RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum24.04.2023 GeschäftszahlW137 2242192-1 Spruch, W137 2242192-1/5E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richte

§ 28Abs. 2 Vw

GVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen. Die Beschwerde wird

Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF als unbegründet abgewiesen. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

1. Am 27.10.2020 erhob Frau XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) mittels E-Mail eine Datenschutzbeschwerde gegen die XXXX ( XXXX ) (= Erstbeschwerdegegnerin vor der Datenschutzbehörde) sowie gegen XXXX (= Beschwerdeführer vor dem Bundesverwaltungsgericht und Zweitbeschwerdegegner vor der Datenschutzbehörde) wegen Verletzung im Recht auf Geheimhaltung. Sie begründete ihre Datenschutzbeschwerde im Wesentlichen folgendermaßen:
2. Am 27.10.2020 erhob Frau römisch 40 (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) mittels E-Mail eine Datenschutzbeschwerde gegen die römisch 40 ( römisch 40 ) (= Erstbeschwerdegegnerin vor der Datenschutzbehörde) sowie gegen römisch 40 (= Beschwerdeführer vor dem Bundesverwaltungsgericht und Zweitbeschwerdegegner vor der Datenschutzbehörde) wegen Verletzung im Recht auf Geheimhaltung. Sie begründete ihre Datenschutzbeschwerde im Wesentlichen folgendermaßen: Die mitbeteiligte Partei sei am 30.01.2020 und 18.02.2020 ambulant zur Untersuchung im XXXX (UKH) vorstellig gewesen. Die Zuweisung dorthin sei über ihre seit November 2019 für sie zuständige Hausärztin erfolgt. Zuvor sei der Beschwerdeführer ihr Hausarzt gewesen, allerdings mache sie gegen ihn nun aufgrund eines Behandlungsfehlers Schadenersatzansprüche geltend. In diesem Zusammenhang sei von der Haftpflichtversicherung des Beschwerdeführers eine E-Mail an den Anwalt der mitbeteiligten Partei übermittelt worden, in dem Inhalte, die sich aus der Patientenakte (auch Krankengeschichte) der mitbeteiligten Partei von der XXXX ergeben hätten, enthalten gewesen seien. Diese Unterlagen seien aber weder von der mitbeteiligten Partei noch von deren anwaltlicher Vertretung an den Beschwerdeführer übermittelt worden, es gebe auch keine Einwilligung der mitbeteiligten Partei zur Herausgabe dieser Daten durch die XXXX . Der Beschwerdeführer habe diese Informationen zudem mit seiner Haftpflichtversicherung geteilt. Die mitbeteiligte Partei sei am 30.01.2020 und 18.02.2020 ambulant zur Untersuchung im römisch 40 (UKH) vorstellig gewesen. Die Zuweisung dorthin sei über ihre seit November 2019 für sie zuständige Hausärztin erfolgt. Zuvor sei der Beschwerdeführer ihr Hausarzt gewesen, allerdings mache sie gegen ihn nun aufgrund eines Behandlungsfehlers Schadenersatzansprüche geltend. In diesem Zusammenhang sei von der Haftpflichtversicherung des Beschwerdeführers eine E-Mail an den Anwalt der mitbeteiligten Partei übermittelt worden, in dem Inhalte, die sich aus der Patientenakte (auch Krankengeschichte) der mitbeteiligten Partei von der römisch 40 ergeben hätten, enthalten gewesen seien. Diese Unterlagen seien aber weder von der mitbeteiligten Partei noch von deren anwaltlicher Vertretung an den Beschwerdeführer übermittelt worden, es gebe auch keine Einwilligung der mitbeteiligten Partei zur Herausgabe dieser Daten durch die römisch 40 . Der Beschwerdeführer habe diese Informationen zudem mit seiner Haftpflichtversicherung geteilt.
3. Mit Stellungnahme vom 18.11.2020 führte die XXXX im Wesentlichen Folgendes aus:
4. Mit Stellungnahme vom 18.11.2020 führte die römisch 40 im Wesentlichen Folgendes aus: Aufgrund der länger zurückliegenden Behandlung – der letzte ambulante Behandlungszeitraum sei zwischen 30.01.2020 und 23.02.2020 gelegen – habe nach Anforderung der Krankengeschichte durch den Beschwerdeführer, der als praktischer Arzt und Facharzt für Unfallchirurgie bekannt gewesen sei, kein Grund für Zweifel bestanden, dass zum Zeitpunkt der Anfrage ein aufrechtes Behandlungsverhältnis zur mitbeteiligten Partei vorgelegen sei. Die Krankengeschichte sei

§ 34Abs.

6 K-KAO „im guten Glauben“ an den Beschwerdeführer übermittelt worden. Der Übermittlungsvorgang sei auch in der Krankengeschichte unter „Notiz“ ordnungsgemäß vermerkt worden. Aufgrund der länger zurückliegenden Behandlung – der letzte ambulante Behandlungszeitraum sei zwischen 30.01.2020 und 23.02.2020 gelegen – habe nach Anforderung der Krankengeschichte durch den Beschwerdeführer, der als praktischer Arzt und Facharzt für Unfallchirurgie bekannt gewesen sei, kein Grund für Zweifel bestanden, dass zum Zeitpunkt der Anfrage ein aufrechtes Behandlungsverhältnis zur mitbeteiligten Partei vorgelegen sei. Die Krankengeschichte sei

