistatbestandes nach Art 6, 9 oder 10 bedarf. Die ganz generelle Annahme des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten ist nach Ansicht der DSB nicht mit den Bestimmungen der DSGVO vereinbar (Kastelitz/Hötzendorfer/Tschohl in Knyrim, Datkomm Art. 9 DSGVO, Stand 07.05.2022, rdb.at, Rz 42 mwN).Da die Ausnahmetatbestände des Artikel 9, Absatz 2, eng auszulegen sind, sollte derjenige, der sich auf Artikel 9, Absatz 2, Litera e, berufen will, im Zweifel Vorsicht walten lassen. Die Grundsätze der Verarbeitung (Artikel 5,) sind auch hier zu berücksichtigen, insb ergibt sich ein gewisses Spannungsfeld im Hinblick auf den Grundsatz der Zweckbindung, der hier sicherlich gelockert, aber wohl nicht völlig aufgegeben wird. Dies ist besonders relevant in Fällen des sog „Harvesting“ bzw „Scraping“, dh dem (teil-)automatisierten Durchsuchen des Internet mit darauffolgender Profilbildung in Datenbanken von Auskunfteien etc. Grundsätzlich ist für jede Verarbeitung eine eigene Rechtsgrundlage erforderlich (zur zweckkompatiblen Weiterverarbeitung Artikel 6, Absatz 4,, s näher bei Artikel 6, Rz 58 ff), auch die Zweckbindung ist zu beachten. Hervorzuheben ist die Entscheidungspraxis der DSB (zu Artikel 6,, wobei die Rechtsansicht ohne Weiteres übertragen werden kann), wonach es sich zB bei einer Verknüpfung zulässigerweise veröffentlichter Daten mit anderen „Elementen“ (zB zur Schaffung eines informationellen Mehrwerts) um eine Verarbeitung gem Artikel 4, Ziffer 2, handelt, und eine solche Verknüpfung stets eines Erlaubnistatbestandes nach Artikel 6, 9, oder 10 bedarf. Die ganz generelle Annahme des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten ist nach Ansicht der DSB nicht mit den Bestimmungen der DSGVO vereinbar (Kastelitz/Hötzendorfer/Tschohl in Knyrim, Datkomm Artikel 9, DSGVO, Stand 07.05.2022, rdb.at, Rz 42 mwN). Die Bestimmung des Abs. 2 Buchst. g stellt tatbestandlich die mit Abstand weiteste Ausnahmeregelung zum Verbot des Abs. 1 dar. Insbesondere weil sie nicht auf eine bestimmte beschränkt ist, ist ihre Bedeutung im gesamten Regelungskomplex zur Verarbeitung sensibler Daten nicht zu unterschätzen. Es steht zu vermuten, dass sie vor allem im Recht der öffentlichen Sicherheit bzw. Gefahrenabwehr zum Tragen kommen wird. Insbesondere aufgrund ihrer tatbestandlichen Weite bedarf die Regelung einer präzisen, rechtsstaatlichen Handhabung, um dem Schutzzweck des Verbotsgrundsatzes trotz mancher Versuchungen und Herausforderungen stets Geltung zu verschaffen (Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Art. 9, Rz 51).Die Bestimmung des Absatz 2, Buchst. g stellt tatbestandlich die mit Abstand weiteste Ausnahmeregelung zum Verbot des Absatz eins, dar. Insbesondere weil sie nicht auf eine bestimmte beschränkt ist, ist ihre Bedeutung im gesamten Regelungskomplex zur Verarbeitung sensibler Daten nicht zu unterschätzen. Es steht zu vermuten, dass sie vor allem im Recht der öffentlichen Sicherheit bzw. Gefahrenabwehr zum Tragen kommen wird. Insbesondere aufgrund ihrer tatbestandlichen Weite bedarf die Regelung einer präzisen, rechtsstaatlichen Handhabung, um dem Schutzzweck des Verbotsgrundsatzes trotz mancher Versuchungen und Herausforderungen stets Geltung zu verschaffen (Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Artikel 9,, Rz 51). 3.1.3. Zu den fallrelevanten Rechtsgrundlagen des Schulunterrichtsgesetzes (SchUG):

§ 56Abs. 1 Sch

UG ist der Schulleiter zur Besorgung aller Angelegenheiten nach diesem Bundesgesetz zuständig, sofern dieses nicht die Zuständigkeit anderer schulischer Organe oder der Schulbehörden festlegt.

Paragraph 56, Absatz eins, SchUG ist der Schulleiter zur Besorgung aller Angelegenheiten nach diesem Bundesgesetz zuständig, sofern dieses nicht die Zuständigkeit anderer schulischer Organe oder der Schulbehörden festlegt.

Abs. 2 ist der Schulleiter der unmittelbare Vorgesetzte aller an der Schule tätigen Lehrer und sonstigen Bediensteten. Ihm obliegt die Leitung der Schule und die Pflege der Verbindung zwischen der Schule, den Schülern und den Erziehungsberechtigten, bei Berufsschulen auch den Lehrberechtigten. Seine Aufgaben umfassen insbesondere Schulleitung und -management, Qualitätsmanagement, Schul- und Unterrichtsentwicklung, Führung und Personalentwicklung sowie Außenbeziehungen und Öffnung der Schule. Er hat die Durchführung von Evaluationen einschließlich der Bewertung der Unterrichtsqualität durch die Organe der externen Schulevaluation zu ermöglichen und deren Ergebnisse bei der Schul- und Unterrichtsentwicklung zu berücksichtigen.

