Zum Beschwerdeführer als Verantwortlicher
, Ziffer 7, DSGVO: Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Art 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Artikel 4, Ziffer 7, DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden. Der EuGH hat festgehalten, dass die Entscheidung über die Zwecke und Mittel der Verarbeitung nach den zugrundeliegenden Vorschriften nicht (zwingend) mittels schriftlicher Anweisung erfolgen muss (siehe EuGH 10.07.2018, C-25/17, Tietosuojavaltuutettu, Rm. 67) Der Versand eines Impferinnerungsschreibens ist eine Angelegenheit des Gesundheitswesens, das in mittelbarer Bundesverwaltung, dh grundsätzlich durch den jeweiligen Landeshauptmann, zu vollziehen ist (Art 10 Abs 1 Z 12 iVm Art 102 Abs 1 und 2 B-VG). Im Falle des Art 103 Abs 2 B-VG erfolgt die Vollziehung von Mitgliedern der Landesregierung im Namen des Landeshauptmannes, im Fall von XXXX durch den Stadtsenat bzw die amtsführenden Stadträte im Namen des Bürgermeisters (vgl ua § 114 XXXX Stadtverfassung). Der Versand eines Impferinnerungsschreibens ist eine Angelegenheit des Gesundheitswesens, das in mittelbarer Bundesverwaltung, dh grundsätzlich durch den jeweiligen Landeshauptmann, zu vollziehen ist (Artikel 10, Absatz eins, Ziffer 12, in Verbindung mit Artikel 102, Absatz eins und 2 B-VG). Im Falle des Artikel 103, Absatz 2, B-VG erfolgt die Vollziehung von Mitgliedern der Landesregierung im Namen des Landeshauptmannes, im Fall von römisch 40 durch den Stadtsenat bzw die amtsführenden Stadträte im Namen des Bürgermeisters vergleiche ua Paragraph 114, römisch 40 Stadtverfassung). Gemäß § 106 der XXXX Stadtverfassung ist XXXX in Geschäftsgruppen und innerhalb dieser in Abteilungen eingeteilt. Jeder Geschäftsgruppe steht XXXX vor. Gemäß der Geschäftseinteilung XXXX vom 13.01.2021 besteht im XXXX die Geschäftsgruppe XXXX , der XXXX und XXXX zugeordnet sind. Dieser Geschäftsgruppe steht XXXX vor. Gemäß Paragraph 106, der römisch 40 Stadtverfassung ist römisch 40 in Geschäftsgruppen und innerhalb dieser in Abteilungen eingeteilt. Jeder Geschäftsgruppe steht römisch 40 vor. Gemäß der Geschäftseinteilung römisch 40 vom 13.01.2021 besteht im römisch 40 die Geschäftsgruppe römisch 40 , der römisch 40 und römisch 40 zugeordnet sind. Dieser Geschäftsgruppe steht römisch 40 vor. Dennoch kann XXXX als „Behörde“ oder „andere Stelle“
Z 7 DSGVO selbst datenschutzrechtlich Verantwortlicher sein: Entweder wenn er nach Unions-, Landes- oder Bundesrecht
Z 7 letzter Halbsatz DSGVO als Verantwortlicher festgelegt wird, oder wenn der Verantwortliche nicht nach Unions-, Landes- oder Bundesrecht bestimmt wird und das Amt der Landesregierung selbst Zweck und Mittel einer Datenverarbeitung bestimmt.Dennoch kann römisch 40 als „Behörde“ oder „andere Stelle“
, Ziffer 7, DSGVO selbst datenschutzrechtlich Verantwortlicher sein: Entweder wenn er nach Unions-, Landes- oder Bundesrecht
, Ziffer 7, letzter Halbsatz DSGVO als Verantwortlicher festgelegt wird, oder wenn der Verantwortliche nicht nach Unions-, Landes- oder Bundesrecht bestimmt wird und das Amt der Landesregierung selbst Zweck und Mittel einer Datenverarbeitung bestimmt. Von einer Bestimmung von Zweck und Mittel einer Datenverarbeitung durch XXXX kann nicht mehr ausgegangen werden, wenn diese durch den Bürgermeister bzw das zuständige Mitglied der Landesregierung XXXX detailliert bestimmt werden. In einem solchen Fall kann XXXX nicht mehr als Verantwortlicher für die Datenverarbeitung gesehen werden.Von einer Bestimmung von Zweck und Mittel einer Datenverarbeitung durch römisch 40 kann nicht mehr ausgegangen werden, wenn diese durch den Bürgermeister bzw das zuständige Mitglied der