TE Bvwg Erkenntnis 2019/7/16 W101 2135622-1

W101 2135622-1/15E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Christine AMANN als Vorsitzende, die fachkundige Laienrichterin Mag. Daniela ZIMMER als Beisitzerin und den fachkundigen Laienrichter Mag. René BOGENDORFER als Beisitzer über die Beschwerde des Magistrates der Stadt Salzburg, vertreten durch den Bürgermeister, gegen den Teilbescheid der Datenschutzbehörde vom 28.07.2016, GZ. DSB-D122.454/0006-DSB/2016,

A)

I. zu Recht erkannt:

Der Beschwerde wird hinsichtlich des Spruchteiles 1. gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF mit der Maßgabe Folge gegeben, dass dieser Spruchteil wie folgt zu lauten hat:

"Hinsichtlich des Erstbeschwerdegegners wird die Beschwerde als unbegründet abgewiesen."

II. den Beschluss gefasst:

Die Beschwerde wird hinsichtlich des Spruchteiles 2. gemäß § 28 Abs. 1 VwGVG als unzulässig zurückgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

XXXX (= Beschwerdeführer vor der Datenschutzbehörde) erhob am 05.01.2016 eine Datenschutzbeschwerde an die Datenschutzbehörde gemäß § 31 Abs. 2 Datenschutzgesetz 2000 (DSG 2000) wegen Verletzung im Recht auf Geheimhaltung durch den Beschwerdeführer (= Erstbeschwerdegegner vor der Datenschutzbehörde), das Amt der Salzburger Landesregierung (= Zweitbeschwerdegegner vor der Datenschutzbehörde) und das Landesverwaltungsgericht Salzburg (= Drittbeschwerdegegner vor der Datenschutzbehörde). Die Datenschutzbeschwerde begründete XXXX im Wesentlichen folgendermaßen:

Er beziehe Mindestsicherung und habe diesbezüglich vom Magistrat der Stadt Salzburg (Sozialamt) einen Bescheid erhalten. Die vom Amt zugewiesene Aktenzahl habe sein Geburtsdatum enthalten. Gegen diesen Bescheid habe er beim Landesverwaltungsgericht Salzburg eine Beschwerde erhoben. Dieses Beschwerdeverfahren habe das Landesverwaltungsgericht Salzburg mit Erkenntnis vom 17.07.2015, Zl. LVwG-9/147/23-2015, abgeschlossen. Diese Entscheidung sei sodann auf der Homepage des Landesverwaltungsgerichtes Salzburg öffentlich zugänglich in den "ausgewählten Entscheidungen des LVwG" publiziert worden. In dieser Entscheidung seien zwar online Namen und Geburtsdaten aus dem Inhalt anonymisiert, aber sein Geburtsdatum in der Aktenzahl integriert worden, sodass anhand des Inhaltes der Entscheidung und des Geburtsdatums Rückschlüsse auf ihn gezogen werden könnten. Die veröffentlichte Entscheidung werde von Google gefunden.

Die Salzburger Magistratsdirektion weise die Verantwortung für die Aktenzahlgestaltung von sich, weil diese angeblich im SIS-System des Landes Salzburg generiert würde. Somit werde die Verantwortung in diesem Schreiben dem Landesverwaltungsgericht Salzburg "angedichtet", obwohl dieses die Aktenzahl wohl nicht generiert habe.

Durch das Geburtsdatum in der Aktenzahl in Kombination mit dem Inhalt der veröffentlichten Entscheidung könnten Rückschlüsse über ihn durch Dritte gezogen werden. Es seien vertrauliche Informationen öffentlich zugänglich. Es werde vom Magistrat der Stadt Salzburg (Sozialamt) weiterhin die Aktenzahl mit seinem Geburtsdatum verwendet.