Paragraph 34, Absatz 6, K-KAO „im guten Glauben“ an den Beschwerdeführer übermittelt worden. Der Übermittlungsvorgang sei auch in der Krankengeschichte unter „Notiz“ ordnungsgemäß vermerkt worden. 3. Mit Schreiben vom 16.11.2020 gab der Beschwerdeführer im Wesentlichen Folgendes an: Die mitbeteiligte Partei habe ihn am 06.05.2020 in seiner Ordination besucht und das Thema dabei sei ihre Schulterproblematik gewesen. Dem Beschwerdeführer sei zu diesem Zeitpunkt ein Hausarztwechsel der mitbeteiligten Partei gar nicht bekannt gewesen. Bei der Konsultation an diesem Tag habe die Anamnese die Vorbehandlungen im XXXX und im UKH ergeben. Die mitbeteiligte Partei habe dem Beschwerdeführer zudem ihre Zustimmung erteilt, für eventuelle Klarstellungen die Befunde der Voruntersuchungen jederzeit anzufordern. Diese Zustimmung sei auch durch eine damalige Assistentin des Beschwerdeführers bestätigt worden. Die mitbeteiligte Partei habe ihn am 06.05.2020 in seiner Ordination besucht und das Thema dabei sei ihre Schulterproblematik gewesen. Dem Beschwerdeführer sei zu diesem Zeitpunkt ein Hausarztwechsel der mitbeteiligten Partei gar nicht bekannt gewesen. Bei der Konsultation an diesem Tag habe die Anamnese die Vorbehandlungen im römisch 40 und im UKH ergeben. Die mitbeteiligte Partei habe dem Beschwerdeführer zudem ihre Zustimmung erteilt, für eventuelle Klarstellungen die Befunde der Voruntersuchungen jederzeit anzufordern. Diese Zustimmung sei auch durch eine damalige Assistentin des Beschwerdeführers bestätigt worden. 4. Mit Stellungnahme vom 15.12.2020 brachte die mitbeteiligte Partei ergänzend zu ihrer Datenschutzbeschwerde im Wesentlichen folgendes vor: Die Behandlung durch den Beschwerdeführer während des Behandlungszeitraumes vom 30.01.2020 und 23.02.2020 habe zur Anamnese gehört. Da der Beschwerdeführer die Verletzung, resultierend aus einem Unfall im Februar 2019, unterschätzt bzw. nicht ernst genommen habe, sei der Arztwechsel im November 2019 erfolgt. Zuweisungen in das XXXX sowie in das UKH seien durch die neue Hausärztin erfolgt, weshalb aus der Dokumentation hervorgehe, dass der Beschwerdeführer zum Zeitpunkt des genannten Behandlungszeitraumes nicht der behandelnde Arzt gewesen sei. Sein Name tauche – im Gegensatz zu jenem der neuen Hausärztin – in der Krankengeschichte nicht auf. Das etwaige aufrechte Behandlungsverhältnis sei durch die XXXX allerdings nicht überprüft worden, obwohl dies notwendig gewesen sei. Die Behandlung durch den Beschwerdeführer während des Behandlungszeitraumes vom 30.01.2020 und 23.02.2020 habe zur Anamnese gehört. Da der Beschwerdeführer die Verletzung, resultierend aus einem Unfall im Februar 2019, unterschätzt bzw. nicht ernst genommen habe, sei der Arztwechsel im November 2019 erfolgt. Zuweisungen in das römisch 40 sowie in das UKH seien durch die neue Hausärztin erfolgt, weshalb aus der Dokumentation hervorgehe, dass der Beschwerdeführer zum Zeitpunkt des genannten Behandlungszeitraumes nicht der behandelnde Arzt gewesen sei. Sein Name tauche – im Gegensatz zu jenem der neuen Hausärztin – in der Krankengeschichte nicht auf. Das etwaige aufrechte Behandlungsverhältnis sei durch die römisch 40 allerdings nicht überprüft worden, obwohl dies notwendig gewesen sei. Es sei richtig, dass die mitbeteiligte Partei den Beschwerdeführer am 06.05.2020 in seiner Ordination aufgesucht habe, weil sie eine Bestätigung über die durch den Beschwerdeführer erfolgte Erstbehandlung für ihre private Unfallversicherung bekommen habe wollen. Dabei habe es sich lediglich um ein kurzes Gespräch mit einer Dokumentation aus der Erinnerung heraus gehandelt und nicht um etwa eine Anamnese oder Behandlung. Es sei auch keine Information über das tatsächliche Ausmaß der Verletzung und auch keine Ermächtigung zur Einholung etwaiger Krankenhausbefunde erteilt worden. Eine durch den Beschwerdeführer behauptete Einwilligung stehe auch im Widerspruch dazu, dass bereits am 30.04.2020 das Mandat zur Schadensregulierung an den Anwalt der mitbeteiligten Partei erteilt worden sei. Der medizinische Behandlungsvertrag ende mit der durchgeführten Behandlung, spätestens jedoch mit der Begleichung der Rechnung. Eine gesonderte Kündigung sei nicht notwendig, weshalb sich der Beschwerdeführer sieben Monate nach der letzten Behandlung und vier Monate nach Honorarlegung als behandelnder Arzt gegenüber dem UKH ausgegeben habe. 5. Mit Bescheid vom 19.03.2021, GZ. D124.3156, 2020-0.846.112, gab die Datenschutzbehörde der Datenschutzbeschwerde vom 27.10.2020 statt und stellte fest, dass die XXXX und der Beschwerdeführer die mitbeteiligte Partei im Recht auf Geheimhaltung verletzt hätten, indem 5. Mit Bescheid vom 19.03.2021, GZ. D124.3156, 2020-0.846.112, gab die Datenschutzbehörde der Datenschutzbeschwerde vom 27.10.2020 statt und stellte fest, dass die römisch 40 und der Beschwerdeführer die mitbeteiligte Partei im Recht auf Geheimhaltung verletzt hätten, indem

1. a)die XXXX die bei ihr gespeicherte Krankengeschichte (Diagnose, Befund, Behandlung, Operationsniederschrift und Entlassungsbericht im Zusammenhang mit einer Schulterverletzung sowie weitere Angaben zu Vorerkrankungen und Medikation) der mitbeteiligten Partei an den Beschwerdeführer übermittelt habe und
2. a)die römisch 40 die bei ihr gespeicherte Krankengeschichte (Diagnose, Befund, Behandlung, Operationsniederschrift und Entlassungsbericht im Zusammenhang mit einer Schulterverletzung sowie weitere Angaben zu Vorerkrankungen und Medikation) der mitbeteiligten Partei an den Beschwerdeführer übermittelt habe und
3. b)der Beschwerdeführer diese Krankengeschichte der mitbeteiligten Partei in weiterer Folge verarbeitet habe. In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen: Bei der XXXX handle es sich um den Rechtsträger des UKH, wo die mitbeteiligte Partei zuletzt zwischen 30.01.2020 und 23.02.2020 behandelt worden sei. Sie sei von ihrer aktuellen Hausärztin dorthin überwiesen worden. Beim Beschwerdeführer handle es sich um den ehemaligen Hausarzt der mitbeteiligten Partei, gegen den sie aufgrund eines behaupteten Behandlungsfehlers Schadenersatzansprüche geltend mache. Bei der römisch 40 handle es sich um den Rechtsträger des UKH, wo die mitbeteiligte Partei zuletzt zwischen 30.01.2020 und 23.02.2020 behandelt worden sei. Sie sei von ihrer aktuellen Hausärztin dorthin überwiesen worden. Beim Beschwerdeführer handle es sich um den ehemaligen Hausarzt der mitbeteiligten Partei, gegen den sie aufgrund eines behaupteten Behandlungsfehlers Schadenersatzansprüche geltend mache. Der Beschwerdeführer habe die Krankengeschichte der mitbeteiligten Partei von der XXXX bzw. dem UKH angefordert. Dieses habe die Information daraufhin, am 19.06.2020, an den Beschwerdeführer übermittelt, der es in Folge auch mit seiner Haftpflichtversicherung geteilt habe. Die Übermittlung durch die XXXX sei sieben Monate nach der letzten Behandlung der mitbeteiligten Partei durch den Beschwerdeführer und vier Monate nach Honorarlegung erfolgt.Der Beschwerdeführer habe die Krankengeschichte der mitbeteiligten Partei von der römisch 40 bzw. dem UKH angefordert. Dieses habe die Information daraufhin, am 19.06.2020, an den Beschwerdeführer übermittelt, der es in Folge auch mit seiner Haftpflichtversicherung geteilt habe. Die Übermittlung durch die römisch 40 sei sieben Monate nach der letzten Behandlung der mitbeteiligten Partei durch den Beschwerdeführer und vier Monate nach Honorarlegung erfolgt. Die oben genannte Krankengeschichte enthalte detaillierte Informationen (Diagnose, Befund, Behandlung, Operationsniederschrift) zur Schulterverletzung der mitbeteiligten Partei, aber auch Angaben zu Vorerkrankungen und Medikation, sowie allgemeine Stammdaten und einen Entlassungsbericht. Die mitbeteiligte Partei habe im Hinblick auf die Übermittlung der oben genannten Krankengeschichte seitens der XXXX an den Beschwerdeführer am 06.05.2020 beim Besuch in der Ordination des Beschwerdeführers keine Einwilligung erteilt. Die mitbeteiligte Partei habe im Hinblick auf die Übermittlung der oben genannten Krankengeschichte seitens der römisch 40 an den Beschwerdeführer am 06.05.2020 beim Besuch in der Ordination des Beschwerdeführers keine Einwilligung erteilt. Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen Folgendes: Die XXXX sei Trägerin des UKH und gelte als Verantwortliche im Sinne von Art. 4 Abs. 7 DSGVO, da sie als über die Zwecke und Mittel der gegenständlichen Verarbeitung der personenbezogenen Daten bestimme. Die römisch 40 sei Trägerin des UKH und gelte als Verantwortliche im Sinne von Artikel 4, Absatz 7, DSGVO, da sie als über die Zwecke und Mittel der gegenständlichen Verarbeitung der personenbezogenen Daten bestimme. Im gegenständlichen Fall sei der Anwendungsbereich von § 1 Abs. 1 DSG eröffnet, da sich die in der Krankengeschichte enthaltenen Informationen

Art. 4Z 1 DSGVO auf die mitbeteiligte Partei beziehen würden.