Absatz 2, ist der Schulleiter der unmittelbare Vorgesetzte aller an der Schule tätigen Lehrer und sonstigen Bediensteten. Ihm obliegt die Leitung der Schule und die Pflege der Verbindung zwischen der Schule, den Schülern und den Erziehungsberechtigten, bei Berufsschulen auch den Lehrberechtigten. Seine Aufgaben umfassen insbesondere Schulleitung und -management, Qualitätsmanagement, Schul- und Unterrichtsentwicklung, Führung und Personalentwicklung sowie Außenbeziehungen und Öffnung der Schule. Er hat die Durchführung von Evaluationen einschließlich der Bewertung der Unterrichtsqualität durch die Organe der externen Schulevaluation zu ermöglichen und deren Ergebnisse bei der Schul- und Unterrichtsentwicklung zu berücksichtigen.

Abs. 4 hat der Schulleiter für die Einhaltung aller Rechtsvorschriften und schulbehördlichen Weisungen sowie für die Führung der Amtsschriften der Schule und die Ordnung in der Schule zu sorgen.

Absatz 4, hat der Schulleiter für die Einhaltung aller Rechtsvorschriften und schulbehördlichen Weisungen sowie für die Führung der Amtsschriften der Schule und die Ordnung in der Schule zu sorgen. „Leitung und Schulmanagement“ umfasst insbesondere den Aufbau einer internen Organisationsstruktur an der Schule, die Verantwortung für die Wahrnehmung schul- und unterrichtsorganisatorischer sowie administrativer und verwaltungstechnischer Aufgaben (Klassenzuweisung, Lehrfächerverteilung, Beratung, Amtsschriften usw.), die Erstellung und Verantwortung des Schulbudgets (soweit vom Schulerhalter zur Verfügung gestellt) und die Wahrnehmung der Interessen der Schule in baulichen und infrastrukturellen Angelegenheiten (Hofstätter/Spreitzhofer/Taschner, Schulgesetze § 56 SchUG [Stand 15.12.2020, rdb.at] Rz 4).„Leitung und Schulmanagement“ umfasst insbesondere den Aufbau einer internen Organisationsstruktur an der Schule, die Verantwortung für die Wahrnehmung schul- und unterrichtsorganisatorischer sowie administrativer und verwaltungstechnischer Aufgaben (Klassenzuweisung, Lehrfächerverteilung, Beratung, Amtsschriften usw.), die Erstellung und Verantwortung des Schulbudgets (soweit vom Schulerhalter zur Verfügung gestellt) und die Wahrnehmung der Interessen der Schule in baulichen und infrastrukturellen Angelegenheiten (Hofstätter/Spreitzhofer/Taschner, Schulgesetze Paragraph 56, SchUG [Stand 15.12.2020, rdb.at] Rz 4). „Schul- und Unterrichtsentwicklung“ umfasst insbesondere die Verantwortung für die standortspezifische Übersetzung und Wahrnehmung des bildungspolitischen Auftrags, die strategische Steuerung des Schul- und Unterrichtsentwicklungsprozesses, die Sorge für den Aufbau von Strukturen zur Zusammenarbeit und Entscheidungsfindung, für Projektmanagement und Schnittstellenmanagement zwischen Einzelvorhaben, die Sorge für ein gesundheitsförderndes Schulklima und die Sicherung der Partizipationsmöglichkeiten der Schulpartner (wie oben, Rz 4). „Führung und Personalentwicklung“ umfasst die Wahrnehmung der gesetzlichen Dienstpflichten als Schulleiterin bzw -leiter, die Entwicklung von Leitvorstellungen für die Gestaltung der Lernprozesse und des schulischen Lebens sowie die Initiierung eines entsprechenden Diskurses an der Schule, die Gestaltung wirksamer Informationsflüsse und Kommunikationsprozesse, die Umsetzung der Prinzipien von Gender- und Diversity Management, die Konfliktregelung und Mitarbeiterführung, die Förderung der professionellen Entwicklung und Stärkung der Lehrpersonen und Teams und die Erstellung von Fort- und Weiterbildungsplänen für die Schule (wie oben, Rz 4). Schulen sind unselbständige Anstalten.

§ 70Sch

UG finden auf ihre Verfahren die allgemeinen Verfahrensbestimmungen des AVG keine Anwendung. Entscheidungen an der Schule sind provisoriale Entscheidungen, die durch Widerspruch erst zu einem ordentlichen behördlichen Verfahren führen (vgl. Jonak-Kövesi, Das österreichische Schulrecht14, FN 1 zu § 71 SchUG).Schulen sind unselbständige Anstalten.

