VwGH vom 25.06.2013, 2010/17/0008
Betreff
Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Holeschofsky, die Hofrätinnen Mag. Dr. Zehetner und Mag. Nussbaumer-Hinterauer sowie den Hofrat Mag. Straßegger und die Hofrätin Dr. Leonhartsberger als Richter, im Beisein der Schriftführerin Mag. Fries, über die Beschwerde des HU in B, vertreten durch Dr. Gernot Kerschhackel, Rechtsanwalt in 2500 Baden, Wiener Straße 44-46/1/11, gegen den Bescheid der Datenschutzkommission beim Bundeskanzleramt vom , Zl. K121.532/0013-DSK/2009, betreffend Verletzung des Rechts auf Geheimhaltung durch Datenübermittlung, zu Recht erkannt:
Spruch
Der angefochtene Bescheid wird im bekämpften Umfang (Spruchpunkt 2.) wegen Rechtswidrigkeit infolge Verletzung von Verfahrensvorschriften aufgehoben.
Der Bund hat dem Beschwerdeführer Aufwendungen in der Höhe von EUR 1.326,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen. Das Mehrbegehren wird abgewiesen.
Begründung
1.1. Mit Formular vom , bei der belangten Behörde am eingelangt, richtete der Beschwerdeführer eine Beschwerde an die belangte Behörde, in der er eine Verletzung im Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten geltend machte.
Begründend führte er insbesondere aus, zwischen der Stadtgemeinde B. und der Krankenfürsorgeanstalt der Beamten der Stadtgemeinde B. (im Folgenden: KFA) bestehe Personalunion. Der dadurch zwischen Arbeitgeber und gesetzlicher Krankenversicherung fließende Wissensstand über sensible Daten sei untragbar und werde auch gegen den Dienstnehmer verwendet.
In einem Begleitschreiben führte er diesen Beschwerdegrund näher aus und monierte weiters, sein Arbeitgeber habe "dienstrechtliche Daten" an ärztliche Sachverständige, Inhalte einer Disziplinaranzeige an Kollegen und andere Behörden sowie Inhalte eines Gutachtens an Kollegen und Sachverständige weitergeleitet. Der Beschwerde wurden zahlreiche Beilagen angeschlossen.
1.2. Die belangte Behörde erteilte dem Beschwerdeführer den Verbesserungsauftrag, seine Beschwerde in näher bezeichneten Punkten zu präzisieren sowie - unter Hinweis auf die gesetzlichen Verjährungsbestimmungen - aktuelle Bescheinigungsmittel beizubringen.
Mit Schriftsatz vom führte der Beschwerdeführer seine Beschwerde ergänzend aus und legte weitere - auch jüngere - Bescheinigungsmittel vor.
Mit Beschwerdeformular vom machte der Beschwerdeführer unter ausdrücklicher Bezugnahme auf das bereits anhängige Beschwerdeverfahren ergänzend die Verletzung seines Rechts auf Geheimhaltung schutzwürdiger personenbezogener Daten mit folgender Begründung geltend:
"Eine Bestätigung meines Hausarztes adressiert an die KFA B. (zuständige Kasse) in einem Kuvert handschriftlich von mir adressiert an "KFA B., (…)", wurde offensichtlich vom Dienstgeber geöffnet, kopiert, mit handschriftlichem Vermerk des Stadtamtsdirektors versehen und in meinem Pensionsakt abgelegt. Meiner Gattin wurde mein "Pensionsakt" am in Vollmacht und meinem Auftrag kopiert durch das Personalamt übergeben. Es wurden somit nachweislich besonders sensible, schützenswürdige, personenbezogene Daten ohne meine Zustimmung und Wissen weitergegeben oder beschafft. Die Stadtgemeinde B. beschafft sich ständig widerrechtlich aus den KFA-Akten personenbezogene Daten."
Die entsprechende ärztliche Bestätigung mit dem handschriftlichen Vermerk legte der Beschwerdeführer bei.
