TE Bvwg Erkenntnis 2019/4/3 W258 2201288-1

W258 2201288-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden und die fachkundigen Laienrichter Dr. Gerd TRÖTZMÜLLER und Gerhard RAUB als Beisitzer über die Beschwerde von Dr. XXXX und Dr. XXXX , beide vertreten durch Scheucher Rechtsanwalt GmbH, 1070 Wien, gegen den Bescheid der Datenschutzbehörde vom 01.06.2018, Zl. DSB-D213.600/0001-DSB/2018, nach Durchführung einer mündlichen Verhandlung am 19.12.2018, in einer datenschutzrechtlichen Angelegenheit zu Recht:

A) Der Beschwerde wird teilweise Folge gegeben, Spruchpunkt 2. des

angefochtenen Bescheids ersatzlos behoben und die Spruchpunkte 1. und 3. abgeändert, dass es insgesamt zu lauten hat:

1. Es wird festgestellt, dass Dr. XXXX , indem er am 01.10.2017

15.444 Patientenkarteien an Dr. XXXX übermittelt hat, die in ihnen erfassten Patienten im Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten verletzt hat.

2. Dr. XXXX hat binnen 14 Tagen bei sonstiger Exekution die in Spruchpunkt 1. genannten Karteien an Dr. XXXX zurückzustellen und im Anschluss zu löschen.

B) Die ordentliche Revision ist gemäß Art 133 Abs 4 B-VG zulässig.

ENTSCHEIDUNGSGRÜNDE:

Verfahrensgegenständlich ist die Frage, ob die Datenschutzbehörde (in Folge "belangte Behörde") zu Recht erstens festgestellt hat, dass Dr. XXXX (in Folge "Erstbeschwerdeführer") die Rechte seiner Patienten auf Geheimhaltung personenbezogener Daten dadurch verletzt hat, indem er ihre Patientenkarteien nach Aufgabe seiner Ordination an Dr. XXXX (in Folge "Zweitbeschwerdeführerin"), die weder Kassenvertrags- noch Ordinationsstättennachfolgerin des Erstbeschwerdeführers ist, zur Verwahrung und allfälligen ärztlichen Betreuung seiner Patienten übermittelt hat, zweitens dem Erstbeschwerdeführer aufgetragen hat, die Patientenkarteien der Kassenplanstellenachfolgerin zu übergeben und drittens der Zweitbeschwerdeführerin aufgetragen hat, die vom Erstbeschwerdeführer erhaltenen Patientendaten zu löschen und ihm zurückzustellen.

I. Verfahrensgang:

Mit Eingabe vom 04.08.2017 brachte XXXX (in Folge "Einschreiter") bei der belangten Behörde sinngemäß vor, der Erstbeschwerdeführer, der Hausarzt seines Sohnes und seiner Frau, schließe mit Ende September seine Ordination und habe seine Patienten mittels Aushang im Eingangsbereich seiner Ordination darüber informiert, dass er ihre Patientenkarteien und Krankengeschichten einer Ärztin in der Nähe weitergegeben habe; diese Ärztin werde die Patienten weiter betreuen. Dadurch verletzte der Erstbeschwerdeführer sein Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten.

Da das behördliche Ermittlungsverfahren ergab, dass der Erstbeschwerdeführer die Daten des Einschreiters und seiner Familie auf Grund seines Widerspruchs nicht an die Zweitbeschwerdeführerin weitergeleitet hat, stellte die Datenschutzbehörde das Kontroll- und Ombudsmannverfahren nach § 30 DSG 2000 mit Schreiben vom 15.11.2017 ein; sie leitete aber ein amtswegiges Prüfverfahren gemäß § 30 Abs 3 DSG 2000 gegen die Erst- und Zweitbeschwerdeführer ein, weil Gesundheitsdaten einer größeren Zahl von Betroffenen verwendet worden seien und eine Klärung der gesetzmäßigen Datenverwendung im öffentlichen Interesse liege.

In den beiden verwaltungsbehördlichen Verfahren brachten die BF im Wesentlichen vor, dass sich aus § 51 Abs 4 Ärztegesetz ergebe, dass es dem bisherigen Ordinationsstätteninhaber freistehe, die Patientendokumentation entweder selbst aufzubewahren oder sie dem Kassenplanstellennachfolger, Ordinationsstättennachfolger oder - weil das Ärztegesetz kein Verbot zivilrechtlicher Verwahrungsverträge kenne - einem anderen Arzt bzw einer "Speicherfirma" zur Aufbewahrung weiterzugeben. Es sei allerdings lediglich der Kassenplanstellennachfolger, in dessen Ermangelung der Ordinationsstättennachfolger, zur Übernahme der Patientendaten verpflichtet.

Mit Bescheid vom 01.06.2018 stellte die belangte Behörde fest, dass das amtswegige Prüfverfahren berechtigt gewesen sei und der Erstbeschwerdeführer die in seinen Patientenkarteien erfassten Personen in ihrem Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten dadurch verletzt habe, indem er die Patientenkarteien an die Zweitbeschwerdeführerin übermittelt habe (Spruchpunkt 1.), trug dem Erstbeschwerdeführer auf, seine Patientenkarteien der gesetzlich zuständigen Kassenplanstellennachfolgerin binnen 14 Tagen bei sonstiger Exekution zu übergeben (Spruchpunkt 2.) und trug der Zweitbeschwerdeführerin auf, alle Patientendaten, die sie in Folge der Übermittlung durch den Erstbeschwerdeführer erhalten habe, binnen 14 Tagen bei sonstiger Exekution restlos zu löschen und dem Erstbeschwerdeführer die Patientenkarteien zurückzustellen (Spruchpunkt 3.).