In diesem Zusammenhang handle es sich auch unstrittig um „Gesundheitsdaten“ iSd Art. 4 Z 15 DSGVO. Diese würden

Art. 9Abs.

1 DSGVO als besondere Kategorie personenbezogener Daten gelten und grundsätzlich einem Verarbeitungsverbot unterliegen, das lediglich in den in Abs. 2 leg.cit. genannten Fällen nicht gelte. Im gegenständlichen Fall sei der Anwendungsbereich von Paragraph eins, Absatz eins, DSG eröffnet, da sich die in der Krankengeschichte enthaltenen Informationen

Artikel 4, Ziffer eins, DSGVO auf die mitbeteiligte Partei beziehen würden.

In diesem Zusammenhang handle es sich auch unstrittig um „Gesundheitsdaten“ iSd Artikel 4, Ziffer 15, DSGVO. Diese würden

Artikel 9

, Absatz eins, DSGVO als besondere Kategorie personenbezogener Daten gelten und grundsätzlich einem Verarbeitungsverbot unterliegen, das lediglich in den in Absatz 2, leg.cit. genannten Fällen nicht gelte. § 1 Abs. 2 DSG iVm Art. 9 Abs. 2 lit. g DSGVO normiere eine Ausnahme vom Verarbeitungsverbot von Gesundheitsdaten. Demnach sei die Verarbeitung rechtmäßig, wenn dies gesetzlich vorgesehen sei und die gesetzliche Grundlage einen angemessenen Ausgleich zwischen dem Recht auf Datenschutz und der Verarbeitung der Daten verfolge. Im vorliegenden Fall berufe sich die XXXX hinsichtlich der Übermittlung der Krankengeschichte an den Beschwerdeführer auf § 34 Abs. 6 K-KAG (gemeint wohl: K-KAO), der auf der Grundsatzbestimmung von § 10 Abs. 1 Z 4 KaKuG fuße. Ganz grundsätzlich könne eine Übermittlung der Krankengeschichte auf diese Bestimmungen gestützt werden. Bei dieser Weitergabe müsse der Träger (hier die XXXX ) aber auch überprüfen, ob die Übermittlung erforderlich sei. Wie aus dem Wortlaut von § 34 Abs. 6 K-KAG (gemeint wohl: K-KAO) unmissverständlich erhelle, sei in diesem Kontext eine Datenweitergabe nur an den einweisenden oder weiterbehandelnden Arzt zulässig. Beim Beschwerdeführer habe es sich im Zeitpunkt der Datenübermittlung allerdings weder um den einweisenden, noch um den weiterbehandelnden Arzt gehandelt; wie es sich aus dem Sachverhalt ergebe, sei dies im Zeitpunkt der Datenweitergabe eine andere Ärztin gewesen. Da es sich bei der einweisenden Ärztin nicht um den Beschwerdeführer gehandelt habe, wäre eine Prüfung durch die XXXX jedenfalls durchzuführen gewesen. Eine solche Prüfung sei jedoch verabsäumt worden. Paragraph eins, Absatz 2, DSG in Verbindung mit Artikel 9, Absatz 2, Litera g, DSGVO normiere eine Ausnahme vom Verarbeitungsverbot von Gesundheitsdaten. Demnach sei die Verarbeitung rechtmäßig, wenn dies gesetzlich vorgesehen sei und die gesetzliche Grundlage einen angemessenen Ausgleich zwischen dem Recht auf Datenschutz und der Verarbeitung der Daten verfolge. Im vorliegenden Fall berufe sich die römisch 40 hinsichtlich der Übermittlung der Krankengeschichte an den Beschwerdeführer auf Paragraph 34, Absatz 6, K-KAG (gemeint wohl: K-KAO), der auf der Grundsatzbestimmung von Paragraph 10, Absatz eins, Ziffer 4, KaKuG fuße. Ganz grundsätzlich könne eine Übermittlung der Krankengeschichte auf diese Bestimmungen gestützt werden. Bei dieser Weitergabe müsse der Träger (hier die römisch 40 ) aber auch überprüfen, ob die Übermittlung erforderlich sei. Wie aus dem Wortlaut von Paragraph 34, Absatz 6, K-KAG (gemeint wohl: K-KAO) unmissverständlich erhelle, sei in diesem Kontext eine Datenweitergabe nur an den einweisenden oder weiterbehandelnden Arzt zulässig. Beim Beschwerdeführer habe es sich im Zeitpunkt der Datenübermittlung allerdings weder um den einweisenden, noch um den weiterbehandelnden Arzt gehandelt; wie es sich aus dem Sachverhalt ergebe, sei dies im Zeitpunkt der Datenweitergabe eine andere Ärztin gewesen. Da es sich bei der einweisenden Ärztin nicht um den Beschwerdeführer gehandelt habe, wäre eine Prüfung durch die römisch 40 jedenfalls durchzuführen gewesen. Eine solche Prüfung sei jedoch verabsäumt worden. Die hier relevante Datenweitergabe könne im Schutzbereich von Art. 9 Abs. 2 nicht auf berechtigte Interessen iSd Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Wie noch an weiterer Stelle ausgeführt werde, sei auch keine Einwilligung

Art. 9Abs. 1 lit. a DSGVO vorgelegen. Im Ergebnis sei mangels Erlaubnistatbestandes nach § 1 Abs. 2 DSG i

Vm Art. 9 Abs. 2 DSGVO von einer Verletzung im Recht auf Geheimhaltung durch die XXXX auszugehen. Die hier relevante Datenweitergabe könne im Schutzbereich von Artikel 9, Absatz 2, nicht auf berechtigte Interessen iSd Artikel 6, Absatz eins, Litera f, DSGVO gestützt werden. Wie noch an weiterer Stelle ausgeführt werde, sei auch keine Einwilligung

Artikel 9, Absatz eins, Litera a, DSGVO vorgelegen.

