RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum07.02.2023 GeschäftszahlW245 2263552-1 Spruch, W245 2263552-1/20E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

§ 1

DSG, nach Durchführung einer mündlichen Verhandlung, zu Recht erkannt:Das Bundesverwaltungsgericht hat durch den Richter Mag. Bernhard SCHILDBERGER, LL.M. als Vorsitzenden sowie Mag.a Viktoria HAIDINGER als fachkundige Laienrichterin und Mag. Thomas GSCHAAR als fachkundigen Laienrichter über die Beschwerde des römisch 40 vertreten durch Baker McKenzie Rechtsanwälte LLP & Co KG, Schottenring 25, 1010 Wien, gegen den Bescheid der Datenschutzbehörde vom 22.08.2022, Zl. 2022-0.577.930 (DSB-D771.831), betreffend Verletzung im Recht auf Geheimhaltung

Paragraph eins, DSG, nach Durchführung einer mündlichen Verhandlung, zu Recht erkannt: A) Die Beschwerde wird als unbegründet abgewiesen. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.B) Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: Verfahrensgegenstand: Der Beschwerdeführer, das Amt der XXXX Landesregierung hat personenbezogene Daten (Name, Adresse und Sozialversicherungsnummer) von XXXX (in der Folge „die mitbeteiligte Partei“) im Patientenindex (§ 18 GTelG 2012) ermittelt. Anschließend hat der Beschwerdeführer den Impfstatus der mitbeteiligten Partei im zentralen Impfregister (§§ 24c ff GTelG 2012) erhoben. Mit Hilfe dieser Datenverarbeitung wurde festgestellt, dass die mitbeteiligte Partei in XXXX lebte, zumindest 18 Jahre alt war und über keine COVID-Schutzimpfung verfügte. In der Folge übermittelte der Beschwerdeführer einen Brief an die mitbeteiligte Partei. Dieser Brief enthielt Informationen über eine COVID-Schutzimpfung sowie einen vorgeschlagenen Impfort und -termin. Verfahrensgegenständlich wird geprüft, ob der Beschwerdeführer mit seiner Datenverarbeitung das Recht der mitbeteiligten Partei auf Geheimhaltung verletzt hat. Der Beschwerdeführer, das Amt der römisch 40 Landesregierung hat personenbezogene Daten (Name, Adresse und Sozialversicherungsnummer) von römisch 40 (in der Folge „die mitbeteiligte Partei“) im Patientenindex (Paragraph 18, GTelG 2012) ermittelt. Anschließend hat der Beschwerdeführer den Impfstatus der mitbeteiligten Partei im zentralen Impfregister (Paragraphen 24 c, ff GTelG 2012) erhoben. Mit Hilfe dieser Datenverarbeitung wurde festgestellt, dass die mitbeteiligte Partei in römisch 40 lebte, zumindest 18 Jahre alt war und über keine COVID-Schutzimpfung verfügte. In der Folge übermittelte der Beschwerdeführer einen Brief an die mitbeteiligte Partei. Dieser Brief enthielt Informationen über eine COVID-Schutzimpfung sowie einen vorgeschlagenen Impfort und -termin. Verfahrensgegenständlich wird geprüft, ob der Beschwerdeführer mit seiner Datenverarbeitung das Recht der mitbeteiligten Partei auf Geheimhaltung verletzt hat. I. Verfahrensgang:römisch eins. Verfahrensgang: I.1. Mit Eingabe vom 21.12.2021 brachte die mitbeteiligte Partei eine Beschwerde bei der Österreichischen Datenschutzbehörde (in der Folge auch „belangte Behörde“) ein. römisch eins.1. Mit Eingabe vom 21.12.2021 brachte die mitbeteiligte Partei eine Beschwerde bei der Österreichischen Datenschutzbehörde (in der Folge auch „belangte Behörde“) ein. In ihrer Beschwerde führte die mitbeteiligte Partei aus, dass sie vom Beschwerdeführer mit einem Schreiben zu einem Impftermin eingeladen worden sei. Die mitbeteiligte Partei habe den Verdacht, dass der Einladung eine unzulässige Weitergabe und Verarbeitung ihrer besonders geschützten persönlichen Gesundheitsdaten (Art. 5, 6 und 9 DSGVO) vorangegangen sei.

§ 750

ASVG habe nur der Dachverband der Sozialversicherungsträger ein Recht zu einer entsprechenden Datenverarbeitung. Andere Behörden oder Gebietskörperschaften hätten dazu kein Recht. Auch sehe § 21 GTelG 2012 keine Zugriffsberechtigung vor und es liege kein Anwendungsfall nach §§ 8 und 10 DSG vor. In ihrer Beschwerde führte die mitbeteiligte Partei aus, dass sie vom Beschwerdeführer mit einem Schreiben zu einem Impftermin eingeladen worden sei. Die mitbeteiligte Partei habe den Verdacht, dass der Einladung eine unzulässige Weitergabe und Verarbeitung ihrer besonders geschützten persönlichen Gesundheitsdaten (Artikel 5, 6 und 9 DSGVO) vorangegangen sei.

Paragraph 750, ASVG habe nur der Dachverband der Sozialversicherungsträger ein Recht zu einer entsprechenden Datenverarbeitung. Andere Behörden oder Gebietskörperschaften hätten dazu kein Recht. Auch sehe Paragraph 21, GTelG 2012 keine Zugriffsberechtigung vor und es liege kein Anwendungsfall nach Paragraphen 8 und 10 DSG vor. Die mitbeteiligte Partei beantragte bei der belangten Behörde die Feststellung einer Grundrechtsverletzung, die Untersagung der Datenverarbeitung

§ 22Abs.

4 DSG sowie die Verhängung einer Geldbuße

§ 22Abs.

5 DSG.Die mitbeteiligte Partei beantragte bei der belangten Behörde die Feststellung einer Grundrechtsverletzung, die Untersagung der Datenverarbeitung

Paragraph 22, Absatz 4, DSG sowie die Verhängung einer Geldbuße

Paragraph 22, Absatz 5, DSG. I.

1. Nach Aufforderung zur Stellungnahme brachte der Beschwerdeführer in einem verwaltungsbehördlichen (Parallel-)Verfahren vor, dass er in Bezug auf die verfahrensgegenständliche Datenverarbeitung alleiniger Verantwortlicher sei. Die XXXX habe über Auftrag der XXXX , die wiederum im Auftrag des Beschwerdeführers tätig gewesen sei, die Empfänger des Impferinnerungsschreibens dadurch ermittelt, indem sie über den Patientenindex alle Personen erhoben habe, die über eine Adresse in XXXX verfügt hätten und über 18 Jahre alt gewesen seien. Im Anschluss seien alle jene Personen herausgefiltert worden, die über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügt hätten. Der Beschwerdeführer könne die Datenverarbeitung auf Art. 9 Abs. 2 lit. g und i DSGVO iVm § 24d Abs. 2 Z 3 GTelG 2012, § 8 DSG und die gesetzlichen Zuständigkeitsregelungen, wie insbesondere das Reichssanitätsgesetz und das Übergangsgesetzes 1920, stützen.römisch eins.
2. Nach Aufforderung zur Stellungnahme brachte der Beschwerdeführer in einem verwaltungsbehördlichen (Parallel-)Verfahren vor, dass er in Bezug auf die verfahrensgegenständliche Datenverarbeitung alleiniger Verantwortlicher sei. Die römisch 40 habe über Auftrag der römisch 40 , die wiederum im Auftrag des Beschwerdeführers tätig gewesen sei, die Empfänger des Impferinnerungsschreibens dadurch ermittelt, indem sie über den Patientenindex alle Personen erhoben habe, die über eine Adresse in römisch 40 verfügt hätten und über 18 Jahre alt gewesen seien. Im Anschluss seien alle jene Personen herausgefiltert worden, die über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügt hätten. Der Beschwerdeführer könne die Datenverarbeitung auf Artikel 9, Absatz 2, Litera g und i DSGVO in Verbindung mit Paragraph 24 d, Absatz 2, Ziffer 3, GTelG 2012, Paragraph 8, DSG und die gesetzlichen Zuständigkeitsregelungen, wie insbesondere das Reichssanitätsgesetz und das Übergangsgesetzes 1920, stützen. I.
3. In der Folge übermittelte die belangte Behörde die Stellungnahme des Beschwerdeführers (siehe Punkt I.2) der mitbeteiligten Partei zur Stellungnahme. Im Rahmen des Parteiengehörs gab die mitbeteiligte Partei keine Replik zur Stellungnahme des Beschwerdeführers ab.römisch eins.
4. In der Folge übermittelte die belangte Behörde die Stellungnahme des Beschwerdeführers (siehe Punkt römisch eins.2) der mitbeteiligten Partei zur Stellungnahme. Im Rahmen des Parteiengehörs gab die mitbeteiligte Partei keine Replik zur Stellungnahme des Beschwerdeführers ab. I.
5. Mit dem im Spruch genannten Bescheid gab die belangte Behörde der Beschwerde der mitbeteiligten Partei teilweise statt und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem er unrechtmäßig auf ihre Daten im zentralen Impfregister und im Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet habe (Spruchpunkt 1.). Den Antrag der mitbeteiligten Partei, die Datenverarbeitung

§ 22Abs.

4 DSG zu untersagen, wies die belangte Behörde ab (Spruchpunkt 2.) und den Antrag der mitbeteiligten Partei, über den Beschwerdeführer eine Geldbuße zu verhängen, wies sie zurück (Spruchpunkt 3.).römisch eins.4. Mit dem im Spruch genannten Bescheid gab die belangte Behörde der Beschwerde der mitbeteiligten Partei teilweise statt und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem er unrechtmäßig auf ihre Daten im zentralen Impfregister und im Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet habe (Spruchpunkt 1.). Den Antrag der mitbeteiligten Partei, die Datenverarbeitung

Paragraph 22, Absatz 4, DSG zu untersagen, wies die belangte Behörde ab (Spruchpunkt 2.) und den Antrag der mitbeteiligten Partei, über den Beschwerdeführer eine Geldbuße zu verhängen, wies sie zurück (Spruchpunkt 3.). Begründend führte die belangte Behörde zu Spruchpunkt 1. aus, dass der Beschwerdeführer ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der mitbeteiligten Partei im zentralen Impfregister zugegriffen habe. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. Entgegen der Ansicht des Beschwerdeführers würden § 24d Abs. 2 Z 3 GTelG 2012, § 8 DSG sowie die gesetzlichen Zuständigkeitsregelungen keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des § 24d Abs. 2 Z 3 GTelG 2012 setze nämlich nach § 24d Abs. 1 Z 4 GTelG 2012 eine spezifische Zugriffsberechtigung

§ 24fAbs. 4 GTel

G 2012 voraus, über die der Beschwerdeführer nicht verfügt habe. Begründend führte die belangte Behörde zu Spruchpunkt 1. aus, dass der Beschwerdeführer ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der mitbeteiligten Partei im zentralen Impfregister zugegriffen habe. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. Entgegen der Ansicht des Beschwerdeführers würden Paragraph 24 d, Absatz 2, Ziffer 3, GTelG 2012, Paragraph 8, DSG sowie die gesetzlichen Zuständigkeitsregelungen keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des Paragraph 24 d, Absatz 2, Ziffer 3, GTelG 2012 setze nämlich nach Paragraph 24 d, Absatz eins, Ziffer 4, GTelG 2012 eine spezifische Zugriffsberechtigung

Paragraph 24 f, Absatz 4, GTelG 2012 voraus, über die der Beschwerdeführer nicht verfügt habe. Der Antrag auf Untersagung der Datenverarbeitung sei mangels unmittelbarer Gefährdung ab- und der Antrag auf Verhängung einer Geldbuße mangels subjektiven Rechts zurückzuweisen gewesen. Der Bescheid wurde dem Beschwerdeführer am 22.08.2022 zugestellt. I.