Im Zuge des Ermittlungsverfahrens machte der Beschwerdeführer in seiner Stellungnahme vom 20.01.2016 geltend:

Man verwende für Zwecke der Administration der bedarfsorientierten Mindestsicherung das vom Land Salzburg allen Beteiligten Verwaltungsbehörden zur Verfügung gestellte EDV-System "Soziales Informationssystem" (kurz: SIS). Die Nutzung dieses Systems sei verpflichtend. Das SIS sei der Datenschutzbehörde als Datenanwendung gemeldet und unter DVR: 0089443 (DAN: 0089443/083) auch registriert worden. Der Beschwerdeführer veröffentliche keine Entscheidungen, die beanstandende Aktenzahl werde nur intern im Rahmen der Vollziehung des Salzburger Mindestsicherungsgesetzes (Sbg MSG) verwendet. Die Veröffentlichung von verwaltungsgerichtlichen Entscheidungen im Internet falle nicht in den Zuständigkeitsbereich des Beschwerdeführers. Es liege daher jedenfalls keine vom Beschwerdeführer zu verantwortende Verletzung des Geheimhaltungsrechts des XXXX vor.

Diesem Argument des Beschwerdeführers hielt XXXX in seiner Stellungnahme vom 03.02.2016 entgegen, er sehe sich weiter durch die Verwendung seines Geburtsdatums in der Aktenzahl in seinem Recht auf Geheimhaltung verletzt, insbesondere da dieser Teil der Aktenzahl durch Verwendung anderer Parameter anders gestaltet werden könnte.

Mit Teilbescheid der Datenschutzbehörde vom 28.07.2016, GZ. DSB-D122.454/0006-DSB/2016, gab die Datenschutzbehörde in Bezug auf den Beschwerdeführer in Spruchteil 1. der Datenschutzbeschwerde Folge und stellte fest, dass er XXXX dadurch in seinem Grundrecht auf Geheimhaltung schutzwürdiger personenbezogener Daten verletzt habe, dass er diesem für Zwecke von Verfahren betreffend Leistungen der bedarfsorientierten Mindestsicherung die Aktenzahl 3/01-BMS/ XXXX (mit dessen Geburtsdatum) zugewiesen habe und diese Aktenzahl automationsunterstützt verarbeite. In Spruchteil 2. dieses Bescheides wies die Datenschutzbehörde in Bezug auf das Amt der Salzburger Landesregierung (= Zweitbeschwerdegegner vor der Datenschutzbehörde) die Datenschutzbeschwerde hingegen ab.

In der gegen diesen Bescheid fristgerecht erhobenen Beschwerde brachte der Beschwerdeführer im Wesentlichen vor:

Den Ausführungen des XXXX sei zunächst entgegenzuhalten, dass, sofern durch die Verwendung des Geburtsdatums als Bestandteil der Aktenzahl Rückschlüsse auf seine Person gezogen werden könnten, für die Zuordenbarkeit der Aktenzahl zu einer Person eine Zugangsberechtigung zu bestimmten Systemen bzw. Registern nötig sei. All jene Personen, denen eine solche Zugangsberechtigung zu Teil werde, würden ohnehin der Amtsverschwiegenheit unterliegen.

