RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum23.05.2024 GeschäftszahlW298 2261880-1 Spruch, W298 2261880-1/7E IM Namen der REpublik Das Bundesverwaltungsgericht hat durch den Richter

Art. 133

Abs 4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang: römisch eins. Verfahrensgang:

1. Mit Beschwerde vom 24.12.2021, machte die nunmehr mitbeteiligte Partei (idF mitbeteiligte Partei) eine Verletzung in ihrem Recht auf Geheimhaltung wegen eines Schreibens des XXXX (Beschwerdeführer, in der Folge Beschwerdeführer), das personalisiert über die Möglichkeit der dritten Corona-Schutzimpfung informierte, bei der Datenschutzbehörde (idF DSB) geltend.
2. Mit Beschwerde vom 24.12.2021, machte die nunmehr mitbeteiligte Partei in der Fassung mitbeteiligte Partei) eine Verletzung in ihrem Recht auf Geheimhaltung wegen eines Schreibens des römisch 40 (Beschwerdeführer, in der Folge Beschwerdeführer), das personalisiert über die Möglichkeit der dritten Corona-Schutzimpfung informierte, bei der Datenschutzbehörde in der Fassung DSB) geltend.
3. Mit Hinweis auf eine Vielzahl an gleichlautenden Beschwerden übermittelte die DSB der mitbeteiligte Partei eine Stellungnahme des Beschwerdeführers vom 07.01.2022, die zu einem anderen Verfahren ergangen war. Der Beschwerdeführer brachte darin zusammengefasst soweit wesentlich vor, dass er als alleiniger datenschutzrechtlicher Verantwortlicher in Entsprechung der aktuellen Covid-19-Anwendungsempfehlung des Nationalen Impfgremiums zur Erreichung der Grundimmunisierung an alle Personen, die bereits die erste Impfserie abgeschlossen gehabt hätten, ein personalisiertes Erinnerungsschreiben für eine dritte Impfung auf dem Postweg versandt habe.
4. In ihrer Replik verwies die mitbeteiligte Partei unter anderem auf das Fehlen einer Rechtsgrundlage für die Impferinnerungsschreiben.
5. Mit Bescheid vom 18.08.2022 wurde der Beschwerde der mitbeteiligten Partei stattgegeben und festgestellt, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, dass der Beschwerdeführer unrechtmäßig auf die Daten der mitbeteiligten Partei im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen über den Abschluss der Grundimmunisierung gegen SARS-CoV-2 verarbeitet habe. Begründend führte die DSB soweit wesentlich und zusammengefasst aus, dass der Beschwerdeführer als Rechtsgrundlage für die in Frage stehenden Datenverarbeitungen die Bestimmungen des § 24d Abs. 2 Z 5 GTelG 2012 iVm § 4 Abs. 3 GTelG herangezogen habe. Hinsichtlich der Datenverarbeitung betreffend die Versendung des Erinnerungsschreibens könne den §§ 24d Abs. 2 Z 5 iVm § 24f Abs. 4 Z 5 GTelG 2012 jedoch lediglich ein allgemeiner Erlaubnistatbestand zum Zweck des Krisenmanagements im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten

§ 1Epidemiegesetz 1950, BGBl.

Nr. 186/1950, entnommen werden. Es sei nicht ableitbar, dass der Beschwerdeführer deshalb berechtigt wäre, zum Zweck des Versands eines personalisierten Schreibens mit Informationen über den Abschluss der Grundimmunisierung gegen SARS-CoV-2 auf die Daten des zentralen Impfregisters zuzugreifen. Darüber hinaus sei der Beschwerdeführer auch nicht berechtigt gewesen, die Daten der mitbeteiligten Partei aus dem zentralen Impfregister mit den Daten im Zentralen Patientenindex zur Ermittlung der aktuellen Wohnadresse abzugleichen. § 4 Abs. 3 GTelG 2012 bilde dafür keine taugliche Rechtsgrundlage.Begründend führte die DSB soweit wesentlich und zusammengefasst aus, dass der Beschwerdeführer als Rechtsgrundlage für die in Frage stehenden Datenverarbeitungen die Bestimmungen des Paragraph 24 d, Absatz 2, Ziffer 5, GTelG 2012 in Verbindung mit Paragraph 4, Absatz 3, GTelG herangezogen habe. Hinsichtlich der Datenverarbeitung betreffend die Versendung des Erinnerungsschreibens könne den Paragraphen 24 d, Absatz 2, Ziffer 5, in Verbindung mit Paragraph 24 f, Absatz 4, Ziffer 5, GTelG 2012 jedoch lediglich ein allgemeiner Erlaubnistatbestand zum Zweck des Krisenmanagements im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten

Paragraph eins, Epidemiegesetz 1950, Bundesgesetzblatt Nr. 186 aus 1950,, entnommen werden. Es sei nicht ableitbar, dass der Beschwerdeführer deshalb berechtigt wäre, zum Zweck des Versands eines personalisierten Schreibens mit Informationen über den Abschluss der Grundimmunisierung gegen SARS-CoV-2 auf die Daten des zentralen Impfregisters zuzugreifen. Darüber hinaus sei der Beschwerdeführer auch nicht berechtigt gewesen, die Daten der mitbeteiligten Partei aus dem zentralen Impfregister mit den Daten im Zentralen Patientenindex zur Ermittlung der aktuellen Wohnadresse abzugleichen. Paragraph 4, Absatz 3, GTelG 2012 bilde dafür keine taugliche Rechtsgrundlage.

