RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum23.03.2023 Geschäftszahl2023-0.227.168 Anfechtung beim BVwG/VwGH/VfGHGegen diesen Bescheid hat die Beschwerdegegnerin zunächst am

Artikel 15, Absatz eins, DSGVO nachzukommen.

Rechtsgrundlagen: Art. 12 Abs. 1, Abs. 2, Abs. 3 und Abs. 4, Art. 15 Abs. 1, Art. 23 Abs. 1 lit. e, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 2 Z 14, 17 Abs. 1 und Abs. 2, 24c Abs. 1, 24e Abs. 1 Z 1 sowie 27 Abs. 17 des Gesundheitstelematikgesetzes 2012 (GTelG 2012), BGBl. I Nr. 111/2012 idgF.Rechtsgrundlagen: Artikel 12, Absatz eins,, Absatz 2,, Absatz 3 und Absatz 4,, Artikel 15, Absatz eins,, Artikel 23, Absatz eins, Litera e,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f,, Artikel 58, Absatz 2, Litera c, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Paragraphen 2, Ziffer 14, 17, Absatz eins und Absatz 2, 24 c, Absatz eins, 24 e, Absatz eins, Ziffer eins, sowie 27 Absatz 17, des Gesundheitstelematikgesetzes 2012 (GTelG 2012), Bundesgesetzblatt Teil eins, Nr. 111 aus 2012, idgF. BEGRÜNDUNG A. Vorbringen der Parteien und Verfahrensgang

1. Mit verfahrenseinleitender Eingabe vom
2. Februar 2022 (ha. eingelangt am
3. Februar 2022) behauptete der Beschwerdeführer eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin nicht (fristgerecht) auf seinen diesbezüglichen Antrag vom
4. Jänner 2022 reagiert habe.
5. Die Datenschutzbehörde forderte aufgrund einer Vielzahl gleichlautender Beschwerden die Beschwerdegegnerin mit ho. Schreiben vom
6. September 2022 zur Abgabe einer Stellungnahme auf.
7. Mit Eingabe vom
8. November 2022 brachte die Beschwerdegegnerin wie folgt vor: Eingangs werde auf die fehlende Verantwortlicheneigenschaft der Beschwerdegegnerin iZm dem elektronischen Impfpass (in weiterer Folge: „e-Impfpass“) hingewiesen, da diese weder gesetzlich vorgesehen sei, noch der Beschwerdegegnerin sonstige faktische Entscheidungsbefugnisse über die Zwecke und Mittel der Verarbeitung zukommen würden. Vielmehr werde diese Entscheidung vom zuständigen Bundesminister (Anm.: Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz) getroffen, der die gesetzlichen Grundlagen für die Verarbeitungstätigkeit „e-Impfpass“ ausarbeite, den Beschluss im Nationalrat einbringe, in den entsprechenden Gremien – insbesondere in jenen der Beschwerdegegnerin – die Entwicklung vorgebe sowie den e-Impfpass mehrheitlich finanziere. Im Ergebnis bedeute dies „ohne Gesundheitsminister, kein e-Impfpass“. Dass fallgegenständlich überhaupt eine Diskussion über die Verantwortlicheneigenschaft geführt werde, liege einzig und alleine an der Öffnungsklausel des Art. 4 Z 7 DSGVO. Es stelle sich in diesem Zusammenhang allerdings die Frage, ob eine Öffnungsklausel auch eine Zuordnung „contra facta“ gestatte oder doch nur für Zweifelsfälle anwendbar sei. Die entsprechenden Leitlinien des Europäischen Datenschutzausschusses würden jedenfalls nahelegen, dass völlig konträre Lebenssachverhalte nicht durch Legaldefinitionen „zurechtgebogen“ werden dürfen. Der Europäische Datenschutzausschuss führe weiters aus, dass, sofern der Verantwortliche vom Gesetz explizit bestimmt sei, dies für die Bestimmung der Verantwortlichkeit maßgeblich sei. Dies setze jedoch voraus, dass der Gesetzgeber diejenige Stelle als Verantwortlichen bestimme, welcher die Möglichkeit zur „echten“ Kontrollausübung offenstehe. Dass die Beschwerdegegnerin dazu nicht in der Lage sei, zeige sich etwa an deren fehlenden (spezifischen) Zugriffsberechtigung in § 24f Abs. 4 GTelG 2012, die der Beschwerdegegnerin nicht einmal die Wahrnehmung der – streitgegenständlichen – Betroffenenrechte erlauben würde (Verweis auf den Bescheid der Datenschutzbehörde vom