Um es der Behörde zu ermöglichen, den jeweiligen Akt rasch und sicher zuordnen zu können, was unter anderem auch im Sinne der Mindestsicherungsbezieherinnen sei, welche dadurch nicht stets die Aktenzahl wissen müssten, würden Daten bzw. Kennzeichen benötigt, die sich den jeweiligen Hilfesuchenden zuordnen ließen. Durch die Angabe des Geburtsdatums, welches alle Hilfesuchenden wüssten, und des Bezirkes lasse sich so jeder Akt rasch auffinden, was für eine funktionierende Verwaltung im Bereich der bedarfsorientierten Mindestsicherung, gerade in den einzelnen Bezirksverwaltungsbehörden und in Anbetracht der Fallzahlen in diesem Bereich, unerlässlich sei. Um einen Akt - gegebenenfalls auch gemeinsam mit dem/der Hilfesuchenden - schnell auffinden zu können, werde ein Merkmal benötigt. Dieses sollte, wenn möglich - wie ein Geburtsdatum - von Dauer sein. Anfangsbuchstaben von Namen etwa könnten sich im Laufe der Zeit (z.B. durch Heirat) verändern. Da ein Geburtsdatum stets gleichbleibe und bei anderen (sich eventuell ändernden) Erkennungskennzeichen in der Aktenzahl weitere Daten erforderlich seien, um den Akt zweifelsfrei zuordnen zu können, sei es im Sinne der Datensparsamkeit sinnvoll auf das Geburtsdatum zurückzugreifen. Zur Datensparsamkeit dürfe noch ausgeführt werden, dass die Personen, welche Zugriff auf die Aktenzahl hätten, auch Zugriff auf das Geburtsdatum des Antragstellers hätten und umgekehrt, weshalb dieser Personenkreis durch die Anführung des Geburtsdatums in der Aktenzahl nicht vergrößert werde.

Durch das gleichbleibende Erkennungszeichen des Geburtsdatums könnten auch sämtliche, den/die Hilfesuchenden betreffenden Angelegenheiten hinsichtlich der bedarfsorientierten Mindestsicherung unter derselben Aktenzahl geführt werden. Aus verwaltungsökonomischer Sicht sei dies somit die zielführendste Methode, um eine einheitliche Führung aller Angelegenheiten der bedarfsorientierten Mindestsicherung (Anträge, Bescheide usw.) hinsichtlich eines Hilfesuchenden zu garantieren, unerlässlich. Eine Änderung der Aktenzahlen dahingehend, dass keine personenbezogenen Daten jedweder Art darin aufscheine, würde einen kaum mehr überschaubaren zusätzlichen Zeitaufwand bedeuten. Die Aufgliederung der Aktenzahlen in Geburtsdatum, Nummer des Bezirkes und einer weiteren Zahl sei für jede/n Mitarbeiter/in des Beschwerdeführers als auch für jene der Oberbehörde nachvollziehbar und erleichtere bzw. beschleunige durch das rasche Auffinden eines Aktes und das sichere Zuordnen zu einer bestimmten Person das Arbeiten sowie die Kommunikation ungemein. So lasse sich die Aktenzahl durch das Wissen um das Geburtsdatum und den Bezirk herstellen, weshalb auch, etwa bei Anfragen an die Oberbehörde, kleine Fehler (z.B. Tippfehler) in der Namensschreibweise nicht schädlich seien, da durch die oben erwähnten Angaben jede/r Mitarbeiter/in, die/der zum Zugriff berechtigt sei, den Akt auffinden könne. Es sei richtig, dass das Geburtsdatum als Identifikator etwa zur Vermeidung von Verwechslungen bei Namensgleichheit, verwendet werde. Eine Aktenzahl mit integriertem Geburtsdatum diene jedoch der Kontrolle, um sicherzustellen, dass es zu keinen Personenverwechslungen komme. Im Sinne einer verwaltungsökonomischen Wahrnehmung der gesetzlich übertragenen Aufgaben im Bereich der bedarfsorientierten Mindestsicherung sei daher eine derartige Bildung der Aktenzahl wesentlich.

