Gerade die EDSA-Leitlinien machen deutlich, dass eine Auftragsverarbeitung nur dann vorliegt, wenn der Dienstleister ausschließlich auf Weisung handelt und keine eigenen Zwecke verfolgt. Diese Kernvoraussetzung ist im vorliegenden Fall jedoch gerade nicht erfüllt. Vielmehr liegt eine eigene datenschutzrechtliche Entscheidungshoheit der Antragstellerin über wesentliche Aspekte der Verarbeitung vor und damit ein klarer Indikator für eine eigenständige Verantwortlichkeit.
\nDie Antragstellerin befindet sich also nicht, wie sie selbst darstellt, in einer vergleichbaren Rolle wie der Cloud-Anbieter, sondern in einer deutlich aktiveren und tiefer eingebundenen Position (siehe Daten schutzrechtliche Rollenfestlegung in der Cloud: Herausforderunge n und Sphärentheorie als Lösungsansatz von Kelderer, Anton A.). Sie nutzt die übermittelten Daten nicht lediglich zur Speicherung, sondern zu eigenständigen, teilweise medizin-produkterechtlich oder wirtschaftlich motivierten Verarbeitungszwecken. Eine solche Konstellation ist mit dem datenschutzrechtlichen Rollenverständnis eines reinen Auftragsverarbeiters unvereinbar.
\nDie Berufung auf das EDSA-Beispiel verkennt daher den entscheidenden Unterschied; Anders als beim Cloud-Anbieter liegt bei der Antragstellerin eine klare eigene Zweckverfolgung vor. Genau dies aber ist das entscheidende Kriterium, das sie, unabhängig von ihrer technischen Leistungserbringung, als datenschutzrechtlich Verantwortliche qualifiziert. Somit bestätigt gerade die von ihr angeführte EDSA-Stelle nicht ihre Rechtsauffassung, sondern widerspricht ihr in zentralen Punkten und stützt vielmehr die zutreffende rechtliche Einschätzung der Antragsgegnerin, wonach eine getrennte Verantwortlichkeit im Sinne der DSGVO vorliegt.
\n5.) Es ist zwar zutreffend, dass die bloße technische Vorgabe eines Systems für sich genommen keine Verantwortlichkeit im datenschutzrechtlichen Sinne begründet. Jedoch greift die von der Antragstellern vertretene Argumentation - wie oben bereits ausgeführt-zu kurz, da sie verkennt, dass die Antragstellerin über die tatsächliche Ausgestaltung, den Betrieb und die Weiterverwendung der erhobenen Daten entscheidet.
\nDer Verweis auf den Grundsatz der „Makroebene“ (einheitlicher Zweck) aus der Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ (Artikel-29-Datenschutzgrppe, WP 169) ist irreführend. Dieser Grundsatz bezieht sich auf Situationen, in denen eine inhaltlich und prozessual einheitliche Verarbeitung innerhalb derselben Verantwortlichkeit erfolgt. Im vorliegenden Fall bestehen jedoch zwei technisch und rechtlich getrennte Verarbeitungsketten (sog. Mikroebene) (siehe Artikel-29-Datenschutzgrppe, WP 169, S. 25). Die erste Verarbeitung erfolgt im System der Antragstellerin, das die Daten autonom erhebt, speichert und ggf. verarbeitet. Die zweite Verarbeitung setzt ein, sobald die Patientinnen zustimmen und die Antragsgegnerin die DatenDer Verweis auf den Grundsatz der „Makroebene“ (einheitlicher Zweck) aus der Stellungnahme 1 aus 2010, zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ (Artikel-29-Datenschutzgrppe, WP 169) ist irreführend.
\nDieser Grundsatz bezieht sich auf Situationen, in denen eine inhaltlich und prozessual einheitliche Verarbeitung innerhalb derselben Verantwortlichkeit erfolgt. Im vorliegenden Fall bestehen jedoch zwei technisch und rechtlich getrennte Verarbeitungsketten (sog. Mikroebene) (siehe Artikel-29-Datenschutzgrppe, WP 169, S. 25). Die erste Verarbeitung erfolgt im System der Antragstellerin, das die Daten autonom erhebt, speichert und ggf. verarbeitet. Die zweite Verarbeitung setzt ein, sobald die Patientinnen zustimmen und die Antragsgegnerin die Daten für medizinische Zwecke ausliest und in die Krankenakte integriert.
\nDiese getrennten Verarbeitungsabschnitte mit unterschiedlichen Zwecken und Verantwortlichkeiten lassen sich gerade nicht auf einen einheitlichen Makrozweck „Behandlung“ reduzieren. Auch der EDSA betont, dass eine gemeinsame oder einheitliche Verarbeitung voraussetzt, dass beide Parteien aktiv über Zweck und Mittel entscheiden ~ was im Fall der Antragsgegnerin aber erst nach Datenübernahme zutrifft.
\nRichtig ist, dass Auftragsverarbeiter nach Art. 28 Abs. 3 lit. c DSGVO zur Umsetzung technischer und organisatorischer Maßnahmen verpflichtet sind. Diese Vorschrift betrifft jedoch nur den Schutz der Verarbeitung im Rahmen einer echten Auftragsverarbeitung und sagt nichts darüber aus, ob überhaupt eine solche vorliegt.Richtig ist, dass Auftragsverarbeiter nach Artikel 28, Absatz 3, Litera c, DSGVO zur Umsetzung technischer und organisatorischer Maßnahmen verpflichtet sind. Diese Vorschrift betrifft jedoch nur den Schutz der Verarbeitung im Rahmen einer echten Auftragsverarbeitung und sagt nichts darüber aus, ob überhaupt eine solche vorliegt.
\nWenn ein Unternehmen, wie im vorliegenden Fall, selbstständig darüber entscheidet, wie das System technisch aufgebaut ist, wie lange Daten gespeichert werden, wer Zugriff hat und ob (und wie) Daten für eigene Zwecke verwendet werden, handelt es sich nicht um eine Auftragsverarbeitung, sondern um eine eigenständige Verantwortlichkeit.
\nWürde man dem Argument der Antragstellerin folgen, müssten alle Anbieter komplexer Gesundheits-IT-Lösungen, Plattformbetreiber oder Medizinprodukthersteller, die mit Gesundheitsdaten umgehen, systematisch als Auftragsverarbeiter behandelt werden - selbst wenn diese eigene Zwecke verfolgen und eigenständig handeln. Dies widerspricht nicht nur der DSGVO, sondern auch der gefestigten Praxis und den EDSA-Leitlinien 07/2020 (Rn. 30), wonach Anbieter standardisierter Dienste mit eigenen Entscheidungskompetenzen regelmäßig als Verantwortliche einzuordnen sind.Würde man dem Argument der Antragstellerin folgen, müssten alle Anbieter komplexer Gesundheits-IT-Lösungen, Plattformbetreiber oder Medizinprodukthersteller, die mit Gesundheitsdaten umgehen, systematisch als Auftragsverarbeiter behandelt werden - selbst wenn diese eigene Zwecke verfolgen und eigenständig handeln. Dies widerspricht nicht nur der DSGVO, sondern auch der gefestigten Praxis und den EDSA-Leitlinien 07 aus 2020, (Rn. 30), wonach Anbieter standardisierter Dienste mit eigenen Entscheidungskompetenzen regelmäßig als Verantwortliche einzuordnen sind.
\n6.) Zudem steht die Argumentation der Antragstellerin, sie handle ausschließlich auf Weisung der Antragsgegnerin gemäß Art. 28 DSGVO als Auftragsverarbeiterin, in einem offensichtlichen Widerspruch zur tatsächlichen Ausgestaltung ihres Handelns und der technischen Infrastruktur, die sie betreibt.6.) Zudem steht die Argumentation der Antragstellerin, sie handle ausschließlich auf Weisung der Antragsgegnerin gemäß Artikel 28, DSGVO als Auftragsverarbeiterin, in einem offensichtlichen Widerspruch zur tatsächlichen Ausgestaltung ihres Handelns und der technischen Infrastruktur, die sie betreibt.
\nAus den Ausschreibungsunterlagen geht eindeutig hervor, dass die Antragsgegnerin im Rahmen der Vergabe keine Patientinnen-Applikation beauftragt hat. Dennoch betreibt die Antragstellerin eine eigenständig entwickelte Patientinnen-Applikation, deren Nutzung weder konzeptionell noch technisch von der Antragsgegnerin veranlasst oder gesteuert wird (siehe Screenshots 1 bis 6 und Formblatt AA Patient App). Die Antragstellerin verarbeitet darin personenbezogene Daten - insbesondere Gesundheitsdaten - nicht bloß im Auftrag, sondern zu selbst gesetzten Zwecken im Rahmen ihrer eigenen Systemarchitektur. Dies wird auch daran deutlich, dass die Applikation unabhängig von einem konkreten Behandlungsauftrag zugänglich ist, solange ein kompatibles Herzrhythmusimplantat vorhanden ist (siehe Formblatt AA Patient App).
\nBeweis:
\nScreenshots 1 bis 6 und Formblatt AA Patient App Im Rahmen des Download- und Registrierungsprozesses wird klar vermittelt, dass die Nutzung der Applikation voraussetzt, dass die betroffene Person ein entsprechendes Implantat trägt und idealer weise an ein bestimmtes, herstellergebundenes Monitoring-System angebunden ist. Dabei werden die durch das Implantat erhobenen Daten mit weiteren, innerhalb der Applikation abgefragten Informationen verknüpft und verarbeitet - etwa durch die Venwendung von Patientinnen- oder internationalen Implantatausweisen bei der Anmeldung.
\nBeweis:
\nFormblatt AA Patient App Dieses Vorgehen erfüllt eindeutig die Kriterien einer eigenverantwortlichen Datenverarbeitung im Sinne des Art. 4 Z 7 DSGVO, da die Antragstellerin selbst über die Zwecke (z. B. Darstellung, Verknüpfung, Weiterleitung und Speicherung der Daten) und Mittel (z. B. eingesetzte Software, Datenformate, Speicherorte, Zugriffskonzepte) der Verarbeitung entscheidet. Die Antragstellerin agiert dabei nicht im Rahmen eines bloßen „Datenraums“, sondern als eigenständige datenschutzrechtlich Verantwortliche.Dieses Vorgehen erfüllt eindeutig die Kriterien einer eigenverantwortlichen Datenverarbeitung im Sinne des Artikel 4, Ziffer 7, DSGVO, da die Antragstellerin selbst über die Zwecke (z. B. Darstellung, Verknüpfung, Weiterleitung und Speicherung der Daten) und Mittel (z. B. eingesetzte Software, Datenformate, Speicherorte, Zugriffskonzepte) der Verarbeitung entscheidet. Die Antragstellerin agiert dabei nicht im Rahmen eines bloßen „Datenraums“, sondern als eigenständige datenschutzrechtlich Verantwortliche.
\nInsbesondere der Verweis in der Datenschutzerklärung der Patient:innen-Applikation der Antragstellerin auf die Einwilligung als Rechtsgrundlage (siehe Datenschutzerklärung für die AA Patient App Seite 2) bestätigt diese Einschätzung. Die Datenverarbeitung erfolgt auf Basis einer rechtlichen Beziehung zwischen der betroffenen Person und der Antragstelleri n - und nicht auf Grundlage eines Weisungsverhältnisses mit der Antragsgegnerin. Eine solche Konstruktion ist mit der Rolle eines Auftragsverarbeiters gemäß Art. 28 DSGVO nicht vereinbar, da dort eine eigene Auswahl der Rechtsgrundlage durch den Auftragsverarbeiter gerade ausgeschlossen ist.Insbesondere der Verweis in der Datenschutzerklärung der Patient:innen-Applikation der Antragstellerin auf die Einwilligung als Rechtsgrundlage (siehe Datenschutzerklärung für die AA Patient App Seite 2) bestätigt diese Einschätzung. Die Datenverarbeitung erfolgt auf Basis einer rechtlichen Beziehung zwischen der betroffenen Person und der Antragstelleri n - und nicht auf Grundlage eines Weisungsverhältnisses mit der Antragsgegnerin. Eine solche Konstruktion ist mit der Rolle eines Auftragsverarbeiters gemäß Artikel 28, DSGVO nicht vereinbar, da dort eine eigene Auswahl der Rechtsgrundlage durch den Auftragsverarbeiter gerade ausgeschlossen ist.