1. Gegen den gegenständlichen Bescheid erhob der Beschwerdeführer fristgerecht Beschwerde.
2. Die belangte Behörde legte mit Schreiben vom 22.06.2023 die Beschwerde unter Anschluss des Verwaltungsaktes dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass das Vorbringen des Beschwerdeführers zur Gänze bestritten und auf den angefochtenen Bescheid verwiesen werde.
3. Dem Beschwerdeführer wurde die Stellungnahme der belangten Behörde übermittelt und es wurde ihm erneut Parteiengehör gewährt.
4. Bis zum Ende des Verfahrens langte keine weitere Stellungnahme ein. II. Das Bundesverwaltungsgericht hat erwogen: römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
5. Feststellungen: Der Beschwerdeführer ist XXXX . Der Beschwerdeführer versandte an die mitbeteiligte Partei ein personalisiertes Schreiben mit dem Betreff: „Holen Sie sich ab sofort Ihre
6. Corona-Schutzimpfung!“. In diesem Schreiben wurde auf die Möglichkeit der dritten Corona-Schutzimpfung hingewiesen. Die mitbeteiligte Partei erhielt dieses Schreiben jedenfalls vor dem XXXX . Der Beschwerdeführer ist römisch 40 . Der Beschwerdeführer versandte an die mitbeteiligte Partei ein personalisiertes Schreiben mit dem Betreff: „Holen Sie sich ab sofort Ihre
7. Corona-Schutzimpfung!“. In diesem Schreiben wurde auf die Möglichkeit der dritten Corona-Schutzimpfung hingewiesen. Die mitbeteiligte Partei erhielt dieses Schreiben jedenfalls vor dem römisch 40 . Aus dem Kontext des Schreibens, das sich auf die
8. Impfung bezieht, geht hervor, dass die mitbeteiligte Partei bereits zwei Corona-Schutzimpfungen erhalten hat. Zur Ermittlung der Daten der mitbeteiligten Partei vor Zusendung des personalisierten Informationsschreibens überprüfte der Beschwerdeführer – über die XXXX als Auftragsverarbeiterin – im zentralen Impfregister, ob zur mitbeteiligtenb Partei ein dritter Impfeintrag vorhanden war und ermittelte, da ein solcher Impfeintrag nicht aufschien, in einem nächsten Schritt die Wohnadresse der mitbeteiligten Partei durch Zugriff auf den zentralen Patientenindex. In der Folge übermittelte der Beschwerdeführer die Adressdaten der mitbeteiligten Partei an einen Druckdienstleister im Rahmen einer Auftragsdatenverarbeitung. Abseits dieser Datei bestehen keine weiteren Verarbeitungen der personenbezogenen Daten der mitbeteiligten Partei. Zur Ermittlung der Daten der mitbeteiligten Partei vor Zusendung des personalisierten Informationsschreibens überprüfte der Beschwerdeführer – über die römisch 40 als Auftragsverarbeiterin – im zentralen Impfregister, ob zur mitbeteiligtenb Partei ein dritter Impfeintrag vorhanden war und ermittelte, da ein solcher Impfeintrag nicht aufschien, in einem nächsten Schritt die Wohnadresse der mitbeteiligten Partei durch Zugriff auf den zentralen Patientenindex. In der Folge übermittelte der Beschwerdeführer die Adressdaten der mitbeteiligten Partei an einen Druckdienstleister im Rahmen einer Auftragsdatenverarbeitung. Abseits dieser Datei bestehen keine weiteren Verarbeitungen der personenbezogenen Daten der mitbeteiligten Partei. Die mitbeteiligte Partei wirkte in keiner Phase an der Verarbeitung ihrer personenbezogenen Daten (Zugriff auf das zentrale Impfregister, Zugriff auf den Patientenindex) mit und willigte nicht in die Datenverarbeitung ein.
9. Beweiswürdigung: Die Feststellungen ergeben sich aus dem Inhalt der von der belangten Behörde vorgelegten Verwaltungsakt sowie dem gegenständlichen Gerichtsakt. Keine der Verfahrensparteien monierte eine Unrichtigkeit oder Unklarheit betreffend den verfahrensrelevanten Sachverhalt. Dieser ist unstrittig. Vielmehr brachte der BF in seiner Beschwerde vor dem Bundesverwaltungsgericht ausschließlich eine unrichtige rechtliche Beurteilung vor.
10. Rechtliche Beurteilung: 3.1.

§ 6Bundesverwaltungsgerichtsgesetz (BVw

GG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Datenschutzgesetz (DSG) idg

F (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen § 39 DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. 3.1.