Begründend führte die belangte Behörde im Wesentlichen aus, das Kontroll- und Ombudsmannverfahren sei mit Geltung der DSGVO mit 25.05.2018 als amtswegiges, mit Bescheid abzuschließendes, Prüfverfahren fortzuführen gewesen. Gemäß Art 9 DSGVO sei die Verarbeitung besonderer Kategorien personenbezogener Daten - wie Gesundheitsdaten -, untersagt. Sie sei gemäß Art 9 Abs 2 lit h DSGVO nur zur Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage unter anderen des Rechts eines Mitgliedstaats zulässig. § 51 Abs 4 Ärztegesetz 1998 sei eine solche nationale rechtliche Regelung. Aus ihr sei aber - selbst bei der äußerst möglichen Auslegung - nicht ableitbar, dass der bisherige Ordinationsstätteninhaber befugt sei, seine Dokumentationsunterlagen an andere Empfänger außer seinen Kassenplanstellen- oder Ordinationsstättennachfolger zu übermitteln; im Falle der Ordinationsstättenaufgabe sei die Patientendokumentation dem Kassenplanstellennachfolger, bei dessen Fehlen dem Ordinationsstättennachfolger, zu übergeben. Nur wenn auch dieser fehlen sollte, sei die Patientendokumentation vom bisherigen Ordinationsstätteninhaber zu verwahren.

Zweck der Regelung sei nicht nur die Übernahmeverpflichtung des Nachfolgers sondern auch die kontrollierte Weitergabe und damit einhergehend der Schutz sensibler Patientendaten. Die Auslegung der Beschwerdeführer, wonach es im Ermessen des Ordinationsstätteninhabers stehe, welchem Arzt, allenfalls auch welchen beliebig vielen Ärzten, er seine Patientendaten weitergebe, würde diesen Zweck aushöhlen.

Eine etwaige zeitliche Lücke in der Betreuung der Patienten - wie hier, weil zum Zeitpunkt der Ordinationsaufgabe noch kein Kassenplanstellennachfolger eingerichtet war - schade nicht, hierfür sehe § 51 Abs 4 Ärztegesetz 1998 die Verwahrung der Patientendaten durch den ehemaligen Ordinationsstätteninhaber selbst vor.

Mangels Rechtsgrundlage sei eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs 1 DSG 2000 indiziert und die Verarbeitung verstoße überdies gegen Art 5 Abs 1 lit a und f DSGVO, wonach personenbezogener Daten rechtmäßig und vor unbefugter oder unrechtmäßiger Verarbeitung geschützt zu verarbeiten seien.

Gegen diesen Bescheid wendet sich die gegenständliche Beschwerde der Beschwerdeführer vom 28.06.2018 wegen Rechtswidrigkeit, in der sie im Wesentlichen ausführen, dass § 51 Abs 4 Ärztegesetz 1998 keine Übergabeverpflichtung zu entnehmen sei; insbesondere sei auch in den erläuternden Bemerkungen von einer "Übertragungsmöglichkeit" die Rede. Der bisherige Ordinationsstätteninhaber könne die Patientendokumentation daher einen Nachfolger übergeben, andernfalls habe er selbst für die Aufbewahrung zu sorgen.

Tatsächlich könne es sich bei diesem Nachfolger auch um andere Ärzte als den Kassenplanstellen- oder Ordinationsstättennachfolger handeln. Dies folge aus dem Regelungsziel, die ärztliche Weiterversorgung der Patienten dadurch sicherzustellen, dass Patientendaten nach Auflösung oder Übernahme einer Ordination nicht verloren gehen würden. Ebenso folge dies aus verfassungsrechtlichen Überlegungen, weil eine Einschränkung der Weitergabe der Patientendaten an den Kassenplanstellennachfolger und den Ordinationsstättennachfolger sachlich nicht gerechtfertigt und damit verfassungswidrig sei; dies könne dem Gesetzgeber nicht unterstellt werden.

Hätte es der Gesetzgeber tatsächlich unterlassen, anderen ärztlichen Nachfolgern als den Kassenplanstellennachfolger oder Ordinationsstättennachfolger die Übernahme der ärztlichen Dokumentation zu ermöglichen, läge eine planwidrige Lücke vor, die mittels Analogie dahingehend zu schließen wäre, dass eine solche Übermittlung möglich sei. So habe der Gesetzgeber zuvor bestehende Regelungslücken hinsichtlich der Übergabe der ärztlichen Dokumentation schließen wollen, habe es aber dann unterlassen, anderen ärztlichen Nachfolgern als den Kassenplanstellen- oder Ordinationsstättennachfolger die Übernahme der ärztlichen Dokumentation zu ermöglichen. Aus dem Gesetzgebungsprozess und den erläuternden Bemerkungen ergebe sich nicht, dass der Gesetzgeber diese unsachliche Differenzierung vornehmen habe wollen.

Eine Verschlechterung der Rechtsposition der Patienten sei dabei nicht denkbar, weil jede über die Speicherung hinausgehende Verwendung der Patientendaten nur mit Einwilligung der Betroffenen möglich sei und jeder ärztliche Nachfolger der strafrechtlich bewehrten ärztlichen Verschwiegenheitspflicht unterliege.

Hinsichtlich Spruchpunkt 3. verpflichte die belangte Behörde die Zweitbeschwerdeführerin in Verletzung von Art 18 B-VG zu einer unmöglichen Handlung, nämlich zuerst Daten zu löschen und dann diese Daten dem Erstbeschwerdeführer zurückzustellen.