Im Ergebnis sei mangels Erlaubnistatbestandes nach Paragraph eins, Absatz 2, DSG in Verbindung mit Artikel 9, Absatz 2, DSGVO von einer Verletzung im Recht auf Geheimhaltung durch die römisch 40 auszugehen. Wie sich aus dem Sachverhalt ergebe, habe der Beschwerdeführer die hier relevanten Daten der mitbeteiligten Partei eigenmächtig angefordert, gespeichert und in Folge an seine Haftpflichtversicherung übermittelt. Der Beschwerdeführer habe somit über die wesentlichen Zwecke und Mittel der Verarbeitung entscheiden und sei im Hinblick auf diese weitere Datenverarbeitung – also jene Datenverarbeitung, die der Übermittlung durch die XXXX nachgelagert sei – als alleiniger Verantwortlicher im Sinne von Art. 4 Abs. 7 DSGVO zu qualifizieren. Wie sich aus dem Sachverhalt ergebe, habe der Beschwerdeführer die hier relevanten Daten der mitbeteiligten Partei eigenmächtig angefordert, gespeichert und in Folge an seine Haftpflichtversicherung übermittelt. Der Beschwerdeführer habe somit über die wesentlichen Zwecke und Mittel der Verarbeitung entscheiden und sei im Hinblick auf diese weitere Datenverarbeitung – also jene Datenverarbeitung, die der Übermittlung durch die römisch 40 nachgelagert sei – als alleiniger Verantwortlicher im Sinne von Artikel 4, Absatz 7, DSGVO zu qualifizieren. Wie sich aus dem Sachverhalt ergebe, habe die mitbeteiligte Partei – entgegen der Behauptung des Beschwerdeführers – keine Einwilligung für die hier relevante Datenverarbeitung erteilt. Bereits aus Grundlage des Wortlauts von Art. 7 Abs. 1 DSGVO werde deutlich, dass der Verantwortliche nicht nur einen vorhandenen, abstrakten Einwilligungsprozess nachweisen können müsse, sondern vielmehr die einzelne erforderliche Einwilligung der jeweils betroffenen Person. Es sei damit die konkrete Einwilligungserklärung nachzuweisen, etwa wenn ein Betroffener vorbringe, keine Einwilligung abgegeben zu haben. Es sei also aus den Vorgaben des Art. 7 Abs. 1 iVm Art. 5 Abs. 2 iVm Art. 24 Abs. 1 DSGVO (Rechenschaftspflicht) im Ergebnis eine Dokumentationspflicht des Verantwortlichen zumindest für den konkreten Einwilligungsvorgang abzuleiten. Eine solche Dokumentation könne der Beschwerdeführer jedoch nicht vorweisen. Bereits aus Grundlage des Wortlauts von Artikel 7, Absatz eins, DSGVO werde deutlich, dass der Verantwortliche nicht nur einen vorhandenen, abstrakten Einwilligungsprozess nachweisen können müsse, sondern vielmehr die einzelne erforderliche Einwilligung der jeweils betroffenen Person. Es sei damit die konkrete Einwilligungserklärung nachzuweisen, etwa wenn ein Betroffener vorbringe, keine Einwilligung abgegeben zu haben. Es sei also aus den Vorgaben des Artikel 7, Absatz eins, in Verbindung mit Artikel 5, Absatz 2, in Verbindung mit Artikel 24, Absatz eins, DSGVO (Rechenschaftspflicht) im Ergebnis eine Dokumentationspflicht des Verantwortlichen zumindest für den konkreten Einwilligungsvorgang abzuleiten. Eine solche Dokumentation könne der Beschwerdeführer jedoch nicht vorweisen. Davon unabhängig wäre im gegenständlichen Fall ohnedies von keiner rechtmäßigen Einwilligung auszugehen, denn eine solche müsse nach dem Konzept von Art. 6 Abs. 1 lit. a bzw. Art. 9 Abs. 1 lit. a DSGVO grundsätzlich „für bestimmte Zwecke“ erteilt werden. Wenn der Beschwerdeführer vorbringe, dass die mitbeteiligte Partei „die Zustimmung gegeben habe, für eventuelle Klarstellungen, die Befunde der Voruntersuchungen jederzeit anzufordern“, so mangle es dieser Art der Einwilligung durch die Verwendung nicht abgrenzbarer Begriffe jedenfalls an der notwendigen Konkretheit, die für eine ausdrückliche Einwilligung notwendig sei. Davon unabhängig wäre im gegenständlichen Fall ohnedies von keiner rechtmäßigen Einwilligung auszugehen, denn eine solche müsse nach dem Konzept von Artikel 6, Absatz eins, Litera a, bzw. Artikel 9, Absatz eins, Litera a, DSGVO grundsätzlich „für bestimmte Zwecke“ erteilt werden. Wenn der Beschwerdeführer vorbringe, dass die mitbeteiligte Partei „die Zustimmung gegeben habe, für eventuelle Klarstellungen, die Befunde der Voruntersuchungen jederzeit anzufordern“, so mangle es dieser Art der Einwilligung durch die Verwendung nicht abgrenzbarer Begriffe jedenfalls an der notwendigen Konkretheit, die für eine ausdrückliche Einwilligung notwendig sei. Darüber hinaus komme im vorliegenden Fall eine Datenverarbeitung zum Zwecke der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen als berechtigtes Interesse in Betracht. Der gegenständlich einschlägige Art. 9 Abs. 2 lit. f DSGVO normiere eine Ausnahme vom Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich sei. Nach Art. 5 Abs. 1 lit. c DSGVO iVm § 1 Abs. 2 letzter Satz DSG müsse eine Datenverarbeitung im Falle zulässiger Beschränkungen dennoch in der gelindesten, zum Ziel führenden Art vorgenommen werden. Diese Verhältnismäßigkeitsprüfung falle zu Gunsten der mitbeteiligten Partei aus, denn zum, einen sei die Verarbeitung und insbesondere die Übermittlung aller Informationen aus der Krankengeschichte – insbesondere etwa Angaben zu früheren Krankheiten, die objektiv betrachtet nicht mit der Schulterverletzung im Zusammenhang stehen würden oder bestimmte Stammdaten wie etwa der Familienstatus – für die Erreichung des Zwecks, nämlich der Verteidigung gegen Rechtsansprüche, nicht erforderlich und zum anderen bestehe ein gelinderes Mittel, da im Rahmen einer (sehr wahrscheinlich folgenden) gerichtlichen Auseinandersetzung Einsicht in die Rechtssache betreffenden Akten oder Aktenteile (Akteneinsicht) und damit die Krankengeschichte im notwendigen Ausmaß genommen werden könnte. Für diese Überlegungen spreche auch, dass bereits die Datenerhebung durch den Beschwerdeführer – also die angeforderte Übermittlung der hier relevanten Daten durch die XXXX – aus den oben dargelegten Gründen unrechtmäßig gewesen sei. Die Datenverarbeitung erweise sich im Ergebnis als unverhältnismäßig und somit als nicht rechtmäßig. Darüber hinaus komme im vorliegenden Fall eine Datenverarbeitung zum Zwecke der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen als berechtigtes Interesse in Betracht. Der gegenständlich einschlägige Artikel 9, Absatz 2, Litera f, DSGVO normiere eine Ausnahme vom Verarbeitungsverbot des Artikel 9, Absatz eins, DSGVO, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich sei. Nach Artikel 5, Absatz eins, Litera c, DSGVO in Verbindung mit Paragraph eins, Absatz 2, letzter Satz DSG müsse eine Datenverarbeitung im Falle zulässiger Beschränkungen dennoch in der gelindesten, zum Ziel führenden Art vorgenommen werden. Diese Verhältnismäßigkeitsprüfung falle zu Gunsten der mitbeteiligten Partei aus, denn zum, einen sei die Verarbeitung und insbesondere die Übermittlung aller Informationen aus der Krankengeschichte – insbesondere etwa Angaben zu früheren Krankheiten, die objektiv betrachtet nicht mit der Schulterverletzung im Zusammenhang stehen würden oder bestimmte Stammdaten wie etwa der Familienstatus – für die Erreichung des Zwecks, nämlich der Verteidigung gegen Rechtsansprüche, nicht erforderlich und zum anderen bestehe ein gelinderes Mittel, da im Rahmen einer (sehr wahrscheinlich folgenden) gerichtlichen Auseinandersetzung Einsicht in die Rechtssache betreffenden Akten oder Aktenteile (Akteneinsicht) und damit die Krankengeschichte im notwendigen Ausmaß genommen werden könnte. Für diese Überlegungen spreche auch, dass bereits die Datenerhebung durch den Beschwerdeführer – also die angeforderte Übermittlung der hier relevanten Daten durch die römisch 40 – aus den oben dargelegten Gründen unrechtmäßig gewesen sei. Die Datenverarbeitung erweise sich im Ergebnis als unverhältnismäßig und somit als nicht rechtmäßig.