Paragraph 6, Bundesverwaltungsgerichtsgesetz (BVwGG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 27, Datenschutzgesetz (DSG) idgF (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen Paragraph 39, DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das Verwaltungsgerichtsverfahrensgesetz (VwGVG) geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkraftretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das Verwaltungsgerichtsverfahrensgesetz (VwGVG) geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkraftretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles sowie andere näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles sowie andere näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 28Abs. 2 Vw

GVG hat über Beschwerden

Art. 130Abs.

1 Z 1 B-VG das Verwaltungsgericht dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat über Beschwerden

Artikel 130

, Absatz eins, Ziffer eins, B-VG das Verwaltungsgericht dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. 3.2. Zu den Prozessvoraussetzungen: Die Beschwerde wurde

§ 7Abs. 4 Vw

GVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor. Die Beschwerde wurde

Paragraph 7, Absatz 4, VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor. 3.3. Maßgebliche rechtliche Bestimmungen § 1 DSG lautet: Paragraph eins, DSG lautet:

Art. 51DSGVO eingerichtet.

Artikel 51, DSGVO eingerichtet.

§24 DSG lautet: 1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2

1. Hauptstück verstößt.1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2
2. Hauptstück verstößt.

Artikel 80

befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist; Art. 77 Abs. 1 DSGVO lautet:Artikel 77, Absatz eins, DSGVO lautet:

den jeweils aktuellen Anwendungsempfehlungen des Nationalen Impfgremiums für COVID-19-Impfungen eine Auffrischungsimpfung gegen COVID-19 empfohlen wird, an diese Auffrischungsimpfung zu erinnern. Eine Auffrischungsimpfung ist eine erneute Impfung nach Abschluss der Grundimmunisierung, um eine nachlassende Immunantwort wieder zu erhöhen und den Impfschutz aufrechtzuerhalten.

den jeweils aktuellen Anwendungsempfehlungen des Nationalen Impfgremiums für COVID-19-Impfungen eine Auffrischungsimpfung gegen COVID-19 empfohlen wird, an diese Auffrischungsimpfung zu erinnern. Eine Auffrischungsimpfung ist eine erneute Impfung nach Abschluss der Grundimmunisierung, um eine nachlassende Immunantwort wieder zu erhöhen und den Impfschutz aufrechtzuerhalten.

Z 1 ermittelten Personen ein Erinnerungsschreiben an die empfohlene Auffrischungsimpfung gegen COVID-19 zu übermitteln. Der für das Gesundheitswesen zuständige Bundesminister hat der ELGA GmbH jeweils die sich aus der jeweiligen Anwendungsempfehlung des Nationalen Impfgremiums ergebenden Anforderungen an die Ermittlung

Z 1 sowie den Zeitpunkt für die Versendung der Erinnerungsschreiben bekannt zu geben und hat zum Zweck der Versendung der Erinnerungsschreiben eine spezifische Zugriffsberechtigung

§ 24fAbs. 4 GTelG 2012 auf die im zentralen Impfregister gespeicherten Angaben.

Ziffer eins, ermittelten Personen ein Erinnerungsschreiben an die empfohlene Auffrischungsimpfung gegen COVID-19 zu übermitteln. Der für das Gesundheitswesen zuständige Bundesminister hat der ELGA GmbH jeweils die sich aus der jeweiligen Anwendungsempfehlung des Nationalen Impfgremiums ergebenden Anforderungen an die Ermittlung

Ziffer eins, sowie den Zeitpunkt für die Versendung der Erinnerungsschreiben bekannt zu geben und hat zum Zweck der Versendung der Erinnerungsschreiben eine spezifische Zugriffsberechtigung

Paragraph 24 f, Absatz 4, GTelG 2012 auf die im zentralen Impfregister gespeicherten Angaben.

Art. 14DSGVO, 2.

fachliche Informationen über die empfohlene Auffrischungsimpfung gegen COVID-19,

1. den Hinweis, dass die Information unabhängig davon erfolgt, ob eine Impfung zum Zeitpunkt der Erinnerung aufgrund einer aktuellen Genesung oder einer Kontraindikation nicht empfohlen wird, und eine Aufklärung durch einen Arzt nicht ersetzt wird, sowie
2. die Informationen

Abs. 4 und 5.

Artikel 14, DSGVO, 2.

fachliche Informationen über die empfohlene Auffrischungsimpfung gegen COVID-19,

1. den Hinweis, dass die Information unabhängig davon erfolgt, ob eine Impfung zum Zeitpunkt der Erinnerung aufgrund einer aktuellen Genesung oder einer Kontraindikation nicht empfohlen wird, und eine Aufklärung durch einen Arzt nicht ersetzt wird, sowie
2. die Informationen

Absatz 4 und 5,

§ 4bAbs.

8 benannte Stelle hat Anfragen und Beschwerden der betroffenen Personen im Zusammenhang mit dem Erinnerungsschreiben entgegenzunehmen, gegebenenfalls die Art des Fehlers zu erheben sowie für die Behebung des Fehlers zu sorgen. Die betroffenen Personen sind darüber zu informieren.

