Bundesverwaltungsgericht W137 2255219-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 24.07.2023
• ECLI: ECLI:AT:BVWG:2023:W137.2255219.1.00

Spruch

W137 2255219-1/2E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie Mag. Martina CHLESTIL als Beisitzerinnen über die Beschwerde der XXXX gegen den Bescheid der Datenschutzbehörde vom 03.03.2022, GZ. D124.4585, 2022-0.162.896, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit verfahrenseinleitender Eingabe vom 17.08.2021, verbessert am 02.09.2021, erhob HerrXXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen Verletzung im Recht auf Geheimhaltung. Er begründete seine Datenschutzbeschwerde folgendermaßen:

Die Beschwerdegegnerin habe ohne dessen Einwilligung seine E-Mail-Adresse einer dritten Person offengelegt. Er habe die Beschwerdegegnerin darauf aufmerksam gemacht, diese habe ihm jedoch mitgeteilt, dass die Weitergabe seiner Daten keine Datenschutzverletzung darstelle. Er beantrage daher eine genaue Überprüfung dieser Aussage durch die Datenschutzbehörde (= belangte Behörde) und sei die Pflichtverletzung mit der Höchststrafe zu ahnden.

2. Mit Stellungnahme vom 17.02.2022 führte die Beschwerdegegnerin im Wesentlichen Folgendes aus:

Durch einen menschlichen Fehler sei irrtümlicherweise, per E-Mail, eine Beschwerdebeantwortung, die einen anderen Patienten betraf sowohl an den Beschwerdeführer als auch an den anderen Patienten versandt worden. Unmittelbar nach Entdecken dieses Fehlers sei der Patient telefonisch über den Vorfall informiert worden. Dieser habe versichert, dass die Fehlübermittlung für ihn kein Problem sei. Der Beschwerdeführer sei ebenfalls informiert und gebeten worden, das irrtümlich an ihn ergangene Schreiben zu löschen. Der gesamte Ablauf sei intern ausführlich dokumentiert worden. In Bezug auf den Beschwerdeführer sei lediglich dessen E-Mail-Adresse an den anderen Patienten übermittelt worden. Es handle sich dabei um eine Unternehmensadresse, die im Internet veröffentlicht sei und nicht personalisiert sei. Es seien keinerlei weitere Daten des Beschwerdeführers an den anderen Patienten übermittelt bzw. diesem zugänglich gemacht worden. Aus Sicht der Beschwerdegegnerin sei der Beschwerdeführer daher nicht in seinem Grundrecht auf Datenschutz verletzt.

3. Mit Schreiben vom 02.03.2022 gab der Beschwerdeführer replizierend an, dass die gegenständliche Office-Adresse zugleich dessen private E-Mail-Adresse sei und die behauptete Datenschutzverletzung vorliege.

4. Mit Bescheid vom 03.03.2022, GZ. D124.4585, 2022-0.162.896, gab die Datenschutzbehörde der Datenschutzbeschwerde statt und stellte fest, dass die Beschwerdegegnerin den Beschwerdeführer in dessen Recht auf Geheimhaltung verletzt habe, indem diese dessen E-Mail-Adresse einer dritten Person offenlegte. Darüber hinaus wies sie das Begehren auf Einleitung eines Verwaltungsstrafverfahrens, mangels subjektiven Rechts, zurück.

In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen:

Eine Mitarbeiterin der Beschwerdegegnerin (eine Krankenanstaltsträger) habe im Zuge einer Beschwerdebeantwortung am 26. Juli 2021 eine PDF-Datei an eine Patientin per Email übermittelt. Die genannte E-Mail sei an diese adressiert gewesen, jedoch ebenso an den Beschwerdeführer übermittelt worden. Die Übermittlung an den Beschwerdeführer sei nicht vorgesehen gewesen und als Folge habe die Patientin die E-Mail – Adresse des Beschwerdeführers erhalten.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen Folgendes:

Zum Recht auf Geheimhaltung und dessen Beschränkung:

Nach § 1 Abs. 1 DSG habe jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses sei ausgeschlossen, wenn Daten infolge ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich seien. Soweit die Beschwerdegegnerin in diesem Zusammenhang allerdings vorbrachte, dass gegenständlich die Daten bereits „allgemein verfügbar“ seien und dies insofern impliziere, dass diese einem Geheimhaltungsanspruch nicht zugänglich wären, ist ihr zu entgegnen, dass die generelle Annahme des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten nicht mit den europarechtlichen Vorgaben vereinbar seien. Beschränkungen des Anspruchs auf Geheimhaltung seien gemäß § 1 Abs. 2 DSG nur dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet würden, der Betroffene seine Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erteilt habe, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung bestehe, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt sei. Es sei kein Ausnahmegrund ersichtlich und gestehe die Beschwerdegegnerin selbst ein, dass die E-Mail „irrtümlicherweise“ an den Beschwerdeführer übermittelt worden sei und somit eine Verletzung des Grundrechts auf Geheimhaltung vorliege.