Paragraph 70, SchUG finden auf ihre Verfahren die allgemeinen Verfahrensbestimmungen des AVG keine Anwendung. Entscheidungen an der Schule sind provisoriale Entscheidungen, die durch Widerspruch erst zu einem ordentlichen behördlichen Verfahren führen vergleiche Jonak-Kövesi, Das österreichische Schulrecht14, FN 1 zu Paragraph 71, SchUG). Zu GZ K600.055-001/0002-DVR/2008 kam die Datenschutzkommission zum Ergebnis, alle Organe von Gebietskörperschaften und sogar die Geschäftsapparate solcher Organe könnten die Eigenschaft eines Auftraggebers (noch nach dem DSG 2000) in Anspruch nehmen. Als „Organ“ einer Gebietskörperschaft könne hiebei jede öffentliche Stelle gesehen werden, die Zurechnungspunkt gesetzlicher Aufgaben sei. Im Bereich der Schulen, die selbst nur unselbständige Anstalten seien, erfülle diese Voraussetzungen der Schulleiter, der etwa im Schulunterrichtsgesetz 1986 als entscheidungsbefugtes Organ auf Ebene der einzelnen Schule benannt sei. Eine ähnliche rechtliche Beurteilung geht aus dem hg. Erkenntnis GZ W274 2225135-1 vom 30.09.2020 hervor, wo die Verantwortlicheneigenschaft eines einzelnen Lehrers - im Zusammenhang mit der Leistungsbeurteilung und der damit in Zusammenhang stehenden Kommunikation - mithin unter Rücksichtnahme auf § 56 SchUG verneint wurde. Eine ähnliche rechtliche Beurteilung geht aus dem hg. Erkenntnis GZ W274 2225135-1 vom 30.09.2020 hervor, wo die Verantwortlicheneigenschaft eines einzelnen Lehrers - im Zusammenhang mit der Leistungsbeurteilung und der damit in Zusammenhang stehenden Kommunikation - mithin unter Rücksichtnahme auf Paragraph 56, SchUG verneint wurde. 3.2. Daraus folgt: Der bekämpfte Bescheid gründet die Feststellung der Geheimhaltungspflichtverletzung darauf, dass die BF die MB durch den rechtsgrundlosen Versand einer E-Mail am 29.11.2021 personenbezogene Daten der MB gegenüber Dritten unrechtmäßig offengelegt habe. Der Spruch lässt offen, welche „personenbezogene Daten der MB“ gemeint sind. Unter Heranziehung der Begründung ist letztlich zweifelsfrei davon auszugehen, dass die belangte Behörde davon ausgegangen ist, dass damit zum einen die „Krankenstände“ (Seite 5 und 7 des Bescheides) und zum anderen „persönliche Informationen (Vor- und Nachname)“ sowie „sachliche Informationen (etwa Umstände, die zur Beendigung des Dienstverhältnisses geführt hätten)“ gemeint sind, dabei insbesondere konkrete Hintergrundinformationen betreffend die Begründung und Beendigung des Arbeitsverhältnisses der MB (Seite 5 und 8 des Bescheides). Die von der Behörde angenommene Geheimhaltungspflichtverletzung bezieht sich daher auf folgende – differenziert zu betrachtende - Passagen im E-Mail vom 29.11.2021:

1. a)„Krankenstände“
2. b)konkrete Hintergrundinformationen betreffend die Begründung des Arbeitsverhältnisses der MB
3. c)konkrete Hintergrundinformationen betreffend Beendigung des Arbeitsverhältnisses Die belangte Behörde hat - ausgehend von der oben dargestellten Rechtslage - die BF als alleinige Verantwortliche qualifiziert. Die MB hat zwar nach dem Mängelbehebungsauftrag vom 28.12.2021 die Beschwerde gegen „die BF und gegen die Volksschulen XXXX und XXXX “ gerichtet, die Behörde hat aber angesichts der Eigenschaft der Schulen als unselbstständige Anstalten ausschließlich die BF als Leiterin der betreffenden Schulen - sohin als entscheidungsbefugtes Organ auf Ebene der einzelnen Schulen – im Bescheid als Beschwerdegegnerin behandelt und insoweit implizit eine amtswegige Berichtigung der Parteienbezeichnung vorgenommen. Dieser Beurteilung wurde auch in der gegenständlichen Beschwerde nicht entgegengetreten.Die belangte Behörde hat - ausgehend von der oben dargestellten Rechtslage - die BF als alleinige Verantwortliche qualifiziert. Die MB hat zwar nach dem Mängelbehebungsauftrag vom 28.12.2021 die Beschwerde gegen „die BF und gegen die Volksschulen römisch 40 und römisch 40 “ gerichtet, die Behörde hat aber angesichts der Eigenschaft der Schulen als unselbstständige Anstalten ausschließlich die BF als Leiterin der betreffenden Schulen - sohin als entscheidungsbefugtes Organ auf Ebene der einzelnen Schulen – im Bescheid als Beschwerdegegnerin behandelt und insoweit implizit eine amtswegige Berichtigung der Parteienbezeichnung vorgenommen. Dieser Beurteilung wurde auch in der gegenständlichen Beschwerde nicht entgegengetreten. Schließlich hat die belangte Behörde den Versand der verfahrensgegenständlichen