Der vorliegende Sachverhalt sei auch nicht mit § 31 Abs. 4 Z 1 ASVG vergleichbar. Die Sozialversicherungsnummer habe den Zweck, den Umstand des bestehenden Versicherungsschutzes nach außen zu dokumentieren. Jede Person könne gewiss grundsätzlich selbst entscheiden, wem sie Zugriff auf ihre Sozialversicherungsnummer gewähre, doch habe auch sie z.B. bei einem Arztbesuch letztlich keine andere Wahl. Dem gegenüber solle die vom Beschwerdeführer verwendete Aktenzahl keinerlei Auswirkungen entfalten, sondern lediglich ein ökonomisches Verwalten von Unterstützungsfällen ermöglichen. Die Aktenzahl diene der Suche der Rechtsakte und der darunter abgelegten Informationen, die die Anspruchsvoraussetzungen dokumentieren würden. Die Aktenzahl sei daher wesentliches Suchkriterium in der Aktenverwaltung, wie auch der Name des Begünstigten und sein Geburtsdatum. Auch für die Suche mittels Name und Geburtsdatum bestehe keine ausdrückliche Durchführungsermächtigung im Sbg MSG, sondern sei diese Berechtigung implizit mitumfasst. Dies müsse daher ebenso für die mit Hilfe des Geburtsdatums generierte Aktenzahl gelten. Des Weiteren sei dem Beschwerdeführer kein Materiengesetz bekannt, in welchem für die Aktensuche eine eigene Durchführungsermächtigung verankert sei, da die Generierung der Aktenzahl ein "Annex" zur Materie der Mindestsicherung sei. Zwar möge dem Landesverwaltungsgericht bei der Publikation ein Fehler unterlaufen sein, indem es die Aktenzahl des erstinstanzlichen Bescheides nicht unkenntlich gemacht habe, doch sei ansonsten die Aktenzahl der belangten Behörde bzw. eines Beschwerdeführers der Öffentlichkeit nicht zugänglich. Das Landesverwaltungsgericht sei auch nicht verpflichtet, die Aktenzahl des erstinstanzlichen Bescheides zu veröffentlichen. Der Verwaltungsgerichtshof veröffentliche Entscheidungen zum Salzburger Mindestsicherungsgesetz ohne Angabe der Aktenzahlen.

Die Verarbeitung des Geburtsdatums als Bestandteil des Geschäftsfalles - und damit auch gleichzeitig des Aktes - sei grundsätzlich eine Notwendigkeit (Annex), die der eindeutigen Identifikation diene, und sei vom Zweck der Datenanwendung gesetzlich gemäß § 39 Sbg MSG gedeckt, indem sie untrennbar und akzessorisch mit der Führung von Kanzleigeschäften verbunden sei.

Das Geburtsdatum bliebe trotz der Nichtverwendung für die Aktenzahl tatsächlich Teil des Aktes, wäre mittels Suchabfragen auffindbar und sei unauflösbar mit dem Akt bzw. Geschäftsfall verknüpft. Die Datenschutzbehörde irre daher, wenn sie meine, dass durch die Nichtverwendung des Geburtsdatums in der Aktenzahl als Ordnungskriterium die Daten sparsamer oder gelinder verarbeitet würden.

Es gäbe in der höchstgerichtlichen Rechtsprechung kein Erkenntnis, das ein absolutes Verbot für das Verwenden des Geburtsdatums als Ordnungskriterium in internen Aktenverwaltungssystemen erkennen würde. Zum einen habe die Verwaltungseinheit, welche den Akt zu bearbeiten habe, ohnehin Zugriff auf das Geburtsdatum und zum anderen diene die Zusammenfassung aller Dokumente des Geschäftsfalles in einem Akt der eindeutigen Identifizierbarkeit, wobei das in der Aktenzahl enthaltene Geburtsdatum für sich alleine gesehen keinen Personenbezug zulassen würde, weil es beliebig viele Personen in Salzburg gäbe, die dasselbe Geburtsdatum hätten. Dies bedeute wiederum, dass nur derjenige, der im Amt tätig sei und Einsichtsmöglichkeit habe, die Person identifizieren könne.

Die gegenständliche potentielle Grundrechtsverletzung sei auch nur deswegen zu entscheiden gewesen, weil das Landesverwaltungsgericht die Aktenzahl veröffentlicht habe. Bei rein behördeninterner Verwendung gäbe es - wie oben dargelegt - keine Grundrechtsverletzung und auch keine Verletzung nach dem DSG 2000.

