Gesamter Gesetzestext

Landesverwaltungsgericht Tirol LVwG-2025/S2/1049-8

Dokumenttyp: Entscheidungstext
Entscheidungsdatum: 06.10.2025
ECLI: ECLI:AT:LVWGTI:2025:LVwG.2025.S2.1049.8

Begründung

IM NAMEN DER REPUBLIK

Mit Schriftsatz vom 29.4.2025, beim Landesverwaltungsgericht Tirol per E-Mail eingelangt am 29.4.2025 um 11:44 Uhr, hat die AA, Adresse 1, **** Z (im Weiteren kurz „Antragstellerin“ genannt), vertreten durch die CC Rechtsanwälte GmbH, Adresse 2, **** Y, die Nachprüfung der von der BB, Adresse 3, **** X (im Weiteren kurz „Auftraggeberin“ genannt) vorgenommenen Ausschreibung im Vergabeverfahren: „Verhandlungsverfahren mit vorheriger Bekanntmachung: *** Herzschrittmacher plus Elektroden incl. Zubehör ***“ beantragt und gleichzeitig einen Antrag auf Erlassung einer einstweiligen Verfügung gestellt.

Das Landesverwaltungsgericht Tirol erkennt durch seine Richterin Mag.a Weißgatterer als Vorsitzende, den Richter Mag. Hengl als Berichterstatter und den Richter Dr. Rosenkranz als weiteres Mitglied des Senates 2 gemäß § 3 Abs 2 Tiroler Vergabenachprüfungsgesetz 2018 (TVNG 2018),

zu Recht:

1. Der Nachprüfungsantrag wird als unbegründet abgewiesen.

2. Der Antrag auf Ersatz der Pauschalgebühr wird als unbegründet abgewiesen.

3. Die einstweilige Verfügung des Landesverwaltungsgerichtes Tirol vom 8.5.2025, LVwG2025/S2/1049-3 wird aufgehoben.

4. Die ordentliche Revision nach Art 133 Abs 4 B-VG ist nicht zulässig.

E n t s c h e i d u n g s g r ü n d e

I.Verfahrensgang:

Mit Schriftsatz vom 29.4.2025, beim Landesverwaltungsgericht Tirol eingelangt per E-Mail am 29.4.2025 um 11:44 Uhr, hat die AA, Adresse 1, **** Z, vertreten durch die CC Rechtsanwälte GmbH, Adresse 2, **** Y, die Nachprüfung der von der von der BB, Adresse 3, **** X im Vergabeverfahren: „Verhandlungsverfahren mit vorheriger Bekanntmachung: *** Herzschrittmacher plus Elektroden incl. Zubehör ***“ beantragt und gleichzeitig einen Antrag auf Erlassung einer einstweiligen Verfügung gestellt.

Im Einzelnen wird im Schriftsatz vom 29.4.2025 ausgeführt, wie folgt:

„A) Die Antragstellerin stellt bezüglich der öffentlichen Ausschreibung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ der BB (Verhandlungsverfahren mit vorheriger Bekanntmachung) tieferstehenden

NACHPRÜFUNGSANTRAG:

I.BEZEICHNUNG DES VERGABEVERFAHRENS SOWIE DER ANGEFOCHTENEN GESONDERT ANFECHTBAREN ENTSCHEIDUNG (§ 11 Abs 1 Z 1 TVNG 2018):

1. Die Antragsgegnerin führt als öffentliche Auftraggeberin unter der Auftragsbezeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ ein Verhandlungsverfahren mit vorheriger Bekanntmachung betreffend die beabsichtigte Vergabe einer Rahmenvereinbarung zur Belieferung von Herzschrittmachern plus Elektroden inklusive Zubehör nach dem Bestbieterprinzip im Oberschwellenbereich durch.

2. Die Ausschreibung ist in 8 Lose unterteilt.

•Los 1: Einkammer-Herzschrittmacher Sondenlos (Leadless-Pacer)

•Los 2: Einkammer-Herzschrittmacher SSIR mit physiologischen Sensor

•Lod 3: Einkammer-Herzschrittmacher SSIR mit einfachen Sensor

•Los 4: Zweikammer-Herzschrittmacher DDDR mit physiologischen Sensor

•Los 5: Zweikammer-Herzschrittmacher DDDR mit einfachen Sensor

•Los 6: Dreikammer Herzschrittmacher Biventrikulär CRT-P

•Los 7: Ein- Zwei- Dreikammer Herzschrittmacher CS-P Elektrode

•Los 8: Herzschrittmacher VDDR

3. Laut Ausschreibung wird die Rahmenvereinbarung mit mindestens drei und höchstens fünf Bietern je Los abgeschlossen.

4. Der Erfüllungszeitraum je Los beträgt 4 Jahre.

5. Die antragsgegenständliche Ausschreibung wurde am 06.04.2025 über das Unternehmensserviceportal bzw am 04.04.2025 über das Beschaffungsportal der Antragsgegnerin sowie am 07.04.2025 europaweit über die Ausschreibungs-Datenbank TED veröffentlicht.

6. Die Ausschreibung wird über das Beschaffungsportal „***“ der DD GmbH, Adresse 4, **** Z, durchgeführt.

7. Die Ausschreibung bzw Teilnahmeantragsordnung (Verfahrensbestimmungen) sieht vor, dass im Rahmen der ersten Stufe des Vergabeverfahrens interessierte Bieter aufgefordert werden, Teilnahmeanträge zu legen (Punkt 1.6.1.1 der Teilnahmeantragsordnung - Verfahrensbestimmungen).

8. Im Rahmen der zweiten Stufe des Vergabeverfahrens werden laut Teilnahmeantragsordnung (Verfahrensbestimmungen) aus allen fristgerecht eingehenden Teilnahmeanträgen nach positiver Feststellung der Eignung, die am besten bewerteten Unternehmen zur Legung von Angeboten eingeladen werden (Punkt 1.6.1.1 der Teilnahmeantragsordnung-Verfahrensbestimmungen).

9. Mit jedem Bieter, der ein Erstangebot gelegt hat, findet/finden sodann ein oder allenfalls mehrere Verhandlungstermin(e) statt. Nach den Verhandlungen werden die Bieter zur Legung eines Letztangebotes aufgefordert (Punkt 1.6.1.7 ff der Teilnahmeantragsordnung-Verfahrensbestimmungen).

10. Die Frist für die Fragenbeantwortung hat am 22.04.2025 um 12:00 Uhr geendet. Die Antragstellerin hat am 14.04.2025 von ihrem Fragerecht Gebrauch gemacht, welche Frage von der Auftraggeberin am 15.04.2025 beantwortet wurde.

11. Die Frist zur Einbringung des Teilnahmeantrages endet (erst) am 07.05.2025 um

10:00 Uhr.

12. Die Antragstellerin hat – nachdem diese die Rechtmäßigkeit der Ausschreibung bezweifelt – noch keinen Teilnahmeantrag eingebracht.

13. Eine Zuschlagsentscheidung oder Widerrufsentscheidung ist bis dato nicht erfolgt.

14. Die Antragstellerin bekämpft bzw angefochten wird, die gemäß § 2 Z 15 lit dd) iVm § 2 Z 15 lit jj) BVergG 2018 gesonderte anfechtbare Ausschreibung der Antragsgegnerin mit der Auftragsbezeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ hinsichtlich Los 2 bis inkl Los 7 (Los 2, Los 3, Los 4, Los 5, Los 6 sowie Los 7).

Beweis:EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

GG, Datenschutzbeauftragter der AA-Gruppe;

Deckblatt der Ausschreibung (Blg ./1);

Nationale Bekanntmachung (Blg ./2);

EU-Bekanntmachung (Blg ./3);

Teilnahmeantragsordnung-Verfahrensbestimmungen (Blg ./4);

Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5);

Fragenbeantwortung der Antragstellerin (Blg ./6);

Von der Antragsgegnerin vorzulegender Vergabeakt;

II.BEZEICHNUNG DES AUFTRAGGEBERS, DES ANTRAGSTELLERS UND GEGEBENENFALLS DER VERGEBENDEN STELLE EINSCHLIEßLICH DEREN ELEKTRONISCHER ADRESSE (§ 11 Abs 1 Z 2 TVNG 2018):

1. Die Antragsgegnerin in Person der BB, FN ***, **** X, Adresse 3, ist öffentlicher Auftraggeber iSd § 1 TVNG 2018.

2. Die Kontaktdaten der Auftraggeberin lauten laut europaweiter Bekanntmachung:

Adresse 3

**** X

E-Mail: ***

Telefon: ***

Internetadresse: https://***.com

Endpunkt für den Informationsaustausch (URL): https://***.com

3. Die Antragstellerin in Person der AA, FN ***, Adresse 1, **** Z, ist eine der führenden Anbieter im Medizinproduktbereich. Die Lieferung von Herzschrittmachern und Defibrillatoren stellt eines der Hauptgeschäftsfelder der Antragstellerin dar.

4. Die Kontaktdaten der Auftraggeberin lauten:

Adresse 1, **** Z

E-Mail: ***

Telefon: ***

Internetadresse: https://www.***.com

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

GG, Datenschutzbeauftragter der AA-Gruppe;

Deckblatt der Ausschreibung (Blg ./1);

Nationale Bekanntmachung (Blg ./2);

EU-Bekanntmachung (Blg ./3);

Von der Antragsgegnerin vorzulegender Vergabeakt;

III.DARSTELLUNG DES MAßGEBLICHEN SACHVERHALTES EINSCHLIEßLICH DES INTERESSES AM VERTRAGSABSCHLUSS (§ 11 Abs 1 Z 3 TVNG 2018):

1. INTERESSE:

1. 1Die Antragstellerin hat ein Interesse am Abschluss des gegenständlichen Vertrages im Hinblick auf Los 2 bis inkl Los 7.

1. 2Das Interesse der Antragstellerin am Vertragsabschluss ergibt sich daraus, dass die Lieferung von Herzschrittmachern, Defibrillatoren und Elektroden und deren Wartung ein wichtiger Geschäftszweig der Antragstellerin ist. Durch die Rechtswidrigkeit im Zuge der Auftragsvergabe droht der Antragstellerin ein beträchtlicher Schaden zu entstehen.

1. 3Die Durchführung des zu vergebenden Auftrages durch die Antragstellerin liegt auch deshalb in ihrem Interesse, weil Referenzprojekte in folgenden Vergabeverfahren typischerweise zum Nachweis der technischen Leistungsfähigkeit von öffentlichen Auftraggebern verlangt werden. Dieser Schaden ist nur durch die Nichtigerklärung der angefochtenen Entscheidung zu vermeiden.

1. 4Werden die Ausschreibungsbestimmungen nicht innerhalb der gesetzlichen vor-gesehenen Frist (hiezu sogleich) angefochten, sind auf Grund ihrer Bestandfestigkeit sowohl die Auftraggeberin als auch die Antragstellerin an die in der Ausschreibung festgelegten – im gegenständlichen Fall rechtswidrigen und rechtlich nicht erfüllbaren – Bestimmungen gebunden, in welchem Fall der Antragsgegnerin ein unwiederbringlicher Schaden entsteht.

1. 5Ferner entgeht der Antragstellerin durch die vorliegenden Rechtswidrigkeiten die Möglichkeit auf eine erfolgreiche Beteiligung an einem rechtskonformen Vergabeverfahren, somit auch die Möglichkeit auf Zuschlagserteilung bzw Abschluss einer Rahmenvereinbarung und Erzielung eines angemessenen Gewinnes. Der unternehmerische Gewinn kann in Hinblick auf den Leistungsgegenstand und den Umfang der Leistung derzeit nicht seriös beziffert werden. Es ist aber grundsätzlich von einer (branchenüblichen) Gewinnspanne von 3% auszugehen. Zudem entginge der Antragstellerin durch die Fortsetzung der rechtswidrigen Vorgehensweise die Chance auf die Erlangung wichtiger Referenzprojekte für künftige Vergabeverfahren.

1. 6Auf Grund der bisherigen Anstrengungen der Antragstellerin zur Wahrung ihrer Rechtsposition sind Kosten in Höhe von zumindest € 9.000,00 angefallen. Durch die nachstehend näher ausgeführten Rechtswidrigkeiten ist daher zumindest ein Schaden in dieser Höhe entstanden.

1. 7Die Antragstellerin hat auch im zwischenzeitig von der Antragsgegnerin widerrufenen „Vorverfahren“ unter der Auftragsbezeichnung „*** Ausschreibung HSM + Elektroden incl. Zubehör/***“ einen Teilnahmeantrag abgegeben, woraus das Interesse der Antragstellerin deutlich wird.

1. 8Die Antragstellerin beabsichtigt im Fall der Bescheinigung der Rechtskonformität der verfahrensgegenständlichen Ausschreibung bzw Streichung der relevanten rechtswidrigen Bestimmung der Ausschreibung einen Teilnahmeantrag zu stellen. Bis dahin kann im Hinblick auf das Gebot eines effektiven Rechtsschutzes nicht verlangt werden, dass die Antragstellerin einen Teilnahmeantrag betreffend die ihres Erachtens rechtswidrige Ausschreibung stellt (LVwG Wien 18.10.2024, VGW 1230956508/2024 mwN).

1. 9Das Interesse der Antragstellerin am Vertragsabschluss wird schließlich auch durch die Fragestellung der Antragstellerin vom 14.04.2025 sowie diesen Nachprüfungsantrag bestätigt.

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

GG, Datenschutzbeauftragter der AA-Gruppe;

Fragenbeantwortung der Antragstellerin (Blg ./6); https://www.***.com;

Von der Antragsgegnerin vorzulegender Vergabeakt;

2. SACHVERHALT:

2. 1Die Antragsgegnerin führt als öffentliche Auftraggeberin unter der Auftragsbe-zeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ ein Verhandlungsverfahren mit vorheriger Bekanntmachung betreffend die beabsichtigte Vergabe einer Rahmenvereinbarung zur Belieferung von Herzschrittmachern plus Elektroden inklusive Zubehör nach dem Bestbieterprinzip im Oberschwellenbereich durch.

2. 2Die Ausschreibung ist in 8 Lose unterteilt.

•Los 1: Einkammer-Herzschrittmacher Sondenlos (Leadless-Pacer)

•Los 2: Einkammer-Herzschrittmacher SSIR mit physiologischen Sensor

•Lod 3: Einkammer-Herzschrittmacher SSIR mit einfachen Sensor

•Los 4: Zweikammer-Herzschrittmacher DDDR mit physiologischen Sensor

•Los 5: Zweikammer-Herzschrittmacher DDDR mit einfachen Sensor

•Los 6: Dreikammer Herzschrittmacher Biventrikulär CRT-P

•Los 7: Ein- Zwei- Dreikammer Herzschrittmacher CS-P Elektrode

•Los 8: Herzschrittmacher VDDR

2. 3Laut Ausschreibung wird die Rahmenvereinbarung mit mindestens drei und höchstens fünf Bietern je Los abgeschlossen.

2. 4Der Erfüllungszeitraum je Los beträgt 4 Jahre.

2. 5Die Ausschreibung wird über das Beschaffungsportal „DD“ der DD GmbH, Adresse 4, **** Z, durchgeführt.

2. 6Die Teilnahmeantragsordnung (Verfahrensbestimmungen) sieht vor, dass im Rahmen der ersten Stufe des Vergabeverfahrens interessierte Bieter aufgefordert werden, Teilnahmeanträge zu legen (Punkt 1.6.1.1 der Teilnahmeantragsordnung - Verfahrensbestimmungen).

2. 7Gegenstand der Ausschreibung sind unter anderem „Spezielle Regelungen bei tele-medizinischen Leistungen” (siehe Ziffer 5 der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen):

„5. Spezielle Regelungen bei telemedizinischen Leistungen (wenn anwendbar)

5. 1Die AG geht bei der Erbringung telemedizinischer Leistungen von einer getrennten Verantwortlichkeit gemäß Art. 4 Z. 7 EU-Datenschutz-Grundverordnung (DSGVO) aus, bei welcher das Unternehmen einerseits und die AG andererseits jeweils allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

5. 2Das Unternehmen und/oder die Hersteller:innen des Medizinprodukts und/oder Betreiber:innen des externen Datenraums (System außerhalb des klinischen Informationssystems der AG) ist Verantwortliche:r gemäß EU-Datenschutz-Grundverordnung (DSGVO) für die Systemverarbeitung, den Betrieb, die Verwaltung und Wartung des externen Datenraums (Systems) sowie für weitere Zwecke, die im Patient:inneneinwilligungsformular des Unternehmens beschrieben werden.

5. 3Für die Inanspruchnahme telemedizinischer Leistungen müssen die Patient:innen eine entsprechende Vereinbarung mit dem Unternehmen abschließen. Dazu hat das Unternehmen mit dem Teilnahmeantrag, oder spätestens mit dem unverbindlichen Erstangebot sein Patient:inneneinwilligungsformular abzugeben.

5. 4Die AG ist Verantwortliche:r gemäß EU-Datenschutz-Grundverordnung (DSGVO) für jene Daten, die mit Zustimmung der Patient:innen aus dem System des Unternehmens und/oder der Hersteller:in ausgelesen und mit der Krankengeschichte der betreffenden Patient:innen im klinischen Informationssystem der AG zusammengeführt werden. Dazu müssen die Patient:innen im Rahmen der telemedizinischen Leistungserbringung mit der AG eine entsprechende Vereinbarung abschließen.

5. 5Der Abschluss eines Datenschutz-Vertrags gem. Art. 28 DSGVO zwischen dem Unternehmen und der AG ist für die Erbringung telemedizinischer Leistungen wegen getrennter Verantwortlichkeit gemäß Art. 4 Z. 7 DSGVO nicht erforderlich.

5. 6Sämtliche Kosten im Zusammenhang mit telemedizinischen Leistungen sind mit den Produktpreisen abgedeckt. Für die Inanspruchnahme telemedizinischer Leistungen fallen während der gesamten Nutzungsdauer weder für die Patient:innen noch die AG zusätzliche Kosten an.“

[Ziffer 5. der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen]

[Hervorhebungen und Unterstreichungen durch den Unterzeichner]

2. 8Im – der Ausschreibung beiliegenden – „Informationsblatt und Einwilligungserklärung für telemedizinische Dienste (wenn anwendbar)“ der Auftraggeberin werden telemedizinische Leistungen wie folgt definiert:

„Telemedizinische Dienste können Überwachung (Telemonitoring) oder Teletherapie umfassen.

Telemonitoring umfasst die medizinische Überwachung des Gesundheitszustands von Patientinnen aus der Entfernung über ein Medizinprodukt (Implantat), wie die Übertragung der aktuellen Batterieleistung und der Funktionsparameter sowie die Übertragung von festgestellten Fehlfunktionen eines Medizinprodukts und eventuell notwendige automatische Therapien aus der Entfernung über ein Medizinprodukt (Implantat).

Unter Teletherapie fallen all jene Behandlungsleistungen, die einen aktiven Eingriff in die Behandlung von Patientinnen über ein Medizinprodukt (Implantat) aus der Entfernung ermöglichen.“

[Hervorhebungen durch den Unterzeichner]

2. 9Bei der Telemedizin wird die medizinische Leistung (Untersuchung, Diagnose etc) durch den behandelnden Arzt nicht anhand einer persönlichen bzw unmittelbaren Untersuchung des Patienten im Krankenhaus vorgenommen, sondern erbringt der behandelnde Arzt die medizinische Leistung aus der Entfernung durch medizinische Auswertung der über den Herzschrittmacher (welcher von der Antragstellerin geliefert wird) übermittelten bzw von der Antragstellerin im Auftrag der Auftraggeberin in einem Datenraum zur Verfügung gestellten Daten des Patienten. Die medizinische Behandlungsleistung wird daher – wie bei einem persönlichen Arztbesuch – allein durch den behandelnden Arzt erbracht. Die Antragstellerin stellt lediglich den Herzschrittmacher sowie die technische Infrastruktur (Datenraum für die Daten, welche vom Herzschrittmacher übermittelt werden) zur Verfügung. Die Auswertung der Daten (welche im Datenraum der Antragstellerin gespeichert werden) ist wiederum Sache des behandelnden Arztes.

2. 10 Die Frist für die Fragenbeantwortung hat am 22.04.2025 um 12:00 Uhr geendet.

2. 11 Die Antragstellerin hat am 14.04.2025 von ihrem Fragerecht Gebrauch gemacht und die Auftraggeberin darauf hingewiesen, dass Ziffer 5. der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen, wonach die Antragstellerin die personenbezogenen Daten der Patienten unzutreffenderweise als Verantwortliche (und nicht als Auftragsverarbeiter im Auftrag der Auftraggeberin) verarbeiten würde, der europäischen Datenschutz-Grundverordnung sowie dem österreichischen Datenschutzgesetz widerspricht und daher rechtswidrig und von der Antragstellerin wie auch den übrigen Teilnehmern unmöglich (Verstoß gegen ein gesetzliches Gebot) erfüllt werden kann.

2. 12 Auf die Unzulässigkeit dieser Bestimmung in der Ausschreibung wurde die Auftraggeberin auch von anderen potenziellen Teilnehmern in deren Fragen aufmerksam gemacht. Dennoch hat die Auftraggeberin die verfahrensgegenständliche Ausschreibung bis dato nicht berichtigt bzw hält an ihrer unzutreffenden – nicht zur Disposition der Vertragsparteien stehenden – datenschutzrechtlichen Rechtsansicht weiterhin fest.

2. 13 Gegenstand der Ausschreibung ist zudem die Lieferung der „Neue Produktgene-ration (wenn anwendbar)“ (siehe Ziffer 4 der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen):

4. Neue Produktgeneration (wenn anwendbar)

4. 1Das Unternehmen beliefert die AG auf deren Verlangen stets mit der neuesten auf dem Markt verfügbaren Produktgeneration und muss bei einem derartigen Produktwechsel keine neue Ausschreibung erfolgen. Das Unternehmen hat für die zugeschlagenen Produkte die jeweiligen Kalkulationsblätter vor der Zuschlagserteilung offenzulegen.

4. 2Preisänderungen sind grundsätzlich nicht zulässig. Sofern die neue Produktgeneration vom Unternehmen auf dem Markt teurer angeboten wird, ist eine Preiserhöhung im Rahmen des gegenständlichen Auftrags ausnahmsweise nur insoweit zulässig, als maximal der gleiche Gewinnaufschlag wie nach der ursprünglichen Kalkulation zulässig ist. Der Nachweis hat durch entsprechende Vorlage eines neuen Kalkulationsblatts durch das Unternehmen zu erfolgen.

[Ziffer 4. der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen]

[Hervorhebungen und Unterstreichungen durch den Unterzeichner]

2. 14Mit Fragenbeantwortung vom 28.04.2025 hat die Auftraggeberin im Sinne von Ziffer 4. ausgeführt, dass der Bieter die von ihm erstellte Preiskalkulation für das betreffende Produkt offenzulegen hat, damit nachvollziehbar ist, wie hoch der Gewinnaufschlag ist. Weiters führt die Auftraggeberin in ihrer Fragebeantwortung vom 28.04.2025 aus, dass Preiserhöhungen nur ausnahmsweise insoweit zulässig sind, als der gleiche Gewinnaufschlag wie bei der ursprünglichen Kalkulation zulässig ist.

2. 15Es wird von der Auftraggeberin daher – losgelöst jeglicher Angemessenheitsprüfung – pauschal die Offenlegung der Preiskalkulation sowie des Gewinnaufschlages der Antragstellerin verlangt.

2. 16Die Frist zur Einbringung des Teilnahmeantrages endet (erst) am 07.05.2025 um 10:00 Uhr. Eine Zuschlagsentscheidung oder Widerrufsentscheidung ist bis dato nicht erfolgt.

2. 17Die Antragstellerin hat – nachdem diese die Rechtmäßigkeit der Ausschreibung bezweifelt – noch keinen Teilnahmeantrag eingebracht. Es kann im Hinblick auf das Gebot eines effektiven Rechtsschutzes auch nicht verlangt werden, dass die Antragstellerin einen Teilnahmeantrag betreffend die ihres Erachtens rechtswidrige Ausschreibung stellt (LVwG Wien 18.10.2024, VGW 1230956508/2024 mwN).

2. 18Die Antragstellerin bekämpft bzw angefochten wird, die gemäß § 2 Z 15 lit dd) iVm § 2 Z 15 lit jj) BVergG 2018 gesonderte anfechtbare Ausschreibung der Antragsgegnerin mit der Auftragsbezeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ hinsichtlich Los 2 bis inkl Los 7.

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

GG, Datenschutzbeauftragter der AA-Gruppe;

Deckblatt der Ausschreibung (Blg ./1);

Nationale Bekanntmachung (Blg ./2);

EU-Bekanntmachung (Blg ./3);

Teilnahmeantragsordnung-Verfahrensbestimmungen (Blg ./4);

Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5);

Fragenbeantwortung der Antragstellerin (Blg ./6);

Informationsblatt und Einwilligungserklärung der Auftraggeberin (Blg ./7);

Von der Antragsgegnerin vorzulegender Vergabeakt;

IV.ANGABEN ÜBER DEN BEHAUPTETEN DROHENDEN ODER BEREITS EINGETRETENEN SCHADEN FÜR DEN ANTRAGSTELLER (§ 11 Abs 1 Z 4 TVNG 2018):

1. Die Antragstellerin hat ein Interesse am Abschluss des gegenständlichen Vertrages im Hinblick auf Los 2 bis inkl Los 7.

2. Das Interesse der Antragstellerin am Vertragsabschluss ergibt sich daraus, dass die Lieferung von Herzschrittmachern, Defibrillatoren und Elektroden und deren Wartung ein wichtiger Geschäftszweig der Antragstellerin ist. Durch die Rechtswidrigkeit im Zuge der Auftragsvergabe droht der Antragstellerin ein beträchtlicher Schaden zu entstehen.

3. Die Durchführung des zu vergebenden Auftrages durch die Antragstellerin liegt auch deshalb in ihrem Interesse, weil Referenzprojekte in folgenden Vergabeverfahren typischerweise zum Nachweis der technischen Leistungsfähigkeit von öffentlichen Auftraggebern verlangt werden. Dieser Schaden ist nur durch die Nichtigerklärung der angefochtenen Entscheidung zu vermeiden.

4. Werden die Ausschreibungsbestimmungen nicht innerhalb der gesetzlichen vor-gesehenen Frist (hiezu sogleich) angefochten worden, sind auf Grund ihrer Bestandfestigkeit sowohl der Auftraggeber als auch der Bieter an die in der Ausschreibung festgelegten – im gegenständlichen Fall rechtswidrigen und rechtlich nicht erfüllbaren – Bestimmungen gebunden, in welchem Fall der Antragsgegnerin ein unwiederbringlicher Schaden entsteht.

5. Ferner entgeht der Antragstellerin durch die vorliegenden Rechtswidrigkeiten die Möglichkeit auf eine erfolgreiche Beteiligung an einem rechtskonformen Vergabeverfahren, somit auch die Möglichkeit auf Zuschlagserteilung und Erzielung eines angemessenen Gewinnes. Der unternehmerische Gewinn kann in Hinblick auf den Leistungsgegenstand und den Umfang der Leistung derzeit nicht seriös beziffert werden. Es ist aber grundsätzlich von einer (branchenüblichen) Gewinnspanne von 3% auszugehen. Zudem würde der Antragstellerin durch die Fortsetzung der rechtswidrigen Vorgehensweise die Chance auf die Erlangung wichtiger Referenzprojekte für künftige Vergabeverfahren entgehen.

6. Auf Grund der bisherigen Anstrengungen der Antragstellerin zur Wahrung ihrer Rechtsposition sind Kosten in Höhe von zumindest € 9.000,00 angefallen. Durch die nachstehend näher ausgeführten Rechtswidrigkeiten ist daher zumindest ein Schaden in dieser Höhe entstanden.

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

GG, pA der Antragstellerin; Fragenbeantwortung der Antragstellerin (Blg ./6); https://www.***.com;

Von der Antragsgegnerin vorzulegender Vergabeakt;

V.BEZEICHNUNG DER RECHTE, IN DENEN DER ANTRAGSTELLER VERLETZT ZU SEIN BEHAUPTET (BESCHWERDEPUNKTE) SOWIE DIE GRÜNDE, AUF DIE SICH DIE BEHAUPTUNG DER RECHTSWIDRIGKEIT STÜTZT (§ 11 Abs 1 Z 5 TVNG 2018):

1. BESCHWERDEPUNKTE/BEZEICHNUNG DER VERLETZTEN RECHTE:

1. 1Verstoß der Ausschreibung betreffend Ziffer 5. der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5):

1.1. 1Angefochten bzw bekämpft wird die gemäß § 2 Z 15 lit dd) iVm § 2 Z 15 lit jj) BVergG 2018 gesonderte anfechtbare Ausschreibung der Antragsgegnerin mit der Auftragsbezeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ hinsichtlich Los 2 bis inkl Los 7,, wonach die Antragstellerin die personenbezogenen Daten der Patienten entgegen der europäischen DatenschutzGrundverordnung nicht als Dienstleister bzw Auftragsverarbeiter im Auftrag der Auftraggeberin, sondern als Verantwortliche verarbeiten würde, was der europäischen Datenschutz-Grundverordnung sowie dem österreichischen Datenschutzgesetz widerspricht und daher rechtswidrig ist und von den Teilnehmern unmöglich rechtlich erfüllt werden kann.

1.1. 2Gemäß Art 83 Abs 4 DSGVO sieht sich die Antragstellerin durch die unzutreffende Rechtsansicht der Auftraggeberin mit Strafdrohungen von bis zu € 10.000.000,00 bzw bis zu 2% ihres gesamten weltweiterzielten Jahresumsatzes des jeweils vorangegangenen Geschäftsjahres konfrontiert.

1.1. 3Die Vorgabe, wonach die Auftragnehmerin als datenschutzrechtlicher Verantwortlicher im Sinne von Art 4 Z 7 DSGVO zu qualifizieren ist, stellt einen Verstoß gegen geltendes Datenschutzrecht sowie gegen die Grundsätze des Vergaberechts gemäß § 20 BVergG 2018 dar.

1.1. 4Die Verpflichtung der Antragstellerin, in der Rolle eines Verantwortlichen zu agieren, stellt eine rechtlich unzulässige – nicht zur Disposition der Parteien stehende – Verschiebung der datenschutzrechtlichen Verantwortung dar und ist geeignet, Bieter in ihrer Teilnahme zu beeinträchtigen oder von der Angebotsabgabe abzuhalten.

1.1. 5Nach der tatsächlichen Aufgabenverteilung ergibt sich klar, dass die Antragstellerin nicht über die Zwecke und Mittel der Datenverarbeitung entscheidet, sondern ausschließlich im Auftrag der Auftraggeberin handelt. Die Antragstellerin ist somit eindeutig Auftragsverarbeiter im Sinne von Art 4 Z 8 DSGVO.

„Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

[Art 4 Z 8 DSGVO]

1.1. 6Die fehlerhafte Zuordnung der Antragstellerin als Verantwortliche widerspricht dem Begriffsverständnis der DSGVO. Sie zwingt die Antragstellerin bzw Teilnehmer/Bieter, eine datenschutzrechtliche Rolle zu übernehmen, die ihnen nach objektiver Rechtslage nicht zukommt und sie gar nicht rechtskonform übernehmen können. Die DSGVO ist unmittelbar anwendbares Unionsrecht. Eine nationale Ausschreibung darf diesem nicht widersprechen.

1.1. 7Die Leistungserbringung ist aufgrund der datenschutzrechtlich zwingenden gesetzlichen Bestimmungen rechtlich unmöglich. Denn die erforderliche Gesamtbetrachtung der tatsächlichen Datenverarbeitungen ergibt, dass die Antragstellerin zwingend als Auftragsverarbeiter iSd DSGVO bzw dem DSG einzuordnen ist. Die Forderung der Auftraggeberin gegen ein Gesetz zu verstoßen, widerspricht zudem dem Grundsatz eines fairen und lauteren Wettbewerb.

1.1. 8Die Ausschreibung verstößt gegen die vergaberechtlichen Grundsätze der Transparenz und Fairness, da sie sachlich unangemessene nicht mit der objektiven Sachlage übereinstimmende und rechtlich fehlerhafte Anforderungen an Bieter stellt. Intransparent ist die Ausschreibung insbesondere deshalb, da in der Ausschreibung nicht festgehalten wird bzw unklar verbleibt, wann die Bestimmung der Ziffer 5. der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5) nunmehr anwendbar sein soll und wann nicht (Arg: „wenn anwendbar“).

1.1. 9Die DSGVO bzw deren Bestimmungen stehen nicht zur Disposition der Auftraggeberin

1.1. 10Die Ausschreibung verstößt zudem gegen das Gebot der Verhältnismäßigkeit gemäß § 20 BVergG 2018. Die Verpflichtung zur Übernahme einer Rolle als Verantwortlicher ist ein gravierender Eingriff in die organisatorische und haftungsrechtliche Struktur eines Unternehmens. Dieser Eingriff ist weder erforderlich noch geeignet, um das Ziel – die datenschutzkonforme Verarbeitung als Auftragsverarbeiter – zu erreichen. Somit ist die Ausschreibung auch nicht verhältnismäßig.

