RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum04.03.2025 GeschäftszahlW176 2285563-1 Spruch, W176 2285563-1/5E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richte

Art. 133Abs.

4 B-VG nicht zulässig.B) Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: I.1. Mit Schreiben vom 28.09.2020 erhob die mitbeteiligte Partei (Beschwerdeführerin im Administrativverfahren, im Folgenden: Mitbeteiligte Partei, MP), XXXX , eine Datenschutzbeschwerde bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gegen den nunmehrigen Beschwerdeführer (Beschwerdegegner vor der Datenschutzbehörde, im Folgenden: BF XXXX wegen Verletzung im Grundrecht auf Geheimhaltung

§ 1Abs.

1 DSG.römisch eins.1. Mit Schreiben vom 28.09.2020 erhob die mitbeteiligte Partei (Beschwerdeführerin im Administrativverfahren, im Folgenden: Mitbeteiligte Partei, MP), römisch 40 , eine Datenschutzbeschwerde bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gegen den nunmehrigen Beschwerdeführer (Beschwerdegegner vor der Datenschutzbehörde, im Folgenden: BF römisch 40 wegen Verletzung im Grundrecht auf Geheimhaltung

Paragraph eins, Absatz eins, DSG. Zusammengefasst führte die mitbeteiligte Partei aus, sie habe sich am 04.02.2018 im Zuge eines Verkehrsunfalls Verletzungen zugezogen. Zur Feststellung eines eventuellen Leistungsanspruchs aus der Unfallversicherung habe der Versicherer der MP, die XXXX (im Folgenden: X VERSICHERUNG), am 29.04.2019 beim BF ein HNO-ärztliches Gutachten in Auftrag gegeben, welches jedoch die Verletzungen als nicht unfallkausal attestiert habe (im Folgenden: Erstgutachten). In weiterer Folge habe der BF die persönlichen Diagnosedaten der MP ohne deren Wissen und Einwilligung im Auftrag der XXXX (im Folgenden: Y VERSICHERUNG) für ein weiteres medizinisches Gutachten (im Folgenden: Zweitgutachten) verarbeitet und an die Y VERSICHERUNG sowie an das Gericht weitergeleitet, weshalb sich die MP durch den BF in ihrem Recht auf Geheimhaltung verletzt erachte.Zusammengefasst führte die mitbeteiligte Partei aus, sie habe sich am 04.02.2018 im Zuge eines Verkehrsunfalls Verletzungen zugezogen. Zur Feststellung eines eventuellen Leistungsanspruchs aus der Unfallversicherung habe der Versicherer der MP, die römisch 40 (im Folgenden: römisch zehn VERSICHERUNG), am 29.04.2019 beim BF ein HNO-ärztliches Gutachten in Auftrag gegeben, welches jedoch die Verletzungen als nicht unfallkausal attestiert habe (im Folgenden: Erstgutachten). In weiterer Folge habe der BF die persönlichen Diagnosedaten der MP ohne deren Wissen und Einwilligung im Auftrag der römisch 40 (im Folgenden: Y VERSICHERUNG) für ein weiteres medizinisches Gutachten (im Folgenden: Zweitgutachten) verarbeitet und an die Y VERSICHERUNG sowie an das Gericht weitergeleitet, weshalb sich die MP durch den BF in ihrem Recht auf Geheimhaltung verletzt erachte. Der Beschwerde beigefügt war das Erstgutachten des BF im Auftrag und adressiert an die X VERSICHERUNG, datiert mit 29.04.2019, sowie das Zweitgutachten des BF im Auftrag und adressiert an die Y VERSICHERUNG, datiert mit 12.01.2021.Der Beschwerde beigefügt war das Erstgutachten des BF im Auftrag und adressiert an die römisch zehn VERSICHERUNG, datiert mit 29.04.2019, sowie das Zweitgutachten des BF im Auftrag und adressiert an die Y VERSICHERUNG, datiert mit 12.01.

