RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum11.11.2020 Geschäftszahl2020-0.677.015 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2020-0.677.015 vo

§ 2

Z 2, die Impfungen durchführen, das sind die mit Verordnung des Bundesministers für Gesundheit, mit der nähere Regelungen für die Gesundheitstelematik getroffen werden – Gesundheitstelematikverordnung 2013 (GTelV 2013), BGBl. II Nr. 506/2013, Anlage 1 festgelegten Rollen gemäß Teil 1 (Rollen für Personen)durch alle

Paragraph 2, Ziffer 2,, die Impfungen durchführen, das sind die mit Verordnung des Bundesministers für Gesundheit, mit der nähere Regelungen für die Gesundheitstelematik getroffen werden – Gesundheitstelematikverordnung 2013 (GTelV 2013), Bundesgesetzblatt Teil 2, Nr. 506 aus 2013,, Anlage 1 festgelegten Rollen gemäß Teil 1 (Rollen für Personen) – Z 1 (Ärztin/Arzt für Allgemeinmedizin),Ziffer eins, (Ärztin/Arzt für Allgemeinmedizin), – Z 2 (Approbierte Ärztin/Approbierter Arzt),Ziffer 2, (Approbierte Ärztin/Approbierter Arzt), – Z 3 (Fachärztin/Facharzt),Ziffer 3, (Fachärztin/Facharzt), – Z 4 (Fachärztin/Facharzt für Zahn-, Mund- und Kieferheilkunde) undZiffer 4, (Fachärztin/Facharzt für Zahn-, Mund- und Kieferheilkunde) und – Z 11 (Hebamme)Ziffer 11, (Hebamme) sowie gemäß Teil 2 (Rollen für Organisationen) – Z 1 (Allgemeine Krankenanstalt),Ziffer eins, (Allgemeine Krankenanstalt), – Z 2 (Sonderkrankenanstalt),Ziffer 2, (Sonderkrankenanstalt), – Z 3 (Pflegeanstalt),Ziffer 3, (Pflegeanstalt), – Z 4 (Sanatorium),Ziffer 4, (Sanatorium), – Z 5 (Selbstständiges Ambulatorium),Ziffer 5, (Selbstständiges Ambulatorium), – Z 6 (Ärztliche Gruppenpraxis),Ziffer 6, (Ärztliche Gruppenpraxis), – Z 8 (Straf- und Maßnahmenvollzug),Ziffer 8, (Straf- und Maßnahmenvollzug), – Z 10 (Pflegeeinrichtung),Ziffer 10, (Pflegeeinrichtung), – Z 18 (Arbeitsmedizinisches Zentrum) undZiffer 18, (Arbeitsmedizinisches Zentrum) und – Z 24 (Öffentlicher Gesundheitsdienst),Ziffer 24, (Öffentlicher Gesundheitsdienst), 2. die Angaben

1. a)zum Impfstoff (Klassifikation, Handelsname, Hersteller, Zulassungsnummer, Chargennummer, Verfallsdatum, Serialisierungsnummer, Pharmazentralnummer und Anatomisch-Therapeutisch-Chemische Zuordnung),
2. b)zur verabreichten Impfung (Datum der Verabreichung, Dosierung und Dosis, angewandtes Impfschema, Impfempfehlung und Zuordnung zu Impfprogrammen),
3. c)zur Bürgerin/zum Bürger (Name, Geburtsdatum, Geschlecht, Wohnadresse, Angaben zur Erreichbarkeit, Angaben zu einer allfälligen Vertretung, Sozialversicherungsnummer, bereichsspezifisches Personenkennzeichen Gesundheit, Gemeindecode, Titerbestimmung, impfrelevante Vorerkrankungen und besondere Impfindikationen) sowie
4. d)zum impfenden bzw. speichernden Gesundheitsdiensteanbieter (Name, Rolle, Berufsadresse und Datum der Speicherung) zu speichern. Unbeschadet bestehender Pflichten zur Dokumentation auf Papier erfüllt die Speicherung dieser Angaben im zentralen Impfregister die jeweilige berufsrechtliche Dokumentationspflicht (z. B. § 51 Abs. 1 ÄrzteG 1998).zu speichern. Unbeschadet bestehender Pflichten zur Dokumentation auf Papier erfüllt die Speicherung dieser Angaben im zentralen Impfregister die jeweilige berufsrechtliche Dokumentationspflicht (z. B. Paragraph 51, Absatz eins, ÄrzteG 1998).

Z 11 Teil 1 Anlage 1 zur GTelV 2013 (Hebammen) dürfen nur solche Impfungen nachtragen und vidieren, die sie aufgrund ihrer Berufspflichten (§ 5 Abs. 4 HebG) auch verabreichen dürfen.

Ziffer 11, Teil 1 Anlage 1 zur GTelV 2013 (Hebammen) dürfen nur solche Impfungen nachtragen und vidieren, die sie aufgrund ihrer Berufspflichten (Paragraph 5, Absatz 4, HebG) auch verabreichen dürfen.

§ 4Abs.

4 oder § 4a eindeutig identifiziert wurden,die

Paragraph 4, Absatz 4, oder Paragraph 4 a, eindeutig identifiziert wurden,

1. die Vertraulichkeit (§ 6) der zu verarbeitenden Daten gewährleistet ist,die Vertraulichkeit (Paragraph 6,) der zu verarbeitenden Daten gewährleistet ist,
2. die Integrität (§ 7) der zu verarbeitenden Daten gewährleistet ist,die Integrität (Paragraph 7,) der zu verarbeitenden Daten gewährleistet ist,
3. eine spezifische Zugriffsberechtigung gemäß § 24f Abs. 4 besteht sowieeine spezifische Zugriffsberechtigung gemäß Paragraph 24 f, Absatz 4, besteht sowie
4. die Bürger/innen, soweit es sich um Zwecke gemäß Abs. 2 Z 1, Z 2, Z 5, Z 6 oder Z 7 handelt, gemäß § 18 Abs. 4 oder durch Abgleich von Daten mit dem oder Abfrage des Stammzahlenregisters gemäß § 2 Z 9 E-GovG eindeutig identifiziert wurden. Für den Abgleich von Daten mit dem Stammzahlenregister gilt § 18 Abs. 4 Z 5 sinngemäß.die Bürger/innen, soweit es sich um Zwecke gemäß Absatz 2, Ziffer eins,, Ziffer 2,, Ziffer 5,, Ziffer 6, oder Ziffer 7, handelt, gemäß Paragraph 18, Absatz 4, oder durch Abgleich von Daten mit dem oder Abfrage des Stammzahlenregisters gemäß Paragraph 2, Ziffer 9, E-GovG eindeutig identifiziert wurden. Für den Abgleich von Daten mit dem Stammzahlenregister gilt Paragraph 18, Absatz 4, Ziffer 5, sinngemäß.

§ 24cAbs. 2 Z 1 nur zur Information dienen, sowie

Impfungen in das zentrale Impfregister einzutragen, wobei diese selbsteingetragenen Impfungen als solche gekennzeichnet werden und für

Paragraph 24 c, Absatz 2, Ziffer eins, nur zur Information dienen, sowie 3. vom jeweils impfenden

§ 24cAbs. 2 Z 1 die Dokumentation von Impfungen i

Sd Art. 31 der Internationalen Gesundheitsvorschriften (IGV) im internationalen Impfausweis (Internationale Bescheinigungen über Impfungen und Impfbuch der WHO) zu verlangen.vom jeweils impfenden

Paragraph 24 c, Absatz 2, Ziffer eins, die Dokumentation von Impfungen iSd Artikel 31, der Internationalen Gesundheitsvorschriften (IGV) im internationalen Impfausweis (Internationale Bescheinigungen über Impfungen und Impfbuch der WHO) zu verlangen.

§ 24cAbs.