1.1. 11Die Ausschreibung schafft rechtliche Unklarheiten und Intransparenz (Verstoß gegen § 20 Abs 1 Z 1 BVergG). Ein ordnungsgemäßes Vergabeverfahren muss es den Teilnehmern ermöglichen, den rechtlichen Rahmen und die damit verbundenen Pflichten klar zu verstehen. Wenn jedoch die Rolle des Auftragnehmers als Verantwortlicher ohne die nötige rechtliche Grundlage vorgegeben wird, führt dies zu Verwirrung und Unsicherheit. Ein ordnungsgemäßes Vergabeverfahren verlangt klare und nachvollziehbare Anforderungen. Die fehlerhafte Darstellung der datenschutzrechtlichen Rolle verstößt gegen diese Anforderungen und verhindert eine faire und transparente Wettbewerbssituation.

1.1. 12Die Antragstellerin erachtet sich durch die angefochtene Entscheidung zusammengefasst in ihrem Recht auf gesetzeskonforme Teilnahme an einem gesetzmäßigen Vergabeverfahren nach den Bestimmungen des BVergG, im Recht auf ordnungsgemäße Durchführung des Vergabeverfahrens, Einhaltung des Transparenzgebotes sowie eines fairen und lauteren Wettbewerbs, dem Recht auf Verhältnismäßigkeit, dem Recht auf Einhaltung der geltenden Unions- und nationalen Rechtsordnung, dem Recht auf Festlegung einer (vergabe-)rechtskonformen nicht gesetzeswidrigen Ausschreibung durch die Auftraggeberin, dem Recht auf nicht diskriminierende/intransparente Ausschreibungsbedingungen, Einhaltung der in Österreich geltenden datenschutzrechtlichen Bestimmungen, auf Abgabe eines vergaberechtskonformen Teilnahmeantrags/Angebots und im Recht auf Abschluss eines Rahmenvertrags mit dem tatsächlichen Bestbieter verletzt. Bei gesetzeskonformer Vorgehensweise der Auftraggeberin wäre die Antragstellerin in der Lage, einen wettbewerbsfähigen Teilnahmeantrag abzugeben.

1. 2Verstoß der Ausschreibung betreffend Ziffer 4. der Teilnahmeantragsordnung + Aus-

schreibungsordnung Vertragsbestimmungen (Blg ./5):

1.2. 1Angefochten bzw bekämpft wird die gemäß § 2 Z 15 lit dd) iVm § 2 Z 15 lit jj) BVergG 2018 gesonderte anfechtbare Ausschreibung der Antragsgegnerin mit der Auftragsbezeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ hinsichtlich Los 2 bis inkl Los 7 zudem insofern, als einerseits von den Teilnehmern/Bietern die Offenlegung ihrer Kalkulationsblätter bzw Preiskalkulation sowie insbesondere die Offenlegung des Gewinnaufschlages verlangt wird sowie andererseits auf einseitiges Verlangen der Auftraggeberin die jeweils neueste Produktgeneration ohne neue Ausschreibung zu liefern ist.

1.2. 2Die Ausschreibung ist insofern diskriminierend, da Marktteilnehmer oder Hersteller für neue Produkte keine Chance erhalten ein Angebot zu legen. Die Klausel verschafft dem ursprünglichen Auftragnehmer das alleinige Bezugsrecht für alle künftigen Produktgenerationen, ungeachtet deren technischer, preislicher oder qualitativer Eigenschaften. Es kommt zu einem Auftrag (auch) für neue Produkte, ohne dass andere Anbieter berücksichtigt werden.

1.2. 3Durch diese Regelung wird ein wirksamer Wettbewerb verhindert und gegen das Gleichbehandlungsgebot verstoßen, weil bei einem Produktwechsel kein neuer Wettbewerb bzw keine neue Ausschreibung durchgeführt wird. Es verbleibt sohin unklar, ob es nicht günstigere Angebote anderer Marktteilnehmer geben würde. Das widerspricht dem Ziel des BVergG durch Wettbewerb das wirtschaftlich günstigste Angebot zu ermitteln.

1.2. 4Zudem wird die Auswahlentscheidung nicht auf Basis einer vergaberechtskonformen Angebotsprüfung, sondern einseitig durch die Auftraggeberin ohne Berücksichtigung von Konkurrenzangeboten getroffen. Das Verfahren wird dadurch intransparent und für Dritte nicht überprüfbar.

1.2. 5Die Ausschreibung ist auch deshalb intransparent, weil in der Ausschreibung nicht festgehalten wird bzw unklar verbleibt, wann die Bestimmung der Ziffer 4. der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5) anwendbar sein soll und wann nicht (Arg: „wenn anwendbar“). Das Transparenzgebot verlangt, dass Kriterien für die Auftragsvergabe klar, eindeutig und nachvollziehbar festgelegt werden. Die angefochtene Ausschreibung enthält jedoch keine Definition der „neuesten Produktgeneration“. Es verbleibt offen, was die Auftraggeberin darunter versteht.

1.2. 6Die sukzessive Belieferung mit neuen Produktgenerationen stellt eine wesentliche Vertragsänderung dar, weil die Änderung geeignet ist, den Wettbewerb zu verfälschen. Da Produktgenerationen regelmäßig technische Neuerungen, Preisänderungen und Marktveränderungen beinhalten, handelt es sich nicht bloß um eine Aktualisierung, sondern um neue Leistungen, die nicht vorhersehbar konkret beschrieben werden können.

1.2. 7Außerdem wird gegen den – auch im Anwendungsbereich des BVergG zu beachtenden – Schutz des Geschäfts- und Betriebsgeheimnisses der Antragstellerin sowie der übrigen Teilnehmer verstoßen, wenn die Auftraggeberin pauschal die Offenlegung der Kalkulationsgrundlagen wie insbesondere des Gewinnaufschlages fordert. Die Auftraggeberin darf derartige Geschäfts- und Betriebsgeheimnisse nicht pauschal – ohne vertiefte Angebotsprüfung gemäß § 137 BVergG – verlangen. Eine generelle Verpflichtung zur Offenlegung der Gewinnmarge ist gegenständlich nicht notwendig und nicht verhältnismäßig und geht über das Aufklärungsbedürfnis der Auftraggeberin nach § 137 BVergG hinaus.

1.2. 8Nachfolge-Technologien können nicht einfach zum gleichen Preis angeboten werden. Das entbehrt jedem wirtschaftlichen Prinzip von Innovation. Die Antragstellerin kann keine Preis-Kalkulation von Nachfolge-Modellen anstellen, da diese die Entwicklungskosten zukünftiger Produkte aktuell gar nicht kennt bzw kennen kann. Dadurch wird die Ausschreibung für die Antragstellerin unkalkulierbar.

1.2. 9Die Antragstellerin erachtet sich durch die angefochtene Entscheidung daher auch insofern in ihrem Recht auf gesetzeskonforme Teilnahme an einem gesetzmäßigen Vergabeverfahren nach den Bestimmungen des BVergG, im Recht auf ordnungsgemäße Durchführung des Vergabeverfahrens, Einhaltung des Transparenzgebotes sowie eines fairen und lauteren Wettbewerbs, dem Recht auf Verhältnismäßigkeit, dem Recht auf Einhaltung der geltenden Unions- und nationalen Rechtsordnung, dem Recht auf Festlegung einer (vergabe-)rechtskonformen nicht gesetzeswidrigen Ausschreibung durch die Auftraggeberin, dem Recht auf nicht diskriminierende/intransparente Ausschreibungsbedingungen, auf Abgabe eines vergaberechtskonformen Teilnahmeantrags/Angebots und im Recht auf Abschluss eines Rahmenvertrags mit dem tatsächlichen Bestbieter verletzt. Bei gesetzeskonformer Vorgehensweise der Auftraggeberin wäre die Antragstellerin in der Lage, einen wettbewerbsfähigen Teilnahmeantrag abzugeben.

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

GG, Datenschutzbeauftragter der AA-Gruppe;

Deckblatt der Ausschreibung (Blg ./1);

Nationale Bekanntmachung (Blg ./2);

EU-Bekanntmachung (Blg ./3);

Teilnahmeantragsordnung-Verfahrensbestimmungen (Blg ./4);

Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5);

Fragenbeantwortung der Antragstellerin (Blg ./6);

Informationsblatt und Einwilligungserklärung der Auftraggeberin (Blg ./7);

Von der Antragsgegnerin vorzulegender Vergabeakt;

2. GRÜNDE DER RECHTSWIDRIGKEIT IM EINZELNEN (1):

2. 1Gegenstand der angefochtenen Ausschreibung sind sogenannte telemedizinische Leistungen, welche in datenschutzrechtlicher Hinsicht in Ziffer 5 der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5) vorgegeben werden wie folgt:

„5. Spezielle Regelungen bei telemedizinischen Leistungen (wenn anwendbar)

[Punkt 5. der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen]

2. 2Im – der Ausschreibung beiliegenden – „Informationsblatt und Einwilligungserklärung für telemedizinische Dienste“ der Auftraggeberin werden telemedizinische Leistungen wie folgt definiert:

„Telemedizinische Dienste können Überwachung (Telemonitoring) oder Teletherapie umfassen.

Unter Teletherapie fallen all jene Behandlungsleistungen, die einen aktiven Eingriff in die Behandlung von Patientinnen über ein Medizinprodukt (Implantat) aus der Entfernung ermöglichen.“

2. 3Bei der Telemedizin wird die medizinische Leistung (Untersuchung, Diagnose etc) durch den behandelnden Arzt nicht anhand einer persönlichen bzw unmittelbaren Untersuchung des Patienten im Krankenhaus vorgenommen, sondern erbringt der behandelnde Arzt die medizinische Leistung aus der Entfernung durch medizinische Auswertung der über den Herzschrittmacher (welcher von der Antragstellerin geliefert wird) übermittelten bzw von der Antragstellerin im Auftrag der Auftraggeberin in einem Datenraum zur Verfügung gestellten Daten des Patienten. Die medizinische Behandlungsleistung wird daher – wie bei einem persönlichen Arztbesuch – weiterhin durch den behandelnden Arzt erbracht. Die Antragstellerin stellt lediglich den Herzschrittmacher sowie die technische Infrastruktur (Datenraum für die Daten, welche vom Herzschrittmacher übermittelt werden) zur Verfügung. Die Auswertung der Daten (welche im Datenraum der Antragstellerin gespeichert werden) ist wiederum Sache des behandelnden Arztes.

2. 4Auch in Ziffer 5.4 der Ausschreibung wird klargestellt, dass die telemedizinischen Leistungen von der Auftraggeberin erbracht werden.

2. 5Die Ausschreibung der Antragsgegnerin – wonach die Antragstellerin die Patientendaten als Verantwortliche verarbeiten würde – verstößt gegen die zwingend anzuwendenden Bestimmungen der Datenschutzgrundverordnung sowie das nationale Datenschutzgesetz. Denn die erforderliche Gesamtbetrachtung der tatsächlichen Datenverarbeitungen ergibt, es sei wiederholt, dass die Antragstellerin zwingend als Auftragsverarbeiter iSd. DSGVO bzw des DSG einzuordnen ist.

2. 6Gemäß Art 28 DSGVO ist Auftragsverarbeiter, wer im Auftrag eines Verantwortlichen personenbezogene Daten verarbeitet.

„Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

[Art 4 Z 8 DSGVO]

2. 7Demgegenüber ist Verantwortlicher im Sinne von Art 4 Z 7 DSGVO die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten (Patientendaten) entscheidet.

„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

[Art 4 Z 7 DSGVO]

2. 8Die Antragstellerin als Auftragsverarbeiter stellt der Auftraggeberin allein das technische Produkt und die für die Erbringung der telemedizinischen Leistung erforderliche technische Infrastruktur bzw den Datenraum („System“ iSv Ziffer 5.2 der Ausschreibung) zur Verfügung. Die Auftraggeberin als Verantwortliche erbringt dann durch das implantierte Produkt und die Nutzung der Infrastruktur die „medizinische Überwachung des Gesundheitszustands“ ihrer Patienten als telemedizinische Leistung. Alles andere würde schon gegen den Arztvorbehalt nach §§ 3 Abs 1 und Abs 2 ÄrzteG 1998 verstoßen, welcher lautet wie folgt:

„(1) Die selbstständige Ausübung des ärztlichen Berufes ist ausschließlich Ärztinnen/Ärzten für Allgemeinmedizin, approbierten Ärztinnen/Ärzten, Fachärztinnen/Fachärzten und Ärztinnen/Ärzten mit partiellem Berufszugang (§ 5a Abs. 1a) vorbehalten.

(2) Die selbständige Ausübung des ärztlichen Berufes besteht in der eigenverantwortlichen Ausführung der im § 2 Abs. 2 und 3 umschriebenen Tätigkeiten, gleichgültig, ob solche Tätigkeiten freiberuflich oder im Rahmen eines Dienstverhältnisses ausgeübt werden.“

[§ 3 Abs 2 ÄrzteG 1998]

2. 9Die Erbringung von telemedizinischen Leistungen durch die Antragstellerin als Verantwortliche ist wegen des zwingenden Arztvorbehalts nicht möglich.

Die Antragstellerin darf keine telemedizinischen Leistungen gegenüber dem Patienten anbieten. Vielmehr wird die Antragstellerin im Auftrag für die Auftraggeberin tätig, die gegenüber ihren Patienten telemedizinische Leistungen anbietet.

2. 10Soweit die Auftraggeberin in Ziffer 5.3 der Ausschreibung verlangt, dass der Patient „für die Inanspruchnahme telemedizinischer Leistungen eine entsprechende Vereinbarung“ mit dem Hersteller schließen muss, ist unklar und intransparent, welche Leistungen die Antragstellerin gegenüber dem Patienten erbringen sollte.

Die vom Produkt (Herzschrittmacher) der Antragstellerin über das Internet übermittelten Daten sind für den Patienten nutzlos. Nur der behandelnde Arzt kann die Daten bewerten und den Gesundheitszustand des Patienten daraus ableiten (Diagnose). Der Patient oder die Antragstellerin selbst können das verständlicherweise nicht. Die Antragstellerin verarbeitet die Daten für keine sonstigen – als die von der Auftraggeberin vorgegebenen – Zwecke, sodass die Antragstellerin für diese Verarbeitung auch nicht die Einwilligung des Patienten benötigt.

2. 11Soweit die Antragstellerin die Gesundheitsdaten des Patienten in ihrem System verarbeitet, geschieht dies allein im Auftrag der Auftraggeberin, welche die Daten von dort gemäß Ziffer 5.4 der Ausschreibung „[auslesen] und mit der Krankengeschichte der betreffenden Patient:innen im klinischen Informationssystem der AG [zusammenführt]“.

2. 12Überhaupt sendet das telemedizinfähige Produkt nur dann die erfassten Gesundheitsdaten des Patienten an das System der Antragstellerin, wenn der Patient mit dem behandelnden Arzt (der Auftraggeberin) eine Vereinbarung darüber geschlossen hat, dass die Behandlung um eine telemedizinische Komponente erweitert wird.

Mit anderen Worten: Die Antragstellerin übermittelt nur dann die Daten des Herzschrittmachers in ihr proprietäres (Empfangs-)System, wenn der behandelnde Arzt dies wünscht. Die Antragstellerin handelt also allein auf Weisung des Behandlers. Sämtliche Datenverarbeitungen im System der Antragstellerin teilen dieses Schicksal.

2. 13Die Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“ sind funktionelle Begriffe, die darauf abzielen, Verantwortlichkeiten entsprechend den tatsächlichen Rollen der datenverarbeitenden Stellen zuzuweisen. Zur Bestimmung der Rollen kommt es auf die tatsächlichen Tätigkeiten der beteiligten Stellen in einer konkreten Situation an. Die Rollenverteilung steht insbesondere nicht zur (vertraglichen) Disposition der Beteiligten (vgl European Data Protection Board: Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2, vom 7. Juli 2021, Rn. 12), zumal mit der Stellung als Verantwortlicher oder Auftragsverarbeiter auf Pflichten gegenüber Dritten wie etwa den Patienten einhergehen.

2. 14Wesentlich für die Rolle des Verantwortlichen ist es, dass dieser einen rechtlichen oder tatsächlichen Einfluss auf die Entscheidung hat, zu welchem Zweck personenbezogene Daten verarbeitet werden. Dabei kann man insbesondere die Fragen stellen, warum die Verarbeitung durchgeführt wird und wer sie veranlasst.

Die Verarbeitung der personenbezogenen Daten (Gesundheits- und Patientendaten) erfolgt nicht für eigene Zwecke der Antragstellerin, sondern ausschließlich zu Behandlungszwecken und zur Gesundheitsversorgung der Patienten durch die Auftraggeberin als alleinige Verantwortliche.

2. 15Die Auftraggeberin ist unmittelbarer Vertragspartner der Patienten im Rahmen des jeweiligen Behandlungsverhältnisses. Die Auftraggeberin trifft die ärztliche Entscheidung, ob ein Patient ein Implantat erhält und allenfalls darüber hinaus an einer telemedizinischen Behandlung teilnimmt.

2. 16Die Entscheidung, ob und welche telemedizinischen Lösungen für die Behandlung der Patienten zum Einsatz kommen, obliegt ebenfalls ausschließlich der Auftraggeberin.

Somit ist die Entscheidung der Auftraggeberin Voraussetzung für eine spätere Verarbeitung der Patientendaten durch die Antragstellerin. Die Auftraggeberin übt die ausschließliche Entscheidungsbefugnis darüber aus, die Behandlung ihrer Patienten durch die Nutzung telemedizinischer Systeme zu unterstützen und kann diese jederzeit wieder einstellen.

2. 17Die Antragstellerin kann nicht beeinflussen, ob, in welchem Umfang, zu welchem Zweck, oder für welchen Zeitraum eine telemedizinisch unterstütze Behandlung stattfindet.

2. 18Es steht einer Auftragsverarbeitung auch nicht entgegen, dass die Antragstellerin als Auftragsverarbeiter, die technische Infrastruktur vorgibt. Denn entgegen Ziffer 5.2 der Ausschreibung folgt daraus nicht, dass „das Unternehmen Verantwortlicher für die Systemverarbeitung, den Betrieb, die Verwaltung und Wartung des externen Datenraums (Systems) sowie für weitere Zwecke ist, die im Patient:inneneinwilligungsformular des Unternehmens beschrieben werden“.

Bei (insbesondere komplexen) Datenverarbeitungen ist eine saubere Abgrenzung der Verarbeitungen erforderlich. Ausgangspunkt ist der von der Artikel-29-Datenschutzgruppe entwickelte Ansatz, Verarbeitungsvorgänge auf Makroebene als Vorgangsreihen mit einheitlichem Zweck zu betrachten (Ehmann/Selmayr/Bertermann, 3. Aufl. 2024, DS-GVO Art. 26 Rn. 13; Artikel-29-Datenschutzgruppe, WP 169, S. 27; bestätigt durch EDSA-Leitlinien 07/2020 Version 2.0 Rn 43). Der einheitliche Zweck der Verarbeitung der personenbezogenen Daten ist die Behandlung des Patienten, auf die die Antragsstellerin – wie bereits dargelegt – keinen Einfluss hat und haben darf. Eine zu kleinteilige Betrachtung der einzelnen Verarbeitungsschritte, wie etwa die in der Ausschreibung genannte „Wartung“ oder „Verwaltung“ eines Datenraumes, die keinem anderen Zweck als diesem einheitlichen Zweck dient, sondern denklogische Verarbeitungsschritte sind, verstellt den Blick auf die Verarbeitung und deren Zweck als Ganzes (so im Ergebnis auch Ehmann/Selmayr/Bertermann, 3. Aufl. 2024, DS-GVO Art. 26 Rn 13).

2. 19Dass die Antragstellerin ihre Systeme „wartet“ und „verwaltet“, widerspricht nicht dem Konzept der Auftragsverarbeitung. Vielmehr entspricht dies dem gesetzgeberischen Willen, wie Art 28 Abs 3 lit c) DSGVO zeigt. Danach ist der Auftragsverarbeiter dazu verpflichtet, eigenverantwortlich alle gemäß Art 32 DSGVO erforderlichen Maßnahmen (sog TOMs) für seine Datenverarbeitung zu ergreifen. Damit ist insbesondere gemeint, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen (Art 32 Abs 1 lit b) DSGVO). Es ist unschädlich, wenn die Antragstellerin innerhalb des vertraglich und durch Weisungen bestimmten Rahmens über Hardware und Software (mit-)entscheidet. Eine andere Sichtweise würde dazu führen, dass man grundsätzlich jeden Anbieter komplexer Datenverarbeitungsdienstleistungen als Verantwortlichen einordnen müsste, obwohl dieser nicht über die Zwecke und Mittel der Datenverarbeitung entscheidet.

2. 20Auch der Europäische Datenschutzausschuss (EDSA) macht in seinen Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0, vom 7. Juli 2021 zu Rn 30 deutlich, dass vordefinierte und standardisierte Dienstleistungen keine eigene Verantwortlichkeit begründen:

„Selbst wenn der Auftragsverarbeiter eine Dienstleistung anbietet, die vorab in einer bestimmten Weise definiert wurde, muss er dem Verantwortlichen eine ausführliche Beschreibung der Dienstleistung vorlegen und der Verantwortliche muss die endgültige Entscheidung treffen, die Art und Weise der Verarbeitung aktiv zu genehmigen und erforderlichenfalls Änderungen zu verlangen.

Beispiel: Standardisierter Cloud-Speicherdienst

Ein großer Anbieter von Cloud-Speicherdiensten bietet seinen Kunden die Möglichkeit, große Mengen personenbezogener Daten zu speichern. Die Dienstleistung ist vollständig standardisiert und die Kunden sind kaum oder gar nicht in der Lage, die Dienstleistung individuell zu gestalten. Die Vertragsbedingungen werden einseitig vom Cloud-Anbieter festgelegt und gestaltet und dem Kunden nach dem Motto „Nimm es oder lass es“ zur Verfügung gestellt. Das Unternehmen X beschließt, den Dienst des Cloud-Anbieters für die Speicherung personenbezogener Daten über seine Kunden zu nutzen. Unternehmen X gilt weiterhin als Verantwortlicher, da es sich dafür entschieden hat, diesen bestimmten Cloud-Diensteanbieter zu nutzen, um personenbezogene Daten für seine Zwecke zu verarbeiten. Solange der Cloud-Diensteanbieter die personenbezogenen Daten nicht für eigene Zwecke verarbeitet und die Daten ausschließlich im Auftrag seiner Kunden und weisungsgemäß speichert, gilt der Diensteanbieter als Auftragsverarbeiter.“

2. 21Dies entspricht 1:1 der vorliegenden Situation der ausgeschriebenen telemedizinischen Leistungen.

2. 22Unter Berücksichtigung der obigen Ausführungen ist die in Ziff. 5.5 der Ausschreibung seitens der Auftraggeberin genannte Auffassung, „Der Abschluss eines Datenschutz-Vertrags […] ist […] nicht erforderlich“ unzutreffend und rechtswidrig.

2. 23Neben der Antragstellerin haben auch weitere interessierte Bewerber die Auftraggeberin darauf hingewiesen, dass die Ausschreibung gegen das europäische und nationale Datenschutzrecht sowie die diesbezüglichen Verpflichtungen sowohl der Auftraggeberin als auch der Antragstellerin verstößt.

2. 24Des Weiteren hat sich auch der Branchenverband der Medizinprodukte-Unternehmen in Österreich, JJ, mit der hier hiesigen Fragestellung auseinandergesetzt hat und die Rechtsansicht der Antragstellerin bekräftigt:

„Die JJ hält zusammenfassend fest, dass Telemedizin allein auf Grund der medizinischen Entscheidung des behandelnden Arztes zum Einsatz kommt. Daraus ergibt sich, dass der Klinik die Rolle des datenschutzrechtlich Verantwortlichen zukommt und die Anbieter telemedizinischer Systeme in der Rolle der Auftragsverarbeiter agieren. Alternative Sichtweisen auf die Rollenverteilung sind unter diesen Bedingungen fachlich nicht vertretbar und führen zu unlösbaren rechtlichen Problemen für die Anbieter der entsprechenden Medizinprodukte.“

2. 25Auch die NÖ Landesgesundheitsagentur, Stattersdorfer Hauptstraße 6/C, 3100 St. Pölten geht im laufenden Vergabeverfahren mit der Auftragsbezeichnung „***“ betreffend die Beschaffung von kardiologischen Implantaten (Herzschrittmacher, implantierbare Defibrillatoren, Loop-Recorder und Zubehör) im Sinne dieses Nachprüfungsantrages davon aus, dass die Antragstellerin bzw die Bieter richtigerweise Auftragsverarbeiter iSd DSGVO sind.

2. 26Interessanterweise ist auch die Auftraggeberin selbst bis dato davon ausgegangen, dass die Antragstellerin als Auftragsverarbeiter agiert.

So besteht bereits ein Auftragsverarbeitungsvertrag nach Art 28 Abs 3 DSGVO für die hier gegenständlichen Leistungen der Antragstellerin mit der Auftraggeberin.

Der Vertrag bezieht sich auf Leistungen aus einer früheren Ausschreibung, die inhaltlich deckungsgleich sind mit den Leistungen aus der verfahrensgegenständlichen Ausschreibung. Weder die telemedizinische Funktionalität der Produkte der Antragstellerin noch die von der Auftraggeberin zu erbringenden telemedizinischen Leistungen haben sich verändert. Und da sich auch die damit verbundenen Datenverarbeitungen nicht verändert haben, ist eine abweichende rechtliche Bewertung schlicht nicht nachvollziehbar.

In diesem Zusammenhang ist zudem darauf hinzuweisen, dass aus bzw im Zusammenhang mit der früheren Ausschreibung gegenüber den bisherigen Patienten der Antragsgegnerin nach wie vor Leistungen seitens der Antragsgegnerin wie auch der Antragstellerin erbracht werden, auf welche nach wie vor – richtigerweise – der Auftragsverarbeitungsvertrag angewendet wird. Sollte die Antragsgegnerin ihre verfahrensgegenständliche unzutreffende Ansicht nicht ändern, würde dies im Umkehrschluss bedeuten, dass nach Meinung der Antragsgegnerin, die gesamte bisherige Leistungserbringung gegenüber ihren bisherigen Patienten datenschutzwidrig und solcherart verwaltungsrechtlich strafbar war/ist.

2. 27Eine Gesamtbetrachtung der konkreten Tätigkeiten der Antragsstellerin im Rahmen der Erbringung der ausgeschriebenen telemedizinischen Leistungen durch die Auftraggeberin führt daher zwangsläufig zum eindeutigen Schluss, dass die telemedizinischen Leistungen, deren Rahmenbedingungen von der Ausschreibung festgelegt werden sollen, ausschließlich als Auftragsverarbeitung gemäß Art 28 DSGVO durch die Antragstellerin erbracht werden können. Die Verfolgung eigener Zwecke durch die Antragstellerin und die damit verbundene Begründung einer eigenen Verantwortlichkeit ist rein optional und hat nichts mit dem Gegenstand der Ausschreibung zu tun. Aber selbst wenn dem so wäre, führt auch das nicht dazu, dass getrennte Verantwortlichkeiten im datenschutzrechtlichen Sinn vorliegen würden.

Eine anderweitige vertragliche Konstellation würde eine unzulässige Umgehung der zwingend einzuhaltenden gesetzlichen Vorschriften darstellen.

Bei gesetzeskonformer Vorgehensweise hat die in der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen enthaltene Ausschreibungsbestimmung Ziffer 5 „Spezielle Regelungen bei telemedizinischen Leistungen (wenn anwendbar)“ [inklusive Ziffer 5.1 bis inklusive Z 5.6] ersatzlos zu entfallen. Der Umstand, dass dies nicht geschehen ist, begründet eine Rechtswidrigkeit der Ausschreibung.

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

GG, Datenschutzbeauftragter der AA-Gruppe;

Deckblatt der Ausschreibung (Blg ./1);

Nationale Bekanntmachung (Blg ./2);

EU-Bekanntmachung (Blg ./3);

Teilnahmeantragsordnung-Verfahrensbestimmungen (Blg ./4);

Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5);

Fragenbeantwortung der Antragstellerin (Blg ./6);

Informationsblatt und Einwilligungserklärung der Auftraggeberin (Blg ./7);

Aktuell gültiger Auftragsverarbeitungsvertrag mit der Auftraggeberin (Blg ./8);

Stellungnahme JJ (Blg ./9);

Von der Antragsgegnerin vorzulegender Vergabeakt;

3. GRÜNDE DER RECHTSWIDRIGKEIT IM EINZELNEN (2):

3. 1Gegenstand der Ausschreibung ist die Lieferung der „Neue Produktgeneration (wenn anwendbar)“ (siehe Ziffer 4 der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen):

4. Neue Produktgeneration (wenn anwendbar)

[Ziffer 4. der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen]

[Hervorhebungen und Unterstreichungen durch den Unterzeichner]

3. 2Mit Fragenbeantwortung vom 28.04.2025 hat die Auftraggeberin ausgeführt, dass der Bieter die von ihnen erstellte Preiskalkulation für das betreffende Produkt offenzulegen haben, damit nachvollziehbar ist, wie hoch der Gewinnaufschlag ist. Weiters führt die Auftraggeberin in ihrer Fragebeantwortung vom 28.04.2025 aus, dass Preiserhöhungen für die neue Produktgeneration nur ausnahmsweise zulässig sind, wenn der gleiche Gewinnaufschlag wie bei der ursprünglichen Kalkulation verrechnet wird.

3. 3Es wird von der Auftraggeberin daher – losgelöst jeglicher Angemessenheitsprüfung – pauschal die Offenlegung der Preiskalkulation sowie des Gewinnaufschlages der Antragstellerin verlangt.

3. 4Zur Vermeidung von Wiederholungen darf betreffend die Rechtswidrigkeit dieser Forderung der Auftraggeberin in den Ausschreibungsunterlagen bereits auf die obigen Ausführungen unter Punkt V. Unterpunkt 1.2 dieses Nachprüfungsantrages verwiesen und zudem ergänzend ausgeführt werden wie folgt:

3. 5Gemäß § 137 BVergG hat die Auftraggeberin die angebotenen Preise auf deren Angemessenheit zu prüfen. Eine vertiefte Angebotsprüfung ist gemäß § 137 Abs 2 BVergG nur für den Fall vorgesehen, dass Angebote einen im Verhältnis zur Leistung ungewöhnlich niedrigen Gesamtpreis aufweisen (a) oder Angebote zu hohe oder zu niedrige Einheitspreise in wesentlichen Positionen aufweisen (b) oder begründete Zweifel an der Angemessenheit bestehen (c).

3. 6Aber selbst im Rahmen einer nur im Einzelfall erlaubten vertieften Angebotsprüfung dürfen nur jene Unterlagen verlangt werden, welche erforderlich sind, um zu prüfen, ob die Preise betriebswirtschaftlich erklär- und nachvollziehbar sind (§ 137 Abs 3 BVergG).

3. 7Die Preisprüfung gemäß § 137 BVergG ist eine reine Plausibilitätsprüfung (Kropik in Schramm/Aicher/Fruhmann (Hrsg), Kommentar zum Bundesvergabegesetz 2018 (1. Lfg 2020) zu § 137 BVergG 2018 Rz 9). Sinn und Zweck des § 137 BVergG bzw des § 20 BVergG ist der Schutz vor spekulativen Angeboten, nicht aber die pauschale vorab Ermittlung der Gewinnmargen der Bieter, um spätere Leistungsänderungen preislich bewerten zu können.

3. 8Gewinnmargen und genaue Herstellungskosten sind betriebswirtschaftlichen Kennzahlen, die keine Firma pro Produkt öffentlich macht.

3. 9Gemäß § 365 Abs 2 Z 3 BVergG ist eine Vertragsänderungsklausel zudem nur dann zulässig, wenn diese einerseits „klar, eindeutig und präzise formuliert“ und andererseits Angaben zu Umfang und Art der möglichen Änderung enthält.

3. 10Im gegenständlichen Fall ist die Ausschreibungsbestimmung Ziffer 4 „neue Pro-duktgeneration (wenn anwendbar)“ aber alles andere als klar, eindeutig und präzise formuliert.

Gemäß § 365 Abs 3 Z 5 BVergG sind Zusatzaufträge nur dann zulässig, wenn es sich um Zusatzleistungen handelt, also gerade keine Änderung bereits beauftragter Leistungen vorliegt. Im gegenständlichen Fall kommt es jedoch zu einer unzulässigen Änderung, nämlich dem Austausch der Produkte. Derartige Zusatzleistungen wie auch Änderungen nach § 365 Abs 3 Z 5 BVergG müssen zudem erforderlich sein (Kurz in Heid/Deutschmann/Hofbauer/Reisner (Hrsg), BVergG 2018 (2019) zu § 365 BVergG 2018 Rz 9).

3. 11Bei gesetzeskonformer Vorgehensweise hat die in der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen enthaltene Ausschreibungsbestimmung Ziffer 4 „neue Produktgeneration (wenn anwendbar)“ [inklusive Ziffer 4.1 bis inklusive Z 4.2] daher ersatzlos zu entfallen. Der Umstand, dass dies nicht geschehen ist, begründet eine Rechtswidrigkeit der Ausschreibung.

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

Deckblatt der Ausschreibung (Blg ./1);

Nationale Bekanntmachung (Blg ./2);

EU-Bekanntmachung (Blg ./3);

Teilnahmeantragsordnung-Verfahrensbestimmungen (Blg ./4);

Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5);

Fragenbeantwortung der Antragstellerin (Blg ./6);

Von der Antragsgegnerin vorzulegender Vergabeakt;

VI. ZUR ZULÄSSIGKEIT DES ANTRAGES (§ 11 Abs 1 Z 7 TVNG 2018):

1. In der Teilnahmeantragsunterlagen ist die BB, FN ***, **** X, Adresse 3, als Auftraggeberin angeführt.

2. Alleingesellschafterin der Auftraggeberin ist das Land Tirol.

3. Die Auftraggeberin ist somit ein Unternehmen, an welchem das Land Tirol mit mindestens 100% des Stammkapitals beteiligt ist, sodass die Antragsgegnerin öffentliche Auftraggeberin iSd § 1 TVNG 2018 ist.