1. I.
2. Mit Schreiben der belangten Behörde vom 21.06.2021 wurde dem BF die Datenschutzbeschwerde der MP übermittelt ihm zugleich Gelegenheit zur Stellungnahme gegeben.römisch eins.
3. Mit Schreiben der belangten Behörde vom 21.06.2021 wurde dem BF die Datenschutzbeschwerde der MP übermittelt ihm zugleich Gelegenheit zur Stellungnahme gegeben. I.
4. In seiner Stellungnahme vom 07.07.2021 brachte der BF zusammengefasst vor, dass er am 12.01.2021 im Auftrag der Y VERSICHERUNG ein Aktengutachten zur Frage eines von der MP erlittenen Tinnitus erstellt habe, da gegenüber der XXXX ein Verjährungsverzicht abgegeben werden sollte. Medizinische Unterlagen habe er von der Y VERSICHERUNG erhalten. Dieses Gutachten habe er ausschließlich an die Y VERSICHERUNG postalisch übermittelt.römisch eins.
5. In seiner Stellungnahme vom 07.07.2021 brachte der BF zusammengefasst vor, dass er am 12.01.2021 im Auftrag der Y VERSICHERUNG ein Aktengutachten zur Frage eines von der MP erlittenen Tinnitus erstellt habe, da gegenüber der römisch 40 ein Verjährungsverzicht abgegeben werden sollte. Medizinische Unterlagen habe er von der Y VERSICHERUNG erhalten. Dieses Gutachten habe er ausschließlich an die Y VERSICHERUNG postalisch übermittelt. I.
6. Mit Schreiben der belangten Behörde vom 12.04.2023 wurde die MP über den Verfahrensstand informiert und wurde ihr die Gelegenheit gegeben, dazu eine Stellungnahme abzugeben. Überdies wurden der MP weitere Frage zur Klärung des Sachverhaltes gestellt.römisch eins.
7. Mit Schreiben der belangten Behörde vom 12.04.2023 wurde die MP über den Verfahrensstand informiert und wurde ihr die Gelegenheit gegeben, dazu eine Stellungnahme abzugeben. Überdies wurden der MP weitere Frage zur Klärung des Sachverhaltes gestellt. I.
8. Mit Eingabe vom 17.04.2023 gab die MP hiezu bekannt, dass die X VERSICHERUNG seine Haftpflichtversicherung und die Y VERSICHERUNG die Haftpflichtversicherung des Unfallgegners sei.römisch eins.
9. Mit Eingabe vom 17.04.2023 gab die MP hiezu bekannt, dass die römisch zehn VERSICHERUNG seine Haftpflichtversicherung und die Y VERSICHERUNG die Haftpflichtversicherung des Unfallgegners sei. Darüber hinaus übermittelte die MP ein Schreiben ihrer rechtsfreundlichen Vertretung an die X VERSICHERUNG vom 22.02.2021, in welchem es im Wesentlichen um die Kostentragung im mittlerweile „einfach ruhenden Verfahren“ um das Feststellungsbegehren ging, sowie das Protokoll der Verhandlung vom 10.02.2021 des Bezirksgerichtes L zu Zl. XXXX in der „einfaches Ruhen“ vereinbart worden war.Darüber hinaus übermittelte die MP ein Schreiben ihrer rechtsfreundlichen Vertretung an die römisch zehn VERSICHERUNG vom 22.02.2021, in welchem es im Wesentlichen um die Kostentragung im mittlerweile „einfach ruhenden Verfahren“ um das Feststellungsbegehren ging, sowie das Protokoll der Verhandlung vom 10.02.2021 des Bezirksgerichtes L zu Zl. römisch 40 in der „einfaches Ruhen“ vereinbart worden war. Auf weitere Nachfrage der belangten Behörde vom 03.08.2023 teilte die MP mit Schreiben vom 06.08.2023 mit, dass sie die im Erstgutachten an die X VERSICHERUNG erwähnten Vorbefunde (bspw. CT Befund des Krankenhauses Z vom 04.02.2018) persönlich an den BF übergeben habe. Die im Zweitgutachten erwähnten Vorbefunde bzw. das im Zweitgutachten verwendete „Erstgutachten“ seien von der MP weder an die Y VERSICHERUNG noch an den BF übermittelt worden. Die MP sei auch nie Patient des BF gewesen.Auf weitere Nachfrage der belangten Behörde vom 03.08.2023 teilte die MP mit Schreiben vom 06.08.2023 mit, dass sie die im Erstgutachten an die römisch zehn VERSICHERUNG erwähnten Vorbefunde (bspw. CT Befund des Krankenhauses Z vom 04.02.2018) persönlich an den BF übergeben habe. Die im Zweitgutachten erwähnten Vorbefunde bzw. das im Zweitgutachten verwendete „Erstgutachten“ seien von der MP weder an die Y VERSICHERUNG noch an den BF übermittelt worden. Die MP sei auch nie Patient des BF gewesen. I.
10. Mit Schreiben vom 04.10.2023 übermittelte die belangte Behörde die Unterlagen und Stellungnahmen der MP dem BF, forderte ihn auf, sich dazu zu äußern und ersuchte ihn um Beantwortung der Fragen, welche medizinischen Unterlagen er von der Y VERSICHERUNG zur Erstellung des Zweitgutachtens erhalten habe und auf welcher Rechtsgrundlage er die personenbezogenen Daten der MP aus dem Erstgutachten im Zweitgutachten verwendet habe.römisch eins.
11. Mit Schreiben vom 04.10.2023 übermittelte die belangte Behörde die Unterlagen und Stellungnahmen der MP dem BF, forderte ihn auf, sich dazu zu äußern und ersuchte ihn um Beantwortung der Fragen, welche medizinischen Unterlagen er von der Y VERSICHERUNG zur Erstellung des Zweitgutachtens erhalten habe und auf welcher Rechtsgrundlage er die personenbezogenen Daten der MP aus dem Erstgutachten im Zweitgutachten verwendet habe. I.
12. In seiner Stellungnahme vom 19.10.2023 brachte der BF zusammengefasst vor, dass der Auftrag der Y VERSICHERUNG im Zusammenhang mit einer von der XXXX an die Y VERSICHERUNG gerichteten Regressforderung stünde. Die zur Erstellung eines Aktengutachtens erforderlichen Daten seien der Y VERSICHERUNG als Haftpflichtversicherer des Unfallgegners sowohl aus den diesbezüglich anhängigen Zivilverfahren als auch aus den ihr von der XXXX „übermittelten bzw. zu übermittelnden“ Daten zur Verfügung gestellt worden. Eine Zustimmung zur Verarbeitung der Daten durch die Y VERSICHERUNG sei daher nicht erforderlich gewesen; vielmehr sei die MP nach dem VersVG verpflichtet gewesen, der Y VERSICHERUNG „Auskunft darüber zu verlangen“, die zur Feststellung des Schadensereignisses und der Höhe des Schadens erforderlich ist. römisch eins.
13. In seiner Stellungnahme vom 19.10.2023 brachte der BF zusammengefasst vor, dass der Auftrag der Y VERSICHERUNG im Zusammenhang mit einer von der römisch 40 an die Y VERSICHERUNG gerichteten Regressforderung stünde. Die zur Erstellung eines Aktengutachtens erforderlichen Daten seien der Y VERSICHERUNG als Haftpflichtversicherer des Unfallgegners sowohl aus den diesbezüglich anhängigen Zivilverfahren als auch aus den ihr von der römisch 40 „übermittelten bzw. zu übermittelnden“ Daten zur Verfügung gestellt worden. Eine Zustimmung zur Verarbeitung der Daten durch die Y VERSICHERUNG sei daher nicht erforderlich gewesen; vielmehr sei die MP nach dem VersVG verpflichtet gewesen, der Y VERSICHERUNG „Auskunft darüber zu verlangen“, die zur Feststellung des Schadensereignisses und der Höhe des Schadens erforderlich ist. I.
14. Mit Schreiben der belangten Behörde vom 20.10.2023 wurde die MP abermals über den Verfahrensstand informiert und ihr die Gelegenheit gegeben, dazu Stellungnahme zu nehmen. römisch eins.
15. Mit Schreiben der belangten Behörde vom 20.10.2023 wurde die MP abermals über den Verfahrensstand informiert und ihr die Gelegenheit gegeben, dazu Stellungnahme zu nehmen. I.
16. Mit Schreiben vom 30.10.2023 brachte die MP zusammengefasst vor, dass sie den Ausführungen des BF widerspreche, insbesondere, da das Gutachten keine weiteren Erkenntnisse oder ergänzenden Informationen von der XXXX anführe und auch die Auftragsbeschreibung im Zweitgutachten keinen Hinweis darüber enthalte, dass das Gutachten im Zusammenhang mit Regressforderungen beauftragt worden sei. Die im Zweitgutachten erwähnten Vorbefunde habe die MP dem BF bei der persönlichen Untersuchung am 26.04.2019 im Rahmen des Erstgutachtens vorgelegt und seien diese nicht bei der XXXX aktenkundig. Einer Weitergabe bzw. Weiterverwendung an Dritte habe die MP nicht zugestimmt. Im Übrigen bekräftige die MP ihre Beschwerde.römisch eins.
17. Mit Schreiben vom 30.10.2023 brachte die MP zusammengefasst vor, dass sie den Ausführungen des BF widerspreche, insbesondere, da das Gutachten keine weiteren Erkenntnisse oder ergänzenden Informationen von der römisch 40 anführe und auch die Auftragsbeschreibung im Zweitgutachten keinen Hinweis darüber enthalte, dass das Gutachten im Zusammenhang mit Regressforderungen beauftragt worden sei. Die im Zweitgutachten erwähnten Vorbefunde habe die MP dem BF bei der persönlichen Untersuchung am 26.04.2019 im Rahmen des Erstgutachtens vorgelegt und seien diese nicht bei der römisch 40 aktenkundig. Einer Weitergabe bzw. Weiterverwendung an Dritte habe die MP nicht zugestimmt. Im Übrigen bekräftige die MP ihre Beschwerde. I.
18. Mit dem angefochtenen Bescheid gab die belangte Behörde der Datenschutzbeschwerde der MP statt und stellte fest, dass diese im Recht auf Geheimhaltung verletzt wurde, indem der BF personenbezogene Gesundheitsdaten der MP, die im Rahmen eines medizinischen Erstgutachtens erhoben worden waren, ohne Wissen und Einwilligung der MP für ein medizinisches Zweitgutachten verarbeitet habe.römisch eins.
19. Mit dem angefochtenen Bescheid gab die belangte Behörde der Datenschutzbeschwerde der MP statt und stellte fest, dass diese im Recht auf Geheimhaltung verletzt wurde, indem der BF personenbezogene Gesundheitsdaten der MP, die im Rahmen eines medizinischen Erstgutachtens erhoben worden waren, ohne Wissen und Einwilligung der MP für ein medizinisches Zweitgutachten verarbeitet habe. Dabei ging die belangte Behörde davon aus, dass der BF die für das Zweitgutachten neuerlich verwendeten Gesundheitsdaten der MP enthaltenden Unterlagen nicht von der Y VERSICHERUNG erhalten habe. Beweiswürdigend verwies sie im Wesentlichen darauf, dass der BF die ihm von der Behörde dezidiert gestellte Frage, welche medizinischen Unterlagen er von der Y VERSICHERUNG erhalten habe, nicht beantwortet habe. In rechtlicher Hinsicht wurde zunächst ausgeführt, dass die Rechtsprechung des Bundesverwaltungsgerichts in der Entscheidung vom 27.09.2018, Zl. W214 2196366-2, wonach gerichtlich beauftragte Sachverständige mit dem sie beauftragenden Gericht zumindest gemeinsame Verantwortliche iSd Art. 4 Z 7 DSGVO sind, auf die gegenständliche Konstellation der Erstellung eines Privatgutachtens für eine Versicherung umzulegen sei. Dabei habe der BF aber alleine die Entscheidung getroffen, welche konkreten personenbezogenen Daten der MP für das aktenmäßige Zweitgutachten verwendet werden.In rechtlicher Hinsicht wurde zunächst ausgeführt, dass die Rechtsprechung des Bundesverwaltungsgerichts in der Entscheidung vom 27.09.2018, Zl. W214 2196366-2, wonach gerichtlich beauftragte Sachverständige mit dem sie beauftragenden Gericht zumindest gemeinsame Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO sind, auf die gegenständliche Konstellation der Erstellung eines Privatgutachtens für eine Versicherung umzulegen sei. Dabei habe der BF aber alleine die Entscheidung getroffen, welche konkreten personenbezogenen Daten der MP für das aktenmäßige Zweitgutachten verwendet werden. Weiters seien gegenständlich besonders schutzwürdige Daten iSd § 1 Abs. 2 zweiter Satz DSG und Art. 9 Abs. 1 DSGVO – nämlich Gesundheitsdaten der MP – verarbeitet worden. Für solche besonderen Kategorien personenbezogener Daten gelte nach Art. 9 Abs. 1 leg. cit. ein Verarbeitungsverbot, wobei in Art. 9 Abs. 2 leg. cit. Ausnahmen dieses Verbotes aufgelistet seien. Weiters seien gegenständlich besonders schutzwürdige Daten iSd Paragraph eins, Absatz 2, zweiter Satz DSG und Artikel 9, Absatz eins, DSGVO – nämlich Gesundheitsdaten der MP – verarbeitet worden. Für solche besonderen Kategorien personenbezogener Daten gelte nach Artikel 9, Absatz eins, leg. cit. ein Verarbeitungsverbot, wobei in Artikel 9, Absatz 2, leg. cit. Ausnahmen dieses Verbotes aufgelistet seien. Eine Einwilligung

Art. 9Abs.

1 lit. a DSGVO habe nur für das vom BF erstellte Erstgutachten im Auftrag der X VERSICHERUNG vorgelegen.Eine Einwilligung

Artikel 9

, Absatz eins, Litera a, DSGVO habe nur für das vom BF erstellte Erstgutachten im Auftrag der römisch zehn VERSICHERUNG vorgelegen. Jedoch komme Art. 9 Abs. 2 lit. f DSGVO betreffend die Verarbeitung besonderer Kategorien personenbezogener Daten iSd Abs. 1 leg. cit., die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich sind, grundsätzlich als Rechtsgrundlage in Betracht, da die Verarbeitung der Gesundheitsdaten der MP durch den BF der Verteidigung von Rechtsansprüchen der Y VERSICHERUNG gedient habe. Jedoch komme Artikel 9, Absatz 2, Litera f, DSGVO betreffend die Verarbeitung besonderer Kategorien personenbezogener Daten iSd Absatz eins, leg. cit., die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich sind, grundsätzlich als Rechtsgrundlage in Betracht, da die Verarbeitung der Gesundheitsdaten der MP durch den BF der Verteidigung von Rechtsansprüchen der Y VERSICHERUNG gedient habe. Hierbei sei es aber zu einer – per se nicht unzulässigen – Änderung des Verarbeitungszweckes der Daten gekommen, was nach der Rechtsprechung des EuGH und der Literatur voraussetze, dass der ursprünglichen Zweck und jener der Weiterverarbeitung nicht unvereinbar sein dürften. Dies sei gegenständlich jedoch der Fall, da eine Weiterverarbeitung von Gesundheitsdaten der MP zu Zwecken der Erstellung eines Gutachtens für Leistungsansprüche an die eigene Unfallversicherung in weiterer Folge ohne Wissen und Einwilligung des Betroffenen für ein weiteres Privatgutachtens im Auftrag der Haftpflichtversicherung des Unfallgegners für die MP nicht nur nicht absehbar, sondern außerhalb jeglicher vernünftigen Erwartungshaltung einer Person zu liegen scheine. Die Zweckvereinbarkeit der Weiterverarbeitung sei nicht gegeben: Da die Weiterverarbeitung der Daten der MP durch den BF somit nicht dem Kompatibilitätstest und damit Art. 5 Abs. 1 lit. b DSGVO entsprochen habe, sei sie ohne legitimen Zweck erfolgt, wodurch denklogisch auch keine Erforderlichkeit der Wahrung berechtigter Interessen des BF möglich gewesen sei. Es liege daher eine Verletzung im Recht auf Geheimhaltung vor.Die Zweckvereinbarkeit der Weiterverarbeitung sei nicht gegeben: Da die Weiterverarbeitung der Daten der MP durch den BF somit nicht dem Kompatibilitätstest und damit Artikel 5, Absatz eins, Litera b, DSGVO entsprochen habe, sei sie ohne legitimen Zweck erfolgt, wodurch denklogisch auch keine Erforderlichkeit der Wahrung berechtigter Interessen des BF möglich gewesen sei. Es liege daher eine Verletzung im Recht auf Geheimhaltung vor. I.