\nBeweis:
\nDatenschutzerklärung für die AA Patient App, Seite 2 7.) Die Argumentation der Antragstellerin verkennt außerdem den wesentlichen Unterschied zwischen der medizinischen Leistungserbringung durch die behandelnden Ärztinnen und der technischen Datenverarbeitung im Rahmen telemedizinischer Systeme, wie sie von der Antragstellerin betrieben werden.
\nZwar ist die medizinische Empfehlung und Behandlung (z. B. zur Implantation eines Herzschrittmachers oder zur Auswertung von Daten) den behandelnden Ärztinnen Vorbehalten. Die technische Erfassung, Übertragung, Speicherung und ggf. Verarbeitung der vom Implantat generierten Daten erfolgt jedoch vollständig unabhängig davon in einem eigenständigen technischen System, für das die Antragstellerin als Betreiberin die Verantwortung trägt Demzufolge bleiben die Ärztinnen bzw, die Antragsgegnerin für die medizinische Bewertung verantwortlich, nicht Jedoch für die Art, den Zweck oder die Mittel der Systemverarbeitung, wie z. B. Datenübertragung, Hosting, Backup, Nutzervenwaltung oder Systemlogik.
\nDie Definition telemedizinischer Dienste in der Einwilligungserklärung der Antragsgegnerin (z.B. Telemonitoring, Teletherapie) beschreibt medizinisch-unterstützende Prozesse, die jedoch aus datenschutzrechtlicher Sicht nicht mit der eigentlichen Behandlung gleichzusetzen sind. Dabei bedeutet Telemonitoring zunächst die technische Überwachung bestimmter Parameter durch ein Implantat, die automatisierte Übertragung dieser Daten und deren Speicherung. Erst in einem nachgelagerten Schritt erfolgt durch die behandelnden Ärztinnen ggf. eine Auswertung der Daten, die dann in den Behandlungsprozess einfließt.
\nDie Antragstellerin erfüllt sämtliche Kriterien eines eigenständig Verantwortlichen gemäß Art. 4 Z 7 DSGVO, indem sie Betrieb und Hosting des Datenraums selbständig betreibt, sie eigenständige Entscheidungen über die eingesetzte Technologie, Datenarchitektur und Sicherheitsmaßnahmentrifft sowie die Daten für eigene Zwecke wie interne Qualitätssicherung, Systemwartung und Verbesserung, Produktentwicklung nutzt.Die Antragstellerin erfüllt sämtliche Kriterien eines eigenständig Verantwortlichen gemäß Artikel 4, Ziffer 7, DSGVO, indem sie Betrieb und Hosting des Datenraums selbständig betreibt, sie eigenständige Entscheidungen über die eingesetzte Technologie, Datenarchitektur und Sicherheitsmaßnahmentrifft sowie die Daten für eigene Zwecke wie interne Qualitätssicherung, Systemwartung und Verbesserung, Produktentwicklung nutzt.
\nZudem besteht keine Weisungsgebundenheit gegenüber der Antragsgegnerin, was eine Voraussetzung für eine Einordnung als Auftragsverarbeiter gemäß Art. 28 DSGVO wäre.Zudem besteht keine Weisungsgebundenheit gegenüber der Antragsgegnerin, was eine Voraussetzung für eine Einordnung als Auftragsverarbeiter gemäß Artikel 28, DSGVO wäre.
\nDer Hinweis, die Daten würden \"im Auftrag der Antragsgegnerin in einem Datenraum zur Verfügung gestellt\", ist irreführend, denn die Antragstellerin entscheidet eigenständig, wie, wo und zu welchen technischen Zwecken die Daten gespeichert und mit der vom Hersteller entwickelten Software verarbeitet werden. Dies geht weit über eine bloße Hilfsfunktion hinaus und stellt eine eigenverantwortliche Datenverarbeitung dar. Auf die Entwicklung dieser Software - die auf proprietären Datenformaten des Medizinprodukteherstellers basiert - hat die Antragsgegnerin keinerlei Einfluss.
\nDass die Antragsgegnerin unmittelbare Vertragspartnerin der Patientinnen im Behandlungsverhältnis ist, ist irrelevant für die datenschutzrechtliche Verantwortlich keit im Rahmen der Systemverarbeitung. Die tatsächliche Verarbeitung der Daten in einem von der Antragstellerin betriebenen, standardisierten und abgeschotteten System erfolgt unabhängig vom ärztlichen Behandlungsverhältnis.
\n8.) Zudem liegt die Entscheidung über eine medizinischen Behandlung - etwa der Implantation eines Herzschrittmachers samt nachfolgender telemedizinischen Betreuung - bei den Patientinnen. Weder die Antragsgegnerin noch der Hersteller des Medizinprodukts entscheiden über die Durchführung der Maßnahme. Diese Selbstbestimmung der Patient:innen ist nicht nur medizinethisch geboten, sondern auch rechtlich ausdrücklich geregelt Ihre gesetzliche Verankerung findet sich unter anderem in § 9a Abs. 1 Z 2 TirKAG, der den Träger der Krankenanstalt und damit die Antragsgegnerin verpflichtet, die Ausübung dieses Entscheidungsrechts strukturell zu gewährleisten.8.) Zudem liegt die Entscheidung über eine medizinischen Behandlung - etwa der Implantation eines Herzschrittmachers samt nachfolgender telemedizinischen Betreuung - bei den Patientinnen. Weder die Antragsgegnerin noch der Hersteller des Medizinprodukts entscheiden über die Durchführung der Maßnahme. Diese Selbstbestimmung der Patient:innen ist nicht nur medizinethisch geboten, sondern auch rechtlich ausdrücklich geregelt Ihre gesetzliche Verankerung findet sich unter anderem in Paragraph 9 a, Absatz eins, Ziffer 2, TirKAG, der den Träger der Krankenanstalt und damit die Antragsgegnerin verpflichtet, die Ausübung dieses Entscheidungsrechts strukturell zu gewährleisten.
\nDiese Bestimmung verpflichtet die Träger der Krankenanstalten und damit die Antragsgegnerin ausdrücklich, sicherzustellen, dass Patientinnen ihr Recht auf Aufklärung über Behandlungsmöglichkeiten und Risiken sowie auf Zustimmung zur Behandlung und aktive Beteiligung an Entscheidungsprozessen wirksam wahrnehmen können. Es handelt sich dabei nicht um eine bloß formale Pflicht, sondern um eine konkrete Strukturverantwortung. Die Träger der Krankenanstalten und damit die Antragsgegnerin haben Rahmenbedingungen zu schaffen, die informierte und selbstbestimmte Entscheidungen ermöglichen - auch und gerade im Zusammenhang mit digitalen oder telemedizinischen Systemen.
\nDie Inanspruchnahme telemedizinischer Leistungen wie etwa Telemonitoring setzt daher eine autonome Willensentscheidung der Patientinnen voraus. Diese Entscheidung manifestiert sich datenschutzrechtlich in einer gesonderten Einwilligung gegenüber der Antragstellerin und stellt die rechtliche Grundlage für jede weitere Verarbeitung der sensiblen Gesundheitsdaten im Sinne der Art. 6 und 9 DSGVO dar.Die Inanspruchnahme telemedizinischer Leistungen wie etwa Telemonitoring setzt daher eine autonome Willensentscheidung der Patientinnen voraus. Diese Entscheidung manifestiert sich datenschutzrechtlich in einer gesonderten Einwilligung gegenüber der Antragstellerin und stellt die rechtliche Grundlage für jede weitere Verarbeitung der sensiblen Gesundheitsdaten im Sinne der Artikel 6 und 9 DSGVO dar.
\nDabei entscheiden die Patientinnen selbst, ob und in welchem Umfang ihre Gesundheitsdaten an das System der Antragstellerin übermittelt und dort verarbeitet werden. Weder die Antragsgegnerin noch die Ärztinnen verfügen über Zugriffsrechte ohne diese explizite Zustimmung. Patientinnen sind somit nicht passive Leistungsempfängerinnen, sondern aktive Gestalterinnen ihres Behandlungsprozesses - einschließlich der damit verbundenen Datenverarbeitung.
\nDie datenschutzrechtliche Verantwortung beginnt dort, wo Patient:innen personenbezogene Gesundheitsdaten an das System eines Dritten übermitteln. Für die Nutzung der Infrastruktur der Antragstellerin bedarf es einer eigenständigen datenschutzrechtlichen Einwilligung gegenüber der Antragstellerin - unabhängig von der Einwilligung in die Behandlung gegenüber der Antragsgegnerin. Es handelt sich um zwei getrennte Vorgänge, mit jeweils eigenständiger Verantwortlichkeit im Sinne von Art. 4 Z 7 DSGVO.Die datenschutzrechtliche Verantwortung beginnt dort, wo Patient:innen personenbezogene Gesundheitsdaten an das System eines Dritten übermitteln. Für die Nutzung der Infrastruktur der Antragstellerin bedarf es einer eigenständigen datenschutzrechtlichen Einwilligung gegenüber der Antragstellerin - unabhängig von der Einwilligung in die Behandlung gegenüber der Antragsgegnerin. Es handelt sich um zwei getrennte Vorgänge, mit jeweils eigenständiger Verantwortlichkeit im Sinne von Artikel 4, Ziffer 7, DSGVO.
\n9.) Ein anschauliches Beispiel für die eigenständige Verantwortlichkeit der Antragstellerin zeigt sich im Fall eines Patien:innenwechsels; Wenn ein Patient oder eine Patientin die bisherige Krankenanstalt (die Antragsgegnerin) verlässt und künftig in einer anderen Einrichtung behandelt wird, verbleiben die im Rahmen der telemedizinischen Anwendung erhobenen und gespeicherten Daten weiterhin bei der Antragstellerin. Diese ist dafür weiterhin verantwortlich, die Daten weiterhin datenschutzkonform zu verwalten, aufzubewahren oder gegebenenfalls zu löschen - unabhängig von der bisherigen oder künftigen behandelnden Einrichtung.
\nDie Antragsgegnerin hat in einem solchen Fall keinen Zugriff mehr auf die Daten. Sie trägt auch keine datenschutzrechtliche Verantwortung für deren (weitere) Verarbeitung im Datenraum der Antragstellerin. Die Kontrolle über die Daten im Datenraum der Antragstellerin liegt vollständig bei der Antragstellerin, die somit als eigenständig Verantwortliche im Sinne des Art. 4 Z 7 DSGVO handelt.Die Antragsgegnerin hat in einem solchen Fall keinen Zugriff mehr auf die Daten. Sie trägt auch keine datenschutzrechtliche Verantwortung für deren (weitere) Verarbeitung im Datenraum der Antragstellerin. Die Kontrolle über die Daten im Datenraum der Antragstellerin liegt vollständig bei der Antragstellerin, die somit als eigenständig Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO handelt.
\nHierdurch wird klar ersichtlich, dass die Antragstellerin nicht im Auftrag der Antragsgegnerin tätig wird, sondern eigenverantwortlich mit den personenbezogenen Daten umgeht und diese auf Grundlage eigener rechtlicher Verpflichtungen und technischer Verantwortlichkeit verarbeitet.
\n10.) Ein weiterer zentraler Aspekt ergibt sich aus der technischen Abhängigkeit von der Software der Antragstellerin. Ohne die spezifische Softwarelösung der Antragstellerin ist ein Auslesen, Verarbeiten oder medizinisch nutzbares Interpretieren der über das Medizinprodukt generierten Daten nicht möglich. Die reine Erhebung der Daten durch das implantierte Gerät bleibt ohne die anschließende Verarbeitung durch die proprietäre Software technisch unvollständig und medizinisch nicht verwertbar.