4. Mangels bisheriger Zuschlagserteilung bzw mangels Widerruf der Ausschreibung ist das LVwG Tirol zur Durchführung des Nachprüfungsverfahrens zuständig.

5. Die in der ersten Stufe des Verfahrens am 06.04.2025 im USP (bzw am 07.04.2025 europaweit) bekanntgemachte Ausschreibung ist eine gesondert anfechtbare Entscheidung des Auftraggebers gemäß § 2 Z 15 lit dd) iVm § 2 Z 15 lit jj BVergG 2018.

6. Gemäß den übermittelten Teilnahmeantragsunterlagen ist der Teilnahmeantrag spätestens am 07.05.2025 um 10:00 Uhr einzubringen.

7. Gemäß § 10 Abs 3 TVNG 2018 sind Nachprüfungsanträge betreffend den Inhalt der Ausschreibungsunterlagen – wie im gegenständlichen Fall – bis spätestens 7 Tage vor Ablauf der Teilnahmeantragsfrist zulässig (wobei der Tag der Antragstellung sowie der Endzeitpunkt [07.05.2025] nicht mitgerechnet werden).

8. Der gegenständliche Nachprüfungsantrag ist daher rechtzeitig.

9. Gemäß § 24 TVNG 2018 iVm § 1 Tiroler Vergabegebührenverordnung (LGBl Nr. 115/2018) ist mit der Antragstellung eine (Gesamt-) Pauschalgebühr von € 3.000,00 (€ 2.000,00 für den Antrag auf Nichtigerklärung und € 1.000,00 für den Antrag auf Erlassung der einstweiligen Verfügung) entrichtet worden. Der betreffende Einzahlungsbeleg liegt diesem Schriftsatz bei.

10. Sollte das LVwG Tirol entgegen den obigen Ausführungen zu einer anderen Gebührenermittlung kommen, darf schon jetzt bekannt gegeben werden, dass die Antragstellerin selbstverständlich einer weiteren Gebührenvorschreibung umgehend nachkommen wird.

11. Die Antragstellerin hat die Gebühren für die Einleitung des vorliegenden Nachprüfungsantrages in Höhe von insgesamt € 3.000,00 bezahlt.

12. Die Pauschalgebühr für Beschwerden an das LVwG Tirol gemäß § 2 VwG-EGebV

in der Höhe von € 30,00 wurde vor Einbringung des vorliegenden verfahrenseinleitenden Schriftsatzes an das Finanzamt Österreich entrichtet.

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

GG, Datenschutzbeauftragter der AA Gruppe;

Deckblatt der Ausschreibung (Blg ./1);

Nationale Bekanntmachung (Blg ./2);

EU-Bekanntmachung (Blg ./3);

Teilnahmeantragsordnung-Verfahrensbestimmungen (Blg ./4);

Firmenbuchabschrift der Auftraggeberin (Blg ./10);

Kopie des Überweisungsbeleges vom 29.04.2025 (€ 3.000,00) (Blg ./11);

Kopie des Überweisungsbeleges vom 29.04.2025 (€ 30,00) (Blg ./12); Von der Antragsgegnerin vorzulegender Vergabeakt;

VII. ANTRAG AUF NICHTIGERKLÄRUNG DER ANGEFOCHTENEN GESONDERT ANFECHTBAREN ENTSCHEIDUNG (§ 11 Abs 1 Z 6 TVNG 2018):

Die Antragstellerin stellt daher nachstehende

ANTRÄGE:

Das Landesverwaltungsgericht Tirol möge nach Einleitung eines Nachprüfungsverfahrens gemäß § 9 ff TVNG 2018

1)eine mündliche Verhandlung durchführen,

2)die angefochtene Entscheidung der Auftraggeberin, nämlich die gesamteAusschreibung der Auftraggeberin mit der Auftragsbezeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ hinsichtlich Los 2bis inkl Los 7 für nichtig erklären,

in eventu, die in der Ausschreibung der Auftraggeberin mit der Auftragsbezeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ hinsichtlich Los 2 bis inkl Los 7 in der Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen enthaltene Ausschreibungsbestimmung Ziffer 5 „Spezielle Regelungen bei telemedizinischen Leistungen (wenn anwendbar)“ [inklusive Ziffer 5.1 bis inklusive Z 5.6] sowie die Ausschreibungsbestimmung Ziffer 4 „neue Produktgeneration (wenn anwendbar)“ [inklusive Ziffer 4.1 bis inklusive Z 4.2] für nichtig erklären und ersatzlos streichen,

3)Akteneinsicht, in alle von der Antragsgegnerin vorzulegenden Bestandteile des Vergabeaktes gewähren,

4)der Antragsgegnerin den Ersatz der Pauschalgebühren für den Antrag auf Nichtigerklärung, sowie den Antrag auf Erlassung einer einstweiligen Verfügung zu Handen der Rechtsvertreterin der Antragstellerin in der Höhe von insgesamt EUR 3.000,00, binnen 14 Tagen bei sonstiger Exekution auftragen.

B) Darüber hinaus stellt die Antragstellerin gemäß § 15 ff TVNG 2018 den

ANTRAG AUF ERLASSUNG EINER

EINSTWEILIGEN VERFÜGUNG

mit welcher die Ausschreibung der Auftraggeberin mit der Auftragsbezeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ hinsichtlich Los 2 bis inkl Los 7 für die Dauer des Nachprüfungsverfahrens ausgesetzt wird, in eventu der Fortlauf der Frist zur Abgabe von Teilnahmeanträgen hinsichtlich Los 2 bis inkl Los 7 für die Dauer des Nachprüfungsverfahrens ausgesetzt wird, in eventu der Ablauf der Frist zur Abgabe von Teilnahmeanträgen hinsichtlich Los 2 bis inkl Los 7 für die Dauer des Nachprüfungsverfahrens ausgesetzt wird, in eventu der Auftraggeberin die Öffnung der Teilnahmeanträge hinsichtlich Los 2 bis inkl Los 7 für die Dauer des Nachprüfungsverfahrens untersagt wird.

I. BEGRÜNDUNG:

1. Der Antrag auf Erlassung einer einstweiligen Verfügung ist gemäß 15 TVNG 2018 iVm mit dem gegenständlichen Nachprüfungsantrag jedenfalls rechtzeitig.

2. Hinsichtlich der Gebührenentrichtung darf auch Punkt A) Unterpunkt VI. verwiesen werden.

3. Als Begründung für die einstweilige Verfügung wird der gesamte oben angeführte Sachverhalt zur Bescheinigung vorgebracht. Darüber hinaus werden auch die oben angeführten rechtlichen Ausführungen zum Inhalt des gegenständlichen Provisorialbegehrens erhoben.

4. Die Aussetzung der Ausschreibung, in eventu der Teilnahmefrist, in eventu der Untersagung der Öffnung der Teilnahmeanträge ist zwingend erforderlich, da die Auftraggeberin andernfalls unumkehrbare Tatsachen schafft. Einem Antrag auf Nichtigerklärung kommt nämlich gemäß § 9 Abs 3 TVNG 2018 keine aufschiebende Wirkung zu.

5. Von der Erlassung einer einstweiligen Verfügung ist nur dann abzusehen, wenn deren nachteilige Folgen die damit verbundenen Vorteile überwiegen könnten. Unter Berücksichtigung des Aspektes des Unionsrechtes, wonach im Zweifel dem provisorischen Rechtsschutz der Vorrang einzuräumen ist, folgt, dass eine einstweilige Verfügung in der Regel zu erlassen ist (Madl/Hauck in Heid/Preslmayr, Handbuch Vergaberecht², 618 mwN; BVA 27. 8. 2009, N/0088-BVA/04/2009-EV10.).

6. Im gegenständlichen Fall überwiegt darüber hinaus das Interesse der Antragstellerin auf Beseitigung der im gegenständlichen Verfahren von der Antragsgegnerin zu verantwortenden Vergabeverstöße bei weitem gegenüber allfälligen nachteiligen Folgen einer derartigen Maßnahme für die Auftraggeberin.

7. Der Antragstellerin droht im Fall der Fortführung des Verfahrens aufgrund der rechtswidrigen Ausschreibung ein beträchtlicher finanzieller Schaden, jedenfalls die Frustration der Kosten für die gegenständlichen Anträge sowie für die rechtsfreundliche Vertretung im vorliegenden Verfahren. Zur Höhe und Bescheinigung wird auf die Ausführungen unter Punkt A) Unterpunkt III. 1 und Punkt A) Unterpunkt IV. verwiesen. Darüber hinaus entginge der Antragstellerin ein Referenzprojekt, das weitere Folgeaufträge für den (österreichischen und europäischen Markt) sichergestellt hätte.

8. Die Antragstellerin beabsichtigt im Fall der Bescheinigung der Rechtskonformität der verfahrensgegenständlichen Ausschreibung bzw der Streichung der relevanten rechtswidrigen Bestimmung der Ausschreibung selbstredend einen Teilnahmeantrag zu stellen. Bis dahin kann im Hinblick auf das Gebot eines effektiven Rechtsschutzes jedoch nicht verlangt werden, dass die Antragstellerin einen Teilnahmeantrag betreffend die ihres Erachtens rechtswidrige Ausschreibung tatsächlich stellt (LVwG Wien 18.10.2024, VGW 1230956508/2024 mwN).

9. Eine einstweilige Verfügung ist nur dann nicht zu erlassen, wenn besondere Gründe eine Ausnahme vom Prinzip des vergaberechtlichen Rechtsschutzes vor Zuschlagserteilung fordern (siehe dazu BVA 1.10.2002, N-51/02-02 = Heid, RPA 2003, 345).

10. Es sind keine besonderen Interessen der Auftraggeberin ersichtlich, die gegen die Erlassung einer einstweiligen Verfügung sprechen.

11. Den Kosten der Antragstellerin stehen keine (Mehr)Kosten der Auftraggeberin erkennbar gegenüber. Hinzu kommt, dass ein allfälliger finanzieller Mehraufwand als Begründung für eine Abweisung eines Antrages auf Erlassung einer einstweiligen Verfügung untauglich ist (BVA 27. 8. 2009, N/0088-BVA/04/2009-EV10).

12. Jeder umsichtige Auftraggeber muss bei der Planung der Ausschreibung bereits ausreichende Zeitpolster für allfällige Verzögerungen durch Kontrollverfahren einkalkulieren (BVA 29.12.2006, 16N-133/05-9 und BVA 27.1.2006, 16N-8/06-6). Zudem ist zu berücksichtigen, dass nach Sichtweise des VfGH auch die Sicherstellung der Auftragserteilung an den tatsächlichen Bestbieter im öffentlichen Interesse gelegen ist (VfGH 25.10.2002, B1369/01).

13. Besondere öffentliche Interessen, die für eine Fortführung des Vergabeverfahrens vor der rechtskräftigen Sachentscheidung durch das LVwG Tirol sprechen könnten, sind ebenfalls nicht ersichtlich. Derartige zwingende öffentliche Gründe können grundsätzlich nur insoweit geltend gemacht werden, wenn diese von der Auftraggeberin nicht vorhergesehen werden konnten und diese nicht zulassen, Fristen gemäß dem BVergG einzuhalten. Verzögerungen, die durch die Rechtsschutzmöglichkeiten des BVergG entstehen, sind für die Antragsgegnerin jedenfalls vorhersehbar gewesen (VfGH 1. 8. 2002, B1194/02; ebenso BVA 10. 4. 2008, N/0042-BVA/07/2008-EV14; 2. 11. 2007, N/0098-BVA/11/2007-7EV; uva).

14. Damit handelt es sich bei der begehrten einstweiligen Verfügung jedenfalls um die einzige und gleichzeitig geringste noch zum Ziel führende vorläufige Maßnahme.

Bescheinigung: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF pA der Antragstellerin;

GG, Datenschutzbeauftragter der AA Gruppe;

Deckblatt der Ausschreibung (Blg ./1);

Nationale Bekanntmachung (Blg ./2);

EU-Bekanntmachung (Blg ./3);

Teilnahmeantragsordnung-Verfahrensbestimmungen (Blg ./4);

Teilnahmeantragsordnung + Ausschreibungsordnung Vertragsbestimmungen (Blg ./5);

Fragenbeantwortung der Antragstellerin (Blg ./6);

Informationsblatt und Einwilligungserklärung der Auftraggeberin (Blg ./7);

Aktuell gültiger Auftragsverarbeitungsvertrag mit der Auftraggeberin (Blg ./8);

Firmenbuchabschrift der Auftraggeberin (Blg ./10);

Kopie des Überweisungsbeleges vom 29.04.2025 (€ 3.000,00) (Blg ./11); Kopie des Überweisungsbeleges vom 29.04.2025 (€ 30,00) (Blg ./12);

https://www.***.com;

Von der Antragsgegnerin vorzulegender Vergabeakt;

C) Die Antragstellerin erstattet zudem nachstehende

URKUNDENVORLAGE:

Deckblatt der Ausschreibung Beilage ./1

Nationale Bekanntmachung Beilage ./2

EU-Bekanntmachung Beilage ./3

Teilnahmeantragsordnung-Verfahrensbestimmungen Beilage ./4

Teilnahmeantragsordnung + Ausschreibungsordnung VertragsbestimmungenBeilage ./5

Fragenbeantwortung der Antragstellerin Beilage ./6

Informationsblatt und Einwilligungserklärung der Auftraggeberin Beilage ./7

Aktuell gültiger Auftragsverarbeitungsvertrag mit der Auftraggeberin Beilage ./8

Stellungnahme JJBeilage ./9

Firmenbuchabschrift der AuftraggeberinBeilage ./10

Kopie des Überweisungsbeleges vom 29.04.2025 (€ 3.000,00)Beilage ./11

Kopie des Überweisungsbeleges vom 29.04.2025 (€ 30,00)Beilage ./12“

Unter einem hat die Antragstellerin folgende Urkunden gelegt, die zum Akt genommen und wie folgt bezeichnet wurden:

•Deckblatt der Ausschreibung Beilage ./A

•Nationale Bekanntmachung Beilage ./B

•EU-Bekanntmachung Beilage ./C

•Teilnahmeantragsordnung - Verfahrensbestimmungen Beilage ./D

•Teilnahmeantragsordnung und Ausschreibungsordnung –

VertragsbestimmungenBeilage ./E

•Fragenbeantwortung der Antragstellerin Beilage ./F

•Informationsblatt und Einwilligungserklärung der Auftraggeberin Beilage ./G

•Aktuell gültiger Auftragsverarbeitungsvertrag mit der Auftraggeberin Beilage ./H

•Stellungnahme JJBeilage ./J

•Firmenbuchabschrift der AuftraggeberinBeilage ./K

•Kopie des Überweisungsbeleges über Entrichtung der Eingabegebührvom 29.4.2025Beilage ./L

•Kopie des Überweisungsbeleges über Entrichtung der Pauschalgebührvom 29.4.2025Beilage ./M

Mit Schreiben des Landesverwaltungsgerichtes Tirol vom 29.4.2025 wurde die Auftraggeberin vom Eingang des Nachprüfungsantrages samt Antrag auf Erlassung einer einstweiligen Verfügung informiert und auf die Bestimmung des § 15 Abs 6 TVNG 2018 ausdrücklich hingewiesen.

Am 29.4.2025 wurde die Einleitung des Nachprüfungsverfahrens auf der Homepage des Landesverwaltungsgerichtes Tirol kundgemacht.

Mit Schriftsatz vom 6.5.2025, eingelangt an diesem Tag per Web-ERV um 11:55 Uhr, hat die Auftraggeberin repliziert wie folgt:

„I. Stellungnahme zum Nachprüfungsantrag:

Seitens der BB wird zum vorliegenden Nachprüfungsantrag innerhalb offener Frist nachstehende

Stellungnahme

erstattet und wie folgt ausgeführt:

A.) Das Vorbringen der Antragstellerin im Nachprüfungsantrag vom 29.04.2025 wird, soweit es nicht im Einzelnen ausdrücklich außer Streit gestellt wird, zur Gänze bestritten.

Außer Streit gestellt wird, dass die Antragsgegnerin das im Betreff bezeichnete Vergabeverfahren als Verhandlungsverfahren mit vorheriger Bekanntmachung im Oberschwellenbereich am 07.04.2025 europaweit via TED veröffentlichte. Die Ausschreibung wurde in 8 Lose unterteilt und der Abschluss einer Rahmenvereinbarung für den Zeitraum von 4 Jahren angestrebt.

Die Frist für die Fragenbeantwortung endete am 22.04.2025, 12:00 Uhr und langten insgesamt 17 Fragen zeitgerecht ein. Darunter befanden sich auch Fragen zu den von der Antragstellerin erwähnten Themen 1. Telemedizinische Leistungen (Fragen 17, 12, 4 und 1) sowie zum Thema 2 Neue Produktgeneration (Fragen 15 + 16) - siehe Katalog Bieterfragen und -antworten sowie Ausführungen zu 2.: Zuletzt wurde am 5.5.2025 eine Frage zum Thema „Neue Produktgeneration“ beantwortet.

Die Teilnahmeantragsfrist endet am 7.5.2025, 10.00 Uhr.

B.) Maßgebliche Ausführungen zum Vorbringen der Antragstellerin:

a.) Behauptete Rechtswidrigkeit betreffend spezielle Regelungen zu telemedizinischen Leistungen (Z5

Teilnahmeantragsordnung und Pkt. 5. Ausschreibungsordnung Vertragsbestimmungen und Informationsblatt und Einwilligungserklärung für telemedizinische Dienste):

Das Vorbringen der Antragstellerin wird zurückgewiesen und dazu im Einzelnen ausgeführt wie folgt:

1. ) Zunächst ist klarzustellen, dass gemäß Art 4 Z 7 DSGVO als „Verantwortlicher“ jene natürliche oder juristische Person gilt, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Demgegenüber ist der „Auftragsverarbeiter“ im Sinne des Art 4 Z 8 DSGVO eine Stelle, die personenbezogene Daten ausschließlich im Auftrag und nach Weisung eines Verantwortlichen verarbeitet.

Zutreffend ist, dass die Begriffe „Verantwortlicher" und „Auftragsverarbeiter“ jeweils funktionelle Konzepte sind, die darauf abzielen, Verantwortlichkeiten den tatsächlichen Rollen der Parteien zuzuweisen. Entscheidend ist also die tatsächliche Einflussnahme auf Zweck und Mittel und nicht die formale oder vertragliche Etikettierung. Eine bloße Auftragsverarbeitung im Sinne des Art. 28 DSGVO liegt nur dann vor, wenn die verarbeitende Stelle vollständig weisungsgebunden handelt und keine eigenen Zwecke verfolgt.

Die Antragstellerin trifft Entscheidungen über den Aufbau, Betrieb und die Wartung des telemedizinischen Systems, die Auswahl und Konfiguration der Hard- und Softwarekomponenten, die technischen und organisatorischen Sicherheitsmaßnahmen, die Struktur und die Kategorien der verarbeiteten Daten sowie die Nutzung dieser Daten zu eigenen Zwecken wie Produktverbesserung, Qualitätssicherung etc.

Im konkreten Fall der ausgeschrieben telemedizinischen Leistung obliegt die datenschutzrechtliche Verantwortlichkeit nicht bei der Antragsgegnerin. Vielmehr liegt die Entscheidung über Zweck und Mittel der Verarbeitung bei der Antragsstellerin, die das System bereitstellt und die Verarbeitung eigenständig steuert. Diese Kontrolle über Zweck und Mittel begründet eine eigenständige Verantwortlichkeit. Eine rein weisungsgebundene Verarbeitung - konstitutiv für eine Auftragsverarbeitung gemäß Art. 28 DSGVO - liegt nicht vor.

Ferner hält die Argumentation der Antragstellerin, sie verarbeite die Daten ausschließlich „zur Gesundheitsversorgung der Patient:innen durch die Antragsgegnerin" , einer sachlichen Überprüfung nicht stand. Tatsächlich umfasst die Verarbeitung durch die Antragstellerin unter anderem die initiale Erhebung und Übertragung der Daten vom implantierten Gerät, die Speicherung und Vorhaltung der Daten im internen System, auch über die Dauer einer konkreten Behandlung hinaus (beispielsweise bei einem Wohnortwechsel der Patientinnen und hinkünftiger kardiologischer Betreuung an einer anderen Krankenanstalt) und die Verwertung dieser Daten für eigene Zwecke, sofern dies durch die Patientinnen genehmigt wurde. Diese Verarbeitungsschritte erfolgen somit nicht im Auftrag, sondern in eigener Zuständigkeit und Verantwortung.

2. ) Zudem setzt die Antragstellerin in ihrer Argumentation fälschlicherweise die medizinische Verantwortung der behandelnden Ärztinnen mit der datenschutzrechtliche n Verantwortung für vorgelagerte technische Verarbeitungsprozesse gleich. Dies widerspricht der funktionalen Verantwortlichkeitsbegriff der DSGVO, der allein auf die tatsächliche Kontrolle über Zweck und Mittel der Verarbeitung abstellt (Art. 4 Z 7 DSGVO).

Die medizinische Diagnose oder Therapie obliegt ausschließlich Ärztinnen - dies ist unbestritten und ergibt sich aus dem Ärztegesetz 1998 - ÄrzteG 1998. Die datenschutzrechtliche Verantwortung für die technische Datenverarbeitung liegt jedoch bei der Stelle, die über die Systemarchitektur, Datenkategorien, Zugriffsrechte und Speicherzwecke entscheidet, d.h. also beim Unternehmen und somit bei der Antragsstellerin.

Die in der Ausschreibung beschriebenen telemedizinischen Dienste wie Telemonitoring oder Teletherapie sind in erster Linie technische Prozesse zur Datenübertragung und -Verarbeitung. Die Datenverarbeitung beginnt lange vor der ärztlichen Auswertung, nämlich mit der automatisierten Erfassung, Übertragung, Speicherung und Verarbeitung durch das von der Antragstellerin betriebene System. Die bloße Tatsache, dass Ärztinnen später auf diese Daten zugreifen, begründet keine Verantwortlichkeit der Auftraggeberin für alle vorgelagerten Verarbeitungen. Die eigentliche ärztliche Behandlung beginnt erst nach der Übertragung der Daten. Datenschutzrechtlich handelt es sich also um zwei getrennte Vorgänge.

§ 3 ÄrzteG 1998 regelt zwar die Ausübung ärztlicher Tätigkeiten, nicht aber den technischen Betrieb von Systemen, die zur Unterstützung dieser Tätigkeit eingesetzt werden. Die Verarbeitung personenbezogener Daten durch ein Unternehmen, das nicht medizinisch tätig wird, sondern technische Infrastruktur zur Verfügung stellt und eigenständig verwaltet, verstößt nicht gegen den - von der Antragstellerin vorgebrachten - Arztvorbehalt. Ein Verstoß gegen § 3 ÄrzteG 1998 liegt demnach nicht vor, solange keine medizinischen Diagnosen oder Therapien durch das Unternehmen selbst vorgenommen werden. In diesem Zusammenhang darf darauf hingewiesen werden, dass dies auch nicht Gegenstand der Ausschreibung ist.

Die Antragstellerin betreibt die technische Infrastruktur (einschließlich Hosting, Softwarebetrieb, Wartung und Zugriffskontrolle) vollkommen eigenständig. Sie entscheidet selbst über Verarbeitungsmodalitäten, wie z. B. verwendete Datenkategorien, Speicherdauer. Sicherheitsmaßnahmen und Systemarchitektur. Zudem verarbeitet sie die Daten auch zu eigenen Zwecken, etwa zur internen Qualitätssicherung, Systemwartung und Verbesserung, Produktentwicklung. Die Antragstellerin betreibt und kontrolliert demzufolge das gesamte Datenmanagementsystem, vom Empfang der übermittelten Daten über deren Speicherung bis hin zu deren Wartung und ggf. Weiter-verwertung im Rahmen einer Produktverbesserung. Dies umfasst nicht nur Entscheidungen über Art und Umfang der erfassten Daten, Zugriffsrechte, Speicherort und -dauer, sondern auch Sicherheitsmaßnahmen gemäß Art. 32 DSGVO und evtl. Weiterverwendung zu eigenen Zwecken.

Die Antragsgegnerin hat demzufolge keine Einflussmöglichkeit auf die Ausgestaltung des Systems und agiert datenschutzrechtlich erst ab jenem Zeitpunkt als Verantwortliche, zu dem die Patientlnnendaten mit deren Zustimmung aus dem System der Antragstellerin ausgelesen und in das klinische Informationssystem der Antragsgegnerin übernommen werden. Damit trägt das Unternehmen und damit die Antragstellerin die tatsächliche Verantwortung im datenschutzrechtlichen Sinne.

Diese tatsächliche Trennung der Kontrolle und Entscheidungsbefugnisse führt zu einer datenschutzrechtlichen Aufteilung der Verantwortlichkeit. Demnach ist die Antragstellerin Verantwortliche für sämtliche Verarbeitungen innerhalb ihres eigenen Systems, die im Rahmen des Systembetriebs erfolgen. Die Auftraggeberin ist Verantwortliche für die Verarbeitung jener Daten, die sie aktiv übernimmt und im Rahmen ihrer Behandlung verwendet.

3. ) Die getrennte datenschutzrechtliche Verantwortlichkeit zwischen der Antragstellerin, die telemedizinische Dienste bereitstellt und der Antragsgegnerin zeigt sich besonders deutlich in der Frage, wer im Fall eines tatsächlichen Data Breach haftet und verantwortlich ist.

Wie bereits ausgeführt, betreibt die Antragstellerin die technische Plattform vollkommen eigenständig. Die Antragsgegnerin hat auf diese technischen Prozesse keinerlei Zugriff, keine Kontrolle und keine Einflussmöglichkeit. Sie nutzt lediglich definierte Schnittstellen (z. B. zur Datenabfrage bei Vorliegen einer Patientinneneinwilligung), nimmt aber nicht am Betrieb oder an der Verwaltung des Systems teil.

Im Fälle eines Data Breach ist allein die Antragstellerin in der Lage und auch verpflichtet, auf die Verletzung zu reagieren, diese zu bewerten, die Aufsichtsbehörde zu informieren (Art. 33 DSGVO) und ggf. betroffene Personen zu benachrichtigen (Art. 34 DSGVO). Die Antragsgegnerin kann keine Verantwortung für Systeme oder Datenverarbeitungen übernehmen, die sie nicht betreibt, nicht steuert, nicht einsehen oder administrieren kann.

Im Falle eines Data Breach, etwa durch einen Angriff auf die Server der Antragstellerin, fehlerhafte Konfiguration oder den Verlust von Datensätzen, ist die Antragsgegnerin weder in der Lage, den Vorfall aufzuklären, noch kann sie technische oder organisatorische Maßnahmen ergreifen, um zukünftige Vorfälle zu verhindern. Die Verantwortlichkeit im Sinne des Art. 4 Z 7 DSGVO liegt deshalb zwingend bei der Antragstellerin.

Nach Art. 33 und 34 DSGVO sind ausschließlich jene Stellen meldepflichtig, die Verantwortliche im Sinne des Datenschutzrechts sind. Die m Unternehmen wäre zu all dem nicht in der Lage, nicht verpflichtet und auch nicht berechtigt, da sie keine Verantwortung für den Systembetrieb oder die Datenverarbeitung im System der Antragstellerin trägt.

Würde man trotz dieser klaren Systemtrennung eine gemeinsame oder gar alleinige Verantwortlichkeit der Antragsgegnerin annehmen, hätte dies erhebliche praktische und rechtliche Konsequenzen. Die Antragsgegnerin müsste nicht nur für Sicherheitsmängel haften, die sie nicht beeinflussen kann, sondern die Antragsgegnerin müsste auch Verstöße melden, die außerhalb ihres Einblicks und Einflussbereichs liegen. Außerdem würde die Antragsgegnerin eine Sorgfaltspflicht für Systeme tragen müssen, die ihr nicht gehören und würde dies zu einer systemwidrigen Ausweitung der Haftung der Antragsgegnerin führen.

4. ) Die Antragstellerin beruft sich zur Stützung ihrer Position auf das Beispiel eines Cloud-Speicherdienstes in Rn. 30 der EDSA-Leitlinien 07/2020, um ihre Rolle als Auftragsverarbeiter zu untermauern. Bei näherer Betrachtung enteist sich dieser Vergleich jedoch als unzutreffend und irreführend, da er zentrale Unterschiede in der tatsächlichen Verarbeitungstiefe und Verantwortungsstruktur verkennt.

Zwar lässt sich auf den ersten Blick eine gewisse formale Parallele erkennen: Auch die Antragstellerin stellt ein standardisiertes, nicht individualisierbares System bereit, das - ähnlich wie im Fall eines Cloudanbieters - unter ihrer alleinigen technischen Kontrolle steht. Architektur, Infrastruktur und Systembetrieb werden eigenständig verwaltet, einschließlich Datensicherheit und Zugriffskontrolle.

Doch genau an dieser Stelle endet die Vergleichbarkeit. Der entscheidende Unterschied liegt in der funktionalen Einbindung und der datenschutzrechtlich relevanten Zielrichtung der Datenverarbeitung. Während ein Cloud-Speicherdienst ausschließlich auf dokumentierte Weisung des Kunden agiert, keinerlei eigenen Bezug zu den verarbeiteten Inhalten hat und keine eigenen Zwecke verfolgt, liegt der Fall bei der Antragstellerin gänzlich anders.

Die Antragstellerin verarbeitet Gesundheitsdaten nicht nur passiv oder auf Weisung, sondern erhebt, analysiert und nutzt diese aktiv in eigenen Systemen. Diese Datenverarbeitung erfolgt unter anderem zur Systemüberwachung, Produktverbesserung, Qualitätssicherung sowie zur Erfüllung regulatorischer Pflichten und das sind Zwecke, die klar außerhalb des Einflussbereichs der Antragsgegnerin liegen und nicht durch eine bloße Weisung abgedeckt sind. Dies stellt ein klassisches Beispiel eigen ständiger Zweckverfolgung im Sinne des Art. 4 Z 7 DSGVO dar.

Gerade die EDSA-Leitlinien machen deutlich, dass eine Auftragsverarbeitung nur dann vorliegt, wenn der Dienstleister ausschließlich auf Weisung handelt und keine eigenen Zwecke verfolgt. Diese Kernvoraussetzung ist im vorliegenden Fall jedoch gerade nicht erfüllt. Vielmehr liegt eine eigene datenschutzrechtliche Entscheidungshoheit der Antragstellerin über wesentliche Aspekte der Verarbeitung vor und damit ein klarer Indikator für eine eigenständige Verantwortlichkeit.

Die Antragstellerin befindet sich also nicht, wie sie selbst darstellt, in einer vergleichbaren Rolle wie der Cloud-Anbieter, sondern in einer deutlich aktiveren und tiefer eingebundenen Position (siehe Daten schutzrechtliche Rollenfestlegung in der Cloud: Herausforderunge n und Sphärentheorie als Lösungsansatz von Kelderer, Anton A.). Sie nutzt die übermittelten Daten nicht lediglich zur Speicherung, sondern zu eigenständigen, teilweise medizin-produkterechtlich oder wirtschaftlich motivierten Verarbeitungszwecken. Eine solche Konstellation ist mit dem datenschutzrechtlichen Rollenverständnis eines reinen Auftragsverarbeiters unvereinbar.

Die Berufung auf das EDSA-Beispiel verkennt daher den entscheidenden Unterschied; Anders als beim Cloud-Anbieter liegt bei der Antragstellerin eine klare eigene Zweckverfolgung vor. Genau dies aber ist das entscheidende Kriterium, das sie, unabhängig von ihrer technischen Leistungserbringung, als datenschutzrechtlich Verantwortliche qualifiziert. Somit bestätigt gerade die von ihr angeführte EDSA-Stelle nicht ihre Rechtsauffassung, sondern widerspricht ihr in zentralen Punkten und stützt vielmehr die zutreffende rechtliche Einschätzung der Antragsgegnerin, wonach eine getrennte Verantwortlichkeit im Sinne der DSGVO vorliegt.

5. ) Es ist zwar zutreffend, dass die bloße technische Vorgabe eines Systems für sich genommen keine Verantwortlichkeit im datenschutzrechtlichen Sinne begründet. Jedoch greift die von der Antragstellern vertretene Argumentation - wie oben bereits ausgeführt-zu kurz, da sie verkennt, dass die Antragstellerin über die tatsächliche Ausgestaltung, den Betrieb und die Weiterverwendung der erhobenen Daten entscheidet.

Der Verweis auf den Grundsatz der „Makroebene“ (einheitlicher Zweck) aus der Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ (Artikel-29-Datenschutzgrppe, WP 169) ist irreführend. Dieser Grundsatz bezieht sich auf Situationen, in denen eine inhaltlich und prozessual einheitliche Verarbeitung innerhalb derselben Verantwortlichkeit erfolgt. Im vorliegenden Fall bestehen jedoch zwei technisch und rechtlich getrennte Verarbeitungsketten (sog. Mikroebene) (siehe Artikel-29-Datenschutzgrppe, WP 169, S. 25). Die erste Verarbeitung erfolgt im System der Antragstellerin, das die Daten autonom erhebt, speichert und ggf. verarbeitet. Die zweite Verarbeitung setzt ein, sobald die Patientinnen zustimmen und die Antragsgegnerin die Daten

für medizinische Zwecke ausliest und in die Krankenakte integriert.