Der Beschwerdeführer stelle sohin die Anträge,

1. das Bundesverwaltungsgericht möge in der Sache selbst erkennen und den angefochtenen Teilbescheid dahingehend abändern, dass der Beschwerde des XXXX nicht Folge gegeben und festgestellt werde, dass der Erstbeschwerdegegner den Beschwerdeführer dadurch, dass er diesem für Zwecke von Verfahren betreffend Leistungen der bedarfsorientierten Mindestsicherung die Aktenzahl 3/01-BMS/ XXXX , die sein Geburtsdatum enthalte, zugewiesen habe und diese automationsunterstütz verarbeitet, im Recht auf Geheimhaltung personenbezogener Daten nicht verletzt habe,

2. in eventu die Angelegenheit gemäß § 28 Abs. 3 VwGVG zur Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverweise.

Mit Schreiben der Datenschutzbehörde vom 22.09.2016 war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden.

Aufgrund einer Verfügung des Geschäftsverteilungsausschusses des Bundesverwaltungsgerichtes war die gegenständliche Rechtssache der Gerichtsabteilung W227 abgenommen und der Gerichtsabteilung W101 am 04.07.2018 neu zugewiesen worden.

Mit Schreiben vom 03.05.2019 forderte das Bundesverwaltungsgericht den Beschwerdeführer u.a. auf, die Grundlagen bzw. Rechtsgrundlagen (z.B. Erlässe, Weisungen) für die Führung des Geburtsdatums im dortigen Aktenzahlen-System dem Bundesverwaltungsgericht innerhalb einer Frist von drei Wochen vorzulegen.

Binnen gesetzter Frist legte der Beschwerdeführer den zwischen dem Land Salzburg und der Stadtgemeinde Salzburg geschlossenen Vertrag vom Juni 2006, ein Handbuch zum sozialen Informationssystem bei der bedarfsorientieren Mindestsicherung und einen Auszug aus dem RIS zu der landesgesetzlichen Bestimmung des § 39a Salzburger Mindestsicherungsgesetzes (Sbg MSG) vor.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der Beschwerdeführer hat als datenschutzrechtlich Verantwortlicher in einem Mindestsicherungsverfahren den XXXX durch die Zuweisung der Aktenzahl, in der dessen Geburtsdatum enthalten ist, ("3/01-GMS/ XXXX -2015") und durch deren automationsunterstützte Verarbeitung im internen Gebrauch nicht im Grundrecht auf Geheimhaltung von personenbezogenen Daten verletzt.

2. Beweiswürdigung:

Die Feststellung zum maßgeblichen Sachverhalt ergibt sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt.

Zum Vorbringen des Beschwerdeführers, er verarbeite eine derartige Aktenzahl nur zum internen Gebrauch, zumal alle Personen mit Zugangsberechtigungen ohnehin der Amtsverschwiegenheit unterliegen würden, und er habe diese nicht veröffentlicht, sondern das Landesverwaltungsgericht Salzburg (= Drittbeschwerdegegner vor der Datenschutzbehörde), das dazu gar nicht verpflichtet sei, kann nur angemerkt werden, dass dem nichts entgegen zu setzen ist.

Der maßgebliche Sachverhalt hat auf Grund der vorliegenden Aktenlage zweifelsfrei und vollständig festgestellt werden können.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 39 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, sowie wegen Verletzung der Entscheidungspflicht in den Angelegenheiten dieses Bundesgesetzes durch Senat. Gemäß § 39 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 i.d.F. BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung - BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes - AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 - DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG das Verwaltungsgericht dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

3.3. Zu A) Spruchteil I. (Erkenntnis):

3.3.1. § 69 Abs. 4 DSG enthält keine Übergangsbestimmungen bezüglich der anhängigen Verfahren in Datenschutzangelegenheiten vor dem Bundesverwaltungsgericht. Damit ist die zum Zeitpunkt der Beschlussfassung des Senates geltende Rechtslage anzuwenden (vgl. VwGH vom 19.02.2018, Ra 2015/07/0074; VwGH vom 22.02.2018, Ra 2017/22/0125; u.v.a.).