\nDemzufolge beginnt die datenschutzrechtlich relevante Verarbeitung durch die Antragstellerin bereits bei der Übermittlung an und Interpretation durch das System der Antragstellerin. Diese technische Notwendigkeit unterstreicht die Rolle der Antragstellerin als eigenständiger Akteur in der Datenverarbeitung und damit als eigenverantwortliche Stelle im Sinne der DSGVO.
\nZugleich wird deutlich, dass die Patientinnen nur dann eine informierte Entscheidung über die Nutzung telemedizinischer Betreuung treffen können, wenn ihnen offengelegt wird, welche technische Infrastruktur zur Datenverarbeitung eingesetzt wird, wer Zugriff auf ihre Gesundheitsdaten erhält und welche Rolle die Antragstellerin dabei spielt Auch daraus ergibt sich eine Verpflichtung zur strukturierten Aufklärung, Transparenz und Einwilligung, die der Träger der Krankenanstalt und damit die Antragsgegnerin gemäß § 9a Abs. 1 Z 2 TirKAG zu gewährleisten hat.Zugleich wird deutlich, dass die Patientinnen nur dann eine informierte Entscheidung über die Nutzung telemedizinischer Betreuung treffen können, wenn ihnen offengelegt wird, welche technische Infrastruktur zur Datenverarbeitung eingesetzt wird, wer Zugriff auf ihre Gesundheitsdaten erhält und welche Rolle die Antragstellerin dabei spielt Auch daraus ergibt sich eine Verpflichtung zur strukturierten Aufklärung, Transparenz und Einwilligung, die der Träger der Krankenanstalt und damit die Antragsgegnerin gemäß Paragraph 9 a, Absatz eins, Ziffer 2, TirKAG zu gewährleisten hat.
\n11.) Zudem geht die Sphärentheorie davon aus, dass Verantwortlichkeit im Sinne der DSGVO dort entsteht, wo Daten aus der Sphäre der betroffenen Person in die Sphäre eines anderen Akteurs übergehen und dieser eigenständig über Zwecke und Mittel der weiteren Verarbeitung entscheidet. Maßgeblich ist dabei nicht, wer die ursprüngliche Erhebung veranlasst hat, sondern wer nach dem „Sphärenwechsel“ tatsächliche Kontrolle über die Datenverarbeitung ausübt.
\nIm vorliegenden Fall bedeutet das, sobald die sensiblen Gesundheitsdaten vom Implantat an das System der Antragstellerin übertragen werden, treten diese in die Sphäre der Antragstellerin über. Dort, in der Sphäre der Antragstellerin, erfolgt die technische Aufbereitung, Speicherung und Analyse der Daten - unter ausschließlicher Kontrolle und nach internen Regeln der Antragstellerin. Die Antragsgegnerin hat auf diese Verarbeitungsprozesse keinen tatsächlichen Zugriff, keine Steuerungsmöglichkeit und regelmäßig auch keine detaillierte Kenntnis {siehe Datenschutzrechtliche Rollenfestlegung in der Cloud: Herausforderungen und Sphärentheorie als Lösungsansatz von Kelderer, Anton A.) Diese Trennung von Sphären spricht klar gegen ein (bloßes) Auftragsverarbeitungsverhältnis. Denn ein Auftragsverarbeiter verbleibt definitionsgemäß in der Sphäre des Verantwortlichen (hier der Antragsgegnerin) und ist vollständig dessen Weisungen unterworfen. Die faktische Datenhoheit und die eigenständige Entscheidungsbefugnis der Antragstellerin widersprechen jedoch diesem Rollenverständnis. Die Antragstellerin agiert nicht als bloße technische Erfüllungsgehilfin, sondern als eigen ständig Verantwortliche im Sinne des Art. 4 Z 7 DSGVO.Diese Trennung von Sphären spricht klar gegen ein (bloßes) Auftragsverarbeitungsverhältnis. Denn ein Auftragsverarbeiter verbleibt definitionsgemäß in der Sphäre des Verantwortlichen (hier der Antragsgegnerin) und ist vollständig dessen Weisungen unterworfen. Die faktische Datenhoheit und die eigenständige Entscheidungsbefugnis der Antragstellerin widersprechen jedoch diesem Rollenverständnis. Die Antragstellerin agiert nicht als bloße technische Erfüllungsgehilfin, sondern als eigen ständig Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO.
\n12.) Ein weiterer zentraler Aspekt ist, dass die von der Antragstellerin betriebene Applikation keinen Zugriff auf die vollständige Krankengeschichte der Patientinnen eröffnet, sondern ausschließlich das Auslesen behandlungsrelevante Parameter in aggregierter oder interpretierter Form ermöglicht Die Applikation verarbeitet ausschließlich telemetrisch übermittelte Daten eines spezifischen Medizinprodukts - etwa Herzfrequenz, Arrhythmien oder Batteriestatus eines Herzschrittmachers. Diese Informationen stellen keine vollständige elektronische Patient:innena kte dar und erlauben keinen Rückschluss auf frühere Diagnosen, Vorerkrankungen oder Medikationshistorien, wie sie etwa in Krankenhausinformationssystemen oder ärztlichen Dokumentationen enthalten sind.
\nDie übermittelten Informationen sind funktional begrenzt auf die aktuelle technische und medizinische Bewertung des eingesetzten Implantats. Sie dienen dem Zweck, die Funktionsfähigkeit des Geräts zu überwachen und ggf. medizinisch relevante Auffälligkeiten zeitnah zu erkennen. Es handelt sich somit um eine gezielte medizinische Teildatenverarbeitung, die keine ganzheitliche Sicht auf den Gesundheitszustand der Patientinnen ermöglicht.
\nDie Verarbeitung beschränkt sich auf einen engen Anwendungszweck, der sowohl technisch als auch inhaltlich klar definiert ist Die Applikation ist nicht als Zugangstor zu umfassenden Gesundheitsdaten zu werten, sondern als spezialisiertes Werkzeug zur Übermittlung bzw. zum Auslesen einzelner, konkret relevanter Befundwerte.
\nDie Applikation der Antragstellerin stellt keine Einsicht in die persönliche Krankengeschichte dar. Sie verarbeitet ausschließlich ausgewählte, behandlungsrelevante Ergebnisse, die sich auf das Implantat der Antragstellerin und dessen aktuelle Funktion beziehen. Diese funktionale und inhaltliche Beschränkung widerspricht der Darstellung, die Applikation ermögliche einen umfassenden Zugriff auf sensible Gesundheitsdaten - vielmehr liegt hier eine gezielte, zweckgebundene Datenübermittlung im Rahmen einer spezifischen medizinischen Nachsorge vor.
\n13.) Hier lässt sich der Vergleich mit handelsüblichen Wearables wie Pulsmessuhren ziehen. Auch diese Geräte erfassen kontinuierlich gesundheitsbezogene Daten - etwa Pulsfrequenz, Herzrhythmus oder Aktivitätsniveau - und speichern diese in einem cloudbasierten System des jeweiligen Herstellers.
\nDie Nutzerinnen selbst können die Daten auf ihrer Uhr oder App einsehen, doch eine medizinische Interpretation oder Nutzung durch behandelnde Ärztinnen erfolgt erst, wenn die betroffene Person diese Daten aktiv freigibt oder exportiert.
\nÄhnlich Verhaltes sich im medizinischen Kontext Wenn Patientinnen telemetrische Daten überein implantiertes Gerät erfassen lassen, wie es im Fall der Antragstellerin der Fall ist, werden diese zu nächst in der proprietären Software des Herstellers bzw. der Antragstellerin verarbeitet. Der behandelnden Ärztin oder dem behandelnden Arzt wird kein unmittelbarer Zugriff auf die Rohdaten gewährt, sondern lediglich ein eingeschränkter Zugang zu aufbereiteten Informationen, sofern die Patientinnen dem ausdrücklich zustimmen.
\nDadurch wird verdeutlicht, dass die primäre Datenverarbeitung in der Verantwortung der Hersteller bzw. die Antragstellerin liegt Diese entscheidet eigenständig darüber, auf welche Weise die Daten erhoben, gespeichert, verarbeitet und zugänglich gemacht werden. Daraus wird auch klar, dass der Hersteller bzw. die Antragstellerin auch datenschutzrechtlich als Verantwortlicher im Sinne der DSGVO einzuordnen ist. und zwar unabhängig davon, ob diese erhobenen Daten später in aufbereiteter Form vorbehaltlich der Einwilligung der Patientinnen mit Dritten, zum Beispiel den betreuenden Ärztinnen bei der Antragsgegnerin, geteilt werden.
\n14.) Der Abschluss der Einwilligungserklärung zwischen den Patientinnen und dem Unternehmen bzw. der Antragstellerin ist kein bloßer formeller Zusatz, sondern datenschutzrechtlich zwingend erforderlich. Dies ergibt sich insbesondere daraus, dass die Einwilligung nicht der medizinischen Behandlung dient, sondern der Verarbeitung personenbezogener Daten durch das Unternehmen bzw. die Antragstellerin im Rahmen eines eigenständigen Systems.
\nZudem erfolgt die Datenübertragung vom Implantat in das proprietäre System der Antragstellerin automatisiert und unabhängig von einer aktiven ärztlichen Handlung. Obgleich die initiale Implantation ärztlich veranlasst wird, beginnt die Verarbeitung bereits durch die Erhebung der Daten durch das medizinische Gerät und die Übertragung in das System der Antragstellerin. Im Übrigen hat die Auftrag-Antragsgegnerin, wie bereits erwähnt keinen Einfluss auf die Struktur und Funktionsweise des Systems, die Gestaltung der Datenübertragung, die Speicherung, Protokollierung und Auswertung im System der Antragstellerin.
\nDie Antragsgegnerin greift, wie in „Ziffer 5.4 der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen“ der Ausschreibung dargestellt, erst im Nachhinein auf bestimmte Daten zu, um sie mit der Krankenakte zu verknüpfen. Dieses „Auslesen“ betrifft jedoch nicht die vorgelagerte Erhebung. Speicherung und Verwaltung, für die ausschließlich die Antragstellerin zuständig ist. Damit liegt eine klassische Verarbeitungstrennung vor.
\n15.) Zusammenfassend ist daher festzuhalten, dass die Zuweisung der datenschutzrechtlichen Rolle der Antragstellerin als eigenständig Verantwortliche gemäß Art. 4 Z 7 DSGVO sachlich und rechtlich begründet ist. Sie beruht nicht auf einer willkürlichen oder künstlich konstruierten Rollenverteilung, sondern auf den objektiv feststellbaren tatsächlichen Verhältnissen und der eigenständigen Kontrolle der Antragstellerin über Zweck und Mittel der Verarbeitung im Rahmen ihres Systems.15.) Zusammenfassend ist daher festzuhalten, dass die Zuweisung der datenschutzrechtlichen Rolle der Antragstellerin als eigenständig Verantwortliche gemäß Artikel 4, Ziffer 7, DSGVO sachlich und rechtlich begründet ist. Sie beruht nicht auf einer willkürlichen oder künstlich konstruierten Rollenverteilung, sondern auf den objektiv feststellbaren tatsächlichen Verhältnissen und der eigenständigen Kontrolle der Antragstellerin über Zweck und Mittel der Verarbeitung im Rahmen ihres Systems.
\nDie von der Antragstellerin behauptete Verletzung ihrer Rechte im Zusammenhang mit dem Vergabeverfahren - insbesondere im Hinblick auf Transparenz, Gleichbehandlung, Verhältnismäßigkeit und Rechtskonformität der Ausschreibung - greift aus den oben genannten Gründen nicht.
\nDie behaupteten Vergaberechtsverstöße bestehen aus Sicht der Antragsgegnerin nicht. Die Einordnung als eigenständig Verantwortliche entspricht dem geltenden Datenschutzrecht, basiert auf objektiven Kriterien und führt nicht zu einer rechtlichen oder faktischen Benachteiligung der Antragstellerin. Die Ausschreibung ist somit datenschutzrechtlich, vergaberechtlich und wettbewerbsrechtlich nicht zu beanstanden.