Informationen per E-Mail zutreffend als Verarbeitung iSd Art. 4 Z 2 DSGVO beurteilt. Schließlich hat die belangte Behörde den Versand der verfahrensgegenständlichen Informationen per E-Mail zutreffend als Verarbeitung iSd Artikel 4, Ziffer 2, DSGVO beurteilt. Die BF wendet bezüglich des Datums „Krankenstand“ ein, die MB habe mit sämtlichen LehrerInnen sowie mit der BF als Schulleiterin zusammengearbeitet und die jeweiligen Tätigkeiten mit diesen Personen abgestimmt. Während der Zeiträume der Abwesenheit von der MB hätten die ansonsten von ihr durchgeführten administrativen Tätigkeiten von den LehrerInnen der beiden Volksschulen übernommen werden müssen, weswegen es wichtig und notwendig sei, zu wissen, wann die MB im Dienst und zu welchen Zeiträumen sie dienstabwesend sei. Demnach sei allen E-Mail-Empfängern die Abwesenheit von der MB und auch die Gründe wie Krankenstand und Pflegeurlaub bekannt gewesen. Darüber hinaus sei die Mitteilung innerbetrieblich bzw. innerschulisch notwendig, um gegenüber den LehrerInnen zeitgerecht zu kommunizieren, zu welchen Zeiten die MB nicht im Dienst sei und die von ihr üblicherweise ausgeübten Tätigkeiten von LehrerInnen übernommen werden müssten. Beim betreffenden E-Mail handle es sich um eine rein dienstliche Mitteilung, die an die dienstlichen E-Mail-Adressen der Mitarbeiterinnen der beiden Volkschulen ergangen sei. Hinsichtlich der Offenlegung der übrigen Daten führt die BF aus, es sei für die Organisation des Schulalltages an den beiden von der BF geleiteten Volksschulen und der Organisation der administrativen Tätigkeiten an den beiden Schulen zwingend erforderlich gewesen, die LehrerInnen von der Beendigung des Arbeitsverhältnisses durch die MB zu informieren. Die BF habe ja ihre LehrerInnen darüber in Kenntnis setzen müssen, dass aufgrund des Ausscheidens der MB die administrativen Aufgaben ab sofort von den LehrerInnen sowie von ihr als Schulleiterin gemeinsame abzuwickeln bzw. durchzuführen sein würden. Diese Information sei durch die Bestimmungen des SchUG für die Gestaltung wirksamer Informationsflüsse und Kommunikationsprozess und notwendiger Personalführungsmaßnahmen gedeckt. Die „näheren Umstände“ der Auflösung des Dienstverhältnisses seien von der BF in ihrer E-Mail gar nicht angeführt worden, sondern nur festgehalten, dass sich die MB nach einer anderen Arbeitsstelle umsehen werde. Zu den genannten von der belangten Behörde als Geheimhaltungspflichten verletzend qualifizierten Informationen: Zu 3.2.a): „Krankenstände“ Diese Information enthält im Sinne der oben dargestellten Rechtslage unzweifelhaft Gesundheitsdaten (vgl. EuGH 06.11.2003, C-101/01 [Lindqvist], Rz 50), welche von der BF in dem gegenständlichen E-Mail als einer der Gründe für die dienstliche Abwesenheit angeführt wurden. Dabei handelt es sich um sensible Daten iSd Art 9 Abs 1, deren Verarbeitung nach der DSGVO grundsätzlich untersagt ist. Diese Information enthält im Sinne der oben dargestellten Rechtslage unzweifelhaft Gesundheitsdaten vergleiche EuGH 06.11.2003, C-101/01 [Lindqvist], Rz 50), welche von der BF in dem gegenständlichen E-Mail als einer der Gründe für die dienstliche Abwesenheit angeführt wurden. Dabei handelt es sich um sensible Daten iSd Artikel 9, Absatz eins,, deren Verarbeitung nach der DSGVO grundsätzlich untersagt ist. Bereits im Rahmen des Administrativverfahrens führte die BF diesbezüglich Art. 9 Abs. 2 lit. b und e DSGVO als Rechtfertigungstatbestände an. Bereits im Rahmen des Administrativverfahrens führte die BF diesbezüglich Artikel 9, Absatz 2, Litera b und e DSGVO als Rechtfertigungstatbestände an. Im Hinblick auf Art 9 Abs. 2 lit. b DSGVO führte die belangte Behörde schon zutreffend aus, dass es die BF verabsäumte, hiezu eine geeignete Rechtsgrundlage zu benennen. Soweit die BF in ihrer nunmehrigen Beschwerde vorbringt, es handle sich um eine rein dienstliche Mitteilung, bzw. diese sei innerbetrieblich und schulisch notwendig zwecks zeitgerechter Kommunikation, zu welchen Zeiten die MB nicht im Dienst sei und die von ihr üblicherweise ausgeübten Tätigkeiten von LehrerInnen übernommen werden müssten, ist zu entgegnen, dass das gegenständliche E-Mail vom 29.11.2021 datiert und sich der in Verbindung mit den Krankenständen (und dem Pflegeurlaub) angeführte Zeitraum auf den 19.10.2021 - 26.11.2021 bezieht. Sohin ist nicht ersichtlich, inwiefern im Nachhinein die Mitteilung der Krankenstände der MB für das