RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum01.03.2023 GeschäftszahlW287 2260123-1 Spruch, W287 2260123-1/10E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richt

dazu unten Punkt 2.5.).Der Beschwerdeführer legte zudem zwei Befunde vor, die belegen, dass seine Schwägerin zu den zwei fraglichen Zeitpunkten in seiner Behandlung stand (Laborbefund von Frau römisch 40 vom 13.01.2021 sowie vom 11.05.2021), sodass es glaubhaft erscheint, wenn der Beschwerdeführer angibt, er habe in diesem Zusammenhang weitere, nicht auffindbare Befunde in Karteien namensgleicher Personen gesucht. Plausibel erscheint ebenso die Aussage des Beschwerdeführers, dass derartige Blutbefunde, die im Rahmen einer chemotherapeutischen Behandlung regelmäßig angefertigt werden, mit Vorbefunden abgeglichen werden müssen, um die Auswirkungen der Chemotherapie auf das Blutbild zu untersuchen (VP S. 9), sodass es insgesamt nachvollziehbar erscheint, dass der Beschwerdeführer – wie er selbst im Rahmen der mündlichen Verhandlung angab – einige Patientenkarteien öffnete, um zu schauen, ob er auf diese Art und Weise zu einem falsch zugeordneten Vergleichsbefund kommen könne. Der vom Beschwerdeführer vorlegte externe Befund seiner Schwägerin vom 30.04.2021 zeigt jedenfalls auch, dass seine Schwägerin in onkologischer Behandlung steht und stützt somit die Verantwortung des Beschwerdeführers. Ebenso erscheint es nachvollziehbar, dass der Beschwerdeführer jene Blutbefunde, die er am 14.01.2021 sowie am 11.05.2021 gesucht habe, nicht vorlegen konnte, wenn er diese tatsächlich nie bekommen hat, sondern seiner Schwägerin in weiterer Folge vielmehr die eigenen Befunde übermittelte und sie bat, direkt im Krankenhaus nachzufragen, ob Handlungsbedarf bestehe (VP S. 9/10). Aus den Aussagen des Beschwerdeführers und des Zeugen XXXX ergibt sich jedenfalls auch übereinstimmend, dass eine falsche Zuordnung von Befunden in eine Patientenkartei vorkommen kann, und zwar insbesondere dann, wenn eine manuelle Zuordnung in der Praxis erfolgt und versehentlich eine falsche Person angeklickt wird (VP S. 19). Angesichts der Tatsache, dass der Beschwerdeführer in einem Ärztezentrum mit mehreren Ärzten und Angestellten tätig ist, ist plausibel, dass der Beschwerdeführer eine derartige fehlerhafte Zuordnung im System vermutete.Aus den Aussagen des Beschwerdeführers und des Zeugen römisch 40 ergibt sich jedenfalls auch übereinstimmend, dass eine falsche Zuordnung von Befunden in eine Patientenkartei vorkommen kann, und zwar insbesondere dann, wenn eine manuelle Zuordnung in der Praxis erfolgt und versehentlich eine falsche Person angeklickt wird (VP S. 19). Angesichts der Tatsache, dass der Beschwerdeführer in einem Ärztezentrum mit mehreren Ärzten und Angestellten tätig ist, ist plausibel, dass der Beschwerdeführer eine derartige fehlerhafte Zuordnung im System vermutete. Der erkennende Senat übersieht dabei nicht, dass die Verantwortung des Beschwerdeführers im Verlaufe des Verfahrens im Detail abweichend und teilweise auch widersprüchlich war. Allerdings konnte dieser glaubhaft im Rahmen der mündlichen Verhandlung darlegen, dass er sich vor der Einvernahme vor der belangten Behörde nicht genau angeschaut habe, welche Befunde er konkret gesucht habe und sich gedacht habe, er könne das Ganze erklären. Er sei bei der Einvernahme vielleicht ein wenig naiv gewesen. Er habe jedoch übereinstimmend ausgesagt, dass er Befunde in den Patientenkarteien gesucht habe (VP S. 11), sodass der erkennende Senat insgesamt nicht davon ausgeht, dass es sich bei der Verantwortung des Beschwerdeführers um eine Schutzbehauptung handelt, sondern er vielmehr das gegenständliche Verfahren zunächst als einen Zug seiner Frau, um ihn „fertig zu machen“ (VP S. 8), sah und sich erst später im Verlauf des Verfahrens im Detail damit auseinandersetzte. Dass der Zugriff des Beschwerdeführers auf die ELGA-Akten der Betroffenen nicht bewusst erfolgte, erscheint ferner auch vor dem Hintergrund, dass dieser Zugriff ohne Stecken einer E-Card nur in einem eingeschränkten Zeitraum während der Covid-19-Pandemie möglich war, glaubhaft. Der Beschwerdeführer ist bereits seit geraumer Zeit als Arzt tätig, es erscheint daher nachvollziehbar, dass eine zeitlich beschränkte Änderung der Zugriffsmöglichkeiten auf ELGA (wenn auch vorwerfbar) an ihm vorübergegangen ist und er im bloßen Öffnen der Patientenkarteien, die Daten aus dem Behandlungsverhältnis zwischen ihm und den Betroffenen enthalten und zu deren Aufbewahrung ein Arzt auch nach Beendigung des Behandlungsverhältnisses verpflichtet ist, keine Rechtsverletzung vermutete. Gestützt wird diese Annahme durch die Tatsache, dass der Beschwerdeführer in der mündlichen Verhandlung durchgehend bemüht war, den Sachverhalt aufzuklären, aktiv die Funktionsweise der Software auf seinem Notebook vorführte und insgesamt glaubhaft vermitteln konnte, dass er nicht davon ausging, dass die von ihm in der mündlichen Verhandlung vorgezeigten Abfragen ein datenschutzrechtliches Problem darstellen würden. 2.

