Document Number: JWT_2017040143_20200424L00
ECLI: ECLI:AT:VWGH:2020:RA2017040143.L00
Case Number: Ra 2017/04/0143
Application Type: Vwgh
Court: Verwaltungsgerichtshof (VwGH)
Decision Date: 1587686400000
Word Count: 1714

Spruch
Die Revision wird zurÃ¼ckgewiesen.
BegrÃ¼ndung
1 1.1.Â Der Gemeindeverband BÂ K ist Betreiber eines nÃ¤her bezeichneten Krankenhauses und verwendet ein elektronisches Patientendokumentationssystem ("Patidok") zur FÃ¼hrung der Krankengeschichten der in seiner Anstalt behandelten Patienten. Die Revisionswerberin war in diesem Krankenhaus bis JuliÂ 2016 angestellt. Sie unterzog sich im JahrÂ 2012 dort einem operativen Eingriff, in dessen Zusammenhang Gesundheitsdaten der Revisionswerberin im elektronischen Patientendokumentationssystem gespeichert wurden.
2 Die Revisionswerberin brachte in ihrer (am 12.Â AugustÂ 2015 bei der DatenschutzbehÃ¶rde eingelangten) Beschwerde gemÃ¤ÃŸ Â§Â 31 Abs.Â 1 DSGÂ 2000 vor, in ihrem Recht auf Auskunft verletzt zu sein, weil der Gemeindeverband BÂ K ihr Auskunftsersuchen vom 22.Â AugustÂ 2014 nur unvollstÃ¤ndig beantwortet habe. Dieses betreffe die Ãœbermittlung der Zugriffslisten auf ihre Gesundheitsdaten im Zeitraum 9.Â MÃ¤rzÂ 2014 bis einschlieÃŸlich 22.Â AugustÂ 2014.
3 1.2.Â Mit Bescheid vom 24.Â SeptemberÂ 2015 wies die DatenschutzbehÃ¶rde die Beschwerde der Revisionswerberin ab. 4 In der BegrÃ¼ndung fÃ¼hrte die BehÃ¶rde aus, die Revisionswerberin habe in ihrem Auskunftsbegehren unmissverstÃ¤ndlich zu erkennen gegeben, dass sie nur um Beauskunftung der durch andere Mitarbeiter des Gemeindeverbandes BÂ K getÃ¤tigten Zugriffe auf ihre Gesundheitsdaten ersucht habe. Dass Zugriffe durch auÃŸenstehende Dritte erfolgt bzw.Â abgefragte Daten an diese Ã¼bermittelt worden wÃ¤ren, habe nicht festgestellt werden kÃ¶nnen.
5 Die Benennung konkreter Organwalter oder Bediensteter eines Auftraggebers, die Eintragungen oder Abfragen vorgenommen hÃ¤tten, kÃ¶nne nur dann vom Auskunftsrecht nach Â§Â 26 DSGÂ 2000 umfasst angesehen werden, wenn ein Betroffener hinreichend konkrete Hinweise habe, dass diese Personen ihn in seinen datenschutzrechtlichen Rechten verletzen wÃ¼rden bzw.Â verletzt hÃ¤tten und er gegen diese die Durchsetzung seiner Rechte anstrengen wolle. Das mÃ¼sse ein Betroffener jedoch gegenÃ¼ber dem Auftraggeber im Auskunftsbegehren klar offenlegen. Der Auftraggeber kÃ¶nne nur so eine AbwÃ¤gung vornehmen, ob das Recht auf Auskunft eines Betroffenen das Recht konkreter Organwalter oder Bediensteter auf Geheimhaltung Ã¼berwiege. Die Revisionswerberin habe in ihrem Auskunftsbegehren jedoch keinen konkreten (namensbezogenen) Verdacht eines unzulÃ¤ssigen Zugriffs geÃ¤uÃŸert, sondern pauschal und ohne nÃ¤here BegrÃ¼ndung eine Zugriffsliste angefordert.