Lehrpersonal erforderlich wäre, insbesondere um – wie vorgebracht - zu wissen, wann die von der MB ausgeübten Tätigkeiten von den anderen LehrerInnen übernommen werden müssten. Der Hinweis auf die Verschwiegenheitspflicht in den jeweiligen Dienstverträgen vermag hierfür keine taugliche Rechtsgrundlage iSd Abs. 2 lit. b DSGVO darzustellen.Im Hinblick auf Artikel 9, Absatz 2, Litera b, DSGVO führte die belangte Behörde schon zutreffend aus, dass es die BF verabsäumte, hiezu eine geeignete Rechtsgrundlage zu benennen. Soweit die BF in ihrer nunmehrigen Beschwerde vorbringt, es handle sich um eine rein dienstliche Mitteilung, bzw. diese sei innerbetrieblich und schulisch notwendig zwecks zeitgerechter Kommunikation, zu welchen Zeiten die MB nicht im Dienst sei und die von ihr üblicherweise ausgeübten Tätigkeiten von LehrerInnen übernommen werden müssten, ist zu entgegnen, dass das gegenständliche E-Mail vom 29.11.2021 datiert und sich der in Verbindung mit den Krankenständen (und dem Pflegeurlaub) angeführte Zeitraum auf den 19.10.2021 - 26.11.2021 bezieht. Sohin ist nicht ersichtlich, inwiefern im Nachhinein die Mitteilung der Krankenstände der MB für das Lehrpersonal erforderlich wäre, insbesondere um – wie vorgebracht - zu wissen, wann die von der MB ausgeübten Tätigkeiten von den anderen LehrerInnen übernommen werden müssten. Der Hinweis auf die Verschwiegenheitspflicht in den jeweiligen Dienstverträgen vermag hierfür keine taugliche Rechtsgrundlage iSd Absatz 2, Litera b, DSGVO darzustellen. Hinsichtlich des vorgebrachten Art 9 Abs. 2 lit. e DSGVO ist festzuhalten, dass die BF hierbei einerseits übersieht, dass als Öffentlichkeit in diesem Sinne die Allgemeinheit, also ein individuell nicht bestimmbarer Personenkreis zu verstehen ist und andererseits die betroffene Person die sensiblen Daten „offensichtlich“ öffentlich gemacht haben muss, was einen unzweideutigen, bewussten Willensakt voraussetzt, der final auf die Entäußerung des Datums in die Öffentlichkeit in dem erläuterten Sinne gerichtet ist (vgl. Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Art. 9, Rz 45). In diesem Kontext führte die BF lediglich pauschal an, dass allen LehrerInnen bekannt gewesen sei, dass die MB fast 1,5 Monaten nicht im Dienst gewesen sei und der Grund dafür Krankenstände bzw. Pflegeurlaub gewesen sei und daher den E-Mail-Empfängern somit nur allgemein bekannte Daten mitgeteilt worden seien. Dieses Vorbringen enthält keinen ausreichenden Begründungswert, um diesen Rechtfertigungstatbestand zu erfüllen, wobei in diesem Zusammenhang Zweifel zulasten des Verantwortlichen gehen. Die im Wege des kommunikativen Austauschs zwischen bestimmten Personen bzw. einem individuell bestimmbaren Personenkreis erfolgte Mitteilung fällt nicht unter diesen Ausnahmetatbestand (vgl. wie oben). Hinsichtlich des vorgebrachten Artikel 9, Absatz 2, Litera e, DSGVO ist festzuhalten, dass die BF hierbei einerseits übersieht, dass als Öffentlichkeit in diesem Sinne die Allgemeinheit, also ein individuell nicht bestimmbarer Personenkreis zu verstehen ist und andererseits die betroffene Person die sensiblen Daten „offensichtlich“ öffentlich gemacht haben muss, was einen unzweideutigen, bewussten Willensakt voraussetzt, der final auf die Entäußerung des Datums in die Öffentlichkeit in dem erläuterten Sinne gerichtet ist vergleiche Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Artikel 9,, Rz 45). In diesem Kontext führte die BF lediglich pauschal an, dass allen LehrerInnen bekannt gewesen sei, dass die MB fast 1,5 Monaten nicht im Dienst gewesen sei und der Grund dafür Krankenstände bzw. Pflegeurlaub gewesen sei und daher den E-Mail-Empfängern somit nur allgemein bekannte Daten mitgeteilt worden seien. Dieses Vorbringen enthält keinen ausreichenden Begründungswert, um diesen Rechtfertigungstatbestand zu erfüllen, wobei in diesem Zusammenhang Zweifel zulasten des Verantwortlichen gehen. Die im Wege des kommunikativen Austauschs zwischen bestimmten Personen bzw. einem individuell bestimmbaren Personenkreis erfolgte Mitteilung fällt nicht unter diesen Ausnahmetatbestand vergleiche wie oben). Der von der belangten Behörde herangezogene und verneinte Rechtfertigungstatbestand nach Abs. 2 lit. g DSGVO ist ebensowenig aus Sicht des erkennenden Senates fallgegenständlich, zumal dieser nach der Literatur vor allem im Recht der öffentlichen Sicherheit bzw. Gefahrenabwehr zum Tragen kommen wird (vgl. Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Art. 9, Rz 51), was in diesem Fall zweifelsohne nicht zutrifft. Der von der belangten Behörde herangezogene und verneinte Rechtfertigungstatbestand nach Absatz 2, Litera g, DSGVO ist ebensowenig aus Sicht des erkennenden Senates fallgegenständlich, zumal dieser nach der Literatur vor allem im Recht der öffentlichen Sicherheit bzw. Gefahrenabwehr zum Tragen kommen wird vergleiche Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Artikel 9,, Rz 51), was in diesem Fall zweifelsohne nicht zutrifft. Im Ergebnis ist der belangten Behörde zuzustimmen, dass betreffend diese Information der Verarbeitung ein Rechtfertigungsgrund mangelt. Zu 3.2.b): Konkrete Hintergrundinformationen betreffend die Begründung des Arbeitsverhältnisses der MB Wie aus dem verfahrensgegenständlichen E-Mail ersichtlich ist, wurden von der BF nähere Umstände der Anstellung der MB bekannt gegeben, nämlich die Unterzeichnung des Arbeitsvertrages mit der MAG XXXX GmbH, die Ablehnung der Unterzeichnung durch die Stadtgemeinde XXXX , die Umstände des Einstellungsgespräches mit der MB sowie deren konkreter Dienstantritt. Der Personenbezug ist auf Basis der Anführung des Namens der MB zweifelsfrei iSd Art. 4 Z 1 DSGVO gegeben. Im Rahmen des Administrativverfahrens wurde diesbezüglich von Seiten der BF der Rechtfertigungstatbestand nach Art 6. Abs. 1 lit. b DSGVO herangeführt.Wie aus dem verfahrensgegenständlichen E-Mail ersichtlich ist, wurden von der BF nähere Umstände der Anstellung der MB bekannt gegeben, nämlich die Unterzeichnung des Arbeitsvertrages mit der MAG römisch 40 GmbH, die Ablehnung der Unterzeichnung durch die Stadtgemeinde römisch 40 , die Umstände des Einstellungsgespräches mit der MB sowie deren konkreter Dienstantritt. Der Personenbezug ist auf Basis der Anführung des Namens der MB zweifelsfrei iSd Artikel 4, Ziffer eins, DSGVO gegeben. Im Rahmen des Administrativverfahrens wurde diesbezüglich von Seiten der BF der Rechtfertigungstatbestand nach Artikel 6, Absatz eins, Litera b, DSGVO herangeführt. Diesbezüglich führte schon die belangte Behörde zu Recht aus, dass in Anbetracht des hoheitlichen Handelns und der damit zusammenhängenden mangelnden gesetzlichen Grundlage sowie mangels Erforderlichkeit im Bezug auf die Dienstvertragserfüllung dieser Rechtfertigungsgrund fallbezogen nicht zum Zug kommt. Ebensowenig ist der Erlaubnistatbestand nach Abs. 1 lit. e DSGVO gegenständlich einschlägig, da es auch in diesem Rahmen an jeglicher Erforderlichkeit mangelt. Eine solche Offenlegung weist keinerlei administrativen Mehrwert für das Lehrpersonal auf und liegt somit außerhalb einer innerschulischen bzw. innerbetrieblichen Notwendigkeit, vor allem, zumal der eigentliche Zweck des E-Mails auf die Mitteilung der Beendigung des Dienstverhältnisses abzielt. Während die BF im behördlichen Verfahren noch auf „dienstliche und organisatorische“ Zwecke Bezug nahm, ohne diese näher zu begründen, war der Beschwerde diesbezüglich kein konkretes Vorbringen bzw. keine Begründung zu entnehmen bzw eine mögliche Rechtsgrundlage erkennbar (siehe Art 6 Abs 2 und 3 DSGVO), insbesondere auch unter Berücksichtigung des SchUG.Ebensowenig ist der Erlaubnistatbestand nach Absatz eins, Litera e, DSGVO gegenständlich einschlägig, da es auch in diesem Rahmen an jeglicher Erforderlichkeit mangelt. Eine solche Offenlegung weist keinerlei administrativen Mehrwert für das Lehrpersonal auf und liegt somit außerhalb einer innerschulischen bzw. innerbetrieblichen Notwendigkeit, vor allem, zumal der eigentliche Zweck des E-Mails auf die Mitteilung der Beendigung des Dienstverhältnisses abzielt. Während die BF im behördlichen Verfahren noch auf „dienstliche und organisatorische“ Zwecke Bezug nahm, ohne diese näher zu begründen, war der Beschwerde diesbezüglich kein konkretes Vorbringen bzw. keine Begründung zu entnehmen bzw eine mögliche Rechtsgrundlage erkennbar (siehe Artikel 6, Absatz 2 und 3 DSGVO), insbesondere auch unter Berücksichtigung des SchUG. Auch betreffend dieser Informationen kommt daher kein Rechtfertigungsgrund in Betracht. Zu 3.2.c): Konkrete Hintergrundinformationen betreffend die Beendigung des Arbeitsverhältnisses Das gegenständliche E-Mail umfasst schließlich noch den Umstand, dass das Dienstverhältnis mit der MB beendet wurde sowie die näheren Umstände, die letztlich zur Beendigung geführt haben, nämlich die Beschwerde der MB bei