Die Angaben zum Einkommen, Vermögen sowie den Unterhaltspflichten des Beschwerdeführers beruhen auf den eigenen Angaben des Beschwerdeführers im Rahmen der mündlichen Verhandlung am 31.01.
Festzuhalten ist, dass der Beschwerdeführer im Rahmen der mündlichen Verhandlung angekündigt hatte, detaillierte Einkommensdaten nach der Verhandlung vorzulegen. Im Zuge der Stellungnahme vom 02.02.2023 legte der Beschwerdeführer jedoch lediglich einzelne Kontoauszüge vor, nicht jedoch Einkommenssteuerbescheide oder Unterlagen hinsichtlich der Unterhaltspflichten. Soweit der Beschwerdeführer darauf verweist, dass er letztere nicht vorlegen könne, weil diese (auch) personenbezogene Daten seiner Ex-Gattin sowie seines Kindes enthielten und diese daher einer Offenlegung zustimmen müssten, ist dem entgegenzuhalten, dass die Vorlage derartiger Unterlagen zum Zwecke der Feststellung der Einkommens- und Vermögensverhältnisse im Rahmen eines verwaltungsstrafgerichtlichen Verfahrens selbstverständlich von Art 6 DSGVO gedeckt ist. Der Beschwerdeführer ist daher seiner Mitwirkungspflicht nicht entsprechend nachgekommen. Soweit der Beschwerdeführer angab, dass von den ihm zur Verfügung stehenden EUR 5.500,00 monatlich Unterhaltsleistungen abgezogen würden, ist dies nicht glaubhaft, zumal dem Beschwerdeführer nach eigenen Angaben sodann kein weiterer Betrag zur Deckung seines Lebensunterhalts mehr verbleiben würde. Vielmehr ist daher auch vor dem Hintergrund der beruflichen Tätigkeit des Beschwerdeführers als Gesellschafter der GmbH, die das Ärztezentrum betreibt, in dem der Beschwerdeführer als Arzt tätig ist, davon auszugehen, dass dem Beschwerdeführer dieser Betrag in etwa auch monatlich zur Verfügung steht.2.
Die Angaben zum Einkommen, Vermögen sowie den Unterhaltspflichten des Beschwerdeführers beruhen auf den eigenen Angaben des Beschwerdeführers im Rahmen der mündlichen Verhandlung am 31.01.
Festzuhalten ist, dass der Beschwerdeführer im Rahmen der mündlichen Verhandlung angekündigt hatte, detaillierte Einkommensdaten nach der Verhandlung vorzulegen. Im Zuge der Stellungnahme vom 02.02.2023 legte der Beschwerdeführer jedoch lediglich einzelne Kontoauszüge vor, nicht jedoch Einkommenssteuerbescheide oder Unterlagen hinsichtlich der Unterhaltspflichten. Soweit der Beschwerdeführer darauf verweist, dass er letztere nicht vorlegen könne, weil diese (auch) personenbezogene Daten seiner Ex-Gattin sowie seines Kindes enthielten und diese daher einer Offenlegung zustimmen müssten, ist dem entgegenzuhalten, dass die Vorlage derartiger Unterlagen zum Zwecke der Feststellung der Einkommens- und Vermögensverhältnisse im Rahmen eines verwaltungsstrafgerichtlichen Verfahrens selbstverständlich von Artikel 6, DSGVO gedeckt ist. Der Beschwerdeführer ist daher seiner Mitwirkungspflicht nicht entsprechend nachgekommen. Soweit der Beschwerdeführer angab, dass von den ihm zur Verfügung stehenden EUR 5.500,00 monatlich Unterhaltsleistungen abgezogen würden, ist dies nicht glaubhaft, zumal dem Beschwerdeführer nach eigenen Angaben sodann kein weiterer Betrag zur Deckung seines Lebensunterhalts mehr verbleiben würde. Vielmehr ist daher auch vor dem Hintergrund der beruflichen Tätigkeit des Beschwerdeführers als Gesellschafter der GmbH, die das Ärztezentrum betreibt, in dem der Beschwerdeführer als Arzt tätig ist, davon auszugehen, dass dem Beschwerdeführer dieser Betrag in etwa auch monatlich zur Verfügung steht. Auch aus den vom Beschwerdeführer ohne weitere Erklärung vorgelegten Unterlagen (OZ 7) ist nicht ersichtlich, worauf sich diese beziehen: Aus diesen Unterlagen ergeben sich weder Laufzeit, Höhe und Dauer von (Kredit-)Verbindlichkeiten, sodass auch diesbezüglich keine Feststellungen getroffen werden konnten. Allein aus der Tatsache, dass ein Konto im Zeitpunkt der Erstellung eines Kontoauszuges einen negativen Stand aufweist, kann nicht auf das Bestehen von zu berücksichtigenden Verbindlichkeiten geschlossen werden. Das erkennende Gericht geht daher von einem monatlich verfügbaren Betrag von etwa EUR 5.500,00 aus.
Rechtliche Beurteilung Zu A) Zu Spruchpunkt I.Zu Spruchpunkt römisch eins. Nach § 27 Abs.1 DSG entscheidet das Bundesverwaltungsgericht durch Senat unter anderem über Beschwerden gegen Bescheide der Datenschutzbehörde. Nach Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat unter anderem über Beschwerden gegen Bescheide der Datenschutzbehörde. 3.
Zu den Rechtsgrundlagen: Die belangte Behörde hat in ihrem Straferkenntnis unter anderem die folgenden Rechtsgrundlagen zugrunde gelegt: Art. 5 Abs. 1 lit. a, b und c sowie Art. 9 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgFDie belangte Behörde hat in ihrem Straferkenntnis unter anderem die folgenden Rechtsgrundlagen zugrunde gelegt: Artikel 5, Absatz eins, Litera a, b und c sowie Artikel 9, Absatz eins, in Verbindung mit Artikel 83, Absatz eins und 5 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen, darüber hinaus sind auch die §§ 5, 10, 16 und 19 VStG relevant.Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen, darüber hinaus sind auch die Paragraphen 5, 10, 16 und 19 VStG relevant. Relevante Bestimmungen des Gesundheitstelematikgesetz (GTelG 2012): Grundsätze der Datenverarbeitung § 14.

(1)Die Verarbeitung (Art. 4 Z 2 DSGVO) von ELGA-Gesundheitsdaten ist nur zulässig, wennParagraph 14,

(1)Die Verarbeitung (Artikel 4, Ziffer 2, DSGVO) von ELGA-Gesundheitsdaten ist nur zulässig, wenn

die ELGA-Teilnehmer/innen (§ 15 Abs. 1) gemäß § 18 eindeutig identifiziert wurden,
die ELGA-Teilnehmer/innen (Paragraph 15, Absatz eins,) gemäß Paragraph 18, eindeutig identifiziert wurden,
die ELGA-Gesundheitsdiensteanbieter oder die ELGA-Ombudsstelle gemäß § 19 eindeutig identifiziert wurden und
die ELGA-Gesundheitsdiensteanbieter oder die ELGA-Ombudsstelle gemäß Paragraph 19, eindeutig identifiziert wurden und
die ELGA-Gesundheitsdiensteanbieter oder die ELGA-Ombudsstelle gemäß § 21 zur Verarbeitung der ELGA-Gesundheitsdaten berechtigt sind.
die ELGA-Gesundheitsdiensteanbieter oder die ELGA-Ombudsstelle gemäß Paragraph 21, zur Verarbeitung der ELGA-Gesundheitsdaten berechtigt sind.