2 Z 1Gesundheitsdiensteanbieter gemäß Paragraph 24 c, Absatz 2, Ziffer eins

1. a)zur Speicherung, Aktualisierung, Stornierung und Nachtragung der in § 24c Abs. 2 Z 2 genannten Daten im zentralen Impfregister,zur Speicherung, Aktualisierung, Stornierung und Nachtragung der in Paragraph 24 c, Absatz 2, Ziffer 2, genannten Daten im zentralen Impfregister,
2. b)auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten gemäß § 24d Abs. 2 Z 1,auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten gemäß Paragraph 24 d, Absatz 2, Ziffer eins,,
3. c)auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender gemäß § 24d Abs. 2 Z 2,auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender gemäß Paragraph 24 d, Absatz 2, Ziffer 2,,
4. d)für die Abrechnung im Rahmen von Impfprogrammen gemäß § 24d Abs. 2 Z 6 und,für die Abrechnung im Rahmen von Impfprogrammen gemäß Paragraph 24 d, Absatz 2, Ziffer 6, und,
5. e)sofern es sich um den Öffentlichen Gesundheitsdienst im Sinne der Z 6 handelt, für das Krisenmanagement im Rahmen des Ausbruchsmanagements gemäß § 24d Abs. 2 Z 5,sofern es sich um den Öffentlichen Gesundheitsdienst im Sinne der Ziffer 6, handelt, für das Krisenmanagement im Rahmen des Ausbruchsmanagements gemäß Paragraph 24 d, Absatz 2, Ziffer 5,, 2. Apotheken gemäß § 1 des Apothekengesetzes, RGBl. Nr. 5/1907Apotheken gemäß Paragraph eins, des Apothekengesetzes, RGBl. Nr. 5/1907
6. a)auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten gemäß § 24d Abs. 2 Z 1 undauf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten gemäß Paragraph 24 d, Absatz 2, Ziffer eins, und
7. b)auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender gemäß § 24d Abs. 2 Z 2,auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender gemäß Paragraph 24 d, Absatz 2, Ziffer 2,, 3. gesetzliche oder bevollmächtigte Vertreter/innen zur Wahrnehmung der Rechte der Bürger/innen gemäß § 24e Abs. 1,gesetzliche oder bevollmächtigte Vertreter/innen zur Wahrnehmung der Rechte der Bürger/innen gemäß Paragraph 24 e, Absatz eins,, 4. Mitarbeiter/innen der ELGA-Ombudsstelle zur Wahrnehmung der Rechte der Bürger/innen gemäß § 24e Abs. 1 Z 1,Mitarbeiter/innen der ELGA-Ombudsstelle zur Wahrnehmung der Rechte der Bürger/innen gemäß Paragraph 24 e, Absatz eins, Ziffer eins,, 5. der für das Gesundheitswesen zuständige Bundesminister für das bundesweite Krisenmanagement gemäß § 24d Abs. 2 Z 5,der für das Gesundheitswesen zuständige Bundesminister für das bundesweite Krisenmanagement gemäß Paragraph 24 d, Absatz 2, Ziffer 5,, 6. der Landeshauptmann und die Bezirksverwaltungsbehörden in ihrem jeweiligen gesetzlichen Wirkungsbereich
8. a)für das Krisenmanagement gemäß § 24d Abs. 2 Z 5 undfür das Krisenmanagement gemäß Paragraph 24 d, Absatz 2, Ziffer 5, und
9. b)für die Abrechnung im Rahmen von Impfprogrammen gemäß § 24d Abs. 2 Z 6 sowiefür die Abrechnung im Rahmen von Impfprogrammen gemäß Paragraph 24 d, Absatz 2, Ziffer 6, sowie 7. die Bezirksverwaltungsbehörden zur Aktualisierung oder Stornierung von im zentralen Impfregister gespeicherten Daten gemäß § 24c Abs. 3.die Bezirksverwaltungsbehörden zur Aktualisierung oder Stornierung von im zentralen Impfregister gespeicherten Daten gemäß Paragraph 24 c, Absatz 3,

§ 24aals Verantwortliche (Art.

4 Z 7 DSGVO) tätig werden, die Details dieser Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO, sowiesofern Auftragsverarbeiter (Artikel 4, Ziffer 8, DSGVO) der

Paragraph 24 a, als Verantwortliche (Artikel 4, Ziffer 7, DSGVO) tätig werden, die Details dieser Auftragsverarbeitung gemäß Artikel 28, Absatz 3, DSGVO, sowie 2. für die eHealth-Anwendung „Elektronischer Impfpass“ (§§ 24b ff)für die eHealth-Anwendung „Elektronischer Impfpass“ (Paragraphen 24 b,

1. ff)
2. a)die Standards für Inhalt, Struktur, Format und Terminologien, die für
3. aa)die gemäß § 24c Abs. 2 Z 2 im zentralen Impfregister zu speichernden Angaben unddie gemäß Paragraph 24 c, Absatz 2, Ziffer 2, im zentralen Impfregister zu speichernden Angaben und
4. bb)die in der zusammenfassenden Darstellung gemäß § 24d Abs. 2 Z 1 ersichtlichen Datendie in der zusammenfassenden Darstellung gemäß Paragraph 24 d, Absatz 2, Ziffer eins, ersichtlichen Daten im Rahmen dieser Anwendung zu verwenden sind, wobei international anerkannte Standards, die wirtschaftliche Vertretbarkeit sowie der Stand der technischen Möglichkeiten hinsichtlich des Detaillierungsgrades der Strukturen bei den jeweiligen Gesundheitsdiensteanbietern zu berücksichtigen sind,
5. b)den jeweiligen Zeitpunkt, ab dem die technisch-organisatorischen Spezifikationen gemäß lit. a jedenfalls anzuwenden sind,den jeweiligen Zeitpunkt, ab dem die technisch-organisatorischen Spezifikationen gemäß Litera a, jedenfalls anzuwenden sind,
6. c)den jeweiligen Zeitpunkt, ab dem die Angaben gemäß § 24c Abs. 2 Z 2 von den betreffenden Gesundheitsdiensteanbietern zu speichern, zu aktualisieren sowie zu stornieren sind und diese für die in § 24d Abs. 2 genannten Zwecke verarbeitet werden dürfen, wobei der Beginn funktional, regional, zeitlich und nach Rollen gestaffelt erfolgen kann,den jeweiligen Zeitpunkt, ab dem die Angaben gemäß Paragraph 24 c, Absatz 2, Ziffer 2, von den betreffenden Gesundheitsdiensteanbietern zu speichern, zu aktualisieren sowie zu stornieren sind und diese für die in Paragraph 24 d, Absatz 2, genannten Zwecke verarbeitet werden dürfen, wobei der Beginn funktional, regional, zeitlich und nach Rollen gestaffelt erfolgen kann,
7. d)allenfalls andere, weniger oder weitere gemäß § 24c Abs. 2 Z 1 zur Speicherung im zentralen Impfregister verpflichtete Gesundheitsdiensteanbieter und spezifische Zugriffsberechtigungen von Gesundheitsdiensteanbietern gemäß § 24f Abs. 4 sowieallenfalls andere, weniger oder weitere gemäß Paragraph 24 c, Absatz 2, Ziffer eins, zur Speicherung im zentralen Impfregister verpflichtete Gesundheitsdiensteanbieter und spezifische Zugriffsberechtigungen von Gesundheitsdiensteanbietern gemäß Paragraph 24 f, Absatz 4, sowie
8. e)allenfalls andere, weniger oder weitere gemäß § 24c Abs. 2 Z 2 im zentralen Impfregister zu speichernde Detaildatenarten,allenfalls andere, weniger oder weitere gemäß Paragraph 24 c, Absatz 2, Ziffer 2, im zentralen Impfregister zu speichernde Detaildatenarten,
9. f)allenfalls einen oder mehrere Auftragsverarbeiter (Art. 4 Z 8 DSGVO) gemäß § 24c Abs. 1 und 3a,allenfalls einen oder mehrere Auftragsverarbeiter (Artikel 4, Ziffer 8, DSGVO) gemäß Paragraph 24 c, Absatz eins und 3 a,
10. g)sofern Auftragsverarbeiter (Art. 4 Z 8 DSGVO) der

§ 24cAbs.

