TE Vwgh Beschluss 2020/4/24 Ra 2017/04/0143

Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger sowie Hofrätin Mag. Hainz-Sator und Hofrat Dr. Pürgy als Richter, unter Mitwirkung der Schriftführerin Klima, LL.M., über die Revision der A F in K, vertreten durch Ing. Dr. Stefan Krall und Dr. Oliver Kühnl, Rechtsanwälte in 6020 Innsbruck, Anton-Melzer-Straße 9, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 20. April 2017, Zl. W214 2117640-1/42E, betreffend Anträge nach dem Datenschutzgesetz 2000 (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde), den Beschluss gefasst:

Die Revision wird zurückgewiesen.

1 1.1. Der Gemeindeverband B K ist Betreiber eines näher bezeichneten Krankenhauses und verwendet ein elektronisches Patientendokumentationssystem ("Patidok") zur Führung der Krankengeschichten der in seiner Anstalt behandelten Patienten. Die Revisionswerberin war in diesem Krankenhaus bis Juli 2016 angestellt. Sie unterzog sich im Jahr 2012 dort einem operativen Eingriff, in dessen Zusammenhang Gesundheitsdaten der Revisionswerberin im elektronischen Patientendokumentationssystem gespeichert wurden.

2 Die Revisionswerberin brachte in ihrer (am 12. August 2015 bei der Datenschutzbehörde eingelangten) Beschwerde gemäß § 31 Abs. 1 DSG 2000 vor, in ihrem Recht auf Auskunft verletzt zu sein, weil der Gemeindeverband B K ihr Auskunftsersuchen vom 22. August 2014 nur unvollständig beantwortet habe. Dieses betreffe die Übermittlung der Zugriffslisten auf ihre Gesundheitsdaten im Zeitraum 9. März 2014 bis einschließlich 22. August 2014.

3 1.2. Mit Bescheid vom 24. September 2015 wies die Datenschutzbehörde die Beschwerde der Revisionswerberin ab. 4 In der Begründung führte die Behörde aus, die Revisionswerberin habe in ihrem Auskunftsbegehren unmissverständlich zu erkennen gegeben, dass sie nur um Beauskunftung der durch andere Mitarbeiter des Gemeindeverbandes B K getätigten Zugriffe auf ihre Gesundheitsdaten ersucht habe. Dass Zugriffe durch außenstehende Dritte erfolgt bzw. abgefragte Daten an diese übermittelt worden wären, habe nicht festgestellt werden können.

5 Die Benennung konkreter Organwalter oder Bediensteter eines Auftraggebers, die Eintragungen oder Abfragen vorgenommen hätten, könne nur dann vom Auskunftsrecht nach § 26 DSG 2000 umfasst angesehen werden, wenn ein Betroffener hinreichend konkrete Hinweise habe, dass diese Personen ihn in seinen datenschutzrechtlichen Rechten verletzen würden bzw. verletzt hätten und er gegen diese die Durchsetzung seiner Rechte anstrengen wolle. Das müsse ein Betroffener jedoch gegenüber dem Auftraggeber im Auskunftsbegehren klar offenlegen. Der Auftraggeber könne nur so eine Abwägung vornehmen, ob das Recht auf Auskunft eines Betroffenen das Recht konkreter Organwalter oder Bediensteter auf Geheimhaltung überwiege. Die Revisionswerberin habe in ihrem Auskunftsbegehren jedoch keinen konkreten (namensbezogenen) Verdacht eines unzulässigen Zugriffs geäußert, sondern pauschal und ohne nähere Begründung eine Zugriffsliste angefordert.

6 2.1. Das Bundesverwaltungsgericht gab der dagegen erhobenen Beschwerde der Revisionswerberin mit dem angefochtenen Erkenntnis vom 11. Juli 2017 teilweise statt und sprach aus, dass der Spruch des angefochtenen Bescheides wie folgt zu lauten habe:

"Der Beschwerde wird teilweise stattgegeben und festgestellt, dass der Gemeindeverband (...) die (Revisionswerberin) in ihrem Recht auf Auskunft dadurch verletzt hat, dass er den unter der Kennung der (C G) vorgenommenen Zugriff auf die Dokumentenübersicht über die zur Person gespeicherte Krankengeschichte nicht beauskunftet hat."