1. Gegen den Bescheid der belangten Behörde richtete sich die am 19.09.2022 fristgerecht erhobene Beschwerde. In der Beschwerde beantragte der Beschwerdeführer, den bekämpften Bescheid dahingehend abzuändern, dass die verfahrenseinleitende datenschutzrechtliche Beschwerde zur Gänze abgewiesen werde. Begründend führte er – sinngemäß und soweit nicht bereits im verwaltungsbehördlichen Verfahren vorgebracht – aus, dass er in der pandemiebedingten Krisenzeit („harter Lockdown“) vom XXXX Landeshauptmann angewiesen worden sei, ein Impferinnerungsschreiben an die Einwohner XXXX in Entsprechung des Impfplans zu senden. Das Verwaltungshandeln des Beschwerdeführers sei daher dem Landeshauptmann zuzurechnen. Jedoch würden die datenschutzrechtliche Verantwortlichkeit und die Zurechnung des Verwaltungshandelns in diesem Fall – zulässigerweise – auseinanderfallen.römisch eins.
2. Gegen den Bescheid der belangten Behörde richtete sich die am 19.09.2022 fristgerecht erhobene Beschwerde. In der Beschwerde beantragte der Beschwerdeführer, den bekämpften Bescheid dahingehend abzuändern, dass die verfahrenseinleitende datenschutzrechtliche Beschwerde zur Gänze abgewiesen werde. Begründend führte er – sinngemäß und soweit nicht bereits im verwaltungsbehördlichen Verfahren vorgebracht – aus, dass er in der pandemiebedingten Krisenzeit („harter Lockdown“) vom römisch 40 Landeshauptmann angewiesen worden sei, ein Impferinnerungsschreiben an die Einwohner römisch 40 in Entsprechung des Impfplans zu senden. Das Verwaltungshandeln des Beschwerdeführers sei daher dem Landeshauptmann zuzurechnen. Jedoch würden die datenschutzrechtliche Verantwortlichkeit und die Zurechnung des Verwaltungshandelns in diesem Fall – zulässigerweise – auseinanderfallen. Der Landeshauptmann verfüge für den hier (vorwiegend) relevanten und zulässigen Zweck des Krisenmanagements nach § 24d Abs. 2 Z 5 GTelG 2012

§ 24fAbs. 4 Z 6 lit. a GTel

G 2012 über eine spezifische Zugriffsberechtigung, woraus sich die datenschutzrechtliche Zulässigkeit der Datenverarbeitung durch den Beschwerdeführer ergebe.Der Landeshauptmann verfüge für den hier (vorwiegend) relevanten und zulässigen Zweck des Krisenmanagements nach Paragraph 24 d, Absatz 2, Ziffer 5, GTelG 2012

Paragraph 24 f, Absatz 4, Ziffer 6, Litera a, GTelG 2012 über eine spezifische Zugriffsberechtigung, woraus sich die datenschutzrechtliche Zulässigkeit der Datenverarbeitung durch den Beschwerdeführer ergebe. Der Beschwerdeführer könne sich darüber hinaus auf den Sondertatbestand des § 24d Abs. 2 Z 3 GTelG 2012 für Impferinnerungen stützen. Auch wenn für diesen Tatbestand niemandem eine spezifische Zugriffberechtigung nach § 24f Abs. 4 GTelG 2012 zukomme, sei das Fehlen einer Zugriffsberechtigung nicht als absolutes Verbot zu sehen. Die Datenverarbeitung sei darüber hinaus auch durch § 8 DSG gerechtfertigt.Der Beschwerdeführer könne sich darüber hinaus auf den Sondertatbestand des Paragraph 24 d, Absatz 2, Ziffer 3, GTelG 2012 für Impferinnerungen stützen. Auch wenn für diesen Tatbestand niemandem eine spezifische Zugriffberechtigung nach Paragraph 24 f, Absatz 4, GTelG 2012 zukomme, sei das Fehlen einer Zugriffsberechtigung nicht als absolutes Verbot zu sehen. Die Datenverarbeitung sei darüber hinaus auch durch Paragraph 8, DSG gerechtfertigt. Zur Datenverarbeitung führte der Beschwerdeführer aus, dass er über die XXXX als Auftragsverarbeiterin bzw. die XXXX als Sub-Auftragsverarbeiterin auf die Daten der betroffenen Person im zentralen Impfregister zugegriffen habe und diese Daten mit den Daten der betroffenen Person im Patientenindex zur Ermittlung der aktuellen Wohnadresse abgeglichen habe. Zur Datenverarbeitung führte der Beschwerdeführer aus, dass er über die römisch 40 als Auftragsverarbeiterin bzw. die römisch 40 als Sub-Auftragsverarbeiterin auf die Daten der betroffenen Person im zentralen Impfregister zugegriffen habe und diese Daten mit den Daten der betroffenen Person im Patientenindex zur Ermittlung der aktuellen Wohnadresse abgeglichen habe. I.