1. Gegen den Bescheid der belangten Behörde richtet sich die fristgerecht erhobene Beschwerde des BF, in der er im Wesentlichen Folgendes vorbrachte:römisch eins.
2. Gegen den Bescheid der belangten Behörde richtet sich die fristgerecht erhobene Beschwerde des BF, in der er im Wesentlichen Folgendes vorbrachte: Es liege auf der Hand, dass er keine personenbezogenen Gesundheitsdaten der MP unzulässig verarbeitet habe. Mit der Beauftragung zur Erstellung des Zweitgutachtens durch die Y VERSICHERUNG sei dem BF „ein Großteil der medizinischen Unterlagen aus dem bereits erstellten ‚Erstgutachten‘ zur Verfügung gestellt“ worden. Da der BF durch die Y VERSICHERUNG die seinerzeitigen Diagnosedaten übermittelt erhalten habe und lediglich der Einfachheit halber auf die Übermittlung sämtlicher Atteste verzichtet worden sei, zumal diese dem BF ohnehin aus den mit dem Erstgutachten durchgeführten Untersuchungen bekannt gewesen seien, sei die Verarbeitung der Daten nicht rechtswidrig. Die Behauptung der MP, wonach diese selbst das Erstgutachten nie an die Y VERSICHERUNG weitergeleitet haben wolle, zumal dieses nicht das von ihm gewünschte Ergebnis beinhaltet habe, sei als reine Schutzbehauptung zu werten. Die MP verkenne, dass die Y VERSICHERUNG als Haftpflichtversicherer des seinerzeitigen Unfallgegners wohl bereits im Vorfeld Kenntnis vom Erstgutachten hatte. Überdies sei der BF als HNO-medizinischer Sachverständiger mit der Erstellung von fundierten, dem objektiven Sorgfaltsmaßstab nach § 1299 ABGB entsprechenden Gutachten als „unabhängiger, unparteilicher und zur Objektivität verpflichteter Gutachter“ beauftragt worden. Insbesondere im Hinblick auf die Objektivität des BF könne und dürfe eine Änderung des Verarbeitungszweckes keine Rolle spielen. Die rechtliche Beurteilung der belangten Behörde würde bedeuten, dass das Gutachtensergebnis vom Auftraggeber des jeweiligen Gutachtens abhänge. Eine solche Gutachtenserstellung würde der Funktion als unabhängiger, unparteilicher und zur Objektivität verpflichteter Gutachter entgegenstehen. Eine Verarbeitung zu „Sekundärzwecken“ sei gerade deshalb zulässig.Überdies sei der BF als HNO-medizinischer Sachverständiger mit der Erstellung von fundierten, dem objektiven Sorgfaltsmaßstab nach Paragraph 1299, ABGB entsprechenden Gutachten als „unabhängiger, unparteilicher und zur Objektivität verpflichteter Gutachter“ beauftragt worden. Insbesondere im Hinblick auf die Objektivität des BF könne und dürfe eine Änderung des Verarbeitungszweckes keine Rolle spielen. Die rechtliche Beurteilung der belangten Behörde würde bedeuten, dass das Gutachtensergebnis vom Auftraggeber des jeweiligen Gutachtens abhänge. Eine solche Gutachtenserstellung würde der Funktion als unabhängiger, unparteilicher und zur Objektivität verpflichteter Gutachter entgegenstehen. Eine Verarbeitung zu „Sekundärzwecken“ sei gerade deshalb zulässig. Außerdem treffe es nicht zu, dass es außerhalb jeglicher vernünftiger Erwartungshaltung einer Person liege, dass basierend auf einem Gutachten ein Zweitgutachten erstellt werde, in welchem bereits ermittelte Daten weiterverarbeitet werden. Unerheblich sei in diesem Zusammenhang, für welche Versicherung und in welchem Auftrag diese Gutachten erstellt werden. Möglicherweise sei es konkret für die MP nicht absehbar gewesen, dass seine Gesundheitsdaten weiterverarbeitet werden und ein „Zweitgutachten“ erstellt werde, dies entspreche aber sehr wohl der gängigen Praxis. Die Verarbeitung personenbezogener Daten zur Erstellung eines „Zweitgutachtens“ durch den BF sei nach den allgemeinen Grundsätzen des § 37 DSG rechtmäßig, da sie auf rechtmäßige Weise sowie nach Treu und Glauben erfolgt sei, und es lägen auch die Voraussetzungen der Art. 6 Abs. 1 „lit. d“ (gemeint: lit. c) f DSGVO vor, da die Verarbeitung personenbezogener Daten in einem Gutachten eine rechtliche Verpflichtung sei, welcher der BF nachgekommen sei.Die Verarbeitung personenbezogener Daten zur Erstellung eines „Zweitgutachtens“ durch den BF sei nach den allgemeinen Grundsätzen des Paragraph 37, DSG rechtmäßig, da sie auf rechtmäßige Weise sowie nach Treu und Glauben erfolgt sei, und es lägen auch die Voraussetzungen der Artikel 6, Absatz eins, „lit. d“ (gemeint: Litera c,) f DSGVO vor, da die Verarbeitung personenbezogener Daten in einem Gutachten eine rechtliche Verpflichtung sei, welcher der BF nachgekommen sei. I.
3. Die gegenständliche Beschwerde und der bezugshabende Verwaltungsakt wurden dem Bundesverwaltungsgericht mit Schreiben vom 24.01.2024 von der belangten Behörde vorgelegt. In ihrer Stellungnahme zur Beschwerde der BF bestritt die belangte Behörde das Beschwerdevorbringen zur Gänze und verwies vollinhaltlich auf den angefochtenen Bescheid.römisch eins.
4. Die gegenständliche Beschwerde und der bezugshabende Verwaltungsakt wurden dem Bundesverwaltungsgericht mit Schreiben vom 24.01.2024 von der belangten Behörde vorgelegt. In ihrer Stellungnahme zur Beschwerde der BF bestritt die belangte Behörde das Beschwerdevorbringen zur Gänze und verwies vollinhaltlich auf den angefochtenen Bescheid. I.
5. Mit Schreiben jeweils vom 16.02.2024 gab das Bundesverwaltungsgericht der MP und dem BF Gelegenheit, zur Beschwerde und zur Stellungnahme der belangten Behörde bzw. zur Beschwerde Stellung zu nehmen. Von dieser Möglichkeit wurde kein Gebrauch gemacht.römisch eins.
6. Mit Schreiben jeweils vom 16.02.2024 gab das Bundesverwaltungsgericht der MP und dem BF Gelegenheit, zur Beschwerde und zur Stellungnahme der belangten Behörde bzw. zur Beschwerde Stellung zu nehmen. Von dieser Möglichkeit wurde kein Gebrauch gemacht. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
7. Feststellungen 1.
8. Das Bundesverwaltungsgericht legt seiner Entscheidung den unter Punkt I. dargestellten Sachverhalt zugrunde.1.
9. Das Bundesverwaltungsgericht legt seiner Entscheidung den unter Punkt römisch eins. dargestellten Sachverhalt zugrunde. 1.
10. Insbesondere wird festgestellt: 1.2.
11. Der BF ist Facharzt für Hals-, Nasen- und Ohrenheilkunde und für dieses Fachgebiet auch gerichtlich beeideter Sachverständiger. 1.2.
12. Die MP war am 04.02.2018 als Fahrzeuglenker im Gemeindegebiet von S in einen Verkehrsunfall involviert. Das Kraftfahrzeug der MP war zum Unfallzeitpunkt bei der X VERSICHERUNG versichert, jenes des Unfallgegners bei der Y VERSICHERUNG.1.2.
13. Die MP war am 04.02.2018 als Fahrzeuglenker im Gemeindegebiet von S in einen Verkehrsunfall involviert. Das Kraftfahrzeug der MP war zum Unfallzeitpunkt bei der römisch zehn VERSICHERUNG versichert, jenes des Unfallgegners bei der Y VERSICHERUNG. 1.2.
14. Die MP leidet nach eigenen Angaben seitdem unter einem Tinnitus als Unfallfolge. 1.2.
15. Der BF wurde am 04.04.2019 von der X VERSICHERUNG beauftragt, ein HNO-ärztliches Gutachten nach persönlicher Untersuchung der MP zum Vorliegen und Ausmaß einer unfallkausalen, auf Dauer bleibenden Invalidität nach den Richtlinien der privaten Unfallversicherung zu erstellen. Nach persönlicher Untersuchung der MP am 26.04.2019 und Übergabe medizinischer Befunde der MP durch diese an den BF (Arztbrief Universitätsklinik für HSS I vom 05.03.2018, Audiogramme Dr. R vom 20.02.2018, 07.02.2018, Arztbrief KH Z Abt. Unfallchirurgie vom 05.02.2018, CT Befund KH Z vom 04.02.2018), erstattete der BF am 29.04.2019 für die X VERSICHERUNG das Erstgutachten, in welchem er zum Schluss kam, dass ein „solitärer Tinnitus ohne kausale Hörstörung nach den Richtlinien der AUVB nicht eingeschätzt“ werde.1.2.