(2)Die durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten dürfen personenbezogen ausschließlich

für Zwecke gemäß Art. 9 Abs. 2 lit. h DSGVO, ausgenommen für die Zwecke der Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich sowie – unbeschadet der Fälle zulässiger Verarbeitung gemäß § 14 Abs. 3a – ausgenommen für Zwecke der Arbeitsmedizin und die Beurteilung der Arbeitsfähigkeit des Beschäftigten, von
für Zwecke gemäß Artikel 9, Absatz 2, Litera h, DSGVO, ausgenommen für die Zwecke der Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich sowie – unbeschadet der Fälle zulässiger Verarbeitung gemäß Paragraph 14, Absatz 3 a, – ausgenommen für Zwecke der Arbeitsmedizin und die Beurteilung der Arbeitsfähigkeit des Beschäftigten, von a) den/die ELGA-Teilnehmer/in behandelnden oder betreuenden ELGA-Gesundheitsdiensteanbietern, […]
[…] verarbeitet werden.

(2a)Die Wahrnehmung der Teilnehmer/innen/rechte gemäß § 16 steht ab Vollendung des 14. Lebensjahres (mündige Minderjährige) ausschließlich dem ELGA-Teilnehmer/der ELGA-Teilnehmerin zu.

(3)Das Verlangen, der Zugriff auf und die Verarbeitung von durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten ist jedenfalls verboten:

(2a)Die Wahrnehmung der Teilnehmer/innen/rechte gemäß Paragraph 16, steht ab Vollendung des 14. Lebensjahres (mündige Minderjährige) ausschließlich dem ELGA-Teilnehmer/der ELGA-Teilnehmerin zu.,

(3)Das Verlangen, der Zugriff auf und die Verarbeitung von durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten ist jedenfalls verboten:

Personen oder Einrichtungen, die weder ELGA-Gesundheitsdiensteanbieter (§ 2 Z 10) noch ELGA-Ombudsstelle (§ 2 Z 14) sind,
Personen oder Einrichtungen, die weder ELGA-Gesundheitsdiensteanbieter (Paragraph 2, Ziffer 10,) noch ELGA-Ombudsstelle (Paragraph 2, Ziffer 14,) sind,
ELGA-Gesundheitsdiensteanbietern, die nicht in die Behandlung oder Betreuung eines ELGA-Teilnehmers/einer ELGA-Teilnehmerin eingebunden sind,
ELGA-Gesundheitsdiensteanbietern, wenn die Voraussetzungen des Abs. 1 nicht erfüllt sind,
ELGA-Gesundheitsdiensteanbietern, wenn die Voraussetzungen des Absatz eins, nicht erfüllt sind, […] Relevante Bestimmungen des Gesundheitstelematikgesetzes (GTelG 2012), die mit Ablauf des 30.06.2022 außer Kraft getreten sind (in Kraft ab 22.03.2020): § 27.

(14b)Die Überprüfung der Identität der betroffenen Personen (§ 4 Abs. 3, § 18 Abs. 4) darf gemäß Abs. 16 anhand des Namens und der Sozialversicherungsnummer der betroffenen Person und gemäß § 19 Abs. 2 Z 1 erfolgen.Paragraph 27,

(14b)Die Überprüfung der Identität der betroffenen Personen (Paragraph 4, Absatz 3,, Paragraph 18, Absatz 4,) darf gemäß Absatz 16, anhand des Namens und der Sozialversicherungsnummer der betroffenen Person und gemäß Paragraph 19, Absatz 2, Ziffer eins, erfolgen. Die gesetzlichen Grundlagen nach der DSGVO lauten auszugsweise wie folgt: Art. 4 Z 2 und 7 DSGVO:Artikel 4, Ziffer 2 und 7 DSGVO: Artikel 4 DSGVO Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck: […]

„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; […]
„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; […] Art 5 Abs 1 lit a, b und c DSGVO:Artikel 5, Absatz eins, Litera a, b und c DSGVO: Artikel 5 DSGVO Grundsätze für die Verarbeitung personenbezogener Daten

(1)Personenbezogene Daten müssen

a)auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b)für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“); Art 9 Abs 1 DSGVO:Artikel 9, Absatz eins, DSGVO: Artikel 9 DSGVO Verarbeitung besondere Kategorien personenbezogener Daten

(1)Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt. Art 83 Abs 1 und 5 lit a DSGVO:Artikel 83, Absatz eins und 5 Litera a, DSGVO: Artikel 83 DSGVO Allgemeine Bedingungen für die Verhängung von Geldbußen […]

(1)Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(5)Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9; […] Die gesetzlichen Grundlagen nach dem VStG lauten: Schuld § 5.

(1)Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft.Paragraph 5,

(1a)Abs. 1 zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.

(1a)Absatz eins, zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.

(2)Unkenntnis der Verwaltungsvorschrift, der der Täter zuwidergehandelt hat, entschuldigt nur dann, wenn sie erwiesenermaßen unverschuldet ist und der Täter das Unerlaubte seines Verhaltens ohne Kenntnis der Verwaltungsvorschrift nicht einsehen konnte. Strafen § 10.

(1)Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem Bundesgesetz nicht anderes bestimmt ist.Paragraph 10,

(1)Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem Bundesgesetz nicht anderes bestimmt ist.

(2)Soweit für Verwaltungsübertretungen, insbesondere auch für die Übertretung ortspolizeilicher Vorschriften, keine besondere Strafe festgesetzt ist, werden sie mit Geldstrafe bis zu 218 Euro oder mit Freiheitsstrafe bis zu zwei Wochen bestraft. Ersatzfreiheitsstrafe § 16.

(1)Wird eine Geldstrafe verhängt, so ist zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen.Paragraph 16,

(1)Wird eine Geldstrafe verhängt, so ist zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen.

(2)Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf § 12 nach den Regeln der Strafbemessung festzusetzen.

(2)Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf Paragraph 12, nach den Regeln der Strafbemessung festzusetzen. Strafbemessung § 19.

(1)Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.Paragraph 19,

(1)Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.

(2)Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.

(2)Im ordentlichen Verfahren (Paragraphen 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die Paragraphen 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen. 3.