1. Im Zuge der Aktenvorlage an das Bundesverwaltungsgericht (in der Folge auch „BVwG“) gab die belangte Behörde eine Stellungnahme zur Bescheidbeschwerde ab. Darin führte sie aus, dass die Ausführungen des Beschwerdeführers, dass nicht er, sondern der Landeshauptmann von XXXX der Verantwortliche des Impfschreibens gewesen wäre, mit dem Layout des Impferinnerungsschreibens, mit seinem Vorbringen im verwaltungsbehördlichen Verfahren (siehe Punkt I.2) und der von ihm veröffentlichten Datenschutzerklärung nicht vereinbar seien.römisch eins.
2. Im Zuge der Aktenvorlage an das Bundesverwaltungsgericht (in der Folge auch „BVwG“) gab die belangte Behörde eine Stellungnahme zur Bescheidbeschwerde ab. Darin führte sie aus, dass die Ausführungen des Beschwerdeführers, dass nicht er, sondern der Landeshauptmann von römisch 40 der Verantwortliche des Impfschreibens gewesen wäre, mit dem Layout des Impferinnerungsschreibens, mit seinem Vorbringen im verwaltungsbehördlichen Verfahren (siehe Punkt römisch eins.2) und der von ihm veröffentlichten Datenschutzerklärung nicht vereinbar seien. Aus § 24d Abs. 2 Z 5 GTelG 2012 sei nicht ableitbar, dass der Landeshauptmann berechtigt gewesen sei, zum Zweck des Versands des verfahrensgegenständlichen Impferinnerungsschreibens auf die Daten des zentralen Impfregisters zuzugreifen. Die Bestimmung sei weder ausreichend präzise noch hinreichend konkret. Aus Paragraph 24 d, Absatz 2, Ziffer 5, GTelG 2012 sei nicht ableitbar, dass der Landeshauptmann berechtigt gewesen sei, zum Zweck des Versands des verfahrensgegenständlichen Impferinnerungsschreibens auf die Daten des zentralen Impfregisters zuzugreifen. Die Bestimmung sei weder ausreichend präzise noch hinreichend konkret. Würde man der Argumentation des Beschwerdeführers folgen, wären die Einführung des § 750 ASVG durch BGBl. I Nr. 35/2021 sowie dessen Novellierung durch BGBl. I Nr. 197/2021 und die Einführung des § 4g Epidemiegesetzes durch BGBl. I Nr. 89/2022, die präzise darlegen, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt sei, überhaupt nicht notwendig gewesen. Es könne dem Gesetzgeber in diesem Zusammenhang nicht unterstellt werden, Sinnloses – weil redundant – regeln zu wollen.Würde man der Argumentation des Beschwerdeführers folgen, wären die Einführung des Paragraph 750, ASVG durch Bundesgesetzblatt Teil eins, Nr. 35 aus 2021, sowie dessen Novellierung durch Bundesgesetzblatt Teil eins, Nr. 197 aus 2021, und die Einführung des Paragraph 4 g, Epidemiegesetzes durch Bundesgesetzblatt Teil eins, Nr. 89 aus 2022,, die präzise darlegen, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt sei, überhaupt nicht notwendig gewesen. Es könne dem Gesetzgeber in diesem Zusammenhang nicht unterstellt werden, Sinnloses – weil redundant – regeln zu wollen. Das Vorbringen des Beschwerdeführers zur einschränkenden Interpretation des § 24d GTelG 2012, wonach nicht jedenfalls eine spezifische Zugriffsberechtigung bestehen müsse, sei auf Grund des klaren Gesetzeswortlauts nicht mit dem Legalitätsprinzip des Art. 18 Abs. 2 B-VG vereinbar.Das Vorbringen des Beschwerdeführers zur einschränkenden Interpretation des Paragraph 24 d, GTelG 2012, wonach nicht jedenfalls eine spezifische Zugriffsberechtigung bestehen müsse, sei auf Grund des klaren Gesetzeswortlauts nicht mit dem Legalitätsprinzip des Artikel 18, Absatz 2, B-VG vereinbar. Schließlich verwies die belangte Behörde auf ein ihr – in einem anderen Verfahren – vorgelegtes Rechtsgutachten, das im Ergebnis belege, dass die durchgeführte Datenverarbeitung auch nicht, wie vom Beschwerdeführer vermeint, auf andere gesetzliche Bestimmungen gestützt werden könne. I.
3. Im Zuge der Anberaumung einer mündlichen Verhandlung wurde dem Beschwerdeführer die Möglichkeit eingeräumt, eine Replik zur Stellungnahme der belangten Behörde (siehe Punkt I.6) abzugeben. Dazu langte am 05.01.2023 eine Stellungnahme des Beschwerdeführers ein. römisch eins.
4. Im Zuge der Anberaumung einer mündlichen Verhandlung wurde dem Beschwerdeführer die Möglichkeit eingeräumt, eine Replik zur Stellungnahme der belangten Behörde (siehe Punkt römisch eins.6) abzugeben. Dazu langte am 05.01.2023 eine Stellungnahme des Beschwerdeführers ein. I.
5. Am 10.01.2023 führte das BVwG eine öffentliche mündliche Verhandlung durch. Am 17.01.2023 reichte der Beschwerdeführer das Angebot „Unterstützung bei Abwicklung des ‚Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland XXXX ‘“ nach. römisch eins.
6. Am 10.01.2023 führte das BVwG eine öffentliche mündliche Verhandlung durch. Am 17.01.2023 reichte der Beschwerdeführer das Angebot „Unterstützung bei Abwicklung des ‚Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland römisch 40 ‘“ nach. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen: II.
7. Feststellungen:römisch zwei.
8. Feststellungen: Der entscheidungsrelevante Sachverhalt steht fest. II.1.
9. Zum Verfahrensgang: römisch zwei.1.
10. Zum Verfahrensgang: Der unter Punkt I dargestellte Verfahrensgang wird festgestellt und der Entscheidung zu Grunde gelegt.Der unter Punkt römisch eins dargestellte Verfahrensgang wird festgestellt und der Entscheidung zu Grunde gelegt. II.1.
11. Zum Impferinnerungsschreiben des Beschwerdeführers an die mitbeteiligte Partei:römisch zwei.1.
12. Zum Impferinnerungsschreiben des Beschwerdeführers an die mitbeteiligte Partei: „[Wappen] Amt der XXXX LandesregierungAmt der römisch 40 Landesregierung XXXX [
13. Optionsfeld: Name und Adresse] römisch 40 [
14. Optionsfeld: Name und Adresse] Ihr persönlicher Termin für die COVID-Schutzimpfung ist da! Die COVID-Schutzimpfung ist derzeit die wichtigste Maßnahme, um die Pandemie zu beherrschen und ein weitgehend normales Leben wieder zu ermöglichen. Das Europäische Gremium für Gesundheit sowie das Nationale Impfgremium (NIG) empfehlen in diesem Zusammenhang ausdrücklich die COVID-Schutzimpfung. Warum ist diese Impfung so wichtig? Durch die Impfung sinkt das persönliche Risiko, bei einer Infektion einen schweren Erkrankungsverlauf zu erleiden und somit auch das Risiko eines damit verbundenen Aufenthalts auf einer Intensivstation bzw. zu versterben. Auch die Gefahr an Long-COVID zu erkranken (das ist auch bei einem leichten Verlauf durchaus möglich) wird stark reduziert. Sie schützen mit der Impfung aufgrund des geringeren Erkrankungsrisikos nicht nur sich persönlich, sondern auch Ihre Mitmenschen. Mit fortschreitender Dauer der Pandemie werden in ganz Österreich – zum Schutz aller – immer mehr Bereiche auf die 2G-Regel (Zutritt nur für vollständig geimpfte Personen oder Genesene) umgestellt werden. Zudem wird mit Februar 2022 die Impfpflicht bundesweit eingeführt. Für Sie wurde ein Termin für eine COVID-Schutzimpfung reserviert: [
15. Optionsfeld: Impftermin und Impfort] Wir laden Sie ein, von diesem Angebot Gebrauch zu machen. Um etwaige Wartezeiten vor Ort zu vermeiden, können Sie statt des oben reservierten Termins auch einen Alternativtermin online in einem Impfzentrum oder bei niedergelassenen ÄrztInnen unter XXXX buchen. Dies gilt auch, wenn Sie akut erkrankt sind oder z.B. aufgrund einer anderen Therapie diesen Termin nicht wahrnehmen können. Im Falle, dass Sie sich inzwischen haben impfen lassen, wollen wir uns bei Ihnen dafür ganz herzlich bedanken!Um etwaige Wartezeiten vor Ort zu vermeiden, können Sie statt des oben reservierten Termins auch einen Alternativtermin online in einem Impfzentrum oder bei niedergelassenen ÄrztInnen unter römisch 40 buchen. Dies gilt auch, wenn Sie akut erkrankt sind oder z.B. aufgrund einer anderen Therapie diesen Termin nicht wahrnehmen können. Im Falle, dass Sie sich inzwischen haben impfen lassen, wollen wir uns bei Ihnen dafür ganz herzlich bedanken! Sollte Ihnen bekannt sein, dass für Sie aus medizinischen Gründen (beispielsweise Gegenanzeigen) eine COVID-Impfung nicht möglich ist, so erachten Sie das vorliegende Schreiben bitte als gegenstandslos. Wenn Sie unsicher sind, ob Sie gegen COVID geimpft werden können, so empfehlen wir zur Abklärung ein ärztliches Aufklärungs-/Beratungsgespräch zu nutzen. Bei Fragen zur COVID-Impfung in XXXX (beispielsweise Anmeldung), steht Ihnen auch die Hotline des Landes unter XXXX zur Verfügung. Bringen Sie zur Impfung bitte Ihren Lichtbildausweis und – wenn vorhanden – Ihre e-card mit.Sollte Ihnen bekannt sein, dass für Sie aus medizinischen Gründen (beispielsweise Gegenanzeigen) eine COVID-Impfung nicht möglich ist, so erachten Sie das vorliegende Schreiben bitte als gegenstandslos. Wenn Sie unsicher sind, ob Sie gegen COVID geimpft werden können, so empfehlen wir zur Abklärung ein ärztliches Aufklärungs-/Beratungsgespräch zu nutzen. Bei Fragen zur COVID-Impfung in römisch 40 (beispielsweise Anmeldung), steht Ihnen auch die Hotline des Landes unter römisch 40 zur Verfügung. Bringen Sie zur Impfung bitte Ihren Lichtbildausweis und – wenn vorhanden – Ihre e-card mit. Danke! XXXX impft. Gegen Corona. Gemeinsam.Danke! römisch 40 impft. Gegen Corona. Gemeinsam. in Kooperation mit XXXX römisch 40 XXXX römisch 40 [Beilage Information zu „Impfmythen“]“. Im
16. Optionsfeld wurden Name und Adresse der mitbeteiligten Partei eingesetzt. Im
17. Optionsfeld wurden ein Impftermin und Impfort für die mitbeteiligte Partei eingefügt. Der Impfort wurde aufgrund der örtlichen Nähe des Wohnorts der mitbeteiligten Partei und der Kapazitäten der Impfstelle vom Beschwerdeführer zugewiesen. Es erfolgte eine Verknüpfung des Wohnortes der mitbeteiligten Person mit einem Impfort. II.1.
18. Zur Erhebung der Adressaten für die Impferinnerungsschreiben:römisch zwei.1.
19. Zur Erhebung der Adressaten für die Impferinnerungsschreiben: Die mitbeteiligte Partei wurde aufgrund folgender Maßnahmen des Beschwerdeführers zum Empfänger eines Impferinnerungsschreibens ausgewählt:
20. Mit der Ermittlung der Adressaten des Schreibens beauftragte der Beschwerdeführer die XXXX , die den Auftrag an die XXXX weitergab.
21. Mit der Ermittlung der Adressaten des Schreibens beauftragte der Beschwerdeführer die römisch 40 , die den Auftrag an die römisch 40 weitergab.
22. In Erfüllung des Auftrags ermittelte die XXXX am 25.11.2021 zunächst sämtliche Personen aus dem Patientenindex, die über 18 Jahre alt waren und eine Adresse in XXXX angegeben hatten.
23. In Erfüllung des Auftrags ermittelte die römisch 40 am 25.11.2021 zunächst sämtliche Personen aus dem Patientenindex, die über 18 Jahre alt waren und eine Adresse in römisch 40 angegeben hatten.
24. Im Anschluss filterte die XXXX die Personen aus, die im zentralen Impfverzeichnis über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügten.
25. Im Anschluss filterte die römisch 40 die Personen aus, die im zentralen Impfverzeichnis über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügten.
26. Die Namen und Adressen der verbleibenden Personen übermittelte die XXXX am 25.11.2021 an den Beschwerdeführer.
27. Die Namen und Adressen der verbleibenden Personen übermittelte die römisch 40 am 25.11.2021 an den Beschwerdeführer. II.1.
28. Zur Mitwirkung bzw. zur Zustimmung der mitbeteiligten Partei an der Verarbeitung der personenbezogenen Daten:römisch zwei.1.
29. Zur Mitwirkung bzw. zur Zustimmung der mitbeteiligten Partei an der Verarbeitung der personenbezogenen Daten: Die mitbeteiligte Partei hat in keiner Phase der Verarbeitung ihrer personenbezogenen Daten (Zugriff auf den Patientenindex, Zugriff auf das zentrale Impfregister sowie Bearbeitung der Optionsfelder im Impferinnerungsschreiben) mitgewirkt bzw. hierfür eine Zustimmung erteilt. II.1.
30. Zur Einflussnahme auf die Verarbeitung der personenbezogenen Daten:römisch zwei.1.
31. Zur Einflussnahme auf die Verarbeitung der personenbezogenen Daten: Hinsichtlich Festlegung des Zwecks und der Mittel der verfahrensgegenständlichen Verarbeitung wurde vom Beschwerdeführer ein Vorschlag ausgearbeitet, welcher in der Folge vom Landeshauptmann – mit einer kurzen Anweisung – freigegeben wurde. Der Landesamtsdirektor des Amtes der XXXX Landesregierung hat die Voraussetzungen für das Impferinnerungsschreiben geklärt und entsprechende Maßnahmen im Land XXXX veranlasst. In diesem Zusammenhang hat der Landesamtsdirektor an Sitzungen mit anderen Beteiligten (Vertreter von anderen Bundesländern, XXXX ) teilgenommen. Der Landesamtsdirektor des Amtes der römisch 40 Landesregierung hat die Voraussetzungen für das Impferinnerungsschreiben geklärt und entsprechende Maßnahmen im Land römisch 40 veranlasst. In diesem Zusammenhang hat der Landesamtsdirektor an Sitzungen mit anderen Beteiligten (Vertreter von anderen Bundesländern, römisch 40 ) teilgenommen. Der Landesamtsdirektor des Amtes der XXXX Landesregierung war von Beginn der Pandemie bis Ende 2022 Leiter der Landes-Einsatzleitung. Aufgabe dieser Einsatzleitung war es, Maßnahmen im Land XXXX zur Bekämpfung der Pandemie zu setzen. Zur Bewältigung der operativen Anforderungen der Pandemie wurde im Amt der XXXX Landesregierung auch eine eigene Organisationsstruktur implementiert. Der Landesamtsdirektor des Amtes der römisch 40 Landesregierung war von Beginn der Pandemie bis Ende 2022 Leiter der Landes-Einsatzleitung. Aufgabe dieser Einsatzleitung war es, Maßnahmen im Land römisch 40 zur Bekämpfung der Pandemie zu setzen. Zur Bewältigung der operativen Anforderungen der Pandemie wurde im Amt der römisch 40 Landesregierung auch eine eigene Organisationsstruktur implementiert. Der Prozess (Ablauf) für das Impferinnerungsschreiben an Bürger des Landes XXXX wurde vom Beschwerdeführer ausgearbeitet.Der Prozess (Ablauf) für das Impferinnerungsschreiben an Bürger des Landes römisch 40 wurde vom Beschwerdeführer ausgearbeitet. Der Beschwerdeführer (medizinischer Stab) hat den Vorschlag ausgearbeitet, dass allen Personen in XXXX , die zumindest 18 Jahre alt waren, ein Impferinnerungsschreiben übermittelt werden sollte. Der Beschwerdeführer (medizinischer Stab) hat den Vorschlag ausgearbeitet, dass allen Personen in römisch 40 , die zumindest 18 Jahre alt waren, ein Impferinnerungsschreiben übermittelt werden sollte. Das Impferinnerungsschreiben (siehe Punkt II.1.2) wurde vom Beschwerdeführer (Abteilung XXXX ) konzipiert.Das Impferinnerungsschreiben (siehe Punkt römisch zwei.1.2) wurde vom Beschwerdeführer (Abteilung römisch 40 ) konzipiert. Die Verknüpfung des Wohnortes der mitbeteiligten Partei mit dem Impfort beruht auf einem Vorschlag des Beschwerdeführers und wurde in der Folge von ihm technisch umgesetzt. Die Beauftragung der XXXX erfolgte durch den Beschwerdeführer (für das Land XXXX , vertreten durch den Beschwerdeführer, dieser vertreten durch XXXX Abteilung XXXX ) am 19.11.
32. Auf dieser Grundlage erfolgte die Erhebung und Übermittlung der Adressaten an den Beschwerdeführer (siehe Punkt II.1.3). Die Beauftragung der römisch 40 erfolgte durch den Beschwerdeführer (für das Land römisch 40 , vertreten durch den Beschwerdeführer, dieser vertreten durch römisch 40 Abteilung römisch 40 ) am 19.11.
33. Auf dieser Grundlage erfolgte die Erhebung und Übermittlung der Adressaten an den Beschwerdeführer (siehe Punkt römisch zwei.1.3). Der Landeshauptmann nahm an den koordinierenden Besprechungen mit der XXXX nicht teil. Der Landeshauptmann nahm an den koordinierenden Besprechungen mit der römisch 40 nicht teil. Die Organisationen XXXX und XXXX haben die personenbezogenen Daten freigegeben.Die Organisationen römisch 40 und römisch 40 haben die personenbezogenen Daten freigegeben. Der Beschwerdeführer deklarierte sich mehrmals als Verantwortlicher der Verarbeitung der personenbezogenen Daten. II.1.
34. Zur Beauftragung der XXXX :römisch zwei.1.
35. Zur Beauftragung der römisch 40 : Mit Beauftragung am 19.11.2021 wurde die XXXX für den Beschwerdeführer als Auftragsverarbeiterin

Art. 4Z 8 DSGVO tätig.

Mit Beauftragung am 19.11.2021 wurde die römisch 40 für den Beschwerdeführer als Auftragsverarbeiterin

Artikel 4, Ziffer 8, DSGVO tätig.

Die XXXX hat sich gegenüber dem Beschwerdeführer verpflichtet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten. Die römisch 40 hat sich gegenüber dem Beschwerdeführer verpflichtet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten. Die XXXX hat die personenbezogen Daten (siehe dazu Punkt II.1.3) ausschließlich im Rahmen des Auftrages des Beschwerdeführers verarbeitet.Die römisch 40 hat die personenbezogen Daten (siehe dazu Punkt römisch zwei.1.3) ausschließlich im Rahmen des Auftrages des Beschwerdeführers verarbeitet. II.1.7. Zu den Rahmenbedingungen, die zum Impferinnerungsschreiben geführt haben:römisch zwei.1.7. Zu den Rahmenbedingungen, die zum Impferinnerungsschreiben geführt haben: Im Zeitraum 25.11.2021 bis zum 06.12.2021 galt

der am 21.11.2021 erlassenen und am 01.12.2021 novellierten 5. COVID-19-Notmaßnahmenverordnung, BGBl. II 475/2021 idF BGBl. II 511/2021, ein „harter Lockdown“.Im Zeitraum 25.11.2021 bis zum 06.12.2021 galt