9. September 2022, GZ: 2022-0.347.251), an der Weisungsgebundenheit der Beschwerdegegnerin gegenüber ihren Eigentümern, an der faktischen Erteilung zahlreicher Aufträge und Vorgaben an die Beschwerdegegnerin betreffend Verarbeitungstätigkeiten iZm dem e-Impfpass sowie an der kontinuierlichen Anpassung der gesetzlichen Grundlagen durch den zuständigen Bundesminister. Wie bereits ausgeführt, komme der Beschwerdegegnerin auch keine Budgethoheit zu. Außerdem habe der zuständige Bundesminister öffentlich klargestellt, dass die Einleitung eines Verfahrens gemäß Art. 36 DSGVO – damals im Zusammenhang mit dem mittlerweile aufgehobenen COVID-19-Impfpflichtgesetz – nicht zu den Aufgaben der Geschäftsführung der Beschwerdegegnerin gehöre, obwohl die Einleitung eines solchen Verfahrens dem Verantwortlichen obliege. Die Beschwerdegegnerin habe auch kein genuines Interesse an dieser Verarbeitungstätigkeit. Das Interesse beschränke sich vielmehr auf die entgeltliche Abwicklung von Aufträgen, die seitens ihrer Eigentümer oder anderer öffentlichen Stellen vergeben werde. Auch die Datenschutzbehörde habe in ihrer Entscheidung vom
10. Oktober 2022 festgehalten, dass die Beschwerdegegnerin nicht Verantwortliche der Verarbeitungstätigkeit „e-Impfpass“ und folglich keine Passivlegitimation vorgelegen sei. Außerdem werde auf die bereits zum Ministerialentwurf betreffend das Bundesgesetz, mit dem das Epidemiegesetz 1950 und das COVID-19-Maßnahmengesetz geändert werden, ergangene Stellungnahme der Beschwerdegegnerin verwiesen, im Rahmen derer ausführlich dargelegt worden sei, dass die „Pilotphase“ des zentralen Impfregisters bereits abgelaufen und ab diesem Zeitpunkt der zuständige Bundesminister Verantwortlicher sei. Davon abgesehen, mangle es auch an der Passivlegitimation für die Ausübung von Betroffenenrechten. Gemäß § 24e Abs. 1 Z 1 GTelG 2012 stehe betroffenen Personen das Recht auf Auskunft ausschließlich schriftlich gegenüber der „ELGA-Ombudsstelle“ oder elektronisch im Wege des Zugangsportals zu. Selbst wenn die Beschwerdegegnerin Verantwortliche sein sollte, wäre die zusätzliche Inanspruchnahme der Beschwerdegegnerin für sämtliche Betroffenenrechte gemäß Kapitel III DSGVO – insbesondere durch § 24e Abs. 1 Z 1 GTelG 2012 – ausgeschlossen, wie auch die einschlägigen parlamentarischen Materialien belegen würden.Eingangs werde auf die fehlende Verantwortlicheneigenschaft der Beschwerdegegnerin iZm dem elektronischen Impfpass (in weiterer Folge: „e-Impfpass“) hingewiesen, da diese weder gesetzlich vorgesehen sei, noch der Beschwerdegegnerin sonstige faktische Entscheidungsbefugnisse über die Zwecke und Mittel der Verarbeitung zukommen würden. Vielmehr werde diese Entscheidung vom zuständigen Bundesminister Anmerkung, Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz) getroffen, der die gesetzlichen Grundlagen für die Verarbeitungstätigkeit „e-Impfpass“ ausarbeite, den Beschluss im Nationalrat einbringe, in den entsprechenden Gremien – insbesondere in jenen der Beschwerdegegnerin – die Entwicklung vorgebe sowie den e-Impfpass mehrheitlich finanziere. Im Ergebnis bedeute dies „ohne Gesundheitsminister, kein e-Impfpass“. Dass fallgegenständlich überhaupt eine Diskussion über die Verantwortlicheneigenschaft geführt werde, liege einzig und alleine an der Öffnungsklausel