Diese getrennten Verarbeitungsabschnitte mit unterschiedlichen Zwecken und Verantwortlichkeiten lassen sich gerade nicht auf einen einheitlichen Makrozweck „Behandlung“ reduzieren. Auch der EDSA betont, dass eine gemeinsame oder einheitliche Verarbeitung voraussetzt, dass beide Parteien aktiv über Zweck und Mittel entscheiden ~ was im Fall der Antragsgegnerin aber erst nach Datenübernahme zutrifft.

Richtig ist, dass Auftragsverarbeiter nach Art. 28 Abs. 3 lit. c DSGVO zur Umsetzung technischer und organisatorischer Maßnahmen verpflichtet sind. Diese Vorschrift betrifft jedoch nur den Schutz der Verarbeitung im Rahmen einer echten Auftragsverarbeitung und sagt nichts darüber aus, ob überhaupt eine solche vorliegt.

Wenn ein Unternehmen, wie im vorliegenden Fall, selbstständig darüber entscheidet, wie das System technisch aufgebaut ist, wie lange Daten gespeichert werden, wer Zugriff hat und ob (und wie) Daten für eigene Zwecke verwendet werden, handelt es sich nicht um eine Auftragsverarbeitung, sondern um eine eigenständige Verantwortlichkeit.

Würde man dem Argument der Antragstellerin folgen, müssten alle Anbieter komplexer Gesundheits-IT-Lösungen, Plattformbetreiber oder Medizinprodukthersteller, die mit Gesundheitsdaten umgehen, systematisch als Auftragsverarbeiter behandelt werden - selbst wenn diese eigene Zwecke verfolgen und eigenständig handeln. Dies widerspricht nicht nur der DSGVO, sondern auch der gefestigten Praxis und den EDSA-Leitlinien 07/2020 (Rn. 30), wonach Anbieter standardisierter Dienste mit eigenen Entscheidungskompetenzen regelmäßig als Verantwortliche einzuordnen sind.

6. ) Zudem steht die Argumentation der Antragstellerin, sie handle ausschließlich auf Weisung der Antragsgegnerin gemäß Art. 28 DSGVO als Auftragsverarbeiterin, in einem offensichtlichen Widerspruch zur tatsächlichen Ausgestaltung ihres Handelns und der technischen Infrastruktur, die sie betreibt.

Aus den Ausschreibungsunterlagen geht eindeutig hervor, dass die Antragsgegnerin im Rahmen der Vergabe keine Patientinnen-Applikation beauftragt hat. Dennoch betreibt die Antragstellerin eine eigenständig entwickelte Patientinnen-Applikation, deren Nutzung weder konzeptionell noch technisch von der Antragsgegnerin veranlasst oder gesteuert wird (siehe Screenshots 1 bis 6 und Formblatt AA Patient App). Die Antragstellerin verarbeitet darin personenbezogene Daten - insbesondere Gesundheitsdaten - nicht bloß im Auftrag, sondern zu selbst gesetzten Zwecken im Rahmen ihrer eigenen Systemarchitektur. Dies wird auch daran deutlich, dass die Applikation unabhängig von einem konkreten Behandlungsauftrag zugänglich ist, solange ein kompatibles Herzrhythmusimplantat vorhanden ist (siehe Formblatt AA Patient App).

Beweis:

Screenshots 1 bis 6 und Formblatt AA Patient App

Im Rahmen des Download- und Registrierungsprozesses wird klar vermittelt, dass die Nutzung der Applikation voraussetzt, dass die betroffene Person ein entsprechendes Implantat trägt und idealer weise an ein bestimmtes, herstellergebundenes Monitoring-System angebunden ist. Dabei werden die durch das Implantat erhobenen Daten mit weiteren, innerhalb der Applikation abgefragten Informationen verknüpft und verarbeitet - etwa durch die Venwendung von Patientinnen- oder internationalen Implantatausweisen bei der Anmeldung.

Beweis:

Formblatt AA Patient App

Dieses Vorgehen erfüllt eindeutig die Kriterien einer eigenverantwortlichen Datenverarbeitung im Sinne des Art. 4 Z 7 DSGVO, da die Antragstellerin selbst über die Zwecke (z. B. Darstellung, Verknüpfung, Weiterleitung und Speicherung der Daten) und Mittel (z. B. eingesetzte Software, Datenformate, Speicherorte, Zugriffskonzepte) der Verarbeitung entscheidet. Die Antragstellerin agiert dabei nicht im Rahmen eines bloßen „Datenraums“, sondern als eigenständige datenschutzrechtlich Verantwortliche.

Insbesondere der Verweis in der Datenschutzerklärung der Patient:innen-Applikation der Antragstellerin auf die Einwilligung als Rechtsgrundlage (siehe Datenschutzerklärung für die AA Patient App Seite 2) bestätigt diese Einschätzung. Die Datenverarbeitung erfolgt auf Basis einer rechtlichen Beziehung zwischen der betroffenen Person und der Antragstelleri n - und nicht auf Grundlage eines Weisungsverhältnisses mit der Antragsgegnerin. Eine solche Konstruktion ist mit der Rolle eines Auftragsverarbeiters gemäß Art. 28 DSGVO nicht vereinbar, da dort eine eigene Auswahl der Rechtsgrundlage durch den Auftragsverarbeiter gerade ausgeschlossen ist.

Beweis:

Datenschutzerklärung für die AA Patient App, Seite 2

7. ) Die Argumentation der Antragstellerin verkennt außerdem den wesentlichen Unterschied zwischen der medizinischen Leistungserbringung durch die behandelnden Ärztinnen und der technischen Datenverarbeitung im Rahmen telemedizinischer Systeme, wie sie von der Antragstellerin betrieben werden.

Zwar ist die medizinische Empfehlung und Behandlung (z. B. zur Implantation eines Herzschrittmachers oder zur Auswertung von Daten) den behandelnden Ärztinnen Vorbehalten. Die technische Erfassung, Übertragung, Speicherung und ggf. Verarbeitung der vom Implantat generierten Daten erfolgt jedoch vollständig unabhängig davon in einem eigenständigen technischen System, für das die Antragstellerin als Betreiberin die Verantwortung trägt

Demzufolge bleiben die Ärztinnen bzw, die Antragsgegnerin für die medizinische Bewertung verantwortlich, nicht Jedoch für die Art, den Zweck oder die Mittel der Systemverarbeitung, wie z. B. Datenübertragung, Hosting, Backup, Nutzervenwaltung oder Systemlogik.

Die Definition telemedizinischer Dienste in der Einwilligungserklärung der Antragsgegnerin (z.B. Telemonitoring, Teletherapie) beschreibt medizinisch-unterstützende Prozesse, die jedoch aus datenschutzrechtlicher Sicht nicht mit der eigentlichen Behandlung gleichzusetzen sind. Dabei bedeutet Telemonitoring zunächst die technische Überwachung bestimmter Parameter durch ein Implantat, die automatisierte Übertragung dieser Daten und deren Speicherung. Erst in einem nachgelagerten Schritt erfolgt durch die behandelnden Ärztinnen ggf. eine Auswertung der Daten, die dann in den Behandlungsprozess einfließt.

Die Antragstellerin erfüllt sämtliche Kriterien eines eigenständig Verantwortlichen gemäß Art. 4 Z 7 DSGVO, indem sie Betrieb und Hosting des Datenraums selbständig betreibt, sie eigenständige Entscheidungen über die eingesetzte Technologie, Datenarchitektur und Sicherheitsmaßnahmentrifft sowie die Daten für eigene Zwecke wie interne Qualitätssicherung, Systemwartung und Verbesserung, Produktentwicklung nutzt.

Zudem besteht keine Weisungsgebundenheit gegenüber der Antragsgegnerin, was eine Voraussetzung für eine Einordnung als Auftragsverarbeiter gemäß Art. 28 DSGVO wäre.

Der Hinweis, die Daten würden "im Auftrag der Antragsgegnerin in einem Datenraum zur Verfügung gestellt", ist irreführend, denn die Antragstellerin entscheidet eigenständig, wie, wo und zu welchen technischen Zwecken die Daten gespeichert und mit der vom Hersteller entwickelten Software verarbeitet werden. Dies geht weit über eine bloße Hilfsfunktion hinaus und stellt eine eigenverantwortliche Datenverarbeitung dar. Auf die Entwicklung dieser Software - die auf proprietären Datenformaten des Medizinprodukteherstellers basiert - hat die Antragsgegnerin keinerlei Einfluss.

Dass die Antragsgegnerin unmittelbare Vertragspartnerin der Patientinnen im Behandlungsverhältnis ist, ist irrelevant für die datenschutzrechtliche Verantwortlich keit im Rahmen der Systemverarbeitung. Die tatsächliche Verarbeitung der Daten in einem von der Antragstellerin betriebenen, standardisierten und abgeschotteten System erfolgt unabhängig vom ärztlichen Behandlungsverhältnis.

8. ) Zudem liegt die Entscheidung über eine medizinischen Behandlung - etwa der Implantation eines Herzschrittmachers samt nachfolgender telemedizinischen Betreuung - bei den Patientinnen. Weder die Antragsgegnerin noch der Hersteller des Medizinprodukts entscheiden über die Durchführung der Maßnahme. Diese Selbstbestimmung der Patient:innen ist nicht nur medizinethisch geboten, sondern auch rechtlich ausdrücklich geregelt Ihre gesetzliche Verankerung findet sich unter anderem in § 9a Abs. 1 Z 2 TirKAG, der den Träger der Krankenanstalt und damit die Antragsgegnerin verpflichtet, die Ausübung dieses Entscheidungsrechts strukturell zu gewährleisten.

Diese Bestimmung verpflichtet die Träger der Krankenanstalten und damit die Antragsgegnerin ausdrücklich, sicherzustellen, dass Patientinnen ihr Recht auf Aufklärung über Behandlungsmöglichkeiten und Risiken sowie auf Zustimmung zur Behandlung und aktive Beteiligung an Entscheidungsprozessen wirksam wahrnehmen können. Es handelt sich dabei nicht um eine bloß formale Pflicht, sondern um eine konkrete Strukturverantwortung. Die Träger der Krankenanstalten und damit die Antragsgegnerin haben Rahmenbedingungen zu schaffen, die informierte und selbstbestimmte Entscheidungen ermöglichen - auch und gerade im Zusammenhang mit digitalen oder telemedizinischen Systemen.

Die Inanspruchnahme telemedizinischer Leistungen wie etwa Telemonitoring setzt daher eine autonome Willensentscheidung der Patientinnen voraus. Diese Entscheidung manifestiert sich datenschutzrechtlich in einer gesonderten Einwilligung gegenüber der Antragstellerin und stellt die rechtliche Grundlage für jede weitere Verarbeitung der sensiblen Gesundheitsdaten im Sinne der Art. 6 und 9 DSGVO dar.

Dabei entscheiden die Patientinnen selbst, ob und in welchem Umfang ihre Gesundheitsdaten an das System der Antragstellerin übermittelt und dort verarbeitet werden. Weder die Antragsgegnerin noch die Ärztinnen verfügen über Zugriffsrechte ohne diese explizite Zustimmung. Patientinnen sind somit nicht passive Leistungsempfängerinnen, sondern aktive Gestalterinnen ihres Behandlungsprozesses - einschließlich der damit verbundenen Datenverarbeitung.

Die datenschutzrechtliche Verantwortung beginnt dort, wo Patient:innen personenbezogene Gesundheitsdaten an das System eines Dritten übermitteln. Für die Nutzung der Infrastruktur der Antragstellerin bedarf es einer eigenständigen datenschutzrechtlichen Einwilligung gegenüber der Antragstellerin - unabhängig von der Einwilligung in die Behandlung gegenüber der Antragsgegnerin. Es handelt sich um zwei getrennte Vorgänge, mit jeweils eigenständiger Verantwortlichkeit im Sinne von Art. 4 Z 7 DSGVO.

9. ) Ein anschauliches Beispiel für die eigenständige Verantwortlichkeit der Antragstellerin zeigt sich im Fall eines Patien:innenwechsels; Wenn ein Patient oder eine Patientin die bisherige Krankenanstalt (die Antragsgegnerin) verlässt und künftig in einer anderen Einrichtung behandelt wird, verbleiben die im Rahmen der telemedizinischen Anwendung erhobenen und gespeicherten Daten weiterhin bei der Antragstellerin. Diese ist dafür weiterhin verantwortlich, die Daten weiterhin datenschutzkonform zu verwalten, aufzubewahren oder gegebenenfalls zu löschen - unabhängig von der bisherigen oder künftigen behandelnden Einrichtung.

Die Antragsgegnerin hat in einem solchen Fall keinen Zugriff mehr auf die Daten. Sie trägt auch keine datenschutzrechtliche Verantwortung für deren (weitere) Verarbeitung im Datenraum der Antragstellerin. Die Kontrolle über die Daten im Datenraum der Antragstellerin liegt vollständig bei der Antragstellerin, die somit als eigenständig Verantwortliche im Sinne des Art. 4 Z 7 DSGVO handelt.

Hierdurch wird klar ersichtlich, dass die Antragstellerin nicht im Auftrag der Antragsgegnerin tätig wird, sondern eigenverantwortlich mit den personenbezogenen Daten umgeht und diese auf Grundlage eigener rechtlicher Verpflichtungen und technischer Verantwortlichkeit verarbeitet.

10. ) Ein weiterer zentraler Aspekt ergibt sich aus der technischen Abhängigkeit von der Software der Antragstellerin. Ohne die spezifische Softwarelösung der Antragstellerin ist ein Auslesen, Verarbeiten oder medizinisch nutzbares Interpretieren der über das Medizinprodukt generierten Daten nicht möglich. Die reine Erhebung der Daten durch das implantierte Gerät bleibt ohne die anschließende Verarbeitung durch die proprietäre Software technisch unvollständig und medizinisch nicht verwertbar.

Demzufolge beginnt die datenschutzrechtlich relevante Verarbeitung durch die Antragstellerin bereits bei der Übermittlung an und Interpretation durch das System der Antragstellerin. Diese technische Notwendigkeit unterstreicht die Rolle der Antragstellerin als eigenständiger Akteur in der Datenverarbeitung und damit als eigenverantwortliche Stelle im Sinne der DSGVO.

Zugleich wird deutlich, dass die Patientinnen nur dann eine informierte Entscheidung über die Nutzung telemedizinischer Betreuung treffen können, wenn ihnen offengelegt wird, welche technische Infrastruktur zur Datenverarbeitung eingesetzt wird, wer Zugriff auf ihre Gesundheitsdaten erhält und welche Rolle die Antragstellerin dabei spielt Auch daraus ergibt sich eine Verpflichtung zur strukturierten Aufklärung, Transparenz und Einwilligung, die der Träger der Krankenanstalt und damit die Antragsgegnerin gemäß § 9a Abs. 1 Z 2 TirKAG zu gewährleisten hat.

11. ) Zudem geht die Sphärentheorie davon aus, dass Verantwortlichkeit im Sinne der DSGVO dort entsteht, wo Daten aus der Sphäre der betroffenen Person in die Sphäre eines anderen Akteurs übergehen und dieser eigenständig über Zwecke und Mittel der weiteren Verarbeitung entscheidet. Maßgeblich ist dabei nicht, wer die ursprüngliche Erhebung veranlasst hat, sondern wer nach dem „Sphärenwechsel“ tatsächliche Kontrolle über die Datenverarbeitung ausübt.

Im vorliegenden Fall bedeutet das, sobald die sensiblen Gesundheitsdaten vom Implantat an das System der Antragstellerin übertragen werden, treten diese in die Sphäre der Antragstellerin über. Dort, in der Sphäre der Antragstellerin, erfolgt die technische Aufbereitung, Speicherung und Analyse der Daten - unter ausschließlicher Kontrolle und nach internen Regeln der Antragstellerin. Die Antragsgegnerin hat auf diese Verarbeitungsprozesse keinen tatsächlichen Zugriff, keine Steuerungsmöglichkeit und regelmäßig auch keine detaillierte Kenntnis {siehe Datenschutzrechtliche Rollenfestlegung in der Cloud: Herausforderungen und Sphärentheorie als Lösungsansatz von Kelderer, Anton A.)

Diese Trennung von Sphären spricht klar gegen ein (bloßes) Auftragsverarbeitungsverhältnis. Denn ein Auftragsverarbeiter verbleibt definitionsgemäß in der Sphäre des Verantwortlichen (hier der Antragsgegnerin) und ist vollständig dessen Weisungen unterworfen. Die faktische Datenhoheit und die eigenständige Entscheidungsbefugnis der Antragstellerin widersprechen jedoch diesem Rollenverständnis. Die Antragstellerin agiert nicht als bloße technische Erfüllungsgehilfin, sondern als eigen ständig Verantwortliche im Sinne des Art. 4 Z 7 DSGVO.

12. ) Ein weiterer zentraler Aspekt ist, dass die von der Antragstellerin betriebene Applikation keinen Zugriff auf die vollständige Krankengeschichte der Patientinnen eröffnet, sondern ausschließlich das Auslesen behandlungsrelevante Parameter in aggregierter oder interpretierter Form ermöglicht

Die Applikation verarbeitet ausschließlich telemetrisch übermittelte Daten eines spezifischen Medizinprodukts - etwa Herzfrequenz, Arrhythmien oder Batteriestatus eines Herzschrittmachers. Diese Informationen stellen keine vollständige elektronische Patient:innena kte dar und erlauben keinen Rückschluss auf frühere Diagnosen, Vorerkrankungen oder Medikationshistorien, wie sie etwa in Krankenhausinformationssystemen oder ärztlichen Dokumentationen enthalten sind.

Die übermittelten Informationen sind funktional begrenzt auf die aktuelle technische und medizinische Bewertung des eingesetzten Implantats. Sie dienen dem Zweck, die Funktionsfähigkeit des Geräts zu überwachen und ggf. medizinisch relevante Auffälligkeiten zeitnah zu erkennen. Es handelt sich somit um eine gezielte medizinische Teildatenverarbeitung, die keine ganzheitliche Sicht auf den Gesundheitszustand der Patientinnen ermöglicht.

Die Verarbeitung beschränkt sich auf einen engen Anwendungszweck, der sowohl technisch als auch inhaltlich klar definiert ist Die Applikation ist nicht als Zugangstor zu umfassenden Gesundheitsdaten zu werten, sondern als spezialisiertes Werkzeug zur Übermittlung bzw. zum Auslesen einzelner, konkret relevanter Befundwerte.

Die Applikation der Antragstellerin stellt keine Einsicht in die persönliche Krankengeschichte dar. Sie verarbeitet ausschließlich ausgewählte, behandlungsrelevante Ergebnisse, die sich auf das Implantat der Antragstellerin und dessen aktuelle Funktion beziehen. Diese funktionale und inhaltliche Beschränkung widerspricht der Darstellung, die Applikation ermögliche einen umfassenden Zugriff auf sensible Gesundheitsdaten - vielmehr liegt hier eine gezielte, zweckgebundene Datenübermittlung im Rahmen einer spezifischen medizinischen Nachsorge vor.

13. ) Hier lässt sich der Vergleich mit handelsüblichen Wearables wie Pulsmessuhren ziehen. Auch diese Geräte erfassen kontinuierlich gesundheitsbezogene Daten - etwa Pulsfrequenz, Herzrhythmus oder Aktivitätsniveau - und speichern diese in einem cloudbasierten System des jeweiligen Herstellers.

Die Nutzerinnen selbst können die Daten auf ihrer Uhr oder App einsehen, doch eine medizinische Interpretation oder Nutzung durch behandelnde Ärztinnen erfolgt erst, wenn die betroffene Person diese Daten aktiv freigibt oder exportiert.

Ähnlich Verhaltes sich im medizinischen Kontext Wenn Patientinnen telemetrische Daten überein implantiertes Gerät erfassen lassen, wie es im Fall der Antragstellerin der Fall ist, werden diese zu nächst in der proprietären Software des Herstellers bzw. der Antragstellerin verarbeitet. Der behandelnden Ärztin oder dem behandelnden Arzt wird kein unmittelbarer Zugriff auf die Rohdaten gewährt, sondern lediglich ein eingeschränkter Zugang zu aufbereiteten Informationen, sofern die Patientinnen dem ausdrücklich zustimmen.

Dadurch wird verdeutlicht, dass die primäre Datenverarbeitung in der Verantwortung der Hersteller bzw. die Antragstellerin liegt Diese entscheidet eigenständig darüber, auf welche Weise die Daten erhoben, gespeichert, verarbeitet und zugänglich gemacht werden. Daraus wird auch klar, dass der Hersteller bzw. die Antragstellerin auch datenschutzrechtlich als Verantwortlicher im Sinne der DSGVO einzuordnen ist. und zwar unabhängig davon, ob diese erhobenen Daten später in aufbereiteter Form vorbehaltlich der Einwilligung der Patientinnen mit Dritten, zum Beispiel den betreuenden Ärztinnen bei der Antragsgegnerin, geteilt werden.

14. ) Der Abschluss der Einwilligungserklärung zwischen den Patientinnen und dem Unternehmen bzw. der Antragstellerin ist kein bloßer formeller Zusatz, sondern datenschutzrechtlich zwingend erforderlich. Dies ergibt sich insbesondere daraus, dass die Einwilligung nicht der medizinischen Behandlung dient, sondern der Verarbeitung personenbezogener Daten durch das Unternehmen bzw. die Antragstellerin im Rahmen eines eigenständigen Systems.

Zudem erfolgt die Datenübertragung vom Implantat in das proprietäre System der Antragstellerin automatisiert und unabhängig von einer aktiven ärztlichen Handlung. Obgleich die initiale Implantation ärztlich veranlasst wird, beginnt die Verarbeitung bereits durch die Erhebung der Daten durch das medizinische Gerät und die Übertragung in das System der Antragstellerin. Im Übrigen hat die Auftrag-Antragsgegnerin, wie bereits erwähnt keinen Einfluss auf die Struktur und Funktionsweise des Systems, die Gestaltung der Datenübertragung, die Speicherung, Protokollierung und Auswertung im System der Antragstellerin.

Die Antragsgegnerin greift, wie in „Ziffer 5.4 der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen“ der Ausschreibung dargestellt, erst im Nachhinein auf bestimmte Daten zu, um sie mit der Krankenakte zu verknüpfen. Dieses „Auslesen“ betrifft jedoch nicht die vorgelagerte Erhebung. Speicherung und Verwaltung, für die ausschließlich die Antragstellerin zuständig ist. Damit liegt eine klassische Verarbeitungstrennung vor.

15. ) Zusammenfassend ist daher festzuhalten, dass die Zuweisung der datenschutzrechtlichen Rolle der Antragstellerin als eigenständig Verantwortliche gemäß Art. 4 Z 7 DSGVO sachlich und rechtlich begründet ist. Sie beruht nicht auf einer willkürlichen oder künstlich konstruierten Rollenverteilung, sondern auf den objektiv feststellbaren tatsächlichen Verhältnissen und der eigenständigen Kontrolle der Antragstellerin über Zweck und Mittel der Verarbeitung im Rahmen ihres Systems.

Die von der Antragstellerin behauptete Verletzung ihrer Rechte im Zusammenhang mit dem Vergabeverfahren - insbesondere im Hinblick auf Transparenz, Gleichbehandlung, Verhältnismäßigkeit und Rechtskonformität der Ausschreibung - greift aus den oben genannten Gründen nicht.

Die behaupteten Vergaberechtsverstöße bestehen aus Sicht der Antragsgegnerin nicht. Die Einordnung als eigenständig Verantwortliche entspricht dem geltenden Datenschutzrecht, basiert auf objektiven Kriterien und führt nicht zu einer rechtlichen oder faktischen Benachteiligung der Antragstellerin. Die Ausschreibung ist somit datenschutzrechtlich, vergaberechtlich und wettbewerbsrechtlich nicht zu beanstanden.

Beweis:

Zeuge KK, Datenschutzbeauftragter, pA der Antragsgegnerin

Zeugin LL, Datenschutzkoordinatorin, pA der Antragsgegnerin

Zeuge MM, Zentraleinkauf, pA der Antragsgegnerin

AA Patient App Download- und Registrierungsprozess

Datenschutzerklärung für die AA Patient App

Screenshot Nr, 1 bis 6

Artikel-29-Datenschutzgrppe, WP 169

Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter" in der DSGVO

Datenschutzrechtliche Rollenfestlegung in der Cloud; Herausforderungen und Sphärentheorie als Lösungsansatz von Kelderer, Anton A.

Katalog Bieterfragen und –antworten

Vergabeakt (wird gesondert vorgelegt werden)

b) Behauptete Rechtswidrigkeit betreffend Regelung zur „Neuen Produktgeneration“:

(Z4 Teilnahmeantragsordnung und Pkt. 4. Ausschreibungsordnung Vertragsbestimmungen)

Die Antragsgegnerin verzichtet zur Gänze auf die Anwendbarkeit des ua bekämpften Pkt. 4. „Neue Produktgeneration“ der Ausschreibungsordnung Vertragsbestimmungen hat und diese Berichtigung den Bietern via DD-Plattform am 05.05.2025 mitgeteilt.

Es erfolgte somit eine Klaglosstellung der Antragstellerin zu diesem Punkt, weshalb es hiezu keiner weiteren Stellungnahme bedarf.

Beweis:

MM, Zentraleinkauf, pA der Antragsgegnerin

Katalog Bieterfragen und -antworten

Vergabeakt (wird gesondert vorgelegt werden)

II. Stellungnahme zum Antrag auf Erlassung einer Einstweiligen Verfügung:

Seitens der BB wird zum vorliegenden Antrag auf Erlassung einer Einstweiligen Verfügung innerhalb offener Frist nachstehende

Stellungnahme

erstattet und wie folgt ausgeführt:

Vor Erlassung einer Einstweiligen Verfügung sind gemäß § 16 Abs 1 TVNG 2018 die voraussehbaren Folgen der zu treffenden Maßnahme für alle möglicherweise geschädigten Interessen des Antragstellers, der sonstigen Bewerber und des Auftraggebers, sowie ein allfälliges besonderes öffentliches Interesse an der Fortführung des Vergabeverfahrens abzuwägen. Der Antrag auf Erlassung der Einstweiligen Verfügung ist abzuweisen, wenn diese Abwägung ein Überwiegen der nachteiligen Folgen ergibt.

Im gegenständlichen Fall stehen Interessen der Auftraggeberin und besondere öffentliche Interessen der Erlassung einer Einstweiligen Verfügung entgegen, weshalb diese unzulässig ist.

Die Erlassung einer Einstweiligen Verfügung würde im vorliegenden Fall zu einer kostenintensiven Verfahrensverzögerung führen, die aufgrund der derzeitigen wirtschaftlichen Situation (steigende Materialkosten, steigende Personalkosten) die Gefahr eines massiven Kostenanstiegs mit sich brächte.

In Anbetracht der vorigen Ausführungen ist somit von einem Überwiegen der nachteiligen Folgen einer Einstweiligen Verfügung auszugehen, weshalb der Antrag auf Erlassung der Einstweiligen Verfügung abzuweisen ist.

Bescheinigung:

MM, Zentraleinkauf, pA der Antragsgegnerin

Vergabeakt

III. Anträge

Unter Hinweis auf die Ausführungen unter Punkt I. und II. werden die

Anträge

gestellt, das Landesverwaltungsgericht Tirol möge

-den Antrag der Antragstellerin auf Erlassung einer Einstweiligen Verfügung als unzulässig zurückweisen, in eventu abweisen

-den Nachprüfungsantrag mangels Rechtswidrigkeit als unzulässig zurückweisen, in eventu abweisen

-den Antrag auf Ersatz der Kosten der Antragstellerin zurückweisen, in eventu abweisen

Ergänzend wird darauf hingewiesen, dass sämtliche Unterlagen zum Vergabeverfahren fristgerecht mit einem gesonderten Schriftsatz eingebracht werden.“

Unter einem hat die Auftraggeberin folgende Urkunden gelegt, die zum Akt genommen und wie folgt bezeichnet wurden:

•AA Patient App – Download- und RegistrierungsprozessBeilage./1

•Datenschutzerklärung für AA Patient App Beilage./2

•Screenshots AppBeilagen./3 bis /10

•Stellungnahme der Datenschutzgruppe zu den Begriffen

„für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“

vom 16.2.2010Beilage./11

•Leitlinien des European Data Protection Board zu den Begriffen

„Verantwortlicher“ und „Auftragsverarbeiter“ vom 7.7.2021Beilage./12

•Aufsatz zu datenschutzrechtlicher Rollenfestlegung in der Cloud

von Anton A. Kelderer aus dem Jahr 2024Beilage./13

•Bieterfragen und Antworten Beilage./14

Am 8.5.2025 erließ das Landesverwaltungsgericht Tirol die einstweilige Verfügung und wurde darin das Vergabeverfahren in Bezug auf die Ausschreibung der Auftraggeberin mit der Auftragsbezeichnung „*** Herzschrittmacher plus Elektroden incl. Zubehör ***“ für die Dauer des gerichtlichen Nachprüfungsverfahrens hinsichtlich der Lose 2 bis inklusive 7 ausgesetzt und ausgesprochen, dass eine entgegen dieser einstweiligen Verfügung ergehende Zuschlagserteilung nichtig ist.

Mit Schriftsatz der Antragstellerin vom 19.5.2025 wurde der Vergabeakt vorgelegt und dabei weitere elf Dokumente vorgelegt, welche wie folgt bezeichnet wurden:

Gesprächsprotokoll zu Datenschutz vom 28.1.2025Beilage./15

Unbefangenheits- und Verschwiegenheitserklärungen NN, OO und PP vom 21.1.2025Beilage./16

Ermittlung geschätzter Auftragswert vom 16.5.2025 ungeschwärztBeilage./17

Ermittlung geschätzter Auftragswert vom 16.5.2025 geschwärztBeilage./18

EU-Bekanntmachung des Vergabeverfahrens vom 4.4.2025Beilage./19

Teilnahmeantragsordnung und Ausschreibungsordnung –

VertragsbestimmungenBeilage./20

Teilnahmeantragsordnung - Verfahrensbestimmungen Beilage./21

Deckblatt TeilnahmeantragBeilage./22

Begleitschreiben zur Ausschreibung vom 3.4.2025Beilage./23

•Informationsblatt und Einwilligungserklärung

für telemedizinische DiensteBeilage./24

Bieterfragen und AntwortenBeilage./25

Mit Schriftsatz vom 26.6.2025, eingelangt an diesem Tag um 12:11 Uhr, brachte die Antragstellerin, vertreten durch CC Rechtsanwälte, eine Replik ein und führte in dieser aus, wie folgt:

„In Vorbereitung der für den 30.06.2025 anberaumten Verhandlung erlaubt sich die Antragstellerin zur Stellungnahme der Antragsgegnerin vom 06.05.2025 (übermittelt am 13.06.2025) ihrerseits tieferstehende

REPLIK:

I. SACHVERHALT:

1. Allgemeines:

1. 1Die Ausführungen der Antragsgegnerin zeigen, dass sie ein unzutreffendes technisches Verständnis der – ausschreibungsgegenständlichen – Telemonitoring-Dienstleistungen für Herzschrittmacher im Allgemeinen wie insbesondere dem von der Antragstellerin vertriebenen Produkt hat.

1. 2Bei Telemonitoring-Produkten für Herzschrittmacher (wie ausgeschrieben), handelt es sich um spezifisch für die Verwendung durch ärztliches Personal ausgestaltete Medizinprodukte mit einem entsprechend definierten Verwendungszweck. Sie dienen dazu, Ärzten im Rahmen der von diesen durchgeführten Behandlungen die hierfür erforderlichen Daten zur Verfügung zu stellen.

1. 3Diese ausschreibungsgegenständliche Dienstleistung bietet die Antragstellerin über ihr „Home Monitoring Service Center“ (im Folgenden: „HMSC“) an, mit dem Krankenanstalten den Zustand ihrer Patienten in deren häuslichen Umgebung überwachen können (sog Home Monitoring), wobei die verfahrensgegenständlichen Datenverarbeitungen betreffend das Produkt der Antragstellerin – bei anderen am Markt verfügbaren Produkten jedoch im Wesentlichen identisch – wie folgt ablaufen:

2. Zur konkreten Datenverarbeitung durch die Antragstellerin:

2. 1Die verfahrensgegenständliche Datenverarbeitung bei Erbringung der ausschreibungsgegenständlichen Dienstleistung läuft – entgegen der Ansicht der Antragsgegnerin – bei der Antragstellerin wie folgt ab:

a)Begründung eines Behandlungsverhältnisses mit der Krankenanstalt:

Patienten, die bei der jeweiligen Krankenanstalt (der Antragsgegnerin) vorstellig werden, schließen mit dieser einen Behandlungsvertrag und begründen somit das Behandlungsverhältnis.

b)Behandlung und Implantation durch die Krankenanstalt:

Im Rahmen der Behandlung wird ärztlich die Notwendigkeit eines Eingriffs zur Implantation eines Herzschrittmachers festgestellt und der operative Eingriff durchgeführt. Dabei wird insbesondere auch ärztlich beurteilt, ob im konkreten Fall ein Telemonitoring zur Überwachung des Patienten medizinisch angezeigt ist und daher durchgeführt werden soll oder nicht.

c)Programmierung des Implantats durch die Krankenanstalt:

Die initiale Aktivierung und Programmierung des Herzschrittmachers wird durch die behandelnden Ärzte vor Ort durchgeführt. Der aktivierte und grundkonfigurierte Herzschrittmacher sendet zu diesem Zeitpunkt noch keine Daten an das HMSC der bzw die Antragstellerin.

d)Zusätzliche Ausstattung des Patienten mit einem „CardioMessenger“ durch die Krankenanstalt:

Sofern die behandelnden Ärzte Daten aus dem Implantat im Rahmen eines Telemonitorings verarbeiten wollen und hierzu das von der Antragstellerin angebotene HMSC verwendet werden soll, müssen sie zunächst die für die Datenübertragung erforderlichen technischen Voraussetzungen schaffen.