1. In der gegen den Spruchpunkt b) dieses Bescheides fristgerecht erhobenen Beschwerde brachte der Beschwerdeführer im Wesentlichen vor: Die mitbeteiligte Partei habe sich, u.a. auch am 06.05.2020, als sie beim Beschwerdeführer erschienen sei, so verhalten, dass der Beschwerdeführer davon ausgehen habe können, dass sie ihn als Hausarzt konsultiert habe. Die belangte Behörde hätte daher feststellen müssen, dass er nicht wissen habe können, dass er von der mitbeteiligten Partei nicht als Hausarzt konsultiert worden sei. Erst aus der beigeschafften Krankengeschichte habe er erkennen können, dass die mitbeteiligte Partei zum damaligen Zeitpunkt eine andere Hausärztin gehabt habe. Außerdem habe die mitbeteiligte Partei sehr wohl die Zustimmung zur Beischaffung weiterer Unterlagen (Krankengeschichten) abgegeben, zumal der Beschwerdeführer ihr am 06.05.2020 im Beisein einer Zeugin ausdrücklich erklärt habe, dass nicht auszuschließen sei, dass die Versicherung weitere Unterlagen (Krankengeschichten) benötige, die dann vom Beschwerdeführer einzuholen seien und habe sie diesbezüglich ausdrücklich hierzu ihre Zustimmung erteilt. Auch sei die Feststellung nicht richtig, dass der Beschwerdeführer Krankengeschichten der mitbeteiligten Partei an die Versicherung weitergeleitet habe, denn es sei nur die Information „auch aus der Anamnese des XXXX geht hervor, dass eine Behandlung der Schulter erst bei XXXX vorgenommen worden ist, es wurden dann auch sowohl im XXXX als auch im UKH eine konservative Behandlung sowie Wiedervorstellung bei Beschwerden empfohlen, eine Wiedervorstellung wurde allerdings nirgendswo dokumentiert!“. Auch sei die Feststellung nicht richtig, dass der Beschwerdeführer Krankengeschichten der mitbeteiligten Partei an die Versicherung weitergeleitet habe, denn es sei nur die Information „auch aus der Anamnese des römisch 40 geht hervor, dass eine Behandlung der Schulter erst bei römisch 40 vorgenommen worden ist, es wurden dann auch sowohl im römisch 40 als auch im UKH eine konservative Behandlung sowie Wiedervorstellung bei Beschwerden empfohlen, eine Wiedervorstellung wurde allerdings nirgendswo dokumentiert!“. Hätte die belangte Behörde die gerügten Feststellungen nicht getroffen und wäre von den begehrten Feststellungen ausgegangen, wäre sie zu einer anderen rechtlichen Beurteilung gekommen. Davon ausgehend hätte die belangte Behörde feststellen müssen, dass die mitbeteiligte Partei grundsätzlich die Zustimmung zur Übermittlung der gegenständlichen Daten erteilt habe und darüber hinaus zur Datenverarbeitung zum Zwecke der Verteidigung von Rechtsansprüchen ein berechtigtes Interesse gehabt habe, zumal die Verarbeitung zur Verteidigung von Rechtsansprüchen notwendig gewesen sei.
2. Mit Schreiben der Datenschutzbehörde vom 27.04.2021 wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
3. Feststellungen: 1.
4. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde vom 27.10.2020 u.a. geltend gemacht, sie sei in ihrem Recht auf Geheimhaltung verletzt worden, weil der Beschwerdeführer ihre Patientenakte samt Krankengeschichte ohne ihre Einwilligung von der XXXX angefordert, gespeichert und in weiterer Folge an seine Haftpflichtversicherung übermittelt habe. 1.
5. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde vom 27.10.2020 u.a. geltend gemacht, sie sei in ihrem Recht auf Geheimhaltung verletzt worden, weil der Beschwerdeführer ihre Patientenakte samt Krankengeschichte ohne ihre Einwilligung von der römisch 40 angefordert, gespeichert und in weiterer Folge an seine Haftpflichtversicherung übermittelt habe. 1.
6. Die XXXX ist die Rechtsträgerin des XXXX , wo die mitbeteiligte Partei nach Überweisung durch ihre aktuelle Hausärztin zwischen 30.01.2020 und 23.02.2020 behandelt wurde.1.
7. Die römisch 40 ist die Rechtsträgerin des römisch 40 , wo die mitbeteiligte Partei nach Überweisung durch ihre aktuelle Hausärztin zwischen 30.01.2020 und 23.02.2020 behandelt wurde. Beim Beschwerdeführer handelt es sich um den ehemaligen Hausarzt der mitbeteiligten Partei, gegen den sie aufgrund eines behaupteten Behandlungsfehler Schadenersatzansprüche geltend macht. 1.
8. Die XXXX hat die Krankengeschichte der mitbeteiligten Partei aufgrund der Anforderung durch den Beschwerdeführer am 19.06.2020, somit sieben Monate nach der letzten Behandlung der mitbeteiligten Partei durch den Beschwerdeführer und vier Monate nach Rechnungslegung, an ihn übermittelt. Die verfahrensgegenständliche Krankengeschichte enthält detaillierte Informationen (Diagnose, Befund, Behandlung, Operationsniederschrift) zur Schulterverletzung der mitbeteiligten Partei, darüber hinaus Angaben zu Vorerkrankungen und Medikation, allgemeine Stammdaten und einen Entlassungsbericht. 1.
9. Die römisch 40 hat die Krankengeschichte der mitbeteiligten Partei aufgrund der Anforderung durch den Beschwerdeführer am 19.06.2020, somit sieben Monate nach der letzten Behandlung der mitbeteiligten Partei durch den Beschwerdeführer und vier Monate nach Rechnungslegung, an ihn übermittelt. Die verfahrensgegenständliche Krankengeschichte enthält detaillierte Informationen (Diagnose, Befund, Behandlung, Operationsniederschrift) zur Schulterverletzung der mitbeteiligten Partei, darüber hinaus Angaben zu Vorerkrankungen und Medikation, allgemeine Stammdaten und einen Entlassungsbericht. Anschließend hat der Beschwerdeführer die Krankengeschichte der mitbeteiligten Partei gespeichert und an seine Haftpflichtversicherung übermittelt. Somit ist der Beschwerdeführer der Verantwortliche im gegenständlichen Verfahren. 1.
10. Für die Übermittlung dieser Krankengeschichte lag seitens der mitbeteiligten Partei keine Einwilligung vor.
11. Beweiswürdigung: Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt. 2.
12. Die Feststellungen zur Beschwerde ergeben sich aus dem Verwaltungsakt. 2.
13. Die Feststellungen betreffend die XXXX und ihr Status als Rechtsträgerin des XXXX ergeben sich aus den vorgelegten einschlägigen Unterlagen der XXXX . Davon ging auch schon die belangte Behörde aus und wurde dies in der Beschwerde auch nicht bestritten. 2.
14. Die Feststellungen betreffend die römisch 40 und ihr Status als Rechtsträgerin des römisch 40 ergeben sich aus den vorgelegten einschlägigen Unterlagen der römisch 40 . Davon ging auch schon die belangte Behörde aus und wurde dies in der Beschwerde auch nicht bestritten. Dass es sich beim Beschwerdeführer um den ehemaligen Hausarzt der mitbeteiligten Partei handelt, gegen den sie aufgrund eines behaupteten Behandlungsfehler Schadenersatzansprüche geltend macht, folgt aus den Angaben der mitbeteiligten Partei im Laufe des Verfahrens. 2.
15. Die Feststellungen zur Anforderung der Krankengeschichte der mitbeteiligten Partei durch den Beschwerdeführer am 19.06.2020 und zu den Zeitpunkten der letzten Behandlung durch ihn sowie der Rechnungslegung beruht auf den unbestrittenen Angaben der mitbeteiligten Partei. Dass die gegenständliche Krankengeschichte detaillierte Informationen (Diagnose, Befund, Behandlung, Operationsniederschrift) zur Schulterverletzung der mitbeteiligten Partei, darüber hinaus Angaben zu Vorerkrankungen und Medikation, allgemeine Stammdaten und einen Entlassungsbericht enthält, folgt aus dem Vorbringen der mitbeteiligten Partei sowie des Beschwerdeführers. Die Feststellungen, dass der Beschwerdeführer die Krankengeschichte der mitbeteiligten Partei gespeichert und an seine Haftpflichtversicherung übermittelt hat beruht sowohl auf den Angaben der mitbeteiligten Partei als auch jenen des Beschwerdeführers. Die behauptete massive Reduktion bei der Übermittlung wurde in keiner Form belegt. Die Verantwortung für die gegenständliche Übermittlung der Krankengeschichte der mitbeteiligten Partei ist ebenfalls unbestritten. 2.
16. Dass für die Übermittlung dieser Krankengeschichte seitens der mitbeteiligten Partei keine Einwilligung an den Beschwerdeführer erteilt worden ist, folgt aus den glaubhaften Angaben der mitbeteiligten Partei, wonach sie ihn am 06.05.2020 lediglich zwecks Ausstellung der Bestätigung der vorangegangenen Behandlung zur Erhebung von schadenersatzrechtlichen Ansprüchen aufgesucht hat. Entgegen dem Vorbringen des Beschwerdeführers ist es nicht nachvollziehbar, dass die mitbeteiligte Partei, die aufgrund eines behaupteten Behandlungsfehler bereits einen beruflichen Rechtsvertreter mit diesem Fall betraut hatte, eine Zustimmung zur Einholung umfangreicher Gesundheitsdaten sowie sonstige personenbezogenen Daten, die teilweise in keinem direkten Zusammenhang mit dem behaupteten Behandlungsfehler stehen, erteilt hat. Im Übrigen war der Beschwerdeführer auch nicht imstande, einen diesbezüglichen Nachweis vorzulegen. Er brachte in der Beschwerde lediglich vor, dass er eine Zeugin namhaft machen könne, die bei der mündlichen – nachweislich nie protokollierten – Erteilung einer solchen Zustimmung zugegen gewesen sein soll.
17. Rechtliche Beurteilung: 3.1.