des Artikel 4, Ziffer 7, DSGVO. Es stelle sich in diesem Zusammenhang allerdings die Frage, ob eine Öffnungsklausel auch eine Zuordnung „contra facta“ gestatte oder doch nur für Zweifelsfälle anwendbar sei. Die entsprechenden Leitlinien des Europäischen Datenschutzausschusses würden jedenfalls nahelegen, dass völlig konträre Lebenssachverhalte nicht durch Legaldefinitionen „zurechtgebogen“ werden dürfen. Der Europäische Datenschutzausschuss führe weiters aus, dass, sofern der Verantwortliche vom Gesetz explizit bestimmt sei, dies für die Bestimmung der Verantwortlichkeit maßgeblich sei. Dies setze jedoch voraus, dass der Gesetzgeber diejenige Stelle als Verantwortlichen bestimme, welcher die Möglichkeit zur „echten“ Kontrollausübung offenstehe. Dass die Beschwerdegegnerin dazu nicht in der Lage sei, zeige sich etwa an deren fehlenden (spezifischen) Zugriffsberechtigung in Paragraph 24 f, Absatz 4, GTelG 2012, die der Beschwerdegegnerin nicht einmal die Wahrnehmung der – streitgegenständlichen – Betroffenenrechte erlauben würde (Verweis auf den Bescheid der Datenschutzbehörde vom
11. September 2022, GZ: 2022-0.347.251), an der Weisungsgebundenheit der Beschwerdegegnerin gegenüber ihren Eigentümern, an der faktischen Erteilung zahlreicher Aufträge und Vorgaben an die Beschwerdegegnerin betreffend Verarbeitungstätigkeiten iZm dem e-Impfpass sowie an der kontinuierlichen Anpassung der gesetzlichen Grundlagen durch den zuständigen Bundesminister. Wie bereits ausgeführt, komme der Beschwerdegegnerin auch keine Budgethoheit zu. Außerdem habe der zuständige Bundesminister öffentlich klargestellt, dass die Einleitung eines Verfahrens gemäß Artikel 36, DSGVO – damals im Zusammenhang mit dem mittlerweile aufgehobenen COVID-19-Impfpflichtgesetz – nicht zu den Aufgaben der Geschäftsführung der Beschwerdegegnerin gehöre, obwohl die Einleitung eines solchen Verfahrens dem Verantwortlichen obliege. Die Beschwerdegegnerin habe auch kein genuines Interesse an dieser Verarbeitungstätigkeit. Das Interesse beschränke sich vielmehr auf die entgeltliche Abwicklung von Aufträgen, die seitens ihrer Eigentümer oder anderer öffentlichen Stellen vergeben werde. Auch die Datenschutzbehörde habe in ihrer Entscheidung vom
12. Oktober 2022 festgehalten, dass die Beschwerdegegnerin nicht Verantwortliche der Verarbeitungstätigkeit „e-Impfpass“ und folglich keine Passivlegitimation vorgelegen sei. Außerdem werde auf die bereits zum Ministerialentwurf betreffend das Bundesgesetz, mit dem das Epidemiegesetz 1950 und das COVID-19-Maßnahmengesetz geändert werden, ergangene Stellungnahme der Beschwerdegegnerin verwiesen, im Rahmen derer ausführlich dargelegt worden sei, dass die „Pilotphase“ des zentralen Impfregisters bereits abgelaufen und ab diesem Zeitpunkt der zuständige Bundesminister Verantwortlicher sei. Davon abgesehen, mangle es auch an der Passivlegitimation für die Ausübung von Betroffenenrechten. Gemäß Paragraph 24 e, Absatz eins, Ziffer eins, GTelG 2012 stehe betroffenen Personen das Recht auf Auskunft ausschließlich schriftlich gegenüber der „ELGA-Ombudsstelle“ oder elektronisch im Wege des Zugangsportals zu. Selbst wenn die Beschwerdegegnerin Verantwortliche sein sollte, wäre die zusätzliche Inanspruchnahme der Beschwerdegegnerin für sämtliche Betroffenenrechte gemäß Kapitel römisch drei DSGVO – insbesondere durch Paragraph 24 e, Absatz eins, Ziffer eins, GTelG 2012 – ausgeschlossen, wie auch die einschlägigen parlamentarischen Materialien belegen würden.