3 in Verbindung mit Abs. 3a tätig werden, die Details dieser Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO für die Speicherung, Aktualisierung, Stornierung und Nachtragung der Angaben gemäß § 24c Abs. 2 Z 2 im zentralen Impfregister,sofern Auftragsverarbeiter (Artikel 4, Ziffer 8, DSGVO) der

Paragraph 24 c, Absatz 3, in Verbindung mit Absatz 3 a, tätig werden, die Details dieser Auftragsverarbeitung gemäß Artikel 28, Absatz 3, DSGVO für die Speicherung, Aktualisierung, Stornierung und Nachtragung der Angaben gemäß Paragraph 24 c, Absatz 2, Ziffer 2, im zentralen Impfregister,

1. h)für die Pilotierung
2. aa)den Zeitpunkt, ab dem die Angaben gemäß § 24c Abs. 2 Z 2 von den am Piloten teilnehmenden Gesundheitsdiensteanbietern zu speichern sind und diese für die in § 24d Abs. 2 genannten Zwecke verarbeitet werden dürfen undden Zeitpunkt, ab dem die Angaben gemäß Paragraph 24 c, Absatz 2, Ziffer 2, von den am Piloten teilnehmenden Gesundheitsdiensteanbietern zu speichern sind und diese für die in Paragraph 24 d, Absatz 2, genannten Zwecke verarbeitet werden dürfen und
3. bb)den Zeitpunkt, ab dem die technisch-organisatorischen Spezifikationen gemäß lit. a. anzuwenden sind,den Zeitpunkt, ab dem die technisch-organisatorischen Spezifikationen gemäß Litera a, anzuwenden sind,
4. cc)die Verpflichtung der ELGA GmbH, die Portierung gemäß § 27 Abs. 17 direkt an allfällige Auftragsverarbeiter gemäß § 24c Abs. 1 und 3a vorzunehmen und dabei sicherzustellen, dass ein reibungsloser Wechsel des Auftragsverarbeiters für die am Piloten teilnehmenden Gesundheitsdiensteanbieter erfolgt,die Verpflichtung der ELGA GmbH, die Portierung gemäß Paragraph 27, Absatz 17, direkt an allfällige Auftragsverarbeiter gemäß Paragraph 24 c, Absatz eins und 3 a vorzunehmen und dabei sicherzustellen, dass ein reibungsloser Wechsel des Auftragsverarbeiters für die am Piloten teilnehmenden Gesundheitsdiensteanbieter erfolgt,
5. i)den Zeitpunkt, ab dem die Selbsteintragung von Impfungen in das zentrale Impfregister gemäß § 24e Abs. 1 Z 2 möglich ist sowieden Zeitpunkt, ab dem die Selbsteintragung von Impfungen in das zentrale Impfregister gemäß Paragraph 24 e, Absatz eins, Ziffer 2, möglich ist sowie
6. j)die Details der gemeinsamen Verantwortlichkeit gemäß § 24c Abs. 3a und allenfalls gemäß § 27 Abs. 17 letzter Satz.die Details der gemeinsamen Verantwortlichkeit gemäß Paragraph 24 c, Absatz 3 a und allenfalls gemäß Paragraph 27, Absatz 17, letzter Satz. D. In rechtlicher Hinsicht folgt daraus: 1. Anforderung an Rechtsgrundlagen 1.1. Nach ständiger Rechtsprechung des EuGH müssen Regelungen, die in die Rechte nach Art. 7 (Achtung des Privat und Familienlebens) oder Art. 8 (Schutz personenbezogener Daten) EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung dieser Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauch sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung, ermöglichen. Das Erfordernis solcher Garantien ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (vgl. EuGH vom 6. Oktober 2015, C-362-14, Rz. 91 mwN). 1.1. Nach ständiger Rechtsprechung des EuGH müssen Regelungen, die in die Rechte nach Artikel 7, (Achtung des Privat und Familienlebens) oder Artikel 8, (Schutz personenbezogener Daten) EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung dieser Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauch sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung, ermöglichen. Das Erfordernis solcher Garantien ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht vergleiche EuGH vom 6. Oktober 2015, C-362-14, Rz. 91 mwN). Diese Garantien sind umso wichtiger, wenn Daten automationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt (vgl. EuGH vom 6. Oktober 2020, verb. Rs C-511/18, C-512/18 und C-520/18, Rz 132).Diese Garantien sind umso wichtiger, wenn Daten automationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt vergleiche EuGH vom 6. Oktober 2020, verb. Rs C-511/18, C-512/18 und C-520/18, Rz 132). Bei den im zentralen Impfregister zu verarbeitenden Daten handelt es sich zweifelsfrei um Gesundheitsdaten nach Art. 4 Z 15 DSGVO, sohin um „sensible Daten“ im Sinne des Art. 9 Abs. 1, deren Verarbeitung sich nach Art. 9 Abs. 2 DSGVO richtet.Bei den im zentralen Impfregister zu verarbeitenden Daten handelt es sich zweifelsfrei um Gesundheitsdaten nach Artikel 4, Ziffer 15, DSGVO, sohin um „sensible Daten“ im Sinne des Artikel 9, Absatz eins,, deren Verarbeitung sich nach Artikel 9, Absatz 2, DSGVO richtet. Auch der ständigen Rechtsprechung des Verfassungsgerichtshofes zur Qualität einer Eingriffsnorm im Sinne des § 1 Abs. 2 DSG ist zu entnehmen, dass diese bestimmte Anforderungen zu erfüllen hat (vgl. dazu zuletzt die Erkenntnisse vom 11. Dezember 2019, G 72/2019 u.a, und vom 12. Dezember 2019, G 164/2019 u.a.).Auch der ständigen Rechtsprechung des Verfassungsgerichtshofes zur Qualität einer Eingriffsnorm im Sinne des Paragraph eins, Absatz 2, DSG ist zu entnehmen, dass diese bestimmte Anforderungen zu erfüllen hat vergleiche dazu zuletzt die Erkenntnisse vom 11. Dezember 2019, G 72 aus 2019, u.a, und vom 12. Dezember 2019, G 164 aus 2019, u.a.). Die Datenschutzbehörde stellt ausdrücklich klar, dass es nicht (Anmerkung Bearbeiter/in: im Original aufgrund eines offensichtlichen Redaktionsversehens: „weder“) ihre Aufgabe ist – und auch von ihrer Kompetenz nicht erfasst ist –, abschließend festzustellen, ob die angegebenen Bestimmungen im Widerspruch zu § 1 Abs. 2 DSG bzw. Art. 8 EU-GRC stehen.Die Datenschutzbehörde stellt ausdrücklich klar, dass es nicht (Anmerkung Bearbeiter/in: im Original aufgrund eines offensichtlichen Redaktionsversehens: „weder“) ihre Aufgabe ist – und auch von ihrer Kompetenz nicht erfasst ist –, abschließend festzustellen, ob die angegebenen Bestimmungen im Widerspruch zu Paragraph eins, Absatz 2, DSG bzw. Artikel 8, EU-GRC stehen. Jedoch kann die Datenschutzbehörde im Rahmen eines amtswegigen Prüfverfahrens prüfen, ob eine geplante – aber noch nicht realisierte – Datenverarbeitung voraussichtlich Deckung in den Vorgaben der DSGVO und Art. 8 EU-GRC findet, weil ansonsten die Abhilfebefugnis nach Art. 58 Abs. 2 lit. a keinen Anwendungsbereich hätte. Ist eine geplante Datenverarbeitung gesetzlich festgelegt, muss diese Prüfkompetenz auch die gesetzlichen Grundlagen, auf welchen eine Datenverarbeitung fußen soll, einbeziehen.Jedoch kann die Datenschutzbehörde im Rahmen eines amtswegigen Prüfverfahrens prüfen, ob eine geplante – aber noch nicht realisierte – Datenverarbeitung voraussichtlich Deckung in den Vorgaben der DSGVO und Artikel 8, EU-GRC findet, weil ansonsten die Abhilfebefugnis nach Artikel 58, Absatz 2, Litera a, keinen Anwendungsbereich hätte. Ist eine geplante Datenverarbeitung gesetzlich festgelegt, muss diese Prüfkompetenz auch die gesetzlichen Grundlagen, auf welchen eine Datenverarbeitung fußen soll, einbeziehen. Ungeachtet dessen wäre die Datenschutzbehörde verpflichtet, innerstaatliche Regelungen, die in einem offenkundigen Widerspruch zum Unionsrecht stehen, im Konfliktfall unangewendet zu lassen. Es gilt der Grundsatz des Vorrangs des Unionsrechts gegenüber nationalem Recht (Anwendungsvorrang). Besondere Bedeutung hat dieser dort, wo unmittelbar anwendbares Unionsrecht – wie bspw. die DSGVO – auf entgegenstehendes nationales Recht trifft. Der Anwendungsvorrang bedeutet, dass im Konfliktfalle der Regel des (unmittelbar anwendbaren) Unionsrechts, nicht jener des österreichischen Rechts zu folgen ist (vgl. VfSlg. 15.448/1999, 19.661/2012 mwN; Mayer/Kucsko-Stadlmayer/Stöger, Bundesverfassungsrecht11 [2015] Rz 246/9). Es gilt der Grundsatz des Vorrangs des Unionsrechts gegenüber nationalem Recht (Anwendungsvorrang). Besondere Bedeutung hat dieser dort, wo unmittelbar anwendbares Unionsrecht – wie bspw. die DSGVO – auf entgegenstehendes nationales Recht trifft. Der Anwendungsvorrang bedeutet, dass im Konfliktfalle der Regel des (unmittelbar anwendbaren) Unionsrechts, nicht jener des österreichischen Rechts zu folgen ist vergleiche VfSlg. 15.448 aus 1999,, 19.661 aus 2012, mwN; Mayer/Kucsko-Stadlmayer/Stöger, Bundesverfassungsrecht11 [2015] Rz 246/9). Dieser Grundsatz ist von allen österreichischen Behörden zu beachten, sie haben das nationale Recht in solchen Fällen daher unangewendet zu lassen. Auf den Rang des österreichischen Rechts kommt es nicht an, Unionsrecht geht im Konfliktfall auch nationalem Verfassungsrecht vor (vgl. VfSlg. 