Landesregierung römisch 40 detailliert bestimmt werden. In einem solchen Fall kann römisch 40 nicht mehr als Verantwortlicher für die Datenverarbeitung gesehen werden. Für den konkreten Fall bedeutet das: Gegenständlich ist der Versand eines Impferinnerungsschreiben, dh eine Angelegenheit des Gesundheitswesens, die in mittelbarer Bundesverwaltung in XXXX durch den XXXX für XXXX im Namen des Landeshauptmanns vollzogen wird (Art 10 Abs 1 Z 12, Art 102 Abs 2 und 103 Abs 2 B-VG iVm § 133 XXXX Stadtverfassung, Geschäftseinteilung XXXX ).Gegenständlich ist der Versand eines Impferinnerungsschreiben, dh eine Angelegenheit des Gesundheitswesens, die in mittelbarer Bundesverwaltung in römisch 40 durch den römisch 40 für römisch 40 im Namen des Landeshauptmanns vollzogen wird (Artikel 10, Absatz eins, Ziffer 12,, Artikel 102, Absatz 2 und 103 Absatz 2, B-VG in Verbindung mit Paragraph 133, römisch 40 Stadtverfassung, Geschäftseinteilung römisch 40 ). Zur Bestimmung des Verantwortlichen auf Grund von Unions-, Landes- oder Bundesrecht: Der datenschutzrechtlich Verantwortliche wird in XXXX nicht von Unions-, Landes- oder Bundesrecht bestimmt.Der datenschutzrechtlich Verantwortliche wird in römisch 40 nicht von Unions-, Landes- oder Bundesrecht bestimmt. Zur Frage, wer über Zweck und Mittel der Datenverarbeitung entschieden hat: Den Zweck des Schreibens, dh die Impfquote zu erhöhen, um die Bürger des Landes und das Gesundheitssystem zu schützen, sowie den Zweck des Zugriffs auf den Patientenindex und das zentrale Impfregister, nämlich zur Bestimmung der Adressaten des Impferinnerungsschreibens, hat XXXX vorgegeben.Den Zweck des Schreibens, dh die Impfquote zu erhöhen, um die Bürger des Landes und das Gesundheitssystem zu schützen, sowie den Zweck des Zugriffs auf den Patientenindex und das zentrale Impfregister, nämlich zur Bestimmung der Adressaten des Impferinnerungsschreibens, hat römisch 40 vorgegeben. XXXX hat ebenfalls die wesentlichen Mittel der Datenverarbeitung bestimmt, nämlich den wesentlichen Inhalt des Schreibens, die Festlegung der Empfängerkreise und den hierfür erforderlichen Zugriff auf den Patientenindex und das zentrale Impfregister. Zwar wurde das Impferinnerungsschreiben von den zuständigen Mitarbeitern XXXX koordiniert und umgesetzt; die Letztverantwortung und die konkrete Entscheidung blieben aber immer XXXX vorbehalten. XXXX gab in seiner Einvernahme vor dem Bundesverwaltungsgericht an, dass die XXXX GmbH für die Umsetzung als Dienstleisterin in Anspruch genommen wurde (OZ 19, S. 15). Auch wenn XXXX das Angebot der XXXX GmbH nicht selbst unterschrieben hat, hat er bestimmt, dass die XXXX GmbH für den Zugriff auf den Patientenindex und das zentrale Impfregister herangezogen wird. römisch 40 hat ebenfalls die wesentlichen Mittel der Datenverarbeitung bestimmt, nämlich den wesentlichen Inhalt des Schreibens, die Festlegung der Empfängerkreise und den hierfür erforderlichen Zugriff auf den Patientenindex und das zentrale Impfregister. Zwar wurde das Impferinnerungsschreiben von den zuständigen Mitarbeitern römisch 40 koordiniert und umgesetzt; die Letztverantwortung und die konkrete Entscheidung blieben aber immer römisch 40 vorbehalten. römisch 40 gab in seiner Einvernahme vor dem Bundesverwaltungsgericht an, dass die römisch 40 GmbH für die Umsetzung als Dienstleisterin in Anspruch genommen wurde (OZ 19, S. 15). Auch wenn römisch 40 das Angebot der römisch 40 GmbH nicht selbst unterschrieben hat, hat er bestimmt, dass die römisch 40 GmbH für den Zugriff auf den Patientenindex und das zentrale Impfregister herangezogen wird. XXXX hat keine schriftliche Weisung an seine Mitarbeiter XXXX gegeben, jedoch