Die Beschwerdeführer beantragten eine mündliche Verhandlung, den angefochtenen Bescheid ersatzlos aufzuheben in eventu den angefochtenen Bescheid aufzuheben und die Angelegenheit zur Erlassung eines neuen Bescheids an die belangte Behörde zu zurückzuverweisen; sie regten weiters an allenfalls beim Verfassungsgerichtshof den Antrag auf Aufhebung bestimmter Wort- bzw Textteile des präjudiziellen § 51 Abs 4 Ärztegesetz 1998 wegen Verfassungswidrigkeit zu stellen.

Mit Schriftsatz vom 12.07.2018 legte die belangte Behörde dem erkennenden Gericht die Beschwerde samt Verwaltungsakt vor, beantragte die Abweisung der Beschwerde und brachte sinngemäß vor, könnte aus § 51 Abs 4 Ärztegesetz 1998 tatsächlich ein Recht abgeleitet werden, Patientendaten an andere Ärzte als die gesetzlich aufgezählten zu übergeben, wäre er wegen Verstoßes gegen den Transparenzgrundsatz nach Art 5 Abs 1 lit a DSGVO unionsrechtswidrig. Eine Weitergabe von Patientendaten an beliebige Ärzte sei weder erforderlich noch vom Gesetzgeber gewollt. Im Gegenteil wäre sie für die Patienten nachteilig, weil für sie nicht mehr erkennbar wäre, welcher Arzt nun ihre Patientendaten besitzen würde.

Über Parteiengehör vom 27.09.2018 replizierten die Beschwerdeführer mit Stellungnahme vom 10.10.2018, hg eingelangt am 11.10.2018, sinngemäß, Ziel des § 51 Abs 4 Ärztegesetz 1998 sei das Patientenwohl, das nur erreicht werden könne, wenn die ärztliche Weiterbetreuung und -behandlung auch von anderen Ärzten als Kassenplanstellen- oder Ordinationsstättennachfolgern erfolgen dürfe. Da der bisherige Ordinationsstätteninhaber die Patientendaten nur im Falle fehlender ärztlicher Nachfolger selbst aufzubewahren habe und der "ärztliche Nachfolger" begrifflich über den Kassenplanstellen- und Ordinationsstätteninhaber hinausgehe, ergebe sich, dass Patientendaten auch an andere Ärzte als Kassenplanstellen- und Ordinationsstättennachfolger weitergegeben werden dürfen. Dies ergäbe sich auch aus einer verfassungskonforme Auslegung, weil eine Beschränkung der Weitergabe von Patientendaten auf Kassenplanstellen- und Ordinationsstättennachfolger weder gewollt noch sachlich gerechtfertigt sei. Dies sei nicht ausufernd, weil dabei das Patientenwohl zu beachten sei, dh die neue Ordinationsstätte müsse sich in unmittelbarer Nähe zur bisherigen Ordinationsstätte befinden und eine fachlich kompetente Weiterversorgung der Patienten müsse sichergestellt sein.

Ein Verstoß gegen das Transparenzgebot läge nicht vor, weil der Erstbeschwerdeführer die Patienten über die Weitergabe ihrer Daten zum Teil persönlich und mittels Anschlag an seiner Ordinationstüre informiert habe.

Die Interpretation, wonach auch andere Ärzte als der Kassenplanstellen- und der Ordinationsstättennachfolger die Patientendokumentation übernehmen dürfen würden, sei auch nicht unionsrechtsrechtswidrig, weil die Weitergabe nicht an jeden beliebigen Arzt zulässig sei, sondern nur an denjenigen, der im Sinne des Patientenwohls die ärztliche Weiterversorgung der Patienten sicherstellen kann.

Am 19.12.2018 fand hg eine öffentliche Verhandlung statt, in der die Beschwerdeführer einvernommen wurden.

Beweise wurde erhoben durch Einsichtnahme in den unbedenklichen Verwaltungsakt und Einvernahme der Beschwerdeführer.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Der folgende Sachverhalt steht fest:

Der Erstbeschwerdeführer, ein Arzt für Allgemeinmedizin, hat mit Ablauf des XXXX seine Kassenplanstelle und Ordination in XXXX Wien, XXXX , aufgegeben. Als Kassenplanstellennachfolgerin hat XXXX am XXXX eine Ordination in XXXX Wien, XXXX , eröffnet.

Mit Aushang im Eingangsbereich der Ordination hat der Erstbeschwerdeführer seine Patienten seit zumindest XXXX über die Aufgabe seiner Ordination und über die Weitergabe der Patientenakten wie folgt informiert (Fehler im Original):

"Liebe Patientinnen und Patienten,

nach fast 40 Jahren als Arzt in dieser Ordination, habe ich mich entschlossen in den Ruhestand zu treten.

Da Sie mir als Patienten sehr wichtig sind habe ich mich entschieden die Karteikarten und Krankengeschichten an Frau Dr. XXXX zu übergeben.

Frau Dr. XXXX wird am XXXX ihre Ordination als Ärztin für Allgemeinmedizin eröffnen.

Die Ordination ist ca. 350m von meiner Ordination entfernt.

Adresse: XXXX , ( XXXX ) XXXX Wien

Ich möchte mich für Ihre lange Treue als Patienten bedanken.

Dr. XXXX "

Der Erstbeschwerdeführer hat die IT-gestützt erfasste Dokumentation von 15.444 seiner Patienten (in Folge kurz "Patientendaten") am 01.10.2017 an die Zweitbeschwerdeführerin, eine Ärztin für Allgemeinmedizin, mittels elektronischer Datenübertragung weitergegeben, die am selben Tag eine Ordination in XXXX Wien, XXXX , eröffnet hat.

Die Zweitbeschwerdeführerin ist weder Ordinationsstätten- noch Kassenplanstellennachfolgerin des Erstbeschwerdeführers.