der Stadtgemeinde XXXX , das aufgrund dessen erfolgte Gespräch mit der BF und die damit verbundenen Begleitumstände. Das gegenständliche E-Mail umfasst schließlich noch den Umstand, dass das Dienstverhältnis mit der MB beendet wurde sowie die näheren Umstände, die letztlich zur Beendigung geführt haben, nämlich die Beschwerde der MB bei der Stadtgemeinde römisch 40 , das aufgrund dessen erfolgte Gespräch mit der BF und die damit verbundenen Begleitumstände. Diesbezüglich bezog sich die BF in ihrer Beschwerde auf die zwingende Erforderlichkeit der Mitteilung betreffend die Beendigung des Arbeitsverhältnisses für die Organisation des Schulalltages an den beiden Volksschulen und der administrativen Tätigkeiten an beiden Schulen. Die „näheren Umstände“ der Auflösung des Dienstverhältnisses seien in dem E-Mail der BF gar nicht angeführt worden. Dies ist in dieser Allgemeinheit insofern unzutreffend, als in dem E-Mail zum einen explizit die Beschwerde der MB bei der Stadtgemeinde XXXX betreffend die der BF übertragenen Arbeiten sowie das darauffolgende Gespräch mit der BF – in zusätzlicher Anwesenheit der Stellvertreterin – und das darin zur Sprache gekommene Thema angeführt wurden, einschließlich der angeblich durch die MB erfolgten Bemerkung, wonach ihr die übertragenen Aufgaben als „nicht adäquat“ erscheinen würden, was der Grund für die MB sei, eine andere Stelle zu suchen. Unabhängig vom tatsächlichen Zutreffen dieser Umstände wurden damit nähere Umstände zur Auflösung des Dienstverhältnisses zum Ausdruck gebracht. Betreffend diese Umstände ist ebensowenig ein Rechtfertigungstatbestand nach Art. 6 Abs. 1 DSGVO ersichtlich. Insbesondere ist in Bezug auf Abs. 1 lit. e keine Erforderlichkeit ersichtlich, die genaueren Umstände, die zur Beendigung geführt hätten, anderen Lehrkräften mitzuteilen. Dies ist in dieser Allgemeinheit insofern unzutreffend, als in dem E-Mail zum einen explizit die Beschwerde der MB bei der Stadtgemeinde römisch 40 betreffend die der BF übertragenen Arbeiten sowie das darauffolgende Gespräch mit der BF – in zusätzlicher Anwesenheit der Stellvertreterin – und das darin zur Sprache gekommene Thema angeführt wurden, einschließlich der angeblich durch die MB erfolgten Bemerkung, wonach ihr die übertragenen Aufgaben als „nicht adäquat“ erscheinen würden, was der Grund für die MB sei, eine andere Stelle zu suchen. Unabhängig vom tatsächlichen Zutreffen dieser Umstände wurden damit nähere Umstände zur Auflösung des Dienstverhältnisses zum Ausdruck gebracht. Betreffend diese Umstände ist ebensowenig ein Rechtfertigungstatbestand nach Artikel 6, Absatz eins, DSGVO ersichtlich. Insbesondere ist in Bezug auf Absatz eins, Litera e, keine Erforderlichkeit ersichtlich, die genaueren Umstände, die zur Beendigung geführt hätten, anderen Lehrkräften mitzuteilen. So bildet § 56 Abs. 2 SchUG keine Grundlage für eine Mitteilung solcher Umstände: Zwar hat die Schulleiterin im Rahmen ihrer Leitungsfunktion administrative und verwaltungstechnische Aufgaben zu bewältigen sowie die Schul- und Unterrichtsentwicklung und die Führung und Personalentwicklung zu besorgen (vgl. Hofstätter/Spreitzhofer/Taschner, Schulgesetze § 56 SchUG [Stand 15.12.2020, rdb.at] Rz 4). Allerdings gehört die Offenlegung dieser Umstände nicht zu diesen Aufgaben. Diese Offenlegung kann auch nicht als Personalführungsmaßnahme qualifiziert werden, weil sie zur „Gestaltung wirksamer Informationsflüsse und Kommunikationsprozesse“ nicht erforderlich war (vgl. wie oben, Rz 4). So bildet Paragraph 56, Absatz 2, SchUG keine Grundlage für eine Mitteilung solcher Umstände: Zwar hat die Schulleiterin im Rahmen ihrer Leitungsfunktion administrative und verwaltungstechnische Aufgaben zu bewältigen sowie die Schul- und Unterrichtsentwicklung und die Führung und Personalentwicklung zu besorgen vergleiche Hofstätter/Spreitzhofer/Taschner, Schulgesetze Paragraph 56, SchUG [Stand 15.12.2020, rdb.at] Rz 4). Allerdings gehört die Offenlegung dieser Umstände nicht zu diesen Aufgaben. Diese Offenlegung kann auch nicht als Personalführungsmaßnahme qualifiziert werden, weil sie zur „Gestaltung wirksamer Informationsflüsse und Kommunikationsprozesse“ nicht erforderlich war vergleiche wie oben, Rz 4). Anzumerken ist, dass das Datum „Pflegeurlaub“ in dem betreffenden E-Mail wohl kein Gesundheitsdatum darstellt, weil hierbei nicht einmal mittelbar auf die Gesundheit der MB rekurriert wird und somit