5. In der gegen den Spruchpunkt I des Bescheides fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor:

Die Datenschutzbehörde habe eine unrichtige rechtliche Beurteilung zu ihren Ungunsten vorgenommen, indem sie verkannte, dass es sich bei der gegenständlichen Emailadresse um eine allgemein verfügbare Information handle. Dies sei insbesondere darauf zurückzuführen, dass durch die Veröffentlichung der Emailadresse auf der Website der mitbeteiligten Partei, diese einem unbeschränkten Adressatenkreis offengelegt worden sei. Darüber hinaus handle es sich um eine reine Reproduktion von allgemein zugänglichen Daten ohne Hinzutreten eines weiteren informellen Mehrwerts. Mangels Schutzwürdigkeit läge daher keine Datenschutzverletzung vor.

6. Mit Stellungnahme der Datenschutzbehörde vom 16.05.2022 war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden. Dabei führte die belangte Behörde soweit wesentlich aus:

Im gegenständlichen Fall lägen keine allgemeinen Informationen ohne Generierung neuer Informationen vor. Die veröffentlichte Emailadresse auf der Unternehmenswebsite der mitbeteiligten Partei sei zum Zweck der geschäftlichen Kontaktaufnahme erfolgt und nicht zur Übermittlung fremder medizinischer Befunde. Darüber hinaus sei durch die ungewollte Mitübermittlung der Emailadresse zumindest ein informeller Mehrwert hinzugefügt worden, nämlich, dass der Mitbeteiligte schon einmal in Kontakt mit der Beschwerdeführerin – mutmaßlich als Patient – gestanden haben könnte. Darüber hinaus ändere der einmalige Verstoß nichts an der einmalig festgestellten Datenschutzverletzung durch die belangte Behörde.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde geltend gemacht, er sei in seinem Recht auf Geheimhaltung verletzt worden, weil eine Mitarbeiterin der Beschwerdeführerin irrtümlicherweise, im Zuge einer Beschwerdebeantwortung gegenüber einem Dritten, ein Email ebenfalls an die Emailadresse der mitbeteiligten Partei zustellte und damit gleichzeitig dem korrekten Empfänger dessen Emailadresse offenbarte.

Die Beschwerdeführerin ist die XXXX welche u.a. das LKH XXXX betreibt und die oben angeführte Mitarbeiterin beschäftigt.

Das Email wurde sowohl an die korrekte Empfängerin, als auch an die Emailadresse der mitbeteiligten Partei verschickt. Diese Emailadresse der mitbeteiligten Partei war für die korrekte Empfängerin ersichtlich und zuvor nicht bekannt. Die veröffentlichte Emailadresse lautet auf office@.... und dient der Geschäftsanbahnung im Baugewerbe.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt. Der gegenständliche Sachverhalt ist hinsichtlich der Umstände der Übermittlung der Emailadresse unstrittig.

Die Feststellung des Verwendungszwecks der veröffentlichten Emailadresse ergibt sich aus den vorgelegten Unterlagen (insbesondere den vorgelegten Suchergebnissen aus dem World Wide Web) der Parteien.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.3. Zu A)

3.3.1. Die maßgeblichen Bestimmungen der DSGVO

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. -6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. -26. (…)

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderliche, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstatten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitung gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welche Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogen Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

Artikel 9 Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,

b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,

c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,

d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,

e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,

h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,

i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder

j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.

3.3.2. Die maßgeblichen Bestimmungen des DSG

Artikel 1

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) (…)

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.

3.3.3. Bei der hier relevanten Emailadresse handelt es sich zweifelfrei um personenbezogene Daten iSd Art. 4 Z 1 DSGVO, da die Emailadresse durch den Nachnamen der mitbeteiligten Partei personalisiert und jedenfalls mit geringem Aufwand (Internetrecherche) eine Identifizierbarkeit der betroffenen Person gegeben ist.