\nBeweis:
\nZeuge KK, Datenschutzbeauftragter, pA der Antragsgegnerin Zeugin LL, Datenschutzkoordinatorin, pA der Antragsgegnerin Zeuge MM, Zentraleinkauf, pA der Antragsgegnerin AA Patient App Download- und Registrierungsprozess Datenschutzerklärung für die AA Patient App Screenshot Nr, 1 bis 6 Artikel-29-Datenschutzgrppe, WP 169 Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter\" in der DSGVOLeitlinien 07 aus 2020, zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter\" in der DSGVO Datenschutzrechtliche Rollenfestlegung in der Cloud; Herausforderungen und Sphärentheorie als Lösungsansatz von Kelderer, Anton A.
\nKatalog Bieterfragen und –antworten Vergabeakt (wird gesondert vorgelegt werden)
\nEs erfolgte somit eine Klaglosstellung der Antragstellerin zu diesem Punkt, weshalb es hiezu keiner weiteren Stellungnahme bedarf.
\nBeweis:
\nMM, Zentraleinkauf, pA der Antragsgegnerin Katalog Bieterfragen und -antworten Vergabeakt (wird gesondert vorgelegt werden) II. Stellungnahme zum Antrag auf Erlassung einer Einstweiligen Verfügung:römisch zwei. Stellungnahme zum Antrag auf Erlassung einer Einstweiligen Verfügung:
\nSeitens der BB wird zum vorliegenden Antrag auf Erlassung einer Einstweiligen Verfügung innerhalb offener Frist nachstehende Stellungnahme erstattet und wie folgt ausgeführt:
\nVor Erlassung einer Einstweiligen Verfügung sind gemäß § 16 Abs 1 TVNG 2018 die voraussehbaren Folgen der zu treffenden Maßnahme für alle möglicherweise geschädigten Interessen des Antragstellers, der sonstigen Bewerber und des Auftraggebers, sowie ein allfälliges besonderes öffentliches Interesse an der Fortführung des Vergabeverfahrens abzuwägen. Der Antrag auf Erlassung der Einstweiligen Verfügung ist abzuweisen, wenn diese Abwägung ein Überwiegen der nachteiligen Folgen ergibt.Vor Erlassung einer Einstweiligen Verfügung sind gemäß Paragraph 16, Absatz eins, TVNG 2018 die voraussehbaren Folgen der zu treffenden Maßnahme für alle möglicherweise geschädigten Interessen des Antragstellers, der sonstigen Bewerber und des Auftraggebers, sowie ein allfälliges besonderes öffentliches Interesse an der Fortführung des Vergabeverfahrens abzuwägen. Der Antrag auf Erlassung der Einstweiligen Verfügung ist abzuweisen, wenn diese Abwägung ein Überwiegen der nachteiligen Folgen ergibt.
\nIm gegenständlichen Fall stehen Interessen der Auftraggeberin und besondere öffentliche Interessen der Erlassung einer Einstweiligen Verfügung entgegen, weshalb diese unzulässig ist.
\nDie Erlassung einer Einstweiligen Verfügung würde im vorliegenden Fall zu einer kostenintensiven Verfahrensverzögerung führen, die aufgrund der derzeitigen wirtschaftlichen Situation (steigende Materialkosten, steigende Personalkosten) die Gefahr eines massiven Kostenanstiegs mit sich brächte.
\nIn Anbetracht der vorigen Ausführungen ist somit von einem Überwiegen der nachteiligen Folgen einer Einstweiligen Verfügung auszugehen, weshalb der Antrag auf Erlassung der Einstweiligen Verfügung abzuweisen ist.
\nBescheinigung:
\nMM, Zentraleinkauf, pA der Antragsgegnerin Vergabeakt III. Anträgerömisch drei. Anträge Unter Hinweis auf die Ausführungen unter Punkt I. und II. werden dieUnter Hinweis auf die Ausführungen unter Punkt römisch eins. und römisch zwei. werden die Anträge gestellt, das Landesverwaltungsgericht Tirol möge - den Antrag der Antragstellerin auf Erlassung einer Einstweiligen Verfügung als unzulässig zurückweisen, in eventu abweisen - den Nachprüfungsantrag mangels Rechtswidrigkeit als unzulässig zurückweisen, in eventu abweisen - den Antrag auf Ersatz der Kosten der Antragstellerin zurückweisen, in eventu abweisen Ergänzend wird darauf hingewiesen, dass sämtliche Unterlagen zum Vergabeverfahren fristgerecht mit einem gesonderten Schriftsatz eingebracht werden.“ Unter einem hat die Auftraggeberin folgende Urkunden gelegt, die zum Akt genommen und wie folgt bezeichnet wurden:
\nMit Schriftsatz der Antragstellerin vom 19.5.2025 wurde der Vergabeakt vorgelegt und dabei weitere elf Dokumente vorgelegt, welche wie folgt bezeichnet wurden: ● Gesprächsprotokoll zu Datenschutz vom 28.1.2025 Beilage./15 ● Unbefangenheits- und Verschwiegenheitserklärungen NN, OO und PP vom 21.1.2025 Beilage./16 ● Ermittlung geschätzter Auftragswert vom 16.5.2025 ungeschwärzt Beilage./17 ● Ermittlung geschätzter Auftragswert vom 16.5.2025 geschwärzt Beilage./18 ● EU-Bekanntmachung des Vergabeverfahrens vom 4.4.2025 Beilage./19 ● Teilnahmeantragsordnung und Ausschreibungsordnung – Vertragsbestimmungen Beilage./20 ● Teilnahmeantragsordnung - Verfahrensbestimmungen Beilage./21 ● Deckblatt Teilnahmeantrag Beilage./22 ● Begleitschreiben zur Ausschreibung vom 3.4.2025 Beilage./23
\nI. römisch eins.
\nSACHVERHALT:
\n1.
\nAllgemeines:
\n1.1 Die Ausführungen der Antragsgegnerin zeigen, dass sie ein unzutreffendes technisches Verständnis der – ausschreibungsgegenständlichen – Telemonitoring-Dienstleistungen für Herzschrittmacher im Allgemeinen wie insbesondere dem von der Antragstellerin vertriebenen Produkt hat.
\n1.2 Bei Telemonitoring-Produkten für Herzschrittmacher (wie ausgeschrieben), handelt es sich um spezifisch für die Verwendung durch ärztliches Personal ausgestaltete Medizinprodukte mit einem entsprechend definierten Verwendungszweck. Sie dienen dazu, Ärzten im Rahmen der von diesen durchgeführten Behandlungen die hierfür erforderlichen Daten zur Verfügung zu stellen.
\n1.3 Diese ausschreibungsgegenständliche Dienstleistung bietet die Antragstellerin über ihr „Home Monitoring Service Center“ (im Folgenden: „HMSC“) an, mit dem Krankenanstalten den Zustand ihrer Patienten in deren häuslichen Umgebung überwachen können (sog Home Monitoring), wobei die verfahrensgegenständlichen Datenverarbeitungen betreffend das Produkt der Antragstellerin – bei anderen am Markt verfügbaren Produkten jedoch im Wesentlichen identisch – wie folgt ablaufen:
\n2.
\nZur konkreten Datenverarbeitung durch die Antragstellerin:
\n2.1 Die verfahrensgegenständliche Datenverarbeitung bei Erbringung der ausschreibungsgegenständlichen Dienstleistung läuft – entgegen der Ansicht der Antragsgegnerin – bei der Antragstellerin wie folgt ab: a) Begründung eines Behandlungsverhältnisses mit der Krankenanstalt:
\nPatienten, die bei der jeweiligen Krankenanstalt (der Antragsgegnerin) vorstellig werden, schließen mit dieser einen Behandlungsvertrag und begründen somit das Behandlungsverhältnis. b) Behandlung und Implantation durch die Krankenanstalt:
\nIm Rahmen der Behandlung wird ärztlich die Notwendigkeit eines Eingriffs zur Implantation eines Herzschrittmachers festgestellt und der operative Eingriff durchgeführt. Dabei wird insbesondere auch ärztlich beurteilt, ob im konkreten Fall ein Telemonitoring zur Überwachung des Patienten medizinisch angezeigt ist und daher durchgeführt werden soll oder nicht. c) Programmierung des Implantats durch die Krankenanstalt:
\nDie initiale Aktivierung und Programmierung des Herzschrittmachers wird durch die behandelnden Ärzte vor Ort durchgeführt. Der aktivierte und grundkonfigurierte Herzschrittmacher sendet zu diesem Zeitpunkt noch keine Daten an das HMSC der bzw die Antragstellerin. d) Zusätzliche Ausstattung des Patienten mit einem „CardioMessenger“ durch die Krankenanstalt:
\nSofern die behandelnden Ärzte Daten aus dem Implantat im Rahmen eines Telemonitorings verarbeiten wollen und hierzu das von der Antragstellerin angebotene HMSC verwendet werden soll, müssen sie zunächst die für die Datenübertragung erforderlichen technischen Voraussetzungen schaffen.
\nHierzu muss die Krankenanstalt bzw müssen die Ärzte den Patienten – zusätzlich zum Setzen des Implantats – mit einem separaten Gerät zum Auslesen und Übermitteln von Herzschrittmacherdaten (sog CardioMessenger) ausstatten. Erst mit dieser Zusatzausstattung schafft die Krankenanstalt die technischen Grundvoraussetzungen für eine Datenverarbeitung zum Zweck des Telemonitorings. e) Aktivierung des Telemonitorings / Registrierung des Implantats durch die Krankenanstalt im HMSC der Antragstellerin:
\nUm die zum Zweck des Telemonitorings durch die Ärzte erforderliche Datenverarbeitung durch die Antragstellerin auszulösen, muss in einem weiteren Schritt das konkrete Implantat durch die Krankenanstalt im HMSC der Antragstellerin registriert werden.
\nDies erfolgt über den jeweiligen „Klinik-Account“, über den allein die jeweilige Krankenanstalt Datenverarbeitungen im HMSC konfigurieren kann.
\nDer Prozess ist pseudonymisiert ausgestaltet, sodass für die Antragstellerin ein unmittelbarer Bezug zu einem einzelnen Patienten nicht besteht.
\nWeitere Daten können – als fakultative Angaben – von der Krankenanstalt in das HMSC eingetragen werden, wenn und soweit dies von der Krankenanstalt gewünscht ist (s. Abbildung 1). Ebenfalls kann die Krankenanstalt – wenn sie es möchte – verschiedene Benachrichtigungen einstellen, die sich an bestimmten Grenzwerten orientieren. (Auch) Diese Grenzwerte legt die Krankenanstalt selbst fest, um die Behandlung des Patienten per Telemonitoring gezielt zu steuern. „Bild im pdf ersichtlich“ Abbildung 1: Anlegen eines neuen Patienten im HMSC durch eine Krankenanstalt - Pflichtfelder mit \"*\" gekennzeichnet. f) Beendigung des Telemonitorings und Löschung der Daten durch die Krankenanstalt / Wechsel der Krankenanstalt:
\nSoll das Telemonitoring wieder beendet werden, ist erforderlich, dass die Krankenanstalt den Service über ihren Account für den jeweiligen Patienten deaktiviert (s. Abbildung 2). „Bild im pdf ersichtlich“ Abbildung 2: Beendigung des Telemonitorings durch die Krankenanstalt durch Deaktivierung im HMSC Sollen bereits gespeicherte Daten aus dem HMSC gelöscht werden, ist erforderlich, dass die Krankenanstalt die Löschung über ihren Account für den jeweiligen Patienten durchführt (s. Abbildung 4).