Im Übrigen wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt A1.).

7 Die weiteren Anträge, die darauf gerichtet werden waren, eine Verletzung der Einhaltung der Datensicherheitsmaßnahmen festzustellen (lit. a), eine Erweiterung aller in Betracht kommenden Gegenstände im Verfahren vorzunehmen (lit. b), eine der Richtlinie 95/46/EG entsprechende Rechtsgrundlage zu schaffen (lit. c) und über die Höhe des Schadens, der der Revisionswerberin erwachsen sei oder noch erwachsen werde, zu urteilen (lit. d), wies das Bundesverwaltungsgericht mangels Zuständigkeit zurück (Spruchpunkt A2.).

8 Die ordentliche Revision an den Verwaltungsgerichtshof nach Art. 133 Abs. 4 B-VG wurde für nicht zulässig erklärt (Spruchpunkt B.).

9 2.2. In der Begründung stellte das Bundesverwaltungsgericht fest, dass der Gemeindeverband B K eine Zugriffsliste über den gewünschten Zeitraum übermittelt habe. Mit ihrem E-Mail vom 4. September 2014 an den Datenschutzbeauftragten des Krankenhauses habe die Revisionswerberin um Übermittlung der Originalzugriffsprotokolle mit Anführung von "ArbSt" und Programmelementen in tatsächlicher Reihenfolge ersucht. Am selben Tag sei vom Datenschutzbeauftragten mitgeteilt worden, dass es sich beim übermittelten Zugriffsprotokoll um das "original Zugriffsprotokoll" handle, das seit Mai 2014 in diesem Format bei Anfragen ausgehändigt und für Stichprobenkontrollen verwendet werde.

10 Die Zugriffslisten gäben nur Zugriffe auf geöffnete Dokumente, nicht aber auf die Dokumentenübersicht wieder. Einige der Zugriffe seien nicht von der genannten Person (C G) getätigt worden, sondern von einer anderen Bediensteten, die das Passwort der C G verwendet habe, das an sie von der Vertretung der C G weitergegeben worden sei. Die mittels Patientennavigator getätigten Zugriffe, die nur zu einer Vorschau auf die Dokumente führten, seien ebenfalls nicht enthalten und auf Grund eines Softwarefehlers gar nicht mitprotokolliert. Auf der Liste würden Zugriffe unter der Benutzerkennung der Revisionswerberin selbst und unter jener der C G aufscheinen. Letztere Zugriffe seien getätigt worden, um ein Schreiben der Tiroler Patientenvertretung zu beantworten. Es könne nicht festgestellt werden, dass außenstehende Dritte auf die Daten der Revisionswerberin zugegriffen hätten. Es seien jedoch Daten aus der Krankengeschichte der Revisionswerberin an die Tiroler Patientenvertretung übermitteln worden. Die Revisionswerberin habe dieser die Vollmacht erteilt, sie in ihrer Funktion als Patientenvertretung zu vertreten und nach deren Ermessen sämtliche Aufgaben im gesetzlichen Rahmen wahrzunehmen. Die Revisionswerberin habe mit dieser Vollmacht alle Angehörigen der Gesundheitsberufe gegenüber der Tiroler Patientenvertretung in Ausübung ihrer Tätigkeit von ihrer gesetzlichen Verschwiegenheitspflicht entbunden.

11 In rechtlicher Hinsicht führte das Bundesverwaltungsgericht zum Umfang des Auskunftsbegehrens - wie schon die Datenschutzbehörde - aus, dem Auskunftsbegehren gemäß § 26 DSG 2000 sei unmissverständlich zu entnehmen, dass die Revisionswerberin nur um Beauskunftung der durch andere Mitarbeiter des Gemeindeverbandes B K getätigten Zugriffe auf ihre Gesundheitsdaten ersucht habe. Dass diese Zugriffe durch außenstehende Dritte erfolgt seien, habe nicht festgestellt werden können.