16. Der BF wurde am 04.04.2019 von der römisch zehn VERSICHERUNG beauftragt, ein HNO-ärztliches Gutachten nach persönlicher Untersuchung der MP zum Vorliegen und Ausmaß einer unfallkausalen, auf Dauer bleibenden Invalidität nach den Richtlinien der privaten Unfallversicherung zu erstellen. Nach persönlicher Untersuchung der MP am 26.04.2019 und Übergabe medizinischer Befunde der MP durch diese an den BF (Arztbrief Universitätsklinik für HSS römisch eins vom 05.03.2018, Audiogramme Dr. R vom 20.02.2018, 07.02.2018, Arztbrief KH Z Abt. Unfallchirurgie vom 05.02.2018, CT Befund KH Z vom 04.02.2018), erstattete der BF am 29.04.2019 für die römisch zehn VERSICHERUNG das Erstgutachten, in welchem er zum Schluss kam, dass ein „solitärer Tinnitus ohne kausale Hörstörung nach den Richtlinien der AUVB nicht eingeschätzt“ werde. 1.2.
17. Am 09.11.2019 wurde der BF von der Y VERSICHERUNG beauftragt, aktenmäßig ein HNO-ärztliches Gutachten der MP zur Frage der Kausalität des Tinnitus links zum Unfall vom 04.02.2018 sowie zur Dauerhaftigkeit dieser Beschwerden zu erstellen. Diesem Auftrag kam der BF durch sein am 12.01.2021 für die Y VERSICHERUNG erstelltes Zweitgutachten nach, in welchem er zum Schluss kam, dass „wahrscheinlich kein Zusammenhang zwischen dem Unfallereignis vom 04.02.2018 und dem von [der MP] angegebenen chronischen Tinnitus links besteht“. 1.2.
18. Der BF hat als Grundlage für das aktenmäßige Zweitgutachten in sämtliche Vorbefunde des Erstgutachtens (vgl. 1.2.4.) sowie in das Erstgutachten selbst Einsicht genommen. 1.2.
19. Der BF hat als Grundlage für das aktenmäßige Zweitgutachten in sämtliche Vorbefunde des Erstgutachtens vergleiche 1.2.4.) sowie in das Erstgutachten selbst Einsicht genommen. 1.2.
20. Die MP war nie Patient beim BF, der einzige Kontakt erfolgte bei der persönlichen Untersuchung der MP und Übergabe der in 1.2.
21. genannten, medizinischen Befunde am 26.04.2019 zum Zwecke der Erstellung des Erstgutachtens. Die MP hat überdies der Y VERSICHERUNG weder selbst medizinische Befunde übergeben noch eine Übermittlung Dritter veranlasst oder einer solchen zugestimmt. 1.2.
22. In dem zur Zl. XXXX geführten Verfahren des Bezirksgerichts L über die Klage der MP gegen die Y VERSICHERUNG hat diese das Zweitgutachten dem Gericht vorgelegt.1.2.
23. In dem zur Zl. römisch 40 geführten Verfahren des Bezirksgerichts L über die Klage der MP gegen die Y VERSICHERUNG hat diese das Zweitgutachten dem Gericht vorgelegt. 1.2.
24. Dem BF wurden nicht alle – Gesundheitsdaten der MP enthaltenden – medizinischen Unterlagen, die er zur Erstellung des Zweitgutachtens heranzog, von der Y VERSICHERUNG zur Verfügung gestellt.
25. Beweiswürdigung: Die Feststellungen ergeben sich aus den Angaben der Parteien im Zuge des Verfahrens vor der belangten Behörde und den von ihr vorgelegten Verwaltungsunterlagen. Die Feststellungen, wonach die MP ihre Vorbefunde (Arztbrief Universitätsklinik für HSS I vom 05.03.2018, Audiogramme Dr. R vom 20.02.2018, 07.02.2018, Arztbrief KH Z Abt. Unfallchirurgie vom 05.02.2018, CT Befund KH Z vom 04.02.2018) ausschließlich persönlich am 26.04.2019 an den BF im Rahmen der Untersuchung zur Erstellung des Erstgutachtens übergeben hat und diese insbesondere weder selbst noch durch Dritte der Y VERSICHERUNG zukommen hat lassen, ergibt sich aus dem diesbezüglichen, glaubhaften Vorbringen der MP. Wie bereits die belangte Behörde richtigerweise ausgeführt hat, ist es überdies plausibel und nachvollziehbar, dass die MP ihre eigenen medizinischen Befunde und das Erstgutachten nicht an die von der MP zum damaligen Zeitpunkt in einem Zivilprozess beklagte Y VERSICHERUNG übermittelt, zumal das Erstgutachten nicht das von der MP gewünschte Ergebnis über mögliche Unfallfolgen enthält. Die Feststellungen, wonach die MP ihre Vorbefunde (Arztbrief Universitätsklinik für HSS römisch eins vom 05.03.2018, Audiogramme Dr. R vom 20.02.2018, 07.02.2018, Arztbrief KH Z Abt. Unfallchirurgie vom 05.02.2018, CT Befund KH Z vom 04.02.2018) ausschließlich persönlich am 26.04.2019 an den BF im Rahmen der Untersuchung zur Erstellung des Erstgutachtens übergeben hat und diese insbesondere weder selbst noch durch Dritte der Y VERSICHERUNG zukommen hat lassen, ergibt sich aus dem diesbezüglichen, glaubhaften Vorbringen der MP. Wie bereits die belangte Behörde richtigerweise ausgeführt hat, ist es überdies plausibel und nachvollziehbar, dass die MP ihre eigenen medizinischen Befunde und das Erstgutachten nicht an die von der MP zum damaligen Zeitpunkt in einem Zivilprozess beklagte Y VERSICHERUNG übermittelt, zumal das Erstgutachten nicht das von der MP gewünschte Ergebnis über mögliche Unfallfolgen enthält. Die Feststellung, wonach dem BF nicht alle medizinischen Unterlagen, die er zur Erstellung des Zweitgutachtens heranzog, von der Y VERSICHERUNG zur Verfügung gestellt wurden, stützt sich auf die Aussage in der Beschwerde, wonach die Y VERSICHERUNG dem BF (erg.: bloß) einen „Großteil“ der medizinischen Unterlagen, die er zur Erstellung des Zweitgutachtens heranzog, zur Verfügung gestellt hat (vgl. Beschwerde S 4 oben). Mit diesem – in Zusammenhang mit dem Umstand, dass der BF die Frage der belangten Behörde nach den konkreten medizinischen Unterlagen, die er von der Y VERSICHERUNG erhalten habe, unbeantwortet ließ, und hinsichtlich der angeblichen Übermittlung solcher Unterlagen durch die XXXX an die Y Versicherung relativierend von „ihr von der XXXX übermittelten bzw. zu übermittelnden“ Daten sprach, zu sehenden – Vorbringen gesteht die Beschwerde selbst ein, dass (anders als an anderer Stelle plakativ behauptet) gerade nicht sämtliche für das Zweitgutachten verwendeten medizinischen Unterlagen vom Auftraggeber Y VERSICHERUNG stammen. Auch haben sich keine Hinweise darauf ergeben, dass für die Erstellung des Zweitgutachtens verwendete medizinische Unterlagen keine Gesundheitsdaten des BF enthalten würden und wurde Derartiges in der Beschwerde auch nicht vorgebracht.Die Feststellung, wonach dem BF nicht alle medizinischen Unterlagen, die er zur Erstellung des Zweitgutachtens heranzog, von der Y VERSICHERUNG zur Verfügung gestellt wurden, stützt sich auf die Aussage in der Beschwerde, wonach die Y VERSICHERUNG dem BF (erg.: bloß) einen „Großteil“ der medizinischen Unterlagen, die er zur Erstellung des Zweitgutachtens heranzog, zur Verfügung gestellt hat vergleiche Beschwerde S 4 oben). Mit diesem – in Zusammenhang mit dem Umstand, dass der BF die Frage der belangten Behörde nach den konkreten medizinischen Unterlagen, die er von der Y VERSICHERUNG erhalten habe, unbeantwortet ließ, und hinsichtlich der angeblichen Übermittlung solcher Unterlagen durch die römisch 40 an die Y Versicherung relativierend von „ihr von der römisch 40 übermittelten bzw. zu übermittelnden“ Daten sprach, zu sehenden – Vorbringen gesteht die Beschwerde selbst ein, dass (anders als an anderer Stelle plakativ behauptet) gerade nicht sämtliche für das Zweitgutachten verwendeten medizinischen Unterlagen vom Auftraggeber Y VERSICHERUNG stammen. Auch haben sich keine Hinweise darauf ergeben, dass für die Erstellung des Zweitgutachtens verwendete medizinische Unterlagen keine Gesundheitsdaten des BF enthalten würden und wurde Derartiges in der Beschwerde auch nicht vorgebracht. Der Umstand, dass der BF als Grundlage für das aktenmäßige Zweitgutachten in sämtliche Vorbefunde des Erstgutachtens sowie in das Erstgutachten selbst Einsicht genommen hat, ergibt sich aus dem Zweitgutachten selbst, in welchem der BF ausführt, dies „nach Einsichtnahme“ in ebendiese Unterlagen angefertigt zu haben (vgl. Zweitgutachten, S. 2).Der Umstand, dass der BF als Grundlage für das aktenmäßige Zweitgutachten in sämtliche Vorbefunde des Erstgutachtens sowie in das Erstgutachten selbst Einsicht genommen hat, ergibt sich aus dem Zweitgutachten selbst, in welchem der BF ausführt, dies „nach Einsichtnahme“ in ebendiese Unterlagen angefertigt zu haben vergleiche Zweitgutachten, S. 2).
26. Rechtliche Beurteilung: 3.
27. Zu Spruchpunkt A) – Abweisung der Beschwerde: 3.1.
28. Maßgebliche Rechtsvorschriften und Rechtsprechung: § 1 DSG – Grundrecht auf Datenschutz – lautet auszugsweise:Paragraph eins, DSG – Grundrecht auf Datenschutz – lautet auszugsweise:

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

Kapitel IX

Kapitel römisch neun VERSICHERUNG.

Absatz 1 Buchstaben c und e wird festgelegt durch

1. a)Unionsrecht oder
2. b)das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel IX

Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel römisch neun VERSICHERUNG. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. […] Art. 9 DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten – lautet auszugsweise: Artikel 9, DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten – lautet auszugsweise:

Artikel 89Absatz 1 erforderlich.

§ 1Abs.

1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen.Nach der Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch

Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen. Die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten richten sich insbesondere an „Verantwortliche“. Die Verantwortung wird dem übertragen, der die Entscheidungsmacht hat. Entscheidend für die Zuweisung der Verantwortlichkeit ist daher, wer über die wesentlichen Aspekte der Mittel der Verarbeitung entscheidet. Die Festlegung der Zwecke und der Mittel läuft darauf hinaus, zu entscheiden „warum“ und „auf welche Weise“ die Verarbeitung erfolgt. Bei einer bestimmten Verarbeitung ist der Verantwortliche der Akteur, der entschieden hat, warum die Verarbeitung erfolgt (also „mit welchem Ziel“ oder „wozu“), und auf welche Weise dieses Ziel erreicht werden soll (also welche Mittel eingesetzt werden, um das Ziel zu erreichen). Eine natürliche oder juristische Person, die einen solchen Einfluss auf die Verarbeitung personenbezogener Daten nimmt, ist somit

der Definition in Art. 4 Abs. 7 DSGVO an der Festlegung der Zwecke und Mittel dieser Verarbeitung beteiligt (EuGH 10.07.2018, C-25/17 (Zeugen Jehovan todistajat), Rn 68). Die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten richten sich insbesondere an „Verantwortliche“. Die Verantwortung wird dem übertragen, der die Entscheidungsmacht hat. Entscheidend für die Zuweisung der Verantwortlichkeit ist daher, wer über die wesentlichen Aspekte der Mittel der Verarbeitung entscheidet. Die Festlegung der Zwecke und der Mittel läuft darauf hinaus, zu entscheiden „warum“ und „auf welche Weise“ die Verarbeitung erfolgt. Bei einer bestimmten Verarbeitung ist der Verantwortliche der Akteur, der entschieden hat, warum die Verarbeitung erfolgt (also „mit welchem Ziel“ oder „wozu“), und auf welche Weise dieses Ziel erreicht werden soll (also welche Mittel eingesetzt werden, um das Ziel zu erreichen). Eine natürliche oder juristische Person, die einen solchen Einfluss auf die Verarbeitung personenbezogener Daten nimmt, ist somit

der Definition in Artikel 4, Absatz 7, DSGVO an der Festlegung der Zwecke und Mittel dieser Verarbeitung beteiligt (EuGH 10.07.2018, C-25/17 (Zeugen Jehovan todistajat), Rn 68). Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, Rs C-465/00, C-138/01 und C-139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48). Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Artikel 5, DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Artikel 6, DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Artikel 6, DS-RL: EuGH 20.05.2003, Rs C-465/00, C-138/01 und C-139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48). Entsprechend der Rechtsprechung des EuGH müssen Regelungen, die in die Rechte nach Art. 7 oder Art. 8 EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (EuGH 06.10.2015, C-362/14 (Schrems I), Rn 91, mwH). Diese Garantien sind umso wichtiger, wenn Daten automatisationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt (EuGH 06.10.2020, in den verbundenen Rechtssachen C‑511/18, C‑512/18 und C‑520/18, Rn 132, mwH).Entsprechend der Rechtsprechung des EuGH müssen Regelungen, die in die Rechte nach Artikel 7, oder Artikel 8, EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (EuGH 06.10.2015, C-362/14 (Schrems römisch eins), Rn 91, mwH). Diese Garantien sind umso wichtiger, wenn Daten automatisationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt (EuGH 06.10.2020, in den verbundenen Rechtssachen C‑511/18, C‑512/18 und C‑520/18, Rn 132, mwH). § 29 Kraftfahrzeug-Haftpflichtversicherungsgesetz 1994 (KHVG) lautet wie folgt:Paragraph 29, Kraftfahrzeug-Haftpflichtversicherungsgesetz 1994 (KHVG) lautet wie folgt: „

Abs. 1 und 2, so beschränkt sich die Haftung des Versicherers auf den Betrag, den er auch bei gehöriger Erfüllung der Pflichten zu leisten gehabt hätte. Diese Rechtsfolge tritt bezüglich der Pflichten

Abs. 2 nur ein, wenn der Versicherer den geschädigten Dritten vorher ausdrücklich schriftlich auf die Folgen der Verletzung hingewiesen hat.

Absatz eins und 2, so beschränkt sich die Haftung des Versicherers auf den Betrag, den er auch bei gehöriger Erfüllung der Pflichten zu leisten gehabt hätte. Diese Rechtsfolge tritt bezüglich der Pflichten

Absatz 2, nur ein, wenn der Versicherer den geschädigten Dritten vorher ausdrücklich schriftlich auf die Folgen der Verletzung hingewiesen hat.

Art. 9Abs.

1 DSGVO besonders geschützte Daten dar. Eine Verarbeitung der Befunde über die Unfallfolgen der MP und des Erstgutachtens wäre daher nur dann möglich, wenn eine Ausnahme des Art. 9 Abs. 2 DSGVO vom Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO vorliegt. Sowohl die medizinischen Befunde als auch das Erstgutachten stellen daher Gesundheitsdaten und somit auch

Artikel 9, Absatz eins, DSGVO besonders geschützte Daten dar.

Eine Verarbeitung der Befunde über die Unfallfolgen der MP und des Erstgutachtens wäre daher nur dann möglich, wenn eine Ausnahme des Artikel 9, Absatz 2, DSGVO vom Verarbeitungsverbot des Artikel 9, Absatz eins, DSGVO vorliegt. Art. 9 DSGVO formuliert gegenüber Art. 6 DSGVO erhöhte Rechtmäßigkeitsvoraussetzungen, die bei Anwendung von Art. 9 DSGVO gültig bleiben. Bei sensiblen Daten ist die Eingriffsintensität regelmäßig höher, weshalb engere Eingriffsvoraussetzungen geboten sind. Dies hat zur Folge, dass Art. 9 den Art. 6 DSGVO nicht verdrängt (siehe Weichert in Kühling/Buchner, Datenschutzgrundverordnung BDSG4 [2020], Art 9 Rn. 4).Artikel 9, DSGVO formuliert gegenüber Artikel 6, DSGVO erhöhte Rechtmäßigkeitsvoraussetzungen, die bei Anwendung von Artikel 9, DSGVO gültig bleiben. Bei sensiblen Daten ist die Eingriffsintensität regelmäßig höher, weshalb engere Eingriffsvoraussetzungen geboten sind. Dies hat zur Folge, dass Artikel 9, den Artikel 6, DSGVO nicht verdrängt (siehe Weichert in Kühling/Buchner, Datenschutzgrundverordnung BDSG4 [2020], Artikel 9, Rn. 4).

Art. 9Abs.

2 lit. a DSGVO ist die Verarbeitung von Gesundheitsdaten zulässig, wenn die betroffene Person die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich einwilligt. Stützt sich die Verarbeitung des Verantwortlichen auf eine Einwilligung der betroffenen Person, trifft diesen

Art. 7Abs.

1 DSGVO eine Nachweispflicht. Der Verantwortliche muss also „nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Auch wenn der Erwägungsgrund 42 in diesem Zusammenhang als bloße Empfehlung gelesen werden könnte („sollte nachweisen können“), spricht der ausdrückliche normative Wortlaut, die mehrfache Verwendung der Formulierung „nachweisen können“ in der DSGVO (s. u.a. Art. 5 Abs. 2, Art. 11 Abs. 2, Art. 21 Abs. 1 DSGVO) sowie der Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) für eine Pflicht des Verantwortlichen. Im Ergebnis trifft den Verantwortlichen somit die Beweislast, wenn er sich auf eine Einwilligung als Rechtsgrundlage seiner Datenverarbeitung stützt.

Artikel 9

, Absatz 2, Litera a, DSGVO ist die Verarbeitung von Gesundheitsdaten zulässig, wenn die betroffene Person die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich einwilligt. Stützt sich die Verarbeitung des Verantwortlichen auf eine Einwilligung der betroffenen Person, trifft diesen

Artikel 7, Absatz eins, DSGVO eine Nachweispflicht.