\nOb eine Deaktivierung oder Löschung erfolgt, entscheidet die jeweilige Krankenanstalt. Ohne Anweisung der Krankenanstalt, werden keine Accounts deaktiviert oder gelöscht (Abbildung 4: Löschung verarbeiteter Daten durch die Krankenanstalt im HMSC): „Bild im pdf ersichtlich“ Soll die Behandlung von einer anderen Krankenanstalt anstelle der bisherigen Krankenanstalt fortgeführt werden, erfolgt der Wechsel auf übereinstimmende Weisung der beiden Krankenanstalten dergestalt, dass anstelle der ursprünglichen Krankenanstalt die neue Krankenanstalt – exklusiv – Zugriff auf die Daten im HMSC erhält. Liegen keine übereinstimmenden Weisungen vor, kommt es auch nicht zu einem Zugriff durch eine neue Krankenanstalt.
\n2.2 Zusammengefasst lässt sich somit festhalten, dass von der Implantierung über die Aktivierung und die Einrichtung des telemedizinischen Services und der entsprechenden Konfiguration bis hin zur Beendigung und zur Löschung der Daten sämtliche Datenverarbeitungen nur in Abhängigkeit vom Tätigwerden der jeweiligen Krankenanstalt erfolgen, die ein solches System bei der von ihr durchgeführten Behandlung einsetzt.
\nVon Anfang bis Ende der Datenverarbeitung liegt die Kontrolle über die Verarbeitung personenbezogener Daten im Rahmen des Telemonitorings allein bei der Antragsgegnerin.
\n3.
\nZu anderen – nicht ausschreibungsgegenständlichen – Produkten:
\nSoweit die Antragsgegnerin auf Vergleiche mit gänzlich anderen Produkten zu gänzlich anderen Zwecken abstellt, die abseits eines Behandlungsverhältnisses eine Überwachung von Vitalparametern erlauben und auch von nicht-ärztlichem Fachpersonal gesteuert werden können, liegen diese Ausführungen neben der Sache. Allgemeine Consumer-Produkte, wie etwa Fitness-Tracker, sind anders gestaltet, unterliegend abweichenden rechtlichen Vorgaben und sind nicht zuletzt auch schlicht nicht Teil der im Rahmen der Ausschreibung geforderten Leistungen.
\n4.
\nZur Patienten-App der Antragstellerin:
\nDie Frage, ob Patientinnen etwa die Patienten-App der Antragstellerin nutzen wollen, lässt die Datenverarbeitungen im Rahmen des Telemonitorings ebenfalls unberührt.
\nInsbesondere sei klargestellt, dass die oben genannten Steuerungsmöglichkeiten der Krankenanstalt im HMSC von Patienten auch unter Nutzung der Patienten-App nicht verändert werden können.
\nDie Patienten-App ist nur ein „Sichtfenster“ ins HMSC. So kann zwar ein kleiner Teil der Daten aus dem HMSC in der Patienten-App angezeigt werden; dies setzt aber voraus, dass die jeweilige Krankenanstalt dies durch ihre Konfiguration des HMSC ermöglicht.
\nErlaubt die Krankenanstalt die Anzeige von Daten in der App nicht, oder wird das Telemonitoring von der Antragsgegnerin deaktiviert oder die Daten auf Weisung der Antragsgegnerin gelöscht, werden dem Patienten keine Daten angezeigt und es besteht für den Patienten keine Möglichkeit entsprechende Datenverarbeitungen über seine App abweichend einzurichten.
\nBeweis:
\nEE als informierter Vertreter der Antragstellerin pA der Antragstellerin;
\nFF, welcher zur Verhandlung stellig gemacht wird;
\nGG, Datenschutzbeauftragter der AA-Gruppe;
\n5.
\nKeine Verwendung von Daten zu Zwecken von Produktverbesserung und Produktentwicklung:
\nUnzutreffend sind auch die diesbezüglichen Ausführungen der Antragsgegnerin, wonach eine Nutzung der personenbezogenen Daten aus dem HMSC zu Zwecken der Produktverbesserungen und Produktentwicklung durch die Antragstellerin stattfinden soll. (Auch) Dies ist nicht der Fall.
\nBeweis:
\nEE als informierter Vertreter der Antragstellerin pA der Antragstellerin;
\nFF, welcher zur Verhandlung stellig gemacht wird;
\nGG, Datenschutzbeauftragter der AA-Gruppe;
\nII. römisch zwei.
\nRECHTLICHE BEURTEILUNG 1.
\nAllgemeines:
\n1.1 Der oben dargestellte Sachverhalts zeigt sich unzweifelhaft, dass die Antragsgegnerin als Verantwortliche im Sinne des Art 4 Z 7 DSGVO zu qualifizieren ist. Im Fall der von der Antragsgegnerin ausgeschriebenen und begehrten Nutzung einer TelemonitoringLösung zum Zweck der telemedizinischen Betreuung der Patienten, liegt ein klassischer Fall der Auftragsverarbeitung im Sinne des Art 4 Z 8 DSGVO in Verbindung mit Art 28 DSGVO vor. Der oben dargestellte Sachverhalts zeigt sich unzweifelhaft, dass die Antragsgegnerin als Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO zu qualifizieren ist. Im Fall der von der Antragsgegnerin ausgeschriebenen und begehrten Nutzung einer TelemonitoringLösung zum Zweck der telemedizinischen Betreuung der Patienten, liegt ein klassischer Fall der Auftragsverarbeitung im Sinne des Artikel 4, Ziffer 8, DSGVO in Verbindung mit Artikel 28, DSGVO vor.
\n1.2 Unzutreffend (und überdies vorliegend nicht entscheidungserheblich) sind die Ausführungen der Antragsgegnerin zu Verantwortlichkeiten im Rahmen von anderen Produkten oder im Sonderfall von gesetzlichen Verarbeitungspflichten.
\n1.3 Es ist ohne weiteres möglich und üblich, dass ein Unternehmen hinsichtlich bestimmter Datenverarbeitungen als Auftragsverarbeiter tätig wird, während es hinsichtlich anderer Datenverarbeitungen in eigener Verantwortlichkeit tätig wird.
\n1.4 Die medizinprodukterechtliche Pflicht eines Medizinprodukteherstellers zur Dokumentation unerwünschter Ereignisse etwa erfolgt in eigener datenschutzrechtlicher Verantwortlichkeit der Antragstellerin oder eines anderen Unternehmens. Das lässt die Rolle als Auftragsverarbeiter bei der weisungsgemäßen Bereitstellung von Daten im Rahmen des Telemonitorings zu Zwecken der Behandlung der Patienten aber unberührt. Es handelt sich dabei auch nicht – wie die Antragstellerin irrig meint – um eine durch Auslegung zu schließende Regelungslücke der DSGVO, sondern um eine in Art. 28 Abs. 3 lit. a) DSGVO bereits berücksichtigte Konstellation. Danach obliegt dem Auftragsverarbeiter lediglich eine die Transparenz sichernde Informationspflicht gegenüber dem Auftraggeber, wenn er Daten in eigener Verantwortung verarbeitet.
\nDie medizinprodukterechtliche Pflicht eines Medizinprodukteherstellers zur Dokumentation unerwünschter Ereignisse etwa erfolgt in eigener datenschutzrechtlicher Verantwortlichkeit der Antragstellerin oder eines anderen Unternehmens. Das lässt die Rolle als Auftragsverarbeiter bei der weisungsgemäßen Bereitstellung von Daten im Rahmen des Telemonitorings zu Zwecken der Behandlung der Patienten aber unberührt. Es handelt sich dabei auch nicht – wie die Antragstellerin irrig meint – um eine durch Auslegung zu schließende Regelungslücke der DSGVO, sondern um eine in Artikel 28, Absatz 3, Litera a,) DSGVO bereits berücksichtigte Konstellation. Danach obliegt dem Auftragsverarbeiter lediglich eine die Transparenz sichernde Informationspflicht gegenüber dem Auftraggeber, wenn er Daten in eigener Verantwortung verarbeitet.
\n1.5 Selbst wenn ein Auftragsverarbeiter ohne gesetzliche Verpflichtung über die Weisung des Auftraggebers hinaus Daten zu eigenen Zwecken verarbeiten würde (was gegenständlich nicht der Fall ist), ist die Konsequenz eines solchen Vorgehens allein, dass der Auftragsverarbeiter insoweit selbst Verantwortlicher wird. Werden personenbezogene Daten dann ohne Rechtsgrundlage verarbeitet, richten sich etwaige Sanktionen gegen den Auftragsverarbeiter in seiner Rolle als Verantwortlicher. Die ansonsten aber weisungsgebunden ausgeführte Datenverarbeitung bleibt unverändert als Auftragsverarbeitung bestehen.
\n1.6 Es ist mit dem Schutzzweck der DSGVO nicht vereinbar, den Auftraggeber (als Verantwortlichen) in einem solchen Fall von seinen datenschutzrechtlichen Pflichten hinsichtlich der von ihm veranlassten Datenverarbeitungen zu entbinden.
\n2.
\nIm Einzelnen:
\n2.1 Die Eigenschaft als Verantwortlicher ergibt sich in erster Linie aus dem Umstand, dass eine Stelle sich für die Verarbeitung personenbezogener Daten entschieden hat und befugt ist, den Zweck, mithin das beabsichtigte Ergebnis einer Datenverarbeitung, sowie die hierzu eingesetzten Mittel, mithin die Art und Weise, wie das beabsichtigte Ergebnis erreicht werden soll, zu bestimmen (Arning/Rothkegel in Taeger/Gabel, DSGVO, 4. Auflage 2022, Art 4 Rz 181). DSGVO, 4. Auflage 2022, Artikel 4, Rz 181).
\n2.2 Wie oben dargestellt, entscheidet die Antragsgegnerin als Krankenanstalt im jeweiligen Einzelfall darüber, ob ein Telemonitoring durchgeführt werden soll (Zweck) und ob das konkrete Monitoringsystem der Antragstellerin (oder eines anderen Unternehmens) hierfür eingesetzt werden soll (Mittel). Zusätzlich schafft die Antragsgegnerin erst die für die jeweilige Datenverarbeitung erforderlichen Voraussetzungen, kann also • initial die Datenverarbeitung auslösen, • zwischenzeitlich durch Konfiguration beeinflussen und • beenden (deaktivieren) sowie • bereits gespeicherte Daten auch final vernichten (Löschung).
\n2.3 Sowohl rechtlich als auch tatsächlich liegt die maßgebliche Steuerungsentscheidung damit allein bei der Antragsgegnerin – dies über den gesamten Datenverarbeitungszyklus hinweg.
\nDie Antragsgegnerin als Krankenanstalt steuert die Datenverarbeitung zu Zwecken der telemedizinischen Behandlung der Patienten von Anfang bis Ende. Ihr Tätigwerden ist conditio sine qua non für die Verarbeitung personenbezogener Daten mittels des HMSC.
\n2.4 Die Antragstellerin hingegen wird nur tätig und führt die gewünschten Datenverarbeitungen mittels des HMSC aus, wenn und soweit die Antragsgegnerin dies im jeweiligen Einzelfall veranlasst.
\n2.5 Ändert die Krankenanstalt die Konfigurationen über ihren HMSC-Account für den jeweiligen Patienten (bzw für das jeweilige Implantat), deaktiviert das Telemonitoring oder klickt auf „Löschen“, werden diese Weisungen von der Antragstellerin entsprechend umgesetzt. Sie verarbeitet personenbezogene Daten also strikt weisungsgebunden uns somit lediglich im Auftrag der Verantwortlichen und ist folglich als Auftragsverarbeiterin im Sinne des Art 4 Z 8 DSGVO zu qualifizieren. Ändert die Krankenanstalt die Konfigurationen über ihren HMSC-Account für den jeweiligen Patienten (bzw für das jeweilige Implantat), deaktiviert das Telemonitoring oder klickt auf „Löschen“, werden diese Weisungen von der Antragstellerin entsprechend umgesetzt. Sie verarbeitet personenbezogene Daten also strikt weisungsgebunden uns somit lediglich im Auftrag der Verantwortlichen und ist folglich als Auftragsverarbeiterin im Sinne des Artikel 4, Ziffer 8, DSGVO zu qualifizieren.
\n3.