13. Mit Erledigung vom
14. Jänner 2023 erteilte die Datenschutzbehörde dem Beschwerdeführer zur Stellungnahme der Beschwerdegegnerin Parteiengehör.
15. Im Rahmen des erteilten Parteiengehörs gab der Beschwerdeführer keine weitere Stellungnahme mehr ab. Ein entsprechender Weiterleitungsbericht liegt dem Akt bei und es liegt keine Fehlermeldung eines Email-Servers vor. B. Beschwerdegegenstand Ausgehend vom Beschwerdevorbringen ergibt sich als Beschwerdegegenstand die Frage, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Auskunft verletzt hat, indem sie auf seinen diesbezüglichen Antrag nicht reagiert hat. C. Sachverhaltsfeststellungen
16. Bei der Beschwerdegegnerin handelt es sich um eine zur FN 338778 d eingetragene Gesellschaft mit beschränkter Haftung mit Sitz in 1200 Wien, Treustraße 35-
17. Der Unternehmenszweck ist auf die Erbringung von im Allgemeininteresse liegenden Serviceleistungen auf dem Gebiet der Daseinsvorsorge im Bereich von e-Health zur Einführung und Implementierung der elektronischen Gesundheitsakte gerichtet. Eigentümer (Gesellschafter) sind dabei Bund (vertreten durch den Bundesminister für Gesundheit), Länder sowie der Dachverband der Sozialversicherungsträger. Beweiswürdigung: Die getroffenen Feststellungen gründen auf einer amtswegigen Abfrage des Firmenbuches zur FN 338778 d sowie der Webseite www.elga.gv.at, letztmalig abgefragt durch die Datenschutzbehörde am
18. März
20. Der Beschwerdeführer hat an die Beschwerdegegnerin – unter Adressierung an die unter Punkt C.
21. genannte Adresse – am
22. Jänner 2022 ein postalisches Schreiben übermittelt, welches sich auszugsweise – soweit verfahrensrelevant – wie folgt darstellte: [Anmerkung Bearbeiter/in: Antrag auf Auskunft im Original als grafische Datei dargestellt.] Betrifft: Auskunftsbegehren gem. Art. 15 DSGVOBetrifft: Auskunftsbegehren gem. Artikel 15, DSGVO Sehr geehrte Damen und Herren! Ich beziehe mich auf meine Rechte nach der DSGVO, insbesondere Art. 15 DSGVO.Ich beziehe mich auf meine Rechte nach der DSGVO, insbesondere Artikel 15, DSGVO. Bitte bestätigen Sie mir, ob Sie mich betreffende personenbezogene Daten verarbeiten. Ich ersuche Sie um Auskunft über sämtliche personenbezogenen Daten, die Sie zu meiner Person gespeichert haben. Zudem ersuche Sie um folgende Informationen: - die Verarbeitungszwecke sowie die Kategorien personenbezogener Daten, die verarbeitet werden und, wenn die personenbezogenen Daten nicht bei mir erhoben wurden, auch alle Informationen über die Herkunft dieser Daten. - alle Vertrags·bzw. Rechtsgrundlagen, aufgrund denen diese Daten verwendet werden. - die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt bzw. übermittelt worden sind oder noch offengelegt werden, sowie die Garantien nach Art. 46 DSGVO, sofern personenbezogene Daten an ein Drittland oder internationale Organisationen übermittelt werden oder wurden.- die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt bzw. übermittelt worden sind oder noch offengelegt werden, sowie die Garantien nach Artikel 46, DSGVO, sofern personenbezogene Daten an ein Drittland oder internationale Organisationen übermittelt werden oder wurden. - das Bestehen eines Rechts auf Berichtigung und Löschung der mich betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch Sie oder eines Widerspruchsrechts gegen diese Verarbeitung. - das Bestehen eines Beschwerderechts bei der zuständigen Aufsichtsbehörde - werden Verknüpfungen mit anderen Datenbanken (auch externen) durchgeführt dann gilt das Auskunftsbegehren auch für diese Daten; das gilt auch wenn solche Verknüpfungen geplant sind. Weiters sind auch die Ergebnisse der Verknüpfungen im Detail anzuführen. - die geplante Dauer, für die die personenbezogenen Daten gespeichert werden. oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer. Beweiswürdigung: Die getroffenen Feststellungen beruhen auf der glaubhaften verfahrenseinleitenden Eingabe des Beschwerdeführers, im Rahmen dessen u.a. das genannte Schreiben in Kopie vorgelegt worden ist.