Paragraph 4 b, Absatz 8, benannte Stelle hat Anfragen und Beschwerden der betroffenen Personen im Zusammenhang mit dem Erinnerungsschreiben entgegenzunehmen, gegebenenfalls die Art des Fehlers zu erheben sowie für die Behebung des Fehlers zu sorgen. Die betroffenen Personen sind darüber zu informieren.

den Art. 15 bis Art. 22 DSGVO ergriffenen Maßnahmen zu im Zusammenhang mit dem Erinnerungsschreiben stehenden Verarbeitungstätigkeiten steht dem datenschutzrechtlich Verantwortlichen

Art. 23Abs.

1 lit. e DSGVO eine Frist von drei Monaten zu. Die betroffenen Personen sind über diese Beschränkung des Art. 12 Abs. 3 DSGVO in geeigneter Weise zu informieren.

den Artikel 15 bis Artikel 22, DSGVO ergriffenen Maßnahmen zu im Zusammenhang mit dem Erinnerungsschreiben stehenden Verarbeitungstätigkeiten steht dem datenschutzrechtlich Verantwortlichen

Artikel 23, Absatz eins, Litera e, DSGVO eine Frist von drei Monaten zu.

Die betroffenen Personen sind über diese Beschränkung des Artikel 12, Absatz 3, DSGVO in geeigneter Weise zu informieren.

§ 18kann zur Überprüfung der eindeutigen Identität (§ 2 Z 2 E-Gov

G) von Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, auch außerhalb von ELGA (4. Abschnitt) verwendet werden.

Paragraph 18, kann zur Überprüfung der eindeutigen Identität (Paragraph 2, Ziffer 2, E-GovG) von Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, auch außerhalb von ELGA (4. Abschnitt) verwendet werden. § 18 GTelG lautet auszugsweise: Paragraph 18, GTelG lautet auszugsweise:

§ 24cAbs.

2 bis 7 sowie zu den in Abs. 2 genannten Zwecken ist nur zulässig, wenn […] 5. die Bürger/innen, soweit es sich um Zwecke

Abs. 2 Z 1, Z 2, Z 5, Z 6 oder Z 7 handelt,

§ 18Abs.

4 oder durch Abgleich von Daten mit dem oder Abfrage des Stammzahlenregisters

§ 2Z 9 E-GovG eindeutig identifiziert wurden. Für den Abgleich von Daten mit dem Stammzahlenregister gilt § 18 Abs. 4 Z 5 sinngemäß.

Paragraph 24 c, Absatz 2 bis 7 sowie zu den in Absatz 2, genannten Zwecken ist nur zulässig, wenn […] 5. die Bürger/innen, soweit es sich um Zwecke

Absatz 2, Ziffer eins,, Ziffer 2,, Ziffer 5,, Ziffer 6, oder Ziffer 7, handelt,

Paragraph 18, Absatz 4, oder durch Abgleich von Daten mit dem oder Abfrage des Stammzahlenregisters

Paragraph 2, Ziffer 9, E-GovG eindeutig identifiziert wurden. Für den Abgleich von Daten mit dem Stammzahlenregister gilt Paragraph 18, Absatz 4, Ziffer 5, sinngemäß.

§ 1Epidemiegesetz 1950, BGBl. Nr. 186/1950, als auch im Rahmen der Pharmakovigilanz, […]

Paragraph eins, Epidemiegesetz 1950, Bundesgesetzblatt Nr. 186 aus 1950,, als auch im Rahmen der Pharmakovigilanz, […] § 24f GTelG lautet auszugsweise: Paragraph 24 f, GTelG lautet auszugsweise:

Abs. 4 Z 1 lit. a bis c, Z 2 und Z 4 nicht länger als 28 Tage zurückliegen.

Absatz 4, Ziffer eins, Litera a bis c, Ziffer 2 und Ziffer 4, nicht länger als 28 Tage zurückliegen.

§ 24dAbs. 1 Z 1.

Paragraph 24 d, Absatz eins, Ziffer eins,

§ 24dAbs. 2 Z 5, […]

Paragraph 24 d, Absatz 2, Ziffer 5,, […] 3.4. Auf den korrekten Fall umgelegt bedeutet dies Folgendes: Der Beschwerdeführer stützt seine Verarbeitungstätigkeit als Verantwortlicher im Zusammenhang mit der Ermittlung der gegen SARS-COVID-19 geimpften und ungeimpften Personen wie auch das Versenden des gegenständlichen Impferinnerungsschreiben auf § 24d Abs. 2 Z 5 GTelG (zum Zwecke des Krisenmanagements). Die hierfür notwendige Zugriffsberechtigung auf das zentrale Impfregister sah der Beschwerdeführer