Die Patienten des Erstbeschwerdeführers haben der Weitergabe ihrer Daten an die Zweitbeschwerdeführerin nicht zugestimmt.

Die Daten der Patienten, die der Weitergabe widersprochen haben, hat der Erstbeschwerdeführer nicht weitergegeben; diese Daten verwahrt er selbst.

Grundlage der Übergabe der Patientendatei des Erstbeschwerdeführers an die Zweitbeschwerdeführerin war ein Vertrag zwischen dem Erstbeschwerdeführer und der Zweitbeschwerdeführerin. Mit dem Vertrag hat sich der Erstbeschwerdeführer verpflichtet, nach Aufgabe seiner Ordination die Patientendaten an die Zweitbeschwerdeführerin zu übergeben. Die alleinige Verantwortung für die Patientendaten solle nach ihrer Übergabe bei der Zweitbeschwerdeführerin liegen. Im Gegenzug solle die Zweitbeschwerdeführerin einen bestimmten Geldbetrag an den Erstbeschwerdeführer bezahlen.

Einige Patienten des Erstbeschwerdeführers sind nunmehr Patienten der Zweitbeschwerdeführerin. Wenn ein ehemaliger Patient des Erstbeschwerdeführers erstmals eine Behandlung durch die Zweitbeschwerdeführerin wünscht, fragt sie ihn, ob sie die ihn betreffende Patientenkartei des Erstbeschwerdeführers verwenden dürfe; bejahendenfalls vermerkt sie seine Zustimmung in ihrer IT-gestützt geführten Patientenverwaltung und verwendet in weiterer Folge für seine Behandlung auch die ihn betreffenden Patientendaten.

2. Der Sachverhalt gründet auf der folgenden Beweiswürdigung:

Die Feststellungen gründen auf dem unbedenklichen Verwaltungsakt. Dass die Information über die Weitergabe der Patientendaten jedenfalls seit 04.08.2017 ausgehängt war, ergibt sich daraus, dass der Einschreiter der belangten Behörde mit Schreiben vom selben Tag darüber berichtet hat. Dass der Erstbeschwerdeführer die Patientendaten IT-gestützt erfasst hat, ergibt sich notwendigerweise aus der elektronischen Datenübertragung der Patientendaten, die ohne eine vorherige IT-gestützte Speicherung nicht möglich wäre.

Dass der Erstbeschwerdeführer nicht die Zustimmung seiner Patienten für die Übertragung ihrer Daten an die Zweitbeschwerdeführerin eingeholt hat, ergibt sich aus seiner glaubhaften hg Aussage (OZ 7 S 4) und dem damit übereinstimmenden Text des Aushangs in seiner ehemaligen Ordination.

Dass der Erstbeschwerdeführer nach dem zwischen ihm und der Zweitbeschwerdeführerin abgeschlossenen Vertrag ab Übergabe keine Verantwortung für seine Patientenkarteien mehr haben sollte folgt aus den hg übereinstimmenden und glaubhaften Einvernahmen der Beschwerdeführer, wonach der Erstbeschwerdeführer mit den Karteien nichts mehr zu tun haben wollte und er für sie keine Verantwortung mehr gehabt hätte und die Zweitbeschwerdeführerin die Karteien wie ihre eigenen behandle und die alleinige Verantwortung über sie habe (OZ 7 S 4 ff).

Die Feststellungen zum Zustimmungsprozedere der ehemaligen Patienten des Erstbeschwerdeführers, die nunmehr von der Zweitbeschwerdeführerin behandelt werden, für eine etwaige Verwendung der sie betreffenden Patientendaten durch die Zweitbeschwerdeführerin folgt aus ihrer glaubhaften hg Aussage.

3. Rechtlich folgt daraus:

Die zulässige Beschwerde ist zum Teil berechtigt.

3.1. Zur anwendbaren Rechtslage:

Seit der Weitergabe der Patientendaten an die Zweitbeschwerdeführerin am 01.10.2017 und der Einleitung des Ombudsmann- und Kontrollverfahrens am 17.11.2017 hat sich die Rechtslage durch das DSG 2000 idF BGBl I 24/2018 (in Folge kurz "DSG 2000") und die Verordnung (EU) 679/2016 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (in Folge kurz "DSGVO")) geändert.

Übergangsbestimmungen finden sich ua in § 69 Abs 4 DSG 2000, wonach zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde angängige Verfahren nach den Bestimmungen dieses Bundesgesetztes und der DSGVO fortzuführen sind; dies gilt ebenso für ein etwaig anschließendes verwaltungsgerichtliches Beschwerdeverfahren. Die Judikatur des VwGH, wonach die Rechtslage zum Zeitpunkt des Stichtages anzuwenden ist, wenn darüber abzusprechen ist, was zu einem bestimmten Stichtag rechtens war, steht dem nicht entgegen, weil - wie in diesem Fall - der Gesetzgeber anderes regeln kann (siehe zB VwGH 24.03.2015, Ro 2014/09/0066). Auf den Sachverhalt sind daher das DSG 2000 und die DSGVO anzuwenden.