23. Das unter Punkt C.
24. genannte Schreiben ist der Beschwerdegegnerin (postalisch) zugegangen. Seitens der Beschwerdegegnerin erfolgten bis zum Abschluss des Verfahrens weder eine inhaltliche Auskunftserteilung noch sonstige Informationen oder Reaktionen gegenüber dem Beschwerdeführer. Beweiswürdigung: Die getroffenen Feststellungen beruhen auf dem glaubwürdigen Vorbringen des Beschwerdeführers, welches von der Beschwerdegegnerin zu keinem Zeitpunkt bestritten oder auf sonstige Weise in Zweifel gezogen worden ist. Insbesondere hat die Beschwerdegegnerin den Erhalt des Schreibens zu keinem Zeitpunkt bestritten. D. In rechtlicher Hinsicht folgt daraus: D.
25. Zu Spruchpunkt 1 D.1.
26. Rechtsgrundlagen Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf in Abs. 2 leg. cit. genannte Informationen.Gemäß Artikel 15, Absatz eins, DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf in Absatz 2, leg. cit. genannte Informationen. Diese Informationen sind laut Art. 12 Abs. 1 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln („Genauigkeits- und Verständlichkeitsgebot“). Der Verantwortliche erleichtert gemäß Abs. 2 leg. cit. der betroffenen Person die Ausübung ihrer Betroffenenrechte („Erleichterungsgebot“). Gemäß Abs. 3 leg. cit. ist dem Antrag – grundsätzlich – unverzüglich, in jedem Fall aber innerhalb eines Monats, zu entsprechen. Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so ist er laut Abs. 4 leg. cit. dazu verpflichtet, die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags, über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen, zu unterrichten („Reaktions- und Beschleunigungsgebot“).Diese Informationen sind laut Artikel 12, Absatz eins, DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln („Genauigkeits- und Verständlichkeitsgebot“). Der Verantwortliche erleichtert gemäß Absatz 2, leg. cit. der betroffenen Person die Ausübung ihrer Betroffenenrechte („Erleichterungsgebot“). Gemäß Absatz 3, leg. cit. ist dem Antrag – grundsätzlich – unverzüglich, in jedem Fall aber innerhalb eines Monats, zu entsprechen. Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so ist er laut Absatz 4, leg. cit. dazu verpflichtet, die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags, über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen, zu unterrichten („Reaktions- und Beschleunigungsgebot“). Gemäß § 24e Abs. 1 GTelG 2012 haben Bürger/innen das Recht, elektronisch im Wege des Zugangsportals oder schriftlich gegenüber der ELGA-Ombudsstelle Auskunft (Art. 15

Art. 23Abs.