Gemäß § 1 Abs. 1 DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind. § 1 Abs 1 Satz 2 DSG schließt daher die Verletzung eines schutzwürdigen Geheimhaltungsinteresses der Betroffenen bei »allgemein verfügbaren Daten« ausdrücklich aus.

Öffentlich zugänglich sind Daten, wenn sie der Allgemeinheit oder zumindest einem größeren Personenkreis zur Verfügung stehen, also allgemein verfügbar sind. Die allgemeine Verfügbarkeit ist dabei als rechtliche und nicht als faktische zu verstehen. Entscheidend ist, ob ein entsprechend großer Kreis von Personen auf Daten zugreifen darf - nicht, ob er es kann. Ein entsprechend großer Kreis von Abfrageberechtigten und die Tatsache, dass im Einzelfall nicht geprüft wird, ob ein berechtigtes Interesse an der Einsichtnahme besteht, reichen aus, um Daten als öffentlich zugänglich zu qualifizieren. Wie das Musterbeispiel einer öffentlich zugänglichen Datei, das Grundbuch, zeigt, führen auch eine Kostenersatz- und Identifizierungspflicht nicht zwingend dazu, dass Daten nicht öffentlich zugänglich sind. Weitere Beispiele für öffentlich zugängliche Datenquellen sind Telefonbücher, das ZMR und das Internet. (Löffler in Knyrim, DatKomm Art 89 DSGVO Rz 65 (Stand 1.10.2018, rdb.at)).

Wie die Datenschutzbehörde impliziert, jedoch in ihrem Bescheid nicht ausdrücklich ausspricht, handelt es sich bei, durch den Beschwerdeführer auf der eigenen Homepage bzw. auf diversen Unternehmensplattformen, im Internet öffentlich zugänglich gemachten Daten (konkret einer Emailadresse) um Daten, welche allgemein verfügbar sind. Gerade das Internet dient als Musterbeispiel, da die Abfrage der gegenständlichen Emailadresse via Suche über www.google.at an keinerlei Voraussetzungen gebunden ist und somit die rechtliche und faktische allgemeine Verfügbarkeit zusammenfallen.

Wie die Datenschutzbehörde im angefochtenen Bescheid korrekt argumentierte, ist die generelle Annahme des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten mit den Bestimmungen der DSGVO nicht vereinbar (vgl. EuGH 16.12.2008, C73/07 XXXX und XXXX ). Die Tatsache, dass dieses personenbezogene Datum bereits öffentlich zugänglich ist, bedeutet nicht, dass das Datenschutzregime dafür nicht gelten würde. Der Datenschutz für bereits veröffentlichte Daten unterscheidet sich grundsätzlich nicht vom Schutzumfang von sonstigen personenbezogener Daten. Dies bedeutet, dass nicht alle Daten, die veröffentlicht werden oder öffentlich zugänglich sind, von einem Verantwortlichen für beliebige eigene Zwecke verwendet werden dürfen. (Thiele/Wagner, Praxiskommentar zum DSG § 1 Rz 114, 115, 116, Stand 1.2.2022).

Gemäß Art. 5 Abs. 1 lit. b DSGVO müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.

Wie sich hierzu aus den vorgelegten Suchergebnissen zur gegenständlichen Emailadresse ergibt, stehen alle Fundstellen in Verbindung mit dem Unternehmen der mitbeteiligten Partei und somit dem Baugewerbe. Wie die Datenschutzbehörde in ihrer Stellungnahme bei Vorlage des Verwaltungsakts richtigerweise vorbrachte, ist klar ersichtlich, dass der Mitbeteiligte seine E-Mail-Adresse auf einer Website zur geschäftlichen Kontaktaufnahme bezüglich seines – nach ihm benannten – Unternehmens veröffentlichte. Für einen solchen Fall der Kontaktaufnahme wäre ein legitimer Zweck bezüglich einer Datenverarbeitung gegeben. Im gegenständlichen Fall wurde die E-Mail-Adresse des Mitbeteiligten jedoch im Kontext der Übermittlung eines ärztlichen Befundes (der nicht den Mitbeteiligten betraf) von der Beschwerdeführerin als Trägerin einer Krankenanstalt verarbeitet. In der Veröffentlichung der E-Mail-Adresse auf der Unternehmenswebsite kann daher keine Legitimation für die Verarbeitung zum Zweck der Übermittlung an fremde Dritte im Zusammenhang mit der Übermittlung ärztlicher Befunde beziehungsweise Kontakten mit medizinischen Einrichtungen gesehen werden. Dies steht auch im Einklang mit dem Zweckbindungsgrundsatz nach Art 5 Abs 1 lit b DS-GVO, wonach Daten nur für festgelegte Zwecke erhoben werden dürfen. Aufgrund der Änderung des Verwendungszwecks ist die verfahrensgegenständliche Verarbeitung auf eine eventuelle Verletzung des Rechts auf Geheimhaltung nach § 1 DSG zu prüfen.