3.2. Zur Übermittlung der Patientenkarteien vom Erstbeschwerdeführer an die Zweitbeschwerdeführerin:

Die Beschwerdeführer erachten die von der belangten Behörde im 1. Spruchpunkt des angefochtenen Bescheids getroffene Feststellung, der Erstbeschwerdeführer habe die in seinen Patientenkarteien erfassten Personen in ihrem Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten verletzt, indem er ihre Patientenkarteien an die Zweitbeschwerdeführerin übermittelt habe, als rechtswidrig, weil - zusammengefasst - die Datenübermittlung - allenfalls unter Berücksichtigung des Regelungsziels, bei verfassungskonformer Interpretation bzw nach Lückenschluss durch Analogie - durch § 51 Abs 4 ÄrzteG 1998 gedeckt sei. Dem ist nicht zu folgen:

3.2.1. Die Verarbeitung von Gesundheitsdaten einer natürlichen Person ist gemäß Art 9 Abs 1 DSGVO untersagt. Dies gilt ua dann nicht, wenn die betroffene Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat (Art 9 Abs 2 lit a DSGVO) oder die Verarbeitung für Zwecke der Gesundheitsvorsorge, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrecht oder des Rechts eines Mitgliedstaats erforderlich ist (Art 9 Abs 2 lit h DSGVO), sofern diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt (Art 9 Abs 3 DSGVO).

3.2.2. Eine nationale Rechtsvorschrift im Sinne des Art 9 Abs 2 lit h DSGVO findet sich in § 51 Abs 4 ÄrzteG 1998. § 51 ÄrzteG 1998, der die Überschrift "Dokumentationspflicht und Auskunftserteilung" trägt, lautet auszugsweise wie folgt:

"§ 51. (1) Der Arzt ist verpflichtet, Aufzeichnungen über jede zur Beratung oder Behandlung übernommene Person, insbesondere über den Zustand der Person bei Übernahme der Beratung oder Behandlung, die Vorgeschichte einer Erkrankung, die Diagnose, den Krankheitsverlauf sowie über Art und Umfang der beratenden, diagnostischen oder therapeutischen Leistungen einschließlich der Anwendung von Arzneispezialitäten und der zur Identifizierung dieser Arzneispezialitäten und der jeweiligen Chargen im Sinne des § 26 Abs. 8 des Arzneimittelgesetzes, BGBl. Nr. 185/1983, erforderlichen Daten zu führen [...]

(4) Der Kassenplanstellennachfolger, sofern ein solcher nicht gegeben ist der Ordinationsstättennachfolger, hat die Dokumentation von seinem Vorgänger zu übernehmen und für die der Aufbewahrungspflicht entsprechende Dauer aufzubewahren. Er darf sie nur mit Einwilligung des betroffenen Patienten zur Erbringung ärztlicher Leistungen verwenden. Bei Auflösung der Ordinationsstätte ohne ärztlichen Nachfolger ist die Dokumentation vom bisherigen Ordinationsstätteninhaber für die der Aufbewahrungspflicht entsprechende Dauer aufzubewahren. Gleiches gilt für die Tätigkeit als Wohnsitzarzt.

(5) Im Falle des Ablebens des bisherigen Ordinationsstätteninhabers oder des Wohnsitzarztes, sofern nicht Abs. 4 erster und zweiter Satz Anwendung findet, ist sein Erbe oder sonstiger Rechtsnachfolger unter Wahrung des Datenschutzes verpflichtet, die Dokumentation für die der Aufbewahrungspflicht entsprechende Dauer gegen Kostenersatz dem Amt der zuständigen Landesregierung oder einem von diesem Amt benannten Dritten zu übermitteln. Im Falle automationsunterstützter Führung der Dokumentation ist diese, falls erforderlich, nach entprechender (sic!) Sicherung der Daten auf geeigneten Datenträgern zur Einhaltung der Aufbewahrungspflicht, unwiederbringlich zu löschen; dies gilt auch in allen anderen Fällen, insbesondere nach Ablauf der Aufbewahrungsfrist, in denen die Dokumentation nicht mehr weitergeführt wird."

Die Materialien zu § 51 Abs 4 ÄrzteG 1998 (629 BlgNR 53 f) lauten wie folgt:

"Das rechtliche Schicksal der von einem Arzt geführten Aufzeichnungen bei Einstellung seines Berufes ist derzeit völlig ungeregelt. Diese Lücke wurde wiederholt kritisiert. Im Sinne des Patientenwohles, aber auch im öffentlichen Interesse und dem Gebot der Wirtschaftlichkeit entsprechend, ist es nicht zweckmäßig, dass diese besonders sensiblen Daten nach Auflösung oder Übernahme einer Ordination verloren gehen. Vielmehr sollte durch diese Bestimmung eine Rechtsgrundlage geschaffen werden, dass der Ordinationsstättennachfolger oder der Kassenplanstellennachfolger die genannten Daten übernehmen muss und allenfalls auch verwenden darf. Allerdings sollte dem betroffenen Patienten ein Widerspruchsrecht gegen die Verwendung der Patientendaten eingeräumt werden. Überdies steht der nachfolgende Arzt seinerseits unter dem strengen, sogar strafrechtlich geschützten Gebot der ärztlichen Verschwiegenheit. Dies wird insbesonders bei fachfremder Übernahme zum Tragen kommen. Die Übertragungsmöglichkeit sollte sich aber nicht nur auf den Ordinationsstättennachfolger, sondern auch auf den Kassenplanstellennachfolger, auch wenn dessen Ordinationsstätte nicht exakt an der selben Adresse liegt, beziehen.

Weiters scheint es aus datenschutzrechtlicher Sicht sinnvoll, die Patienten über die Übernahme der Patientendokumentation zu informieren, da es sich bei einer solchen um besonders sensible Gesundheitsdaten handelt, die auf Grund des Vertrauensverhältnisses Arzt/Patient erstellt und vom Arzt aufbewahrt wurden.