15.427/1999; 17.347/2003; Mayer/Kucsko-Stadlmayer/Stöger, Bundesverfassungsrecht11 [2015] Rz 246/9). Dieser Grundsatz ist von allen österreichischen Behörden zu beachten, sie haben das nationale Recht in solchen Fällen daher unangewendet zu lassen. Auf den Rang des österreichischen Rechts kommt es nicht an, Unionsrecht geht im Konfliktfall auch nationalem Verfassungsrecht vor vergleiche VfSlg. 15.427 aus 1999,; 17.347 aus 2003,; Mayer/Kucsko-Stadlmayer/Stöger, Bundesverfassungsrecht11 [2015] Rz 246/9). 1.2. Der Bundesminister beruft sich in seinen Stellungnahmen darauf, dass sich die Tragweite der Eingriffe in das Grundrecht auf Datenschutz (nach § 1 DSG und Art. 8 EU-GRC) vor allem aus den Erläuterungen sowie der durchgeführten Datenschutz-Folgenabschätzung ergebe.1.2. Der Bundesminister beruft sich in seinen Stellungnahmen darauf, dass sich die Tragweite der Eingriffe in das Grundrecht auf Datenschutz (nach Paragraph eins, DSG und Artikel 8, EU-GRC) vor allem aus den Erläuterungen sowie der durchgeführten Datenschutz-Folgenabschätzung ergebe. Dem ist entgegenzuhalten, dass Erläuterungen und Datenschutz-Folgenabschätzungen – im Gegensatz zum Normtext – nicht verbindlich sind und sich die Tragweite eines Eingriffs aus dem Normtext selbst ergeben muss. Wenn nämlich zur Sinnermittlung subtile datenschutzrechtliche Kenntnisse, qualifizierte juristische Befähigung und Erfahrung und geradezu archivarischer Fleiß – v.a. durch intensives Studium von Gesetzesmaterialien und Datenschutz-Folgenabschätzungen – von Nöten ist (vgl. dazu sinngemäß VfSlg. 12.420/1990), kann nicht gesagt werden, dass sich die Auswirkungen einer geplanten Datenverarbeitung einfach nachvollziehen lassen.Dem ist entgegenzuhalten, dass Erläuterungen und Datenschutz-Folgenabschätzungen – im Gegensatz zum Normtext – nicht verbindlich sind und sich die Tragweite eines Eingriffs aus dem Normtext selbst ergeben muss. Wenn nämlich zur Sinnermittlung subtile datenschutzrechtliche Kenntnisse, qualifizierte juristische Befähigung und Erfahrung und geradezu archivarischer Fleiß – v.a. durch intensives Studium von Gesetzesmaterialien und Datenschutz-Folgenabschätzungen – von Nöten ist vergleiche dazu sinngemäß VfSlg. 12.420 aus 1990,), kann nicht gesagt werden, dass sich die Auswirkungen einer geplanten Datenverarbeitung einfach nachvollziehen lassen. Die (einfache) Nachvollziehbarkeit ist aber wiederum Voraussetzung für Betroffene, sich der Tragweite eines Eingriffs bewusst zu werden und ihre Rechte in Anspruch nehmen zu können. Dies wird bereits in Art. 5 Abs. 1 lit. a DSGVO festgelegt (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz).Die (einfache) Nachvollziehbarkeit ist aber wiederum Voraussetzung für Betroffene, sich der Tragweite eines Eingriffs bewusst zu werden und ihre Rechte in Anspruch nehmen zu können. Dies wird bereits in Artikel 5, Absatz eins, Litera a, DSGVO festgelegt (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz). Nach der Rechtsprechung des EuGH genügt es nicht, wenn eine Datenverarbeitung auf einen der in Art. 6 DSGVO – oder wie hier: Art. 9 Abs. 2 – abschließend genannten Rechtmäßigkeitstatbestände gestützt werden kann; es müssen zusätzlich alle Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 DSGVO eingehalten werden (vgl. noch zur Rechtslage nach der RL 95/46/EG das Urteil vom 11. Dezember 2019, C-708/18, Rz 36).Nach der Rechtsprechung des EuGH genügt es nicht, wenn eine Datenverarbeitung auf einen der in Artikel 6, DSGVO – oder wie hier: Artikel 9, Absatz 2, – abschließend genannten Rechtmäßigkeitstatbestände gestützt werden kann; es müssen zusätzlich alle Grundsätze für die Verarbeitung personenbezogener Daten nach Artikel 5, DSGVO eingehalten werden vergleiche noch zur Rechtslage nach der RL 95/46/EG das Urteil vom 11. Dezember 2019, C-708/18, Rz 36). Die geplanten Datenverarbeitungen nach Abschnitt 5, Unterabschnitt 2 GTelG 2012 zum elektronischen Impfpass sind daher in diesem Lichte zu prüfen. 2. Zur geplanten Datenverarbeitung im vorliegenden Fall Abschnitt 5, Unterabschnitt 2 GTelG 2012 weist nach Ansicht der Datenschutzbehörde in drei Bereichen Mängel auf, die im Ergebnis dazu führen, dass die geplanten Datenverarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen:
7. a)Zur datenschutzrechtliche Rollenverteilung
8. i)Die eindeutige und möglichst zweifelsfreie Festlegung von Verantwortlichen ist für die Ausübung von Betroffenenrechten (Kapitel III DSGVO) sowie für die Einhaltung von Pflichten (Kapitel IV DSGVO) von Relevanz.
9. i)Die eindeutige und möglichst zweifelsfreie Festlegung von Verantwortlichen ist für die Ausübung von Betroffenenrechten (Kapitel römisch drei DSGVO) sowie für die Einhaltung von Pflichten (Kapitel römisch vier DSGVO) von Relevanz. Betroffene müssen wissen, wem gegenüber sie ihre Rechte geltend machen können und Verantwortliche bzw. Auftragsverarbeiter müssen wissen, ob sie als solche in Betracht kommen, weil daran die Einhaltung von Pflichten geknüpft ist, deren Missachtung mit Geldbuße bedroht ist (Art. 83 Abs. 4 DSGVO).Betroffene müssen wissen, wem gegenüber sie ihre Rechte geltend machen können und Verantwortliche bzw. Auftragsverarbeiter müssen wissen, ob sie als solche in Betracht kommen, weil daran die Einhaltung von Pflichten geknüpft ist, deren Missachtung mit Geldbuße bedroht ist (Artikel 83, Absatz 4, DSGVO). Nach Art. 4 Z 7 DSGVO ist jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle Verantwortlicher für eine Verarbeitung, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten.Nach Artikel 4, Ziffer 7, DSGVO ist jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle Verantwortlicher für eine Verarbeitung, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Wesentliches Kriterium ist demnach die Entscheidungskomponente. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Der „Zweck“ beschreibt dabei ein erwartetes Ergebnis, während die „Mittel“ die Art und Weise festlegen, wie das erwartete Ergebnis erreicht werden soll (vgl. Art. 29-Datenschutzgruppe, Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, WP 169, noch in Bezug auf Art. 2 lit. d der RL 95/46/EG).Wesentliches Kriterium ist demnach die Entscheidungskomponente. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Der „Zweck“ beschreibt dabei ein erwartetes Ergebnis, während die „Mittel“ die Art und Weise festlegen, wie das erwartete Ergebnis erreicht werden soll vergleiche Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e,, Stellungnahme 1 aus 2010, zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, WP 169, noch in Bezug auf Artikel 2, Litera d, der RL 95/46/EG). Entscheidend für die Zuweisung der Verantwortlichkeit ist daher, wer über die wesentlichen Aspekte der Mittel der Verarbeitung entscheidet. Für die Zuschreibung der Verantwortlicheneigenschaft ist es nicht erforderlich, dass der Verantwortliche selbst Daten verarbeitet, sich im Besitz der verarbeiteten Daten befindet oder über die physische Herrschaft verfügt. Trifft er die Entscheidung, dass Daten zu verarbeiten sind, sind ihm sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw. Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane). Als Mittel sind nicht nur die technischen und organisatorischen Methoden gemeint, sondern das „Wie“ der Verarbeitung. Damit sind Entscheidungen gemeint, wie welche Daten verarbeitet werden, an wen sie übermittelt werden oder wann sie gelöscht werden. Die Verantwortung kann nach der Definition auch bei mehreren Verantwortlichen liegen. Somit können verschiedene Verantwortliche gemeinsame Entscheidungsbefugnisse haben und können geteilte rechtliche Verantwortung für eine Datenverarbeitung tragen. Bei der Ausrichtung der Definition als Verantwortlicher als jene Person oder Stelle, die über Zweck(