\nKein Erfordernis der Datenverarbeitung in der „Sphäre“ des eigenen Aktensystems:
\n3.1 Die Antragsgegnerin vertritt die unzutreffende Ansicht, dass eine datenschutzrechtliche Verantwortlichkeit nur entstehe, wenn Daten in das von der Antragsgegnerin selbst verwaltete Aktensystem überführt werden und mithin in ihrer „Sphäre“ verarbeitet werden.
\n3.2 Das ist rechtlich nicht haltbar. Das Regelungsregime der DSGVO sieht explizit vor, dass Verantwortliche ihre Datenverarbeitungen über Auftragsverarbeitungen auslagern dürfen.
\nDamit trägt die DSGVO dem besonders häufigen Bedürfnis Rechnung, dass Verantwortliche nicht über die nötigen Kapazitäten oder das notwendige Know-How bestimmter Datenverarbeitungen verfügen.
\nEs ist der datenschutzrechtliche Regelfall, dass Verantwortliche spezialisierte Dienstleister – im Rahmen der Auftragsverarbeitung – einbinden, um Datenverarbeitungen mittels der von diesen entwickelten und betriebenen Hard- und Softwarelösungen zu verarbeiten, zu deren Entwicklung und Betrieb der Auftraggeber selbst nicht in der Lage wäre.
\nDer Umstand, dass die extern angebotene Leistung vom Auftraggeber nicht im Detail verstanden wird oder werden kann, ist also die typische Konstellation einer Auftragsverarbeitung. Eine Auslegung dahingehend, dass genau diese Konstellation nun zum Entfallen der Verantwortlichkeit beim Verantwortlichen führen soll, widerspricht dem Sinn und Zweck der Auftragsverarbeitung.
\n3.3 Es sei ausdrücklich darauf hingewiesen, dass Art 4 Z 7 DSGVO die Verantwortlichkeit an die Entscheidung über die Verarbeitung von personenbezogenen Daten knüpft und die bloße Entwicklung, Instandhaltung und Wartung sowie der Betrieb einer Infrastruktur nach dem Wortlaut der Norm nicht maßgeblich sind. Es sei ausdrücklich darauf hingewiesen, dass Artikel 4, Ziffer 7, DSGVO die Verantwortlichkeit an die Entscheidung über die Verarbeitung von personenbezogenen Daten knüpft und die bloße Entwicklung, Instandhaltung und Wartung sowie der Betrieb einer Infrastruktur nach dem Wortlaut der Norm nicht maßgeblich sind.
\nIm Gegenteil: Art 28 Abs. 3 lit. c) DSGVO sieht explizit vor, dass ein Auftragsverarbeiter erforderliche technische und organisatorische Maßnahmen nach Art. 32 DSGVO ergreift. Der Umstand, dass die Antragstellerin also etwa Updates durchführt und den technischen Betrieb sicherstellt, führt nicht dazu, dass sie vom Auftragsverarbeiter zum Verantwortlichen wird.Im Gegenteil: Artikel 28, Absatz 3, Litera c,) DSGVO sieht explizit vor, dass ein Auftragsverarbeiter erforderliche technische und organisatorische Maßnahmen nach Artikel 32, DSGVO ergreift. Der Umstand, dass die Antragstellerin also etwa Updates durchführt und den technischen Betrieb sicherstellt, führt nicht dazu, dass sie vom Auftragsverarbeiter zum Verantwortlichen wird.
\n3.4 Vergleichender Exkurs: Ein bekanntes Beispiel für den Einsatz von – in erheblichem Maß komplexeren – Systemen ist die weitverbreitete und von Datenschutzaufsichtsbehörden umfassend begleitete Nutzung von Microsoft 365, also der cloudbasierten Verarbeitung von Daten mittels diversen miteinander interagierenden Softwarekomponenten. Selbst bei einer solch komplexen Anwendung steht außer Frage, dass Microsoft als Auftragsverarbeiter im jeweiligen Unternehmen / in der jeweiligen Behörde eingebunden wird.
\n4.
\nKeine Verantwortlichkeitsdiffusion durch Beauftragung externer Dienstleister:
\n4.1 Die DSGVO will vermeiden, dass datenverarbeitende Stellen sich durch gewillkürte Vertragsgestaltung ihrer bestehenden datenschutzrechtlichen Pflichten mittels Outsourcing entledigen. Mit Blick auf den Schutz der betroffenen Person soll nicht bei jeder ausgelagerten Datenverarbeitung eine neue Verantwortlichkeit mit ggf. unbekannten Dritten entstehen. Allein die Vielzahl der so entstehenden Verantwortlichen wäre geeignet, eine effektive Wahrnehmung von Betroffenenrechten erheblich zu beeinträchtigen oder gar zu verhindern.
\n4.2 Eine Trennung nach infrastrukturellen oder organisatorischen Grenzen ist überhaupt nur dann denkbar und anders zu bewerten, wenn dies aufgrund einer Regelung im mitgliedstaatlichen Recht gem Art. 4 Z 7 HS 2 DSGVO vorgesehen wäre. Eine Trennung nach infrastrukturellen oder organisatorischen Grenzen ist überhaupt nur dann denkbar und anders zu bewerten, wenn dies aufgrund einer Regelung im mitgliedstaatlichen Recht gem Artikel 4, Ziffer 7, HS 2 DSGVO vorgesehen wäre.
\nDas ist aber nicht der Fall.
\nIm Gegenteil: § 63a Abs. 3 TirKAG weist die datenschutzrechtliche Verantwortlichkeit bei der Erfüllung der Aufgaben nach dem TirKAG den Trägern der Krankenanstalten zu, denen gemäß § 1 Abs 1 lit. a) TirKAG die hier maßgebliche Untersuchung und Überwachung des Gesundheitszustands obliegt. Im Gegenteil: Paragraph 63 a, Absatz 3, TirKAG weist die datenschutzrechtliche Verantwortlichkeit bei der Erfüllung der Aufgaben nach dem TirKAG den Trägern der Krankenanstalten zu, denen gemäß Paragraph eins, Absatz eins, Litera a,) TirKAG die hier maßgebliche Untersuchung und Überwachung des Gesundheitszustands obliegt.
\nNach dieser gesetzlichen Wertung sind also alle im Rahmen der Überwachung des Gesundheitszustands von Patienten durch Krankenanstalten veranlasste Datenverarbeitungen einheitlich der Krankenanstalt als datenschutzrechtlich Verantwortliche zugewiesen.
\nSowohl nach der DSGVO als auch nach dem TirKAG ist daher einheitlich von der Verantwortlichkeit der Antragsgegnerin auszugehen.
\n5.
\nKeine Regelungslücken durch Auftragsverarbeitung:
\n5.1 Die von der Antragsgegnerin eingestreuten Zweifel an der Möglichkeit, ausreichende Datenschutzinformationen zur Verfügung zu stellen oder im Fall von Datenschutzvorfällen reagieren zu können, können nicht verfangen.
\n5.2 Die DSGVO adressiert diese Aspekte konkret und sieht entsprechende gegenseitige Verpflichtungen zwischen Auftraggeber und Auftragsverarbeiter vor (Mitwirkungspflichten), die zudem in einer entsprechenden Auftragsverarbeitungsvereinbarung vereinbart werden müssen (vgl insb. Art. 28 Abs 3 DSGVO). Im Außenverhältnis schützt die DSGVO betroffene Patienten u.a. dadurch, dass beim Zusammenwirken von Verantwortlichem und Auftragsverarbeiter eine gesamtschuldnerische Haftung begründet wird (Art 82 Abs. 4 DSGVO). Dieses Regelungsregime stärkt die Rechte betroffener Personen bei komplexen Datenverarbeitungen wie etwa dem Telemonitoring. Die DSGVO adressiert diese Aspekte konkret und sieht entsprechende gegenseitige Verpflichtungen zwischen Auftraggeber und Auftragsverarbeiter vor (Mitwirkungspflichten), die zudem in einer entsprechenden Auftragsverarbeitungsvereinbarung vereinbart werden müssen vergleiche insb. Artikel 28, Absatz 3, DSGVO). Im Außenverhältnis schützt die DSGVO betroffene Patienten u.a. dadurch, dass beim Zusammenwirken von Verantwortlichem und Auftragsverarbeiter eine gesamtschuldnerische Haftung begründet wird (Artikel 82, Absatz 4, DSGVO). Dieses Regelungsregime stärkt die Rechte betroffener Personen bei komplexen Datenverarbeitungen wie etwa dem Telemonitoring.
\n5.3 Gerade eine derartige Auftragsverarbeitungsvereinbarung hat auch die Antragsgegnerin mit der Antragstellerin abgeschlossen (zur Vermeidung von Wiederholungen darf auf die diesbezüglichen Ausführungen im Nachprüfungsantrag verwiesen werden).
\nIII. ERGEBNIS: römisch drei. ERGEBNIS:
\n1.
\nIm Einklang mit dem Wortlaut der DSGVO – auch und insbesondere unter Würdigung der bereits zitierten Leitlinien des Europäischen Datenschutzausschusses, auf die auch die österreichische Datenschutzbehörde ausdrücklich verweist (https://dsb.gv.at/rechte-pflichten/ihre-pflichten-als-auftragsverarbeiterin ; abgerufen am 23.06.2025) – ergibt sich eindeutig, dass die Antragsgegnerin (Verantwortliche) die Antragstellerin als Auftragnehmerin im Rahmen einer Auftragsverarbeitung einsetzt.
\n2.
\nEine gewillkürte Begrenzung der eigenen datenschutzrechtlichen Verantwortlichkeit durch die Antragsgegnerin ist mit der DSGVO unvereinbar, widerspricht der Wertung des TirKAG und ist mithin unzulässig.
\n3.
\nDie Antragsgegnerin kann eine datenschutzwidrige Ausgestaltung der gewünschten Telemedizin-Lösung nicht verlangen und daher auch nicht zur Bedingung für eine Teilnahme an der Ausschreibung machen.“ Im Rahmen der durchgeführten mündlichen Verhandlung am 30.6.2025 wurden die Hintergründe der gegenständlichen Ausschreibungstextierung, insbesondere in Bezug auf die gebotene Verteilung der Verantwortlichkeiten nach der Datenschutz-Grundverordnung EU 2016/679 zwischen Anbietern einerseits und Auftraggeberin anderseits, durch Einvernahme der Datenschutzkoordinatorin der Auftraggeberin, LL, des strategischen Einkäufers der Auftraggeberin, MM, des gewerberechtlichen Geschäftsführers der Antragstellerin, EE, des Datenschutzbeauftragten der Antragstellerin, GG, und des Marketingleiters der Antragstellerin, FF, untersucht und mit den Verfahrensparteien eingehend erörtert.
\nBeweis wurde aufgenommen durch Einsichtnahme in den Akt des Landesverwaltungsgerichts, insbesondere in die von den Parteien vorgelegten Urkunden.
\nBis zum Ende der mündlichen Verhandlung sind folgende Schriftstücke eingelangt oder ergangen: ● Nachprüfungsantrag und Antrag auf Erlassung einer einstweiligen Verfügung durch die AA, vertreten durch CC Rechtsanwälte GmbH, vom 29.4.2025 OZ 1 samt 12 Beilagen ./A bis ./M, nämlich Deckblatt der Ausschreibung (Beilage./A) Nationale Bekanntmachung (Beilage./B) EU- Bekanntmachung (Beilage./C) Teilnahmeantragsordnung – Verfahrensbestimmungen (Beilage./D) Teilnahmeantragsordnung und Ausschreibungsordnung – Vertragsbestimmungen (Beilage./E) Fragenbeantwortung der Antragstellerin (Beilage./F) Informationsblatt und Einwilligungserklärung der Auftraggeberin (Beilage./G) Aktuell gültiger Auftragsverarbeitungsvertrag mit der Auftraggeberin (Beilage./H) Stellungnahme JJ (Beilage./J) Firmenbuchabschrift der Auftraggeberin (Beilage./K) Kopie des Überweisungsbeleges über Entrichtung der Eingabegebühr vom 29.4.2025 (Beilage./L) Kopie des Überweisungsbeleges über Entrichtung der Pauschalgebühr vom 29.4.2025 (Beilage./M) ● Information der Auftraggeberin durch LVwG Tirol vom 29.4.2025 über Eingang des angeführten Rechtsmittels samt Frist zur Stellungnahme OZ 1 ● Einholung Empfangsauftrag über Einzahlung der Eingabegebühr vom 29.4.2025 OZ 2 ● Stellungnahme der Auftraggeberin zum Nachprüfungsantrag vom 6.5.2025 OZ 3 samt 14 Beilagen, nämlich
\nSachverhalt:
\nAuftraggeberin ist die BB, bei der es sich um eine öffentliche Auftraggeberin im Sinne des § 1 Abs 1 TVNG handelt. Auftraggeberin ist die BB, bei der es sich um eine öffentliche Auftraggeberin im Sinne des Paragraph eins, Absatz eins, TVNG handelt.