Zur Erfüllung des objektiven Tatbestands: 3.2.
Zur Verarbeitung: Zur Verantwortlichkeit iSd DSGVO: Der Beschwerdeführer hat die gegenständlichen Zugriffe auf die ELGA-Akten der Betroffenen selbst vorgenommen. Die belangte Behörde ging zutreffend davon aus, dass der Beschwerdeführer Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO war, was dieser auch nicht bestritt. Der Beschwerdeführer ist zweifelsohne auch Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. a GTelG, und die Betroffenen sind ELGA-Teilnehmer gemäß § 2 Z 12 GTelG.Der Beschwerdeführer hat die gegenständlichen Zugriffe auf die ELGA-Akten der Betroffenen selbst vorgenommen. Die belangte Behörde ging zutreffend davon aus, dass der Beschwerdeführer Verantwortlicher im Sinne des Artikel 4, Ziffer 7, DSGVO war, was dieser auch nicht bestritt. Der Beschwerdeführer ist zweifelsohne auch Gesundheitsdiensteanbieter gemäß Paragraph 2, Ziffer 10, Litera a, GTelG, und die Betroffenen sind ELGA-Teilnehmer gemäß Paragraph 2, Ziffer 12, GTelG. Als Verantwortlicher ist der Beschwerdeführer Adressat der Pflichten aus der DSGVO in Bezug auf den Datenschutz im Zusammenhang mit Patientendaten. Zur Einordnung als personenbezogene Gesundheitsdaten: Die e-Medikationsdaten der Betroffenen sind zweifelsfrei personenbezogene Gesundheitsdaten im Sinne von § 2 Z 1 GTelG iVm Art. 4 Z 15 DSGVO. Die e-Medikationsdaten der Betroffenen sind zweifelsfrei personenbezogene Gesundheitsdaten im Sinne von Paragraph 2, Ziffer eins, GTelG in Verbindung mit Artikel 4, Ziffer 15, DSGVO. Zur Verarbeitung im Sinne der DSGVO: Entgegen der Auffassung des Beschwerdeführers umfasst der Begriff „Verarbeitung“ nach Art 4 Z 2 DSGVO nicht nur das „Sichtbarmachen“ bzw. das „aktive Lesen“ von personenbezogenen Daten. Die DSGVO definiert den Begriff der „Verarbeitung“ in Art. 4 Z 2 DSGVO durch die Aufzählung einer Reihe von möglichen Nutzungsvorgängen. Mitumfasst sind dabei das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Generell ist der Begriff äußerst weit gefasst. Die DSGVO unterscheidet weder hinsichtlich der Intensität oder Dauer einer jeweiligen Verarbeitung, noch wird im Zusammenhang mit der für die Verarbeitung eingesetzten Technik eine Differenzierung vorgenommen (Jahnel, Kommentar zu Datenschutz-Grundverordnung Art 4 Z 2 DSGVO Rz 5, 18).„Erheben“ bezeichnet das Sammeln von Daten über eine betroffene Person durch den Verantwortlichen. Solange die Daten durch ein aktives Tun des Verantwortlichen beschafft werden, spielt es keine Rolle, auf welche Art und Weise die Erhebung stattfindet. Daten können daher beispielsweise via Internetsuche abgerufen oder es können Personen direkt mündlich befragt werden (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 2 DSGVO Rz 8).Entgegen der Auffassung des Beschwerdeführers umfasst der Begriff „Verarbeitung“ nach Artikel 4, Ziffer 2, DSGVO nicht nur das „Sichtbarmachen“ bzw. das „aktive Lesen“ von personenbezogenen Daten. Die DSGVO definiert den Begriff der „Verarbeitung“ in Artikel 4, Ziffer 2, DSGVO durch die Aufzählung einer Reihe von möglichen Nutzungsvorgängen. Mitumfasst sind dabei das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Generell ist der Begriff äußerst weit gefasst. Die DSGVO unterscheidet weder hinsichtlich der Intensität oder Dauer einer jeweiligen Verarbeitung, noch wird im Zusammenhang mit der für die Verarbeitung eingesetzten Technik eine Differenzierung vorgenommen (Jahnel, Kommentar zu Datenschutz-Grundverordnung Artikel 4, Ziffer 2, DSGVO Rz 5, 18)., „Erheben“ bezeichnet das Sammeln von Daten über eine betroffene Person durch den Verantwortlichen. Solange die Daten durch ein aktives Tun des Verantwortlichen beschafft werden, spielt es keine Rolle, auf welche Art und Weise die Erhebung stattfindet. Daten können daher beispielsweise via Internetsuche abgerufen oder es können Personen direkt mündlich befragt werden vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 2, DSGVO Rz 8). Durch das Erheben und Erfassen gelangen Daten in den Verfügungsbereich des Verantwortlichen, wobei hier aktive Handlungen gesetzt werden. Eine inhaltliche Kenntnisnahme wird dabei nicht verlangt, allerdings die Möglichkeit, die Daten inhaltlich zur Kenntnis nehmen zu können (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 29 (Stand 1.12.2018, rdb.at)).Durch das Erheben und Erfassen gelangen Daten in den Verfügungsbereich des Verantwortlichen, wobei hier aktive Handlungen gesetzt werden. Eine inhaltliche Kenntnisnahme wird dabei nicht verlangt, allerdings die Möglichkeit, die Daten inhaltlich zur Kenntnis nehmen zu können (Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 29 (Stand 1.12.2018, rdb.at)). Das „Auslesen“ von personenbezogenen Daten (in der englischen Übersetzung „retrieval“) hat eine doppelte Bedeutung. Auslesen liegt jedenfalls vor, wenn die Daten der Sehfunktion eines Menschen zugänglich gemacht werden. Sie werden dafür auf einem Display oder einem anderen Endgerät sichtbar gemacht (vgl Sydow/Reimer, Europäische Datenschutzgrundverordnung, Art. 4 Rn. 63; Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Artikel 4 Nr. 2 Rn 22). Das „Auslesen“ von personenbezogenen Daten (in der englischen Übersetzung „retrieval“) hat eine doppelte Bedeutung. Auslesen liegt jedenfalls vor, wenn die Daten der Sehfunktion eines Menschen zugänglich gemacht werden. Sie werden dafür auf einem Display oder einem anderen Endgerät sichtbar gemacht vergleiche Sydow/Reimer, Europäische Datenschutzgrundverordnung, Artikel 4, Rn. 63; Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Artikel 4 Nr. 2 Rn 22). Die „Verwendung“ von Daten stellt einen Auffangtatbestand dar, der jeglichen Gebrauch personenbezogener Daten umfasst, der den übrigen angeführten Nutzungskategorien nicht eindeutig zugeordnet werden kann (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 2 DSGVO Rz 13).Die „Verwendung“ von Daten stellt einen Auffangtatbestand dar, der jeglichen Gebrauch personenbezogener Daten umfasst, der den übrigen angeführten Nutzungskategorien nicht eindeutig zugeordnet werden kann vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 2, DSGVO Rz 13). Die mitbeteiligten Parteien sind seit Juli 2016 nicht mehr beim Beschwerdeführer in Behandlung. Obwohl der Beschwerdeführer als Gesundheitsanbieter nicht mehr in die Behandlung der mitbeteiligten Parteien eingebunden war, hat er zu den oben festgestellten Zeitpunkten auf deren ELGA-Gesundheitsdaten zugegriffen. Demnach erfolgte im vorliegen Fall eine Verarbeitung personenbezogener Daten im Sinne von § 14 GTelG Abs. 3 Z 2 iVm Art. 4 Z 2 DSGVO, auch wenn der Beschwerdeführer die Daten tatsächlich nicht aktiv angesehen hat. Die bloße Möglichkeit der Kenntnisnahme ist ausreichend. Diese war durch das Abrufen der e-Medikationsdaten der Betroffenen in einem separaten „Befundcockpit“ gegeben.Demnach erfolgte im vorliegen Fall eine Verarbeitung personenbezogener Daten im Sinne von Paragraph 14, GTelG Absatz 3, Ziffer 2, in Verbindung mit Artikel 4, Ziffer 2, DSGVO, auch wenn der Beschwerdeführer die Daten tatsächlich nicht aktiv angesehen hat. Die bloße Möglichkeit der Kenntnisnahme ist ausreichend. Diese war durch das Abrufen der e-Medikationsdaten der Betroffenen in einem separaten „Befundcockpit“ gegeben. Wie lange der Zugriff konkret dauerte und ob sich der Beschwerdeführer tatsächlich von den automatisch beim Öffnen der Patientenkarteien abgeglichenen bzw. aus dem ELGA-Akt ausgelesenen Daten Kenntnis verschafft hat, ist rechtlich vor diesem Hintergrund irrelevant, zumal auch das bloße Auslesen oder der Abgleich von Daten eine Verarbeitung im Sinne des Art. 4 Z 2 DSGVO darstellt und die DSGVO nicht hinsichtlich der Intensität oder Dauer einer Verarbeitung unterscheidet.Wie lange der Zugriff konkret dauerte und ob sich der Beschwerdeführer tatsächlich von den automatisch beim Öffnen der Patientenkarteien abgeglichenen bzw. aus dem ELGA-Akt ausgelesenen Daten Kenntnis verschafft hat, ist rechtlich vor diesem Hintergrund irrelevant, zumal auch das bloße Auslesen oder der Abgleich von Daten eine Verarbeitung im Sinne des Artikel 4, Ziffer 2, DSGVO darstellt und die DSGVO nicht hinsichtlich der Intensität oder Dauer einer Verarbeitung unterscheidet. 3.2.
Zur Rechtmäßigkeit der Datenverarbeitung (Spruchpunkt I. des bekämpften Straferkenntnisses)3.2.
Zur Rechtmäßigkeit der Datenverarbeitung (Spruchpunkt römisch eins. des bekämpften Straferkenntnisses) Gemäß den Verarbeitungsgrundsätzen nach Art 5 DSGVO müssen personenbezogene Daten – soweit verfahrensrelevant – auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“;