hieraus auch keine Informationen über den Gesundheitszustand der MB hervorgehen. Deshalb wird dieses Datum als Hintergrundinformation im hier behandelten Zusammenhang erachtet (vgl. dazu zB Martin S. Haase, Der Begriff der "Gesundheitsdaten" nach der Datenschutz-Grundverordnung (DSGVO), InTeR 2022, 94).Anzumerken ist, dass das Datum „Pflegeurlaub“ in dem betreffenden E-Mail wohl kein Gesundheitsdatum darstellt, weil hierbei nicht einmal mittelbar auf die Gesundheit der MB rekurriert wird und somit hieraus auch keine Informationen über den Gesundheitszustand der MB hervorgehen. Deshalb wird dieses Datum als Hintergrundinformation im hier behandelten Zusammenhang erachtet vergleiche dazu zB Martin S. Haase, Der Begriff der "Gesundheitsdaten" nach der Datenschutz-Grundverordnung (DSGVO), InTeR 2022, 94). Somit besteht auch betreffend die Offenlegung der Umstände der Beendigung des Dienstverhältnisses kein Rechtfertigungsgrund. Anders verhält es sich in Bezug auf den Umstand der Mitteilung der erfolgten Beendigung des Dienstverhältnisses mit der MB an sich. Hierin ist eine Personalführungsmaßnahme iSd § 56 Abs. 2 SchUG zu sehen, da diese Mitteilung der Gestaltung wirksamer Informationsflüsse und Kommunikationsprozesse dient und im Hinblick auf die administrative Aufgabenverteilung der BF als Schulleiterin und die damit verbundenen Aufgaben zweckdienlich ist. Insofern ist unter diesem Gesichtspunkt das Vorbringen der BF, wonach die Offenlegung für die Organisation des Schulalltages und der Organisation der administrativen Tätigkeiten erforderlich war, nachvollziehbar. Soweit sich das verfahrensgegenständliche E-Mail lediglich auf den Umstand der erfolgten Beendigung des Dienstverhältnisses bezieht ist daher keine Verletzung im Recht der MB auf Geheimhaltung zu erkennen.Anders verhält es sich in Bezug auf den Umstand der Mitteilung der erfolgten Beendigung des Dienstverhältnisses mit der MB an sich. Hierin ist eine Personalführungsmaßnahme iSd Paragraph 56, Absatz 2, SchUG zu sehen, da diese Mitteilung der Gestaltung wirksamer Informationsflüsse und Kommunikationsprozesse dient und im Hinblick auf die administrative Aufgabenverteilung der BF als Schulleiterin und die damit verbundenen Aufgaben zweckdienlich ist. Insofern ist unter diesem Gesichtspunkt das Vorbringen der BF, wonach die Offenlegung für die Organisation des Schulalltages und der Organisation der administrativen Tätigkeiten erforderlich war, nachvollziehbar. Soweit sich das verfahrensgegenständliche E-Mail lediglich auf den Umstand der erfolgten Beendigung des Dienstverhältnisses bezieht ist daher keine Verletzung im Recht der MB auf Geheimhaltung zu erkennen. Im Ergebnis ist betreffend die Informationsinhalte 4.2.
4. a)und 4.2.
5. b)die Qualifikation der belangten Behörde zu teilen, betreffend 4.2.
6. c)aber davon auszugehen, dass dadurch – soweit lediglich der Umstand der erfolgten Beendigung des Dienstverhältnisses betroffen ist - die BF ihre Geheimhaltungspflicht nicht verletzt hat. Da die belangte Behörde im Spruch lediglich allgemein eine Geheimhaltungspflichtverletzung („durch den rechtsgrundlosen Versand einer E-Mail am 29. November 2021 personenbezogene Daten der Beschwerdeführerin gegenüber Dritten unrechtmäßig offengelegt hat“) festgestellt hat und auf die einzelnen in Beschwerde gezogenen Teile der Information nur in der Begründung einging, war im Sinne einer Maßgabeentscheidung der nähere Informationsgehalt des E-Mails im Spruch zu erfassen, wobei der Beschwerde sodann teilweise Folge zu geben, betreffend die Informationen 4.2.
7. a)und 4.2.
8. b)stattgebend und betreffend die Informationen 4.2.
9. c)– im dargelegten Umfang - abweisend zu entscheiden war. 3.3. Eine mündliche Verhandlung wurde – ohne nähere Begründung - beantragt. Da die Beurteilung der Frage, ob die MB durch das hinsichtlich seines Inhalts unstrittige E-Mail im Grundrecht auf Geheimhaltung verletzt wurde, allein Rechtsfragen aufwirft und diesbezüglich auch keine Erörterungsbedürftigkeit bzw weitere Beweisbedürftigkeit zu erkennen ist, konnte auf eine mündliche Verhandlung verzichtet werden. 3.4. Der Ausspruch der Unzulässigkeit der Revision folgt dem Umstand, dass die rechtliche Beurteilung aufgrund der durch die DSGVO und DSG bestehenden und dargestellten Rechtslage erfolgte und höchstgerichtlich zu klärende Rechtsfragen nicht aufgeworfen wurden. European Case Law IdentifierECLI:AT:BVWG:2023:W274.2259576.1.00