1 lit. e DSGVO) über die sie betreffenden, im zentralen Impfregister gespeicherten Daten und Protokolldaten zu erhalten und sich die im zentralen Impfregister gespeicherten Daten selbst auszudrucken oder sich von der ELGA-Ombudsstelle ausdrucken zu lassen, wobei § 17 Abs. 2 und 4 leg. cit. Anwendung findet.Gemäß Paragraph 24 e, Absatz eins, GTelG 2012 haben Bürger/innen das Recht, elektronisch im Wege des Zugangsportals oder schriftlich gegenüber der ELGA-Ombudsstelle Auskunft (Artikel 15,

Artikel 23

, Absatz eins, Litera e, DSGVO) über die sie betreffenden, im zentralen Impfregister gespeicherten Daten und Protokolldaten zu erhalten und sich die im zentralen Impfregister gespeicherten Daten selbst auszudrucken oder sich von der ELGA-Ombudsstelle ausdrucken zu lassen, wobei Paragraph 17, Absatz 2, und 4 leg. cit. Anwendung findet. Laut § 17 Abs. 1 und Abs. 2 GTelG 2012 (sowie § 10 Abs. 1 und Abs. 3 Z 1 ELGA-VO 2015) sind die ELGA-Ombudsstellen von dem für das Gesundheitswesen zuständigen Bundesminister (durch Verordnung) einzurichten und von diesem zu betreiben. Aufgabe einer ELGA-Ombudsstelle ist insbesondere die Information, Beratung und Unterstützung betroffener Personen in Angelegenheiten im Zusammenhang mit ELGA, insbesondere bei der Durchsetzung von Teilnehmer/innen/rechten und in Angelegenheiten des Datenschutzes. In diesem Sinne hat die ELGA-Ombudsstelle als Anlaufstelle für den ELGA-Teilnehmer/die ELGA-Teilnehmerin auf Antrag binnen zwei Wochen alle Auskünfte zu erteilen, die notwendig sind, um den für die Verarbeitung seiner/ihrer Daten in ELGA Verantwortlichen (Art. 4 Z 7 DSGVO) festzustellen. Die Zuständigkeiten der Datenschutzbehörde bleiben von dieser Bestimmung unberührt.Laut Paragraph 17, Absatz eins und Absatz 2, GTelG 2012 (sowie Paragraph 10, Absatz eins und Absatz 3, Ziffer eins, ELGA-VO 2015) sind die ELGA-Ombudsstellen von dem für das Gesundheitswesen zuständigen Bundesminister (durch Verordnung) einzurichten und von diesem zu betreiben. Aufgabe einer ELGA-Ombudsstelle ist insbesondere die Information, Beratung und Unterstützung betroffener Personen in Angelegenheiten im Zusammenhang mit ELGA, insbesondere bei der Durchsetzung von Teilnehmer/innen/rechten und in Angelegenheiten des Datenschutzes. In diesem Sinne hat die ELGA-Ombudsstelle als Anlaufstelle für den ELGA-Teilnehmer/die ELGA-Teilnehmerin auf Antrag binnen zwei Wochen alle Auskünfte zu erteilen, die notwendig sind, um den für die Verarbeitung seiner/ihrer Daten in ELGA Verantwortlichen (Artikel 4, Ziffer 7, DSGVO) festzustellen. Die Zuständigkeiten der Datenschutzbehörde bleiben von dieser Bestimmung unberührt. D.1.2. Zur behaupteten Verletzung im Recht auf Auskunft Eingangs ist festzuhalten, dass es sich beim unter Punkt C.2. genannten Schreiben zweifellos um einen Antrag auf Auskunft iSv Art. 15 Abs. 1 iVm Art. 12 Abs. 3 DSGVO handelt, welcher unbestrittenermaßen in den Machtbereich der Beschwerdegegnerin gelangt – folglich dieser zugegangen – ist (vgl. zur Anwendung der „Empfangstheorie“ etwa den Bescheid der DSB vom 22. Februar 2019, GZ: DSB-D124.098/0002-DSB/2019, abrufbar im RIS).Eingangs ist festzuhalten, dass es sich beim unter Punkt C.2. genannten Schreiben zweifellos um einen Antrag auf Auskunft iSv Artikel 15, Absatz eins,

Artikel 12