Hierzu muss die Krankenanstalt bzw müssen die Ärzte den Patienten – zusätzlich zum Setzen des Implantats – mit einem separaten Gerät zum Auslesen und Übermitteln von Herzschrittmacherdaten (sog CardioMessenger) ausstatten. Erst mit dieser Zusatzausstattung schafft die Krankenanstalt die technischen Grundvoraussetzungen für eine Datenverarbeitung zum Zweck des Telemonitorings.

e)Aktivierung des Telemonitorings / Registrierung des Implantats durch die Krankenanstalt im HMSC der Antragstellerin:

Um die zum Zweck des Telemonitorings durch die Ärzte erforderliche Datenverarbeitung durch die Antragstellerin auszulösen, muss in einem weiteren Schritt das konkrete Implantat durch die Krankenanstalt im HMSC der Antragstellerin registriert werden.

Dies erfolgt über den jeweiligen „Klinik-Account“, über den allein die jeweilige Krankenanstalt Datenverarbeitungen im HMSC konfigurieren kann.

Der Prozess ist pseudonymisiert ausgestaltet, sodass für die Antragstellerin ein unmittelbarer Bezug zu einem einzelnen Patienten nicht besteht.

Weitere Daten können – als fakultative Angaben – von der Krankenanstalt in das HMSC eingetragen werden, wenn und soweit dies von der Krankenanstalt gewünscht ist (s. Abbildung 1). Ebenfalls kann die Krankenanstalt – wenn sie es möchte – verschiedene Benachrichtigungen einstellen, die sich an bestimmten Grenzwerten orientieren. (Auch) Diese Grenzwerte legt die Krankenanstalt selbst fest, um die Behandlung des Patienten per Telemonitoring gezielt zu steuern.

„Bild im pdf ersichtlich“

Abbildung 1: Anlegen eines neuen Patienten im HMSC durch eine Krankenanstalt - Pflichtfelder mit "*" gekennzeichnet.

f) Beendigung des Telemonitorings und Löschung der Daten durch die Krankenanstalt / Wechsel der Krankenanstalt:

Soll das Telemonitoring wieder beendet werden, ist erforderlich, dass die Krankenanstalt den Service über ihren Account für den jeweiligen Patienten deaktiviert (s. Abbildung 2).

„Bild im pdf ersichtlich“

Abbildung 2: Beendigung des Telemonitorings durch die Krankenanstalt durch Deaktivierung im HMSC

Sollen bereits gespeicherte Daten aus dem HMSC gelöscht werden, ist erforderlich, dass die Krankenanstalt die Löschung über ihren Account für den jeweiligen Patienten durchführt (s. Abbildung 4).

Ob eine Deaktivierung oder Löschung erfolgt, entscheidet die jeweilige Krankenanstalt. Ohne Anweisung der Krankenanstalt, werden keine Accounts deaktiviert oder gelöscht (Abbildung 4: Löschung verarbeiteter Daten durch die Krankenanstalt im HMSC):

„Bild im pdf ersichtlich“

Soll die Behandlung von einer anderen Krankenanstalt anstelle der bisherigen Krankenanstalt fortgeführt werden, erfolgt der Wechsel auf übereinstimmende Weisung der beiden Krankenanstalten dergestalt, dass anstelle der ursprünglichen Krankenanstalt die neue Krankenanstalt – exklusiv – Zugriff auf die Daten im HMSC erhält. Liegen keine übereinstimmenden Weisungen vor, kommt es auch nicht zu einem Zugriff durch eine neue Krankenanstalt.

2. 2 Zusammengefasst lässt sich somit festhalten, dass von der Implantierung über die Aktivierung und die Einrichtung des telemedizinischen Services und der entsprechenden Konfiguration bis hin zur Beendigung und zur Löschung der Daten sämtliche Datenverarbeitungen nur in Abhängigkeit vom Tätigwerden der jeweiligen Krankenanstalt erfolgen, die ein solches System bei der von ihr durchgeführten Behandlung einsetzt.

Von Anfang bis Ende der Datenverarbeitung liegt die Kontrolle über die Verarbeitung personenbezogener Daten im Rahmen des Telemonitorings allein bei der Antragsgegnerin.

3. Zu anderen – nicht ausschreibungsgegenständlichen – Produkten:

Soweit die Antragsgegnerin auf Vergleiche mit gänzlich anderen Produkten zu gänzlich anderen Zwecken abstellt, die abseits eines Behandlungsverhältnisses eine Überwachung von Vitalparametern erlauben und auch von nicht-ärztlichem Fachpersonal gesteuert werden können, liegen diese Ausführungen neben der Sache. Allgemeine Consumer-Produkte, wie etwa Fitness-Tracker, sind anders gestaltet, unterliegend abweichenden rechtlichen Vorgaben und sind nicht zuletzt auch schlicht nicht Teil der im Rahmen der Ausschreibung geforderten Leistungen.

4. Zur Patienten-App der Antragstellerin:

Die Frage, ob Patientinnen etwa die Patienten-App der Antragstellerin nutzen wollen, lässt die Datenverarbeitungen im Rahmen des Telemonitorings ebenfalls unberührt.

Insbesondere sei klargestellt, dass die oben genannten Steuerungsmöglichkeiten der Krankenanstalt im HMSC von Patienten auch unter Nutzung der Patienten-App nicht verändert werden können.

Die Patienten-App ist nur ein „Sichtfenster“ ins HMSC. So kann zwar ein kleiner Teil der Daten aus dem HMSC in der Patienten-App angezeigt werden; dies setzt aber voraus, dass die jeweilige Krankenanstalt dies durch ihre Konfiguration des HMSC ermöglicht.

Erlaubt die Krankenanstalt die Anzeige von Daten in der App nicht, oder wird das Telemonitoring von der Antragsgegnerin deaktiviert oder die Daten auf Weisung der Antragsgegnerin gelöscht, werden dem Patienten keine Daten angezeigt und es besteht für den Patienten keine Möglichkeit entsprechende Datenverarbeitungen über seine App abweichend einzurichten.

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF, welcher zur Verhandlung stellig gemacht wird;

GG, Datenschutzbeauftragter der AA-Gruppe;

5. Keine Verwendung von Daten zu Zwecken von Produktverbesserung und Produktentwicklung:

Unzutreffend sind auch die diesbezüglichen Ausführungen der Antragsgegnerin, wonach eine Nutzung der personenbezogenen Daten aus dem HMSC zu Zwecken der Produktverbesserungen und Produktentwicklung durch die Antragstellerin stattfinden soll. (Auch) Dies ist nicht der Fall.

Beweis: EE als informierter Vertreter der Antragstellerin pA der Antragstellerin;

FF, welcher zur Verhandlung stellig gemacht wird;

GG, Datenschutzbeauftragter der AA-Gruppe;

II. RECHTLICHE BEURTEILUNG

1. Allgemeines:

1. 1Der oben dargestellte Sachverhalts zeigt sich unzweifelhaft, dass die Antragsgegnerin als Verantwortliche im Sinne des Art 4 Z 7 DSGVO zu qualifizieren ist. Im Fall der von der Antragsgegnerin ausgeschriebenen und begehrten Nutzung einer TelemonitoringLösung zum Zweck der telemedizinischen Betreuung der Patienten, liegt ein klassischer Fall der Auftragsverarbeitung im Sinne des Art 4 Z 8 DSGVO in Verbindung mit Art 28 DSGVO vor.

1. 2Unzutreffend (und überdies vorliegend nicht entscheidungserheblich) sind die Ausführungen der Antragsgegnerin zu Verantwortlichkeiten im Rahmen von anderen Produkten oder im Sonderfall von gesetzlichen Verarbeitungspflichten.

1. 3Es ist ohne weiteres möglich und üblich, dass ein Unternehmen hinsichtlich bestimmter Datenverarbeitungen als Auftragsverarbeiter tätig wird, während es hinsichtlich anderer Datenverarbeitungen in eigener Verantwortlichkeit tätig wird.

1. 4Die medizinprodukterechtliche Pflicht eines Medizinprodukteherstellers zur Dokumentation unerwünschter Ereignisse etwa erfolgt in eigener datenschutzrechtlicher Verantwortlichkeit der Antragstellerin oder eines anderen Unternehmens. Das lässt die Rolle als Auftragsverarbeiter bei der weisungsgemäßen Bereitstellung von Daten im Rahmen des Telemonitorings zu Zwecken der Behandlung der Patienten aber unberührt. Es handelt sich dabei auch nicht – wie die Antragstellerin irrig meint – um eine durch Auslegung zu schließende Regelungslücke der DSGVO, sondern um eine in Art. 28 Abs. 3 lit. a) DSGVO bereits berücksichtigte Konstellation. Danach obliegt dem Auftragsverarbeiter lediglich eine die Transparenz sichernde Informationspflicht gegenüber dem Auftraggeber, wenn er Daten in eigener Verantwortung verarbeitet.

1. 5Selbst wenn ein Auftragsverarbeiter ohne gesetzliche Verpflichtung über die Weisung des Auftraggebers hinaus Daten zu eigenen Zwecken verarbeiten würde (was gegenständlich nicht der Fall ist), ist die Konsequenz eines solchen Vorgehens allein, dass der Auftragsverarbeiter insoweit selbst Verantwortlicher wird. Werden personenbezogene Daten dann ohne Rechtsgrundlage verarbeitet, richten sich etwaige Sanktionen gegen den Auftragsverarbeiter in seiner Rolle als Verantwortlicher. Die ansonsten aber weisungsgebunden ausgeführte Datenverarbeitung bleibt unverändert als Auftragsverarbeitung bestehen.

1. 6Es ist mit dem Schutzzweck der DSGVO nicht vereinbar, den Auftraggeber (als Verantwortlichen) in einem solchen Fall von seinen datenschutzrechtlichen Pflichten hinsichtlich der von ihm veranlassten Datenverarbeitungen zu entbinden.

2. Im Einzelnen:

2. 1Die Eigenschaft als Verantwortlicher ergibt sich in erster Linie aus dem Umstand, dass eine Stelle sich für die Verarbeitung personenbezogener Daten entschieden hat und befugt ist, den Zweck, mithin das beabsichtigte Ergebnis einer Datenverarbeitung, sowie die hierzu eingesetzten Mittel, mithin die Art und Weise, wie das beabsichtigte Ergebnis erreicht werden soll, zu bestimmen (Arning/Rothkegel in Taeger/Gabel,

DSGVO, 4. Auflage 2022, Art 4 Rz 181).

2. 2Wie oben dargestellt, entscheidet die Antragsgegnerin als Krankenanstalt im jeweiligen Einzelfall darüber, ob ein Telemonitoring durchgeführt werden soll (Zweck) und ob das konkrete Monitoringsystem der Antragstellerin (oder eines anderen Unternehmens) hierfür eingesetzt werden soll (Mittel). Zusätzlich schafft die Antragsgegnerin erst die für die jeweilige Datenverarbeitung erforderlichen Voraussetzungen, kann also

•initial die Datenverarbeitung auslösen,

•zwischenzeitlich durch Konfiguration beeinflussen und

•beenden (deaktivieren) sowie

•bereits gespeicherte Daten auch final vernichten (Löschung).

2. 3Sowohl rechtlich als auch tatsächlich liegt die maßgebliche Steuerungsentscheidung damit allein bei der Antragsgegnerin – dies über den gesamten Datenverarbeitungszyklus hinweg.

Die Antragsgegnerin als Krankenanstalt steuert die Datenverarbeitung zu Zwecken der telemedizinischen Behandlung der Patienten von Anfang bis Ende. Ihr Tätigwerden ist conditio sine qua non für die Verarbeitung personenbezogener Daten mittels des HMSC.

2. 4Die Antragstellerin hingegen wird nur tätig und führt die gewünschten Datenverarbeitungen mittels des HMSC aus, wenn und soweit die Antragsgegnerin dies im jeweiligen Einzelfall veranlasst.

2. 5Ändert die Krankenanstalt die Konfigurationen über ihren HMSC-Account für den jeweiligen Patienten (bzw für das jeweilige Implantat), deaktiviert das Telemonitoring oder klickt auf „Löschen“, werden diese Weisungen von der Antragstellerin entsprechend umgesetzt. Sie verarbeitet personenbezogene Daten also strikt weisungsgebunden uns somit lediglich im Auftrag der Verantwortlichen und ist folglich als Auftragsverarbeiterin im Sinne des Art 4 Z 8 DSGVO zu qualifizieren.

3. Kein Erfordernis der Datenverarbeitung in der „Sphäre“ des eigenen Aktensystems:

3. 1Die Antragsgegnerin vertritt die unzutreffende Ansicht, dass eine datenschutzrechtliche Verantwortlichkeit nur entstehe, wenn Daten in das von der Antragsgegnerin selbst verwaltete Aktensystem überführt werden und mithin in ihrer „Sphäre“ verarbeitet werden.

3. 2Das ist rechtlich nicht haltbar. Das Regelungsregime der DSGVO sieht explizit vor, dass Verantwortliche ihre Datenverarbeitungen über Auftragsverarbeitungen auslagern dürfen.

Damit trägt die DSGVO dem besonders häufigen Bedürfnis Rechnung, dass Verantwortliche nicht über die nötigen Kapazitäten oder das notwendige Know-How bestimmter Datenverarbeitungen verfügen.

Es ist der datenschutzrechtliche Regelfall, dass Verantwortliche spezialisierte Dienstleister – im Rahmen der Auftragsverarbeitung – einbinden, um Datenverarbeitungen mittels der von diesen entwickelten und betriebenen Hard- und Softwarelösungen zu verarbeiten, zu deren Entwicklung und Betrieb der Auftraggeber selbst nicht in der Lage wäre.

Der Umstand, dass die extern angebotene Leistung vom Auftraggeber nicht im Detail verstanden wird oder werden kann, ist also die typische Konstellation einer Auftragsverarbeitung. Eine Auslegung dahingehend, dass genau diese Konstellation nun zum Entfallen der Verantwortlichkeit beim Verantwortlichen führen soll, widerspricht dem Sinn und Zweck der Auftragsverarbeitung.

3. 3Es sei ausdrücklich darauf hingewiesen, dass Art 4 Z 7 DSGVO die Verantwortlichkeit an die Entscheidung über die Verarbeitung von personenbezogenen Daten knüpft und die bloße Entwicklung, Instandhaltung und Wartung sowie der Betrieb einer Infrastruktur nach dem Wortlaut der Norm nicht maßgeblich sind.

Im Gegenteil: Art 28 Abs. 3 lit. c) DSGVO sieht explizit vor, dass ein Auftragsverarbeiter erforderliche technische und organisatorische Maßnahmen nach Art. 32 DSGVO ergreift. Der Umstand, dass die Antragstellerin also etwa Updates durchführt und den technischen Betrieb sicherstellt, führt nicht dazu, dass sie vom Auftragsverarbeiter zum Verantwortlichen wird.

3. 4 Vergleichender Exkurs: Ein bekanntes Beispiel für den Einsatz von – in erheblichem Maß komplexeren – Systemen ist die weitverbreitete und von Datenschutzaufsichtsbehörden umfassend begleitete Nutzung von Microsoft 365, also der cloudbasierten Verarbeitung von Daten mittels diversen miteinander interagierenden Softwarekomponenten. Selbst bei einer solch komplexen Anwendung steht außer Frage, dass Microsoft als Auftragsverarbeiter im jeweiligen Unternehmen / in der jeweiligen Behörde eingebunden wird.

4. Keine Verantwortlichkeitsdiffusion durch Beauftragung externer Dienstleister:

4. 1Die DSGVO will vermeiden, dass datenverarbeitende Stellen sich durch gewillkürte Vertragsgestaltung ihrer bestehenden datenschutzrechtlichen Pflichten mittels Outsourcing entledigen. Mit Blick auf den Schutz der betroffenen Person soll nicht bei jeder ausgelagerten Datenverarbeitung eine neue Verantwortlichkeit mit ggf. unbekannten Dritten entstehen. Allein die Vielzahl der so entstehenden Verantwortlichen wäre geeignet, eine effektive Wahrnehmung von Betroffenenrechten erheblich zu beeinträchtigen oder gar zu verhindern.

4. 2 Eine Trennung nach infrastrukturellen oder organisatorischen Grenzen ist überhaupt nur dann denkbar und anders zu bewerten, wenn dies aufgrund einer Regelung im mitgliedstaatlichen Recht gem Art. 4 Z 7 HS 2 DSGVO vorgesehen wäre.

Das ist aber nicht der Fall.

Im Gegenteil: § 63a Abs. 3 TirKAG weist die datenschutzrechtliche Verantwortlichkeit bei der Erfüllung der Aufgaben nach dem TirKAG den Trägern der Krankenanstalten zu, denen gemäß § 1 Abs 1 lit. a) TirKAG die hier maßgebliche Untersuchung und Überwachung des Gesundheitszustands obliegt.

Nach dieser gesetzlichen Wertung sind also alle im Rahmen der Überwachung des Gesundheitszustands von Patienten durch Krankenanstalten veranlasste Datenverarbeitungen einheitlich der Krankenanstalt als datenschutzrechtlich Verantwortliche zugewiesen.

Sowohl nach der DSGVO als auch nach dem TirKAG ist daher einheitlich von der Verantwortlichkeit der Antragsgegnerin auszugehen.

5. Keine Regelungslücken durch Auftragsverarbeitung:

5. 1Die von der Antragsgegnerin eingestreuten Zweifel an der Möglichkeit, ausreichende Datenschutzinformationen zur Verfügung zu stellen oder im Fall von Datenschutzvorfällen reagieren zu können, können nicht verfangen.

5. 2Die DSGVO adressiert diese Aspekte konkret und sieht entsprechende gegenseitige Verpflichtungen zwischen Auftraggeber und Auftragsverarbeiter vor (Mitwirkungspflichten), die zudem in einer entsprechenden Auftragsverarbeitungsvereinbarung vereinbart werden müssen (vgl insb. Art. 28 Abs 3 DSGVO). Im Außenverhältnis schützt die DSGVO betroffene Patienten u.a. dadurch, dass beim Zusammenwirken von Verantwortlichem und Auftragsverarbeiter eine gesamtschuldnerische Haftung begründet wird (Art 82 Abs. 4 DSGVO). Dieses Regelungsregime stärkt die Rechte betroffener Personen bei komplexen Datenverarbeitungen wie etwa dem Telemonitoring.

5. 3Gerade eine derartige Auftragsverarbeitungsvereinbarung hat auch die Antragsgegnerin mit der Antragstellerin abgeschlossen (zur Vermeidung von Wiederholungen darf auf die diesbezüglichen Ausführungen im Nachprüfungsantrag verwiesen werden).

III. ERGEBNIS:

1. Im Einklang mit dem Wortlaut der DSGVO – auch und insbesondere unter Würdigung der bereits zitierten Leitlinien des Europäischen Datenschutzausschusses, auf die auch die österreichische Datenschutzbehörde ausdrücklich verweist

(https://dsb.gv.at/rechte-pflichten/ihre-pflichten-als-auftragsverarbeiterin ; abgerufen am 23.06.2025) – ergibt sich eindeutig, dass die Antragsgegnerin (Verantwortliche) die Antragstellerin als Auftragnehmerin im Rahmen einer Auftragsverarbeitung einsetzt.

2. Eine gewillkürte Begrenzung der eigenen datenschutzrechtlichen Verantwortlichkeit durch die Antragsgegnerin ist mit der DSGVO unvereinbar, widerspricht der Wertung des TirKAG und ist mithin unzulässig.

3. Die Antragsgegnerin kann eine datenschutzwidrige Ausgestaltung der gewünschten Telemedizin-Lösung nicht verlangen und daher auch nicht zur Bedingung für eine Teilnahme an der Ausschreibung machen.“

Im Rahmen der durchgeführten mündlichen Verhandlung am 30.6.2025 wurden die Hintergründe der gegenständlichen Ausschreibungstextierung, insbesondere in Bezug auf die gebotene Verteilung der Verantwortlichkeiten nach der Datenschutz-Grundverordnung EU 2016/679 zwischen Anbietern einerseits und Auftraggeberin anderseits, durch Einvernahme der Datenschutzkoordinatorin der Auftraggeberin, LL, des strategischen Einkäufers der Auftraggeberin, MM, des gewerberechtlichen Geschäftsführers der Antragstellerin, EE, des Datenschutzbeauftragten der Antragstellerin, GG, und des Marketingleiters der Antragstellerin, FF, untersucht und mit den Verfahrensparteien eingehend erörtert.

Beweis wurde aufgenommen durch Einsichtnahme in den Akt des Landesverwaltungsgerichts, insbesondere in die von den Parteien vorgelegten Urkunden.

Bis zum Ende der mündlichen Verhandlung sind folgende Schriftstücke eingelangt oder ergangen:

Nachprüfungsantrag und Antrag auf Erlassung einer einstweiligen Verfügung durch die AA, vertreten durch CC Rechtsanwälte GmbH, vom 29.4.2025 OZ 1

samt 12 Beilagen ./A bis ./M, nämlich

Deckblatt der Ausschreibung (Beilage./A)

Nationale Bekanntmachung (Beilage./B)

EU- Bekanntmachung (Beilage./C)

Teilnahmeantragsordnung – Verfahrensbestimmungen (Beilage./D)

Teilnahmeantragsordnung und Ausschreibungsordnung –

Vertragsbestimmungen (Beilage./E)

Fragenbeantwortung der Antragstellerin (Beilage./F)

Informationsblatt und Einwilligungserklärung der Auftraggeberin (Beilage./G)

Aktuell gültiger Auftragsverarbeitungsvertrag mit der Auftraggeberin (Beilage./H)

Stellungnahme JJ (Beilage./J)

Firmenbuchabschrift der Auftraggeberin (Beilage./K)

Kopie des Überweisungsbeleges über Entrichtung der

Eingabegebühr vom 29.4.2025 (Beilage./L)

Kopie des Überweisungsbeleges über Entrichtung der

Pauschalgebühr vom 29.4.2025 (Beilage./M)

Information der Auftraggeberin durch LVwG Tirol vom 29.4.2025 über

Eingang des angeführten Rechtsmittels samt Frist zur Stellungnahme OZ 1

Einholung Empfangsauftrag über Einzahlung der Eingabegebühr

vom 29.4.2025 OZ 2

Stellungnahme der Auftraggeberin zum Nachprüfungsantrag vom 6.5.2025OZ 3

samt 14 Beilagen, nämlich

•AA Patient App – Download- und RegistrierungsprozessBeilage./1

•Datenschutzerklärung für AA Patient App Beilage./2

•Screenshots AppBeilagen./3 bis /10

•Stellungnahme der Datenschutzgruppe zu den Begriffen

„für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“

vom 16.2.2010Beilage./11

•Leitlinien des European Data Protection Board zu den Begriffen

„Verantwortlicher“ und „Auftragsverarbeiter“ vom 7.7.2021Beilage./12

•Aufsatz zu datenschutzrechtlicher Rollenfestlegung in der Cloud

von Anton A. Kelderer aus dem Jahr 2024Beilage./13

•Bieterfragen und Antworten Beilage./14

Einstweilige Verfügung des LVwG Tirol vom 8.5.2025 betreffend

Aussetzung des Vergabeverfahrens hinsichtlich der Lose 2 bis inklusive 7

für die Dauer des gerichtlichen Nachprüfungsverfahrens OZ 3

Stellungnahme der Auftraggeberin vom 19.5.2025 OZ 4

samt 11 weiteren Beilagen, nämlich

Gesprächsprotokoll zu Datenschutz vom 28.1.2025Beilage./15

Unbefangenheits- und Verschwiegenheitserklärungen NN, OO und PP vom 21.1.2025Beilage./16

Ermittlung geschätzter Auftragswert vom 16.5.2025 ungeschwärztBeilage./17

Ermittlung geschätzter Auftragswert vom 16.5.2025 geschwärztBeilage./18

EU-Bekanntmachung des Vergabeverfahrens vom 4.4.2025Beilage./19

Teilnahmeantragsordnung und Ausschreibungsordnung –

VertragsbestimmungenBeilage./20

Teilnahmeantragsordnung - Verfahrensbestimmungen Beilage./21

Deckblatt TeilnahmeantragBeilage./22

Begleitschreiben zur Ausschreibung vom 3.4.2025Beilage./23

•Informationsblatt und Einwilligungserklärung

für telemedizinische DiensteBeilage./24

Bieterfragen und AntwortenBeilage./25

Empfangsauftrag Landesbuchhaltung über Eingang der Eingabegebühr

vom 17.5.2025 OZ 5

Ladungsbeschluss vom 12.6.2025 zur mündlichen Verhandlung vom 30.6.2025 OZ 5

Schreiben der Auftraggeberin vom 16.6.2025 über Verhinderung des Zeugen

KK und Vertretung durch LL OZ 6

Stellungnahme der Antragstellerin vom 26.6.2025 OZ 7

Entbindung LL von der Verschwiegenheitspflicht

vom 23.6.2025Beilage./26

Entbindung MM von der Verschwiegenheitspflicht

vom 23.6.2025Beilage./27

II.Sachverhalt:

Auftraggeberin ist die BB, bei der es sich um eine öffentliche Auftraggeberin im Sinne des § 1 Abs 1 TVNG handelt.

Die Auftraggeberin hat im DD Portal ein zweistufiges Verhandlungsverfahren mit EU-weiter vorheriger Bekanntmachung im Oberschwellenbereich zum Abschluss einer Rahmenvereinbarung zur Belieferung von Herzschrittmachern plus Elektroden inklusive Zubehör initiiert.

Beabsichtigt ist die Vergabe nach dem Bestbieterprinzip in acht Losen mit jeweils verschiedenen Typen von Herzschrittmachern, wobei die Rahmenvereinbarung je Los mit mehreren Bietern – laut Ausschreibung mindestens drei und höchstens fünf Bieter je Los – abgeschlossen werden soll.

Im Rahmen der ersten Stufe können interessierte Unternehmen innerhalb offener Frist Teilnahmeanträge zusammen mit den geforderten Eignungsnachweisen abgeben. Im Rahmen der zweiten Stufe des Verfahrens werden aus allen fristgerecht eingehenden Teilnahmeanträgen nach positiver Feststellung der Eignung die anhand der definierten Auswahlkriterien die am besten bewerteten Unternehmen zur Legung von Angeboten eingeladen werden. Sollte sich im Rahmen der zweiten Stufe des Verfahrens herausstellen, dass ein zu dieser Stufe zugelassenes Unternehmen eine oder mehrere Mindestanforderungen, welche bereits in der Ausschreibungsunterlage angeführt waren, nicht erfüllen kann, wird dieses Unternehmen aus dem Verfahren ausgeschlossen. Für den Zuschlag wurde das Bestbieterprinzip festgelegt.

Diese Rahmenvereinbarung wird auf vier Jahre abgeschlossen und beginnt voraussichtlich mit 1.1.2026. Die letztmögliche Frist zur Abgabe von Teilnahmeanträgen wurde mit 7.5.2025 10:00 Uhr festgelegt.

Der Auftragsgegenstand wurde bezeichnet mit „Belieferung mit Herzschrittmachern plus Elektroden und Zubehör“.

Der Kurzbeschreibung des Auftrags kann entnommen werden wie folgt:

„Die Auftraggeberin gemäß 1.1 der AO streben den Abschluss einer Rahmenvereinbarung zur Belieferung von Herzschrittmachern plus Elektroden incl. Zubehör an. Die Rahmenvereinbarung wird je Los mit mehreren Bietern abgeschlossen, nämlich jenen, die die gemäß den bekannt gegebenen Zuschlagskriterien am besten bewerteten Angebote gelegt haben. Es wird – sofern eine ausreichend große Zahl von Unternehmen die Eignungskriterien erfüllt hat und eine ausreichend große Zahl von zulässigen Angeboten abgegeben wurde – eine Rahmenvereinbarung mit mindestens drei und höchstens fünf Bietern je Los abgeschlossen.“

Der festgelegte Auftragsgegenstand enthält zunächst keinerlei Ausführungen hinsichtlich einer Beauftragung der Bieter zur Verarbeitung gesundheitsbezogener Patientendaten durch die BB.

Diesbezüglich ist in der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen festgelegt wie folgt:

„5Spezielle Regelungen bei telemedizinischen Leistungen (wenn anwendbar)

5. 1Die AG geht bei der Erbringung telemedizinischer Leistungen von einer getrennten Verantwortlichkeit gemäß Art. 4 Z. 7 EU-Datenschutz-Grundverordnung (DSGVO) aus, bei welcher das Unternehmen einerseits und die AG anderseits jeweils allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

6Mitgeltende Dokumente

6. 1Datenschutzvertrag

Sofern eine „Verarbeitung im Auftrag einer:eines Verantwortlichen“ („Auftragsverarbeitung“) gemäß Art. 28 DSGVO erfolgt, gilt zwischen den Vertragsparteien der von der AG erstellte, auf der Internetseite der AG kundgemachte Standard-Datenschutzvertrag samt zugehörigen Anlagen in der jeweils geltenden Fassung.

6. 2Weitere mitgeltende Dokumente

Alle nicht bereits in den Ausschreibungsunterlagen direkt angeführten, oder in den AGB der AG zitierten, oder auf der Internetseite der AG bei den Ausschreibungen kundgemachten, oder am Beschaffungsportal von der AG zur Verfügung gestellten Dokumente werden bei der Beauftragung im Anwendungsfall Vertragsbestandteil und sind vom Unternehmen zu beachten (Anlagen/Drucksorten, IT-Formulare).

…“

Zur oben angeführten datenschutzrechtlichen Qualifikation der Auftraggeberin langten mehrere Bieteranfragen ein, darunter folgende der Antragstellerin zuzurechnende Anfrage vom 14.4.2025:

„Wir nehmen Bezug auf Punkt 5 (Spezielle Regelungen bei telemedizinischen Leistungen) von Dokument „….“

Die telemedizinischen Leistungen die Gegenstand der Ausschreibung sind, werden entgegen der Darstellung unter Punkt 5.1 nicht in getrennter Verantwortung erbracht, sondern als Auftragsverarbeitung durch das Unternehmen gemäß Art. 28 DSGVO. Wir ersuchen um Änderung der Sichtweise der getrennten Verantwortung als Teil der Ausschreibungsanforderungen und ersuchen um Anerkennung der klaren gesetzlichen Lage, die sich in der für die gegenständlichen Leistung üblichen Form als Auftragsverarbeitung darstellt. Vielen Dank.“

Am 15.4.2025 replizierte die Auftraggeberin wie folgt:

„Vielen Dank für Ihre Anmerkung. Nach sorgfältiger Prüfung möchten wir an unserer Einschätzung festhalten, dass es sich bei den im Rahmen der Ausschreibung vorgesehenen telemedizinischen Leistungen um eine Konstellation der getrennten Verantwortlichkeit im Sinne von Art. 4 Nr. 7 DSGVO handelt.

Die rechtliche Möglichkeit eines telemedizinischen Monitorings ist dann erfüllt, wenn eine klare Trennung der datenschutzrechtlichen Verantwortlichkeiten zwischen dem Unternehmen und der Auftraggeberin vorgesehen ist. Gemäß Art. 4 Z 7 DSGVO ist Verantwortlicher diejenige Stelle, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

Im konkreten Fall der ausgeschriebenen telemedizinischen Dienstleistung obliegt die datenschutzrechtliche Verantwortlichkeit nicht der BB. Vielmehr liegt die Entscheidung über Zweck und Mittel der Verarbeitung beim Medizinproduktehersteller, der das System bereitstellt und die Verarbeitung eigenständig steuert. Die Auftraggeberin wird erst dann zur datenschutzrechtlichen Verantwortlichen, wenn personenbezogene Daten aus dem System des Unternehmens von ihr ausgelesen und im Rahmen der medizinischen Behandlung in die Krankengeschichte übernommen werden.

Vor diesem Hintergrund halten wir an der Ausschreibungsanforderung einer getrennten Verantwortung fest, da diese sowohl der tatsächlichen Aufgabenverteilung als auch der geltenden gesetzlichen Systematik entspricht. Eine Einordnung als Auftragsverarbeitung im Sinne von Art. 28 DSGVO sehen wir als nicht sachgerecht an.“

In weiterer Folge erging vor dem Ende der Frist zur Einbringung der Teilnahmeanträge (bis spätestens 7.5.2025) der nunmehr gegenständliche Nachprüfungsantrag vom 29.4.2025, in dem die gemäß § 2 Z 15 lit dd) iVm § 2 Z 15 lit jj) BVergG 2018 gesondert anfechtbare Ausschreibung im Umfang der Lose 2 bis inklusive Los 7 bekämpft wurde.

III.Beweiswürdigung:

Die vorerwähnten Feststellungen konnten in unbedenklicher Weise aufgrund der vorliegenden Urkunden, sowie des Vorbringens diverser Zeugen und informierter Vertreter der Auftraggeberin und der Antragstellerin im Rahmen der durchgeführten mündlichen Verhandlung am 30.6.2025, insbesondere der Einvernahme der Datenschutzkoordinatorin der Auftraggeberin, LL, des strategischen Einkäufers der Auftraggeberin, MM, des gewerberechtlichen Geschäftsführers der Antragstellerin, EE, des Datenschutzbeauftragten der Antragstellerin, GG, und des Marketingleiters der Antragstellerin, FF, getroffen werden.