Im Falle des Ablebens des bisherigen Ordinationsstätteninhabers ist auch die Aufbewahrung der der Dokumentationspflicht entsprechenden Unterlagen durch nichtärztliche Rechtsnachfolger, jedoch unter strenger Wahrung des Datenschutzes, möglich. Dies liegt auch im Interesse der Rechtsnachfolger, wies doch bei der Vorbereitung dieser Novelle die Österreichische Ärztekammer auf gerichtliche Entscheidungen hin, wonach Erben eine Haftung für einen Kunstfehler des verstorbenen Arztes auferlegt wurde. Daher ist schon in deren Interesse vorzusehen, dass sie aus Beweissicherungsgründen auf die Dokumentationsunterlagen zurückgreifen können.

[...]"

3.2.3. Angewendet auf den Sachverhalt bedeutet das, dass die Weitergabe der Patientendaten zwischen - der ärztlichen Schweigepflicht unterliegenden - Ärzten im Zuge der Aufgabe einer Ordinationsstätte mangels Zustimmung der Patienten nur dann zulässig wäre, wenn sie - unter Beachtung der in Art 5 DSGVO genannten allgemeinen Verarbeitungsgrundsätze- zum Zwecke der Gesundheitsvorsorge, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf Grundlage des § 51 Abs 4 ÄrzteG 1998 erforderlich ist.

3.2.4. § 51 Abs 4 ÄrzteG 1998 regelt dabei den Umgang mit Patientendaten im Falle der Aufgabe einer Kassenplanstelle bzw einer Ordinationsstätte. Als zulässige Empfänger der Patientendaten werden der Kassenplanstellenstellennachfolger und, falls ein solcher nicht vorhanden ist, der Ordinationsstättennachfolger genannt. Sollte ein ärztlicher Nachfolger bei der Auflösung der Ordinationsstätte fehlen, hat der bisherige Ordinationsstätteninhaber die Patientendaten aufzubewahren. Eine Weitergabe der Patientendaten an andere Ärzte als den Kassenplanstelle- oder den Ordinationsstättennachfolger ist nicht vorgesehen (in diesem Sinne auch Adlbrecht/Ennöckl, Übergabe von Patientendaten bei Ordinationsaufgabe, RdM 2018, 69).

3.2.5. Auch wenn, wie die Beschwerdeführer vermeinen, unter Berücksichtigung des Regelungsziels, bei verfassungskonformer Interpretation bzw nach Lückenschluss durch Analogie § 51 Abs 4 ÄrzteG 1998 dahingehend interpretiert werden müsste, dass im Fall der Ordinationsaufgabe Patientendaten auch an Ärzte weitergegeben werden können, die weder Kassenplanstellen- noch Ordinationsstättennachfolger sind, wäre ihrem Standpunkt nicht geholfen. Eine Rechtsgrundlage auf die die DSGVO Bezug nimmt, sollte nämlich klar und präzise und ihre Anwendung für den Rechtsunterworfenen vorhersehbar sein (vgl ErwGr 41 zur DSGVO). Eine Rechtsgrundlage, deren Sinn sich erst durch aufwendige Interpretation erschließt, wäre aber weder klar und präzise noch für den Rechtsunterworfenen vorhersehbar. Sie stünde damit im Widerspruch zu EU-Sekundärrecht, müsste unangewendet bleiben (Simmenthal II, EuGH 09.03.1978 C 106/77) und wäre daher bereits aus diesem Grund nicht geeignet, eine Weitergabe von Patientendaten an Ärzte die weder Kassenplanstellen- noch Ordinationsstättennachfolger sind zu rechtfertigen.

3.2.6. Den Interpretationen der Beschwerdeführer wäre aber auch dann nicht zu folgen, wenn sie nicht zur Unanwendbarkeit des § 51 Abs 4 ÄrtzteG 1998 führen würden:

3.2.6.1. Die BF vermeinen, Regelungsziel des § 51 Abs 4 ÄrzteG 1998 sei es, die Versorgung der Patienten dadurch sicherzustellen, dass die Patientendaten nach Auflösung oder Übernahme der Ordination nicht verloren gehen. Dieses Ziel könne nur dadurch erreicht werden, dass auch andere Ärzte als der Kassenplanstellen- oder Ordinationsstättennachfolger - allenfalls in örtlicher Nähe oder mit demselben Fachgebiet - ärztliche Nachfolger im Sinne des § 51 Abs 4 ÄrzteG 1998 sein können. Eine sachlich vertretbare Differenzierung, warum Kassenplanstellen- und Ordinationsstättennachfolger, nicht aber auch andere Ärzte die ärztliche Versorgung von Patienten nach einer Aufgabe einer Ordinationsstätte sicherstellen könnten, gebe es nicht; der Begriff "Ordinationsstättennachfolger" sei daher verfassungskonform weit zu interpretieren und § 51 Abs 4 ÄrzteG 1998 verfassungskonform teleologisch zu reduzieren. Allenfalls läge eine mittels Analogie zu schließende planwidrige Lücke vor.

3.2.6.2. Dem ist entgegen zu halten, dass die Ausweitung der möglichen Empfänger von Patientendaten im Falle der Aufgabe einer Ordinationsstätte auf dritte Ärzte nicht erforderlich ist, um sicherzustellen, dass Patientendaten nicht verloren gehen. So normiert § 51 Abs 4 ÄrzteG 1998 den für Patienten über Rückfrage bei der Ärztekammer leicht zu ermittelnden Kassenplanstellen- oder, falls dieser nicht vorhanden ist, den Ordinationsstättennachfolger als Empfänger der Patientendaten. Im Gegenteil würde es den Patienten erschweren jenen Arzt ausfindig zu machen, der seine Patientendaten erhalten hat, läge es im Ermessen des Altarztes die Patientendaten einem beliebigen dritten Arzt zu übergeben. Dies gilt auch dann, wenn der Altarzt nur Ärzte bestimmen dürfte, die die ärztliche Versorgung seiner Patienten, sei es durch örtliche Nähe oder durch fachliche Spezialisierung, sicherstellen könnten. Ein etwaiger Aushang in der Ordination des Altarztes kann dieses Problem entgegen der Ansicht der Beschwerdeführer nicht lösen, weil die Information über den ärztlichen Nachfolger nur jenen Patienten zugehen würde, die im Zeitraum, in dem die Information ausgehängt war, die Ordination des Arztes aufgesucht haben. Die Differenzierung zwischen Kassenplanstellen- und Ordinationsstättennachfolgern einerseits und anderen Ärzten andererseits ist damit auch sachlich gerechtfertigt.