der am 21.11.2021 erlassenen und am 01.12.2021 novellierten

1. COVID-19-Notmaßnahmenverordnung, Bundesgesetzblatt Teil 2, 475 aus 2021, in der Fassung Bundesgesetzblatt Teil 2, 511 aus 2021,, ein „harter Lockdown“. Im November 2021 wurden mit österreichweit 327.869 Infektionen die seit Beginn der Pandemie höchsten Neuinfektionszahlen registriert. Im November 2021 gab es im Land XXXX 1.400 bis 1.600 Fälle pro Tag. Das Land XXXX hatte im Österreichvergleich keine gute Impfquote. Mit einem Impferinnerungsschreiben sollten ungeimpfte Bürger im Land XXXX über die Möglichkeit einer Impfung informiert werden und sollte die Zahl der Behandlungen von Infizierten mit schweren Verläufen in Krankenhäusern reduziert werden. Ferner stand eine „Omikron-Welle“ im Raum, deren Auswirkungen man noch nicht abschätzen konnte.Im November 2021 gab es im Land römisch 40 1.400 bis 1.600 Fälle pro Tag. Das Land römisch 40 hatte im Österreichvergleich keine gute Impfquote. Mit einem Impferinnerungsschreiben sollten ungeimpfte Bürger im Land römisch 40 über die Möglichkeit einer Impfung informiert werden und sollte die Zahl der Behandlungen von Infizierten mit schweren Verläufen in Krankenhäusern reduziert werden. Ferner stand eine „Omikron-Welle“ im Raum, deren Auswirkungen man noch nicht abschätzen konnte. Der Beschwerdeführer verfügte über keine quantifizierbare, dokumentierte Erwartungshaltung darüber, wie viele ungeimpfte Personen sich aufgrund des Impferinnerungsschreiben impfen lassen würden. II.
2. Beweiswürdigung:römisch zwei.
3. Beweiswürdigung: Beweis wurde erhoben durch Einsicht in den Verwaltungsakt der belangten Behörde sowie in den Gerichtsakt des BVwG. II.2.
4. Zum Verfahrensgang: römisch zwei.2.
5. Zum Verfahrensgang: Der oben angeführte Verfahrensgang ergibt sich aus dem unbedenklichen und unzweifelhaften Akteninhalt des vorgelegten Verwaltungsaktes der belangten Behörde und des Gerichtsaktes des BVwG. II.2.
6. Zum Impferinnerungsschreiben des Beschwerdeführers an die mitbeteiligte Partei:römisch zwei.2.
7. Zum Impferinnerungsschreiben des Beschwerdeführers an die mitbeteiligte Partei: Diesbezügliche Feststellungen ergeben sich zweifelsfrei aus dem Impfschreiben an die mitbeteiligte Partei, welches sie der Beschwerde an die belangte Behörde beilegte sowie aus der Beilage zur Stellungnahme des Beschwerdeführers vom 31.01.
8. Zum Impfort ist anzumerken, dass der Beschwerdeführer im Vorfeld – vor Versendung des Impferinnerungsschreibens – unter Berücksichtigung der Kapazitäten einer Impfstelle naheliegende Orte zugewiesen hat. Damit wurde sichergestellt, dass man zum vorgeschlagenen Impftermin an der jeweiligen Impfstelle über ausreichende Kapazitäten (wie Impfstoffe) verfügte (Verhandlungsniederschrift vom 10.01.2023, Seite 20). Sohin konnte festgestellt werden, dass der mitbeteiligten Partei ein Impfort unter Berücksichtigung der örtlichen Nähe ihres Wohnortes und der Kapazitäten einer Impfstelle vom Beschwerdeführer zugewiesen wurde. II.2.
9. Zur Erhebung der Adressaten für die Impferinnerungsschreiben:römisch zwei.2.
10. Zur Erhebung der Adressaten für die Impferinnerungsschreiben: Die dahingehenden Feststellungen ergeben sich zweifelsfrei aus der Beilage zur Stellungnahme des Beschwerdeführers vom 31.01.2022 sowie aus den glaubhaften Erklärungen von XXXX und XXXX in der Beschwerdeverhandlung (Verhandlungsniederschrift vom 10.01.2023, Seite 11 und 18). Die dahingehenden Feststellungen ergeben sich zweifelsfrei aus der Beilage zur Stellungnahme des Beschwerdeführers vom 31.01.2022 sowie aus den glaubhaften Erklärungen von römisch 40 und römisch 40 in der Beschwerdeverhandlung (Verhandlungsniederschrift vom 10.01.2023, Seite 11 und 18). II.2.
11. Zur Mitwirkung bzw. zur Zustimmung der mitbeteiligten Partei an der Verarbeitung der personenbezogenen Daten:römisch zwei.2.
12. Zur Mitwirkung bzw. zur Zustimmung der mitbeteiligten Partei an der Verarbeitung der personenbezogenen Daten: Diesbezügliche Feststellungen ergeben sich zweifelsfrei aus den Ausführungen des Beschwerdeführers (siehe Beilage zur Stellungnahme des Beschwerdeführers vom 31.01.2022) sowie aus den glaubhaften Erklärungen von XXXX und XXXX in der Beschwerdeverhandlung (zur Erhebung der Adressdaten siehe Verhandlungsniederschrift vom 10.01.2023, Seite 11 und 18 und zur Bearbeitung der Optionsfelder für das Impferinnerungsschreiben siehe Verhandlungsniederschrift vom 10.01.2023, Seite 20). Aus diesen Erklärungen ergibt sich eindeutig, dass die mitbeteiligte Partei nie an diesen Verarbeitungsschritten mitgewirkt hat bzw. dass hierfür vom Beschwerdeführer vorher in keiner Phase eine Zustimmung der mitbeteiligten Partei eingeholt wurde. Diese Erwägungen wurden auch von XXXX in der Beschwerdeverhandlung belegt (Verhandlungsniederschrift vom 10.01.2023, Seite 17).Diesbezügliche Feststellungen ergeben sich zweifelsfrei aus den Ausführungen des Beschwerdeführers (siehe Beilage zur Stellungnahme des Beschwerdeführers vom 31.01.2022) sowie aus den glaubhaften Erklärungen von römisch 40 und römisch 40 in der Beschwerdeverhandlung (zur Erhebung der Adressdaten siehe Verhandlungsniederschrift vom 10.01.2023, Seite 11 und 18 und zur Bearbeitung der Optionsfelder für das Impferinnerungsschreiben siehe Verhandlungsniederschrift vom 10.01.2023, Seite 20). Aus diesen Erklärungen ergibt sich eindeutig, dass die mitbeteiligte Partei nie an diesen Verarbeitungsschritten mitgewirkt hat bzw. dass hierfür vom Beschwerdeführer vorher in keiner Phase eine Zustimmung der mitbeteiligten Partei eingeholt wurde. Diese Erwägungen wurden auch von römisch 40 in der Beschwerdeverhandlung belegt (Verhandlungsniederschrift vom 10.01.2023, Seite 17). II.2.
13. Zur Einflussnahme auf die Verarbeitung der personenbezogenen Daten:römisch zwei.2.
14. Zur Einflussnahme auf die Verarbeitung der personenbezogenen Daten: Die dahingehenden Feststellungen ergeben sich zweifelsfrei aus den glaubhaften Angaben von XXXX und XXXX in der Beschwerdeverhandlung (Verhandlungsniederschrift vom 10.01.2023, Seite 8, 15 f und 20 f) sowie aus dem unterfertigten Angebot „Unterstützung bei Abwicklung des ‚Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland XXXX ‘“ und der Stellungnahme des Beschwerdeführers vom 05.01.2023 und der dazugehörigen Beilage ./3.Die dahingehenden Feststellungen ergeben sich zweifelsfrei aus den glaubhaften Angaben von römisch 40 und römisch 40 in der Beschwerdeverhandlung (Verhandlungsniederschrift vom 10.01.2023, Seite 8, 15 f und 20 f) sowie aus dem unterfertigten Angebot „Unterstützung bei Abwicklung des ‚Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland römisch 40 ‘“ und der Stellungnahme des Beschwerdeführers vom 05.01.2023 und der dazugehörigen Beilage ./
15. Die abschließende Feststellung, dass sich der Beschwerdeführer mehrmals als Verantwortlicher deklariert hat, ergibt sich aus seiner Datenschutzerklärung (siehe Beilage zur Stellungnahme des Beschwerdeführers vom 31.01.2022) und aus den Eingaben des Beschwerdeführers im verwaltungsbehördlichen und verwaltungsgerichtlichen Verfahren (siehe Beantwortung der Fragen der Datenschutzbehörde zur Stellungnahme vom 31.01.2022, Bescheidbeschwerde des Beschwerdeführers sowie Stellungnahme des Beschwerdeführers vom 05.01.2023). II.2.
16. Zur Beauftragung der XXXX :römisch zwei.2.
17. Zur Beauftragung der römisch 40 : Diesbezügliche Feststellungen beruhen auf dem Angebot „Unterstützung bei Abwicklung des ‚Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland XXXX ‘“ (Punkt 5.2.). Auf Grundlage dieser Vereinbarung nahm die XXXX die verfahrensgegenständliche Verarbeitung (siehe Punkt II.1.3) vor. Im Verfahren ist nicht hervorgekommen, dass die XXXX dem Beschwerdeführer die verfahrensgegenständlichen Daten aufgrund einer anderen Rechtsbeziehung übergeben hat. Insgesamt waren somit entsprechende Feststellungen zu treffen. Diesbezügliche Feststellungen beruhen auf dem Angebot „Unterstützung bei Abwicklung des ‚Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland römisch 40 ‘“ (Punkt 5.2.). Auf Grundlage dieser Vereinbarung nahm die römisch 40 die verfahrensgegenständliche Verarbeitung (siehe Punkt römisch zwei.1.3) vor. Im Verfahren ist nicht hervorgekommen, dass die römisch 40 dem Beschwerdeführer die verfahrensgegenständlichen Daten aufgrund einer anderen Rechtsbeziehung übergeben hat. Insgesamt waren somit entsprechende Feststellungen zu treffen. II.2.
18. Zu den Rahmenbedingungen, die zum Impferinnerungsschreiben geführt haben:römisch zwei.2.
19. Zu den Rahmenbedingungen, die zum Impferinnerungsschreiben geführt haben: Die dahingehenden Feststellungen beruhen auf dem Vorbringen des Beschwerdeführers in seiner Bescheidbeschwerde (Seite 2) sowie auf den Angaben von XXXX in der Beschwerdeverhandlung (Verhandlungsniederschrift vom 10.01.2023, Seite 8 f).Die dahingehenden Feststellungen beruhen auf dem Vorbringen des Beschwerdeführers in seiner Bescheidbeschwerde (Seite 2) sowie auf den Angaben von römisch 40 in der Beschwerdeverhandlung (Verhandlungsniederschrift vom 10.01.2023, Seite 8 f). II.
20. Rechtliche Beurteilung:römisch zwei.
21. Rechtliche Beurteilung: II.3.
22. Zur Zuständigkeit:römisch zwei.3.
23. Zur Zuständigkeit:

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Dem angefochtenen Bescheid liegt eine Entscheidung der belangten Behörde

§ 1DSG zugrunde.

Diese Angelegenheit ist

§ 27DSG von Senatsentscheidungen erfasst.

Dem angefochtenen Bescheid liegt eine Entscheidung der belangten Behörde

Paragraph eins, DSG zugrunde. Diese Angelegenheit ist

Paragraph 27, DSG von Senatsentscheidungen erfasst. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I Nr. 33/2013, geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, Bundesgesetzblatt Teil eins, Nr. 33 aus 2013,, geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

§ 28Abs. 1 Vw

GVG haben die Verwaltungsgerichte die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Abs. 2 leg.cit. hat das Verwaltungsgericht über Beschwerden nach Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wennGemäß Paragraph 28, Absatz eins, VwGVG haben die Verwaltungsgerichte die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Absatz 2, leg.cit. hat das Verwaltungsgericht über Beschwerden nach Artikel 130, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn

1. der maßgebliche Sachverhalt feststeht oder
2. die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. Wie oben bereits ausgeführt steht der in der Angelegenheit maßgebliche Sachverhalt aufgrund der Aktenlage fest. Das Bundesverwaltungsgericht hat daher in der Sache selbst zu entscheiden. II.3.
3. Zu Spruchpunkt A) – Abweisung der Beschwerde:römisch zwei.3.
4. Zu Spruchpunkt A) – Abweisung der Beschwerde: II.3.2.
5. Zur Verantwortlichkeit des Beschwerdeführers: römisch zwei.3.2.
6. Zur Verantwortlichkeit des Beschwerdeführers: II.3.2.1.
7. Zur Rechtslage im gegenständlichen Beschwerdeverfahren:römisch zwei.3.2.1.
8. Zur Rechtslage im gegenständlichen Beschwerdeverfahren: Art. 4 Z 7 DSGVO – Begriffsbestimmungen – lautet:Artikel 4, Ziffer 7, DSGVO – Begriffsbestimmungen – lautet: Im Sinne dieser Verordnung bezeichnet der Ausdruck: […]
9. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; § 2 XXXX Datenverarbeitungsgesetz ( XXXX ) – Verantwortliche, gemeinsame Verantwortliche – lautet:Paragraph 2, römisch 40 Datenverarbeitungsgesetz ( römisch 40 ) – Verantwortliche, gemeinsame Verantwortliche – lautet:

der Definition in Art. 4 Abs. 7 DSGVO an der Festlegung der Zwecke und Mittel dieser Verarbeitung beteiligt (EuGH 10.07.2018, C-25/17 (Zeugen Jehovan todistajat), Rn 68). Die Festlegung der Zwecke und der Mittel läuft darauf hinaus, zu entscheiden „warum“ und „auf welche Weise“ die Verarbeitung erfolgt. Bei einer bestimmten Verarbeitung ist der Verantwortliche der Akteur, der entschieden hat, warum die Verarbeitung erfolgt (also „mit welchem Ziel“ oder „wozu“), und auf welche Weise dieses Ziel erreicht werden soll (also welche Mittel eingesetzt werden, um das Ziel zu erreichen). Eine natürliche oder juristische Person, die einen solchen Einfluss auf die Verarbeitung personenbezogener Daten nimmt, ist somit

der Definition in Artikel 4, Absatz 7, DSGVO an der Festlegung der Zwecke und Mittel dieser Verarbeitung beteiligt (EuGH 10.07.2018, C-25/17 (Zeugen Jehovan todistajat), Rn 68). II.3.2.1.