10. e)und Mittel der Verarbeitung entscheidet, handelt es sich um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird. Die Verantwortung kann sich zudem auch aus der faktischen Entscheidungsvorwegnahme ergeben. Trifft ein Akteur tatsächlich und faktisch die Entscheidung für die Aufnahme einer Datenverarbeitung, ist dieser als Verantwortlicher iSd DSGVO anzusehen (vgl. Hödl in Knyrim, DatKomm Art. 4 DSGVO Rz. 76ff).Entscheidend für die Zuweisung der Verantwortlichkeit ist daher, wer über die wesentlichen Aspekte der Mittel der Verarbeitung entscheidet. Für die Zuschreibung der Verantwortlicheneigenschaft ist es nicht erforderlich, dass der Verantwortliche selbst Daten verarbeitet, sich im Besitz der verarbeiteten Daten befindet oder über die physische Herrschaft verfügt. Trifft er die Entscheidung, dass Daten zu verarbeiten sind, sind ihm sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw. Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane). Als Mittel sind nicht nur die technischen und organisatorischen Methoden gemeint, sondern das „Wie“ der Verarbeitung. Damit sind Entscheidungen gemeint, wie welche Daten verarbeitet werden, an wen sie übermittelt werden oder wann sie gelöscht werden. Die Verantwortung kann nach der Definition auch bei mehreren Verantwortlichen liegen. Somit können verschiedene Verantwortliche gemeinsame Entscheidungsbefugnisse haben und können geteilte rechtliche Verantwortung für eine Datenverarbeitung tragen. Bei der Ausrichtung der Definition als Verantwortlicher als jene Person oder Stelle, die über Zweck(
11. e)und Mittel der Verarbeitung entscheidet, handelt es sich um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird. Die Verantwortung kann sich zudem auch aus der faktischen Entscheidungsvorwegnahme ergeben. Trifft ein Akteur tatsächlich und faktisch die Entscheidung für die Aufnahme einer Datenverarbeitung, ist dieser als Verantwortlicher iSd DSGVO anzusehen vergleiche Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz. 76ff).
12. ii)Aus dem (allein relevanten) Normtext ergibt sich zunächst, dass der für das Gesundheitswesen zuständige Bundesminister als Verantwortlicher gemäß Art. 4 Z 7 DSGVO die eHealth-Anwendung elektronischer Impfpass betreibt (§ 24c Abs. 1 GTelG 2012).
13. ii)Aus dem (allein relevanten) Normtext ergibt sich zunächst, dass der für das Gesundheitswesen zuständige Bundesminister als Verantwortlicher gemäß Artikel 4, Ziffer 7, DSGVO die eHealth-Anwendung elektronischer Impfpass betreibt (Paragraph 24 c, Absatz eins, GTelG 2012). In § 24c Abs. 3 leg. cit. werden sodann – in Abweichung von der vorherigen Normierung des Bundesministers als Verantwortlichen – die Gesundheitsdiensteanbieter als datenschutzrechtliche Verantwortliche für die Speicherung, Aktualisierung, Stornierung, Nachtragung und Vidierung der Daten in Bezug auf das Impfregister genannt. Außerdem kann der zuständige Bundesminister bestehende Impfdokumentation übernehmen, wobei auch bestimmte Gesundheitsdiensteanbieter Impfdaten nachträglich erfassen können (§ 24c Abs. 4 und 5 leg. cit.). In Paragraph 24 c, Absatz 3, leg. cit. werden sodann – in Abweichung von der vorherigen Normierung des Bundesministers als Verantwortlichen – die Gesundheitsdiensteanbieter als datenschutzrechtliche Verantwortliche für die Speicherung, Aktualisierung, Stornierung, Nachtragung und Vidierung der Daten in Bezug auf das Impfregister genannt. Außerdem kann der zuständige Bundesminister bestehende Impfdokumentation übernehmen, wobei auch bestimmte Gesundheitsdiensteanbieter Impfdaten nachträglich erfassen können (Paragraph 24 c, Absatz 4, und 5 leg. cit.). In § 24c Abs. 3a leg. cit. wird wiederum festgelegt, dass der für das Gesundheitswesen zuständige Bundesminister und der jeweilige Gesundheitsdiensteanbieter gemeinsam für die Verarbeitung Verantwortliche im Sinne des Art. 26 DSGVO sind. In Paragraph 24 c, Absatz 3 a, leg. cit. wird wiederum festgelegt, dass der für das Gesundheitswesen zuständige Bundesminister und der jeweilige Gesundheitsdiensteanbieter gemeinsam für die Verarbeitung Verantwortliche im Sinne des Artikel 26, DSGVO sind. Bereits diese widersprüchlichen Ausführungen zur Verantwortlicheneigenschaft sind mit dem Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO und letztlich mit der zu Art. 8 EU-GRC ergangenen Rechtsprechung des EuGH im Hinblick auf den Präzisionsgrad einer Eingriffsnorm nicht in Einklang zu bringen.Bereits diese widersprüchlichen Ausführungen zur Verantwortlicheneigenschaft sind mit dem Grundsatz der Transparenz nach Artikel 5, Absatz eins, Litera a, DSGVO und letztlich mit der zu Artikel 8, EU-GRC ergangenen Rechtsprechung des EuGH im Hinblick auf den Präzisionsgrad einer Eingriffsnorm nicht in Einklang zu bringen. Insofern verfängt auch das vom Bundesminister vorgebrachte Argument, wonach die genaue Rollenverteilung in einer gesonderten Verordnung festgelegt werden wird, nicht. Eine derartige Verordnung kann nämlich nur auf einer bereits gesetzlich – zumindest in den Grundzügen – festgelegten Rollenverteilung aufbauen und diese näher präzisieren. Ist aber bereits die gesetzlich angeordnete Rollenverteilung unklar bzw. widersprüchlich, kann dies durch eine Verordnung nicht saniert werden. iii) Der Novelle ist weiter zu entnehmen, dass auch Bezirksverwaltungsbehörden – wenngleich über Verlangen der Bürger – Verarbeitungen durchzuführen haben (§ 24c Abs. 3 iVm § 24f Abs. 4 Z 7), was eine Stellung als Verantwortlicher (oder zumindest als Auftragsverarbeiter) indiziert.iii) Der Novelle ist weiter zu entnehmen, dass auch Bezirksverwaltungsbehörden – wenngleich über Verlangen der Bürger – Verarbeitungen durchzuführen haben (Paragraph 24 c, Absatz 3, in Verbindung mit Paragraph 24 f, Absatz 4, Ziffer 7,), was eine Stellung als Verantwortlicher (oder zumindest als Auftragsverarbeiter) indiziert.
14. iv)In Bezug auf die Selbsteintragungen der Bürger in das zentrale Impfregister ist darauf hinzuweisen, dass in der gegenständlichen Konstellation Art. 2 Abs. 2 lit. c DSGVO (so genannte „Haushaltsausnahme“) nicht zur Anwendung gelangen kann:
15. iv)In Bezug auf die Selbsteintragungen der Bürger in das zentrale Impfregister ist darauf hinzuweisen, dass in der gegenständlichen Konstellation Artikel 2, Absatz 2, Litera c, DSGVO (so genannte „Haushaltsausnahme“) nicht zur Anwendung gelangen kann: Nach der ständigen Rechtsprechung des EuGH sind Ausnahmen vom Anwendungsbereich der RL 95/46/EG (nunmehr DSGVO) eng auszulegen (vgl. dazu das Urteil vom 10. Juli 2018, C-25/17, Rz 37).Nach der ständigen Rechtsprechung des EuGH sind Ausnahmen vom Anwendungsbereich der RL 95/46/EG (nunmehr DSGVO) eng auszulegen vergleiche dazu das Urteil vom 10. Juli 2018, C-25/17, Rz 37). Art. 3 Abs. 2 zweiter Gedankenstrich der RL 95/46/EG (nunmehr Art. 2 Abs. 2 lit. c DSGVO) ist demnach dahingehend auszulegen, dass er nur Tätigkeiten betrifft, die zum Privat- oder Familienleben von Privatpersonen gehören. Insofern kann eine Tätigkeit nicht als ausschließlich persönlich oder familiär im Sinne dieser Vorschrift angesehen werden, wenn sie zum Gegenstand hat, personenbezogene Daten einer unbegrenzten Zahl von Personen zugänglich zu machen, oder wenn sie sich auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten verarbeitet (siehe nochmals das Urteil vom 10. Juli 2018, Rz 42 mwN).Artikel 3, Absatz 2, zweiter Gedankenstrich der RL 95/46/EG (nunmehr Artikel 2, Absatz 2, Litera c, DSGVO) ist demnach dahingehend auszulegen, dass er nur Tätigkeiten betrifft, die zum Privat- oder Familienleben von Privatpersonen gehören. Insofern kann eine Tätigkeit nicht als ausschließlich persönlich oder familiär im Sinne dieser Vorschrift angesehen werden, wenn sie zum Gegenstand hat, personenbezogene Daten einer unbegrenzten Zahl von Personen zugänglich zu machen, oder wenn sie sich auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten verarbeitet (siehe nochmals das Urteil vom 10. Juli 2018, Rz 42 mwN). Art. 2 Abs. 2 lit. c DSGVO ist als Ausfluss des Art. 7 EU-GRC (Art. 8 EMRK) zu sehen, welcher die Privatsphäre vor Eingriffen, sei es durch den Staat, ein Unternehmen oder eine Privatperson, schützen soll. Eine Datenverarbeitung zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten bedingt, dass der Verarbeitende ausschließlich persönliche oder familiäre Zwecke verfolgt (vgl. Zukinc, Die Reichweite der Haushaltsausnahme der DS-GVO am Beispiel sozialer Online-Netzwerke und Bildaufnahmen, in Jahnel, Datenschutzrecht, Jahrbuch 2019, 61).Artikel 2, Absatz 2, Litera c, DSGVO ist als Ausfluss des Artikel 7, EU-GRC (Artikel 8, EMRK) zu sehen, welcher die Privatsphäre vor Eingriffen, sei es durch den Staat, ein Unternehmen oder eine Privatperson, schützen soll. Eine Datenverarbeitung zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten bedingt, dass der Verarbeitende ausschließlich persönliche oder familiäre Zwecke verfolgt vergleiche Zukinc, Die Reichweite der Haushaltsausnahme der DS-GVO am Beispiel sozialer Online-Netzwerke und Bildaufnahmen, in Jahnel, Datenschutzrecht, Jahrbuch 2019, 61). Mit der Novelle des GTelG 2012 soll es Bürgern ermöglicht werden, Impfungen selbst in das Impfregister einzutragen (§ 24e Abs. 1 Z 2), wobei diese Impfungen als solche gekennzeichnet werden und für