Art. 130Abs.

1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1.

Artikel 130

, Absatz eins, Ziffer eins, B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Abs.

1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde.

§ 27Abs.

2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.

Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

, Paragraph 24, Absatz 7, leg.cit. und der Entscheidungspflicht der Datenschutzbehörde.

Paragraph 27, Absatz 2, erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte. 3.2.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.3.2.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 1 Vw

GVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 28, Absatz eins, VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. 3.

1. Zu A) 3.3.
2. Die maßgeblichen Bestimmungen der DSGVO Artikel 4 Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:
3. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
4. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; 3.-
5. (…)
6. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; 8.-
7. (…)
8. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist; 12.-
9. (…)
10. „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen; 16.-
11. (…) Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

§ 73AVG werden nicht eingerechnet:

Paragraph 73, AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;
2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.
3. die Zeit während eines Verfahrens nach Artikel 56, 60 und 63 DSGVO. 3.
4. Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Unter schutzwürdigen personenbezogenen Daten sind in diesem Zusammenhang nicht nur unschwer als personenbezogene erkennbare Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen, sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig.3.
5. Nach der Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Unter schutzwürdigen personenbezogenen Daten sind in diesem Zusammenhang nicht nur unschwer als personenbezogene erkennbare Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen, sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch

§ 1Abs.

1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen.Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch

Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde vom 27.10.2020 u.a. geltend gemacht, sie sei in ihrem Recht auf Geheimhaltung verletzt worden, weil der Beschwerdeführer ihre Patientenakte samt Krankengeschichte ohne ihre Einwilligung von der XXXX angefordert, gespeichert und in weiterer Folge an seine Haftpflichtversicherung übermittelt habe. Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde vom 27.10.2020 u.a. geltend gemacht, sie sei in ihrem Recht auf Geheimhaltung verletzt worden, weil der Beschwerdeführer ihre Patientenakte samt Krankengeschichte ohne ihre Einwilligung von der römisch 40 angefordert, gespeichert und in weiterer Folge an seine Haftpflichtversicherung übermittelt habe.

Art. 6Abs.

1 DSGVO ist die Verarbeitung personenbezogener Daten dann rechtmäßig, wenn u.a. die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat oder die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist, der der Verantwortliche unterliegt.

Artikel 6

, Absatz eins, DSGVO ist die Verarbeitung personenbezogener Daten dann rechtmäßig, wenn u.a. die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat oder die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist, der der Verantwortliche unterliegt. Im gegenständlichen Fall hat der Beschwerdeführer von der XXXX die Patientenakte samt Krankengeschichte der mitbeteiligten Partei angefordert, gespeichert und in weiterer Folge an seine Haftpflichtversicherung übermittelt. Im gegenständlichen Fall hat der Beschwerdeführer von der römisch 40 die Patientenakte samt Krankengeschichte der mitbeteiligten Partei angefordert, gespeichert und in weiterer Folge an seine Haftpflichtversicherung übermittelt. In diesem Zusammenhang ist es unstrittig, dass der Beschwerdeführer als alleiniger Verantwortlicher iSd Art. 4 Z 7 DSGVO über die Gesundheitsdaten iSd Art. 4 Z 15 DSGVO der mitbeteiligten Partei verfügt hat. In diesem Zusammenhang ist es unstrittig, dass der Beschwerdeführer als alleiniger Verantwortlicher iSd Artikel 4, Ziffer 7, DSGVO über die Gesundheitsdaten iSd Artikel 4, Ziffer 15, DSGVO der mitbeteiligten Partei verfügt hat. 3.5. Hier gilt es im Folgenden zu prüfen, ob die gegenständliche Verarbeitung von Gesundheitsdaten durch den Beschwerdeführer rechtlich gedeckt war. Begründend hat der Beschwerdeführer in der Beschwerde im Wesentlichen geltend gemacht, die mitbeteiligte Partei habe sich u.a. beim Besuch in seiner Praxis am 06.05.2020 so verhalten, dass er davon ausgehen habe können, dass sie ihn als Hausarzt konsultiert habe und sie habe damals sehr wohl ihre Zustimmung zur Beischaffung weiterer Unterlagen (Krankengeschichten) erteilt, falls die Haftpflichtversicherung des Beschwerdeführers weitere Unterlagen benötigen würde. 3.6. Dem ist Folgendes entgegenzuhalten: 3.6.1.

Art. 9Abs.

2 lit. a DSGVO ist die Verarbeitung von Gesundheitsdaten zulässig, wenn die betroffene Person die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich einwilligt. 3.6.1.

Artikel 9

, Absatz 2, Litera a, DSGVO ist die Verarbeitung von Gesundheitsdaten zulässig, wenn die betroffene Person die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich einwilligt. Zu dieser in Betracht kommenden Bestimmung ist allerdings auszuführen, dass die mitbeteiligte Partei – wie bereits in der Beweiswürdigung ausgeführt – keine Einwilligung für die gegenständliche Verarbeitung ihrer Gesundheitsdaten erteilt hat. Stützt sich die Verarbeitung des Verantwortlichen auf eine Einwilligung der betroffenen Person, trifft diesen

Art. 7Abs.

1 DSGVO eine Nachweispflicht. Der Verantwortliche muss also „nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Auch wenn der Erwägungsgrund 42 in diesem Zusammenhang als bloße Empfehlung gelesen werden könnte („sollte nachweisen können“), spricht der ausdrückliche normative Wortlaut, die mehrfache Verwendung der Formulierung „nachweisen können“ in der DSGVO (s. u.a. Art. 5 Abs. 2, Art. 11 Abs. 2, Art. 21 Abs. 1 DSGVO) sowie der Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) für eine Pflicht des Verantwortlichen. Im Ergebnis trifft den Verantwortlichen somit die Beweislast, wenn er sich auf eine Einwilligung als Rechtsgrundlage seiner Datenverarbeitung stützt. Zu dieser in Betracht kommenden Bestimmung ist allerdings auszuführen, dass die mitbeteiligte Partei – wie bereits in der Beweiswürdigung ausgeführt – keine Einwilligung für die gegenständliche Verarbeitung ihrer Gesundheitsdaten erteilt hat. Stützt sich die Verarbeitung des Verantwortlichen auf eine Einwilligung der betroffenen Person, trifft diesen

Artikel 7, Absatz eins, DSGVO eine Nachweispflicht.