12 Zur begehrten Beauskunftung interner Zugriffe verwies das Bundesverwaltungsgericht darauf, dass Abfragen durch Mitarbeiter des Auftraggebers, die sich innerhalb des ursprünglichen Aufgabengebietes bewegen, nicht der Auskunftspflicht gemäß § 26 DSG 2000 unterlägen, solange sie keine Übermittlungen im Sinn des § 4 Z 12 DSG 2000 darstellten. Im Übrigen sei auch nicht ersichtlich, dass im beauskunfteten Zeitraum Mitarbeiter im Rahmen des Aufgabengebietes zugegriffen hätten, weil lediglich Zugriffe unter der Benutzerkennung der Revisionswerberin selbst ersichtlich seien. Anders liege der Fall jedoch, wenn Daten für ein anderes Aufgabengebiet verwendet würden. Nach der Rechtsprechung des Verwaltungsgerichtshofes liege eine Übermittlung auch bei Abfragen für ein anderes Aufgabengebiet des Auftraggebers vor. Die unter der Kennung von C G durchgeführten Zugriffe seien tatsächlich für ein anderes Aufgabengebiet als zur Behandlung der Revisionswerberin, nämlich zur weiteren Übermittlung an die Tiroler Patientenvertretung, erfolgt. Soweit hier Dokumente geöffnet worden seien, habe man diese Zugriffe auch der Revisionswerberin beauskunftet. Der unter der Kennung von C G erfolgte Zugriff auf die Dokumentenübersicht der Krankengeschichte der Revisionswerberin sei dieser jedoch nicht beauskunftet worden. Insofern liege eine Verletzung des Auskunftsrechts der Revisionswerberin vor, weshalb der Beschwerde in diesem Punkt stattzugeben gewesen sei. Darüber hinausgehende Beauskunftungen über konkrete Empfänger der Daten seien deshalb nicht geboten gewesen, weil die Revisionswerberin ihr Auskunftsbegehren konkret auf die Vorlage einer Zugriffsliste begrenzt habe.

13 3. Nach Art. 133 Abs. 4 B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.

14 Gemäß § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Art. 133 Abs. 4 B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren in

nichtöffentlicher Sitzung mit Beschluss zurückzuweisen. 15 Nach § 34 Abs. 1a VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Art. 133 Abs. 4 B-VG an den Ausspruch des Verwaltungsgerichtes gemäß § 25a Abs. 1 VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 B-VG hat der Verwaltungsgerichtshof im Rahmen der dafür in der Revision vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen. 16 4. In der vorliegenden außerordentlichen Revision wird zur Begründung ihrer Zulässigkeit vorgebracht, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Frage, ob Listen, die Zugriffe von Mitarbeitern des Auftraggebers auf sensible Krankendaten enthalten, dem Auskunftsrecht des § 26 DSG 2000 unterliegen. Das zur Beurteilung von Protokolldaten ergangenen Erkenntnis VwGH 25.11.2008, 2005/06/0301, in dem es um die Löschung von manuell aufgezeichneten Daten gegangen sei, erweise sich im vorliegenden Fall als nicht einschlägig. Zur Auffassung des Bundesverwaltungsgerichts, dass die Zugriffe von Mitarbeitern auf Krankendaten ganz grundsätzlich nicht der Beauskunftung unterlägen, sondern interne Protokollereignisse seien, gäbe es bislang keine Rechtsprechung des Verwaltungsgerichtshofes. Diese Frage sei aber weit über den Einzelfall hinaus von grundsätzlicher Bedeutung. Wäre es nämlich nicht notwendig, die Zugriffe auf sensible Daten zu beauskunften, würde dem Datenmissbrauch durch neugierige Mitarbeiter des Auftraggebers Tür und Tor geöffnet. Mitarbeiter des Auftraggebers könnten auf diese Weise Kenntnis von Daten erlangen, ohne dass der Auskunftswerber hierüber Auskunft erhielte. Würde hingegen der Auftraggeber die Daten einem Dritten übermitteln oder innerhalb seiner Sphäre diese für ein anderes Aufgabengebiet verwenden, läge eine auskunftspflichtige Datenübermittlung vor. Folge man der unzutreffenden Auffassung des Bundesverwaltungsgerichts, würde die Pflicht zur Geheimhaltung sensibler Daten durch den Auftraggeber massiv aufgeweicht werde. Diese Rechtsfolge sei aus der Rechtsprechung des Verwaltungsgerichtshofes nicht zu erschließen. Die zu § 26 Abs. 1 DSG 2000 ergangene - näher bezeichnete - Rechtsprechung betreffe die gegenständliche Rechtsfrage nicht einmal im Ansatz. Die Lösung der Rechtsfrage sei gegenständlich aber maßgeblich, weil das Bundesverwaltungsgericht die Beschwerde auf Grund der Qualifizierung der von der begehrten Auskunft betroffenen Daten als schlichte Protokollereignisse abgewiesen habe. Bei richtiger Lösung der Rechtsfrage hätte das Bundesverwaltungsgericht aber der Beschwerde Folge geben müssen. Die vom Auskunftsbegehren betroffenen Daten stellten nämlich gerade keine Protokollereignisse, sondern die Revisionswerberin betreffende personenbezogene sensible Daten dar. Aus diesem Grund sei die außerordentliche Revision zulässig.