3.2.6.3. Auch für die Annahme einer planwidrigen Lücke bleibt in Anbetracht der Gesetzesmaterialien kein Raum. Aus ihnen erhellt nämlich, dass der Gesetzgeber das Problem des bislang ungeklärten rechtlichen Schicksals von Patientendaten im Falle einer Ordinationsaufgabe lösen wollte, indem er die Weitergabe der Daten - eben nur - an bestimmte Nachfolger, nämlich den Kassenplanstellen- oder den Ordinationsstättennachfolger, ermöglicht.

3.2.7. Da mit dem zwischen dem Erst- und der Zweitbeschwerdeführerin hinsichtlich der Patientendaten abgeschlossenen Vertrag die Verantwortung für die Patientendaten ausschließlich auf die Zweitbeschwerdeführerin übergehen sollte, liegt auch kein - die Verwendung der Patientendaten durch die Zweitbeschwerdeführerin rechtfertigendes -Auftragsverarbeiterverhältnis im Sinne des Art 4 Z 8 DSGVO vor.

3.2.8. Die belangte Behörde hat daher die Rechtswidrigkeit der Übergabe der Patientendaten vom Erstbeschwerdeführer an die Zweitbeschwerdeführerin zu Recht festgestellt.

3.2.9. Zur Korrektur von Spruchpunkt 1. des angefochtenen Bescheids:

Da sich die im 1. Spruchpunkt des bekämpften Bescheids festgestellte Rechtsverletzung auf alle ehemaligen Patienten des Erstbeschwerdeführers bezieht, dh auch Patienten umfasst, die der Weitergabe ihrer Daten an die Zweitbeschwerdeführerin ausdrücklich widersprochen haben, der Erstbeschwerdeführer tatsächlich aber nur die Daten jener Patienten an die Zweitbeschwerdeführerin übergeben hat, die der Übergabe nicht widersprochen haben, war Spruchpunkt 1. Allerdings auf jene Patienten einzuschränken, die tatsächlich an die Zweitbeschwerdeführerin übergeben worden sind.

3.3. Zur Übergabe- und Löschungsverpflichtung der Zweitbeschwerdeführerin (Spruchpunkt 3. des angefochtenen Bescheids):

3.3.1. Aufgrund der rechtswidrigen Übermittlung der Patientenkarteien des Erstbeschwerdeführers an die Zweitbeschwerdeführerin hatte die belangte Behörde die Beschwerdeführer gemäß Art 58 Abs 2 lit d DSGVO bzw § 24 Abs 5 2. Satz DSG 2000 anzuweisen, die Datenverwendung mit der DSGVO in Einklang zu bringen, dh der Zweitbeschwerdeführerin aufzutragen, die Patientendaten an den Erstbeschwerdeführer zurückzustellen und im Anschluss zu löschen.

3.3.2. Hinsichtlich der Patienten des Erstbeschwerdeführers die nunmehr Patienten der Zweitbeschwerdeführerin sind, ist allerdings zu berücksichtigen, dass die Verwendung der sie betreffenden Patientendaten durch die Zweitbeschwerdeführerin durch Einwilligung der Patienten oder den Behandlungsvertrag mit der Zweitbeschwerdeführerin gerechtfertigt sein könnte (Art 9 Abs 2 lit a und h DSGVO), was einer Rückgabeverpflichtung entgegenstehen könnte. Aus einer etwaigen Zustimmung oder einem etwaigen Behandlungsvertrag wäre aber für die Zweitbeschwerdeführerin nichts zu gewinnen:

So hat die Zweitbeschwerdeführerin die Patientendaten für einen bestimmten Zweck gespeichert, nämlich zur "Archivierung und allfällige Übernahme in die eigene Patientenkartei". Wird ein ehemaliger Patient des Erstbeschwerdeführers von der Zweitbeschwerdeführerin behandelt und verwendet sie für seine Behandlung die vom Erstbeschwerdeführer erhaltenen Patientendaten, übernimmt sie die Daten des Patienten in ihre eigene Patientenkartei zum Zwecke der "Verwaltung eigener Patienten". Eine solche Weiterverwendung für andere Zwecke ist aber - unabhängig vom Vorliegen eines Erlaubnistatbestandes (wie einer Einwilligung) nach Art 9 DSGVO - gemäß Art 5 Abs 1 lit b DSGVO nur zulässig, wenn bereits der Zweck der ursprünglichen Verwendung legitim, dh von der Rechtsordnung gebilligt gewesen ist (Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht 2019 Art 5 Rz 79 und 90 f unter Verweis auf die auf die Ansicht Art 29 Gruppe, WP 203, S 20, die zwar zur Datenschutz-Richtlinie ergangen, aber mangels diesbezüglicher maßgeblicher Änderung auf die DSGVO übertragbar ist). Da die Weitergabe der Patientendaten im Widerspruch zu § 51 Abs 4 ÄrzteG 1998 steht, so wird von der Rechtsordnung nur die Weitergabe der Patientendaten an den Kassenplanstellen- oder Ordinationsstättennachfolger gebilligt, ist dies aber gerade nicht der Fall.