Der Verantwortliche muss also „nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Auch wenn der Erwägungsgrund 42 in diesem Zusammenhang als bloße Empfehlung gelesen werden könnte („sollte nachweisen können“), spricht der ausdrückliche normative Wortlaut, die mehrfache Verwendung der Formulierung „nachweisen können“ in der DSGVO (s. u.a. Artikel 5, Absatz 2,, Artikel 11, Absatz 2,, Artikel 21, Absatz eins, DSGVO) sowie der Grundsatz der Rechenschaftspflicht (Artikel 5, Absatz 2, DSGVO) für eine Pflicht des Verantwortlichen. Im Ergebnis trifft den Verantwortlichen somit die Beweislast, wenn er sich auf eine Einwilligung als Rechtsgrundlage seiner Datenverarbeitung stützt. Bereits auf Grundlage des Wortlauts von Art. 7 Abs. 1 DSGVO wird deutlich, dass der Verantwortliche nicht (nur) einen vorhandenen, abstrakten Einwilligungsprozess nachweisen können muss, sondern vielmehr jede einzelne erfolgte Einwilligung der jeweils betroffenen Person. Die Nachweispflicht umfasst somit die konkrete Einwilligungserklärung, wenn ein Betroffener vorbringt, keine Einwilligung abgegeben zu haben. Aus den Vorgaben des Art. 7 Abs. 1 iVm Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) ist daher im Ergebnis eine Dokumentationspflicht des Verantwortlichen zumindest für den konkreten Einwilligungsvorgang abzuleiten (vgl. Kastelitz in Knyrim, DatKomm Art. 7 DSGVO [Stand 7.5.2020, rdb.at]). Bereits auf Grundlage des Wortlauts von Artikel 7, Absatz eins, DSGVO wird deutlich, dass der Verantwortliche nicht (nur) einen vorhandenen, abstrakten Einwilligungsprozess nachweisen können muss, sondern vielmehr jede einzelne erfolgte Einwilligung der jeweils betroffenen Person. Die Nachweispflicht umfasst somit die konkrete Einwilligungserklärung, wenn ein Betroffener vorbringt, keine Einwilligung abgegeben zu haben. Aus den Vorgaben des Artikel 7, Absatz eins, in Verbindung mit Artikel 5, Absatz 2, DSGVO (Rechenschaftspflicht) ist daher im Ergebnis eine Dokumentationspflicht des Verantwortlichen zumindest für den konkreten Einwilligungsvorgang abzuleiten vergleiche Kastelitz in Knyrim, DatKomm Artikel 7, DSGVO [Stand 7.5.2020, rdb.at]). Dieser Nachweispflicht zur Glaubhaftmachung seiner Behauptung konnte der Beschwerdeführer allerdings nicht entsprechen. Konkret steht Aussage gegen Aussage, wobei der Beschwerdeführer auch eine Zeugin benannt hat (ohne nähere Ausführung, wie es zu dieser Stellung kommen konnte) aber eben jedenfalls keine Dokumentation dieser Einwilligung erfolgt ist. 3.6.2. Des Weiteren stützte der Beschwerdeführer sein Vorbringen in der Beschwerde darauf, dass er zur Datenverarbeitung zum Zwecke der Verteidigung von Rechtsansprüchen ein berechtigtes Interesse gehabt habe, zumal die Verarbeitung zur Verteidigung von Rechtsansprüchen notwendig gewesen sei.

Art. 9Abs.

2 lit. f DSGVO ist die Verarbeitung von Gesundheitsdaten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist.

Artikel 9

, Absatz 2, Litera f, DSGVO ist die Verarbeitung von Gesundheitsdaten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist. Art. 9 Abs. 2 lit. f DSGVO entspricht weitgehend Art. 8 Abs. 2 lit. e zweite Alternative DS-RL und ermöglicht die Verarbeitung sensibler Daten bei der „Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit“, soweit diese dafür erforderlich ist. Die Erforderlichkeit ist dabei aus einer Ex-ante-Sicht zu beurteilen, woraus sich ein gewisser Beurteilungsspielraum ergibt. Art. 9 Abs. 2 lit. f DSGVO ist somit für sensible Daten ein Sonderfall des allgemeinen Erlaubnistatbestands des berechtigten Interesses iSd Art. 6 Abs. 1 lit. f DSGVO und dient der Gewährleistung des Grundrechts auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht

Art. 47

GRC.Artikel 9, Absatz 2, Litera f, DSGVO entspricht weitgehend Artikel 8, Absatz 2, Litera e, zweite Alternative DS-RL und ermöglicht die Verarbeitung sensibler Daten bei der „Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit“, soweit diese dafür erforderlich ist. Die Erforderlichkeit ist dabei aus einer Ex-ante-Sicht zu beurteilen, woraus sich ein gewisser Beurteilungsspielraum ergibt. Artikel 9, Absatz 2, Litera f, DSGVO ist somit für sensible Daten ein Sonderfall des allgemeinen Erlaubnistatbestands des berechtigten Interesses iSd Artikel 6, Absatz eins, Litera f, DSGVO und dient der Gewährleistung des Grundrechts auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht

Artikel 47, GRC.

Im gegenständlichen Fall hat der Beschwerdeführer von der XXXX die Krankengeschichte sowie weitere Unterlagen der mitbeteiligten Partei angefordert und an seine Haftpflichtversicherung weitergeleitet, um sich u.a. gegen die Rechtsansprüche der mitbeteiligten Partei zu verteidigen. Allerdings muss hier in einem weiteren Schritt geprüft werden, ob diese Vorgangsweise dem im Art. 5 Abs. 1 lit. c DSGVO verankerten Grundsatz der Datenminimierung entsprochen hat. Im gegenständlichen Fall hat der Beschwerdeführer von der römisch 40 die Krankengeschichte sowie weitere Unterlagen der mitbeteiligten Partei angefordert und an seine Haftpflichtversicherung weitergeleitet, um sich u.a. gegen die Rechtsansprüche der mitbeteiligten Partei zu verteidigen. Allerdings muss hier in einem weiteren Schritt geprüft werden, ob diese Vorgangsweise dem im Artikel 5, Absatz eins, Litera c, DSGVO verankerten Grundsatz der Datenminimierung entsprochen hat.

Art. 5Abs.

1 lit. c DSGVO muss eine Datenverarbeitung dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“).