§ 24fAbs. 4 Z 5 GTel

G (Nutzung von XXXX Komponenten; Zugriffsberechtigung für den XXXX für das bundesweite Krisenmanagement) gewährleistet. Die Ermittlung der Adressdaten durch die Auftragsverarbeitung wurde auf § 4 Abs. 3 GTelG (Nutzung Patientenindex zur Überprüfung der Identität auch außerhalb von XXXX ) gestützt. Unstrittig ist, dass zum Zeitpunkt der Versendung der in Frage stehenden Impferinnerungsschreiben durch den Beschwerdeführer eine eindeutige Rechtsgrundlage, wie sie später für eine begrenzte Zeit mit § 4g Epidemiegesetz 1950 und mit § 750 Abs. 1a und 2 ASVG für den Dachverband der Sozialversicherungsträger geschaffen wurde (siehe BGBl. 197/2021 vom 03.12.2021; Außerkrafttreten am 30.06.2023), nicht bestanden hat. Der Beschwerdeführer stützt seine Verarbeitungstätigkeit als Verantwortlicher im Zusammenhang mit der Ermittlung der gegen SARS-COVID-19 geimpften und ungeimpften Personen wie auch das Versenden des gegenständlichen Impferinnerungsschreiben auf Paragraph 24 d, Absatz 2, Ziffer 5, GTelG (zum Zwecke des Krisenmanagements). Die hierfür notwendige Zugriffsberechtigung auf das zentrale Impfregister sah der Beschwerdeführer

Paragraph 24 f, Absatz 4, Ziffer 5, GTelG (Nutzung von römisch 40 Komponenten; Zugriffsberechtigung für den römisch 40 für das bundesweite Krisenmanagement) gewährleistet. Die Ermittlung der Adressdaten durch die Auftragsverarbeitung wurde auf Paragraph 4, Absatz 3, GTelG (Nutzung Patientenindex zur Überprüfung der Identität auch außerhalb von römisch 40 ) gestützt. Unstrittig ist, dass zum Zeitpunkt der Versendung der in Frage stehenden Impferinnerungsschreiben durch den Beschwerdeführer eine eindeutige Rechtsgrundlage, wie sie später für eine begrenzte Zeit mit Paragraph 4 g, Epidemiegesetz 1950 und mit Paragraph 750, Absatz eins a und 2 ASVG für den Dachverband der Sozialversicherungsträger geschaffen wurde (siehe Bundesgesetzblatt 197 aus 2021, vom 03.12.2021; Außerkrafttreten am 30.06.2023), nicht bestanden hat. 3.2.2. Mit dem Argument, die Datenverarbeitung iZm den in Rede stehenden Impferinnerungsschreiben des Beschwerdeführers im Dezember 2021 könne sich auf die Rechtfertigung bzw. Rechtsgrundlage des Krisenmanagements in § 24d Abs. 2 Z 5 GTelG stützen, kann der Beschwerdeführer nicht durchdringen:

§ 24dAbs. 2 Z 5 GTel

G 2012 dürfen die im Impfregister gespeicherten Daten personenbezogen für den Zweck des Krisenmanagements, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten

§ 1Epidemiegesetz 1950, BGBl.

Nr. 186/1950, als auch im Rahmen der Pharmakovigilanz, verarbeitet werden. Den Gesetzesmaterialien ist dazu zu entnehmen, dass das Krisenmanagement sowohl das Ausbruchsmanagement als auch die Pharmakovigilanz umfasst, wobei im Rahmen des Ausbruchsmanagements der Zugriff auf die im Impfregister gespeicherten Daten [nur] insoweit zulässig ist, als dieser zur Unterstützung der hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz (insbesondere Umgebungsanalysen) erforderlich ist (ErlRV 232 BlgNR XXVII. GP, 33). Im Zeitpunkt der Abfrage im Impfregister (vor dem XXXX 2021) gab es allerdings im Epidemiegesetz 1950 keine hoheitliche Ermächtigung die eine gültige Datenverarbeitungsgrundlage darstellt und eine Aufgabe, die eine „Erinnerung an Impfungen“ rechtfertigen könnte. Die in § 4g Epidemiegesetz 1950 vorgesehene Regelung „Erinnerungen an Auffrischungsimpfungen gegen COVID-19“ ist erst nach dem 01.07.2022 (BGBl. I Nr. 89/2022) in Kraft getreten – betrifft daher nicht den Zeitraum der Abfrage der Daten der mitbeteiligten Partei und die Verarbeitung zum Zwecke der Erinnerung an die dritte Impfung. Entgegen der Meinung des Beschwerdeführers stellt das gegenständliche Informationsschreiben zur dritten Corona-Schutzimpfung somit keine Maßnahme des Krisenmanagements

§ 24dAbs. 2 Z 5 GTel

G 2012 dar, weshalb dieser bereits deshalb die verfahrensgegenständliche Datenverarbeitung nicht darauf stützen kann (vgl. dazu auch BVwG 07.02.2023, W245 2263552-1/20E). 3.2.2. Mit dem Argument, die Datenverarbeitung iZm den in Rede stehenden Impferinnerungsschreiben des Beschwerdeführers im Dezember 2021 könne sich auf die Rechtfertigung bzw. Rechtsgrundlage des Krisenmanagements in Paragraph 24 d, Absatz 2, Ziffer 5, GTelG stützen, kann der Beschwerdeführer nicht durchdringen:

Paragraph 24 d, Absatz 2, Ziffer 5, GTelG 2012 dürfen die im Impfregister gespeicherten Daten personenbezogen für den Zweck des Krisenmanagements, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten

Paragraph eins, Epidemiegesetz 1950, Bundesgesetzblatt Nr. 186 aus 1950,, als auch im Rahmen der Pharmakovigilanz, verarbeitet werden. Den Gesetzesmaterialien ist dazu zu entnehmen, dass das Krisenmanagement sowohl das Ausbruchsmanagement als auch die Pharmakovigilanz umfasst, wobei im Rahmen des Ausbruchsmanagements der Zugriff auf die im Impfregister gespeicherten Daten [nur] insoweit zulässig ist, als dieser zur Unterstützung der hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz (insbesondere Umgebungsanalysen) erforderlich ist (ErlRV 232 BlgNR römisch 27 . GP, 33). Im Zeitpunkt der Abfrage im Impfregister (vor dem römisch 40 2021) gab es allerdings im Epidemiegesetz 1950 keine hoheitliche Ermächtigung die eine gültige Datenverarbeitungsgrundlage darstellt und eine Aufgabe, die eine „Erinnerung an Impfungen“ rechtfertigen könnte. Die in Paragraph 4 g, Epidemiegesetz 1950 vorgesehene Regelung „Erinnerungen an Auffrischungsimpfungen gegen COVID-19“ ist erst nach dem 01.07.2022 Bundesgesetzblatt Teil eins, Nr. 89 aus 2022,) in Kraft getreten – betrifft daher nicht den Zeitraum der Abfrage der Daten der mitbeteiligten Partei und die Verarbeitung zum Zwecke der Erinnerung an die dritte Impfung. Entgegen der Meinung des Beschwerdeführers stellt das gegenständliche Informationsschreiben zur dritten Corona-Schutzimpfung somit keine Maßnahme des Krisenmanagements

Paragraph 24 d, Absatz 2, Ziffer 5, GTelG 2012 dar, weshalb dieser bereits deshalb die verfahrensgegenständliche Datenverarbeitung nicht darauf stützen kann vergleiche dazu auch BVwG 07.02.2023, W245 2263552-1/20E). 3.2.