6 2.1.Â Das Bundesverwaltungsgericht gab der dagegen erhobenen Beschwerde der Revisionswerberin mit dem angefochtenen Erkenntnis vom 11.Â JuliÂ 2017 teilweise statt und sprach aus, dass der Spruch des angefochtenen Bescheides wie folgt zu lauten habe:
"Der Beschwerde wird teilweise stattgegeben und festgestellt, dass der Gemeindeverband (...) die (Revisionswerberin) in ihrem Recht auf Auskunft dadurch verletzt hat, dass er den unter der Kennung der (CÂ G) vorgenommenen Zugriff auf die DokumentenÃ¼bersicht Ã¼ber die zur Person gespeicherte Krankengeschichte nicht beauskunftet hat."
Im Ãœbrigen wurde die Beschwerde als unbegrÃ¼ndet abgewiesen (SpruchpunktÂ A1.).
7 Die weiteren AntrÃ¤ge, die darauf gerichtet werden waren, eine Verletzung der Einhaltung der DatensicherheitsmaÃŸnahmen festzustellen (lit.Â a), eine Erweiterung aller in Betracht kommenden GegenstÃ¤nde im Verfahren vorzunehmen (lit.Â b), eine der RichtlinieÂ 95/46/EG entsprechende Rechtsgrundlage zu schaffen (lit.Â c) und Ã¼ber die HÃ¶he des Schadens, der der Revisionswerberin erwachsen sei oder noch erwachsen werde, zu urteilen (lit.Â d), wies das Bundesverwaltungsgericht mangels ZustÃ¤ndigkeit zurÃ¼ck (SpruchpunktÂ A2.).
8 Die ordentliche Revision an den Verwaltungsgerichtshof nach Art.Â 133 Abs.Â 4Â B-VG wurde fÃ¼r nicht zulÃ¤ssig erklÃ¤rt (SpruchpunktÂ B.).
9 2.2.Â In der BegrÃ¼ndung stellte das Bundesverwaltungsgericht fest, dass der Gemeindeverband BÂ K eine Zugriffsliste Ã¼ber den gewÃ¼nschten Zeitraum Ã¼bermittelt habe. Mit ihrem E-Mail vom 4.Â SeptemberÂ 2014 an den Datenschutzbeauftragten des Krankenhauses habe die Revisionswerberin um Ãœbermittlung der Originalzugriffsprotokolle mit AnfÃ¼hrung von "ArbSt" und Programmelementen in tatsÃ¤chlicher Reihenfolge ersucht. Am selben Tag sei vom Datenschutzbeauftragten mitgeteilt worden, dass es sich beim Ã¼bermittelten Zugriffsprotokoll um das "original Zugriffsprotokoll" handle, das seit MaiÂ 2014 in diesem Format bei Anfragen ausgehÃ¤ndigt und fÃ¼r Stichprobenkontrollen verwendet werde.
10 Die Zugriffslisten gÃ¤ben nur Zugriffe auf geÃ¶ffnete Dokumente, nicht aber auf die DokumentenÃ¼bersicht wieder. Einige der Zugriffe seien nicht von der genannten Person (CÂ G) getÃ¤tigt worden, sondern von einer anderen Bediensteten, die das Passwort der CÂ G verwendet habe, das an sie von der Vertretung der CÂ G weitergegeben worden sei. Die mittels Patientennavigator getÃ¤tigten Zugriffe, die nur zu einer Vorschau auf die Dokumente fÃ¼hrten, seien ebenfalls nicht enthalten und auf Grund eines Softwarefehlers gar nicht mitprotokolliert. Auf der Liste wÃ¼rden Zugriffe unter der Benutzerkennung der Revisionswerberin selbst und unter jener der CÂ G aufscheinen. Letztere Zugriffe seien getÃ¤tigt worden, um ein Schreiben der Tiroler Patientenvertretung zu beantworten. Es kÃ¶nne nicht festgestellt werden, dass auÃŸenstehende Dritte auf die Daten der Revisionswerberin zugegriffen hÃ¤tten. Es seien jedoch Daten aus der Krankengeschichte der Revisionswerberin an die Tiroler Patientenvertretung Ã¼bermitteln worden. Die Revisionswerberin habe dieser die Vollmacht erteilt, sie in ihrer Funktion als Patientenvertretung zu vertreten und nach deren Ermessen sÃ¤mtliche Aufgaben im gesetzlichen Rahmen wahrzunehmen. Die Revisionswerberin habe mit dieser Vollmacht alle AngehÃ¶rigen der Gesundheitsberufe gegenÃ¼ber der Tiroler Patientenvertretung in AusÃ¼bung ihrer TÃ¤tigkeit von ihrer gesetzlichen Verschwiegenheitspflicht entbunden.