können die Organe im Rahmen ihrer sachlichen und funktionellen Zuständigkeit Aufträge in Form von individuellen oder generellen, konkreten oder abstrakten Weisungen erteilen. Daraus ist abzuleiten, dass die Mitarbeiter der XXXX und XXXX , die XXXX zuzuordnen sind, durch die generelle Weisung XXXX , ein Impferinnerungsschreiben an sozialversicherte ungeimpfte Personen über 18 Jahre mit Wohnsitz in XXXX zur versenden, beauftragt wurden. römisch 40 hat keine schriftliche Weisung an seine Mitarbeiter römisch 40 gegeben, jedoch können die Organe im Rahmen ihrer sachlichen und funktionellen Zuständigkeit Aufträge in Form von individuellen oder generellen, konkreten oder abstrakten Weisungen erteilen. Daraus ist abzuleiten, dass die Mitarbeiter der römisch 40 und römisch 40 , die römisch 40 zuzuordnen sind, durch die generelle Weisung römisch 40 , ein Impferinnerungsschreiben an sozialversicherte ungeimpfte Personen über 18 Jahre mit Wohnsitz in römisch 40 zur versenden, beauftragt wurden. Der Beschwerdeführer hat somit weder über den Zweck noch die Mittel der Datenverarbeitung entschieden und kann für sie daher nicht Verantwortlicher
Z 7 DSGVO sein.Der Beschwerdeführer hat somit weder über den Zweck noch die Mittel der Datenverarbeitung entschieden und kann für sie daher nicht Verantwortlicher
3.2.2. Zur Bedeutung der fehlerhaften Bestimmung des Verantwortlichen für das Administrativverfahren: Nach der Rechtsprechung des Verwaltungsgerichtshofes sind Parteierklärungen nach ihrem objektiven Erklärungswert auszulegen, dh es kommt darauf an, wie die Erklärung unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszweckes und der der Behörde vorliegenden Aktenlage objektiv verstanden werden muss. Bei undeutlichem Inhalt eines Anbringens ist die Absicht der Partei zu erforschen. Im Zweifel ist dem Anbringen einer Partei, das sie zur Wahrung ihrer Rechte stellt, nicht ein solcher Inhalt beizumessen, der ihr die Rechtsverteidigungsmöglichkeit nimmt (vgl. etwa VwGH 28.05.2019, Ra 2018/15/0036).Nach der Rechtsprechung des Verwaltungsgerichtshofes sind Parteierklärungen nach ihrem objektiven Erklärungswert auszulegen, dh es kommt darauf an, wie die Erklärung unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszweckes und der der Behörde vorliegenden Aktenlage objektiv verstanden werden muss. Bei undeutlichem Inhalt eines Anbringens ist die Absicht der Partei zu erforschen. Im Zweifel ist dem Anbringen einer Partei, das sie zur Wahrung ihrer Rechte stellt, nicht ein solcher Inhalt beizumessen, der ihr die Rechtsverteidigungsmöglichkeit nimmt vergleiche etwa VwGH 28.05.2019, Ra 2018/15/0036). Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde eine Verletzung im Recht auf Geheimhaltung geltend gemacht und die XXXX bzw XXXX als Beschwerdegegner bezeichnet. Eine Datenschutzbeschwerde wegen einer Verletzung im Recht auf Geheimhaltung kann nur erfolgreich sein, wenn der Beschwerdegegner
Wenn sich herausstellt, dass der Beschwerdegegner tatsächlich nicht Verantwortlicher ist, hat die Datenschutzbehörde die Datenschutzbeschwerde grundsätzlich abzuweisen.Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde eine Verletzung im Recht auf Geheimhaltung geltend gemacht und die römisch 40 bzw römisch 40 als Beschwerdegegner bezeichnet. Eine Datenschutzbeschwerde wegen einer Verletzung im Recht auf Geheimhaltung kann nur erfolgreich sein, wenn der Beschwerdegegner