\nDie Auftraggeberin hat im DD Portal ein zweistufiges Verhandlungsverfahren mit EU-weiter vorheriger Bekanntmachung im Oberschwellenbereich zum Abschluss einer Rahmenvereinbarung zur Belieferung von Herzschrittmachern plus Elektroden inklusive Zubehör initiiert.
\nBeabsichtigt ist die Vergabe nach dem Bestbieterprinzip in acht Losen mit jeweils verschiedenen Typen von Herzschrittmachern, wobei die Rahmenvereinbarung je Los mit mehreren Bietern – laut Ausschreibung mindestens drei und höchstens fünf Bieter je Los – abgeschlossen werden soll.
\nIm Rahmen der ersten Stufe können interessierte Unternehmen innerhalb offener Frist Teilnahmeanträge zusammen mit den geforderten Eignungsnachweisen abgeben. Im Rahmen der zweiten Stufe des Verfahrens werden aus allen fristgerecht eingehenden Teilnahmeanträgen nach positiver Feststellung der Eignung die anhand der definierten Auswahlkriterien die am besten bewerteten Unternehmen zur Legung von Angeboten eingeladen werden. Sollte sich im Rahmen der zweiten Stufe des Verfahrens herausstellen, dass ein zu dieser Stufe zugelassenes Unternehmen eine oder mehrere Mindestanforderungen, welche bereits in der Ausschreibungsunterlage angeführt waren, nicht erfüllen kann, wird dieses Unternehmen aus dem Verfahren ausgeschlossen. Für den Zuschlag wurde das Bestbieterprinzip festgelegt.
\nDiese Rahmenvereinbarung wird auf vier Jahre abgeschlossen und beginnt voraussichtlich mit 1.1.2026. Die letztmögliche Frist zur Abgabe von Teilnahmeanträgen wurde mit 7.5.2025 10:00 Uhr festgelegt.
\nDer Auftragsgegenstand wurde bezeichnet mit „Belieferung mit Herzschrittmachern plus Elektroden und Zubehör“.
\nDer Kurzbeschreibung des Auftrags kann entnommen werden wie folgt: „Die Auftraggeberin gemäß 1.1 der AO streben den Abschluss einer Rahmenvereinbarung zur Belieferung von Herzschrittmachern plus Elektroden incl. Zubehör an. Die Rahmenvereinbarung wird je Los mit mehreren Bietern abgeschlossen, nämlich jenen, die die gemäß den bekannt gegebenen Zuschlagskriterien am besten bewerteten Angebote gelegt haben. Es wird – sofern eine ausreichend große Zahl von Unternehmen die Eignungskriterien erfüllt hat und eine ausreichend große Zahl von zulässigen Angeboten abgegeben wurde – eine Rahmenvereinbarung mit mindestens drei und höchstens fünf Bietern je Los abgeschlossen.“ Der festgelegte Auftragsgegenstand enthält zunächst keinerlei Ausführungen hinsichtlich einer Beauftragung der Bieter zur Verarbeitung gesundheitsbezogener Patientendaten durch die BB.
\nDiesbezüglich ist in der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen festgelegt wie folgt: „5 Spezielle Regelungen bei telemedizinischen Leistungen (wenn anwendbar) 5.1 Die AG geht bei der Erbringung telemedizinischer Leistungen von einer getrennten Verantwortlichkeit gemäß Art. 4 Z. 7 EU-Datenschutz-Grundverordnung (DSGVO) aus, bei welcher das Unternehmen einerseits und die AG anderseits jeweils allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.5.1 Die AG geht bei der Erbringung telemedizinischer Leistungen von einer getrennten Verantwortlichkeit gemäß Artikel 4, Ziffer 7, EU-Datenschutz-Grundverordnung (DSGVO) aus, bei welcher das Unternehmen einerseits und die AG anderseits jeweils allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
\n5.2 Das Unternehmen und/oder die Hersteller:innen des Medizinprodukts und/oder Betreiber:innen des externen Datenraums (System außerhalb des klinischen Informationssystems der AG) ist Verantwortliche:r gemäß EU-Datenschutz-Grundverordnung (DSGVO) für die Systemverarbeitung, den Betrieb, die Verwaltung und Wartung des externen Datenraums (Systems) sowie für weitere Zwecke, die im Patient:inneneinwilligungsformular des Unternehmens beschrieben werden.
\n5.3 Für die Inanspruchnahme telemedizinischer Leistungen müssen die Patient:innen eine entsprechende Vereinbarung mit dem Unternehmen abschließen. Dazu hat das Unternehmen mit dem Teilnahmeantrag, oder spätestens mit dem unverbindlichen Erstangebot sein Patient:inneneinwilligungsformular abzugeben.
\n5.4 Die AG ist Verantwortliche:r gemäß EU-Datenschutz-Grundverordnung (DSGVO) für jene Daten, die mit Zustimmung der Patient:innen aus dem System des Unternehmens und/oder der Hersteller:in ausgelesen und mit der Krankengeschichte der betreffenden Patient:innen im klinischen Informationssystem der AG zusammengeführt werden. Dazu müssen die Patient:innen im Rahmen der telemedizinischen Leistungserbringung mit der AG eine entsprechende Vereinbarung abschließen.
\n5.5 Der Abschluss eines Datenschutz-Vertrags gem. Art. 28 DSGVO zwischen dem Unternehmen und der AG ist für die Erbringung telemedizinischer Leistungen wegen getrennter Verantwortlichkeit gemäß Art. 4 Z. 7 DSGVO nicht erforderlich.5.5 Der Abschluss eines Datenschutz-Vertrags gem. Artikel 28, DSGVO zwischen dem Unternehmen und der AG ist für die Erbringung telemedizinischer Leistungen wegen getrennter Verantwortlichkeit gemäß Artikel 4, Ziffer 7, DSGVO nicht erforderlich.
\n6 Mitgeltende Dokumente 6.1 Datenschutzvertrag Sofern eine „Verarbeitung im Auftrag einer:eines Verantwortlichen“ („Auftragsverarbeitung“) gemäß Art. 28 DSGVO erfolgt, gilt zwischen den Vertragsparteien der von der AG erstellte, auf der Internetseite der AG kundgemachte Standard-Datenschutzvertrag samt zugehörigen Anlagen in der jeweils geltenden Fassung.Sofern eine „Verarbeitung im Auftrag einer:eines Verantwortlichen“ („Auftragsverarbeitung“) gemäß Artikel 28, DSGVO erfolgt, gilt zwischen den Vertragsparteien der von der AG erstellte, auf der Internetseite der AG kundgemachte Standard-Datenschutzvertrag samt zugehörigen Anlagen in der jeweils geltenden Fassung.
\n6.2 Weitere mitgeltende Dokumente Alle nicht bereits in den Ausschreibungsunterlagen direkt angeführten, oder in den AGB der AG zitierten, oder auf der Internetseite der AG bei den Ausschreibungen kundgemachten, oder am Beschaffungsportal von der AG zur Verfügung gestellten Dokumente werden bei der Beauftragung im Anwendungsfall Vertragsbestandteil und sind vom Unternehmen zu beachten (Anlagen/Drucksorten, IT-Formulare). …“ Zur oben angeführten datenschutzrechtlichen Qualifikation der Auftraggeberin langten mehrere Bieteranfragen ein, darunter folgende der Antragstellerin zuzurechnende Anfrage vom 14.4.2025: „Wir nehmen Bezug auf Punkt 5 (Spezielle Regelungen bei telemedizinischen Leistungen) von Dokument „….“ Die telemedizinischen Leistungen die Gegenstand der Ausschreibung sind, werden entgegen der Darstellung unter Punkt 5.1 nicht in getrennter Verantwortung erbracht, sondern als Auftragsverarbeitung durch das Unternehmen gemäß Art. 28 DSGVO. Wir ersuchen um Änderung der Sichtweise der getrennten Verantwortung als Teil der Ausschreibungsanforderungen und ersuchen um Anerkennung der klaren gesetzlichen Lage, die sich in der für die gegenständlichen Leistung üblichen Form als Auftragsverarbeitung darstellt. Vielen Dank.“Die telemedizinischen Leistungen die Gegenstand der Ausschreibung sind, werden entgegen der Darstellung unter Punkt 5.1 nicht in getrennter Verantwortung erbracht, sondern als Auftragsverarbeitung durch das Unternehmen gemäß Artikel 28, DSGVO. Wir ersuchen um Änderung der Sichtweise der getrennten Verantwortung als Teil der Ausschreibungsanforderungen und ersuchen um Anerkennung der klaren gesetzlichen Lage, die sich in der für die gegenständlichen Leistung üblichen Form als Auftragsverarbeitung darstellt. Vielen Dank.“ Am 15.4.2025 replizierte die Auftraggeberin wie folgt: „Vielen Dank für Ihre Anmerkung. Nach sorgfältiger Prüfung möchten wir an unserer Einschätzung festhalten, dass es sich bei den im Rahmen der Ausschreibung vorgesehenen telemedizinischen Leistungen um eine Konstellation der getrennten Verantwortlichkeit im Sinne von Art. 4 Nr. 7 DSGVO handelt.„Vielen Dank für Ihre Anmerkung. Nach sorgfältiger Prüfung möchten wir an unserer Einschätzung festhalten, dass es sich bei den im Rahmen der Ausschreibung vorgesehenen telemedizinischen Leistungen um eine Konstellation der getrennten Verantwortlichkeit im Sinne von Artikel 4, Nr. 7 DSGVO handelt.
\nDie rechtliche Möglichkeit eines telemedizinischen Monitorings ist dann erfüllt, wenn eine klare Trennung der datenschutzrechtlichen Verantwortlichkeiten zwischen dem Unternehmen und der Auftraggeberin vorgesehen ist. Gemäß Art. 4 Z 7 DSGVO ist Verantwortlicher diejenige Stelle, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.Die rechtliche Möglichkeit eines telemedizinischen Monitorings ist dann erfüllt, wenn eine klare Trennung der datenschutzrechtlichen Verantwortlichkeiten zwischen dem Unternehmen und der Auftraggeberin vorgesehen ist. Gemäß Artikel 4, Ziffer 7, DSGVO ist Verantwortlicher diejenige Stelle, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
\nIm konkreten Fall der ausgeschriebenen telemedizinischen Dienstleistung obliegt die datenschutzrechtliche Verantwortlichkeit nicht der BB. Vielmehr liegt die Entscheidung über Zweck und Mittel der Verarbeitung beim Medizinproduktehersteller, der das System bereitstellt und die Verarbeitung eigenständig steuert. Die Auftraggeberin wird erst dann zur datenschutzrechtlichen Verantwortlichen, wenn personenbezogene Daten aus dem System des Unternehmens von ihr ausgelesen und im Rahmen der medizinischen Behandlung in die Krankengeschichte übernommen werden.