11 In rechtlicher Hinsicht fÃ¼hrte das Bundesverwaltungsgericht zum Umfang des Auskunftsbegehrens -Â wie schon die DatenschutzbehÃ¶rdeÂ - aus, dem Auskunftsbegehren gemÃ¤ÃŸ Â§Â 26 DSGÂ 2000 sei unmissverstÃ¤ndlich zu entnehmen, dass die Revisionswerberin nur um Beauskunftung der durch andere Mitarbeiter des Gemeindeverbandes BÂ K getÃ¤tigten Zugriffe auf ihre Gesundheitsdaten ersucht habe. Dass diese Zugriffe durch auÃŸenstehende Dritte erfolgt seien, habe nicht festgestellt werden kÃ¶nnen.
12 Zur begehrten Beauskunftung interner Zugriffe verwies das Bundesverwaltungsgericht darauf, dass Abfragen durch Mitarbeiter des Auftraggebers, die sich innerhalb des ursprÃ¼nglichen Aufgabengebietes bewegen, nicht der Auskunftspflicht gemÃ¤ÃŸ Â§Â 26 DSGÂ 2000 unterlÃ¤gen, solange sie keine Ãœbermittlungen im Sinn des Â§Â 4 ZÂ 12 DSGÂ 2000 darstellten. Im Ãœbrigen sei auch nicht ersichtlich, dass im beauskunfteten Zeitraum Mitarbeiter im Rahmen des Aufgabengebietes zugegriffen hÃ¤tten, weil lediglich Zugriffe unter der Benutzerkennung der Revisionswerberin selbst ersichtlich seien. Anders liege der Fall jedoch, wenn Daten fÃ¼r ein anderes Aufgabengebiet verwendet wÃ¼rden. Nach der Rechtsprechung des Verwaltungsgerichtshofes liege eine Ãœbermittlung auch bei Abfragen fÃ¼r ein anderes Aufgabengebiet des Auftraggebers vor. Die unter der Kennung von CÂ G durchgefÃ¼hrten Zugriffe seien tatsÃ¤chlich fÃ¼r ein anderes Aufgabengebiet als zur Behandlung der Revisionswerberin, nÃ¤mlich zur weiteren Ãœbermittlung an die Tiroler Patientenvertretung, erfolgt. Soweit hier Dokumente geÃ¶ffnet worden seien, habe man diese Zugriffe auch der Revisionswerberin beauskunftet. Der unter der Kennung von CÂ G erfolgte ZugriffÂ auf die DokumentenÃ¼bersicht der Krankengeschichte der Revisionswerberin sei dieser jedoch nicht beauskunftet worden. Insofern liege eine Verletzung des Auskunftsrechts der Revisionswerberin vor, weshalb der Beschwerde in diesem Punkt stattzugeben gewesen sei. DarÃ¼ber hinausgehende Beauskunftungen Ã¼ber konkrete EmpfÃ¤nger der Daten seien deshalb nicht geboten gewesen, weil die Revisionswerberin ihr Auskunftsbegehren konkret auf die Vorlage einer Zugriffsliste begrenzt habe.