Art 5Abs 1 lit a DSGVO).

Sie dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden („Zweckbindung“;

Art. 5Abs.

1 lit. b DSGVO). Ferner müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“;

Art 5Abs 1 lit c DSGVO).

Gemäß den Verarbeitungsgrundsätzen nach Artikel 5, DSGVO müssen personenbezogene Daten – soweit verfahrensrelevant – auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“;

Artikel 5, Absatz eins, Litera a, DSGVO).

Artikel 5, Absatz eins, Litera b, DSGVO).

Ferner müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“;

Artikel 5, Absatz eins, Litera c, DSGVO).

Nach Art. 9 Abs. 1 DSGVO sind besondere Kategorien personenbezogener Daten (im Folgenden: „sensible Daten“) aufgrund ihres engen Bezugs zu den Grundrechten und Grundfreiheiten (

Erwägungsgrund 51 S 1) schon per se besonders schutzwürdig, ihre Verarbeitung daher grundsätzlich verboten, so auch die Verarbeitung von Gesundheitsdaten, sofern kein Ausnahmetatbestand nach Artikel 9, Absatz 2, DSGVO vorliegt. Nach Artikel 9, Absatz 4, können Mitgliedstaaten zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit u.a. die Verarbeitung von Gesundheitsdaten betroffen ist und damit die Anforderungen des Ausnahmekatalogs in Absatz 2, noch einmal verschärfen (Ehmann/Seymar, Artikel 9,, Rz 64). Der österreichische Gesetzgeber hat davon Gebrauch gemacht und in Paragraph 14, GTelG geregelt, dass die durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten personenbezogen ausschließlich für Zwecke gemäß Artikel 9, Absatz 2, Litera h, DSGVO von den/die ELGA-Teilnehmer/in behandelnden oder betreuenden ELGA-Gesundheitsanbietern verarbeitet werden dürfen (Paragraph 14, Absatz 2, Ziffer eins, Buchst. a GTelG) und dass der Zugriff und die Verarbeitung von durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten ELGA-Gesundheitsdiensteanbietern, die nicht in die Behandlung oder Betreuung eines ELGA-Teilnehmers/einer ELGA-Teilnehmern eingebunden sind, verboten ist (Absatz 3, Ziffer 2, GTelG). Mit diesen Bestimmungen soll ELGA-Teilnehmer/innen der bestmögliche Schutz vor dem Abnötigen eines ELGA-Zugriffs und somit der Kenntnisnahme ihrer ELGA-Gesundheitsdaten geboten werden (1936 der Beilagen römisch 24 . Gesetzgebungsperiode – Regierungsvorlage – Erläuterungen, S. 28). Für den gegenständlichen Fall bedeutet das: Da der Beschwerdeführer die e-Medikationsdaten der Betroffenen durch Öffnen der Patientenkarteien aus ELGA abgerufen hat, ohne dass die Betroffenen in einem Behandlungsverhältnis zum Beschwerdeführer standen oder ihre Zustimmung zum Abruf gegeben hatten, ist der objektive Tatbestand eines Verstoßes gegen die Grundsätze für die Verarbeitung des Art 5 Abs 1 lit a, b und c erfüllt, da weder dem Grundsatz der Rechtmäßigkeit der Datenverarbeitung, noch dem Grundsatz der Zweckbindung oder der Datenminimierung gefolgt wurde, noch ein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO (konkret des Art. 9 Abs. 2 lit h DSGVO) vorlag.Da der Beschwerdeführer die e-Medikationsdaten der Betroffenen durch Öffnen der Patientenkarteien aus ELGA abgerufen hat, ohne dass die Betroffenen in einem Behandlungsverhältnis zum Beschwerdeführer standen oder ihre Zustimmung zum Abruf gegeben hatten, ist der objektive Tatbestand eines Verstoßes gegen die Grundsätze für die Verarbeitung des Artikel 5, Absatz eins, Litera a, b und c erfüllt, da weder dem Grundsatz der Rechtmäßigkeit der Datenverarbeitung, noch dem Grundsatz der Zweckbindung oder der Datenminimierung gefolgt wurde, noch ein Ausnahmetatbestand des Artikel 9, Absatz 2, DSGVO (konkret des Artikel 9, Absatz 2, Litera h, DSGVO) vorlag. Soweit der Beschwerdeführer angab, aufgrund der zum Zeitpunkt des Zugriffs auf die Daten des damals minderjährigen XXXX am 11.05.2021 obsorgeberechtigt und damit auch zugriffsberechtigt gewesen zu sein, ist dem entgegenzuhalten, dass XXXX am 04.03.2003 geboren ist und zum Zeitpunkt des Zugriffs somit bereits volljährig war. Selbst wenn er zum Zeitpunkt des Zugriffs noch minderjährig gewesen wäre, wäre für den Beschwerdeführer nichts gewonnen, zumal gemäß § 14 Abs 2a GTelG 2012 die Wahrnehmung der Teilnehmer/innen/rechte gemäß § 16 ab Vollendung des