1. Der Beschwerdeführer führt in seiner Beschwerde dazu aus, der Wortlaut der Erläuterungen würde nicht verlangen, dass die hoheitliche Aufgabe im Epidemiegesetz determiniert wäre, dass der Begriff des Krisenmanagements selbst ausgelegt werden müsse, und, dass die akute epidemische Situation Ende des Herbstes 2021 eine entsprechende Maßnahme – wie das Impferinnerungsschreiben zur
2. Corona-Schutzimpfung – als Krisenmanagement erfordert habe. Zu diesem Vorbingen ist auf die Ausführungen unter 3.2.
3. zu verweisen: der erkennende Senat vertritt die Ansicht, dass sich aus den Erläuterungen zum GTelG ausreichend klar ergibt, dass im Rahmen des Ausbruchsmanagements (als Teil des Krisenmanagements) der Zugriff auf die im Impfregister gespeicherten Daten eben nur insoweit zulässig ist, als dieser zur Unterstützung der hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz 1950 erforderlich ist. Für die Rechtsmeinung des Beschwerdeführers, dass eine solche hoheitliche Maßnahme nicht im Epidemiegesetz 1950 determiniert werden müsse, besteht in diesem Lichte kein Raum, da auch sonst, später, die entsprechende hoheitliche Maßnahme im Epidemiegesetz 1950 geschaffen hat (vgl. erneut § 4g Epidemiegesetz 1950), sowie, dass sich die entsprechende Maßnahme für den XXXX aus sonst keinen Rechtsgrundlagen ergibt. Dass der Gesetzgeber bereits von sich aus eine hoheitliche Maßnahme durch den XXXX im Zusammenhang mit Erinnerungsschreiben für die COVID-19-Impfung in einen engen Berechtigungsrahmen setzen wollte, ergibt sich zB auch daraus, dass die Berechtigung im § 4g Epidemiegesetz schon beim Inkrafttreten bis 30.06.2023, also für ein Jahr, befristet wurde (vgl. § 50 Abs. 31 Epidemiegesetz, BGBl. I Nr. 89/2022). Im Ergebnis kann sich der BF daher auf den § 24d Abs. 2 Z 5 GTelG als Rechtsgrundlage für die vorgenommene Datenverarbeitung nicht stützen.3.2.
4. Der Beschwerdeführer führt in seiner Beschwerde dazu aus, der Wortlaut der Erläuterungen würde nicht verlangen, dass die hoheitliche Aufgabe im Epidemiegesetz determiniert wäre, dass der Begriff des Krisenmanagements selbst ausgelegt werden müsse, und, dass die akute epidemische Situation Ende des Herbstes 2021 eine entsprechende Maßnahme – wie das Impferinnerungsschreiben zur
5. Corona-Schutzimpfung – als Krisenmanagement erfordert habe. Zu diesem Vorbingen ist auf die Ausführungen unter 3.2.
6. zu verweisen: der erkennende Senat vertritt die Ansicht, dass sich aus den Erläuterungen zum GTelG ausreichend klar ergibt, dass im Rahmen des Ausbruchsmanagements (als Teil des Krisenmanagements) der Zugriff auf die im Impfregister gespeicherten Daten eben nur insoweit zulässig ist, als dieser zur Unterstützung der hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz 1950 erforderlich ist. Für die Rechtsmeinung des Beschwerdeführers, dass eine solche hoheitliche Maßnahme nicht im Epidemiegesetz 1950 determiniert werden müsse, besteht in diesem Lichte kein Raum, da auch sonst, später, die entsprechende hoheitliche Maßnahme im Epidemiegesetz 1950 geschaffen hat vergleiche erneut Paragraph 4 g, Epidemiegesetz 1950), sowie, dass sich die entsprechende Maßnahme für den römisch 40 aus sonst keinen Rechtsgrundlagen ergibt. Dass der Gesetzgeber bereits von sich aus eine hoheitliche Maßnahme durch den römisch 40 im Zusammenhang mit Erinnerungsschreiben für die COVID-19-Impfung in einen engen Berechtigungsrahmen setzen wollte, ergibt sich zB auch daraus, dass die Berechtigung im Paragraph 4 g, Epidemiegesetz schon beim Inkrafttreten bis 30.06.2023, also für ein Jahr, befristet wurde vergleiche Paragraph 50, Absatz 31, Epidemiegesetz, Bundesgesetzblatt Teil eins, Nr. 89 aus 2022,). Im Ergebnis kann sich der BF daher auf den Paragraph 24 d, Absatz 2, Ziffer 5, GTelG als Rechtsgrundlage für die vorgenommene Datenverarbeitung nicht stützen. 3.2.
7. Demnach bestand für die gegenständliche Datenverarbeitung der personenbezogenen Daten der mitbeteiligte Partei iZm der personalisierten Versendung eines Impferinnerungsschreibens für die
8. Corona Schutzimpfung keine entsprechende Rechtsgrundlage, weshalb dadurch eine Verletzung des Rechts auf Geheimhaltung der mitbeteiligten Partei durch die Datenverarbeitung iSd § 1 Abs. 1 und 2 DSG vorgenommen wurde. Eine Rechtmäßigkeit der Datenverarbeitung ergibt sich außerdem mangels Rechtsgrundlage auch nicht aus den Art. 6 Abs. 1 lit e iVm Art. 6 Abs. 3 DSGVO sowie Art. 9 Abs. 2 lit. g und i DSGVO. 3.2.
9. Demnach bestand für die gegenständliche Datenverarbeitung der personenbezogenen Daten der mitbeteiligte Partei iZm der personalisierten Versendung eines Impferinnerungsschreibens für die
10. Corona Schutzimpfung keine entsprechende Rechtsgrundlage, weshalb dadurch eine Verletzung des Rechts auf Geheimhaltung der mitbeteiligten Partei durch die Datenverarbeitung iSd Paragraph eins, Absatz eins und 2 DSG vorgenommen wurde. Eine Rechtmäßigkeit der Datenverarbeitung ergibt sich außerdem mangels Rechtsgrundlage auch nicht aus den Artikel 6, Absatz eins, Litera e, in Verbindung mit Artikel 6, Absatz 3, DSGVO sowie Artikel 9, Absatz 2, Litera g und i DSGVO. Zu den Zugriffen auf das Impfregister und den Patientenindex Insoweit der BF vorbringt, eine Zugriffsberechtigung auf das zentrale Impfregister auf Basis des § 24f Abs. 4 Z 5 GTelG zu haben, ist diese Zugriffsberechtigung an Zwecke des Krisenmanagements des § 24d Abs. 2 Z 5 GTelG gebunden: in Hinblick auf das Vorhergesagte, wonach sich der BF jedoch bei der gegenständlichen Datenverwendung nicht auf die Rechtsgrundlage des § 24d Abs. 2 Z 5 GTelG und damit auf Krisenmanagement berufen konnte, konnte auch eine entsprechende Zugriffsberechtigung nicht bestehen. Insoweit der BF vorbringt, eine Zugriffsberechtigung auf das zentrale Impfregister auf Basis des Paragraph 24 f, Absatz 4, Ziffer 5, GTelG zu haben, ist diese Zugriffsberechtigung an Zwecke des Krisenmanagements des Paragraph 24 d, Absatz 2, Ziffer 5, GTelG gebunden: in Hinblick auf das Vorhergesagte, wonach sich der BF jedoch bei der gegenständlichen Datenverwendung nicht auf die Rechtsgrundlage des Paragraph 24 d, Absatz 2, Ziffer 5, GTelG und damit auf Krisenmanagement berufen konnte, konnte auch eine entsprechende Zugriffsberechtigung nicht bestehen. 3.2.
11. Nach § 18 Abs. 1 GTelG hat der Dachverband im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient insbesondere der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von XXXX oder anderen eHealth-Anwendungen (Z 1). In § 18 Abs. 2 GTelG werden die im Patientenindex zu verarbeitenden Daten angeführt, darunter auch die Adressdaten von natürlichen Personen (Z 3). Der Patientenindex wird vorrangig aus anderen E-Government-Registern, wie etwa der Zentralen Partnerverwaltung (ZPV) oder dem von der Stammzahlenregisterbehörde geführten Ergänzungsregister, gebildet (§ 18 Abs. 3 GTelG) (vgl. Stärker in Neumayr/Resch/Wallner, GmundKomm2 § 18 GTelG 2012 [Stand 1.
12. 2022, rdb.at] Rz 2-3). Wie der Beschwerdeführer in seiner Stellungnahme auch ausführte, wurden die Adressdaten der Personen, denen ein Impferinnerungsschreiben geschickt werden sollte, auf Basis des § 4 Abs. 3 GTelG dem zentralen Patientenindex entnommen. Da aber bereits nach dem oben Gesagten keine Rechtsgrundlage für die Übermittlung von Gesundheitsdaten im gegenständlichen Fall bestanden hat, kann aus § 4 Abs. 3 GTelG keine Ermächtigung für einen Zugriff auf den Patientenindex zur Adressermittlung abgelesen werden.3.2.
13. Nach Paragraph 18, Absatz eins, GTelG hat der Dachverband im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient insbesondere der Überprüfung der eindeutigen Identität (Paragraph 2, Ziffer 2, E-GovG) natürlicher Personen im Rahmen von römisch 40 oder anderen eHealth-Anwendungen (Ziffer eins,). In Paragraph 18, Absatz 2, GTelG werden die im Patientenindex zu verarbeitenden Daten angeführt, darunter auch die Adressdaten von natürlichen Personen (Ziffer 3,). Der Patientenindex wird vorrangig aus anderen E-Government-Registern, wie etwa der Zentralen Partnerverwaltung (ZPV) oder dem von der Stammzahlenregisterbehörde geführten Ergänzungsregister, gebildet (Paragraph 18, Absatz 3, GTelG) vergleiche Stärker in Neumayr/Resch/Wallner, GmundKomm2 Paragraph 18, GTelG 2012 [Stand 1.
14. 2022, rdb.at] Rz 2-3). Wie der Beschwerdeführer in seiner Stellungnahme auch ausführte, wurden die Adressdaten der Personen, denen ein Impferinnerungsschreiben geschickt werden sollte, auf Basis des Paragraph 4, Absatz 3, GTelG dem zentralen Patientenindex entnommen. Da aber bereits nach dem oben Gesagten keine Rechtsgrundlage für die Übermittlung von Gesundheitsdaten im gegenständlichen Fall bestanden hat, kann aus Paragraph 4, Absatz 3, GTelG keine Ermächtigung für einen Zugriff auf den Patientenindex zur Adressermittlung abgelesen werden. 3.
15. Die Durchführung einer mündlichen Verhandlung konnte