1. Vor diesem Hintergrund ergibt sich für die Beschwerdesache Folgendes:römisch zwei.3.2.1.
2. Vor diesem Hintergrund ergibt sich für die Beschwerdesache Folgendes: Der Umstand, dass der Beschwerdeführer sich selbst – mehrmals – als Verantwortlicher deklariert, indiziert zwar diese Rolle, jedoch sind die Angaben des Beschwerdeführers dahingehend zu verifizieren, ob sich seine Verantwortlichkeit aus einer Rechtsvorschrift bzw. aus einem faktischen Einfluss

Art. 4

Z 7 DSGVO tatsächlich bestimmen lässt.Der Umstand, dass der Beschwerdeführer sich selbst – mehrmals – als Verantwortlicher deklariert, indiziert zwar diese Rolle, jedoch sind die Angaben des Beschwerdeführers dahingehend zu verifizieren, ob sich seine Verantwortlichkeit aus einer Rechtsvorschrift bzw. aus einem faktischen Einfluss

Artikel 4, Ziffer 7, DSGVO tatsächlich bestimmen lässt.

Der Beschwerdeführer, dieser vertreten durch XXXX , Abteilung XXXX – hat für das Land XXXX am 19.11.2021 die XXXX beauftragt, die Adressaten für das Impferinnerungsschreiben zu erheben und zu übermitteln. Vor diesem Hintergrund ergibt sich schon aus § 2 Abs. 1 lit. a sowie Abs. 3 XXXX explizit, dass der Beschwerdeführer als Verantwortlicher für die verfahrensgegenständliche personenbezogene Datenverarbeitung zu qualifizieren ist (dahingehend zustimmend auch der Beschwerdeführer und die belangte Behörde, siehe Verhandlungsniederschrift vom 10.01.2023, Seite 14 bzw. der Datenschutzbeauftragte des Beschwerdeführers, siehe Verhandlungsniederschrift vom 10.01.2023, Seite 21).Der Beschwerdeführer, dieser vertreten durch römisch 40 , Abteilung römisch 40 – hat für das Land römisch 40 am 19.11.2021 die römisch 40 beauftragt, die Adressaten für das Impferinnerungsschreiben zu erheben und zu übermitteln. Vor diesem Hintergrund ergibt sich schon aus Paragraph 2, Absatz eins, Litera a, sowie Absatz 3, römisch 40 explizit, dass der Beschwerdeführer als Verantwortlicher für die verfahrensgegenständliche personenbezogene Datenverarbeitung zu qualifizieren ist (dahingehend zustimmend auch der Beschwerdeführer und die belangte Behörde, siehe Verhandlungsniederschrift vom 10.01.2023, Seite 14 bzw. der Datenschutzbeauftragte des Beschwerdeführers, siehe Verhandlungsniederschrift vom 10.01.2023, Seite 21). Neben der gesetzlichen Grundlage ergibt sich die Verantwortung des Beschwerdeführers auch aus seinem faktischen Einfluss. Der Beschwerdeführer hat den Zweck und die Mittel der Verarbeitung der personenbezogenen Daten maßgeblich (mit)bestimmt. Im vorliegenden Fall wurde vom Beschwerdeführer ein Vorschlag für die Verarbeitung der personenbezogenen Daten ausgearbeitet, die Voraussetzungen für das Impferinnerungsschreiben geklärt, der Prozess für das Impferinnerungsschreiben ausgearbeitet, vorgeschlagen, dass allen Personen in XXXX , die zumindest 18 Jahre alt waren, ein Impferinnerungsschreiben übermittelt werden sollte und schließlich auch eine Verknüpfung des Wohnortes der mitbeteiligten Partei mit einem Impfort vorgeschlagen. Damit hat der Beschwerdeführer maßgeblich den Zweck der Verarbeitung der personenbezogenen Daten bestimmt. Schließlich hat der Beschwerdeführer auch die Mittel der Verarbeitung bestimmt: So hat er die XXXX beauftragt, die Adressaten für das Impferinnerungsschreiben zu erheben und zu übermitteln und hat ein Impferinnerungsschreiben konzipiert. Ferner hat er die Verknüpfung des Wohnortes der mitbeteiligten Partei mit einem Impfort selbst vorgenommen. Vor diesem Hintergrund ergibt sich, dass die Verantwortlichkeit des Beschwerdeführers auch aus seinem faktischen Einfluss abgeleitet werden kann, da er Zweck und Mittel der Datenverarbeitung bestimmt hat (dahingehend zustimmend auch der Beschwerdeführer und die belangte Behörde, siehe Verhandlungsniederschrift vom 10.01.2023, Seite 16).Neben der gesetzlichen Grundlage ergibt sich die Verantwortung des Beschwerdeführers auch aus seinem faktischen Einfluss. Der Beschwerdeführer hat den Zweck und die Mittel der Verarbeitung der personenbezogenen Daten maßgeblich (mit)bestimmt. Im vorliegenden Fall wurde vom Beschwerdeführer ein Vorschlag für die Verarbeitung der personenbezogenen Daten ausgearbeitet, die Voraussetzungen für das Impferinnerungsschreiben geklärt, der Prozess für das Impferinnerungsschreiben ausgearbeitet, vorgeschlagen, dass allen Personen in römisch 40 , die zumindest 18 Jahre alt waren, ein Impferinnerungsschreiben übermittelt werden sollte und schließlich auch eine Verknüpfung des Wohnortes der mitbeteiligten Partei mit einem Impfort vorgeschlagen. Damit hat der Beschwerdeführer maßgeblich den Zweck der Verarbeitung der personenbezogenen Daten bestimmt. Schließlich hat der Beschwerdeführer auch die Mittel der Verarbeitung bestimmt: So hat er die römisch 40 beauftragt, die Adressaten für das Impferinnerungsschreiben zu erheben und zu übermitteln und hat ein Impferinnerungsschreiben konzipiert. Ferner hat er die Verknüpfung des Wohnortes der mitbeteiligten Partei mit einem Impfort selbst vorgenommen. Vor diesem Hintergrund ergibt sich, dass die Verantwortlichkeit des Beschwerdeführers auch aus seinem faktischen Einfluss abgeleitet werden kann, da er Zweck und Mittel der Datenverarbeitung bestimmt hat (dahingehend zustimmend auch der Beschwerdeführer und die belangte Behörde, siehe Verhandlungsniederschrift vom 10.01.2023, Seite 16). Besonders hervorzuheben ist, dass im Amt der XXXX Landesregierung zur Bewältigung der operativen Anforderungen der Pandemie eine eigene Organisationsstruktur implementiert wurde. Der Landesamtsdirektor des Amtes der XXXX Landesregierung war von Beginn der Pandemie bis Ende 2022 Leiter der Landes-Einsatzleitung. Zweck dieser Organisationsstruktur war es, operative Maßnahmen auf Ebene des Landes zu setzen. Auch das verfahrensgegenständliche Impferinnerungsschreiben stellt eine operative Maßnahme des Landes dar. Vor dem Hintergrund der dargestellten Organisationsmaßnahme des Beschwerdeführers zur Bewältigung der Pandemie auf operative Ebene ist eindeutig erkennbar, dass der Beschwerdeführer maßgeblichen Einfluss auf die Maßnahme „Impferinnerungsschreiben“ ausgeübt hat. Besonders hervorzuheben ist, dass im Amt der römisch 40 Landesregierung zur Bewältigung der operativen Anforderungen der Pandemie eine eigene Organisationsstruktur implementiert wurde. Der Landesamtsdirektor des Amtes der römisch 40 Landesregierung war von Beginn der Pandemie bis Ende 2022 Leiter der Landes-Einsatzleitung. Zweck dieser Organisationsstruktur war es, operative Maßnahmen auf Ebene des Landes zu setzen. Auch das verfahrensgegenständliche Impferinnerungsschreiben stellt eine operative Maßnahme des Landes dar. Vor dem Hintergrund der dargestellten Organisationsmaßnahme des Beschwerdeführers zur Bewältigung der Pandemie auf operative Ebene ist eindeutig erkennbar, dass der Beschwerdeführer maßgeblichen Einfluss auf die Maßnahme „Impferinnerungsschreiben“ ausgeübt hat. Insgesamt gründet sich die datenschutzrechtliche Verantwortlichkeit des Beschwerdeführers auf eine Rechtsvorschrift sowie auf seinen faktischen Einfluss. Im vorliegenden Fall hat zwar der Landeshauptmann den Vorschlag des Beschwerdeführers – mit einer kurzen Anweisung – freigegeben. Diese Handlung des Landeshauptmannes beseitigt jedoch nicht die – rechtliche bzw. faktische – Verantwortlichkeit des Beschwerdeführers. Die Verhaltensweisen des Beschwerdeführers und des Landeshauptmannes sind als konvergierend zu betrachten. Die verfahrensgegenständliche Verarbeitung wäre ohne Beteiligung beider Parteien an den Zwecken und Mitteln nicht möglich gewesen (siehe dazu edpb, Leitlinien zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0, Rz 54 ff, https://edpb.europa.eu/system/files/2022-02/eppb_guidelines_202007_controllerprocessor_final_de.pdf, zuletzt aufgerufen am 27.01.2023; Lang in Taeger/Gabel, DSGVO•BDSG•TTDSG4, Art. 26, Rz 46 ff). Grundsätzlich sehen die meisten Bundesländer vor, dass das Amt der Landesregierung als datenschutzrechtlicher Verantwortlicher agiert (Lachmayer, Verwaltungsdatenschutzrecht im Informationszeitalter, JRP 2022, 95

§ 27Vw

GVG eine allfällige datenschutzrechtliche Verantwortlichkeit des Landeshauptmannes sowie der Organisationen XXXX nicht Gegenstand des Bescheidbeschwerdeverfahrens.Schließlich ist

Paragraph 27, VwGVG eine allfällige datenschutzrechtliche Verantwortlichkeit des Landeshauptmannes sowie der Organisationen römisch 40 nicht Gegenstand des Bescheidbeschwerdeverfahrens. II.3.2.

1. Zur Zurechnung des Zugriffs auf den Patientenindex und das zentrale Impfregister:römisch zwei.3.2.
2. Zur Zurechnung des Zugriffs auf den Patientenindex und das zentrale Impfregister: Die XXXX hat die Abfragen aus dem Patientenindex und aus dem zentralen Impfverzeichnis und die Zusammenführung der Daten im Auftrag der XXXX durchgeführt, die wiederum im Auftrag des Beschwerdeführers gehandelt hat. Sohin sind die Datenverarbeitungen damit datenschutzrechtlich dem Beschwerdeführer zuzurechnen (Art. 4 Z 8 DSGVO).Die römisch 40 hat die Abfragen aus dem Patientenindex und aus dem zentralen Impfverzeichnis und die Zusammenführung der Daten im Auftrag der römisch 40 durchgeführt, die wiederum im Auftrag des Beschwerdeführers gehandelt hat. Sohin sind die Datenverarbeitungen damit datenschutzrechtlich dem Beschwerdeführer zuzurechnen (Artikel 4, Ziffer 8, DSGVO). II.3.2.
3. Zur Verletzung im Recht auf Geheimhaltung:römisch zwei.3.2.
4. Zur Verletzung im Recht auf Geheimhaltung: II.3.2.3.
5. Zur Rechtslage im gegenständlichen Beschwerdeverfahren:römisch zwei.3.2.3.
6. Zur Rechtslage im gegenständlichen Beschwerdeverfahren: § 1 DSG – Grundrecht auf Datenschutz – lautet auszugsweise:Paragraph eins, DSG – Grundrecht auf Datenschutz – lautet auszugsweise:

den vorstehenden Bestimmungen zulässig ist, Namen und Adresse von Personen, die einem bestimmten Betroffenenkreis angehören, zu übermitteln, dürfen auch die zum Zweck der Auswahl der zu übermittelnden Adressdaten notwendigen Verarbeitungen vorgenommen werden. Art. 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten – lautet:Artikel 5, DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten – lautet:

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

Kapitel IX

Kapitel römisch neun.

Absatz 1 Buchstaben c und e wird festgelegt durch

1. a)Unionsrecht oder
2. b)das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel IX

. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. […] Artikel 9 DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten – lautet (auszugsweise):

Artikel 89Absatz 1 erforderlich. […] § 18 GTel

G 2012 – Überprüfung der Identität von ELGA-Teilnehmer/innen – lautet auszugsweise:Paragraph 18, GTelG 2012 – Überprüfung der Identität von ELGA-Teilnehmer/innen – lautet auszugsweise:

§ 4Abs.

2 eindeutig identifizierten natürlichen Person, die bei einem ELGA-Gesundheitsdiensteanbieter

§ 2Z 10 lit.

d und e gespeichert sind wobei das IT-Sicherheitskonzept

§ 8

die Überprüfung der Identität der ELGA-Teilnehmer/innen technisch abzusichern hat zum Zweck der Verarbeitung der ELGA-Gesundheitsdaten

§ 14Abs.