Wenn sich herausstellt, dass der Beschwerdegegner tatsächlich nicht Verantwortlicher ist, hat die Datenschutzbehörde die Datenschutzbeschwerde grundsätzlich abzuweisen. Im vorliegenden Fall ist aber zu berücksichtigen, dass die mitbeteiligte Partei in der Datenschutzbeschwerde zwar die XXXX bzw XXXX als Beschwerdegegner bezeichnet hat, sich auf dem beigefügten Impferinnerungsschreiben, das auf einer Verletzung im Recht auf Geheimhaltung fußen soll, aber zwei verschiede Personen unterschrieben haben, vier Krankenkassen und eine XXXX angeführt sind.Im vorliegenden Fall ist aber zu berücksichtigen, dass die mitbeteiligte Partei in der Datenschutzbeschwerde zwar die römisch 40 bzw römisch 40 als Beschwerdegegner bezeichnet hat, sich auf dem beigefügten Impferinnerungsschreiben, das auf einer Verletzung im Recht auf Geheimhaltung fußen soll, aber zwei verschiede Personen unterschrieben haben, vier Krankenkassen und eine römisch 40 angeführt sind. Damit scheint der Sachverhalt der Entscheidung VwGH 24.01.2018, 2017/09/0055 zu gleichen, in der der Verwaltungsgerichtshof ausgesprochen hat, dass im Falle einer Berufung bzw Bescheidbeschwerde, in der das Amt der Landesregierung als Berufungs- bzw Beschwerdegegner genannt wird und der der Berufung bzw Beschwerde beigefügte Bescheid für den Landeshauptmann unterfertigt worden ist, der Wille der Partei zweifelsfrei dahin erkennbar ist, dass tatsächlich der Landeshauptmann Gegner der Berufung bzw der Beschwerde sein soll. Tatsächlich unterscheidet sich der dem zitierten Erkenntnis zu Grunde liegenden Sachverhalt aber wesentlich vom gegenständlichen Fall: Während der korrekte Berufungs- oder Beschwerdegegner ausschließlich davon abhängt, für welches Organ der bekämpfte Bescheid unterfertigt worden ist, hängt die Frage, wer Verantwortlicher für die Datenverarbeitung ist und damit Beschwerdegegner sein kann, nicht von einer Unterfertigung ab, sondern davon, wer über Zweck und Mittel der Datenverarbeitung entschieden hat. Es bleibt daher unklar, ob die mitbeteiligte Partei tatsächlich die XXXX bzw XXXX als Gegner der Datenschutzbeschwerde bezeichnen wollte oder etwa rechtsirrtümlich von einer Identität mit XXXX ausgegangen ist.Es bleibt daher unklar, ob die mitbeteiligte Partei tatsächlich die römisch 40 bzw römisch 40 als Gegner der Datenschutzbeschwerde bezeichnen wollte oder etwa rechtsirrtümlich von einer Identität mit römisch 40 ausgegangen ist. Dennoch war die belangte Behörde nicht gehalten, die mitbeteiligte Partei gemäß Art 13 Abs 3 AVG aufzufordern, die Zweifel auszuräumen, sondern nur zur Mängelbehebung aufzufordern. Auch das von der belangten Behörde geführte amtswegige Verfahren gegen den Beschwerdeführer und die Feststellung der Rechtswidrigkeit der Datenverarbeitung in Spruchpunkt
AVG berechtigt ist, alles als Beweismittel heranzuziehen, was zur Entscheidungsfindung sachdienlich ist. Insofern wurden die Bestandteile des parallelen DSB-Verfahrens im Zuge der mündlichen Verhandlung vom 18.10.2023 zum Verfahrensinhalt erhoben. Das Vorbringen des Beschwerdeführers geht daher fehl (vgl. Ra 2021/09/0251, RS-Nr.: 11).Soweit von Seiten des Beschwerdeführers vorgebracht wird, dass die Datenschutzbehörde das Verfahren zum einen mangelhaft geführt habe und zum anderen unzulässiger Weise Ermittlungsergebnisse aus anderen Verfahren verwertet habe, so ist dazu auszuführen, dass allfällige Verfahrensmängel vor der belangten Behörde durch ein mängelfreies Verfahren vor dem VwG saniert werden vergleiche Ra 2021/09/0251, RS-Nr.: 9) und das VwG im Rahmen der Unbeschränktheit der Beweismittel
Paragraph 46, AVG berechtigt ist, alles als Beweismittel heranzuziehen, was zur Entscheidungsfindung sachdienlich ist. Insofern wurden die Bestandteile des parallelen DSB-Verfahrens im Zuge der mündlichen Verhandlung vom 18.10.2023 zum Verfahrensinhalt erhoben. Das Vorbringen des Beschwerdeführers geht daher fehl vergleiche Ra 2021/09/0251, RS-Nr.: 11). 3.5.