§ 24cAbs. 2 Z 1 nur zur Information dienen. Mit der Novelle des GTel

G 2012 soll es Bürgern ermöglicht werden, Impfungen selbst in das Impfregister einzutragen (Paragraph 24 e, Absatz eins, Ziffer 2,), wobei diese Impfungen als solche gekennzeichnet werden und für

Paragraph 24 c, Absatz 2, Ziffer eins, nur zur Information dienen. Eine Eintragung ist als Verarbeitung nach Art. 4 Z 2 DSGVO zu werten.Eine Eintragung ist als Verarbeitung nach Artikel 4, Ziffer 2, DSGVO zu werten. Bereits daraus erhellt, dass die Selbsteintragung – gemessen an der zitierten Rechtsprechung des EuGH – nicht ausschließlich persönliche und familiäre Zwecke verfolgt, sondern die so eingetragenen Daten auch anderen Personen (hier: Gesundheitsdiensteanbieter) zugänglich gemacht werden. Insofern ist auch in diesem Fall eine Stellung des selbsteintragenden Bürgers als Verantwortlicher nach Art. 4 Z 7 DSGVO indiziert.Insofern ist auch in diesem Fall eine Stellung des selbsteintragenden Bürgers als Verantwortlicher nach Artikel 4, Ziffer 7, DSGVO indiziert.