3.3.2. Zunächst ist zu prüfen, ob der Beschwerdeführer für die Führung des Geburtsdatums im Aktenzahlen-System als datenschutzrechtlich Verantwortlicher - sei es alleine oder gemeinsam mit dem Amt der Salzburger Landesregierung (= Zweitbeschwerdegegner vor der Datenschutzbehörde) - anzusehen ist.

In § 39 Abs. 1 Z 1 Salzburger Mindestsicherungsgesetz (Sbg MSG) ist normiert, dass die Landesregierung und die Bezirksverwaltungsbehörden im Rahmen der Vollziehung dieses Gesetzes personenbezogene Daten zum Zweck der Gewährung, Weitergewährung, Erbringung und Einstellungen von Hilfeleistungen verarbeiten dürfen. Das Geburtsdatum ist gemäß § 39 Abs. 2 Sbg MSG eines von mehreren personenbezogene Daten die "von Hilfe suchenden Personen" in Angelegenheiten des Abs. 1 verarbeitet werden dürfen.

In § 39a Abs. 1 Sbg MSG ist normiert, dass die Landesregierung und die Bezirksverwaltungsbehörden ermächtigt sind, personenbezogene Daten als "gemeinsam Verantwortliche" gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO gemeinsam zu verarbeiten (Soziales Informationssystem).

Zum Sozialen Informationssystem ist darüber hinaus im vom Beschwerdeführer vorgelegten Vertrag aus 2006 zwischen dem Land Salzburg und der Stadtgemeinde Salzburg ein Prozedere für die Zusammenarbeit der Vertragsparteien als gemeinsam Verantwortliche in Datenschutzangelegenheiten festgelegt.

Der Senat kommt auf der Rechtsgrundlage des § 39a Abs. 1 Sbg MSG diesbezüglich zum Ergebnis, dass der Beschwerdeführer für die Führung von Aktenzahlen mit inkludiertem Geburtsdatum datenschutzrechtlich Verantwortlicher iSd der Begriffsbestimmung des Art. 4 Z 7 DSGVO - und zwar gemeinsam mit dem Amt der Salzburger Landesregierung (= Zweitbeschwerdegegner vor der Datenschutzbehörde) - ist.

3.3.3. Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Das Grundrecht auf Geheimhaltung ist - neben dem Recht auf Richtigstellung und dem Recht auf Löschung - ein Teil des Grundrechts auf Datenschutz.

Durch das Grundrecht geschützt sind auf jeden Fall personenbezogene Daten von natürlichen Personen. Unter Daten sind in diesem Zusammenhang nicht nur unschwer als personenbezogene Daten erkennbare Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen, sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen. Das Grundrecht auf Geheimhaltung schützt vor der Ermittlung, wie vor Übermittlung und Preisgabe von Daten. Dabei ist bemerkenswert, dass der Geheimhaltungsanspruch nach dem Wortlaut der Verfassungsbestimmung umfassend ist: Sämtliche personenbezogene Daten - d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten - sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Ermittlung dieser Daten unzulässig. Im Gegensatz zu anderen Grundrechten entfaltet das Grundrecht auf Datenschutz unmittelbare Drittwirkung, d.h. die Weitergabe von Daten zwischen Privaten muss den Grundrechtsanforderungen genügen (vgl. Jahnel/Siegwart/Fercher Hrsg., Aktuelle Fragen des Datenschutzrechts, Wien 2007, S. 25f, und VwGH 25.06.2013, Zl. 2010/17/0008).

Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß § 1 Abs. 1 DSG überhaupt besteht, ist das Vorliegen von "schutzwürdigen" Interessen. Das Vorliegen von Interessen an sich löst den Grundrechtsanspruch noch nicht aus. Es müssen schutzwürdige Interessen behauptet werden, die erst nach Vornahme einer Interessenabwägung festgestellt werden können. Kriterien für die Abwägung finden sich - wenn auch keineswegs abschließend - im Grundrecht selbst: Die allgemeine Verfügbarkeit oder die mangelnde Rückführbarkeit der Daten auf den Betroffenen schließen schutzwürdige Interessen aus (Dohr/ Pollirer/Weiss/Knyrim Hrsg., Kommentar - Datenschutzrecht, Sonderergänzungslieferung zum Datenschutzgesetz - DSG, Wien 2017, § 1 Anm. 6). Mangelnde Rückführbarkeit wird dann vorliegen, wenn die Herstellung eines Personenbezuges nicht machbar ist (ibid, § 1 Anm. 8).

Das in § 1 Abs. 1 normierte schutzwürdige Geheimhaltungsinteresse setzt voraus, dass Daten betroffen sind, die auf eine in ihrer Identität bestimmte oder zumindest bestimmbare Person zurückgeführt werden können, und dass diese Daten weiters geheim gehalten werden können (ibid zu Abs. 1, S. 2f).

Gegenständlich geht es um die Frage, ob der Beschwerdeführer in einem Mindestsicherungsverfahren im internen Gebrauch durch die Zuweisung einer Aktenzahl mit inkludiertem Geburtsdatum und durch deren automationsunterstützte Verarbeitung den XXXX verletzt hat.

Zum Argument des Beschwerdeführers, dass für sich alleine ein Rückschluss von der Aktenzahl mit inkludiertem Geburtsdatum keinen Personenbezug zulassen würde, ist Folgendes zu sagen: Bei dem in der Aktenzahl enthaltenen Geburtsdatum ist ein mittelbarer Personenbezug zu XXXX zwar nach obigen Grundsätzen des Grundrechts möglich, aber es liegt kein unmittelbarer Personenbezug vor.

Im Rahmen der anzuwendenden DSGVO sind folgende Grundsätze maßgebend:

Personenbezogene Daten müssen laut einem Grundsatz für deren Verarbeitung nach Art. 5 Abs. 1 lit. c) DSGVO dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung").

Im Erwägungsgrund (39) zu dieser Bestimmung wird angeführt: "Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das notwendige Maß beschränkt sein. (...) Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann."

Die Verarbeitung personenbezogener Daten ist gemäß Art. 6 Abs. 1 lit. e) DSGVO u.a. nur rechtmäßig, wenn sie "für die Wahrnehmung einer Aufgabe erforderlich" ist, "die im öffentlichen Interesse liegt" und "die dem Verantwortlichen übertragen wurde".

Im Erwägungsgrund (40) zu der Bestimmung des Art. 6 wird angeführt:

"Damit die Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden, wie sich aus dieser Verordnung oder wann immer in dieser Verordnung darauf Bezug genommen wird, aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedsstaaten ergibt, so unter anderem auf der Grundlage, dass sie zur Erfüllung der rechtlichen Verpflichtung, der der Verantwortliche unterliegt, oder zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vor vertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, erforderlich ist."

Gemäß Art. 6 Abs. 3 DSGVO wird die Rechtsgrundlage für die Verarbeitungen gemäß Abs. 1 lit. c) und lit. e) durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt. Der Zweck der Verarbeitung muss hinsichtlich der lit. e) für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

In den - oben unter 3.3.2. schon erwähnten - Bestimmungen des § 39 Abs. 2 und § 39a Abs. 2 Sbg MSG ist das Geburtsdatum als eines von mehreren personenbezogenen Daten festgelegt, das vom Beschwerdeführer als datenschutzrechtlich Verantwortlicher zum Zweck der Leistungszuerkennung verarbeitet werden darf. Durch die Ermächtigung zur Verarbeitung des Geburtsdatums in diesen Gesetzesbestimmungen hat der Gesetzgeber bereits eine Interessenabwägung zugunsten des Verantwortlichen getroffen.