Die Rahmenbedingungen der gegenständlichen Vergabe, etwa auch hinsichtlich des Inhalts der Rahmenvereinbarung, deren zeitlicher Geltung, der Anzahl der Lose sowie die Anzahl der in der Rahmenvereinbarung aufgenommenen Bieter sind der Ausschreibung „Verhandlungsverfahren mit vorheriger Bekanntmachung: *** Herzschrittmacher plus Elektroden incl. Zubehör“, manifestiert durch die Auftragsbekanntmachung in Beilage./19 in Zusammenschau mit der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen in Beilage./20 und der Teilnahmeantragsordnung Verfahrensbestimmungen (Beilage./21) zu entnehmen. Der festgelegte Auftragsgegenstand ergibt sich aus den Rubriken 1.3.1 und 1.4. der Teilnahmeantragsordnung Verfahrensbestimmungen (Beilage./21), die datenschutzrechtliche Qualifikation telemedizinischer Leistungen resultiert aus den Rubriken 5 und 6 der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen (Beilage./20).

Der Umstand, dass die Frist für die Einbringung der Teilnahmeanträge zum Zeitpunkt der Einbringung des Nachprüfungsantrages noch aufrecht war, erhellt aus dem Nachprüfungsantrag vom 29.4.2025 (OZ 1) in Zusammenschau mit der Rubrik 5.1.12 der Auftragsbekanntmachung in Beilage./19.

IV.Rechtliche Grundlagen

a) Die wesentlichen Bestimmungen des Tiroler Vergabenachprüfungsgesetz 2018 – TVNG 2018, LGBl Nr 94/2018 idF LGBl Nr 161/2021, lauten wie folgt:

„§ 1

Geltungsbereich

(1) Dieses Gesetz regelt die Nachprüfung im Rahmen der Vergabe von Aufträgen und von Bau- und Dienstleistungskonzessionen durch das Land Tirol, die Gemeinden und die Gemeindeverbände in Tirol sowie durch die landesgesetzlich eingerichteten Selbstverwaltungskörperschaften.

(2) Dieses Gesetz regelt weiters die Nachprüfung im Rahmen der Vergabe von Aufträgen und von Bau- und Dienstleistungskonzessionen durch Einrichtungen und Verbände im Sinn des § 4 Abs. 1 Z 2 und 3 BVergG 2018 sowie des § 4 Abs. 2 Z 2 und 3 BVergGKonz 2018, sofern es sich hierbei um folgende Rechtsträger handelt:

1. Stiftungen, Fonds und Anstalten, die von Organen des Landes Tirol oder von Organen der Gemeinden oder Gemeindeverbände in Tirol oder von Personen (Personengemeinschaften) verwaltet werden, die hierzu von Organen des Landes Tirol oder von Organen der Gemeinden oder Gemeindeverbände in Tirol bestellt werden,

2. Unternehmen, an denen das Land Tirol allein oder gemeinsam mit anderen Rechtsträgern, die der Zuständigkeit des Rechnungshofes unterliegen, mit mindestens 50 v. H. des Stamm-, Grund- oder Eigenkapitals beteiligt ist, sofern im Fall der Beteiligung des Bundes die finanzielle Beteiligung oder der durch andere finanzielle oder sonstige wirtschaftliche oder organisatorische Maßnahmen vermittelte Einfluss (Abs. 4) der Länder größer ist als die finanzielle Beteiligung oder der Einfluss des Bundes und dem Land Tirol von allen beteiligten Ländern die größte finanzielle Beteiligung oder der größte Einfluss zukommt,

3. Unternehmen, an denen eine Gemeinde oder ein Gemeindeverband in Tirol allein oder gemeinsam mit anderen Rechtsträgern, die der Zuständigkeit des Rechnungshofes unterliegen, mit mindestens 50 v. H. des Stamm-, Grund- oder Eigenkapitals beteiligt ist oder die die Gemeinde oder der Gemeindeverband allein oder gemeinsam mit anderen solchen Rechtsträgern betreibt,

4. Rechtsträger, die nicht im Art. 14b Abs. 2 Z 1 lit. a bis d B-VG oder im Abs. 1 oder in den Z 1 bis 3 dieses Absatzes genannt sind und die

a)vom Land Tirol allein oder gemeinsam mit dem Bund oder anderen Ländern finanziert werden, sofern im Fall der Mitfinanzierung durch den Bund der Finanzierungsanteil der Länder größer ist als jener des Bundes und im Fall der Mitfinanzierung durch andere Länder dem Land Tirol der größte Landesanteil zukommt,

b)hinsichtlich ihrer Leitung der Aufsicht des Landes Tirol unterliegen, sofern

aa)der Rechtsträger nicht vom Bund mitfinanziert wird oder der Finanzierungsanteil des Bundes mindestens gleich groß ist wie jener der Länder und

bb)hinsichtlich der Leitung neben dem Aufsichtsrecht des Landes Tirol kein Aufsichtsrecht des Bundes besteht und

cc)der Rechtsträger nicht unter lit. a fällt oder

c)Verwaltungs-, Leitungs- oder Aufsichtsorgane aufweisen, deren Mitglieder vom Land Tirol ernannt worden sind, sofern

aa)der Rechtsträger nicht vom Bund mitfinanziert wird oder der Finanzierungsanteil des Bundes mindestens gleich groß ist wie jener der Länder und

bb)die Einrichtung hinsichtlich ihrer Leitung nicht der Aufsicht des Bundes unterliegt und

cc)die Anzahl der vom Bund ernannten Mitglieder der Verwaltungs-, Leitungs- oder Aufsichtsorgane kleiner ist als die Anzahl der von den Ländern ernannten Mitglieder und im Fall der Ernennung von Mitgliedern durch mehrere Länder das Land Tirol die größte Anzahl ernennt und

dd)der Rechtsträger nicht unter lit. a oder b fällt.

(…)

§ 2

Rechtsschutz durch das Landesverwaltungsgericht, Verfahren

(1) Dem Landesverwaltungsgericht obliegt die Nachprüfung der Vergabe von Aufträgen und von Bau- und Dienstleistungskonzessionen nach den vergaberechtlichen Vorschriften des Bundes durch die im § 1 genannten Auftraggeber einschließlich der Erhebung von Gebühren nach § 24.

(2) Im Verfahren nach diesem Gesetz entscheidet das Landesverwaltungsgericht in Senaten. Dies gilt nicht für Verfahren über Anträge auf Erlassung einer einstweiligen Verfügung und Anträge auf Bewilligung der Verfahrenshilfe.

(…)

§ 3

Zuständigkeit des Landesverwaltungsgerichts

(…)

(2) Bis zur Erteilung des Zuschlages bzw. bis zum Widerruf eines Vergabeverfahrens bzw. eines Konzessionsvergabeverfahrens ist das Landesverwaltungsgericht zum Zweck der Beseitigung von Verstößen gegen das BVergG 2018 sowie das BVergGKonz 2018 und die zu diesen Gesetzen erlassenen Verordnungen oder gegen unmittelbar anwendbares Unionsrecht zuständig

1. zur Erlassung einstweiliger Verfügungen sowie

2. zur Nichtigerklärung gesondert anfechtbarer Entscheidungen des Auftraggebers im Rahmen der vom Antragsteller geltend gemachten Beschwerdepunkte.

(…)

§ 14

Nichtigerklärung von Entscheidungen des Auftraggebers

(1) Das Landesverwaltungsgericht hat eine im Zug eines Vergabeverfahrens bzw. Konzessionsvergabeverfahrens ergangene, gesondert anfechtbare Entscheidung eines Auftraggebers mit Erkenntnis für nichtig zu erklären, wenn

1. sie oder eine ihr vorangegangene nicht gesondert anfechtbare Entscheidung im Rahmen der geltend gemachten Beschwerdepunkte rechtswidrig ist und

2. die Rechtswidrigkeit für den Ausgang des Vergabeverfahrens bzw. Konzessionsvergabeverfahrens von wesentlichem Einfluss ist.

(2) Als Nichtigerklärung rechtswidriger Entscheidungen kommt insbesondere auch die Streichung von für Unternehmer diskriminierenden Anforderungen hinsichtlich technischer Leistungsmerkmale in einem Vergabeverfahren bzw. hinsichtlich der technischen und funktionellen Anforderungen in einem Konzessionsvergabeverfahren sowie hinsichtlich der wirtschaftlichen oder finanziellen Leistungsfähigkeit in der Ausschreibung in Betracht.

(3) Erklärt das Landesverwaltungsgericht eine gesondert anfechtbare Entscheidung für nichtig, so ist der Auftraggeber verpflichtet, in dem betreffenden Vergabeverfahren bzw. Konzessionsvergabeverfahren mit den ihm zu Gebote stehenden Mitteln unverzüglich den der Rechtsanschauung des Landesverwaltungsgerichts entsprechenden Rechtszustand herzustellen.

§ 24

Gebühren, Gebührenersatz

(…)

(5) Der vor dem Landesverwaltungsgericht gänzlich oder zumindest teilweise obsiegende Antragsteller hat Anspruch auf Ersatz der von ihm nach Abs. 1 entrichteten Gebühren durch den Auftraggeber (Gebührenersatz). Der Antragsteller hat auch Anspruch auf Gebührenersatz, wenn er während des anhängigen Verfahrens klaglos gestellt wird. Das Landesverwaltungsgericht hat über den Gebührenersatz in seiner Entscheidung abzusprechen.

(6) Ein Anspruch auf Gebührenersatz nach Abs. 5 besteht für einen Antrag auf Erlassung einer einstweiligen Verfügung nur dann, wenn

1. dem Nachprüfungsantrag (Hauptantrag) stattgegeben oder der Antragsteller während des anhängigen Verfahrens klaglos gestellt wird und

2. dem Antrag auf Erlassung einer einstweiligen Verfügung stattgegeben oder dieser Antrag nur wegen einer Interessenabwägung abgewiesen wurde bzw. dem Antrag auf Erlassung einer einstweiligen Verfügung im Fall der Klaglosstellung stattzugeben gewesen wäre oder dieser Antrag im Fall der Klaglosstellung nur wegen einer Interessenabwägung abzuweisen gewesen wäre.“

b) Die wesentlichen Bestimmungen des Bundesvergabegesetz 2018 – BVergG 2018, BGBl I Nr 165/2018 idF BGBl I Nr 100/2018, lauten wie folgt:

„Begriffsbestimmungen

§ 2.

[…]

7. Ausschreibung ist die an eine bestimmte oder unbestimmte Zahl von Unternehmern gerichtete Erklärung des Auftraggebers, in der er festlegt, welche Leistung er zu welchen Bedingungen erhalten möchte (Bekanntmachung sowie Ausschreibungs- und Wettbewerbsunterlagen).

[…]

15. Entscheidung ist jede Festlegung eines Auftraggebers im Vergabeverfahren.

a) Gesondert anfechtbar sind folgende, nach außen in Erscheinung tretende Entscheidungen:

[…]

dd)im Verhandlungsverfahren mit vorheriger Bekanntmachung und bei Innovationspartnerschaften: die Ausschreibung; die Nicht-Zulassung zur Teilnahme; die Aufforderung zur Angebotsabgabe; sonstige Entscheidungen während der Verhandlungsphase bzw. während der Angebotsfrist; das Ausscheiden eines Angebotes; die Widerrufsentscheidung; die Zuschlagsentscheidung;

[…]

jj) bei der Rahmenvereinbarung: hinsichtlich des zum Abschluss der Rahmenvereinbarung führenden Verfahrens die gesondert anfechtbaren Entscheidungen gemäß sublit. aa), bb), dd) oder ee) mit Ausnahme der Zuschlagsentscheidung; die Entscheidung, mit welchem Unternehmer bzw. mit welchen Unternehmern die Rahmenvereinbarung abgeschlossen werden soll; der erneute Aufruf zum Wettbewerb; das Ausscheiden eines Angebotes; die Widerrufsentscheidung; die Zuschlagsentscheidung;

[…]

Elektronische Kommunikation

§ 48. (1) Der öffentliche Auftraggeber kann, sofern in den nachfolgenden Absätzen nicht anderes bestimmt wird, zwischen der elektronischen Kommunikation, der Kommunikation über den Postweg oder über einen anderen geeigneten Weg oder einer Kombination dieser Kommunikationswege wählen. Soweit die Kommunikation zwischen öffentlichem Auftraggeber und Unternehmer in einem Vergabeverfahren nicht elektronisch erfolgt, gilt Abs. 7 für minder bedeutsame Kommunikation.

(2) Im Oberschwellenbereich hat die Kommunikation zwischen öffentlichem Auftraggeber und Unternehmer nach Maßgabe der folgenden Absätze elektronisch zu erfolgen. Soweit die Kommunikation zwischen öffentlichem Auftraggeber und Unternehmer in einem Vergabeverfahren elektronisch erfolgt oder zu erfolgen hat, gelten die folgenden Absätze.

(Anm.: Abs. 2a aufgehoben durch Art. 2 Z 4, BGBl. I Nr. 65/2018)

(3) Der öffentliche Auftraggeber hat unter Beachtung der folgenden Absätze in der Ausschreibung nähere Festlegungen hinsichtlich der zu beachtenden Anforderungen an die elektronische Kommunikation zu treffen.

(4) Der Unternehmer hat Informationen elektronisch zu übermitteln. Der öffentliche Auftraggeber kann Informationen elektronisch übermitteln oder elektronisch bereitstellen; der Unternehmer ist von der Bereitstellung unverzüglich zu verständigen. Informationen gelten als übermittelt, sobald die Daten in den elektronischen Verfügungsbereich des Empfängers gelangt sind. Informationen gelten als bereitgestellt, sobald die Daten für den Empfänger abrufbar sind.

(5) Die für die elektronische Kommunikation zu verwendenden Kommunikationsmittel sowie deren technische Merkmale dürfen keinen diskriminierenden Charakter haben, müssen allgemein verfügbar sowie mit den allgemein verbreiteten Erzeugnissen der Informations und Kommunikationstechnologie kompatibel sein und dürfen den Zugang des Unternehmers zum Vergabeverfahren nicht beschränken.

(6) Die Kommunikation muss insoweit nicht elektronisch erfolgen, als

1. die Nutzung elektronischer Kommunikationsmittel aufgrund der besonderen Art des Auftrages bzw. des Wettbewerbes spezifische Instrumente, Vorrichtungen oder Dateiformate erfordern würde, die nicht allgemein verfügbar sind oder nicht von allgemein verfügbaren Anwendungen unterstützt werden, oder

2. die für die Kommunikation verwendete Anwendung Dateiformate unterstützt, die sich für die Beschreibung des Angebotes bzw. der Wettbewerbsarbeit eignen, jedoch selbst Dateiformate verwendet, die

a)nicht mittels anderer allgemein verfügbarer Anwendungen verarbeitet werden können oder

b)durch Lizenzen geschützt sind und nicht vom öffentlichen Auftraggeber übermittelt bzw. bereitgestellt werden können, oder

3. die Nutzung der elektronischen Kommunikationsmittel spezielle Bürogeräte erfordern würde, die für öffentliche Auftraggeber nicht allgemein verfügbar sind, oder

4. in den Ausschreibungs- oder Wettbewerbsunterlagen die Einreichung von physischen oder maßstabsgetreuen Modellen verlangt wird, die nicht elektronisch übermittelt werden können, oder

5. dies aufgrund einer Verletzung der Sicherheit der elektronischen Kommunikation erforderlich ist oder

6. dies zum Schutz besonders sensibler Informationen erforderlich ist. Diese Informationen müssen ein so hohes Schutzniveau erfordern, dass dies durch elektronische Instrumente und Vorrichtungen, die für den Unternehmer allgemein verfügbar sind oder diesem gemäß Abs. 10 bereitgestellt werden können, nicht angemessen gewährleistet werden kann.

Die Gründe für die Verwendung anderer Kommunikationsmittel sind im Vergabevermerk anzugeben.

(7) Die Kommunikation kann mündlich erfolgen, soweit diese keine wesentlichen Bestandteile des Vergabeverfahrens betrifft und ihr Inhalt ausreichend dokumentiert wird. Als wesentliche Bestandteile gelten jedenfalls die Ausschreibungs- oder Wettbewerbsunterlagen, der Teilnahmeantrag, die Interessensbestätigung, das Angebot und die Wettbewerbsarbeit.

(8) Sofern bei fristgebundenen Kommunikationen der vom öffentlichen Auftraggeber für die Durchführung des Vergabeverfahrens verwendete Server bis zum Zeitpunkt des Ablaufes der jeweiligen Frist nicht durchgehend empfangsbereit ist, hat der öffentliche Auftraggeber die betreffende Frist erforderlichenfalls entsprechend zu verlängern. Jedenfalls ist allen Bewerbern oder Bietern eine Verlängerung der Teilnahmeantrags- oder Angebotsfrist mitzuteilen. Ist dies nicht möglich, so ist die Verlängerung in geeigneter Form bekannt zu machen.

(9) Der öffentliche Auftraggeber hat bei der gesamten elektronischen Kommunikation sicherzustellen, dass die Integrität der Daten in seinem elektronischen Verfügungsbereich gewährleistet ist.

(10) Der öffentliche Auftraggeber kann die Verwendung von Instrumenten und Vorrichtungen vorschreiben, die nicht allgemein verfügbar sind, sofern er dem Unternehmer einen alternativen Zugang anbietet. Ein solcher liegt jedenfalls vor, wenn der öffentliche Auftraggeber

1. ab dem Tag der Veröffentlichung der Bekanntmachung oder dem Tag der Absendung der Aufforderung zur Interessensbestätigung einen kostenlosen, direkten, uneingeschränkten und vollständigen elektronischen Zugang zu diesen Instrumenten und Vorrichtungen anbietet, oder

2. gewährleistet, dass ein Unternehmer, der aus von ihm nicht zu verantwortenden Gründen keinen Zugang zu den Instrumenten und Vorrichtungen und keine Möglichkeit hat, diese fristgerecht zu besorgen, Zugang zum Vergabeverfahren mittels provisorischer, unentgeltlicher und online verfügbarer Token erhält, oder

3. einen alternativen Kanal für die elektronische Kommunikation unterstützt oder anbietet.

Die Bekanntmachung oder die Aufforderung zur Interessensbestätigung muss die Internet Adresse, über die die Instrumente und Vorrichtungen gemäß Z 1 zugänglich sind, angeben.

(11) Für die Instrumente und Vorrichtungen zur elektronischen Übermittlung und den Empfang von Angeboten, Wettbewerbsarbeiten und Teilnahmeanträgen gilt:

1. die Instrumente und Vorrichtungen müssen den Anforderungen des Anhanges V entsprechen und

2. die Informationen über die Spezifikationen für die elektronische Übermittlung der Angebote, Wettbewerbsarbeiten und Teilnahmeanträge, einschließlich Informationen über Verschlüsselung und Zeitstempel, müssen dem Unternehmer zugänglich sein.

(12) Bei Übermittlung von Ausschreibungs- und Wettbewerbsunterlagen, Teilnahmeanträgen, Angeboten, Wettbewerbsarbeiten sowie Auftragsbestätigungen sind diese mit einer qualifizierten elektronischen Signatur, einem qualifizierten elektronischen Siegel oder einer Amtssignatur gemäß § 19 Abs. 1 des E Government-Gesetzes – E-GovG, BGBl. I Nr. 10/2004, zu versehen bzw. hat die Übermittlung so zu erfolgen, dass die Vollständigkeit, Echtheit und Unverfälschtheit der Datensätze mit einer Qualität gewährleistet ist, die mit der Qualität einer qualifizierten elektronischen Signatur bzw. eines qualifizierten elektronischen Siegels vergleichbar ist.

(13) Der Bundesminister für Verfassung, Reformen, Deregulierung und Justiz im Einvernehmen mit dem Bundesminister für Finanzen und die Landesregierungen können, sofern dies einer homogeneren Abwicklung von Vergabeverfahren dient, für den jeweiligen Vollziehungsbereich bzw. Teile des jeweiligen Vollziehungsbereiches durch Verordnung jeweils eine bestimmte elektronische Kommunikationsplattform festlegen, welche die öffentlichen Auftraggeber im jeweiligen Vollziehungsbereich bei der elektronischen Kommunikation zu nutzen haben. In dieser Verordnung sind nähere Festlegungen hinsichtlich des Umfanges der Verpflichtung zur Nutzung einschließlich einer etwaigen Verpflichtung, auch die Ausschreibungs- oder Wettbewerbsunterlagen gemäß § 89 auf der Kommunikationsplattform zur Verfügung zu stellen, zu treffen sowie nähere Modalitäten zur Nutzung vorzuschreiben. Der Bundesminister für Verfassung, Reformen, Deregulierung und Justiz im Einvernehmen mit dem Bundesminister für Finanzen und die Landesregierungen können, sofern dies einer homogeneren Abwicklung von Vergabeverfahren dient, für den jeweiligen Vollziehungsbereich bzw. Teile des jeweiligen Vollziehungsbereiches durch Verordnung technische Anforderungen zur Sicherstellung des Datenaustausches zwischen elektronischen Kommunikationsplattformen festlegen.

Bestimmungen für den Abschluss von Rahmenvereinbarungen und die Vergabe von Aufträgen aufgrund von Rahmenvereinbarungen

Allgemeines

§ 153. Öffentliche Aufträge können aufgrund einer Rahmenvereinbarung vergeben werden, sofern

1. die Rahmenvereinbarung nach Durchführung eines offenen Verfahrens, eines nicht offenen Verfahrens mit vorheriger Bekanntmachung oder eines Verhandlungsverfahrens gemäß den §§ 34 bis 37 sowie 44 Abs. 1 ohne Zuschlagserteilung unter Beachtung der Bestimmungen des § 154 abgeschlossen wurde und

2. bei der Vergabe des auf der Rahmenvereinbarung beruhenden öffentlichen Auftrages § 155 beachtet wird.

Abschluss von Rahmenvereinbarungen

§ 154. (1) Der öffentliche Auftraggeber hat in der Bekanntmachung oder – sofern ein Verhandlungsverfahren ohne vorherige Bekanntmachung durchgeführt wird – in der Aufforderung zur Angebotsabgabe anzugeben, ob eine Rahmenvereinbarung mit einem einzigen oder mit mehreren Unternehmern abgeschlossen werden soll. Soll eine Rahmenvereinbarung für mehrere öffentliche Auftraggeber abgeschlossen werden, so sind in der Bekanntmachung oder – sofern ein Verhandlungsverfahren ohne vorherige Bekanntmachung durchgeführt wird – in der Aufforderung zur Angebotsabgabe alle abrufberechtigten öffentlichen Auftraggeber eindeutig zu identifizieren. Nach Möglichkeit sind auch kleine und mittlere Unternehmen am Verfahren zum Abschluss einer Rahmenvereinbarung zu beteiligen.

(2) Die Unternehmer, mit denen die Rahmenvereinbarung abgeschlossen werden soll, werden nach Durchführung eines offenen Verfahrens, eines nicht offenen Verfahrens mit vorheriger Bekanntmachung oder eines Verhandlungsverfahrens gemäß den §§ 34 bis 37 sowie 44 Abs. 1 ermittelt. Eine Rahmenvereinbarung mit einem Unternehmer ist mit jenem Bieter abzuschließen, der das gemäß dem oder den bekannt gegebenen Zuschlagskriterien am besten bewertete Angebot gelegt hat. Eine Rahmenvereinbarung mit mehreren Unternehmern ist mit jenen Bietern abzuschließen, die die gemäß dem oder den bekannt gegebenen Zuschlagskriterien am besten bewerteten Angebote gelegt haben. Soll eine Rahmenvereinbarung mit mehreren Unternehmern abgeschlossen werden, so müssen mindestens drei Unternehmer daran beteiligt sein, sofern eine ausreichend große Zahl von Unternehmern die Eignungskriterien erfüllt hat und eine ausreichend große Zahl von zulässigen Angeboten abgegeben wurde. Die maßgeblichen Gründe für die Bewertung der Angebote sind festzuhalten.

(3) Der öffentliche Auftraggeber hat den nicht berücksichtigten Bietern den Namen des Unternehmers bzw. die Namen der Unternehmer, mit dem bzw. denen die Rahmenvereinbarung abgeschlossen werden soll, mitzuteilen. In dieser Mitteilung sind die Gründe der Nichtberücksichtigung sowie die Merkmale und Vorteile des erfolgreichen Angebotes bzw. der erfolgreichen Angebote bekannt zu geben, sofern nicht die Bekanntgabe dieser Informationen öffentlichen Interessen oder den berechtigten Geschäftsinteressen eines Unternehmers widersprechen oder dem freien und lauteren Wettbewerb schaden würde. Eine Verpflichtung zur Mitteilung, mit welchem Unternehmer die Rahmenvereinbarung abgeschlossen werden soll, besteht nicht, wenn ein Verhandlungsverfahren gemäß den §§ 35 Abs. 1 Z 4, 36 Abs. 1 Z 4 oder 7 oder 37 Abs. 1 Z 4 zum Abschluss der Rahmenvereinbarung durchgeführt wurde.

(4) Der öffentliche Auftraggeber darf die Rahmenvereinbarung bei sonstiger absoluter Nichtigkeit nicht vor Ablauf der Stillhaltefrist abschließen. Die Stillhaltefrist beginnt mit der Übermittlung bzw. Bereitstellung der Mitteilung, mit welchem Unternehmer bzw. mit welchen Unternehmern die Rahmenvereinbarung abgeschlossen werden soll. Sie beträgt bei einer Übermittlung bzw. Bereitstellung auf elektronischem Weg 10 Tage, bei einer Übermittlung über den Postweg oder einen anderen geeigneten Weg 15 Tage. Für eine freiwillige Bekanntmachung gelten die §§ 58 und 64 Abs. 6 sinngemäß.

(5) Die Laufzeit einer Rahmenvereinbarung darf vier Jahre nicht überschreiten. Sofern dies ausnahmsweise, insbesondere aufgrund des Gegenstandes der Rahmenvereinbarung, sachlich gerechtfertigt werden kann, darf eine längere Laufzeit vorgesehen werden. Die dafür ausschlaggebenden Gründe sind festzuhalten.

(6) Auf den Widerruf einer Rahmenvereinbarung sind die §§ 148 bis 150 sinngemäß anzuwenden.

Vergabe von öffentlichen Aufträgen aufgrund von Rahmenvereinbarungen

§ 155. (1) Bei der Vergabe der auf einer Rahmenvereinbarung beruhenden Aufträge dürfen die Parteien keine wesentlichen Änderungen an den Bedingungen der Rahmenvereinbarung vornehmen.

(2) Aufträge, die aufgrund einer gemäß § 154 abgeschlossenen Rahmenvereinbarung vergeben werden sollen, werden gemäß den in Abs. 3 bis 9 beschriebenen Verfahren vergeben. Diese Verfahren sind nur zwischen dem öffentlichen Auftraggeber bzw. den öffentlichen Auftraggebern und jenem Unternehmer bzw. jenen Unternehmern zulässig, die von Anfang an Parteien der Rahmenvereinbarung waren und die in der Bekanntmachung oder in der Aufforderung zur Angebotsabgabe gemäß § 154 Abs. 1 eindeutig identifiziert wurden.

(3) Wird eine Rahmenvereinbarung mit einem einzigen Unternehmer abgeschlossen, so kann der Zuschlag hinsichtlich der auf dieser Rahmenvereinbarung beruhenden Aufträge

1. unmittelbar dem aufgrund der Bedingungen der Rahmenvereinbarung gelegten Angebot nach den in den Ausschreibungsunterlagen der Rahmenvereinbarung genannten Bedingungen erteilt werden, oder

2. der öffentliche Auftraggeber kann den Unternehmer zuerst schriftlich auffordern, sein Angebot

a) auf der Grundlage der ursprünglichen Bedingungen der Rahmenvereinbarung für die Vergabe der Aufträge oder

b) sofern nicht alle Bedingungen für die Vergabe der Aufträge in der Rahmenvereinbarung selbst festgelegt sind, auf der Grundlage der vervollständigten Bedingungen der Rahmenvereinbarung für die Vergabe der Aufträge oder

c) auf der Grundlage von anderen, in den Ausschreibungsunterlagen der Rahmenvereinbarung genannten Bedingungen

erforderlichenfalls zu verbessern, zu vervollständigen oder abzuändern und erst danach den Zuschlag nach den in der Ausschreibung der Rahmenvereinbarung genannten Bedingungen erteilen.

(4) Wird eine Rahmenvereinbarung mit mehreren Unternehmern abgeschlossen, so kann der Zuschlag für die auf dieser Rahmenvereinbarung beruhenden Aufträge

1. unmittelbar aufgrund der Bedingungen der Rahmenvereinbarung ohne erneuten Aufruf zum Wettbewerb, oder

2. nach erneutem Aufruf der Parteien zum Wettbewerb oder

3. teilweise ohne erneuten Aufruf zum Wettbewerb und teilweise nach erneutem Aufruf der Parteien zum Wettbewerb

erteilt werden.

(5) Sofern alle Bedingungen für die Vergabe eines Auftrages in der Rahmenvereinbarung selbst festgelegt sind, kann der Zuschlag ohne erneuten Aufruf zum Wettbewerb einer Partei der Rahmenvereinbarung erteilt werden. In der Ausschreibung für eine derartige Rahmenvereinbarung sind die Zuschlagskriterien für die auf dieser Rahmenvereinbarung beruhenden Aufträge festzulegen. Sollen Aufträge gemäß Abs. 4 Z 3 teilweise ohne und teilweise nach erneutem Aufruf zum Wettbewerb vergeben werden, so sind in den Ausschreibungsunterlagen der Rahmenvereinbarung darüber hinaus

1. die Möglichkeit der Inanspruchnahme der Zuschlagserteilung gemäß Abs. 4 Z 3,

2. die objektiven Kriterien, die der Entscheidung zugrunde liegen, ob bestimmte Leistungen teilweise ohne und teilweise nach erneutem Aufruf zum Wettbewerb vergeben werden und

3. jene Bedingungen der Rahmenvereinbarung, welche einem erneuten Aufruf zum Wettbewerb unterliegen können,

festzulegen. Die Möglichkeit der Vergabe teilweise ohne und teilweise nach erneutem Aufruf zum Wettbewerb gemäß Abs. 4 Z 3 besteht auch für jene Lose einer Rahmenvereinbarung, für deren Vergabe alle Bedingungen in der Rahmenvereinbarung festgelegt sind, ungeachtet dessen, ob alle Bedingungen für andere Lose derselben Rahmenvereinbarung festgelegt wurden.

(6) Sofern nicht alle Bedingungen für die Vergabe eines Auftrages in der Rahmenvereinbarung selbst festgelegt sind, kann der erneute Aufruf der Parteien zum Wettbewerb gemäß Abs. 4 Z 2

1. auf der Grundlage der ursprünglichen und nunmehr vervollständigten Bedingungen der Rahmenvereinbarung für die Vergabe der Aufträge, oder

2. auf der Grundlage von anderen, in der Ausschreibung der Rahmenvereinbarung genannten Bedingungen

erfolgen.

(7) Bei einem erneuten Aufruf der Parteien zum Wettbewerb gemäß Abs. 4 Z 2 oder 3 kann der öffentliche Auftraggeber, sofern Abs. 8 und 9 nicht zur Anwendung kommen, den Zuschlag entweder nach Durchführung einer elektronischen Auktion oder nach Durchführung des nachfolgenden Verfahrens erteilen:

1. Vor der Vergabe jedes Einzelauftrages konsultiert der öffentliche Auftraggeber schriftlich jene Parteien der Rahmenvereinbarung, die in der Lage sind, die konkret nachgefragte Leistung zu erbringen.

2. Der öffentliche Auftraggeber setzt eine angemessene Frist für die Abgabe neuer Angebote für jeden Einzelauftrag fest; dabei hat der öffentliche Auftraggeber insbesondere die Komplexität des Auftragsgegenstandes und die für die Übermittlung der Angebote und der sonstigen Unterlagen erforderliche Zeit zu berücksichtigen.

3. Die Angebote sind schriftlich einzureichen und dürfen bis zum Ablauf der Angebotsfrist nicht geöffnet werden.

4. Der Zuschlag ist dem gemäß dem oder den auf Grundlage der Ausschreibungsunterlagen der Rahmenvereinbarung festgelegten Zuschlagskriterium bzw. Zuschlagskriterien am besten bewerteten Angebot zu erteilen. Die Gründe für die Zuschlagsentscheidung sind schriftlich festzuhalten. Hinsichtlich des Zuschlages gelten die §§ 143 bis 145.

(8) Wurde mit einer oder mehreren Parteien eine Rahmenvereinbarung aufgrund von Angeboten in Form elektronischer Kataloge abgeschlossen, so kann der öffentliche Auftraggeber vorschreiben, dass der erneute Aufruf dieser Parteien zum Wettbewerb gemäß Abs. 4 Z 2 oder 3 auf der Grundlage aktualisierter Kataloge erfolgt. In diesem Fall kann der Zuschlag für die auf dieser Rahmenvereinbarung beruhenden Aufträge entweder

1. nach Aufforderung an die Parteien der Rahmenvereinbarung, ihre elektronischen Kataloge an die Anforderungen des Auftrages anzupassen und erneut einzureichen oder

2. – sofern diese Vorgangsweise in der Ausschreibung der Rahmenvereinbarung bekannt gegeben wurde – nach Unterrichtung der Parteien darüber, dass der öffentliche Auftraggeber beabsichtigt, den bereits eingereichten elektronischen Katalogen jene Informationen zu entnehmen, die erforderlich sind, um Angebote zu erstellen, die den Anforderungen des Auftrages entsprechen,

erfolgen.