§ 24Abs. 1 Vw

GVG entfallen. Die mündliche Erörterung lässt eine weitere Klärung der Rechtssache nicht erwarten. Die Notwendigkeit der Durchführung einer Verhandlung ist auch im Hinblick auf Art. 6 Abs. 1 EMRK und Art. 47 GRC nicht ersichtlich. Der entscheidungsrelevante Sachverhalt ist hier geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung hier nicht entgegen.3.5. Die Durchführung einer mündlichen Verhandlung konnte

Paragraph 24, Absatz eins, VwGVG entfallen. Die mündliche Erörterung lässt eine weitere Klärung der Rechtssache nicht erwarten. Die Notwendigkeit der Durchführung einer Verhandlung ist auch im Hinblick auf Artikel 6, Absatz eins, EMRK und Artikel 47, GRC nicht ersichtlich. Der entscheidungsrelevante Sachverhalt ist hier geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung hier nicht entgegen. Zu Spruchpunkt B) Unzulässigkeit der Revision:

§ 25aAbs 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art 133Abs 4 B-VG zulässig ist.

Dieser Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Dieser Ausspruch ist kurz zu begründen. Die Revision ist nicht zulässig, weil keine Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Art 133 Abs 4 B-VG zukommt. Zur Beantwortung der Frage, ob die „hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz“, die durch den Zugriff auf die im Impfregister gespeicherten Daten unterstützt werden können, im Epidemiegesetz selbst determiniert sein müssen (wie zB durch § 4g Epidemiegesetz 1950), oder nicht besteht bereits einschlägige VfGH Judikatur vom 19.12.2019 VfGH G164/2019 ua (G164/2019-25, G171/2019-24) wonach der Umfang des Datenzugriffs mit Verweis auf § 1 Abs. 2 DSG aus dem Gesetz selbst klar ersichtlich sein muss. Die Revision ist nicht zulässig, weil keine Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Artikel 133, Absatz 4, B-VG zukommt. Zur Beantwortung der Frage, ob die „hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz“, die durch den Zugriff auf die im Impfregister gespeicherten Daten unterstützt werden können, im Epidemiegesetz selbst determiniert sein müssen (wie zB durch Paragraph 4 g, Epidemiegesetz 1950), oder nicht besteht bereits einschlägige VfGH Judikatur vom 19.12.2019 VfGH G164/2019 ua (G164/2019-25, G171/2019-24) wonach der Umfang des Datenzugriffs mit Verweis auf Paragraph eins, Absatz 2, DSG aus dem Gesetz selbst klar ersichtlich sein muss. European Case Law IdentifierECLI:AT:BVWG:2024:W298.2261880.1.00