Die ins Treffen geführten Argumente des Beschwerdeführers, die Verwendung einer Aktenzahl mit inkludiertem Geburtsdatum sei in einem Mindestsicherungsverfahren - auch im Interesse der Antragsteller bzw. Leistungsempfänger - zur leichteren (und damit auch rascheren) Bearbeitung und zur Vermeidung von Verwechslungen bei Namensgleichheit geboten, sind überzeugend und nachvollziehbar. Somit dient die Führung einer Aktenzahl mit inkludiertem Geburtsdatum zum ausschließlich internen Gebrauch der leichteren Bearbeitung und damit der rascheren Leistungszuerkennung iS dieser Gesetzesbestimmungen.

Da die Verwendung einer Aktenzahl mit inkludiertem Geburtsdatum gegenständlich der rascheren Leistungszuerkennung iSd Salzburger Mindestsicherungsverfahrens dient, ist sie auch als angemessen iSd Grundsatzes der Datenminimierung nach Art. 5 Abs. 1 lit. c) DSGVO anzusehen.

Die Bestimmung des § 39c Abs. 1 Sbg MSG schreibt fest, dass die Verarbeitung personenbezogener Daten gemäß § 39 Abs. 2 und § 39a Abs. 2 Sbg MSG "als im allgemeinen öffentlichen Interesse" zu gelten hat.

Die Zuweisung einer Aktenzahl mit inkludiertem Geburtsdatum und deren automationsunterstützte Verarbeitung ist auf dieser Grundlage für die Wahrnehmung der Aufgabe des Beschwerdeführers im öffentlichen Interesse (hier: das Salzburger Mindestsicherungsverfahren) nach Art. 6 Abs. 1 lit. e) und Abs. 3 DSGVO als erforderlich anzusehen.

Unter Berücksichtigung der angeführten Grundsätze der DSGVO kommt der Senat - im Gegensatz zur Datenschutzbehörde - folglich zum Ergebnis, dass der Beschwerdeführer den XXXX in einem Mindestsicherungsverfahren durch die Zuweisung der Aktenzahl, in der dessen Geburtsdatum enthalten ist, und durch deren automationsunterstützte Verarbeitung im internen Gebrauch nicht im Grundrecht auf Geheimhaltung von personenbezogenen Daten verletzt hat.

Da dem Spruchteil 1. des o.a. Teilbescheides aus den dargelegten Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG anhaftet, war der dagegen erhobenen Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF mit der Maßgabe Folge zu geben, dass dieser Spruchteil spruchgemäß zu lauten hat.

3.4. Zu A) Spruchteil II. (Beschluss):

Der (vom Beschwerdeführer auch) angefochtene Spruchteil 2. des o.a. Teilbescheides richtet sich - wie sich aus dessen Wortlaut eindeutig ergibt - nicht an den Beschwerdeführer, sondern an das Amt der Salzburger Landesregierung (= Zweitbeschwerdegegner vor der Datenschutzbehörde).

Da der angefochtene Spruchteil 2. des o.a. Teilbescheides gegenüber dem Beschwerdeführer nicht ergangen ist, kommt diesem keine Beschwerdelegitimation zu (VwGH 11.01.2016, Zl. Ra 2015/16/0132-3, S. 5).

Die Beschwerde war daher hinsichtlich des Spruchteiles 2. gemäß § 28 Abs. 1 VwGVG als unzulässig zurückzuweisen.

3.5. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Der Beschwerdeführer hat gegenständlich keinen Antrag auf Durchführung einer öffentlichen mündlichen Verhandlung gestellt.

Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 VwGVG abzusehen.

3.6. Es war daher spruchgemäß zu entscheiden.

3.7. Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Entscheidung weicht nicht von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes zum DSG 2000 ab. Dem Fehlen einer Rechtsprechung des Verwaltungsgerichtshofes zur neuen seit 25.05.2018 geltenden Rechtslage nach dem DSG und der DSGVO kommt gegenständlich keine Bedeutung zu.

Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.