Artikel 5

, Absatz eins, Litera c, DSGVO muss eine Datenverarbeitung dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“). Datenminimierung ist der Grundsatz der Reduktion der Verarbeitung personenbezogener Daten auf das Unvermeidbare. Erst der Grundsatz der Datenminimierung bewirkt einen wesentlichen Aspekt der Zweckbindung: Er stellt sicher, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird. Bisher war der Grundsatz der Datenminimierung in der DS-RL und im DSG 2000 nicht ausdrücklich erwähnt. In anerkannter, aber nicht unumstrittener Auslegung wurde er aus der Bestimmung des Art. 6 Abs. 1 lit. c DS-RL abgeleitet, die bisher als Wesentlichkeitsgrundsatz bezeichnet wurde. In einer dieser Bestimmung ähnlichen, aber im Detail doch deutlich abweichenden Formulierung gliedert Art. 5 Abs. 1 lit. c den Grundsatz der Datenminimierung in drei am Verarbeitungszweck zu messende Anforderungen: in die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß (s. auch ErwGr 39 S 6). Insbesondere die Beschränkung auf das notwendige Maß wird als strikter angesehen als die Wendung in der DS-RL „nicht darüber hinausgehen“. Noch deutlicher wird dies in der jeweiligen englischen Sprachfassung. Hier wurde das „not excessive“ der DS-RL in der DSGVO durch „limited to what is necessary“ abgelöst.Bisher war der Grundsatz der Datenminimierung in der DS-RL und im DSG 2000 nicht ausdrücklich erwähnt. In anerkannter, aber nicht unumstrittener Auslegung wurde er aus der Bestimmung des Artikel 6, Absatz eins, Litera c, DS-RL abgeleitet, die bisher als Wesentlichkeitsgrundsatz bezeichnet wurde. In einer dieser Bestimmung ähnlichen, aber im Detail doch deutlich abweichenden Formulierung gliedert Artikel 5, Absatz eins, Litera c, den Grundsatz der Datenminimierung in drei am Verarbeitungszweck zu messende Anforderungen: in die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß (s. auch ErwGr 39 S 6). Insbesondere die Beschränkung auf das notwendige Maß wird als strikter angesehen als die Wendung in der DS-RL „nicht darüber hinausgehen“. Noch deutlicher wird dies in der jeweiligen englischen Sprachfassung. Hier wurde das „not excessive“ der DS-RL in der DSGVO durch „limited to what is necessary“ abgelöst. Die erste Anforderung der Datenminimierung stellt die Frage, ob die Daten dem Zweck angemessen sind (s. auch ErwGr 39 S 8: „Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann.“). In der Terminologie der grundrechtlichen Verhältnismäßigkeitsdogmatik handelt es sich dabei um die Verhältnismäßigkeit im engeren Sinne. Die Daten sind dem Zweck nur dann angemessen, wenn die Verarbeitung der Daten zum jeweiligen Zweck nicht bereits im Rahmen einer objektiven Wertung beanstandet werden kann. Objektiv zu beanstanden und damit dem Zweck nicht angemessen wäre es z.B., wenn zum Zweck der Beurteilung eines Stellenbewerbers dessen politische Einstellung herangezogen werden würde. Neben der Angemessenheit ist – ebenfalls objektiv – die Erheblichkeit zu prüfen. Daten sind erheblich, wenn sie für die Zweckerreichung förderlich, also im Sinne der grundrechtlichen Verhältnismäßigkeitsdogmatik geeignet sind. Kann man sich hingegen die Verarbeitung bestimmter Daten wegdenken, ohne dass die Zweckerreichung erschwert wird, dann sind diese nicht erheblich. Die Anforderung der Beschränkung auf das notwendige Maß werde laut Frenzel regelmäßig von der Angemessenheit und der Erheblichkeit konsumiert. Es bliebe jedoch dann ein Anwendungsbereich für diese Anforderung, wenn Daten abstrakt als angemessen und erheblich einzustufen im konkreten Kontext jedoch nicht von Bedeutung sind, es sich z.B. um eine Information handelt, die auf alle Stellenbewerber zutrifft, oder wenn aufgrund des großen Umfangs von vornherein feststehe, dass im konkreten Fall nicht alle angemessenen und erheblichen Daten berücksichtigt werden können (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO [Stand 7.5.2020, rdb.at]).Die Anforderung der Beschränkung auf das notwendige Maß werde laut Frenzel regelmäßig von der Angemessenheit und der Erheblichkeit konsumiert. Es bliebe jedoch dann ein Anwendungsbereich für diese Anforderung, wenn Daten abstrakt als angemessen und erheblich einzustufen im konkreten Kontext jedoch nicht von Bedeutung sind, es sich z.B. um eine Information handelt, die auf alle Stellenbewerber zutrifft, oder wenn aufgrund des großen Umfangs von vornherein feststehe, dass im konkreten Fall nicht alle angemessenen und erheblichen Daten berücksichtigt werden können vergleiche Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO [Stand 7.5.2020, rdb.at]). Dies bedeutet, dass die Übermittlung für die Verfahrensführung überflüssiger personenbezogenen Daten aus der Krankengeschichte der mitbeteiligten Partei, wie etwa Informationen zu früheren Krankheiten, die mit der Schulterverletzung in keinem Zusammenhang stehen oder Stammdaten für die Erreichung des Zwecks, nämlich der Verteidigung gegen Rechtsansprüche, weder angemessen, erheblich noch auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt ist. Darüber hinaus verstößt die gegenständliche Datenverarbeitung auch gegen den Erwägungsgrund 39, der besagt, dass personenbezogene Daten nur dann verarbeitet werden dürfen sollten, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann, weil etwa im Falle der Einbringung einer gerichtlichen Klage gegen den Beschwerdeführer durch die mitbeteiligte Partei der Beschwerdeführer ohnehin die Möglichkeit bekommen würde, eine Akteneinsicht zu nehmen, um an die für das Gerichtsverfahren relevanten und notwendigen Informationen zu gelangen. 3.7. Der zuständige Senat gelangt daher zu dem Ergebnis, dass der Beschwerdeführer als Verantwortlicher durch die Anforderung der Gesundheitsdaten der mitbeteiligten Partei von der XXXX und Weitergabe an seine Haftpflichtversicherung personenbezogene Daten in unzulässiger Weise verarbeitet hat (hier: Offenlegung durch Übermittlung, Speicherung) und dadurch die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt hat.3.7. Der zuständige Senat gelangt daher zu dem Ergebnis, dass der Beschwerdeführer als Verantwortlicher durch die Anforderung der Gesundheitsdaten der mitbeteiligten Partei von der römisch 40 und Weitergabe an seine Haftpflichtversicherung personenbezogene Daten in unzulässiger Weise verarbeitet hat (hier: Offenlegung durch Übermittlung, Speicherung) und dadurch die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt hat. Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde

§ 28Abs. 2 Vw

GVG iVm § 24 Abs. 1 und Abs. 5 DSG abzuweisen.Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Artikel 130, Absatz eins, Ziffer eins, B-VG nicht anhaftet, war die dagegen erhobene Beschwerde

Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG abzuweisen. 3.8.

§ 24Abs. 1 Vw

GVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.3.8.

Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Der Beschwerdeführer hat – vertreten durch einen Rechtsanwalt - gegenständlich keinen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Soweit „in eventu“ eine Zeugin für die behauptete Einwilligung benannt wurde, erweist sich deren Befragung angesichts der dargelegten Umstände – insbesondere dem unstrittigen Faktum, dass keine Dokumentation der Zustimmung erfolgt ist - als nicht erforderlich. Darüber hinaus hat nicht einmal der Beschwerdeführer behauptet, dass es eine Einwilligung der mitbeteiligten Partei gegeben hätte, ihre gesamte Krankengeschichte seiner Haftpflichtversicherung weiterzugeben. Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12). Von der Durchführung einer mündlichen Verhandlung war folglich

§ 24Abs. 1 Vw

GVG abzusehen.Von der Durchführung einer mündlichen Verhandlung war folglich

Paragraph 24, Absatz eins, VwGVG abzusehen. Zu B) Unzulässigkeit der Revision:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Insbesondere ist hinsichtlich einer allfälligen Einwilligungserklärung die Verteilung der Beweislast klar aus den gesetzlichen Grundlagen zu entnehmen und es ergibt sich aus diesen auch eine Dokumentationspflicht für solche Einwilligungserklärungen. Ebenso ergibt sich aus der Gesetzeslage klar, dass auch die weiterführende Datenverarbeitung – insbesondere hinsichtlich einer Datenweitergabe – zusätzlichen Beschränkungen unterliegt. European Case Law IdentifierECLI:AT:BVWG:2023:W137.2242192.1.00