Der Verantwortliche muss also „nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Auch wenn der Erwägungsgrund 42 in diesem Zusammenhang als bloße Empfehlung gelesen werden könnte („sollte nachweisen können“), spricht der ausdrückliche normative Wortlaut, die mehrfache Verwendung der Formulierung „nachweisen können“ in der DSGVO (s. u.a. Artikel 5, Absatz 2,, Artikel 11, Absatz 2,, Artikel 21, Absatz eins, DSGVO) sowie der Grundsatz der Rechenschaftspflicht (Artikel 5, Absatz 2, DSGVO) für eine Pflicht des Verantwortlichen. Im Ergebnis trifft den Verantwortlichen somit die Beweislast, wenn er sich auf eine Einwilligung als Rechtsgrundlage seiner Datenverarbeitung stützt. Zu dieser in Betracht kommenden Bestimmung ist allerdings auszuführen, dass die MP – wie bereits in der Beweiswürdigung ausgeführt – keine Einwilligung für die gegenständliche Verarbeitung ihrer Gesundheitsdaten im Rahmen des Zweitgutachtens erteilt hat. Im gegenständlichen Fall brachte der BF in seiner Stellungnahme vom 07.07.2021 hierzu zunächst vor, die medizinischen Unterlagen für die Erstellung des Zweitgutachtens habe er vom Auftraggeber, der Y VERSICHERUNG, erhalten. In seiner Stellungnahme vom 19.10.2023 führte er aus, eine Zustimmung der MP zur Verarbeitung ihrer persönlichen Daten durch die Y VERSICHERUNG sei nicht erforderlich gewesen, da es im Zusammenhang mit dem Unfall vom 04.02.2018 eine Regressforderung der XXXX an die Y VERSICHERUNG gäbe und die MP daher nach dem VersVG (richtigerweise: nach dem KHVG) verpflichtet sei, XXXX und Y VERSICHERUNG Auskunft darüber zu erteilen, die „zur Feststellung des Schadensereignisses und der Höhe des Schadens erforderlich“ sei. Des Weiteren stützte der BF sein Vorbringen in der Beschwerde darauf, dass er zur Datenverarbeitung zum Zwecke der Verteidigung von Rechtsansprüchen

Art. 9Abs.

2 lit. f DSGVO erforderlich und berechtigt gewesen sei, zumal die Verarbeitung zur Verteidigung von Rechtsansprüchen notwendig gewesen sei.Im gegenständlichen Fall brachte der BF in seiner Stellungnahme vom 07.07.2021 hierzu zunächst vor, die medizinischen Unterlagen für die Erstellung des Zweitgutachtens habe er vom Auftraggeber, der Y VERSICHERUNG, erhalten. In seiner Stellungnahme vom 19.10.2023 führte er aus, eine Zustimmung der MP zur Verarbeitung ihrer persönlichen Daten durch die Y VERSICHERUNG sei nicht erforderlich gewesen, da es im Zusammenhang mit dem Unfall vom 04.02.2018 eine Regressforderung der römisch 40 an die Y VERSICHERUNG gäbe und die MP daher nach dem VersVG (richtigerweise: nach dem KHVG) verpflichtet sei, römisch 40 und Y VERSICHERUNG Auskunft darüber zu erteilen, die „zur Feststellung des Schadensereignisses und der Höhe des Schadens erforderlich“ sei. Des Weiteren stützte der BF sein Vorbringen in der Beschwerde darauf, dass er zur Datenverarbeitung zum Zwecke der Verteidigung von Rechtsansprüchen

Artikel 9

, Absatz 2, Litera f, DSGVO erforderlich und berechtigt gewesen sei, zumal die Verarbeitung zur Verteidigung von Rechtsansprüchen notwendig gewesen sei.

Art. 9Abs.

2 lit. f DSGVO ist die Verarbeitung von Gesundheitsdaten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist.

Artikel 9

, Absatz 2, Litera f, DSGVO ist die Verarbeitung von Gesundheitsdaten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist. Die Verfolgung, Durchsetzung und Verteidigung von Rechtsansprüchen wird von der DSGVO als ein berechtigtes Interesse anerkannt, das eine Verarbeitung von (auch) sensiblen Daten generell legitimiert (siehe dazu Weichert in Kühling/Buchner, Datenschutzgrundverordnung BDSG4 [2020], Art. 9 Rn. 85). Die Verarbeitung sensibler Daten ist nach Art 9 Abs. 2 lit f DSGVO und Erwägungsgrund 52 Satz 3 erlaubt, wenn sie erforderlich ist, um Ansprüche vor Gericht, außergerichtlich oder in einem Verwaltungsverfahren wahrzunehmen bzw. durchzusetzen oder sich gegen die Inanspruchnahme durch Dritte zu verteidigen. Dieser Erlaubnistatbestand stellt damit für sensible Daten einen Sonderfall des allgemeinen Erlaubnistatbestandes des berechtigten Interesses dar. Durch diese Variante wird dem Recht des Einzelnen auf die effektive Rechtsdurchsetzung Vorrang vor den Interessen betroffener Personen am Schutz ihrer Daten eingeräumt, andernfalls der Einzelne an der Durchsetzung seiner Rechte und die Justiz an der Wahrnehmung ihrer Aufgaben gehindert wäre (vgl. dazu Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung3, Art 9 Rn. 48).Die Verfolgung, Durchsetzung und Verteidigung von Rechtsansprüchen wird von der DSGVO als ein berechtigtes Interesse anerkannt, das eine Verarbeitung von (auch) sensiblen Daten generell legitimiert (siehe dazu Weichert in Kühling/Buchner, Datenschutzgrundverordnung BDSG4 [2020], Artikel 9, Rn. 85). Die Verarbeitung sensibler Daten ist nach Artikel 9, Absatz 2, Litera f, DSGVO und Erwägungsgrund 52 Satz 3 erlaubt, wenn sie erforderlich ist, um Ansprüche vor Gericht, außergerichtlich oder in einem Verwaltungsverfahren wahrzunehmen bzw. durchzusetzen oder sich gegen die Inanspruchnahme durch Dritte zu verteidigen. Dieser Erlaubnistatbestand stellt damit für sensible Daten einen Sonderfall des allgemeinen Erlaubnistatbestandes des berechtigten Interesses dar. Durch diese Variante wird dem Recht des Einzelnen auf die effektive Rechtsdurchsetzung Vorrang vor den Interessen betroffener Personen am Schutz ihrer Daten eingeräumt, andernfalls der Einzelne an der Durchsetzung seiner Rechte und die Justiz an der Wahrnehmung ihrer Aufgaben gehindert wäre vergleiche dazu Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung3, Artikel 9, Rn. 48). Art. 9 Abs. 2 lit. f DSGVO entspricht weitgehend Art. 8 Abs. 2 lit. e zweite Alternative DS-RL und ermöglicht die Verarbeitung sensibler Daten bei der „Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit“, soweit diese dafür erforderlich ist. Die Erforderlichkeit ist dabei aus einer ex-ante-Sicht zu beurteilen, woraus sich ein gewisser Beurteilungsspielraum ergibt. Art. 9 Abs. 2 lit. f DSGVO ist somit für sensible Daten ein Sonderfall des allgemeinen Erlaubnistatbestands des berechtigten Interesses iSd Art. 6 Abs. 1 lit. f DSGVO und dient der Gewährleistung des Grundrechts auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht

Art. 47

GRC.Artikel 9, Absatz 2, Litera f, DSGVO entspricht weitgehend Artikel 8, Absatz 2, Litera e, zweite Alternative DS-RL und ermöglicht die Verarbeitung sensibler Daten bei der „Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit“, soweit diese dafür erforderlich ist. Die Erforderlichkeit ist dabei aus einer ex-ante-Sicht zu beurteilen, woraus sich ein gewisser Beurteilungsspielraum ergibt. Artikel 9, Absatz 2, Litera f, DSGVO ist somit für sensible Daten ein Sonderfall des allgemeinen Erlaubnistatbestands des berechtigten Interesses iSd Artikel 6, Absatz eins, Litera f, DSGVO und dient der Gewährleistung des Grundrechts auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht

Artikel 47, GRC.

Im gegenständlichen Fall hat bereits die belangte Behörde zu Recht ausgeführt, dass das Zweitgutachten der Verteidigung von Rechtsansprüchen der Y VERSICHERUNG diente, nicht für den Tinnitus des BF als mögliche Folge der Beteiligung am Unfall des haftpflichtversicherten Kraftfahrzeuges in Anspruch genommen zu werden. In Zusammenhang mit dem Umstand, dass sich die Verarbeitung der hier interessierenden Daten in Privatgutachten zur Vorlage bei Gericht auf Art. 9 Abs. 2 lit. f DSGVO gestützt werden kann (vgl. Viktoria Haidinger, Aufbewahrung medizinischer Gutachten im Lichte des Datenschutzes und der Datensicherheit, DAG 2021/52 S 116 ff), kommt diese Bestimmung als Grundlage für die Verarbeitung der Gesundheitsdaten der MP durch den BF im Zweitgutachten grundsätzlich in Betracht. Im gegenständlichen Fall hat bereits die belangte Behörde zu Recht ausgeführt, dass das Zweitgutachten der Verteidigung von Rechtsansprüchen der Y VERSICHERUNG diente, nicht für den Tinnitus des BF als mögliche Folge der Beteiligung am Unfall des haftpflichtversicherten Kraftfahrzeuges in Anspruch genommen zu werden. In Zusammenhang mit dem Umstand, dass sich die Verarbeitung der hier interessierenden Daten in Privatgutachten zur Vorlage bei Gericht auf Artikel 9, Absatz 2, Litera f, DSGVO gestützt werden kann vergleiche Viktoria Haidinger, Aufbewahrung medizinischer Gutachten im Lichte des Datenschutzes und der Datensicherheit, DAG 2021/52 S 116 ff), kommt diese Bestimmung als Grundlage für die Verarbeitung der Gesundheitsdaten der MP durch den BF im Zweitgutachten grundsätzlich in Betracht. Dabei ist jedoch davon auszugehen, dass bei sensiblen Daten

Art. 9Abs.