13 3.Â Nach Art.Â 133 Abs.Â 4Â B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulÃ¤ssig, wenn sie von der LÃ¶sung einer Rechtsfrage abhÃ¤ngt, der grundsÃ¤tzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lÃ¶sende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
14 GemÃ¤ÃŸ Â§Â 34 Abs.Â 1Â VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Art.Â 133 Abs.Â 4Â B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren in
nichtÃ¶ffentlicher Sitzung mit Beschluss zurÃ¼ckzuweisen. 15 Nach Â§Â 34 Abs.Â 1aÂ VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der ZulÃ¤ssigkeit der Revision gemÃ¤ÃŸ Art.Â 133 Abs.Â 4Â B-VG an den Ausspruch des Verwaltungsgerichtes gemÃ¤ÃŸ Â§Â 25a Abs.Â 1Â VwGG nicht gebunden. Die ZulÃ¤ssigkeit einer auÃŸerordentlichen Revision gemÃ¤ÃŸ Art.Â 133 Abs.Â 4Â B-VG hat der Verwaltungsgerichtshof im Rahmen der dafÃ¼r in der Revision vorgebrachten GrÃ¼nde (Â§Â 28 Abs.Â 3Â VwGG) zu Ã¼berprÃ¼fen. 16 4.Â In der vorliegenden auÃŸerordentlichen Revision wird zur BegrÃ¼ndung ihrer ZulÃ¤ssigkeit vorgebracht, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Frage, ob Listen, die Zugriffe von Mitarbeitern des Auftraggebers auf sensible Krankendaten enthalten, dem Auskunftsrecht des Â§Â 26 DSGÂ 2000 unterliegen. Das zur Beurteilung von Protokolldaten ergangenen Erkenntnis VwGHÂ 25.11.2008, 2005/06/0301, in dem es um die LÃ¶schung von manuell aufgezeichneten Daten gegangen sei, erweise sich im vorliegenden Fall als nicht einschlÃ¤gig. Zur Auffassung des Bundesverwaltungsgerichts, dass die Zugriffe von Mitarbeitern auf Krankendaten ganz grundsÃ¤tzlich nicht der Beauskunftung unterlÃ¤gen, sondern interne Protokollereignisse seien, gÃ¤be es bislang keine Rechtsprechung des Verwaltungsgerichtshofes. Diese Frage sei aber weit Ã¼ber den Einzelfall hinaus von grundsÃ¤tzlicher Bedeutung. WÃ¤re es nÃ¤mlich nicht notwendig, die Zugriffe auf sensible Daten zu beauskunften, wÃ¼rde dem Datenmissbrauch durch neugierige Mitarbeiter des Auftraggebers TÃ¼r und Tor geÃ¶ffnet. Mitarbeiter des Auftraggebers kÃ¶nnten auf diese Weise Kenntnis von Daten erlangen, ohne dass der Auskunftswerber hierÃ¼ber Auskunft erhielte. WÃ¼rde hingegen der Auftraggeber die Daten einem Dritten Ã¼bermitteln oder innerhalb seiner SphÃ¤re diese fÃ¼r ein anderes Aufgabengebiet verwenden, lÃ¤ge eine auskunftspflichtige DatenÃ¼bermittlung vor. Folge man der unzutreffenden Auffassung des Bundesverwaltungsgerichts, wÃ¼rde die Pflicht zur Geheimhaltung sensibler Daten durch den Auftraggeber massiv aufgeweicht werde. Diese Rechtsfolge sei aus der Rechtsprechung des Verwaltungsgerichtshofes nicht zu erschlieÃŸen. Die zu Â§Â 26 Abs.Â 1 DSGÂ 2000 ergangene -Â nÃ¤her bezeichneteÂ - Rechtsprechung betreffe die gegenstÃ¤ndliche Rechtsfrage nicht einmal im Ansatz. Die LÃ¶sung der Rechtsfrage sei gegenstÃ¤ndlich aber maÃŸgeblich, weil das Bundesverwaltungsgericht die Beschwerde auf Grund der Qualifizierung der von der begehrten Auskunft betroffenen Daten als schlichte Protokollereignisse abgewiesen habe. Bei richtiger LÃ¶sung der Rechtsfrage hÃ¤tte das Bundesverwaltungsgericht aber der Beschwerde Folge geben mÃ¼ssen. Die vom Auskunftsbegehren betroffenen Daten stellten nÃ¤mlich gerade keine Protokollereignisse, sondern die Revisionswerberin betreffende personenbezogene sensible Daten dar. Aus diesem Grund sei die auÃŸerordentliche Revision zulÃ¤ssig.