3.3.3. Die belangte Behörde hat der Zweitbeschwerdeführerin daher zu Recht die Rückgabe und Löschung aller Patientendaten aufgetragen, die sie vom Erstbeschwerdeführer erhalten hat. Da die belangte Behörde die Zweitbeschwerdeführerin - wie sie zutreffend ausführt - zu einer unmöglichen Handlung verpflichtet hat, indem sie von ihr verlangt hat, die Patientendaten zuerst zu löschen und danach an den Erstbeschwerdeführer zurückzustellen, war Spruchpunkt 3., nunmehr als Spruchpunkt 2., allerdings entsprechend zu korrigieren.

3.4. Zur Übergabeverpflichtung der Patientendaten an den Kassenplanstellennachfolger 8Spruchpunkt 2. des bekämpften Bescheids):

3.4.1. Hinsichtlich Spruchpunkt 2. des bekämpften Bescheids, mit dem die belangte Behörde dem Erstbeschwerdeführer aufgetragen hat, die Patientendaten an den Kassenplanstellennachfolger zu übergeben, verweisen die Beschwerdeführer darauf, dass sich aus § 51 Abs 4 ÄrzteG 1998 zwar eine Übernahmeverpflichtung des Kassenplanstellenachfolgers, allenfalls des Kassenplanstellennachfolgers für Patientenkarteien des Altarztes ergibt, daraus aber keine Übergabeverpflichtung des Altarztes ableitbar sei. Insbesondere würden die Materialien von einer "Übergabemöglichkeit" sprechen. Mit diesem Argument sind die Beschwerdeführer im Recht:

3.4.2. Gemäß § 51 Abs 4 ÄrzteG 1998 hat der Kassenplanstellennachfolger, sofern ein solcher nicht gegeben ist der Ordinationsstättennachfolger, die Dokumentation von seinem Vorgänger zu übernehmen und für die der Aufbewahrungspflicht entsprechende Dauer aufzubewahren.

3.4.3. Eine Übergabeverpflichtung des Vorgängers wird ausdrücklich nicht genannt, weshalb das Gesetz nach seinem Wortsinn sowohl eine Übergabepflicht als auch eine Übergabemöglichkeit normieren könnte und somit einer weiterführenden Auslegung bedarf.

3.4.3.1. Ziel der Bestimmung ist nach den Materialien das rechtliche Schicksal der Patientenakten im Falle der Aufgabe einer Ordinationsstätte zu klären und das Patientenwohl sicherzustellen; Patientendaten sollen nicht verloren gehen. Diese Ziele wären sowohl mit einer Übergabepflicht als auch einer Übergabemöglichkeit erreichbar.

3.4.3.2. Für eine Übergabemöglichkeit sprechen aber letztlich die Materialien, wonach es sich bei der Weitergabe von Patientendaten im Falle einer Ordinationsaufgabe an einen Kassenplanstellennachfolger, bzw im Falle seines Fehlens an einen Ordinationsstättennachfolgers, um eine "Übergabemöglichkeit" handeln soll (629 BlgNR 53 f). Der Gesetzgeber wollte daher offenbar einem Arzt im Falle der Aufgabe seiner Ordination die Entscheidungsmöglichkeit einräumen, ob er die Daten seiner ehemaligen Patienten selbst verwahren, oder sie einem Kassenplanstellen- oder Ordinationsstättennachfolger übergeben möchte. Nur im letzten Fall sollen der Kassenplanstellennachfolger und im Falle seines Fehlens der Ordinationsstättennachfolger die Daten übernehmen müssen.

3.4.3.3. Es ist daher davon auszugehen, dass § 51 Abs 4 ÄrzteG 1998 dem Arzt im Falle einer Ordinationsaufgabe lediglich die Möglichkeit einräumt, die Karteien seiner ehemaligen Patienten an andere Ärzte, dh dem Kassenplanstellenachfolger bzw in seiner Ermangelung dem Ordinationsstättennachfolger zu übergeben; er ist dazu aber nicht verpflichtet.

3.4.3.4. Da § 51 Abs 4 ÄrzteG 1998 somit keine taugliche Rechtsgrundlage darstellt, um den Erstbeschwerdeführer zur Übergabe seiner Patientenkartei an den Kassenplanstellennachfolger zu verpflichten, war Spruchpunkt 2 des bekämpften Bescheids ersatzlos zu beheben.

3.4.3.5. Angesichts dieses Ergebnisses kann dahingestellt bleiben, ob § 51 Abs 4 ÄrzteG 1998 auf Grund seiner Interpretationsbedürftigkeit im Widerspruch zu ErwGr 41 DSGVO stehen, dh EU-rechtswidrig, unanwendbar und damit überhaupt keine taugliche Grundlage für eine Übergabeverpflichtung des Erstbeschwerdeführers sein könnte (siehe dazu 3.2.5.).

3.5. Es war daher spruchgemäß zu entscheiden.

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art 133 Abs 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. So fehlt es an Rechtsprechung des Verwaltungsgerichtshofs zur Frage, ob § 51 Abs 4 Ärztegesetz 1998 eine Übergabemöglichkeit oder eine Übergabeverpflichtung der Patientendaten des Ordinationsstätteninhabers beinhaltet, der seine Ordinationsstätte aufgibt und für den Fall, dass er eine Übergabeverpflichtung normiert, zu Frage, ob § 51 Abs 4 ÄrzteG 1998 derart interpretationsbedürftig ist, dass er keine taugliche nationale Rechtsgrundlage im Sinne des Art 9 Abs 2 lit h DSGV iVm ErwGr 41 DSGVO darstellt und damit unanwendbar wäre (siehe dazu 3.2.5.).