, Absatz 3, DSGVO handelt, welcher unbestrittenermaßen in den Machtbereich der Beschwerdegegnerin gelangt – folglich dieser zugegangen – ist vergleiche zur Anwendung der „Empfangstheorie“ etwa den Bescheid der DSB vom

1. Februar 2019, GZ: DSB-D124.098/0002-DSB/2019, abrufbar im RIS). Wie den Feststellungen zu entnehmen ist, erfolgte seitens der Beschwerdegegnerin weder eine inhaltliche Auskunft noch eine sonstige Reaktion – insbesondere auch keine Unterrichtung über die Gründe für die Nicht-Entsprechung – sondern ist diese schlicht untätig geblieben. Die Beschwerdegegnerin führte begründend aus, dass sie aufgrund ihrer fehlenden Verantwortlicheneigenschaft iZm Verarbeitungen im elektronischen Impfpasses (im weiterer Folge: e-Impfpass) weder rechtlich verpflichtet noch – gesetzlich oder faktisch – zur Auskunftserteilung kompetent gewesen sei. Zudem beschränke § 24e Abs. 1 GTelG 2012 die Ausübungsmodalitäten des Auskunftsrechtes über die im zentralen Impfregister gespeicherten Daten auf die elektronische Abfrage im Wege des Zugangsportales bzw. schriftliche Geltendmachung gegenüber der „ELGA-Ombudsstelle“, wobei letztere nicht mit der Beschwerdegegnerin gleichzusetzen – sondern wie u.a. aus § 17 leg. cit. ersichtlich – dem zuständigen Bundesminister zuzuordnen sei.Die Beschwerdegegnerin führte begründend aus, dass sie aufgrund ihrer fehlenden Verantwortlicheneigenschaft iZm Verarbeitungen im elektronischen Impfpasses (im weiterer Folge: e-Impfpass) weder rechtlich verpflichtet noch – gesetzlich oder faktisch – zur Auskunftserteilung kompetent gewesen sei. Zudem beschränke Paragraph 24 e, Absatz eins, GTelG 2012 die Ausübungsmodalitäten des Auskunftsrechtes über die im zentralen Impfregister gespeicherten Daten auf die elektronische Abfrage im Wege des Zugangsportales bzw. schriftliche Geltendmachung gegenüber der „ELGA-Ombudsstelle“, wobei letztere nicht mit der Beschwerdegegnerin gleichzusetzen – sondern wie u.a. aus Paragraph 17, leg. cit. ersichtlich – dem zuständigen Bundesminister zuzuordnen sei. Betreffend die behauptete fehlende datenschutzrechtliche Verantwortlichkeit übersieht die Beschwerdegegnerin, dass laut den Bestimmungen der DSGVO zwischen dem „Aufkunftsverpflichteten“ – das ist diejenige Stelle, an welche das Begehren auf Auskunft gerichtet ist – und dem eigentlichen Verantwortlichen – gemäß Art. 4 Z 7 leg. cit. also jene Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet – zu unterscheiden ist.Betreffend die behauptete fehlende datenschutzrechtliche Verantwortlichkeit übersieht die Beschwerdegegnerin, dass laut den Bestimmungen der DSGVO zwischen dem „Aufkunftsverpflichteten“ – das ist diejenige Stelle, an welche das Begehren auf Auskunft gerichtet ist – und dem eigentlichen Verantwortlichen – gemäß Artikel 4, Ziffer 7, leg. cit. also jene Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet – zu unterscheiden ist. Dies ergibt sich schon alleine aus dem Umstand, dass – sowohl nach gefestigter Rechtsprechung als auch einhelliger Literatur – für den Fall, dass zur antragsstellenden Person (aktuell) keine personenbezogenen Daten verarbeitet werden, jedenfalls eine „Negativauskunft“ zu erteilen ist (vgl. etwa das Erkenntnis des BVwG vom
2. Juni 2021, GZ: W274 2240807-1, sowie Bäcker in Kühling/Buchner, Datenschutz-Grundverordnung