1 DSGVO – nicht anders als bei einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 DSGVO (vgl. diesbezüglich Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Art. 5 Rz 8f) – zusätzlich geprüft werden muss, ob die gewählte Vorgangsweise auch den Anforderungen der in Art. 5 DSGVO verankerten Grundsätze entsprochen hat (vgl. etwa Jahnel, DSGVO-Kommentar, Art. 9 DSGVO, Rz 7). Dabei ist jedoch davon auszugehen, dass bei sensiblen Daten

Artikel 9

, Absatz eins, DSGVO – nicht anders als bei einer Verarbeitung auf Grundlage von Artikel 6, Absatz eins, DSGVO vergleiche diesbezüglich Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Artikel 5, Rz 8f) – zusätzlich geprüft werden muss, ob die gewählte Vorgangsweise auch den Anforderungen der in Artikel 5, DSGVO verankerten Grundsätze entsprochen hat vergleiche etwa Jahnel, DSGVO-Kommentar, Artikel 9, DSGVO, Rz 7). Der EuGH hat in diesem Zusammenhang in der Rechtssache Meta Platforms Inc. festgehalten, dass nach Art. 5 DSGVO der Verantwortliche die Beweislast dafür trägt, dass die Daten für festgelegte, eindeutige und legitime Zwecke erhoben und auf rechtmäßige Weise nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (EuGH 04.07.2023, C-252/21 (Meta Platforms Inc.), Rn. 95).Der EuGH hat in diesem Zusammenhang in der Rechtssache Meta Platforms Inc. festgehalten, dass nach Artikel 5, DSGVO der Verantwortliche die Beweislast dafür trägt, dass die Daten für festgelegte, eindeutige und legitime Zwecke erhoben und auf rechtmäßige Weise nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (EuGH 04.07.2023, C-252/21 (Meta Platforms Inc.), Rn. 95). Art. 5 Abs. 1 lit. b DSGVO normiert dabei das Zweckbindungsprinzip, wonach bereits vor Beginn der Verarbeitung von Daten deren Zwecke eindeutig, konkret und damit möglichst eng festgelegt werden müssen und dass diese Daten nur in einer mit diesen Zwecken vereinbaren (kompatiblen) Weise verwendet werden dürfen (vgl. Knyrim, DatKomm Art 5 DSGVO Rz 20 | Stand 7.5.2020, rdb.at).Artikel 5, Absatz eins, Litera b, DSGVO normiert dabei das Zweckbindungsprinzip, wonach bereits vor Beginn der Verarbeitung von Daten deren Zwecke eindeutig, konkret und damit möglichst eng festgelegt werden müssen und dass diese Daten nur in einer mit diesen Zwecken vereinbaren (kompatiblen) Weise verwendet werden dürfen vergleiche Knyrim, DatKomm Artikel 5, DSGVO Rz 20 | Stand 7.5.2020, rdb.at). Die belangte Behörde hat dazu ausgeführt, dass es durch die erneute Heranziehung der im Rahmen des Erstgutachtens – im Auftrag der X VERSICHERUNG, bei der die MP selbst versichert ist – erhobenen Gesundheitsdaten der MP für das Zweitgutachten im Auftrag der Y VERSICHERUNG, und somit der Versicherung des Unfallgegners und von der BF Beklagten, zu einer Änderung des Verarbeitungszweckes gekommen sei. Eine solche sei zwar nicht per se unzulässig, doch dürfe der Zweck der neuen Verarbeitung nicht inkompatibel mit jenem der früheren sein, wobei als Maßstab auf die vernünftige Erwartungshaltung des Betroffenen abzustellen sei. Im Fall der MP führe dies zum Ergebnis, dass die Verarbeitung seiner – durch Art. 9 DSGVO besonders geschützten – Gesundheitsdaten zum Zweck der Erstellung des Zweitgutachtens, also der gegnerischen Unfall- und Zivilprozesspartei nicht vorhersehbar und daher inkompatibel sei.Die belangte Behörde hat dazu ausgeführt, dass es durch die erneute Heranziehung der im Rahmen des Erstgutachtens – im Auftrag der römisch zehn VERSICHERUNG, bei der die MP selbst versichert ist – erhobenen Gesundheitsdaten der MP für das Zweitgutachten im Auftrag der Y VERSICHERUNG, und somit der Versicherung des Unfallgegners und von der BF Beklagten, zu einer Änderung des Verarbeitungszweckes gekommen sei. Eine solche sei zwar nicht per se unzulässig, doch dürfe der Zweck der neuen Verarbeitung nicht inkompatibel mit jenem der früheren sein, wobei als Maßstab auf die vernünftige Erwartungshaltung des Betroffenen abzustellen sei. Im Fall der MP führe dies zum Ergebnis, dass die Verarbeitung seiner – durch Artikel 9, DSGVO besonders geschützten – Gesundheitsdaten zum Zweck der Erstellung des Zweitgutachtens, also der gegnerischen Unfall- und Zivilprozesspartei nicht vorhersehbar und daher inkompatibel sei. Dem hält der BF in seiner Beschwerde entgegen, dass der BF bei der Gutachtenserstellung ohnehin – unabhängig vom Auftraggeber – zur Objektivität verpflichtet sei und sei es „[m]öglicherweise“ […] in diesem Fall konkret für [die MP] nicht absehbar [gewesen], dass seine Gesundheitsdaten weiterverarbeitet werden und ein ,Zweitgutachten‘ erstellt wird“, sehr wohl entspräche dies jedoch „der gängigen Praxis“. Überdies stütze die belangte Behörde sich nahezu ausschließlich auf die Erwartung der MP, hingegen lasse sie das Faktum des Zwecks der Verarbeitung der erhobenen Daten sowie eine gewisse Flexibilität zugunsten des Verantwortlichen bei der Verwaltung dieser Daten vollkommen außer Acht (mit Verweis auf das Urteil [des EuGH] vom 20.10.2022 C-77/21, Rz 34). Damit gelingt es dem BF jedoch nicht aufzuzeigen, dass die Verarbeitungszwecke entgegen der Ansicht der belangten Behörde vereinbar sind: Zum ersten Argument ist auszuführen, dass der (objektive) Sorgfaltsmaßstab des BF zur Erstellung eines Gutachtens in keinem Zusammenhang mit der Frage der Zulässigkeit der Weiterverarbeitung vor dem Hintergrund der Änderung des Verarbeitungszweckes der Gesundheitsdaten der MP steht. Das in der Beschwerde geäußerte Vorbringen, dass „ein abweichendes Befundergebnis zu ein und demselben Patienten hinsichtlich derselben Fragestellung wohl ohnehin äußerst bedenklich gewesen wäre“ betrachtet die Zulässigkeit der Datenverarbeitung daher a posteriori, obwohl diese a priori – also im Zeitpunkt der Datenverarbeitung, unabhängig vom letztendlichen Befund des Gutachtens – vorliegen muss. Es mag in Hinblick auf § 29 Abs. 2 KHVG für die MP allenfalls voraussehbar gewesen sein, dass medizinische Unterlagen, die in dem von seinem Haftpflichtversicherer beauftragten Gutachten verwendet wurden, an die Y VERSICHERUNG als Haftpflichtversicherer des Unfallgegners gelangen und in der Folge für ein anderes, von dieser in Auftrag gegebenes Gutachten herangezogen werden. Keinesfalls ist für die MP aber voraussehbar, dass der BF – wie festgestellt – derartige Unterlagen von sich aus, d.h. ohne dass sie ihm von der Y VERSICHERUNG zur Verfügung gestellt worden wären, für ein derartiges neues Gutachten verwendet.Es mag in Hinblick auf Paragraph 29, Absatz 2, KHVG für die MP allenfalls voraussehbar gewesen sein, dass medizinische Unterlagen, die in dem von seinem Haftpflichtversicherer beauftragten Gutachten verwendet wurden, an die Y VERSICHERUNG als Haftpflichtversicherer des Unfallgegners gelangen und in der Folge für ein anderes, von dieser in Auftrag gegebenes Gutachten herangezogen werden. Keinesfalls ist für die MP aber voraussehbar, dass der BF – wie festgestellt – derartige Unterlagen von sich aus, d.h. ohne dass sie ihm von der Y VERSICHERUNG zur Verfügung gestellt worden wären, für ein derartiges neues Gutachten verwendet. Zum zweiten Argument ist festzuhalten, dass die Beschwerde damit dem Vorhalt der Behörde, wonach die Änderung des Verarbeitungszweckes der Daten der MP gerade nicht vorhersehbar gewesen sei, gerade nicht entgegentritt. Ein Verweis auf eine, nicht näher konkretisierte, „gängige Praxis“ ist jedoch keinesfalls geeignet, deren Rechtmäßigkeit zu begründen und würde allenfalls gehäufte, rechtswidrige Datenverarbeitungen darstellen. Selbst bei Wahrunterstellung dieser „Praxis“ ist ein „Anspruch“ darauf, dass die belangte Behörde sich daher zugunsten des BF ihm gegenüber rechtswidrig verhalte, indem sie das Erfordernis der Vereinbarkeit der Zwecke im konkreten Einzelfall außer Acht ließe, nicht existent (vgl. VwGH 15.04.2005, 2004/12/0187; 22.12.2004, 2003/12/0222).Zum zweiten Argument ist festzuhalten, dass die Beschwerde damit dem Vorhalt der Behörde, wonach die Änderung des Verarbeitungszweckes der Daten der MP gerade nicht vorhersehbar gewesen sei, gerade nicht entgegentritt. Ein Verweis auf eine, nicht näher konkretisierte, „gängige Praxis“ ist jedoch keinesfalls geeignet, deren Rechtmäßigkeit zu begründen und würde allenfalls gehäufte, rechtswidrige Datenverarbeitungen darstellen. Selbst bei Wahrunterstellung dieser „Praxis“ ist ein „Anspruch“ darauf, dass die belangte Behörde sich daher zugunsten des BF ihm gegenüber rechtswidrig verhalte, indem sie das Erfordernis der Vereinbarkeit der Zwecke im konkreten Einzelfall außer Acht ließe, nicht existent vergleiche VwGH 15.04.2005, 2004/12/0187; 22.12.2004, 2003/12/0222). Im zitierten Urteil des EuGH vom 20.10.2022 C-77/21, das auch die belangte Behörde bereits in der rechtlichen Beurteilung ihres Bescheids angeführt hat, führt der EuGH in der von der Beschwerde zitierten Rz 34 sowie den beiden Folgeziffern aus wie folgt: „34 Liest man Art. 5 Abs. 1 Buchst. b, Art. 6 Abs. 1 Buchst. a und Art. 6 Abs. 4 der Verordnung 2016/679 zusammen, ergibt sich nämlich, dass sich die Frage der Vereinbarkeit der Weiterverarbeitung personenbezogener Daten mit den Zwecken, für die sie ursprünglich erhoben wurden, nur stellt, wenn die Zwecke dieser Weiterverarbeitung nicht mit denen der ursprünglichen Erhebung übereinstimmen.„34 Liest man Artikel 5, Absatz eins, Buchst. b, Artikel 6, Absatz eins, Buchst. a und Artikel 6, Absatz 4, der Verordnung 2016/679 zusammen, ergibt sich nämlich, dass sich die Frage der Vereinbarkeit der Weiterverarbeitung personenbezogener Daten mit den Zwecken, für die sie ursprünglich erhoben wurden, nur stellt, wenn die Zwecke dieser Weiterverarbeitung nicht mit denen der ursprünglichen Erhebung übereinstimmen. 35 Außerdem ist nach Art. 6 Abs. 4 dieser Verordnung in Verbindung mit deren