17 5. Die Revision übersieht mit ihrem Vorbringen, dass der Verwaltungsgerichtshof im Erkenntnis VwGH 28.4.2009, 2005/06/0194, zum Auskunftsrecht gemäß § 26 Abs. 1 DSG 2000 Folgendes ausgesprochen hat:

"Ausgehend davon, dass das in § 26 Abs. 1 dritter Satz DSG 2000 normierte, hier in Betracht kommende Recht auf Auskunft als Recht auf Anführung ‚allfällige(r) Empfänger oder Empfängerkreise von Übermittlungen' festgelegt ist, und in § 4 Z. 12 DSG 2000 das ‚Übermitteln von Daten' als ‚die Weitergabe von Daten einer Datenanwendung an andere Empfänger als den Betroffenen, den Auftraggeber oder einen Dienstleister, insbesondere auch das Veröffentlichen solcher Daten; darüber hinaus auch die Verwendung von Daten für ein anderes Aufgabengebiet des Auftraggebers' definiert ist, kann die Deutung des Ansuchens des Beschwerdeführers als Auskunftsbegehren nach § 26 Abs. 1 DSG 2000 durch die belangte Behörde und ihre Auffassung nicht als rechtswidrig erkannt werden, dass sich die Auskunftspflicht des § 26 Abs. 1 DSG 2000 nicht auf Abfragen von Daten durch Mitarbeiter desselben Finanzamtes bezog, jedenfalls soweit seine Daten nicht für ein anderes Aufgabengebiet des Auftraggebers (Finanzamtes) verwendet wurden. Es erscheint auch sachgerecht, das Vorliegen einer Übermittlung im Sinne des § 26 Abs. 1 DSG 2000 nur dann anzunehmen, wenn ein solches auch nach der Definition des § 4 Z. 12 DSG 2000 vorliegt. Allerdings liegt im Sinne dieser Gesetzesstelle ein ‚Übermitteln von Daten' auch dann vor, wenn Daten innerhalb der Sphäre ein und desselben Auftraggebers für ein anderes Aufgabengebiet des Auftraggebers verwendet werden."

18 Damit ist die von der Revision aufgeworfene Frage, ob Listen, die Zugriffe von Mitarbeitern des Auftraggebers auf sensible Krankendaten enthalten, dem Auskunftsrecht gemäß § 26 Abs. 1 DSG 2000 unterliegen oder es sich dabei bloß um "interne Protokollereignisse" handelt, bereits durch den Verwaltungsgerichtshof geklärt. Dass das Bundesverwaltungsgericht im vorliegenden Fall von dieser Rechtsprechung abgewichen wäre, wird von der Revision nicht aufgezeigt und ist auch nicht ersichtlich.

19 6. In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinn des Art. 133 Abs. 4 B-VG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.

Wien, am 24. April 2020