Selbst wenn durch die Veröffentlichung der Emailadresse im Internet ein allgemeiner legitimer Verarbeitungszweck vorliegen würde, wäre eine Verletzung des Rechts auf Geheimhaltung nach § 1 DSG zu prüfen, da im gegenständlichen Fall auch keine bloße Reproduktion von "allgemein zugänglichen Daten" ohne Generierung neuer Information vorliegt. So wird ein informeller Mehrwert regelmäßig bereits dann erzeugt, wenn z.B. eine neue Systematik des Informationsangebots oder eine Kombination von unterschiedlichen öffentlich zugänglichen Daten vorliegt. Dies wäre im gegenständlichen Fall gegeben, da durch den Zusammenhang der Übermittlung dieser Information durch die Beschwerdeführerin als Krankenanstalt eine neue Information hinzugefügt wurde, beispielsweise, dass der Mitbeteiligte schon einmal in Kontakt mit der Beschwerdeführerin – mutmaßlich als Patient – gestanden haben könnte. Wenn dadurch "neue" Daten entstehen ist die Zulässigkeit ihrer Verwendung nach den Bestimmungen des DSG zu prüfen (vgl. zur Rechtslage nach dem DSG 2000 Kotschy in Jahnel (Hrsg), Datenschutzrecht und EGovernment Jahrbuch 2012, S. 46f). Eine solche Verknüpfung ist eine Verarbeitung im Sinne des Art 4 Z 2 DSGVO und bedarf stets eines Erlaubnistatbestandes nach Art 6, 9 oder 10 DSGVO (Thiele/Wagner, Praxiskommentar zum DSG § 1 Rz 117, Stand 1.2.2022).

Aufgrund der unmittelbaren Anwendbarkeit der DSGVO ist eine unionsrechtskonforme Interpretation des § 1 DSG geboten (Lachmayer in Knyrim, DatKomm Art 1 DSGVO Rz 70 (Stand 1.12.2018, rdb.at)), weshalb gegenständlich Art. 5 und Art. 6 DSGVO zur Auslegung heranzuziehen sind, da keine besonders schutzwürdigen Daten iSd § 1 Abs. 2 zweiter Satz DSG bzw. sensible Daten iSd Art. 9 DSGVO und auch um keine strafrechtlich relevanten Daten iSd Art. 10 DSGVO vorliegen, weswegen grundsätzlich von einer herabgesetzten Schutzwürdigkeit auszugehen ist.

Gemäß § 1 Abs. 2 DSG ist eine Beschränkung des verfassungsgesetzlich gewährleisteten Rechts auf Geheimhaltung nur dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet werden, der Betroffene seine Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt ist. Wie von der Beschwerdeführerin mehrmals vorgebracht, handelte es sich beim Verschicken der gegenständlichen Email, welche nicht für die mitbeteiligte Partei bestimmt war, um einen menschlichen Fehler. Somit kann der erfolgte Eingriff in das Grundrecht auf Datenschutz durch keine der soeben genannten Möglichkeiten gerechtfertigt werden, spiegelbildlich ist ein zutreffender Verarbeitungstatbestand des Art. 6 DSGVO nicht zu erblicken.

Vor diesem Hintergrund war die gegenständliche Beschwerde gegen den Bescheid der Datenschutzbehörde abzuweisen.

3.4. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Der Beschwerdeführerin stellte in ihrer Beschwerde den Antrag auf Durchführung einer öffentlichen Verhandlung.

Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage unstrittig feststeht. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, XXXX /AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 4 VwGVG abzusehen.

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil es an Rechtsprechung des Verwaltungsgerichtshofs unter anderem dazu fehlt, ob die Änderung des Verwendungszwecks von im Internet rechtmäßig veröffentlichten Emailadressen, einen Rechtfertigungstatbestand erforderlich macht, sowie des Verhältnisses der Ausnahme des § 1 Abs. 1 Satz 2 DSG zur DSGVO, welche einen solchen Ausnahmetatbestand nicht kennt.