(9) Bei einem erneuten Aufruf der Parteien zum Wettbewerb gemäß Abs. 8 Z 2 hat der öffentliche Auftraggeber den betreffenden Parteien der Rahmenvereinbarung den Tag und den Zeitpunkt bekannt zu geben, zu dem jene Informationen den eingereichten elektronischen Katalogen entnommen werden sollen, die zur Erstellung der Angebote, die den Anforderungen des Auftrages entsprechen, notwendig sind. Mit dieser Bekanntgabe hat der öffentliche Auftraggeber den Parteien eine angemessene Frist einzuräumen, um vor dem bekannt gegebenen Zeitpunkt entweder ihren Katalog entsprechend zu aktualisieren oder die Erstellung eines Angebotes auf diese Weise abzulehnen. Der öffentliche Auftraggeber hat vor der Erteilung des Zuschlages dem in Aussicht genommenen Zuschlagsempfänger die aus dessen elektronischen Katalog entnommenen Informationen zu übermitteln bzw. bereitzustellen und eine angemessene Frist festzusetzen, binnen der der in Aussicht genommene Zuschlagsempfänger gegen das solcherart erstellte Angebot Einspruch erheben kann, weil das Angebot Fehler enthält, oder binnen der zu bestätigen ist, dass das Angebot fehlerfrei ist.

(10) Auf den Widerruf eines Verfahrens gemäß Abs. 3 bis 9 sind die §§ 148 bis 150 sinngemäß anzuwenden.“

c) Die wesentlichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 65/46/EG (Datenschutz-Grundverordnung), DSGVO, lauten wie folgt:

„Artikel 1

Gegenstand und Ziele

(1) Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten.

(2) Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.

(3) Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.

Artikel 2

Sachlicher Anwendungsbereich

(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten

a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,

b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen,

c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten,

d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

(3) Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001. Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst.

(4) Die vorliegende Verordnung lässt die Anwendung der Richtlinie 2000/31/EG und speziell die Vorschriften der Artikel 12 bis 15 dieser Richtlinie zur Verantwortlichkeit der Vermittler unberührt.

Artikel 3

Räumlicher Anwendungsbereich

(1) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.

(2) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht

a) betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist;

b) das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.

(3) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten durch einen nicht in der Union niedergelassenen Verantwortlichen an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt.

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

…

5. „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;

…

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

…

15. „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;

18. „Unternehmen“ eine natürliche und juristische Person, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von ihrer Rechtsform, einschließlich Personengesellschaften oder Vereinigungen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen;

…

Artikel 24

Verantwortung des für die Verarbeitung Verantwortlichen

(1) Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.

(2) Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen gemäß Absatz 1 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen.

(3) Die Einhaltung der genehmigten Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen.

Artikel 25

Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen

(1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen — wie z. B. Pseudonymisierung — trifft, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.

(2) Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.

(3) Ein genehmigtes Zertifizierungsverfahren gemäß Artikel 42 kann als Faktor herangezogen werden, um die Erfüllung der in den Absätzen 1 und 2 des vorliegenden Artikels genannten Anforderungen nachzuweisen.

Artikel 26

Gemeinsam für die Verarbeitung Verantwortliche

(1) Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für die betroffenen Personen angegeben werden.

(2) Die Vereinbarung gemäß Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.

(3) Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen.

Artikel 28

Auftragsverarbeiter

(1) Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

(2) Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

(3) Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter

a) die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation — verarbeitet, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;

b) gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

c) alle gemäß Artikel 32 erforderlichen Maßnahmen ergreift;

d) die in den Absätzen 2 und 4 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;

e) angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen;

f) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 genannten Pflichten unterstützt;

g) nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;

h) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen — einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.

Mit Blick auf Unterabsatz 1 Buchstabe h informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

(4) Nimmt der Auftragsverarbeiter die Dienste eines weiteren Auftragsverarbeiters in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so werden diesem weiteren Auftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auferlegt, die in dem Vertrag oder anderen Rechtsinstrument zwischen dem Verantwortlichen und dem Auftragsverarbeiter gemäß Absatz 3 festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden muss, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.

(5) Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um hinreichende Garantien im Sinne der Absätze 1 und 4 des vorliegenden Artikels nachzuweisen.

(6) Unbeschadet eines individuellen Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter kann der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 des vorliegenden Artikels ganz oder teilweise auf den in den Absätzen 7 und 8 des vorliegenden Artikels genannten Standardvertragsklauseln beruhen, auch wenn diese Bestandteil einer dem Verantwortlichen oder dem Auftragsverarbeiter gemäß den Artikeln 42 und 43 erteilten Zertifizierung sind.

(7) Die Kommission kann im Einklang mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.

(8) Eine Aufsichtsbehörde kann im Einklang mit dem Kohärenzverfahren gemäß Artikel 63 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.

(9) Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.

(10) Unbeschadet der Artikel 82, 83 und 84 gilt ein Auftragsverarbeiter, der unter Verstoß gegen diese Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher.

Artikel 29

Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters

Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.“

d) Weiters sind folgende Bestimmungen des Medizinproduktegesetz, BGBl Nr 657/1996, zuletzt geändert durch BGBl I Nr. 77/2008 (MPG), von Relevanz:

„Register, Verfolgbarkeit von Medizinprodukten

Herzschrittmacher-, ICD-, Looprecorder-Register

§ 45. (1) Die Gesundheit Österreich GmbH ist berechtigt,

1. zum Zweck des Schutzes der Gesundheit und Sicherheit von Patienten, Anwendern oder Dritten und zur Abwehr von Risiken im Zusammenhang mit Implantationen von Herzschrittmachern, implantierbaren Defibrillatoren und Loop-Recordern,

2. zum Zweck der Medizinproduktevigilanz und Marktüberwachung im Zusammenhang mit Herzschrittmachern, implantierbaren Defibrillatoren und Loop-Recordern,

3. zum Zweck der qualitätsgesicherten Behandlung im Zusammenhang mit den entsprechenden Implantationen,

4. zum Zweck der Qualitätssicherung von Herzschrittmachern, implantierbaren Defibrillatoren und Loop-Recordern,

5. zum Zweck der Statistik als Grundlage für Planung, Qualitätssicherung und Qualitätsberichterstattung im österreichischen Gesundheitswesen, und

6. zu wissenschaftlichen Zwecken

ein Register für Herzschrittmacher, implantierbare Defibrillatoren und Loop-Recordern zu führen. Die Gesundheit Österreich GmbH ist Verantwortlicher des Registers.

(2) In dem Register werden folgende Datenkategorien verarbeitet:

1. Daten über die implantierende bzw. behandelnde Gesundheitseinrichtung (Bezeichnung der implantierenden bzw. behandelnden Einrichtung bzw. Name des behandelnden Arztes, Krankenhausnummer, Kontaktdaten),

2. Daten zur Patientenidentifikation (Name, Geschlecht, Geburtsjahr, Kontaktdaten, bereichsspezifisches Personenkennzeichen),

3. gegebenenfalls Sterbedaten (Datum, Todesursache, Autopsiestatus),

4. relevante klinische Daten zu Anamnese, aktuellem Gesundheitszustand und Indikation (Vorintervention, Symptome, Ätiologie, präoperativer Herzrhythmus),

5. technische, klinische, organisatorische und zeitliche Daten zum Versorgungsprozess (Operateur, Implantationsdaten der Medizinprodukte und der dazugehörigen Sonden, Datum der Implantation, Lokalisation der Medizinprodukte, Zugang, Sekundärprophylaxe),

6. technische Daten zum Implantat, spezifische Implantatparameter, Daten zur individuellen Implantateinstellung (Modell, Hersteller und Seriennummer der Medizinprodukte und der dazugehörigen Sonden, Implantatparameter), und

7. technische, klinische, organisatorische, zeitliche und ereignisbezogene Daten zur Nachsorge (technisch und klinische Kontrolldaten der implantierten Medizinprodukte und der dazugehörigen Sonden, Funktionszustand, Datum und Indikation der Kontrolle, Komplikationen, Explantationsdatum, Explantationsgrund).

(3) Die implantierenden bzw. behandelnden Gesundheitseinrichtungen sind nach Maßgabe des Abs. 4 verpflichtet, die in Abs. 2 genannten Datenarten der Gesundheit Österreich GmbH elektronisch zu übermitteln.

(4) Die Übermittlung des Namens und der Kontaktdaten ist nur zulässig, wenn die betroffenen Personen

1. über die Verarbeitung für ihre Behandlungszwecke informiert wurden, und

2. ausdrücklich in diese Verarbeitung eingewilligt haben.

Wird bei einem Folgekontakt die Einwilligung widerrufen, so ist die Gesundheit Österreich GmbH über den Widerruf zu informieren. Die Gesundheit Österreich GmbH hat die Daten unverzüglich zu pseudonymisieren.

(5) Soweit keine Einwilligung erteilt wurde, haben die implantierenden bzw. behandelnden Gesundheitseinrichtungen

1. die Daten gemäß Abs. 2 Z 1 und 3 bis 7, und

2. das bereichsspezifische Personenkennzeichen Gesundheit (bPK-GH) zu übermitteln.

Aufgrund dieses Absatzes übermittelte Daten dürfen nur zu Zwecken nach Abs. 1 Z 5 und 6 verarbeitet werden.

(6) Die Erteilung von Zugriffsberechtigungen auf das Herzschrittmacher-, ICD- und Loop-Recorder-Register durch Gesundheitseinrichtungen ist durch die Gesundheit Österreich GmbH nachvollziehbar zu dokumentieren. Bei der Erteilung von Zugriffsberechtigungen durch Gesundheitseinrichtungen ist darauf zu achten, dass Zugriffsrechte stets nur in jenem Umfang gewährt werden, als dies für einen Zweck gemäß Abs. 1 konkret notwendig ist. Die Erteilung der Zugriffsberechtigung hat sich auf konkrete Personen zu beziehen, deren eindeutige Identität und Umfang der Berechtigung der Gesundheit Österreich GmbH nachzuweisen ist.

(7) Bei der Datenverarbeitung gemäß Abs. 1 und 2 ist zur Patientenidentifikation die Verwendung des Namens und des bereichsspezifischen Personenkennzeichens GH und AS (§ 10 Abs. 2 E- Government-Gesetz, BGBl. I Nr. 10/2004) zulässig. Das bereichsspezifische Personenkennzeichen AS darf nur in verschlüsselter Form verwendet und gespeichert werden. Der Personenbezug ist vom Verantwortlichen unverzüglich unumkehrbar zu löschen, sobald er für die Zwecke nach Abs. 1 Z 1 und 3 nicht mehr erforderlich ist.

(8) Die Gesundheit Österreich GmbH ist berechtigt, bei der Bundesanstalt „Statistik Österreich“ Informationen zum Todeszeitpunkt und zur Todesursache von Personen anzufordern, deren Daten im Register verarbeitet sind.

(9) Der Geschäftsführer der Gesundheit Österreich GmbH hat sicherzustellen, dass Identität und Rolle der Zugriffsberechtigten bei jedem Zugriff dem Stand der Technik entsprechend nachgewiesen und protokolliert werden. Er muss sicherstellen, dass geeignete, dem jeweiligen Stand der Technik entsprechende Vorkehrungen getroffen werden, um eine Vernichtung oder Veränderung der Daten durch Programmstörungen (Viren) zu verhindern, um eine Vernichtung, Veränderung oder Abfrage der Daten des Registers durch unberechtigte Benutzer oder Systeme zu verhindern. Weiters muss er sicherstellen, dass alle durchgeführten Verarbeitungsvorgänge, wie insbesondere Eintragungen, Änderungen, Abfragen und Übermittlungen, nachvollziehbar sind. Er hat ein Datensicherheitskonzept zu erstellen, das für die Mitarbeiter der Gesundheit Österreich GmbH verbindlich ist.

(10) Die Gesundheit Österreich GmbH darf auf die im Register verarbeiteten oder zu verarbeitenden Daten

1. grundsätzlich nur in pseudonymisierter Form, und

2. zur Wahrnehmung der Rechte der betroffenen Personen gemäß Kapitel 3 Datenschutz-Grundverordnung aber auch personenbezogen

zugreifen. Für wissenschaftliche Zwecke darf die Gesundheit Österreich GmbH nur in pseudonymisierter Form zugreifen.

(11) Die an den Registern teilnehmenden Gesundheitseinrichtungen dürfen

1. für die Zwecke des Abs. 1 Z 3 auf alle diese Person betreffenden Daten im Register auch in personenbezogener Form zugreifen, wenn dies im Rahmen einer konkreten Behandlungssituation der jeweiligen Person erforderlich ist,

a) mit ausdrücklicher Einwilligung der betroffenen Person, oder

b) wenn die Einholung der Einwilligung unmöglich ist, im lebenswichtigen Interesse der betroffenen Person, und

2. für wissenschaftliche Zwecke (Abs. 1 Z 6) in pseudonymisierter Form auf die im Register verarbeiteten Daten zugreifen.

(12) Das Bundesamt für Sicherheit im Gesundheitswesen ist für Zwecke der Medizinproduktevigilanz berechtigt, auf die im Register verarbeiteten Daten in personenbezogener Form zuzugreifen, sofern dies im Einzelfall zum Schutz der Gesundheit und Sicherheit von Patienten und zur Abwehr von ernsten Risiken unbedingt notwendig ist. Ansonsten ist das Bundesamt für Sicherheit im Gesundheitswesen für Zwecke der Medizinproduktevigilanz und Marktüberwachung berechtigt, auf die Daten im Register in pseudonymisierter Form zuzugreifen. Das Bundesamt für Sicherheit im Gesundheitswesen und das Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz sind darüber hinaus für Zwecke der Qualitätssicherung von Medizinprodukten berechtigt, auf die Daten im Register in pseudonymisierter Form zuzugreifen.

(13) Der Geschäftsführer der Gesundheit Österreich GmbH ist verpflichtet, die Zugriffsberechtigung für die einzelnen Benutzer der Gesundheit Österreich GmbH individuell zuzuweisen. Die Zugriffsberechtigten der Gesundheit Österreich GmbH sind über die Bestimmungen der Datenschutzgrundverordnung und das Datensicherheitskonzept zu belehren. Diesen Zugriffsberechtigten ist ihre Zugriffsberechtigung zu entziehen, wenn sie diese zur weiteren Erfüllung der ihnen übertragenen Aufgaben nicht mehr benötigen oder sie die Daten nicht entsprechend ihrer Zweckbestimmung verarbeiten.

(14) Die Inverkehrbringer von Medizinprodukten, die im Herzschrittmacher-, ICD-, Loop Recorder-Register geführt werden, sind verpflichtet, die für Zwecke des Registers erforderlichen technischen Daten ihrer Implantate der Gesundheit Österreich GmbH in elektronischer Form zur Verfügung zu stellen.

Datenschutz

Geheimhaltungspflicht und automationsunterstützter Datenverkehr

§ 77. (1) Alle mit Aufgaben im Rahmen der Vollziehung dieses Bundesgesetzes betrauten Personen sind, soweit sie nicht schon nach anderen gesetzlichen Bestimmungen zur Geheimhaltung verpflichtet sind, zur Geheimhaltung über alle ihnen ausschließlich aus dieser Tätigkeit bekannt gewordenen Informationen verpflichtet, soweit und solange dies aus den in § 6 Abs. 1 des Informationsfreiheitsgesetzes – IFG, BGBl. I Nr. 5/2024, genannten Gründen erforderlich und verhältnismäßig ist.

(2) Von dieser Verpflichtung hat sie die Aufsichtsbehörde auf Verlangen eines Gerichtes oder einer Verwaltungsbehörde oder sofern sich aus der Ladung erkennen lässt, dass der Gegenstand der Aussage vor Gericht oder einer Verwaltungsbehörde der Geheimhaltungspflicht unterliegen könnte, auf Verlangen des Betroffenen zu entbinden, wenn dies im Interesse der Rechtspflege oder im sonstigen öffentlichen Interesse liegt.

§ 78. (1) Zur Gewährleistung der Medizinproduktesicherheit sowie zur Gewährleistung des Schutzes von Leben und Gesundheit von Menschen dürfen die für die Vollziehung dieses Bundesgesetzes benötigten Daten (Art. 4 Z 1 Datenschutz-Grundverordnung) über die Herstellung, das Inverkehrbringen, das Bereithalten, das Errichten, die Anwendung, die Prüfung, die klinische Bewertung und Prüfung, die Leistungsbewertung und Leistungsprüfung, die Aufbereitung, die Inbetriebnahme, das Qualitätsmanagement, die Instandhaltung, die Marktüberwachung und Vigilanz von Medizinprodukten automationsunterstützt verarbeitet werden.

(2) Zur Gewährleistung der Medizinproduktesicherheit sowie zur Gewährleistung des Schutzes von Leben und Gesundheit von Menschen dürfen die für die Vollziehung dieses Bundesgesetzes im Hinblick auf die Medizinprodukteüberwachung benötigten personenbezogenen Daten gemäß Art. 9 Abs. 2 lit. i Datenschutz-Grundverordnung durch das Bundesamt für Sicherheit im Gesundheitswesen verarbeitet werden. Im Hinblick auf die Verarbeitung dieser personenbezogenen Daten ist Art. 13, 14, 17, 18 und 21 Datenschutz-Grundverordnung ausgeschlossen.

(3) Das Bundesamt für Sicherheit im Gesundheitswesen ist ermächtigt, im oder für den automationsunterstützten Datenverkehr Daten im Sinne des Abs. 1 und 2 zu übermitteln an

1. das Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz und nachgeordnete Behörden für Zwecke des Abs. 1,

2. die Österreichische Agentur für Gesundheit und Ernährungssicherheit, den Beirat gemäß § 93 Abs. 2 sowie Sachverständige, soweit ihnen in Vollziehung dieses Bundesgesetzes Aufgaben zugewiesen werden, die der Zweckbestimmung der Abs. 1 und 2 entsprechen,

3. die Gesundheit Österreich GmbH, Universitätsinstitute und sonstige der Forschung dienende Institutionen, soweit sie im Interesse der Volksgesundheit tätig sind, für Aufgaben im Sinne der Zweckbestimmung der Abs. 1 und 2,

4. die Österreichische Apothekerkammer, die Österreichische Ärztekammer und die Ärztekammern in den Bundesländern, die Österreichische Zahnärztekammer, den Dachverband der gehobenen medizinisch-technischen Dienste, das Hebammengremium, die Sozialversicherungsträger und den Dachverband der Sozialversicherungsträger, sowie die Wirtschaftskammer Österreich soweit diese Daten eine wesentliche Voraussetzung für die ihnen gesetzlich übertragenen Aufgaben bilden,

5. die Gesundheitseinrichtungen, soweit sie Medizinprodukte in Verkehr bringen oder anwenden und die sichere Anwendung oder der Schutz des Lebens oder der Gesundheit von Menschen es erfordern,

6. die Weltgesundheitsorganisation im Sinne der im Abs. 1 und 2 angeführten Zweckbestimmung, und

7. die zuständigen Behörden und Benannten Stellen der Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und die Europäische Kommission für Aufgaben im Sinne der Zweckbestimmung der Abs. 1 und 2.“

e) Schließlich sind folgende Bestimmungen des Bundesgesetzes über die Gesundheit Österreich GmbH (GÖGG), BGBl I Nr 132/2006 idF BGBL I Nr 191/2023, von Bedeutung:

„Errichtung

§ 2. (1) Es wird eine Gesellschaft mit beschränkter Haftung mit der Firma „Gesundheit Österreich GmbH“ als nationales Forschungs- und Planungsinstitut für das Gesundheitswesen errichtet.

Die Gesellschaft umfasst folgende Geschäftsbereiche:

1. „Österreichisches Bundesinstitut für Gesundheitswesen“ (ÖBIG),

2. „Bundesinstitut für Qualität im Gesundheitswesen“ (BIQG) und

3. „Fonds Gesundes Österreich“ (FGÖ).

Weitere Geschäftsbereiche können durch die Generalversammlung eingerichtet werden.

(2) Soweit dieses Gesetz keine oder keine abweichenden Bestimmungen enthält, ist auf die Gesellschaft das Gesetz über Gesellschaften mit beschränkter Haftung (GmbH-Gesetz – GmbHG), RGBl. Nr. 58/1906, anzuwenden.

(3) Die Gesundheit Österreich GmbH (im Folgenden: die Gesellschaft) entsteht mit In-Kraft-Treten dieses Bundesgesetzes. Alleingesellschafter ist der Bund, vertreten durch den/die Bundesminister/Bundesministerin für Gesundheit und Frauen. Das Stammkapital der Gesellschaft ist zur Gänze vor der Anmeldung der Gesellschaft von dem/der Bundesminister/Bundesministerin für Gesundheit und Frauen einzuzahlen.

(4) Die Gesellschaft ist unter Beifügung der Errichtungserklärung gemäß § 3 Abs. 2 GmbHG und der gemäß GmbHG geforderten Angaben beim Handelsgericht Z rückwirkend zum Stichtag ihres Entstehens zum Firmenbuch anzumelden. Der Gesellschaftsvertrag wird durch die Erklärung über die Errichtung der Gesellschaft ersetzt.

(5) Die Gesellschaft ist im Rahmen ihrer wissenschaftlichen Tätigkeit gegenüber dem Gesellschafter weisungsfrei. Aufträge, welche die Gesellschaft im Auftrag des/der Bundesministers/Bundesministerin für Gesundheit und Frauen zur Umsetzung von Beschlüssen der Bundesgesundheitskommission gemäß Art. 12 der Vereinbarung gemäß Art. 15a B-VG über die Organisation und Finanzierung des Gesundheitswesens, BGBl. I Nr. 73/2005, durchführt, sind entsprechend der Beschlusslage der Bundesgesundheitskommission umzusetzen und dürfen vom Gesellschafter nicht verändert werden.

(6) Der Sitz der Gesellschaft ist Z. Das Geschäftsjahr ist das Kalenderjahr. Die Gesellschaft ist berechtigt, ihrer Firma oder der Abkürzung ihrer Firma das Bundeswappen beizusetzen.

Aufgaben der Gesellschaft

§ 4. (1) Dem Geschäftsbereich ÖBIG obliegen im Rahmen der Erarbeitung von Informationsgrundlagen, Methoden und Instrumenten betreffend überregionale oder bundesweite Planungs-, Steuerungs- und Evaluierungsmaßnahmen im Gesundheitswesen und der Zurverfügungstellung derselben an den Entscheidungsträger folgende Aufgaben:

1. Vorbereitende Maßnahmen der Planung und der Erarbeitung von Orientierungshilfen auf dem Gebiet der strukturellen Gestaltung des österreichischen Gesundheits- und Sozialsystems (Gesundheitssystem- und -strukturplanung) insbesondere zu Fragen der Organisation der ärztlichen einschließlich der spitalsmäßigen Versorgung und des Nahtstellenmanagements,

2. Beobachtung, Analyse und Evaluierung von strukturverändernden Maßnahmen und Projekten sowie von Maßnahmen zur Kostendämpfung und Effizienzsteigerung im Gesundheitswesen einschließlich Berichtswesen und Dokumentation,

3. Erstellung von Expertisen aus gesundheitsstrukturpolitischer Sicht für die Konzeption und Weiterentwicklung von leistungsorientierten Vergütungssystemen,

4. Erarbeitung von Methoden zur Erfassung, Darstellung, Analyse und Auswertung von Daten, die für den Gesundheitszustand der Bevölkerung von Bedeutung sind,

5. Konzeption und Koordination der Umsetzung von Vorsorgeprogrammen und Behandlungsmaßnahmen mit überregionaler Bedeutung gemäß Art. 28 der Vereinbarung gemäß Art. 15a B-VG über die Organisation und Finanzierung des Gesundheitswesens,

6. Koordination und Abwicklung von Vorhaben im Bereich des Organ- und Stammzelltransplantationswesens, die Wahrnehmung der Funktion des österreichischen Stammzellregisters nach Maßgabe des § 4a, die Organvigilanz und das Berichtswesen im Bereich der Organtransplantation,

7. Entwicklung von Grundlagen für die Weiterentwicklung von Gesundheitsberufen einschließlich Ausarbeitung von Curricula,

8. Führung des IVF-Registers gemäß § 7 des Bundesgesetzes, mit dem ein Fonds zur Finanzierung der In-vitro-Fertilisation eingerichtet wird (IVF-Fonds-Gesetz), BGBl. I Nr. 180/1999 idF BGBl. I Nr. 3/2010, des Widerspruchsregisters gemäß § 6 des Organtransplantationsgesetzes, BGBl. I Nr. 108/2012, und weiterer Register auf dem Gebiet des Gesundheitswesens nach Maßgabe besonderer gesetzlicher Bestimmungen,

9. Führung des Gesundheitsberuferegisters nach Maßgabe besonderer gesetzlicher Bestimmungen,

10. Durchführung internationaler Arzneimittelpreisvergleiche und -analysen als Unterstützung der Preiskommission bei der Ermittlung des EU-Durchschnittspreises gemäß § 351c Abs. 6 Allgemeines Sozialversicherungsgesetz (ASVG), BGBl. Nr. 189/1955,

11. Führung der Vergiftungsinformationszentrale,

12. Bearbeitung von Themen im Zusammenhang mit Klima und Gesundheit im Rahmen des Kompetenzzentrums Klima und Gesundheit (Agenda Gesundheitsförderung) und

13. Bearbeitung von Themen der Gesundheitsförderung im Gesundheitssystem im Rahmen des Kompetenzzentrums Gesundheitsförderung und Gesundheitssystem (Agenda Gesundheitsförderung).

…

Datenschutz und Verschwiegenheit

§ 15. (1) Die gemäß § 4 Abs. 1 bis 4 und 6 verarbeiteten Daten dürfen nicht auf betroffene Personen rückgeführt werden.

(2) Sofern für die Erfüllung gesetzlich übertragener Aufgaben die Verarbeitung anonymisierter Daten im Sinne des Abs. 1 nicht ausreicht, ist die Verarbeitung pseundonymisierter Daten im Sinne des Art. 4 Z 5 DSGVO zulässig, wobei der GÖG eine Rückführung auf die betroffene Person verboten ist.

(3) Sofern die Erfüllung gesetzlich übertragener Aufgaben nur unter Herstellung eines Personenbezugs möglich ist bzw. für Zwecke der

1. Koordination und Abwicklung von Vorhaben im Bereich des Organ- und des Stammzelltransplantationswesens gemäß § 4 Abs. 1 Z 6,

2. Führung des IVF-Registers und des Widerspruchsregisters gemäß § 4 Abs. 1 Z 8,

3. Erstellung von Qualitätsberichten einschließlich der Führung von Qualitätsregistern gemäß § 4 Abs. 2 Z 3 und 4 sowie

4. Kontrolle der Einhaltung des § 8 GQG und der auf seiner Grundlage erlassenen Verordnungen gemäß § 4 Abs. 2 Z 6,

dürfen personenbezogene Daten verarbeitet werden.

(4) Die Gesellschaft hat ein Verzeichnis sämtlicher Verarbeitungstätigkeiten iSd. Art. 30 DSGVO zu führen und insbesondere die näheren Gründe, die zu einer personenbezogenen Datenverarbeitung gemäß Abs. 3 geführt haben, schriftlich festzuhalten.

(5) Die Mitarbeiter/Mitarbeiterinnen der Gesellschaft, die Mitglieder der Organe und der Beiräte sowie die Sachverständigen sind über § 6 des Datenschutzgesetzes, BGBl. I Nr. 165/1999, hinaus über Daten und Geheimnisse, die ihnen in Wahrnehmung ihrer Tätigkeit für die Gesellschaft zur Kenntnis gelangen und deren Geheimhaltung im berechtigten Interesse der Gesellschaft, des Gesellschafters oder eines/einer Dritten gelegen ist, zur Verschwiegenheit verpflichtet.

Qualitätsregister

§ 15a. (1) Die Gesundheit Österreich GmbH ist berechtigt,

1. zum Zweck der Statistik als Grundlage für Planung, Qualitätssicherung und Qualitätsberichterstattung im österreichischen Gesundheitswesen und

2. für wissenschaftliche Zwecke

im Zusammenhang mit bestimmten Indikationen oder Behandlungsmethoden Qualitätsregister (§ 4 Abs. 2 Z 3) zu führen.

(2) In den Registern können folgende Datenarten verarbeitet werden:

1. Patientenidentifikation (Geburtsjahr, Geschlecht, bereichsspezifisches Personenkennzeichen),

2. Daten über die behandelnde Gesundheitseinrichtung, insbesondere zu deren Identifikation sowie Strukturinformationen,

3. relevante klinische Daten zu Anamnese, aktuellem Gesundheitszustand und Indikation,

4. technische, klinische, organisatorische und zeitliche Daten zum Versorgungsprozess,

5. Daten zur Ergebnismessung (Outcome), und

6. technische, klinische, organisatorische, zeitliche und ereignisbezogene Daten zur Nachsorge.

(3) Der Bundesminister für Gesundheit, Familie und Jugend/Die Bundesministerin für Gesundheit, Familie und Jugend hat die Einrichtung eines Qualitätsregisters und die spezifischen Datensätze für die einzelnen Register durch Verordnung festzulegen. In dieser Verordnung sind auch die konkreten Verarbeitungszwecke und die dem jeweiligen Verarbeitungszweck entsprechenden Zugriffsberechtigungen festzulegen.

(4) Die Träger von Krankenanstalten und in Betracht kommende Angehörige gesetzlich geregelter Gesundheitsberufe sind ermächtigt, die für Zwecke der Registerführung benötigten Daten der Gesundheit Österreich GmbH personenbezogen auch online zu übermitteln. Die Erteilung von Zugriffsberechtigungen für Übermittlungen und Datenverarbeitungen an die Träger der Krankenanstalten und an in Betracht kommende Angehörige von gesetzlich geregelten Gesundheitsberufen ist durch die Gesundheit Österreich GmbH nachvollziehbar zu dokumentieren.

(5) Personenbezogene Daten sind unverzüglich zu verschlüsseln. Bei der Datenverarbeitung gemäß Abs. 1 und 2 ist zur Patientenidentifikation nur die Verwendung des bereichsspezifischen Personenkennzeichens GH und AS (§ 10 Abs. 2 E-Government-Gesetz, BGBl. I Nr. 10/2004) zulässig. Das bereichsspezifische Personenkennzeichen AS darf nur in verschlüsselter Form verwendet und gespeichert werden. Der Personenbezug ist unverzüglich nach Umrechnung unumkehrbar zu löschen.

(6) Die zum Zweck der Pseudonymisierung gemäß Art.4 Z 5 DSGVO getrennt aufbewahrten und besonders gesicherten zusätzlichen Daten sind zu löschen, sobald sie für die Zwecke nach Abs. 1 nicht mehr erforderlich sind. Die Gesundheit Österreich GmbH ist berechtigt, bei der Bundesanstalt Statistik Österreich Informationen zum Todeszeitpunkt und zur Todesursache von Personen anzufordern, deren Daten in einem Register verarbeitet sind.

(7) Die Vertraulichkeit der Datenübermittlung ist durch dem Stand der Technik entsprechende verschlüsselte Übermittlungsverfahren zu gewährleisten.

(8) Der Geschäftsführer der Gesundheit Österreich GmbH hat sicherzustellen, dass die eindeutige Identität und Rolle der Zugriffsberechtigten bei jedem Zugriff dem Stand der Technik entsprechend nachgewiesen und protokolliert werden. Er muss sicherstellen, dass geeignete, dem jeweiligen Stand der Technik entsprechende Vorkehrungen getroffen werden, um eine Vernichtung oder Veränderung der Daten durch Programmstörungen (Viren) zu verhindern, und um eine Vernichtung, Veränderung oder Abfrage der Daten des Registers durch unberechtigte Benutzer oder Systeme zu verhindern. Weiters muss er sicherstellen, dass alle durchgeführten Verarbeitungsvorgänge nachvollziehbar sind. Er hat ein Datensicherheitskonzept zu erstellen, das für die Mitarbeiter der Gesundheit Österreich GmbH verbindlich ist.

(9) Jeder Zugriff auf die in den Registern verarbeiteten oder zu verarbeitenden Daten durch die Gesundheit Österreich GmbH darf nur für Zwecke des Abs. 1 erfolgen.

(10) Die an den Registern teilnehmenden Krankenanstalten und Angehörige von in Betracht kommenden gesetzlich geregelten Gesundheitsberufen sowie die Länder dürfen auf Daten in den Registern für wissenschaftliche Zwecke in anonymisierter Form zugreifen.

(11) Der Geschäftsführer der Gesundheit Österreich GmbH ist verpflichtet, die Zugriffsberechtigung für die einzelnen Benutzer der Gesundheit Österreich GmbH individuell zuzuweisen. Die Zugriffsberechtigten sind über das Datensicherheitskonzept zu belehren. Diesen Zugriffsberechtigten ist ihre Zugriffsberechtigung zu entziehen, wenn sie diese zur weiteren Erfüllung der ihnen übertragenen Aufgaben nicht mehr benötigen oder sie die Daten nicht entsprechend ihrer Zweckbestimmung verarbeiten.“

V.Erwägungen:

Die Auftraggeberin ist ein öffentlicher Auftraggeber im Sinn des § 1 Abs 2 TVNG 2018.

Der Auftragsgegenstand wurde bezeichnet mit „Belieferung mit Herzschrittmachern plus Elektroden und Zubehör“.