. Art. 4 Z 7 sein kann, ist angesichts der Feststellungen, wonach dieser Zwecke und Mittel nicht bestimmt hat, für das gegenständliche Verfahren unerheblich. Aus den eben genannten Gründen konnte auch die mit ergänzendem Vorbringen des Beschwerdeführers vom 08.11.2023 beantragte Aussetzung des Verfahrens hinsichtlich des Vorlageantrags durch den VwGH an den EuGH zur Rechtssache Ra 2023/04/0024 (EU 2023/0007-1) vom 23. August 2023, in welchem uA die Frage gestellt wurde, ob Institutionen wie das Amt der Landesregierung oder römisch 40 als datenschutzrechtliche Verantwortliche auftreten können, unterbleiben. Die Frage, ob römisch 40 datenschutzrechtlicher Verantwortlicher
. Artikel 4, Ziffer 7, sein kann, ist angesichts der Feststellungen, wonach dieser Zwecke und Mittel nicht bestimmt hat, für das gegenständliche Verfahren unerheblich. 3.5.4. Zum Vorliegen eines nichtigen Bescheides Der Beschwerdeführer argumentierte in der Verhandlung vor dem Bundesverwaltungsgericht und in seinem Schriftsatz vom 19.12.2023, dass zu prüfen sei, ob überhaupt ein Bescheid vorliege. Der Beschwerdeführer führte an, dass bei Fehlen des Bescheidadressaten der Bescheid absolut nichtig sei. XXXX sei eine bloße Dienststelle, die weder eine natürliche noch eine juristische Person sei und als Hilfsapparat für XXXX auftrete. Entscheidend sei, dass XXXX – als Hilfsapparat – (auch) im Wege der mittelbaren Bundesverwaltung Dienstleistungen erbringe. XXXX übe Funktionen aus, die dem Bund zuzurechnen seien und gelte daher als Bundesorgan im funktionellen Sinne. Dieser Argumentation des Beschwerdeführers ist nicht zu folgen: Wie bereits oben ausgeführt, kann XXXX als „Behörde“ oder „andere Stelle“
Z 7 DSGVO selbst datenschutzrechtlich Verantwortlicher sein: Entweder wenn er nach Unions-, Landes- oder Bundesrecht
Z 7 letzter Halbsatz DSGVO als Verantwortlicher festgelegt wird, oder wenn der Verantwortliche nicht nach Unions-, Landes- oder Bundesrecht bestimmt wird und XXXX selbst Zweck und Mittel einer Datenverarbeitung bestimmt. XXXX kann in diesem Fall grundsätzlich Bescheidadressat sein, weshalb der gegenständliche Bescheid nicht nichtig ist. Der Beschwerdeführer argumentierte in der Verhandlung vor dem Bundesverwaltungsgericht und in seinem Schriftsatz vom 19.12.2023, dass zu prüfen sei, ob überhaupt ein Bescheid vorliege. Der Beschwerdeführer führte an, dass bei Fehlen des Bescheidadressaten der Bescheid absolut nichtig sei. römisch 40 sei eine bloße Dienststelle, die weder eine natürliche noch eine juristische Person sei und als Hilfsapparat für römisch 40 auftrete. Entscheidend sei, dass römisch 40 – als Hilfsapparat – (auch) im Wege der mittelbaren Bundesverwaltung Dienstleistungen erbringe. römisch 40 übe Funktionen aus, die dem Bund zuzurechnen seien und gelte daher als Bundesorgan im funktionellen Sinne. Dieser Argumentation des Beschwerdeführers ist nicht zu folgen: Wie bereits oben ausgeführt, kann römisch 40 als „Behörde“ oder „andere Stelle“
, Ziffer 7, DSGVO selbst datenschutzrechtlich Verantwortlicher sein: Entweder wenn er nach Unions-, Landes- oder Bundesrecht
, Ziffer 7, letzter Halbsatz DSGVO als Verantwortlicher festgelegt wird, oder wenn der Verantwortliche nicht nach Unions-, Landes- oder Bundesrecht bestimmt wird und römisch 40 selbst Zweck und Mittel einer Datenverarbeitung bestimmt. römisch 40 kann in diesem Fall grundsätzlich Bescheidadressat sein, weshalb der gegenständliche Bescheid nicht nichtig ist. 3.5.
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.