1. Erwägungsgrund, wenn die Verarbeitung für einen anderen Zweck als demjenigen, für den die Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten beruht, für die Feststellung, ob die Verarbeitung für einen anderen Zweck mit dem Zweck vereinbar ist, für den die personenbezogenen Daten ursprünglich erhoben wurden, u. a. zu berücksichtigen, erstens ob ein Zusammenhang zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung besteht, zweitens in welchem Kontext die personenbezogenen Daten erhoben wurden, insbesondere das Verhältnis zwischen den betroffenen Personen und dem Verantwortlichen, drittens um welche Art von personenbezogenen Daten es sich handelt, viertens welche Folgen die beabsichtigte Weiterverarbeitung für die betroffenen Personen hat und fünftens ob sowohl beim ursprünglichen als auch beim beabsichtigten Weiterverarbeitungsvorgang geeignete Garantien bestehen.35 Außerdem ist nach Artikel 6, Absatz 4, dieser Verordnung in Verbindung mit deren
2. Erwägungsgrund, wenn die Verarbeitung für einen anderen Zweck als demjenigen, für den die Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten beruht, für die Feststellung, ob die Verarbeitung für einen anderen Zweck mit dem Zweck vereinbar ist, für den die personenbezogenen Daten ursprünglich erhoben wurden, u. a. zu berücksichtigen, erstens ob ein Zusammenhang zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung besteht, zweitens in welchem Kontext die personenbezogenen Daten erhoben wurden, insbesondere das Verhältnis zwischen den betroffenen Personen und dem Verantwortlichen, drittens um welche Art von personenbezogenen Daten es sich handelt, viertens welche Folgen die beabsichtigte Weiterverarbeitung für die betroffenen Personen hat und fünftens ob sowohl beim ursprünglichen als auch beim beabsichtigten Weiterverarbeitungsvorgang geeignete Garantien bestehen. 36 Wie der Generalanwalt in den Nrn. 28, 59 und 60 seiner Schlussanträge im Wesentlichen ausgeführt hat, spiegeln diese Kriterien die Notwendigkeit einer konkreten, kohärenten und ausreichend engen Verbindung zwischen dem Zweck der Datenerhebung und der Weiterverarbeitung der Daten wider und ermöglichen es, sich zu vergewissern, dass diese Weiterverarbeitung nicht von den legitimen Erwartungen der Abonnenten hinsichtlich der weiteren Verwendung ihrer Daten abweicht.“ Die vom BF angesprochene „gewisse Flexibilität zugunsten des Verantwortlichen bei der Verwaltung dieser Daten“ findet sich darin nicht, wohl aber der bereits von der belangten Behörde ihrer Prüfung zur Vereinbarkeit der Verarbeitungszwecke zugrunde gelegte Prüfungsmaßstab. Gerade zu den in Rz 35 aufgezählten Erfordernissen ließe sich dazu noch ergänzen, dass das Verhältnis zwischen der MP als betroffene Person und dem BF als Verantwortlichen bei der Datenerhebung und -verarbeitung für das Erstgutachtens noch jenes war, in welchem der BF für die eigene Versicherung tätig wurde, nach der Zweckänderung (für das Zweitgutachten) jedoch eines, in welchem der BF nun, wie bereits ausgeführt, im Auftrag der gegnerischen Partei des Zivilprozesses und von der MP Beklagten tätig wurde – dies unabhängig vom in der Beschwerde mehrfach relevierten Sorgfaltsmaßstab eines (auch privaten) Gutachters. Das betrifft gleichzeitig den Kontext, in dem die personenbezogenen Daten erhoben wurden. Hinsichtlich der Art von personenbezogenen Daten ist zu berücksichtigen, dass es sich hier um durch Art. 9 DSGVO besonders geschützte Gesundheitsdaten handelt, was eine strenge Zweckbindung bzw. Zweckänderung nur unter besonderen Voraussetzungen zulässig erscheinen lässt; bezüglich des Kriteriums der Folgen, die eine beabsichtigte Weiterverarbeitung für die betroffene Person hat, ist auf das bereits mehrfach Gesagte zu verweisen, wonach sich die MP und der Auftraggeber des Zweitgutachtens im kontradiktorischen Zivilprozess als Kläger und Beklagte gegenüberstanden.Hinsichtlich der Art von personenbezogenen Daten ist zu berücksichtigen, dass es sich hier um durch Artikel 9, DSGVO besonders geschützte Gesundheitsdaten handelt, was eine strenge Zweckbindung bzw. Zweckänderung nur unter besonderen Voraussetzungen zulässig erscheinen lässt; bezüglich des Kriteriums der Folgen, die eine beabsichtigte Weiterverarbeitung für die betroffene Person hat, ist auf das bereits mehrfach Gesagte zu verweisen, wonach sich die MP und der Auftraggeber des Zweitgutachtens im kontradiktorischen Zivilprozess als Kläger und Beklagte gegenüberstanden. Sofern die Beschwerde schließlich vorbringt, es lägen überdies Voraussetzungen des Art. 6 Abs. 1 lit. c DSVGO vor, genügt es darauf hinzuweisen, dass dieser Tatbestand keine taugliche Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten ist.Sofern die Beschwerde schließlich vorbringt, es lägen überdies Voraussetzungen des Artikel 6, Absatz eins, Litera c, DSVGO vor, genügt es darauf hinzuweisen, dass dieser Tatbestand keine taugliche Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten ist. Der erkennende Senat gelangt daher zum Ergebnis, dass der BF im Rahmen des Erstgutachtens für die X VERSICHERUNG erhobene Gesundheitsdaten der MP durch die (Weiter-)Verarbeitung für das Zweitgutachten im Auftrag der Y VERSICHERUNG wegen Unvereinbarkeit des ursprünglichen Verarbeitungszwecks mit jenem der Weiterverarbeitung in unzulässiger Weise (weiter-)verarbeitet hat. Die Verarbeitung dieser personenbezogenen Daten der MP durch den BF im Rahmen des Zweitgutachten kann auf keine gültige Rechtsgrundlage gestützt werden, womit der BF die MP in ihrem Recht auf Geheimhaltung verletzt hat.Der erkennende Senat gelangt daher zum Ergebnis, dass der BF im Rahmen des Erstgutachtens für die römisch zehn VERSICHERUNG erhobene Gesundheitsdaten der MP durch die (Weiter-)Verarbeitung für das Zweitgutachten im Auftrag der Y VERSICHERUNG wegen Unvereinbarkeit des ursprünglichen Verarbeitungszwecks mit jenem der Weiterverarbeitung in unzulässiger Weise (weiter-)verarbeitet hat. Die Verarbeitung dieser personenbezogenen Daten der MP durch den BF im Rahmen des Zweitgutachten kann auf keine gültige Rechtsgrundlage gestützt werden, womit der BF die MP in ihrem Recht auf Geheimhaltung verletzt hat. Die belangte Behörde hat der Datenschutzbeschwerde der MP daher zu Recht stattgegeben, weshalb die vorliegende (Bescheid-)Beschwerde des BF als unbegründet abzuweisen war. 3.
3. Zum Entfall der Verhandlung: § 24 Abs. 1 bis 4 VwGVG – Verhandlung – lautet:Paragraph 24, Absatz eins bis 4 VwGVG – Verhandlung – lautet:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzlichen Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen (siehe dazu insbesondere die unter A) zitierte Judikatur). Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Konkrete Rechtsfragen grundsätzlicher Bedeutung sind weder in der gegenständlichen Beschwerde vorgebracht worden noch im Verfahren vor dem Bundesverwaltungsgericht hervorgekommen.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzlichen Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen (siehe dazu insbesondere die unter A) zitierte Judikatur). Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Konkrete Rechtsfragen grundsätzlicher Bedeutung sind weder in der gegenständlichen Beschwerde vorgebracht worden noch im Verfahren vor dem Bundesverwaltungsgericht hervorgekommen. Die oben in der rechtlichen Beurteilung angeführte Judikatur des Verwaltungsgerichtshofs ist zwar zum Teil zu früheren Rechtslagen ergangen, sie ist jedoch nach Ansicht des erkennenden Gerichts auf die inhaltlich weitestgehend gleichlautenden Bestimmungen der nunmehr geltenden Rechtslage unverändert übertragbar. Es war daher insgesamt spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:BVWG:2025:W176.2285563.1.00