17 5.Â Die Revision Ã¼bersieht mit ihrem Vorbringen, dass der Verwaltungsgerichtshof im Erkenntnis VwGHÂ 28.4.2009, 2005/06/0194, zum Auskunftsrecht gemÃ¤ÃŸ Â§Â 26 Abs.Â 1 DSGÂ 2000 Folgendes ausgesprochen hat:
"Ausgehend davon, dass das in Â§Â 26 Abs.Â 1 dritterÂ Satz DSGÂ 2000 normierte, hier in Betracht kommende Recht auf Auskunft als Recht auf AnfÃ¼hrung â€šallfÃ¤llige(r) EmpfÃ¤nger oder EmpfÃ¤ngerkreise von Ãœbermittlungen' festgelegt ist, und in Â§Â 4 Z.Â 12 DSGÂ 2000 das â€šÃœbermitteln von Daten' als â€šdie Weitergabe von Daten einer Datenanwendung an andere EmpfÃ¤nger als den Betroffenen, den Auftraggeber oder einen Dienstleister, insbesondere auch das VerÃ¶ffentlichen solcher Daten; darÃ¼ber hinaus auch die Verwendung von Daten fÃ¼r ein anderes Aufgabengebiet des Auftraggebers' definiert ist, kann die Deutung des Ansuchens des BeschwerdefÃ¼hrers als Auskunftsbegehren nach Â§Â 26 Abs.Â 1 DSGÂ 2000 durch die belangte BehÃ¶rde und ihre Auffassung nicht als rechtswidrig erkannt werden, dass sich die Auskunftspflicht des Â§Â 26 Abs.Â 1 DSGÂ 2000 nicht auf Abfragen von Daten durch Mitarbeiter desselben Finanzamtes bezog, jedenfalls soweit seine Daten nicht fÃ¼r ein anderes Aufgabengebiet des Auftraggebers (Finanzamtes) verwendet wurden. Es erscheint auch sachgerecht, das Vorliegen einer Ãœbermittlung im Sinne des Â§Â 26 Abs.Â 1 DSGÂ 2000 nur dann anzunehmen, wenn ein solches auch nach der Definition des Â§Â 4 Z.Â 12 DSGÂ 2000 vorliegt. Allerdings liegt im Sinne dieser Gesetzesstelle ein â€šÃœbermitteln von Daten' auch dann vor, wenn Daten innerhalb der SphÃ¤re ein und desselben Auftraggebers fÃ¼r ein anderes Aufgabengebiet des Auftraggebers verwendet werden."
18 Damit ist die von der Revision aufgeworfene Frage, ob Listen, die Zugriffe von Mitarbeitern des Auftraggebers auf sensible Krankendaten enthalten, dem Auskunftsrecht gemÃ¤ÃŸ Â§Â 26 Abs.Â 1 DSGÂ 2000 unterliegen oder es sich dabei bloÃŸ um "interne Protokollereignisse" handelt, bereits durch den Verwaltungsgerichtshof geklÃ¤rt. Dass das Bundesverwaltungsgericht im vorliegenden Fall von dieser Rechtsprechung abgewichen wÃ¤re, wird von der Revision nicht aufgezeigt und ist auch nicht ersichtlich.
19 6.Â In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinn des Art.Â 133 Abs.Â 4Â B-VG grundsÃ¤tzliche Bedeutung zukÃ¤me. Die Revision war daher zurÃ¼ckzuweisen.
Wien, am 24.Â AprilÂ 2020