Vor dem Ablauf der Frist zur Einbringung der Teilnahmeanträge (bis spätestens 7.5.2025) wurde der nunmehr gegenständliche Nachprüfungsantrag vom 29.4.2025 eingebracht, in dem die gemäß § 2 Z 15 lit dd) iVm § 2 Z 15 lit jj) BVergG 2018 gesondert anfechtbare Entscheidung der Ausschreibung in Bezug auf die datenschutzrechtliche Qualifikation der Bieter im Verhältnis zur Auftraggeberin im Umfang der Lose 2 bis inklusive Los 7 bekämpft wurde.

Zur grundsätzlichen Qualifikation der Ausschreibung hinsichtlich der vermeinten datenschutzrechtlichen Verantwortlichkeit zwischen Bieter und Antragstellerin:

Der Begriff „Ausschreibung“ ist ein weiter. Er stellt einen Überbegriff über verschiedene Unterlagen im Kontext eines Vergabeverfahrens dar, die ihrerseits einen unterschiedlichen Konkretisierungsgrad und einen unterschiedlichen Umfang aufweisen können; die Genauigkeit, mit der ein Auftraggeber festlegt, welche Leistung er zu welchen Bedingungen erhalten möchte, sind bei einer Ausschreibung mit konstruktiver Leistungsbeschreibung und etwa bei einer Beschreibung beim wettbewerblichen Dialog höchst unterschiedlich. Der Begriff umfasst alle Bekanntmachungen sowie Ausschreibungs- und Wettbewerbsunterlagen (vgl Fruhmann, M., Kommentar zum BVergG 2018, Anmerkung zu § 2 Z 7).

Zu den Anforderungen an die Ausschreibungsunterlagen ist allgemein weiters folgendes auszuführen:

Nach ständiger Rechtsprechung des EuGH und des VwGH sind alle Inhalte der Ausschreibungsunterlagen (Leistungsbeschreibung, Bedingungen, Kriterien usw) so klar, genau und eindeutig zu formulieren, dass alle durchschnittlich fachkundigen Bieter bei Anwendung der üblichen Sorgfalt ihre genaue Bedeutung verstehen und sie in gleicher Weise auslegen können. Sie sind nach ihrem objektiven Erklärungswert auszulegen, Auslassungen und Unklarheiten gehen zu Lasten des Auftraggebers (vgl etwa Rs C-423/07, Kommission gegen Spanien, Rs C 324/14, Partner, Rs C 42/13, Cartiera dell´Adda, VwGH 12.5.2011, 2008/04/0087, VwGH vom 27.10.2014, 2012/04/0066). Zweck der Ausschreibungsunterlagen ist es, Unternehmern objektiv die Möglichkeit zu verschaffen, sich eine konkrete Vorstellung der vom Auftraggeber gewünschten Leistung (inklusive des Ortes ihrer Erbringung) zu machen und daraufhin ein Angebot erstellen zu können. Dies bringt es mit sich, dass in der Ausschreibungsunterlage selbst diese Informationen enthalten sein müssen, Verweise in der Ausschreibungsunterlage auf andere Dokumente, Vorschriften, Regeln udglm sind zulässig, sofern ein direkter und kostenloser elektronischer Zugriff auf diese gewährleistet ist (zB Link in den Ausschreibungsunterlagen auf Website, die einen unmittelbaren Download ermöglicht); vgl Fruhmann, M., Kommentar zum BVergG 2018, allgemeine Erläuterung zu § 91).

Im gegenständlichen Vergabeverfahren wurde in Punkt 5. der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen, bezeichnet wörtlich als „Spezielle Regelungen bei telemedizinischen Leitungen (wenn anwendbar), siehe Beilage./20, Seite 4, die Rechtsansicht der Auftraggeberin hinsichtlich der Qualifikation der datenschutzrechtlichen Verantwortung der Bieterin einerseits und der Auftraggeberin andererseits dargelegt und dabei eine getrennte Verantwortlichkeit gemäß Art 4 Z 7 EU-Datenschutz-Grundverordnung erblickt.

Neben dem Umstand, dass dieser Punkt 5. keinen Eingang in die Auswahlkriterien der Teilnahmeantragsordnung Verfahrensbestimmungen, siehe Beilage./21, Seite 15ff, Punkt 2.9, gefunden hat, gilt zu berücksichtigen, dass das in Punkt 5. von der Auftraggeberin kolportierte Rollenverständnis laut der verwendeten Diktion („wenn anwendbar“) nicht unumstößlich sein könnte. Schließlich könnte eine solche Formulierung auch dem Umstand Rechnung tragen, dass sich die Auftraggeberin sich an einen großen und heterogenen Bietermarkt wendet, dessen abschließende datenschutzrechtliche Qualifikation in Bezug auf deren Verantwortlichkeit im Verhältnis zur Auftraggeberin letztlich von individuellen Faktoren, wie konkreter Art der Datenerhebung und Datenspeicherung, sowie die telemedizinische Umsetzung in Bezug auf Plattform-, Schnittstellen- und Softwarelösungen, abhängen wird.

Letztlich darf nicht außer Acht gelassen werden, dass es der Auftraggeberin nicht zustünde, durch eine Ausschreibung die datenschutzrechtlichen Rollen der Protagonisten entgegen der einschlägigen Bestimmungen der Datenschutz-Grundverordnung festzulegen oder abzuändern.

Gleichwohl ist der Antragstellerin darin beizupflichten, dass die Frage der Abgabe eines Teilnahmeantrages ganz wesentlich von der Vorfrage abhängen wird, wie sich die datenschutzrechtlichen Verantwortlichkeiten der Protagonisten darstellen und welchen Haftungen in diesem Zusammenhang die Bieter ausgesetzt sind. Dass die Auftraggeberin auch nicht willens ist, von ihrem in der Ausschreibung dargelegten Standpunkt datenschutzrechtlicher Verantwortungen abzurücken, erhellt aus der Bieteranfragebeantwortung des MM vom 15.4.2025.

Auch sieht die Datenschutz-Grundverordnung kaum Rechtsschutzmöglichkeiten für Unternehmen vor, sich gegen die Zuweisung vermeintlich überbordender datenschutzrechtlicher Verantwortung zur Wehr zu setzen, sodass im Sinne des oben angeführten weiten Begriffsverständnisses der Ausschreibung eine Betroffenheit der Antragstellerin durch die angeführte Bestimmung der Teilnahmeantragsordnung und Ausschreibungsordnung Vertragsbestimmungen zu bejahen ist und letztlich zu prüfen sein wird, ob das von der Auftraggeberin in der Ausschreibung kolportierte Rollenverständnis datenschutzrechtlicher Haftungen auf einer allenfalls rechtskonformen oder doch überschießenden Anwendung der Bestimmungen der Datenschutz-Grundverordnung beruht.

Zum Gegenstand der gegenständlichen Rahmenvereinbarung:

Wie bereits im festgestellten Sachverhalt ausgeführt, wurde der Auftragsgegenstand laut Teilnahmeantragsordnung Verfahrensbestimmungen, Rubrik 1.3.1 (vgl Beilage./21, Seite 4) als „Belieferung mit Herzschrittmachern plus Elektroden und Zubehör“ bezeichnet.

Ein Herzschrittmacher ist ein medizinisches Gerät, das den Herzschlag reguliert, indem es elektrische Impulse an das Herz sendet. Es wird verwendet, um Herzrhythmusstörungen zu behandeln, bei denen das Herz zu langsam oder unregelmäßig schlägt.

Der Herzschrittmacher besteht aus dem Aggregat, einem kleinen als Impulsgeber fungierenden batteriebetriebenen Gerät, das unter der Haut implantiert wird und elektrische Impulse erzeugt und den Elektroden, das sind dünne Drähte, die vom Generator zum Herzen führen, um die elektrischen Impulse an das Herz und von dort wieder zurück zum Impulsgeber zu übertragen.

Herzschrittmacher können wichtige Gesundheitsdaten, wie Herzfrequenz, Herzrhythmus und elektrische Aktivität, sammeln und können diese Daten dazu verwendet werden, die Funktion des Herzschrittmachers und die Gesundheit des Patienten zu überwachen und gegebenenfalls die Behandlung anzupassen, um damit die Gesundheit des Patienten zu verbessern.

Eine ausdrückliche Beauftragung der Bietinteressenten dergestalt, dass neben der Belieferung mit Herzschrittmachern verschiedener Typen plus Elektroden und Zubehör auch eine Übermittlung oder Verarbeitung gesundheitsbezogener Daten im Namen der BB erfolgen soll, ist den Ausschreibungsunterlagen an keiner Stelle zu entnehmen.

Von einer aus den Ausschreibungsunterlagen ableitbaren Beauftragung zur Erhebung oder Verarbeitung – allenfalls auch nur ausgewählter - personenbezogener Patientendaten durch am Vergabeverfahren teilnehmende Unternehmen durch die BB im Sinn des Art 4 Z 8 Datenschutz-Grundverordnung kann daher keine Rede sein.

Zur konkreten Verarbeitung der vom Herzschrittmacher erhobenen Gesundheitsdaten durch die AA:

Bevor eine Abgrenzung datenschutzrechtlicher Verantwortlichkeiten zwischen Auftraggeberin und Antragstellerin Platz greifen kann, erweist es sich als unabdingbar, die konkreten Rollen der jeweiligen Protagonisten sowie Inhalt, Umfang und Zweck der von der Antragstellerin erhobenen Gesundheitsdaten nachzuzeichnen:

Als unstrittig hat sich dabei zunächst ergeben, dass die Implantation des Herzschrittmachers mittels eines operativen Eingriffs bei der Krankenanstalt, mit der der Patient einen Behandlungsvertrag abschließt, erfolgt.

Wenn Daten nach dem Setzen des Implantats aus diesem ausgelesen werden sollen, so bedarf es grundsätzlich des sog CardioMessengers, dies ist ein von der Antragstellerin herrührendes externes Gerät ähnlich einem Smartphone, das als Schnittstelle für Gesundheitsdaten fungiert und täglich diverse Daten in einem vom Hersteller in W betriebenen Server speichert. Eine Fernüberwachung ohne CardioMessenger ist nur möglich, wenn der Patient zur Krankenanstalt kommt, dort kann mit einem Lesegerät der Herzschrittmacher ausgelesen werden (vgl. EV FF, Verhandlungsprotokoll Seite 16, erster Absatz).

Mit diesem CardioMessenger werden auch die technischen Voraussetzungen geschaffen, um die zum Zwecke des Telemonitorings durch die Ärzte bzw. durch die Krankenanstalt erforderliche Datenverarbeitung auszulösen, wobei dafür das sog. Home Monitoring Service Center (HMSC) verwendet wird, das über den Klinik-Account registriert und konfiguriert wird.

Hinsichtlich des HMSC hat FF in der Verhandlung vom 30.6.2025 (siehe VHprotokoll, Seite 15, vorletzter Absatz) ausgeführt wie folgt:

„Das Home Monitoring Service Center ist eine Plattform, auf der die Daten gesammelt werden und auf die dann der Krankenanstaltenträger zugreifen kann und diese Daten dann, in welchem Umfang auch immer, vom Arzt eingesehen werden können. Es gibt dort auch Grafiken, die als Dashboard bezeichnet werden, auf denen man die Verläufe dann einsehen kann. Eingesehen werden kann grundsätzlich auf alles, aber der Arzt hat einen Spielraum zu entscheiden, was er bei welchem Patient sehen möchte; es kann sein, dass er alles sehen möchte, um den Patienten eine Nachsorge zu ersparen, die dann später stattfindet. Dies auch um Symptome, wie Vorhofflimmern, frühzeitig zu erkennen und Infarkte in weiterer Folge zu vermeiden. Man könnte alles eintragen, aber es gibt gewisse Gruppen, nach denen man die Patienten einteilt, etwa „Vorhofflimmern mit Blutverdünnung“. Nach diesen Kriterien werden dann die Patienten eingeteilt. Es kann aber auch jeder einzelne Parameter separat angeklickt werden, um festzulegen, was man sehen will.“

Darüber hinaus bietet der Hersteller für den Patienten auch die sog Patient App an, hinsichtlich der seitens des FF in der Verhandlung vom 30.6.2025 (siehe VHprotokoll, Seite 16, zweiter und dritter Absatz) ausgeführt wurde wie folgt:

„Die Patient App wird für Homemonitoring überhaupt nicht gebraucht. Dies ist eine zusätzliche Funktion für den Patienten selber. Es gibt nur einen sehr verringerten Funktionsumfang mit drei Parametern, die angezeigt werden. Dies ist die Herzfrequenz, die Batteriespannung und wann das Gerät zum letzten Mal über Homemonitoring übertragen hat. Ich kann das auf den Homemonitoring-Einstellungen zulassen, wenn dies der Patient möchte. Die Patient App macht nur Sinn, wenn man Homemonitoring hat. Man kann es gar nicht betreiben, wenn man kein Homemonitoring hat. Ohne Homemonitoring kann der Patient nur beim Arzt nachgesorgt werden.

Die Patient App hat nicht die Möglichkeit, mehrere Funktionen nachzurüsten und ist diese kostenlos. Die Daten, die für die App verwendet werden, resultieren aus dem Homemonitoring Center, freilich nur jene drei Daten, die dort auch angezeigt werden. Auf der App gibt es zudem auch die Möglichkeit, einen digitalen Patientenausweis zu erhalten. Dies ist auch bei uns kostenlos.“

Hinsichtlich der Übernahme von Pateientendaten bei Wechsel des Patienten zu einem neuen Krankenanstaltenträger hat FF in der Verhandlung vom 30.6.2025 (siehe VHprotokoll, Seite 16, drittletzter und vorletzter Absatz) angegeben wie folgt:

„Eine Übernahme von Daten von einem anderen Krankenanstaltenträger ist möglich, wenn das Unternehmen eine Anzeige vom Administrator der ehemaligen Krankenanstalt und eine übereinstimmende Information des neuen Krankenhausträgers bekommt. Wenn dies nicht möglich ist, so ist es auch möglich, den Patienten zu löschen, dann wären die Daten allerdings verloren. Dieser kann sich natürlich auch mit einem neuen Code neu anmelden, dann verliert er allerdings die historischen Gesundheitsdaten.

Eine Übernahme von Patienten ist nur durch Einverständniserklärung des neuen Arztes möglich. Ein Patient kann nicht in zwei Krankenhäusern gleichzeitig angemeldet sein und ich denke nicht, dass es möglich ist, dass ein Patient in zwei Plattformen gleichzeitig geführt wird. Eine Übernahme einzelner Patienten an einen anderen Krankenhausträger ist nicht möglich. Ich korrigiere, es ist möglich, aber man kann nicht einen Patienten freigeben, ohne der neuen Krankenanstalt auch Zugriff auf die anderen Patienten zu ermöglichen.“

Zusammenfassend ist daher davon auszugehen, dass ein Pool an Gesundheitsdaten von der Antragstellerin in einer Datenbank erhoben und auf einem Server in W gespeichert wird und aus diesem Datenpool seitens der Antragstellerin die von ihr benötigten Daten als Schnittmenge entweder mittels einer sog. EHR-Schnittstelle (Electronic Health Record) über das Krankenhausinformationssystem oder über eine Webseite abgerufen werden (EV GG in der Verhandlung vom 30.6.2025 (siehe VHprotokoll, Seite 18, fünfter Absatz).

Die Tätigkeit der Antragstellerin erschöpft sich daher nicht im bloßen Betreiben eines Cloud-Servers sondern wird die Verarbeitung von Gesundheitsdaten in Form der Erhebung eines täglichen Volldatensatzes durch die angeführten unternehmensinternen Hard- und Softwarelösungen der Antragstellerin geradezu determiniert. Der Bruchteil eines aktuellen Volldatensatzes wird in weiterer Folge bei Bedarf über die oben angeführte EHR-Schnittstelle oder eine Webseite von der Auftraggeberin als relevante Gesundheitsdaten des Patienten abgefragt, womit die Auftraggeberin in zeitlicher Hinsicht erst zur Verarbeiterin von personenbezogenen Daten wird.

Zur Abgrenzung der Verantwortlichkeiten nach der Datenschutz-Grundverordnung zwischen Auftraggeberin und Antragstellerin:

Hinsichtlich der Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“ ist auszuführen, dass diese eine entscheidende Rolle bei der Anwendung der Datenschutz-Grundverordnung spielen, da sie bestimmen, wer für die Einhaltung der verschiedenen Datenschutzvorschriften verantwortlich ist und wie betroffene Personen ihre Rechte in der Praxis ausüben können.

Dass diese Begrifflichkeiten nicht selbsterklärend sind, sondern mitunter einer diffizilen und kasuistischen Auslegung unterliegen und bedürfen, wird dokumentiert durch eine insgesamt 41-seitige und mit 26 Anwendungsbeispielen belegte Stellungnahme der Artikel 29Datenschutzgruppe vom 16.2.2010, ergangen zur Richtlinie 95/46 EG (Beilage./11), wobei die Begrifflichkeiten zum damaligen Zeitpunkt noch „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ lauteten.

Bereits darin wurde festgestellt, dass es äußerst wichtig ist, dass die Verantwortung für die Datenverarbeitung klar festgelegt ist und praktisch zum Tragen kommen kann, dies in dem Sinne, um eine wirksame Anwendung und Einhaltung des Datenschutzes in der Praxis zu ermöglichen und sicherzustellen.

Der Begriff „für die Verarbeitung Verantwortlicher“ wurde dabei als funktionelles Konzept gesehen, das die Zuweisung der Verantwortlichkeiten anhand des tatsächlichen Einflusses und damit auf der Grundlage einer Analyse der Fakten und nicht einer formellen Analyse ermöglichen soll.

Dabei wurde für Plattformen für die Verwaltung von Gesundheitsdaten (vgl Beilage./11, Seite 29, Beispiel 15) ausgeführt, dass die Existenz eines Auftragsverarbeiters von der Entscheidung des für die Verarbeitung Verantwortlichen abhängt, der entweder beschließen kann, Daten innerhalb seiner Organisation zu verarbeiten, zum Beispiel durch Mitarbeiter, die unter seiner unmittelbaren Verantwortung befugt sind, die Daten zu verarbeiten oder Verarbeitungstätigkeiten ganz oder teilweise an eine externe Organisation zu delegieren, das heißt gemäß der Begründung des geänderten Kommissionsvorschlags an „eine rechtlich selbstständige Person die in seinem Auftrag handelt“.

Für eine Einstufung als Auftragsverarbeiter muss eine Organisation daher zwei grundlegende Bedingungen erfüllen: Sie muss in Bezug auf den für die Verarbeitung Verantwortlichen rechtlich eigenständig sein, und sie muss personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeiten. Diese Verarbeitungstätigkeit kann auf eine sehr spezifische Aufgabe oder einen sehr spezifischen Kontext beschränkt oder allgemein und weiter gefasst sein (vgl Beilage./11, Seite 30, drittletzter und vorletzter Absatz).

In den Leitlinien des Europäischen Datenschutzausschusses jüngeren Datums, 07/20 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“, Version 2.0, angenommen am 7.7.2021 (Beilage./12), wurden unter Bezugnahme auf die Datenschutz-Grundverordnung (EU) 2016/679 auf insgesamt 60 Seiten Abgrenzungen zwischen Verantwortlichen, gemeinsam Verantwortlichen und Auftragsverarbeiter vorgenommen und als Verantwortlicher jene Stelle definiert, die über bestimmte Schlüsselelemente der Verarbeitung entscheidet. Die Verantwortlichkeit kann im Gesetz geregelt sein oder sich aus einer Analyse der tatsächlichen Elemente und der Umstände des Falls ergeben.

Ausgeführt wurde weiters, dass ein Verantwortlicher die Zwecke und Mittel der Verarbeitung festlegt, das heißt, das „Warum“ und das „Wie“ der Verarbeitung. Der Verantwortliche muss sowohl über die Zwecke als auch über die Mittel entscheiden. Einige eher praktische Aspekte der Umsetzung („unwesentliche Mittel“) können jedoch dem Auftragsverarbeiter überlassen werden. Es ist nicht erforderlich, dass der Verantwortliche tatsächlich Zugang zu den verarbeiteten Daten hat, um als Verantwortlicher eingestuft zu werden.

Demgegenüber ist Auftragsverarbeiter eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Für die Einstufung als Auftragsverarbeiter gelten zwei grundlegende Voraussetzungen: Er muss gegenüber dem Verantwortlichen eine eigenständige Einheit bilden und personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. Der Auftragsverarbeiter darf die Daten nur nach den Weisungen des Verantwortlichen verarbeiten. Ein Auftragsverarbeiter verstößt jedoch gegen die DSGVO, wenn er über die Weisungen des Verantwortlichen hinausgeht und beginnt, seine eigenen Zwecke und Mittel für die Verarbeitung festzulegen.

So wurde etwa hinsichtlich eines standardisierten Cloud-Speicherdienstes ausgeführt, dass dieser dann als Auftragsverarbeiter zu qualifizieren ist, wenn dieser personenbezogene Daten nicht für eigene Zwecke verarbeitet und die Daten ausschließlich im Auftrag seiner Kunden und weisungsgemäß speichert.

Im Gegenstandsfall steht fest, dass der aus sämtlichen vom Herzschrittmacher erhobenen Gesundheitsdaten bestehende Datenpool seitens der Antragstellerin auf einem Server in W gespeichert wird. Zur Wahrung der Aktualität und Vollständigkeit dieser Daten bedient sich die Antragstellerin in hardwaretechnischer Hinsicht des CardioMessenger und als Datenplattformlösung des Home Monitoring Service Center, auf dessen Grundlage die von der Krankenanstalt gewünschten Gesundheitsdaten mittels EHR-Schnittstelle über das Krankenhausinformationssystem oder über eine Webseite mit den Gesamtdaten verschnitten werden. Schließlich bietet die Antragstellerin für Herzschrittmacherpatienten die sogenannte PatientApp an, die im Verhältnis zum HMSC einen sehr verringerten Funktionsumfang mit drei Gesundheitsparametern, nämlich Herzfrequenz, die Batteriespannung und wann das Gerät zum letzten Mal über Homemonitoring übertragen hat, ermöglicht. CardioMessenger, HMSC, die PatientApp und die EHRSchnittstelle sind allesamt Hard- und Softwarelösungen der Antragstellerin und bietet enorme Handlungsspielräume.

Die Antragstellerin betreibt somit die technische Infrastruktur (einschließlich Hosting, Softwarebetrieb, Wartung und Zugriffskontrolle) vollkommen eigenständig. Wie die Auftraggeberin in ihrer Stellungnahme vom 6.5.2025 zutreffend ausgeführt hat, entscheidet sie selbst über Verarbeitungsmodalitäten, wie zB verwendete Datenkategorien, Speicherdauer, Sicherheitsmaßnahmen und Systemarchitektur, was zumindest teilweise als wesentliche Mittel zu qualifizieren sind.

Auch ist die Auftraggeberin vor diesem Hintergrund ausschließlich auf die Angaben der Antragstellerin angewiesen, was sie mit den von den Herzschrittmachern erhobenen Gesundheitsdaten macht und ob sie diese nicht doch für eigene Zwecke verarbeitet. Das faktische Handeln der Antragstellerin geht vor diesem Hintergrund weit über den Status eines Cloud Service-Providers hinaus.

Es wäre auch völlig lebensfremd, anzunehmen, dass die Antragstellerin als Marktführerin im Medizinproduktesegment Herzschrittmacher ein ausgereiftes und über Jahrzehnte hindurch stetig verbessertes und verfeinertes Telemonitoringsystem entwickelt und die vom Herzschrittmacher herrührenden Volldatensätze mit Gesundheitsdaten dann nicht auch zur internen Qualitätssicherung, Systemwartung und Verbesserung sowie zur Produktfortentwicklung verwendet werden.

Die Verantwortlichkeit der Auftraggeberin wiederum setzt dort und in jenem Moment ein, als die seitens der Antragstellerin tagesaktuell gespeicherten Volldatensätze mit dem Anforderungsprofil der Krankenanstalt hinsichtlich der Gesundheitsdaten der Patienten verschnitten und demgemäß Gesundheitsdaten vom Server zum Zweck der Behandlung des Patienten beim Arzt oder in der Klinik abgefragt und in weiterer Folge verarbeitet werden.

Der Umstand, dass die Auftraggeberin für die Implantation des Herzschrittmachers, dessen Registrierung und für die Ab- bzw Ummeldung des Patienten verantwortlich ist und zuvor einen Behandlungsvertrag mit dem Patienten abschließt, darf nicht darüber hinwegtäuschen, dass die Antragstellerin neben dem Betrieb eines tagesaktuellen Datenpools auf dem Server auch den CardioMessenger und die PatientApp eigenständig vertreibt und diese Daten jedenfalls zumindest für Softwareentwicklungen nutzt, um die von der Antragstellerin erhobenen Gesundheitsdaten nach den Bedürfnissen der Patienten zu filtern und zu verbessern.

Diesbezüglich gilt auch darauf hinzuweisen, dass der Krankenanstalt weder Einfluss auf Existenz, Verwaltung und Speicherung des Datenpools, noch der PatientApp, mag diese auch nur einen rudimentären Umfang von Gesundheitsdaten ausweisen, zukommt und deren Verantwortung erst im Zeitpunkt der oben angeführten Verschneidung von Gesundheitsdaten in der Form eines Volldatensatzes mit den Bedürfnissen der Krankenanstalt, die Bruchteile davon für eigene Zwecke abruft und verarbeitet, entsteht.

Dass es sich bei den auf dem Server in W seitens der Antragstellerin gesammelten Daten um personenbezogene Daten im Sinn des Art 4 Z 1 der Datenschutz-Grundverordnung handelt, erhellt bereits daraus, dass es sich dabei um Informationen, die sich auf eine identifizierbare natürliche Person beziehen, handelt.

Eine natürliche Person ist dann identifizierbar, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einen Namen, zu einer Kennnummer, zu Standortdaten, zu einer Onlinekennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind (vgl Jahnel, D, Kommentar zur DSGVO, Rz 17 zu Art 4 Z 1).

Seitens der Antragstellerin wurde diesbezüglich darauf hingewiesen, dass bei der Registrierung des Herzschrittmachers bei der Krankenanstalt keine personenbezogenen Daten im Home Monitoring-System ersichtlich sind, vielmehr eine Pseudonymisierung erfolgt und weder Klarname noch das Geburtsdatum, jedoch die Seriennummer des Herzschrittmachers ersichtlich sind (vgl EV FF, VHprotokoll Seite 16, letzter Absatz).

Auch wenn die Antragstellerin den Patientenname anhand der Gerätenummer nicht direkt nachverfolgen kann, weil dies alles über die Krankenanstalt bei der Registrierung erfolgt und dies eingegeben wird, ist doch eine direkte Verknüpfung zwischen Anwender und Herzschrittmacher dergestalt möglich, als diesem Patienten (über die Seriennummer des Herzschrittmachers) die entsprechenden personenbezogenen Daten des Gesundheitsmonitoring jedenfalls zugeordnet werden können.

Dass es sich bei der Pseudonymisierung um eine besondere Verarbeitungsweise von Daten handelt und dass die Daten, die dieser besonderen Verarbeitungsform unterzogen werden, weiterhin personenbezogene Daten iSd Art 4 Z 1 DSGVO sind, wurde von Bergauer/Gosch, jusIT 2020/63, vertiefend herausgearbeitet (vgl Jahnel, D, Kommentar zur DSGVO, Rz 4 zu Art 4 Z 5).

Es kann vor diesem Hintergrund kein Zweifel daran bestehen, dass die Antragstellerin in datenschutzrechtlicher Hinsicht mit personenbezogenen Daten fungiert und zwar auch dann, wenn ihr fußend auf den anlässlich der Registrierung hinterlegten Daten eine Verknüpfung des Anwenders mit den Patientennamen nicht direkt möglich ist.

Art 4 Z 2 Datenschutz-Grundverordnung definiert die Verarbeitung von personenbezogenen Daten als jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie

das Erheben, das Erfassen;

die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung;

die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung;

den Abgleich oder die Verknüpfung;

die Einschränkung, das Löschen oder die Vernichtung der Daten

(vgl Jahnel, D, Kommentar zur DSGVO, Rz 1 zu Art 4 Z 2)

Ein Gros dieser Verrichtungen wird seitens der Antragstellerin vorgenommen, wobei ein automatisierter Vorgang, der die Erhebung der personenbezogenen Daten zum Gegenstand hat, der Qualifikation als Verarbeitung nicht schadet.

So werden von der Antragstellerin sowohl Daten erhoben, das heißt, Daten einer betroffenen Person gesammelt, diese Daten werden durch Speichern auf dem Server in W auch erfasst und erfolgt auch eine Organisation und ein Ordnen dieser Daten dergestalt, dass durch den Betrieb der Plattform Home Monitoring Service Center die von der Klinik gewünschten Schnittdaten ausgelesen werden können.

Auch liegt eine Verwendung von Daten durch die Antragstellerin vor, zumal sie – wie bereits oben angeführt - diese für eine stetige Weiterentwicklung ihrer Produkthard- und -software und der dazu benötigten Plattformen und Schnittstellen benötigt.

Vor diesem Hintergrund und des oben angeführten wesentlichen Einflusses auf Zwecke und Mittel der Verarbeitung personenbezogener Daten durch die Antragstellerin kann überhaupt kein Zweifel daran bestehen, dass die Antragstellerin im angeführten Umfang auch als Verantwortliche im Sinn des Art 4 Z 7 Datenschutz-Grundverordnung zu qualifizieren ist.

Demgegenüber setzt die Verantwortlichkeit der Auftraggeberin erst mit dem Abruf der gewünschten Gesundheitsdaten, die einen Bruchteil der tagesaktuellen Gesundheitsvolldatensätze umfasst, beim Arzt oder der Krankenanstalt ein.

Schließlich gilt darauf hinzuweisen, dass in der gegenständlichen Fallkonstruktion als zusätzlicher Protagonist in datenschutzrechtlicher Hinsicht auch die „Gesundheit Österreich GmbH“, konkret das „Österreichische Bundesinstitut für Gesundheitswesen“ (ÖBIG), auf den Plan tritt, welches gemäß § 45 Abs 1 Z 2 Medizinproduktegesetz 2021 „zum Zweck der Medizinproduktevigilanz und Marktüberwachung im Zusammenhang mit Herzschrittmachern, implantierbaren Defibrillatoren und Loop-Recordern“ zur Führung eines Registers für ebendiese Medzinprodukte berechtigt ist und diesbezüglich die in § 45 Abs 2 Medizinproduktegesetz näher angeführten Datenkategorien zu verarbeiten hat.

Diese Daten sind gemäß § 45 Abs 3 MPG 2021 von der „implantierenden bzw behandelnden Gesundheitseinrichtung“ elektronisch zu übermitteln, die „für Zwecke des Registers erforderlichen technischen Daten der Implantate“ sind der Gesundheit Österreich GmbH gemäß § 45 Abs 14 MPG 2021 „vom Inverkehrbringer von Medizinprodukten“, die im Herzschrittmacherregister geführt werden, in elektronsicher Form zur Verfügung zu stellen.

Zusammenfassend ist daher davon auszugehen, dass die Auftraggeberin in der gegenständlichen Ausschreibung zu Recht von einer getrennten datenschutzrechtlichen Verantwortlichkeit zwischen Unternehmen einerseits und die Auftraggeberin andererseits ausgegangen ist und war daher spruchgemäß zu entscheiden.

Da gemäß § 24 Abs 6 TVNG 2018 ein Anspruch auf Gebührenersatz für einen Nachprüfungsantrag nur dann zusteht, wenn diesem stattgegeben wird, dieser jedoch mit dem gegenständlichen Erkenntnis abgewiesen wurde, war kein Anspruch der Antragstellerin auf Ersatz der von ihr entrichteten Pauschalgebühren für den Antrag auf Erlassung einer einstweiligen Verfügung und des Nachprüfungsantrages gegeben.

VI.Unzulässigkeit der ordentlichen Revision:

Die ordentliche Revision ist unzulässig, da keine Rechtsfrage iSd Art 133 Abs 4 B-VG zu beurteilen war, der grundsätzliche Bedeutung zukommt.

Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, siehe dazu die jeweils zitierte Judikatur, noch fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes.

Weiters ist die dazu vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Ebenfalls liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

R e c h t s m i t t e l b e l e h r u n g

Gegen diese Entscheidung kann binnen sechs Wochen ab der Zustellung Beschwerde an den Verfassungsgerichtshof, Freyung 8, 1010 Z, oder außerordentliche Revision an den Verwaltungsgerichtshof erhoben werden. Die Beschwerde an den Verfassungsgerichtshof ist direkt bei diesem, die außerordentliche Revision an den Verwaltungsgerichtshof ist beim Landesverwaltungsgericht Tirol einzubringen.

Die genannten Rechtsmittel sind von einem bevollmächtigten Rechtsanwalt bzw einer bevollmächtigten Rechtsanwältin abzufassen und einzubringen und es ist eine Eingabegebühr von Euro 340,00 zu entrichten.

Es besteht die Möglichkeit, auf die Revision beim Verwaltungsgerichtshof und die Beschwerde beim Verfassungsgerichtshof zu verzichten. Ein solcher Verzicht hat zur Folge, dass eine Revision an den Verwaltungsgerichtshof und eine Beschwerde an den Verfassungsgerichtshof nicht mehr erhoben werden können.

Landesverwaltungsgericht Tirol

Mag.a Weißgatterer

(Richterin)

LVwG T LVwG-2025/S2/1049-8

Regest

Gesamter Gesetzestext

Landesverwaltungsgericht Tirol LVwG-2025/S2/1049-8

Begründung

Setzen Sie Ihre Recherche in ChatGPT oder Claude fort