1. v)Im Ergebnis ist daher aus dem Normtext nicht zweifelsfrei zu entnehmen, wer Verantwortlicher bzw. Auftragsverarbeiter für welche Datenverarbeitung ist. Dies widerspricht Art. 5 Abs. 1 lit. a DSGVO.
2. v)Im Ergebnis ist daher aus dem Normtext nicht zweifelsfrei zu entnehmen, wer Verantwortlicher bzw. Auftragsverarbeiter für welche Datenverarbeitung ist. Dies widerspricht Artikel 5, Absatz eins, Litera a, DSGVO.
3. b)Betroffenenrechte
4. i)Die Rechte der betroffenen Personen werden unter „Rechte der Bürgerin/innen“ in § 24e GTelG 2012 geregelt, wobei sich Ausführungen zum Recht auf Berichtigung nach Art. 16 DSGVO außerdem in § 24c Abs. 3 leg. cit. finden. In Bezug auf die Löschung (Art. 17 DSGVO) findet sich in § 24c Abs. 3 leg. cit. der Hinweis, dass eine solche durch die Gesundheitsdiensteanbieter nicht durchgeführt werden darf.
5. i)Die Rechte der betroffenen Personen werden unter „Rechte der Bürgerin/innen“ in Paragraph 24 e, GTelG 2012 geregelt, wobei sich Ausführungen zum Recht auf Berichtigung nach Artikel 16, DSGVO außerdem in Paragraph 24 c, Absatz 3, leg. cit. finden. In Bezug auf die Löschung (Artikel 17, DSGVO) findet sich in Paragraph 24 c, Absatz 3, leg. cit. der Hinweis, dass eine solche durch die Gesundheitsdiensteanbieter nicht durchgeführt werden darf. In seiner Stellungnahme, datiert vom 13. Oktober 2020, führt der Bundesminister zur Einschränkung bzw. zum Ausschluss bestimmter Betroffenenrechte im Wesentlichen aus, dass sich ein solcher Ausschluss bereits „unmittelbar und direkt“ aus der DSGVO ergebe. Keines der Rechte aus Art. 14, 17, 18, 20 und 21 werde durch den nationalen Gesetzgeber gemäß Art 23 DSGVO beschränkt oder gar ausgeschlossen, sondern ergebe sich dieser Ausschluss aus der DSGVO. Dabei verwies der Bundesminister im Wesentlichen auf Art. 14 Abs. 5 lit. c und d, 17 Abs. 3, 18 Abs. 2, 20 Abs. 3 sowie 21 Abs. 1 Satz 2 DSGVO. In seiner Stellungnahme, datiert vom 13. Oktober 2020, führt der Bundesminister zur Einschränkung bzw. zum Ausschluss bestimmter Betroffenenrechte im Wesentlichen aus, dass sich ein solcher Ausschluss bereits „unmittelbar und direkt“ aus der DSGVO ergebe. Keines der Rechte aus Artikel 14, 17, 18, 20, und 21 werde durch den nationalen Gesetzgeber gemäß Artikel 23, DSGVO beschränkt oder gar ausgeschlossen, sondern ergebe sich dieser Ausschluss aus der DSGVO. Dabei verwies der Bundesminister im Wesentlichen auf Artikel 14, Absatz 5, Litera c und d, 17 Absatz 3, 18, Absatz 2, 20, Absatz 3, sowie 21 Absatz eins, Satz 2 DSGVO. Diesen Ausführungen kann sich die Datenschutzbehörde nicht anschließen:
6. ii)Eingangs ist festzuhalten, dass dieses Argument schon deshalb nicht verfängt, als in § 24g Abs. 3 bestimmte Betroffenenrechte ausdrücklich ausgeschlossen werden, sofern es um die statistische Auswertung geht. Eine solche ausdrückliche Einschränkung wäre nicht notwendig, wenn die DSGVO die Nichtanwendbarkeit bestimmter Rechte in bestimmten Fällen ex lege vorsehen würde.
7. ii)Eingangs ist festzuhalten, dass dieses Argument schon deshalb nicht verfängt, als in Paragraph 24 g, Absatz 3, bestimmte Betroffenenrechte ausdrücklich ausgeschlossen werden, sofern es um die statistische Auswertung geht. Eine solche ausdrückliche Einschränkung wäre nicht notwendig, wenn die DSGVO die Nichtanwendbarkeit bestimmter Rechte in bestimmten Fällen ex lege vorsehen würde. Zum Einwand des Bundesministers ist auszuführen, dass die von ihm zitierten Bestimmungen nicht bewirken, dass bestimmte Betroffenenrechte nicht zur Geltung gelangen und daher gesetzlich keiner Beschränkung bedürfen. Diese Bestimmungen dienen vielmehr dem Zweck, der Aufsichtsbehörde oder den Gerichten (vgl. dazu Art. 77 und 79 DSGVO) im Falle ihrer Befassung eine Prüfung zu ermöglichen, ob im Einzelfall einem von der DSGVO eingeräumten Recht zurecht nicht entsprochen wurde.Zum Einwand des Bundesministers ist auszuführen, dass die von ihm zitierten Bestimmungen nicht bewirken, dass bestimmte Betroffenenrechte nicht zur Geltung gelangen und daher gesetzlich keiner Beschränkung bedürfen. Diese Bestimmungen dienen vielmehr dem Zweck, der Aufsichtsbehörde oder den Gerichten vergleiche dazu Artikel 77, und 79 DSGVO) im Falle ihrer Befassung eine Prüfung zu ermöglichen, ob im Einzelfall einem von der DSGVO eingeräumten Recht zurecht nicht entsprochen wurde. Ist hingegen eine gesetzliche Beschränkung der Betroffenenrechte dahingehend beabsichtigt, dass bestimmte Rechte von vornherein keine oder nur eine eingeschränkte Anwendung finden sollen, so hat eine solche Beschränkung anhand des Art. 23 DSGVO zu erfolgen. Dieser ermöglicht es den Mitgliedstaaten und der Union, Ausnahmen von den Betroffenenrechten zu schaffen. Allerdings sind diese Einschränkungen nur durch Rechtsvorschriften im „Wege von Gesetzgebungsmaßnahmen“ möglich, die bestimmte Ziele verfolgen und einen Mindestinhalt („insbesondere gegebenenfalls“) aufweisen müssen. Aus dem Gesetzestext müssen sich Gegenstand und Reichweite der Beschränkung ergeben; darüber hinaus müssten kompensatorische Schutzmaßnahmen vorgesehen werden. Der notwendige Umfang und Detailgrad der Rechtsgrundlage hängen sodann von der Höhe des Risikos und von konkret eingeschränkten Betroffenenrecht ab (vgl. Haidinger in Knyrim, DatKomm Art. 23 DSGVO, Rz. 25).Ist hingegen eine gesetzliche Beschränkung der Betroffenenrechte dahingehend beabsichtigt, dass bestimmte Rechte von vornherein keine oder nur eine eingeschränkte Anwendung finden sollen, so hat eine solche Beschränkung anhand des Artikel 23, DSGVO zu erfolgen. Dieser ermöglicht es den Mitgliedstaaten und der Union, Ausnahmen von den Betroffenenrechten zu schaffen. Allerdings sind diese Einschränkungen nur durch Rechtsvorschriften im „Wege von Gesetzgebungsmaßnahmen“ möglich, die bestimmte Ziele verfolgen und einen Mindestinhalt („insbesondere gegebenenfalls“) aufweisen müssen. Aus dem Gesetzestext müssen sich Gegenstand und Reichweite der Beschränkung ergeben; darüber hinaus müssten kompensatorische Schutzmaßnahmen vorgesehen werden. Der notwendige Umfang und Detailgrad der Rechtsgrundlage hängen sodann von der Höhe des Risikos und von konkret eingeschränkten Betroffenenrecht ab vergleiche Haidinger in Knyrim, DatKomm Artikel 23, DSGVO, Rz. 25). iii) Ein Hinweis auf die Ausnahmetatbestände in den einzelnen Bestimmungen zu den Rechten der betroffenen Person sind nicht geeignet, einen derartigen Ausschluss zu bewirken. Dieser hätte eine klare und präzise gesetzliche Anordnung sowie ausreichende Schutzgarantien für die betroffenen Personen zu enthalten, um deren Daten gegen Missbrauch zu schützen. Da der Bundesminister als Verantwortlicher davon ausgeht, dass bestimmte Betroffenenrechte von vornherein keine Anwendung finden und folglich keiner Beschränkung bedürfen, diese Annahme aber weder im Gesetzestext noch in der DSGVO, sondern lediglich in den Erläuterungen Deckung findet, kann nicht gesagt werden, dass damit ausreichend klare und präzise Anforderungen geschaffen werden, die es durchschnittlichen Rechtsunterworfenen ermöglicht, die Tragweite der Beschränkung ihrer Rechte zu erkennen. Insofern widerspricht dies Art. 5 Abs. 1 lit. a DSGVO.Insofern widerspricht dies Artikel 5, Absatz eins, Litera a, DSGVO.