\nVor diesem Hintergrund halten wir an der Ausschreibungsanforderung einer getrennten Verantwortung fest, da diese sowohl der tatsächlichen Aufgabenverteilung als auch der geltenden gesetzlichen Systematik entspricht. Eine Einordnung als Auftragsverarbeitung im Sinne von Art. 28 DSGVO sehen wir als nicht sachgerecht an.“Vor diesem Hintergrund halten wir an der Ausschreibungsanforderung einer getrennten Verantwortung fest, da diese sowohl der tatsächlichen Aufgabenverteilung als auch der geltenden gesetzlichen Systematik entspricht. Eine Einordnung als Auftragsverarbeitung im Sinne von Artikel 28, DSGVO sehen wir als nicht sachgerecht an.“ In weiterer Folge erging vor dem Ende der Frist zur Einbringung der Teilnahmeanträge (bis spätestens 7.5.2025) der nunmehr gegenständliche Nachprüfungsantrag vom 29.4.2025, in dem die gemäß § 2 Z 15 lit dd) iVm § 2 Z 15 lit jj) BVergG 2018 gesondert anfechtbare Ausschreibung im Umfang der Lose 2 bis inklusive Los 7 bekämpft wurde.In weiterer Folge erging vor dem Ende der Frist zur Einbringung der Teilnahmeanträge (bis spätestens 7.5.2025) der nunmehr gegenständliche Nachprüfungsantrag vom 29.4.2025, in dem die gemäß Paragraph 2, Ziffer 15, lit dd) in Verbindung mit Paragraph 2, Ziffer 15, lit jj) BVergG 2018 gesondert anfechtbare Ausschreibung im Umfang der Lose 2 bis inklusive Los 7 bekämpft wurde.
\nIII. Beweiswürdigung: römisch drei. Beweiswürdigung:
\nDie vorerwähnten Feststellungen konnten in unbedenklicher Weise aufgrund der vorliegenden Urkunden, sowie des Vorbringens diverser Zeugen und informierter Vertreter der Auftraggeberin und der Antragstellerin im Rahmen der durchgeführten mündlichen Verhandlung am 30.6.2025, insbesondere der Einvernahme der Datenschutzkoordinatorin der Auftraggeberin, LL, des strategischen Einkäufers der Auftraggeberin, MM, des gewerberechtlichen Geschäftsführers der Antragstellerin, EE, des Datenschutzbeauftragten der Antragstellerin, GG, und des Marketingleiters der Antragstellerin, FF, getroffen werden.
\nDie Rahmenbedingungen der gegenständlichen Vergabe, etwa auch hinsichtlich des Inhalts der Rahmenvereinbarung, deren zeitlicher Geltung, der Anzahl der Lose sowie die Anzahl der in der Rahmenvereinbarung aufgenommenen Bieter sind der Ausschreibung „Verhandlungsverfahren mit vorheriger Bekanntmachung: *** Herzschrittmacher plus Elektroden incl. Zubehör“, manifestiert durch die Auftragsbekanntmachung in Beilage./19 in Zusammenschau mit der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen in Beilage./20 und der Teilnahmeantragsordnung Verfahrensbestimmungen (Beilage./21) zu entnehmen. Der festgelegte Auftragsgegenstand ergibt sich aus den Rubriken 1.3.1 und 1.4. der Teilnahmeantragsordnung Verfahrensbestimmungen (Beilage./21), die datenschutzrechtliche Qualifikation telemedizinischer Leistungen resultiert aus den Rubriken 5 und 6 der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen (Beilage./20).
\nDer Umstand, dass die Frist für die Einbringung der Teilnahmeanträge zum Zeitpunkt der Einbringung des Nachprüfungsantrages noch aufrecht war, erhellt aus dem Nachprüfungsantrag vom 29.4.2025 (OZ 1) in Zusammenschau mit der Rubrik 5.1.12 der Auftragsbekanntmachung in Beilage./19.
\nIV. Rechtliche Grundlagenrömisch vier. Rechtliche Grundlagen
\nDie Gründe für die Verwendung anderer Kommunikationsmittel sind im Vergabevermerk anzugeben.
\nDie Bekanntmachung oder die Aufforderung zur Interessensbestätigung muss die Internet Adresse, über die die Instrumente und Vorrichtungen gemäß Z 1 zugänglich sind, angeben.Die Bekanntmachung oder die Aufforderung zur Interessensbestätigung muss die Internet Adresse, über die die Instrumente und Vorrichtungen gemäß Ziffer eins, zugänglich sind, angeben.
\nDer Bundesminister für Verfassung, Reformen, Deregulierung und Justiz im Einvernehmen mit dem Bundesminister für Finanzen und die Landesregierungen können, sofern dies einer homogeneren Abwicklung von Vergabeverfahren dient, für den jeweiligen Vollziehungsbereich bzw. Teile des jeweiligen Vollziehungsbereiches durch Verordnung technische Anforderungen zur Sicherstellung des Datenaustausches zwischen elektronischen Kommunikationsplattformen festlegen.(13) Der Bundesminister für Verfassung, Reformen, Deregulierung und Justiz im Einvernehmen mit dem Bundesminister für Finanzen und die Landesregierungen können, sofern dies einer homogeneren Abwicklung von Vergabeverfahren dient, für den jeweiligen Vollziehungsbereich bzw.
\nTeile des jeweiligen Vollziehungsbereiches durch Verordnung jeweils eine bestimmte elektronische Kommunikationsplattform festlegen, welche die öffentlichen Auftraggeber im jeweiligen Vollziehungsbereich bei der elektronischen Kommunikation zu nutzen haben. In dieser Verordnung sind nähere Festlegungen hinsichtlich des Umfanges der Verpflichtung zur Nutzung einschließlich einer etwaigen Verpflichtung, auch die Ausschreibungs- oder Wettbewerbsunterlagen gemäß Paragraph 89, auf der Kommunikationsplattform zur Verfügung zu stellen, zu treffen sowie nähere Modalitäten zur Nutzung vorzuschreiben. Der Bundesminister für Verfassung, Reformen, Deregulierung und Justiz im Einvernehmen mit dem Bundesminister für Finanzen und die Landesregierungen können, sofern dies einer homogeneren Abwicklung von Vergabeverfahren dient, für den jeweiligen Vollziehungsbereich bzw.
\nTeile des jeweiligen Vollziehungsbereiches durch Verordnung technische Anforderungen zur Sicherstellung des Datenaustausches zwischen elektronischen Kommunikationsplattformen festlegen.
\nBestimmungen für den Abschluss von Rahmenvereinbarungen und die Vergabe von Aufträgen aufgrund von Rahmenvereinbarungen Allgemeines § 153. Öffentliche Aufträge können aufgrund einer Rahmenvereinbarung vergeben werden, sofernParagraph 153, Öffentliche Aufträge können aufgrund einer Rahmenvereinbarung vergeben werden, sofern 1. die Rahmenvereinbarung nach Durchführung eines offenen Verfahrens, eines nicht offenen Verfahrens mit vorheriger Bekanntmachung oder eines Verhandlungsverfahrens gemäß den §§ 34 bis 37 sowie 44 Abs. 1 ohne Zuschlagserteilung unter Beachtung der Bestimmungen des § 154 abgeschlossen wurde und1. die Rahmenvereinbarung nach Durchführung eines offenen Verfahrens, eines nicht offenen Verfahrens mit vorheriger Bekanntmachung oder eines Verhandlungsverfahrens gemäß den Paragraphen 34 bis 37 sowie 44 Absatz eins, ohne Zuschlagserteilung unter Beachtung der Bestimmungen des Paragraph 154, abgeschlossen wurde und 2. bei der Vergabe des auf der Rahmenvereinbarung beruhenden öffentlichen Auftrages § 155 beachtet wird.2. bei der Vergabe des auf der Rahmenvereinbarung beruhenden öffentlichen Auftrages Paragraph 155, beachtet wird.
\nAbschluss von Rahmenvereinbarungen § 154. (1) Der öffentliche Auftraggeber hat in der Bekanntmachung oder – sofern ein Verhandlungsverfahren ohne vorherige Bekanntmachung durchgeführt wird – in der Aufforderung zur Angebotsabgabe anzugeben, ob eine Rahmenvereinbarung mit einem einzigen oder mit mehreren Unternehmern abgeschlossen werden soll. Soll eine Rahmenvereinbarung für mehrere öffentliche Auftraggeber abgeschlossen werden, so sind in der Bekanntmachung oder – sofern ein Verhandlungsverfahren ohne vorherige Bekanntmachung durchgeführt wird – in der Aufforderung zur Angebotsabgabe alle abrufberechtigten öffentlichen Auftraggeber eindeutig zu identifizieren. Nach Möglichkeit sind auch kleine und mittlere Unternehmen am Verfahren zum Abschluss einer Rahmenvereinbarung zu beteiligen.Paragraph 154, (1) Der öffentliche Auftraggeber hat in der Bekanntmachung oder – sofern ein Verhandlungsverfahren ohne vorherige Bekanntmachung durchgeführt wird – in der Aufforderung zur Angebotsabgabe anzugeben, ob eine Rahmenvereinbarung mit einem einzigen oder mit mehreren Unternehmern abgeschlossen werden soll.
\nSoll eine Rahmenvereinbarung für mehrere öffentliche Auftraggeber abgeschlossen werden, so sind in der Bekanntmachung oder – sofern ein Verhandlungsverfahren ohne vorherige Bekanntmachung durchgeführt wird – in der Aufforderung zur Angebotsabgabe alle abrufberechtigten öffentlichen Auftraggeber eindeutig zu identifizieren. Nach Möglichkeit sind auch kleine und mittlere Unternehmen am Verfahren zum Abschluss einer Rahmenvereinbarung zu beteiligen.
\nDie maßgeblichen Gründe für die Bewertung der Angebote sind festzuhalten.(2) Die Unternehmer, mit denen die Rahmenvereinbarung abgeschlossen werden soll, werden nach Durchführung eines offenen Verfahrens, eines nicht offenen Verfahrens mit vorheriger Bekanntmachung oder eines Verhandlungsverfahrens gemäß den Paragraphen 34 bis 37 sowie 44 Absatz eins, ermittelt. Eine Rahmenvereinbarung mit einem Unternehmer ist mit jenem Bieter abzuschließen, der das gemäß dem oder den bekannt gegebenen Zuschlagskriterien am besten bewertete Angebot gelegt hat. Eine Rahmenvereinbarung mit mehreren Unternehmern ist mit jenen Bietern abzuschließen, die die gemäß dem oder den bekannt gegebenen Zuschlagskriterien am besten bewerteten Angebote gelegt haben.
\nSoll eine Rahmenvereinbarung mit mehreren Unternehmern abgeschlossen werden, so müssen mindestens drei Unternehmer daran beteiligt sein, sofern eine ausreichend große Zahl von Unternehmern die Eignungskriterien erfüllt hat und eine ausreichend große Zahl von zulässigen Angeboten abgegeben wurde. Die maßgeblichen Gründe für die Bewertung der Angebote sind festzuhalten.
\nIn dieser Mitteilung sind die Gründe der Nichtberücksichtigung sowie die Merkmale und Vorteile des erfolgreichen Angebotes bzw. der erfolgreichen Angebote bekannt zu geben, sofern nicht die Bekanntgabe dieser Informationen öffentlichen Interessen oder den berechtigten Geschäftsinteressen eines Unternehmers widersprechen oder dem freien und lauteren Wettbewerb schaden würde. Eine Verpflichtung zur Mitteilung, mit welchem Unternehmer die Rahmenvereinbarung abgeschlossen werden soll, besteht nicht, wenn ein Verhandlungsverfahren gemäß den Paragraphen 35, Absatz eins, Ziffer 4, 36, Absatz eins, Ziffer 4, oder 7 oder 37 Absatz eins, Ziffer 4, zum Abschluss der Rahmenvereinbarung durchgeführt wurde.
\nVergabe von öffentlichen Aufträgen aufgrund von Rahmenvereinbarungen § 155. (1) Bei der Vergabe der auf einer Rahmenvereinbarung beruhenden Aufträge dürfen die Parteien keine wesentlichen Änderungen an den Bedingungen der Rahmenvereinbarung vornehmen.Paragraph 155, (1) Bei der Vergabe der auf einer Rahmenvereinbarung beruhenden Aufträge dürfen die Parteien keine wesentlichen Änderungen an den Bedingungen der Rahmenvereinbarung vornehmen.
\n