2 Z 1 oder3. Verarbeiten von Identitätsdaten einer

Paragraph 4, Absatz 2, eindeutig identifizierten natürlichen Person, die bei einem ELGA-Gesundheitsdiensteanbieter

Paragraph 2, Ziffer 10, Litera d und e gespeichert sind wobei das IT-Sicherheitskonzept

Paragraph 8, die Überprüfung der Identität der ELGA-Teilnehmer/innen technisch abzusichern hat zum Zweck der Verarbeitung der ELGA-Gesundheitsdaten

Paragraph 14, Absatz 2, Ziffer eins, oder 4. Verarbeiten von Daten einer elektronischen oder sonst eindeutig identifizierbaren Verordnung oder Zuweisung (§ 14 Abs. 2 Z 1 lit. b), sofern die Erhebung der Identitätsdaten nicht

Z 1 bis 3 erfolgt, oder4. Verarbeiten von Daten einer elektronischen oder sonst eindeutig identifizierbaren Verordnung oder Zuweisung (Paragraph 14, Absatz 2, Ziffer eins, Litera b,), sofern die Erhebung der Identitätsdaten nicht

Ziffer eins, bis 3 erfolgt, oder 5. das Auslesen von Daten der e-card oder eines amtlichen Lichtbildausweises im Format ID-1 mittels geeigneter Technologie für die Identifizierung im Rahmen des elektronischen Impfpasses, wobei als amtlicher Lichtbildausweis in diesem Sinne von einer staatlichen Behörde ausgestellte Dokumente, die mit einem nicht austauschbaren erkennbaren Kopfbild der betreffenden Person versehen sind, und den Namen, das Geschlecht, das Geburtsdatum und die Unterschrift der Person sowie die ausstellende Behörde enthalten, gelten, erfolgen. § 24d GTelG 2012 – Grundsätze der Impfdatenverarbeitung – lautet:Paragraph 24 d, GTelG 2012 – Grundsätze der Impfdatenverarbeitung – lautet:

§ 24cAbs. 2 bis 7 sowie zu den in Abs. 2 genannten Zwecken ist nur zulässig, wenn

Paragraph 24 c, Absatz 2 bis 7 sowie zu den in Absatz 2, genannten Zwecken ist nur zulässig, wenn 1. die Gesundheitsdiensteanbieter

§ 4Abs.

4 oder § 4a eindeutig identifiziert wurden, 1. die Gesundheitsdiensteanbieter

Paragraph 4, Absatz 4, oder Paragraph 4 a, eindeutig identifiziert wurden,

1. die Vertraulichkeit (§ 6) der zu verarbeitenden Daten gewährleistet ist,
2. die Vertraulichkeit (Paragraph 6,) der zu verarbeitenden Daten gewährleistet ist,
3. die Integrität (§ 7) der zu verarbeitenden Daten gewährleistet ist,
4. die Integrität (Paragraph 7,) der zu verarbeitenden Daten gewährleistet ist,
5. eine spezifische Zugriffsberechtigung

§ 24fAbs.

4 besteht sowie 4. eine spezifische Zugriffsberechtigung

Paragraph 24 f, Absatz 4, besteht sowie 5. die Bürger/innen, soweit es sich um Zwecke

Abs. 2 Z 1, Z 2, Z 5, Z 6 oder Z 7 handelt,

§ 18Abs.

4 oder durch Abgleich von Daten mit dem oder Abfrage des Stammzahlenregisters

§ 2Z 9 E-Gov

G eindeutig identifiziert wurden. Für den Abgleich von Daten mit dem Stammzahlenregister gilt § 18 Abs. 4 Z 5 sinngemäß.5. die Bürger/innen, soweit es sich um Zwecke

Absatz 2, Ziffer eins,, Ziffer 2,, Ziffer 5,, Ziffer 6, oder Ziffer 7, handelt,

Paragraph 18, Absatz 4, oder durch Abgleich von Daten mit dem oder Abfrage des Stammzahlenregisters

Paragraph 2, Ziffer 9, E-GovG eindeutig identifiziert wurden. Für den Abgleich von Daten mit dem Stammzahlenregister gilt Paragraph 18, Absatz 4, Ziffer 5, sinngemäß.

dem jeweils aktuellen Impfplan Österreich, 4. statistische Auswertungen von im zentralen Impfregister gespeicherten Daten

§ 24g, 4.

statistische Auswertungen von im zentralen Impfregister gespeicherten Daten

Paragraph 24 g,, 5. Krisenmanagement, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten

§ 1Epidemiegesetz 1950, BGBl.

Nr. 186/1950, als auch im Rahmen der Pharmakovigilanz, 5. Krisenmanagement, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten

Paragraph eins, Epidemiegesetz 1950, Bundesgesetzblatt Nr. 186 aus 1950,, als auch im Rahmen der Pharmakovigilanz,

1. Abrechnung im Rahmen von Impfprogrammen sowie
2. Wahrnehmung der Rechte der Bürger/innen

§ 24eAbs.

1.7. Wahrnehmung der Rechte der Bürger/innen

Paragraph 24 e, Absatz eins, § 24f GTelG 2012– Nutzung von ELGA-Komponenten – lautet:Paragraph 24 f, GTelG 2012– Nutzung von ELGA-Komponenten – lautet:

§ 24Abs. 3 sind nach Maßgabe der folgenden Absätze zu nutzen.

Paragraph 24, Absatz 3, sind nach Maßgabe der folgenden Absätze zu nutzen.

Abs. 4 Z 1 lit. a bis c, Z 2 und Z 4 nicht länger als 28 Tage zurückliegen.

Absatz 4, Ziffer eins, Litera a bis c, Ziffer 2 und Ziffer 4, nicht länger als 28 Tage zurückliegen.

§ 24dAbs. 1 Z 1.

Paragraph 24 d, Absatz eins, Ziffer eins,

§ 24cAbs.

2 Z 11. Gesundheitsdiensteanbieter

Paragraph 24 c, Absatz 2, Ziffer eins

1. a)zur Speicherung, Aktualisierung, Stornierung, Nachtragung und Vidierung der in § 24c Abs. 2 Z 2 genannten Daten im zentralen Impfregister,
2. a)zur Speicherung, Aktualisierung, Stornierung, Nachtragung und Vidierung der in Paragraph 24 c, Absatz 2, Ziffer 2, genannten Daten im zentralen Impfregister,
3. b)auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten

§ 24dAbs.

2 Z 1,b) auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten

Paragraph 24 d, Absatz 2, Ziffer eins,, c) auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender

§ 24dAbs.

2 Z 2,c) auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender

Paragraph 24 d, Absatz 2, Ziffer 2,, d) für die Abrechnung im Rahmen von Impfprogrammen

§ 24dAbs.

2 Z 6 undd) für die Abrechnung im Rahmen von Impfprogrammen

Paragraph 24 d, Absatz 2, Ziffer 6, und e) sofern es sich um den Öffentlichen Gesundheitsdienst im Sinne der Z 6 handelt, für das Krisenmanagement im Rahmen des Ausbruchsmanagements

§ 24dAbs.

2 Z 5,e) sofern es sich um den Öffentlichen Gesundheitsdienst im Sinne der Ziffer 6, handelt, für das Krisenmanagement im Rahmen des Ausbruchsmanagements

Paragraph 24 d, Absatz 2, Ziffer 5,, 2. Apotheken

§ 1des Apothekengesetzes, RGBl.

Nr. 5/19072. Apotheken

Paragraph eins, des Apothekengesetzes, RGBl. Nr. 5/1907 a) auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten

§ 24dAbs.

2 Z 1 unda) auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten

Paragraph 24 d, Absatz 2, Ziffer eins, und b) auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender

§ 24dAbs.

2 Z 2 undb) auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender

Paragraph 24 d, Absatz 2, Ziffer 2, und

1. c)zur Nachtragung der in § 24c Abs. 2 Z 2 genannten Daten im zentralen Impfregister,
2. c)zur Nachtragung der in Paragraph 24 c, Absatz 2, Ziffer 2, genannten Daten im zentralen Impfregister, 3. gesetzliche oder bevollmächtigte Vertreter/innen zur Wahrnehmung der Rechte der Bürger/innen

§ 24eAbs.

1,3. gesetzliche oder bevollmächtigte Vertreter/innen zur Wahrnehmung der Rechte der Bürger/innen

Paragraph 24 e, Absatz eins,, 4. Mitarbeiter/innen der ELGA-Ombudsstelle zur Wahrnehmung der Rechte der Bürger/innen

§ 24eAbs.

1 Z 1,4. Mitarbeiter/innen der ELGA-Ombudsstelle zur Wahrnehmung der Rechte der Bürger/innen

Paragraph 24 e, Absatz eins, Ziffer eins,, 5. der für das Gesundheitswesen zuständige Bundesminister für das bundesweite Krisenmanagement

§ 24dAbs.

2 Z 5,5. der für das Gesundheitswesen zuständige Bundesminister für das bundesweite Krisenmanagement

Paragraph 24 d, Absatz 2, Ziffer 5,, 6. der Landeshauptmann und die Bezirksverwaltungsbehörden in ihrem jeweiligen gesetzlichen Wirkungsbereich a) für das Krisenmanagement

§ 24dAbs.

2 Z 5 unda) für das Krisenmanagement

Paragraph 24 d, Absatz 2, Ziffer 5, und b) für die Abrechnung im Rahmen von Impfprogrammen

§ 24dAbs.

2 Z 6 sowieb) für die Abrechnung im Rahmen von Impfprogrammen

Paragraph 24 d, Absatz 2, Ziffer 6, sowie 7. die Bezirksverwaltungsbehörden zur Aktualisierung oder Stornierung von im zentralen Impfregister gespeicherten Daten

§ 24cAbs.

3.7. die Bezirksverwaltungsbehörden zur Aktualisierung oder Stornierung von im zentralen Impfregister gespeicherten Daten

Paragraph 24 c, Absatz 3, […] § 43 Abs. 4 und 5 Epidemiegesetz lautet:Paragraph 43, Absatz 4 und 5 Epidemiegesetz lautet:

Abs. 4. Besteht der Verdacht oder die Kenntnis über einen bundesländerübergreifenden Ausbruch einer Erkrankung

§ 1Abs. 1 und 2, so haben die Landeshauptmänner der betroffenen Bundesländer zusammenzuarbeiten und ihre Tätigkeiten zu koordinieren.

Absatz 4, Besteht der Verdacht oder die Kenntnis über einen bundesländerübergreifenden Ausbruch einer Erkrankung

Paragraph eins, Absatz eins und 2, so haben die Landeshauptmänner der betroffenen Bundesländer zusammenzuarbeiten und ihre Tätigkeiten zu koordinieren. §. 2. Reichssanitätsgesetz lautet:Paragraph 2, Reichssanitätsgesetz lautet: Der Staatsverwaltung obliegt insbesondere:

1. a)die Evidenzhaltung des gesammten Sanitätspersonales und die Beaufsichtigung desselben in ärztlicher Beziehung, sowie die Handhabung der Gesetze über die Ausübung der diesem Personale zukommenden Praxis;
2. b)die Oberaufsicht über alle Kranken-, Irren-, Gebär-, Findel- und Ammenanstalten, über die Impfinstitute, Siechenhäuser und andere derlei Anstalten, dann über die Heilbäder und Gesundbrunnen, ferner die Bewilligung zur Errichtung von solchen Privatanstalten;
3. c)die Handhabung der Gesetze über ansteckende Krankheiten, über Endemien, Epidemien und Thierseuchen, sowie über Quarantainen und Viehcontumazanstalten, dann in Betreff des Verkehres mit Giften und Medicamenten;
4. d)die Leitung des Impfwesens;
5. e)die Regelung und Ueberwachung des gesammten Apothekerwesens;
6. f)die Anordnung und Vornahme der sanitätspolizeilichen Obductionen;
7. g)die Ueberwachung der Todtenbeschau und der Handhabung der Gesetze über das Begräbnißwesen, in Betreff der Begräbnißplätze, der Ausgrabung und Ueberführung von Leichen, dann die Ueberwachung der Aasplätze und Wasenmeistereien; §. 4. Reichssanitätsgesetz lautet:Paragraph 4, Reichssanitätsgesetz lautet: Im übertragenen Wirkungskreise obliegt der Gemeinde:
8. a)Die Durchführung der örtlichen Vorkehrungen zur Verhütung ansteckender Krankheiten und ihrer Weiterverbreitung;
9. b)die Handhabung der sanitätspolizeilichen Verordnungen und Vorschriften über Begräbnisse;
10. c)die Todtenbeschau;
11. d)die Mitwirkung bei allen von der politischen Behörde im Gemeindegebiete vorzunehmenden sanitätspolizeilichen Augenscheinen und Commissionen, insbesondere bei der öffentlichen Impfung, bei Leichenausgrabungen und Obductionen, und bei den Vorkehrungen zur Verhütung der Einschleppung und zur Tilgung von Viehseuchen;
12. e)die unmittelbare sanitätspolizeiliche Ueberwachung der in der Gemeinde befindlichen privaten Heil- und Gebäranstalten;
13. f)die unmittelbare Ueberwachung der Aasplätze und Wasenmeistereien;
14. g)die periodische Erstattung von Sanitätsberichten an die politische Behörde. Der Gesetzgebung bleibt vorbehalten, noch andere Gegenstände des Sanitätswesens zu bestimmen, welche die Gemeinden im übertragenen Wirkungskreise zu besorgen haben. §. 5. Reichssanitätsgesetz lautet:Paragraph 5, Reichssanitätsgesetz lautet: Der Landesgesetzgebung bleibt vorbehalten, zu bestimmen, auf welche Weise jede Gemeinde für sich oder in Gemeinschaft mit anderen Gemeinden jene Einrichtungen zu treffen hat, welche nach der Lage und Ausdehnung des Gebietes, sowie nach der Zahl und Beschäftigung der Einwohner zur Handhabung der Gesundheitspolizei nothwendig sind. II.3.2.3.2. Für die gegenständliche Beschwerdesache wird auf folgende einschlägige höchstgerichtliche Rechtsprechung verwiesen: römisch zwei.3.2.3.2. Für die gegenständliche Beschwerdesache wird auf folgende einschlägige höchstgerichtliche Rechtsprechung verwiesen: Entsprechend der Rechtsprechung des Europäischen Gerichtshofes muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01 (Österreichischer Rundfunk ua), Rn 65; 16.12.2008, C-524/06 (Huber), Rn 48). Werden besondere Kategorien von Daten iSd Art. 9 Abs. 1 DSGVO verarbeitet, wozu ua Gesundheitsdaten gehören, muss ein Erlaubnistatbestand des Art. 9 Abs. 2 DSGVO vorliegen. Ein Verstoß gegen Art. 5, 6 oder 9 DSGVO führt zu einer Verletzung des § 1 Abs. 1 DSG. Entsprechend der Rechtsprechung des Europäischen Gerichtshofes muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Artikel 5, DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Artikel 6, DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Artikel 6, DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01 (Österreichischer Rundfunk ua), Rn 65; 16.12.2008, C-524/06 (Huber), Rn 48). Werden besondere Kategorien von Daten iSd Artikel 9, Absatz eins, DSGVO verarbeitet, wozu ua Gesundheitsdaten gehören, muss ein Erlaubnistatbestand des Artikel 9, Absatz 2, DSGVO vorliegen. Ein Verstoß gegen Artikel 5, 6, oder 9 DSGVO führt zu einer Verletzung des Paragraph eins, Absatz eins, DSG. Eine Eingriffsnorm im Sinne des § 1 Abs. 2 DSG hat ausreichend präzise, also für jedermann vorhersehbar zu sein. Überdies muss sie regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist (VfGH 11.12.2019, G72/2019 ua; 12.12.2019, G164/2019 ua). Im vorliegenden Fall läge eine Verletzung von § 1 DSG nicht vor, soweit der Beschwerdeführer sich auf eine geeignete Rechtsvorschrift berufen kann, welche ihm einen zulässigen Zugriff auf den Patientenindex und das zentrale Impfregister ermöglicht. Eine Eingriffsnorm im Sinne des Paragraph eins, Absatz 2, DSG hat ausreichend präzise, also für jedermann vorhersehbar zu sein. Überdies muss sie regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben erlaubt ist (VfGH 11.12.2019, G72/2019 ua; 12.12.2019, G164/2019 ua). Im vorliegenden Fall läge eine Verletzung von Paragraph eins, DSG nicht vor, soweit der Beschwerdeführer sich auf eine geeignete Rechtsvorschrift berufen kann, welche ihm einen zulässigen Zugriff auf den Patientenindex und das zentrale Impfregister ermöglicht. II.3.2.3.3. Zum Zugriff auf den Patientenindex

§ 18GTel

G 2012:römisch zwei.3.2.3.3. Zum Zugriff auf den Patientenindex

Paragraph 18, GTelG 2012: Wie festgestellt wurden im Auftrag des Beschwerdeführers zunächst sämtliche Personen aus dem Patientenindex ausgewählt, die über 18 Jahre waren und eine Adresse in XXXX angegeben hatten. Vor diesem Hintergrund wurde die mitbeteiligte Partei aufgrund ihres Alters und ihres Wohnsitzes aus dem Patientenindex ermittelt. In diesem Zusammenhang ist aber zu beachten, dass der Patientenindex

§ 18Abs. 1 Z 1 GTel

G 2012 nicht zur Ermittlung von Adressdaten von Personen dient, die zumindest 18 Jahre alt sind, sondern zur Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen. Keinesfalls kann unter einer Überprüfung der eindeutigen Identität eine Suche von Personen unter einschränkenden Bedingungen – zumindest 18 Jahre und angegebene Adresse in einem Bundesland – verstanden werden. Der Beschwerdeführer hat nicht ansatzweise mit Hilfe des Patientenindex eine Identitätsprüfung vorgenommen. Dies erkennt man schon daran, dass er nicht mit einem Namen (Identität) im Patientenindex gesucht hat, sondern der Name erst das Ergebnis des Zugriffs (Suche mit einschränkenden Bedingungen) im Patientenindex war. Auch war das Ergebnis der Suche nicht allein der Name und die Adresse der mitbeteiligten Partei, sondern ihre Daten waren Bestandteil von einigen hunderttausenden Datensätzen (Namen und Adressen aller über 18-jährigen Personen, die eine Adresse in XXXX angegeben hatten). Daher war die vorgenommene Ermittlung des Namens und der Adresse (sowie der Sozialversicherungsnummer als Primary Key zwecks Ermittlung des Impfstatus im zentralen Impfregister, siehe Verhandlungsniederschrift vom 10.01.2023, Seite 16) der mitbeteiligten Partei schon dem Grunde nach nicht von § 18 Abs. 1 Z 1 GTelG 2012 erfasst. Wie festgestellt wurden im Auftrag des Beschwerdeführers zunächst sämtliche Personen aus dem Patientenindex ausgewählt, die über 18 Jahre waren und eine Adresse in römisch 40 angegeben hatten. Vor diesem Hintergrund wurde die mitbeteiligte Partei aufgrund ihres Alters und ihres Wohnsitzes aus dem Patientenindex ermittelt. In diesem Zusammenhang ist aber zu beachten, dass der Patientenindex

Paragraph 18, Absatz eins, Ziffer eins, GTelG 2012 nicht zur Ermittlung von Adressdaten von Personen dient, die zumindest 18 Jahre alt sind, sondern zur Überprüfung der eindeutigen Identität (Paragraph 2, Ziffer 2, E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen. Keinesfalls kann unter einer Überprüfung der eindeutigen Identität eine Suche von Personen unter einschränkenden Bedingungen – zumindest 18 Jahre und angegebene Adresse in einem Bundesland – verstanden werden. Der Beschwerdeführer hat nicht ansatzweise mit Hilfe des Patientenindex eine Identitätsprüfung vorgenommen. Dies erkennt man schon daran, dass er nicht mit einem Namen (Identität) im Patientenindex gesucht hat, sondern der Name erst das Ergebnis des Zugriffs (Suche mit einschränkenden Bedingungen) im Patientenindex war. Auch war das Ergebnis der Suche nicht allein der Name und die Adresse der mitbeteiligten Partei, sondern ihre Daten waren Bestandteil von einigen hunderttausenden Datensätzen (Namen und Adressen aller über 18-jährigen Personen, die eine Adresse in römisch 40 angegeben hatten). Daher war die vorgenommene Ermittlung des Namens und der Adresse (sowie der Sozialversicherungsnummer als Primary Key zwecks Ermittlung des Impfstatus im zentralen Impfregister, siehe Verhandlungsniederschrift vom 10.01.2023, Seite 16) der mitbeteiligten Partei schon dem Grunde nach nicht von Paragraph 18, Absatz eins, Ziffer eins, GTelG 2012 erfasst. Darüber hinaus ist zu beachten, dass

§ 18Abs. 4 GTel

G 2012 die Überprüfung der Identität unter Mitwirkung des ELGA-Teilnehmers in elektronischer Form zu erfolgen hat. Verfahrensgegenständlich hat jedoch die mitbeteiligte Partei in keiner Weise an der Überprüfung der Identität mitgewirkt. In diesem Zusammenhang hat die mitbeteiligte Partei hat in keiner Phase der Verarbeitung ihrer personenbezogenen Daten mitgewirkt bzw. hierfür eine Zustimmung erteilt.Darüber hinaus ist zu beachten, dass

Paragraph 18, Absatz 4, GTelG 2012 die Überprüfung der Identität unter Mitwirkung des ELGA-Teilnehmers in elektronischer Form zu erfolgen hat. Verfahrensgegenständlich hat jedoch die mitbeteiligte Partei in keiner Weise an der Überprüfung der Identität mitgewirkt. In diesem Zusammenhang hat die mitbeteiligte Partei hat in keiner Phase der Verarbeitung ihrer personenbezogenen Daten mitgewirkt bzw. hierfür eine Zustimmung erteilt. Insgesamt konnte der Beschwerdeführer mit § 18 GTelG 2012 einen rechtmäßigen Zugriff auf den Patientenindex

Art. 5Abs. 1 lit. a DSGVO nicht begründen. Insgesamt konnte der Beschwerdeführer mit Paragraph 18, GTel

G 2012 einen rechtmäßigen Zugriff auf den Patientenindex

Artikel 5, Absatz eins, Litera a, DSGVO nicht begründen.

II.3.2.3.4. Zum Zugriff auf das zentrale Impfregister

§§ 24di

Vm 24f GTelG 2012:römisch zwei.3.2.3.4. Zum Zugriff auf das zentrale Impfregister

Paragraphen 24 d, in Verbindung mit 24f GTelG 2012: Nach den Darstellungen des Beschwerdeführers war der Zugriff auf das zentrale Impfregister deshalb erforderlich, um den Impfstatus der mitbeteiligten Person zu ermitteln. Daher ist zunächst zu prüfen, ob mit einem Impfstatus eine besondere Kategorie von Daten

Art. 9Abs.

1 DSGVO verarbeitet wird. Sofern zutreffend, erfordert die Verarbeitung eines Impfstatus einen Erlaubnistatbestand

Art. 9Abs.

2 DSGVO.Nach den Darstellungen des Beschwerdeführers war der Zugriff auf das zentrale Impfregister deshalb erforderlich, um den Impfstatus der mitbeteiligten Person zu ermitteln. Daher ist zunächst zu prüfen, ob mit einem Impfstatus eine besondere Kategorie von Daten

Artikel 9, Absatz eins, DSGVO verarbeitet wird.

Sofern zutreffend, erfordert die Verarbeitung eines Impfstatus einen Erlaubnistatbestand

Artikel 9, Absatz 2, DSGVO.