8. c)Zur Benennung von Übermittlungsempfängern im Rahmen der statistischen Auswertung § 24g Abs. 2 GTelG 2012 bestimmt, dass zur Verfolgung der in § 24b genannten Ziele die im zentralen Impfregister gespeicherten Daten mit in anderen Registern gespeicherten Daten verknüpft werden dürfen, wenn in diesen anderen Registern die Daten zur Personenidentifikation durch ein nicht rückführbar verschlüsseltes eindeutiges Personenkennzeichen ersetzt wurden.Paragraph 24 g, Absatz 2, GTelG 2012 bestimmt, dass zur Verfolgung der in Paragraph 24 b, genannten Ziele die im zentralen Impfregister gespeicherten Daten mit in anderen Registern gespeicherten Daten verknüpft werden dürfen, wenn in diesen anderen Registern die Daten zur Personenidentifikation durch ein nicht rückführbar verschlüsseltes eindeutiges Personenkennzeichen ersetzt wurden. Nach § 24g Abs. 3 leg. cit. werden die Art. 15 DSGVO (Recht auf Auskunft), 16 (Recht auf Berichtigung), 18 (Recht auf Einschränkung der Verarbeitung) und 21 (Recht auf Widerspruch) ausgeschlossen.Nach Paragraph 24 g, Absatz 3, leg. cit. werden die Artikel 15, DSGVO (Recht auf Auskunft), 16 (Recht auf Berichtigung), 18 (Recht auf Einschränkung der Verarbeitung) und 21 (Recht auf Widerspruch) ausgeschlossen. Wie aus dem Gesetzestext erhellt, ist demnach nicht beabsichtigt, mit Daten zu arbeiten, welche überhaupt keinen Personenbezug aufweisen, sondern mit pseudonymisierten Daten (vgl. dazu Art. 4 Z 5 DSGVO). Pseudonymsierte Daten unterliegen (zur Gänze) der DSGVO. Aus diesem Grund wird in § 24g Abs. 3 GTelG 2012 auch der Ausschluss bestimmter Rechte normiert, welcher nicht notwendig wäre, würde es sich nicht um personenbezogene Daten handeln.Wie aus dem Gesetzestext erhellt, ist demnach nicht beabsichtigt, mit Daten zu arbeiten, welche überhaupt keinen Personenbezug aufweisen, sondern mit pseudonymisierten Daten vergleiche dazu Artikel 4, Ziffer 5, DSGVO). Pseudonymsierte Daten unterliegen (zur Gänze) der DSGVO. Aus diesem Grund wird in Paragraph 24 g, Absatz 3, GTelG 2012 auch der Ausschluss bestimmter Rechte normiert, welcher nicht notwendig wäre, würde es sich nicht um personenbezogene Daten handeln. Der EuGH hat bereits im Urteil vom 7. Mai 2018, C-553/07, noch zur Rechtslage nach der RL 95/46/EG, festgehalten, dass dem Recht auf Auskunft insoweit eine besondere Bedeutung zukommt, als dieses Recht es einer betroffenen Person ermöglicht, sich zu vergewissern, dass ihre Daten fehlerfrei verarbeitet werden, die Verarbeitung zulässig ist, dass ihre Basisdaten richtig sind und dass sie an Empfänger gerichtet sind, die zu ihrer Verarbeitung befugt sind. Das Recht auf Auskunft dient als „Basisrecht“ auch dazu, vom Verantwortlichen die Berichtigung, Löschung oder Sperrung von Daten zu verlangen oder ihn zu verpflichten, diese Berichtigung, Löschung oder Sperrung den Dritten, an die diese Daten übermittelt worden sind, mitzuteilen, sofern sich dies nicht als unmöglich erweist und kein unverhältnismäßiger Aufwand damit verbunden ist (Rz 49 bis 51). Im vorliegenden Fall kann eine betroffene Person aufgrund der Formulierung in § 24g Abs. 2 GTelG 2012, wonach die im zentralen Impfregister zu ihrer Person verarbeiteten Daten mit „in anderen Registern“ zu ihrer Person gespeicherten Daten verknüpft und ausgewertet werden können, nicht nachvollziehen, welche konkreten anderen Register dafür in Frage kommen. Im vorliegenden Fall kann eine betroffene Person aufgrund der Formulierung in Paragraph 24 g, Absatz 2, GTelG 2012, wonach die im zentralen Impfregister zu ihrer Person verarbeiteten Daten mit „in anderen Registern“ zu ihrer Person gespeicherten Daten verknüpft und ausgewertet werden können, nicht nachvollziehen, welche konkreten anderen Register dafür in Frage kommen. Gerade in einem Fall, wo Rechte einer betroffenen Person, insbesondere das Recht auf Auskunft, beschränkt werden, kommt dem Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO eine besondere Bedeutung zu, weil betroffene Personen zumindest in Grundzügen in die Lage versetzt werden müssen zu wissen, welche konkreten anderen Register, in welchen Daten zu ihrer Person verarbeitet werden, für statistische Auswertungen herangezogen werden dürfen. Andernfalls läge es im alleinigen Ermessen desjenigen, der statistische Auswertungen durchführt, festzulegen, welche Register dafür herangezogen werden.Gerade in einem Fall, wo Rechte einer betroffenen Person, insbesondere das Recht auf Auskunft, beschränkt werden, kommt dem Grundsatz der Transparenz nach Artikel 5, Absatz eins, Litera a, DSGVO eine besondere Bedeutung zu, weil betroffene Personen zumindest in Grundzügen in die Lage versetzt werden müssen zu wissen, welche konkreten anderen Register, in welchen Daten zu ihrer Person verarbeitet werden, für statistische Auswertungen herangezogen werden dürfen. Andernfalls läge es im alleinigen Ermessen desjenigen, der statistische Auswertungen durchführt, festzulegen, welche Register dafür herangezogen werden. Insoweit widerspricht dies dem Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO, und es ist auch von einer unzulässigen Beschränkung des Grundrechts auf Datenschutz auszugehen (vgl. dazu nochmals das bereits erwähnte Erkenntnis des Verfassungsgerichtshofes vom 12. Dezember 2019, mit welchem eine ähnlich mangelhaft determinierte Bestimmung wegen Unvereinbarkeit mit § 1 Abs. 2 DSG aufgehoben wurde).Insoweit widerspricht dies dem Grundsatz der Transparenz nach Artikel 5, Absatz eins, Litera a, DSGVO, und es ist auch von einer unzulässigen Beschränkung des Grundrechts auf Datenschutz auszugehen vergleiche dazu nochmals das bereits erwähnte Erkenntnis des Verfassungsgerichtshofes vom 12. Dezember 2019, mit welchem eine ähnlich mangelhaft determinierte Bestimmung wegen Unvereinbarkeit mit Paragraph eins, Absatz 2, DSG aufgehoben wurde). 3. Zusammenfassung Die Bestimmungen zum elektronischen Impfpass werden vor allem im Hinblick auf die datenschutzrechtliche Rollenverteilung, die den Betroffenen (nicht) zustehenden Rechte sowie statistische Auswertungen den Vorgaben der DSGVO nicht gerecht. Im Ergebnis ergibt sich aus dem 5. Abschnitt, 2. Unterabschnitt des verfahrensgegenständlichen Gesetzestextes daher nicht, in welchem Ausmaß und durch wen in das Recht auf Datenschutz eingegriffen wird bzw. in welchem Ausmaß Beschränkungen erfolgen. II. Abhilfebefugnisse gemäß Art. 58 Abs. 2 DSGVOrömisch zwei. Abhilfebefugnisse gemäß Artikel 58, Absatz 2, DSGVO Die Tätigkeit der Datenschutzbehörde stützt sich auf die in Art. 57 DSGVO festgelegten Aufgaben und die damit in Art. 58 DSGVO korrespondierenden Befugnisse, wobei ihr diese Aufgaben und Befugnisse auch gegenüber obersten Organen der Vollziehung zustehen (§ 35 Abs. 2 DSG).Die Tätigkeit der Datenschutzbehörde stützt sich auf die in Artikel 57, DSGVO festgelegten Aufgaben und die damit in Artikel 58, DSGVO korrespondierenden Befugnisse, wobei ihr diese Aufgaben und Befugnisse auch gegenüber obersten Organen der Vollziehung zustehen (Paragraph 35, Absatz 2, DSG). Der Bundesminister ist gemäß § 24c Abs. 1 GTelG 2012 Verantwortlicher gemäß Art. 4 Z 7 DSGVO, sobald ein Vollbetrieb gewährleistet ist.Der Bundesminister ist gemäß Paragraph 24 c, Absatz eins, GTelG 2012 Verantwortlicher gemäß Artikel 4, Ziffer 7, DSGVO, sobald ein Vollbetrieb gewährleistet ist. Um eine wirksame Überwachung der Anwendung und Durchsetzung gewährleisten zu können, muss es der Datenschutzbehörde möglich sein, auf potentielle Verstöße gegen die DSGVO rechtzeitig aufmerksam zu machen und entsprechend zu handeln. Daher war der Verantwortliche gemäß Art. 58 Abs. 2 lit. a DSGVO zu warnen, dass die beabsichtigten Verarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen. Daher war der Verantwortliche gemäß Artikel 58, Absatz 2, Litera a, DSGVO zu warnen, dass die beabsichtigten Verarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen. Es war somit spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2020:2020.0.677.015