Lebensjahres (mündige Minderjährige) ausschließlich dem ELGA-Teilnehmer/der ELGA-Teilnehmerin zusteht. XXXX hatte dem Beschwerdeführer keine Zugriffserlaubnis erteilt. Der Beschwerdeführer war daher ungeachtet einer allfälligen Obsorgeregelung nicht berechtigt, auf die ELGA e-Medikationsdaten seines Sohnes zuzugreifen.Soweit der Beschwerdeführer angab, aufgrund der zum Zeitpunkt des Zugriffs auf die Daten des damals minderjährigen römisch 40 am 11.05.2021 obsorgeberechtigt und damit auch zugriffsberechtigt gewesen zu sein, ist dem entgegenzuhalten, dass römisch 40 am 04.03.2003 geboren ist und zum Zeitpunkt des Zugriffs somit bereits volljährig war. Selbst wenn er zum Zeitpunkt des Zugriffs noch minderjährig gewesen wäre, wäre für den Beschwerdeführer nichts gewonnen, zumal gemäß Paragraph 14, Absatz 2 a, GTelG 2012 die Wahrnehmung der Teilnehmer/innen/rechte gemäß Paragraph 16, ab Vollendung des
Lebensjahres (mündige Minderjährige) ausschließlich dem ELGA-Teilnehmer/der ELGA-Teilnehmerin zusteht. römisch 40 hatte dem Beschwerdeführer keine Zugriffserlaubnis erteilt. Der Beschwerdeführer war daher ungeachtet einer allfälligen Obsorgeregelung nicht berechtigt, auf die ELGA e-Medikationsdaten seines Sohnes zuzugreifen. Die Strafbarkeit dieses Verstoßes gründet sich auf Art 83 Abs 5 lit a DSGVO.Die Strafbarkeit dieses Verstoßes gründet sich auf Artikel 83, Absatz 5, Litera a, DSGVO. 3.
Zur Erfüllung des subjektiven Tatbestands: Wie dargestellt, hat der Beschwerdeführer die im Hintergrund erfolgten Zugriffe auf die ELGA-Akten der Betroffenen nicht bestritten. Er gab jedoch an, sich im Zeitpunkt des Öffnens der Patientenkarteien nicht bewusst gewesen zu sein, dass damit automatisch auch im Hintergrund eine ELGA-Abfrage durchgeführt werde, sondern dies erst nach Einleitung des gegenständlichen Verwaltungsstrafverfahrens erfahren zu haben. Die belangte Behörde ging aufgrund der widersprüchlichen Angaben in der Verantwortung des Beschwerdeführers auf die Frage, warum er die Patientenkarteien geöffnet habe und wonach er gesucht habe, davon aus, dass es sich bei den Angaben des Beschwerdeführers um bloße Schutzbehauptungen handelte und der Zugriff somit vorsätzlich erfolgte, um sich aufgrund privater Interessen über die e-Medikationsdaten der Betroffenen zu informieren. Entgegen der Ansicht der belangten Behörde lässt sich allein aus der Verantwortung des Beschwerdeführers über das Verfahren hinweg kein Vorsatz ableiten. Der Tatbestand des Art 83 Abs 5 lit a DSGVO setzt (vereinfacht gesagt) einen Verstoß gegen die Grundsätze für die Verarbeitung nach Art 5 DSGVO voraus. Objektiv liegt dieser wie dargestellt vor.Der Tatbestand des Artikel 83, Absatz 5, Litera a, DSGVO setzt (vereinfacht gesagt) einen Verstoß gegen die Grundsätze für die Verarbeitung nach Artikel 5, DSGVO voraus. Objektiv liegt dieser wie dargestellt vor. Allerdings zeigt sich im gegenständlichen Fall anhand der Ausführungen des Beschwerdeführers, dass dieser einem Tatbildirrtum unterlag, zumal ihm nicht bekannt war, dass durch gesetzliche, durch die Covid-19-Pandemie bedingte Änderungen ein Öffnen der Patientenkartei automatisch auch eine ELGA-Abfrage initiierte. Während ein Verbotsirrtum die rechtliche Fehlbeurteilung eines in seiner Faktizität und seinem Bedeutungsgehalt zutreffend erkannten Sachverhalts betrifft, verkennt der Täter bei Vorliegen eines Tatbildirrtums das Vorliegen eines Tatbestandelements und handelt insoweit vorsatzlos. Er kann daher jedenfalls nicht wegen vorsätzlicher Begehung, bei vorwerfbarem Irrtum und gesetzlich vorgesehener Fahrlässigkeitsvariante aber selbstredend wegen fahrlässiger Deliktsverwirklichung bestraft werden; zB VwGH
1997, 96/17/0097; Lewisch in Lewisch/Fister/Weilguni, VStG2 § 5 Rz 15 (Stand 1.5.2017, rdb.at)). Aus dem Wesen des Tatbildirrtums als "Negation des Vorsatzes" folgt, dass bei einem Tatbildirrtum eine Bestrafung wegen eines Vorsatzdeliktes in keinem Fall in Betracht kommt. Bei einem Tatbildirrtum hinsichtlich eines Fahrlässigkeitsdeliktes ist der Täter aber dann strafbar, wenn der Tatbildirrtum auf Fahrlässigkeit beruht (VwGH 16.05.2019, Ra 2019/21/0036). Es ist daher entscheidend, ob dem Täter der Tatbildirrtum vorwerfbar ist.Während ein Verbotsirrtum die rechtliche Fehlbeurteilung eines in seiner Faktizität und seinem Bedeutungsgehalt zutreffend erkannten Sachverhalts betrifft, verkennt der Täter bei Vorliegen eines Tatbildirrtums das Vorliegen eines Tatbestandelements und handelt insoweit vorsatzlos. Er kann daher jedenfalls nicht wegen vorsätzlicher Begehung, bei vorwerfbarem Irrtum und gesetzlich vorgesehener Fahrlässigkeitsvariante aber selbstredend wegen fahrlässiger Deliktsverwirklichung bestraft werden; zB VwGH
1997, 96/17/0097; Lewisch in Lewisch/Fister/Weilguni, VStG2 Paragraph 5, Rz 15 (Stand 1.5.2017, rdb.at)). Aus dem Wesen des Tatbildirrtums als "Negation des Vorsatzes" folgt, dass bei einem Tatbildirrtum eine Bestrafung wegen eines Vorsatzdeliktes in keinem Fall in Betracht kommt. Bei einem Tatbildirrtum hinsichtlich eines Fahrlässigkeitsdeliktes ist der Täter aber dann strafbar, wenn der Tatbildirrtum auf Fahrlässigkeit beruht (VwGH 16.05.2019, Ra 2019/21/0036). Es ist daher entscheidend, ob dem Täter der Tatbildirrtum vorwerfbar ist. Dem Beschwerdeführer ist der Tatbildirrtum im konkreten vorwerfbar, wenn er sich – trotz Veranlassung hierzu – über die Änderungen der Abfrageberechtigung während der Covid-19-Pandemie und die automatisierte ELGA-Abfrage nicht näher informiert bzw. die Informationen der Sozialversicherung sowie des Anbieters der Software nicht entsprechend wahrgenommen und berücksichtigt hat. Es besteht also insoweit eine Erkundungspflicht. Dem Beschwerdeführer musste es aufgrund der Informationen durch die Sozialversicherung, der Ärztekammer und den Anbieter der Software bekannt sein, dass es zu Änderungen beim ELGA-Zugriff im Rahmen der Covid-19-Pandemie gekommen war. Ferner musste ihm bekannt sein, dass es einschlägige Bestimmungen hinsichtlich der Zugriffsberechtigungen auf Patientendaten gibt, zumal der Beschwerdeführer in einem Beruf tätig ist, in dem Datenschutz einen hohen Stellenwert einnimmt und Sonderregelungen in den einschlägigen Gesetzen bestehen. Indem der Beschwerdeführer keine Erkundigungen eingeholt hat sowie Informationsschreiben und das Benutzerhandbuch der Software nicht berücksichtigt hat, ist ihm der Tatbildirrtum vorwerfbar. Selbst wenn dem Beschwerdeführer bewusst gewesen sein sollte, dass mit dem Öffnen der Patientenkartei automatisch auch eine ELGA-Abfrage initiiert wird, so dachte der Beschwerdeführer irrtümlich, dass keine Datenverarbeitung vorliege, solange er die Daten nicht aktiv lese bzw. aufrufe. Der Beschwerdeführer handelte insofern fahrlässig (vorwerfbarer Verbotsirrtum), als er sich nicht über die entsprechenden Bestimmungen und insbesondere die Änderungen aufgrund der Covid-19-Pandemie informierte, obwohl ihm bewusst sein musste, dass dem Datenschutz gerade in Gesundheitsberufen ein hoher Stellenwert zukommt, zumal es sich um sensible Daten handelt. Dies gilt umso mehr, als über die DSGVO seit deren Wirksamwerden im Jahre 2018 breit in der Öffentlichkeit informiert und diskutiert wurde, eine große Anzahl von medialen Beiträgen zu diesem Thema erschienen ist und Datenschutz durch das Internet und die Digitalisierung ein ständiger Begleiter ist. Unterlässt der Beschuldigte bei gebotener Informationspflicht derartige Erkundigungen, ist der Verbotsirrtum vorwerfbar (VwGH 10.02.1999, 98/09/0298). Im Ergebnis liegt daher auf der subjektiven Tatseite Verschulden in Form von fahrlässigem Verhalten im Sinne des Art 83 Abs 2 lit b DSGVO vor.Im Ergebnis liegt daher auf der subjektiven Tatseite Verschulden in Form von fahrlässigem Verhalten im Sinne des Artikel 83, Absatz 2, Litera b, DSGVO vor. 3.
Zur Strafbemessung: Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (VwGH 05.09.2013, 2013/09/0106).Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im Paragraph 19, VStG festgelegten Kriterien vorzunehmen ist (VwGH 05.09.2013, 2013/09/0106). Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (§ 19 Abs. 1 VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (§ 19 Abs. 2 VStG).Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (Paragraph 19, Absatz eins, VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die Paragraphen 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (Paragraph 19, Absatz 2, VStG). Art 83 Abs 2 DSGVO sieht im Rahmen der Strafbemessung die folgenden Kriterien vor: Artikel 83, Absatz 2, DSGVO sieht im Rahmen der Strafbemessung die folgenden Kriterien vor:

(2)Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a)Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b)Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c)jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d)Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
e)etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f)Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g)Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h)Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i)Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
j)Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
k)jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste. Bezogen auf den vorliegenden Sachverhalt wurde bereits von der belangten Behörde bei der Strafzumessung Folgendes erschwerend berücksichtigt: - Art und Schwere des Verstoßes: Der Beschwerdeführer hat durch die gegenständliche Verarbeitung (zum Teils mehrmals) in das Grundrecht von vier Betroffenen auf Geheimhaltung unrechtmäßig eingegriffen. Die Betroffenen konnten darauf vertrauen, dass ihre sensiblen Daten im Rahmen der e-Medikations-Anwendung in ELGA von grundsätzlich befugten Personen bzw. zugelassenen Ärzten nicht missbräuchlich verwendet, sondern ausschließlich im Rahmen der gesetzlichen Vorgaben des GTelG 2012 verarbeitet werden. Die Betroffenen wurden durch den Eingriff in ihrem Recht auf Geheimhaltung nach § 1 Abs. 1 DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC verletzt. Als besonders erschwerend wurde die missbräuchliche Verwendung der e-Medikationsdaten für eine zweckwidrige Verarbeitung durch den Beschuldigten als in Österreich niedergelassenen Arzt bewertet.- Art und Schwere des Verstoßes: Der Beschwerdeführer hat durch die gegenständliche Verarbeitung (zum Teils mehrmals) in das Grundrecht von vier Betroffenen auf Geheimhaltung unrechtmäßig eingegriffen. Die Betroffenen konnten darauf vertrauen, dass ihre sensiblen Daten im Rahmen der e-Medikations-Anwendung in ELGA von grundsätzlich befugten Personen bzw. zugelassenen Ärzten nicht missbräuchlich verwendet, sondern ausschließlich im Rahmen der gesetzlichen Vorgaben des GTelG 2012 verarbeitet werden. Die Betroffenen wurden durch den Eingriff in ihrem Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Artikel 7 und 8 EU-GRC verletzt. Als besonders erschwerend wurde die missbräuchliche Verwendung der e-Medikationsdaten für eine zweckwidrige Verarbeitung durch den Beschuldigten als in Österreich niedergelassenen Arzt bewertet. - Kategorien personenbezogener Daten, die vom Verstoß betroffen sind: Im konkreten Fall waren sensible Daten bzw. Gesundheitsdaten vom Verstoß betroffen; - Der gegenständliche Verstoß wurde vom Beschuldigten vorsätzlich begangen. Mildernd wurde bei der Strafzumessung Folgendes berücksichtigt: - Gegen den Beschwerdeführer lagen bis dato bei der belangten Behörde keine einschlägigen Vorstrafen vor. - Der Beschuldigte hat im Rahmen des Ermittlungsverfahrens mitgewirkt, indem er mehrere Stellungnahmen einbrachte und an der persönlichen Einvernahme per WebEx teilnahm. Das Bundesverwaltungsgericht hat dazu erwogen: Die von der Behörde angeführten erschwerenden Umstände der Tat (Art und Schwere des Verstoßes sowie Kategorien personenbezogener Daten) sieht der erkennende Senat weiterhin als gegeben vor, wenn auch von einem kürzeren Tatzeitraum auszugehen ist bzw. die Dauer des von der belangten Behörde angenommenen Zugriffs auf die Patientendaten nicht festgestellt werden konnte. Hinsichtlich der Schuld konnte jedoch – abweichend zum Straferkenntnis der belangten Behörde – generell nur Fahrlässigkeit festgestellt werden. Somit liegt der von der belangten Behörde als erschwerend gewertete Grund der Vorsätzlichkeit nicht vor. Die als mildernd gewerteten Gründe, wie das Fehlen von einschlägigen Vorstrafen bzw. Verstöße gegen die DSGVO und der Beitrag zur Wahrheitsfindung liegen nach Ansicht des erkennenden Senats weiterhin vor. Insbesondere intensivierte der Beschwerdeführer seinen Beitrag zur Wahrheitsfindung in der mündlichen Verhandlung nochmals, indem er den Zugriff auf die Patientenkarteien über die Software auf dem unaufgefordert mitgebrachten PC demonstrierte und dazu auch die Zustimmung der bei ihm in Behandlung stehenden Schwägerin im Vorfeld der Verhandlung eingeholt hatte. Unberücksichtigt blieb allerdings der Milderungsgrund, dass der Beschwerdeführer die Tat zum Teil in einem die Schuld nicht ausschließenden Rechtsirrtum begangen hat (