Als Gesundheitsdaten gelten „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person [...] beziehen und aus denen Informationen über den Gesundheitszustand hervorgehen“ (Art. 4 Z 15 DSGVO). Dahingehend legt der EuGH den (in der DS-RL genannten und auf die DSGVO übertragbaren) Begriff „Daten über Gesundheit“ weit aus und bezieht sich auf alle Informationen, die die Gesundheit einer Person unter allen Aspekten – körperlichen wie psychischen – betreffen (EuGH 06.11.2003, C-101/01 (Bodil Lindqvist), Rn 50).Als Gesundheitsdaten gelten „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person [...] beziehen und aus denen Informationen über den Gesundheitszustand hervorgehen“ (Artikel 4, Ziffer 15, DSGVO). Dahingehend legt der EuGH den (in der DS-RL genannten und auf die DSGVO übertragbaren) Begriff „Daten über Gesundheit“ weit aus und bezieht sich auf alle Informationen, die die Gesundheit einer Person unter allen Aspekten – körperlichen wie psychischen – betreffen (EuGH 06.11.2003, C-101/01 (Bodil Lindqvist), Rn 50). Schon aus den Erwägungsgründen ist zu entnehmen, dass die DSGVO unter Gesundheitsdaten auch Krankheitsrisiken erfasst (vgl. DSGVO ErwGr 35, so auch Plucinska/Zankel, Rechtliche Rahmenbedingungen für Testungen und Impfungen im Zusammenhang mit SARS-CoV-2 im Arbeitsverhältnis. Zusammenspiel von Arbeits- und Datenschutzrecht, ASoK 2021, 82). Der aufrechte Impfstatus gegen SARS-CoV-2 der betroffenen Person kann nun Informationen darüber geben, ob die betroffene Person eine körperliche Immunität gegen SARS-CoV-2 hat oder hatte und ob die betroffene Person ein verringertes Risiko für eine SARS-CoV-2-Erkrankung trifft oder traf. Folglich ist davon auszugehen, dass aus dem Impfstatus Informationen über den Gesundheitszustand (gegebenenfalls sowohl über den vergangenen, gegenwärtigen als auch künftigen) der betroffenen Person hervorgehen, womit das Datum „Impfstatus“ als Gesundheitsdatum iSd Art. 9 Abs. 1 DSGVO zu klassifizieren ist (Plucinska/Zankel, Rechtliche Rahmenbedingungen für Testungen und Impfungen im Zusammenhang mit SARS-CoV-2 im Arbeitsverhältnis. Zusammenspiel von Arbeits- und Datenschutzrecht, ASoK 2021, 82). Hinzu kommt, dass, obwohl ein wissenschaftlicher Konsens über die Sinnhaftigkeit der COVID-19 Schutzimpfung besteht, das Thema der Sinnhaftigkeit und Wirksamkeit der COVID-19 Schutzimpfung in der Gesellschaft kontrovers diskutiert wird und emotional belastet ist und daher für ungeimpfte Personen ein besonderes Geheimhaltungsinteresse an ihrem Impfstatus bestehen kann.Schon aus den Erwägungsgründen ist zu entnehmen, dass die DSGVO unter Gesundheitsdaten auch Krankheitsrisiken erfasst vergleiche DSGVO ErwGr 35, so auch Plucinska/Zankel, Rechtliche Rahmenbedingungen für Testungen und Impfungen im Zusammenhang mit SARS-CoV-2 im Arbeitsverhältnis. Zusammenspiel von Arbeits- und Datenschutzrecht, ASoK 2021, 82). Der aufrechte Impfstatus gegen SARS-CoV-2 der betroffenen Person kann nun Informationen darüber geben, ob die betroffene Person eine körperliche Immunität gegen SARS-CoV-2 hat oder hatte und ob die betroffene Person ein verringertes Risiko für eine SARS-CoV-2-Erkrankung trifft oder traf. Folglich ist davon auszugehen, dass aus dem Impfstatus Informationen über den Gesundheitszustand (gegebenenfalls sowohl über den vergangenen, gegenwärtigen als auch künftigen) der betroffenen Person hervorgehen, womit das Datum „Impfstatus“ als Gesundheitsdatum iSd Artikel 9, Absatz eins, DSGVO zu klassifizieren ist (Plucinska/Zankel, Rechtliche Rahmenbedingungen für Testungen und Impfungen im Zusammenhang mit SARS-CoV-2 im Arbeitsverhältnis. Zusammenspiel von Arbeits- und Datenschutzrecht, ASoK 2021, 82). Hinzu kommt, dass, obwohl ein wissenschaftlicher Konsens über die Sinnhaftigkeit der COVID-19 Schutzimpfung besteht, das Thema der Sinnhaftigkeit und Wirksamkeit der COVID-19 Schutzimpfung in der Gesellschaft kontrovers diskutiert wird und emotional belastet ist und daher für ungeimpfte Personen ein besonderes Geheimhaltungsinteresse an ihrem Impfstatus bestehen kann. Eine Verarbeitung des Impfstatus wäre daher nur dann möglich, wenn eine Ausnahme des Art. 9 Abs. 2 DSGVO vom Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO vorliegt. Die Verarbeitung besonderer Kategorien von Daten iSd Art. 9 Abs. 1 DSGVO ist ua zulässig, wenn sie auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist (Art. 9 Abs. 1 lit. g DSGVO) oder die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich ist (Art. 9 Abs. 1 lit. i DSGVO).Eine Verarbeitung des Impfstatus wäre daher nur dann möglich, wenn eine Ausnahme des Artikel 9, Absatz 2, DSGVO vom Verarbeitungsverbot des Artikel 9, Absatz eins, DSGVO vorliegt. Die Verarbeitung besonderer Kategorien von Daten iSd Artikel 9, Absatz eins, DSGVO ist ua zulässig, wenn sie auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist (Artikel 9, Absatz eins, Litera g, DSGVO) oder die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich ist (Artikel 9, Absatz eins, Litera i, DSGVO). Entsprechend § 24d Abs. 1 GTelG 2012 ist eine Verarbeitung von Daten im zentralen Impfregister nur zulässig, wenn sie zu den Zwecken

§ 24Abs. 2 GTel

G 2012 erfolgt. Neben dieser Zweckbindung setzt eine zulässige Verarbeitung von Daten im zentralen Impfregister

§ 24Abs. 1 Z 4 GTel

G 2012 voraus, dass eine spezifische Zugriffsberechtigung

§ 24fAbs. 4 GTel

G 2012 besteht. Schließlich legt § 24d Abs. 1 Z 5 GTelG 2012 fest, dass die Verarbeitung nur zulässig ist, wenn für die Zwecke

Abs. 2 Z 1, Z 2, Z 5, Z 6 oder Z 7 die Bürger/innen

§ 18Abs. 4 GTel

G 2012 eindeutig identifiziert wurden. In diesen Fällen ist daher die Mitwirkung der betroffenen Bürger bei der Identifizierung erforderlich. Entsprechend Paragraph 24 d, Absatz eins, GTelG 2012 ist eine Verarbeitung von Daten im zentralen Impfregister nur zulässig, wenn sie zu den Zwecken

Paragraph 24, Absatz 2, GTelG 2012 erfolgt. Neben dieser Zweckbindung setzt eine zulässige Verarbeitung von Daten im zentralen Impfregister

Paragraph 24, Absatz eins, Ziffer 4, GTelG 2012 voraus, dass eine spezifische Zugriffsberechtigung

Paragraph 24 f, Absatz 4, GTelG 2012 besteht. Schließlich legt Paragraph 24 d, Absatz eins, Ziffer 5, GTelG 2012 fest, dass die Verarbeitung nur zulässig ist, wenn für die Zwecke

Absatz 2, Ziffer eins,, Ziffer 2,, Ziffer 5,, Ziffer 6, oder Ziffer 7, die Bürger/innen

Paragraph 18, Absatz 4, GTelG 2012 eindeutig identifiziert wurden. In diesen Fällen ist daher die Mitwirkung der betroffenen Bürger bei der Identifizierung erforderlich. Im verwaltungsbehördlichen Verfahren stützt der Beschwerdeführer die Verarbeitung von Daten im zentralen Impfregister auf § 24 Abs. 2 Z 3 GTelG 2012 („Impferinnerung“). Im verwaltungsgerichtlichen Verfahren begründet der Beschwerdeführer die Zulässigkeit der Verarbeitung im zentralen Impfregister zusätzlich mit § 24 Abs. 2 Z 5 GTelG 2012 („Krisenmanagement“). Eine Verarbeitung nach § 24c Abs. 2 bis 7 GTelG 2012 liegt nicht vor und wurde vom Beschwerdeführer im Verfahren auch nicht begründet (Art. 5 Abs. 2 DSGVO). Im verwaltungsbehördlichen Verfahren stützt der Beschwerdeführer die Verarbeitung von Daten im zentralen Impfregister auf Paragraph 24, Absatz 2, Ziffer 3, GTelG 2012 („Impferinnerung“). Im verwaltungsgerichtlichen Verfahren begründet der Beschwerdeführer die Zulässigkeit der Verarbeitung im zentralen Impfregister zusätzlich mit Paragraph 24, Absatz 2, Ziffer 5, GTelG 2012 („Krisenmanagement“). Eine Verarbeitung nach Paragraph 24 c, Absatz 2 bis 7 GTelG 2012 liegt nicht vor und wurde vom Beschwerdeführer im Verfahren auch nicht begründet (Artikel 5, Absatz 2, DSGVO). II.3.2.3.4.1. Zur Verarbeitung der Daten im zentralen Impfregister zum Zwecke der Erinnerung an empfohlene Impfungen

dem jeweils aktuellen Impfplan Österreich („Impferinnerung“)

§ 24dAbs. 2 Z 3 GTel

G 2012:römisch zwei.3.2.3.4.1. Zur Verarbeitung der Daten im zentralen Impfregister zum Zwecke der Erinnerung an empfohlene Impfungen

dem jeweils aktuellen Impfplan Österreich („Impferinnerung“)

Paragraph 24 d, Absatz 2, Ziffer 3, GTelG 2012: In diesem Zusammenhang führte bereits die belangte Behörde im angefochtenen Bescheid – richtigerweise – aus, dass für den Zweck des § 24d Abs. 2 Z 3 GTelG 2012 („Impferinnerung“) keine spezifische Zugriffsberechtigung auf das zentrale Impfregister

§ 24fAbs. 4 GTel

G 2012 besteht. Vor diesem Hintergrund ist der Beschwerdeführer

§ 24dAbs. 1 Z 4 GTel

G 2012 nicht berechtigt, auf die Daten im zentralen Impfregister zuzugreifen und diese zu verarbeiten. In diesem Zusammenhang führte bereits die belangte Behörde im angefochtenen Bescheid – richtigerweise – aus, dass für den Zweck des Paragraph 24 d, Absatz 2, Ziffer 3, GTelG 2012 („Impferinnerung“) keine spezifische Zugriffsberechtigung auf das zentrale Impfregister

Paragraph 24 f, Absatz 4, GTelG 2012 besteht. Vor diesem Hintergrund ist der Beschwerdeführer

Paragraph 24 d, Absatz eins, Ziffer 4, GTelG 2012 nicht berechtigt, auf die Daten im zentralen Impfregister zuzugreifen und diese zu verarbeiten. Nach dem Gesetzeswortlaut wäre § 24d Abs. 2 Z 3 GTelG 2012 daher keine taugliche Rechtsgrundlage für den Beschwerdeführer (und im Übrigen auch nicht für den Landeshauptmann für XXXX ), Daten des zentralen Impfregisters zum Zwecke der Erinnerung an empfohlene Impfungen

dem jeweils aktuellen Impfplan Österreich zu verarbeiten.Nach dem Gesetzeswortlaut wäre Paragraph 24 d, Absatz 2, Ziffer 3, GTelG 2012 daher keine taugliche Rechtsgrundlage für den Beschwerdeführer (und im Übrigen auch nicht für den Landeshauptmann für römisch 40 ), Daten des zentralen Impfregisters zum Zwecke der Erinnerung an empfohlene Impfungen

dem jeweils aktuellen Impfplan Österreich zu verarbeiten. Der Beschwerdeführer bringt nun vor, die Einschränkung

§ 24dAbs. 1 Z 4 GTel

G 2012, wonach Daten des zentralen Impfregisters nur verarbeitet werden dürfen, wenn „eine spezifische Zugriffsberechtigung

§ 24fAbs 4 besteht“, sei nicht als absolutes Verbot anzusehen, weil in § 24f Abs. 4 GTel

G 2012 für den Zweck der „Erinnerung an empfohlene Impfungen“ überhaupt keine spezifischen Zugriffsberechtigungen bestehen würden und dem Gesetzgeber nicht unterstellt werden dürfe, Sinnloses zu regeln. Dem kann nicht gefolgt werden:Der Beschwerdeführer bringt nun vor, die Einschränkung

Paragraph 24 d, Absatz eins, Ziffer 4, GTelG 2012, wonach Daten des zentralen Impfregisters nur verarbeitet werden dürfen, wenn „eine spezifische Zugriffsberechtigung

Paragraph 24 f, Absatz 4, besteht“, sei nicht als absolutes Verbot anzusehen, weil in Paragraph 24 f, Absatz 4, GTelG 2012 für den Zweck der „Erinnerung an empfohlene Impfungen“ überhaupt keine spezifischen Zugriffsberechtigungen bestehen würden und dem Gesetzgeber nicht unterstellt werden dürfe, Sinnloses zu regeln. Dem kann nicht gefolgt werden: Erstens sind dem Beschwerdeführer – neben dem eindeutigen Gesetzeswortlaut des § 24d Abs. 1 GTelG 2012, „nur zulässig, wenn“ – die Gesetzesmaterialien entgegenzuhalten, wonach „zur inhaltlichen Beschränkung der Datenverarbeitung aufgrund spezifischer Zugriffsberechtigungen (Z 4) die Erläuterungen zu Abs. 2, zu den Z 42, Z 43, Z 44 und Z 45 (§ 21) sowie zu Z 54 (§ 24f Abs. 4) heranzuziehen sind“ (ErlRV 232 GP XXVII S 32)). Nach den demnach heranzuziehenden Materialien zu § 21 GTelG 2012 soll „durch […] § 21 […] klargestellt werden, dass für jede eHealth-Anwendung [wie das zentrale Impfregister] eine spezifische Zugriffsberechtigung genau für d