dazu §§ 34 Abs. 1 Z 12 iVm 9 StGB). Es scheint daher in diesem Fall aufgrund des geringeren Grades des Verschuldens und des unberücksichtigt gebliebenen Milderungsgrundes des Rechtsirrtums eine niedrige Geldstrafe aus spezialpräventiver Sicht ausreichend, um den unbescholtenen Beschwerdeführer in Zukunft wirksam von der Begehung strafbarer Handlungen gleicher Art abzuhalten (

dazu auch die Rechtsprechung des VwGH beim Wegfallen von Erschwerungsgründen: VwGH 07.03.2016, Ra 2015/02/0225).Unberücksichtigt blieb allerdings der Milderungsgrund, dass der Beschwerdeführer die Tat zum Teil in einem die Schuld nicht ausschließenden Rechtsirrtum begangen hat (

dazu Paragraphen 34, Absatz eins, Ziffer 12, in Verbindung mit 9 StGB). Es scheint daher in diesem Fall aufgrund des geringeren Grades des Verschuldens und des unberücksichtigt gebliebenen Milderungsgrundes des Rechtsirrtums eine niedrige Geldstrafe aus spezialpräventiver Sicht ausreichend, um den unbescholtenen Beschwerdeführer in Zukunft wirksam von der Begehung strafbarer Handlungen gleicher Art abzuhalten (

dazu auch die Rechtsprechung des VwGH beim Wegfallen von Erschwerungsgründen: VwGH 07.03.2016, Ra 2015/02/0225). Die von der belangten Behörde festgesetzte Strafe war daher entsprechend herabzusetzen. 3.

Zu den Kosten des Verwaltungsstrafverfahrens sowie des Beschwerdeverfahrens: Gemäß § 64 Abs. 1 VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat. Gemäß § 64 Abs. 2 VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10% der verhängten Strafe, mindestens jedoch mit 10 Euro zu bemessen. Der Beitrag zu den Kosten war aufgrund der Herabsetzung der verhängten Strafe entsprechend zu reduzieren.Gemäß Paragraph 64, Absatz eins, VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat. Gemäß Paragraph 64, Absatz 2, VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10% der verhängten Strafe, mindestens jedoch mit 10 Euro zu bemessen. Der Beitrag zu den Kosten war aufgrund der Herabsetzung der verhängten Strafe entsprechend zu reduzieren. Aus den vorgenannten Gründen war der Beschwerde hinsichtlich des Ausspruchs über die verhängte Strafe teilweise Folge zu geben. Die Kosten des Beschwerdeverfahrens vor dem Bundesverwaltungsgericht waren dem Beschwerdeführer gemäß § 52 Abs. 1 und Abs. 2 VwGVG nicht aufzuerlegen, weil seiner Beschwerde teilweise Folge gegeben wurde. Aus den vorgenannten Gründen war der Beschwerde hinsichtlich des Ausspruchs über die verhängte Strafe teilweise Folge zu geben. Die Kosten des Beschwerdeverfahrens vor dem Bundesverwaltungsgericht waren dem Beschwerdeführer gemäß Paragraph 52, Absatz eins und Absatz 2, VwGVG nicht aufzuerlegen, weil seiner Beschwerde teilweise Folge gegeben wurde. 3.
Es war daher spruchgemäß zu entscheiden. Zu B) Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Rechtsprechung (insbesondere zur Auslegung einer „Verarbeitung“ im Sinne des Art. 4 Z 2 DSGVO) steht im Einklang mit der Rechtsprechung der Höchstgerichte und ist außerdem aus dem eindeutigen Wortlaut der DSGVO und des DSG erschließbar. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Rechtsprechung (insbesondere zur Auslegung einer „Verarbeitung“ im Sinne des Artikel 4, Ziffer 2, DSGVO) steht im Einklang mit der Rechtsprechung der Höchstgerichte und ist außerdem aus dem eindeutigen Wortlaut der DSGVO und des DSG erschließbar. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. 3.
Zahlungsinformation Sie haben den Gesamtbetrag von EUR 2.750,00 (Strafe, Kosten des verwaltungsbehördlichen Verfahrens) binnen 2 Wochen auf das Konto des Bundesverwaltungsgerichtes (BVwG) mit dem IBAN AT840100000005010167 (BIC BUNDATWW) unter Angabe der Verfahrenszahl spesenfrei für den Empfänger einzuzahlen oder unter Mitnahme dieses Erkenntnisses beim Bundesverwaltungsgericht einzuzahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben und im Fall seiner Uneinbringlichkeit die Ersatzfreiheitsstrafe vollstreckt werden wird. European Case Law IdentifierECLI:AT:BVWG:2023:W287.2260123.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.