1.3. Mit dem angefochtenen Bescheid wies die belangte Behörde unter Spruchpunkt 1. die Beschwerde vom hinsichtlich der behaupteten Rechtsverletzung durch 1. Weitergabe der Inhalte einer Disziplinaranzeige an Kollegen und andere Behörden und
2. unrichtige Wiedergabe der Inhalte eines Gutachtens der NÖ Gleichbehandlungskommission an Kollegen und Sachverständige wegen Mangelhaftigkeit zurück. Mit Spruchpunkt 2. wies die belangte Behörde die Beschwerde hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung durch Verwendung der Mitarbeiter der Beschwerdegegnerin in Personalunion sowohl für Personalangelegenheiten sowie für Angelegenheiten der Krankenfürsorge gemäß §§ 1 Abs. 1 und 2 sowie 31 Abs. 2 Datenschutzgesetz 2000 (im Folgenden: DSG 2000) ab.
Begründend führte die belangte Behörde hinsichtlich des 1. Spruchpunktes aus, der Beschwerdeführer sei einem diesbezüglichen Verbesserungsauftrag nicht nachgekommen, weshalb die Beschwerde in diesem Umfang gemäß § 13 Abs. 3 AVG zurückzuweisen gewesen sei.
Hinsichtlich des 2. Spruchpunktes führte die belangte Behörde aus, dass die Tatsache der Personalunion hinsichtlich der Mitarbeiter der Stadtgemeinde B. in Angelegenheiten der Personalverwaltung wie auch in solchen der Krankenfürsorge an sich nicht strittig sei. Konkrete rechtswidrige Datenweitergaben vom Aufgabengebiet "Krankenfürsorge" an das Aufgabengebiet "Personalverwaltung" oder umgekehrt, derentwegen der Beschwerdeführer im Recht auf Geheimhaltung verletzt sein könnte, habe der Beschwerdeführer aber gar nicht zum Gegenstand des Verfahrens gemacht. § 31 Abs. 2 DSG 2002 setze das Vorliegen eines Sachverhalts voraus, bei dem in concreto Daten des Beschwerdeführers in unzulässiger Weise verwendet worden seien. Die Beseitigung einer durch Personalunion möglicherweise datenschutzrechtlich gefährdenden Situation wäre vielmehr in einem Verfahren nach § 30 DSG 2000 zu betreiben, wo Abhilfe durch die Erlassung einer entsprechenden Empfehlung geschaffen werden könne. Über die allfällige Einleitung eines amtswegigen Verfahrens nach § 30 DSG 2000 werde die Datenschutzkommission gesondert befinden.
1.4. Gegen diesen Bescheid richtet sich die vorliegende Beschwerde, die sich inhaltlich ausschließlich gegen Spruchpunkt 2. des angefochtenen Bescheides (Abweisung der Beschwerde) richtet. Die Beschwerde macht Rechtswidrigkeit des Inhaltes und Rechtswidrigkeit infolge Verletzung von Verfahrensvorschriften geltend und enthält den Antrag auf Zuerkennung von Kosten für "Schriftsatzaufwand" und "Verfahrensaufwand".
1.5. Die belangte Behörde legte die Verwaltungsakten vor und beantragte die kostenpflichtige Abweisung der Beschwerde als unbegründet.
2. Der Verwaltungsgerichtshof hat erwogen:
2.1. Die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281, Seite 31 ff) gilt gem. deren Art. 3 Abs. 1 für die nicht automatisierte Verarbeitung personenbezogener Daten nur, soweit diese in einer Datei gespeichert sind oder gespeichert werden sollen. Unter "Datei" ist gem. Art. 2 lit. c leg. cit. jede strukturierte Sammlung personenbezogener Daten zu verstehen, die nach bestimmten Kriterien zugänglich sind, gleichgültig, ob diese Sammlung zentral, dezentralisiert oder nach funktionalen oder geographischen Gesichtspunkten aufgeteilt geführt wird. Dazu führt der 27. Erwägungsgrund der Richtlinie aus, die Richtlinie erfasse bei manuellen Verarbeitungen lediglich Dateien, nicht jedoch unstrukturierte Akten. Akten und Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien strukturiert seien, fielen unter keinen Umständen in den Anwendungsbereich dieser Richtlinie.
Verfahrensgegenständlich bezieht sich die behauptete Verletzung der Geheimhaltung personenbezogener Daten ausschließlich auf Papierakten(teile). Akten stellen in der Regel keine manuellen Dateien im Sinne des DSG (das inhaltlich vom gleichen Dateibegriff wie die genannten Richtlinie ausgeht; s. § 4 Z 6 DSG) dar (vgl. z.B. die hg. Erkenntnisse vom , Zl. 2004/06/0086, und vom , Zl. 2004/06/0073). Besondere Umstände, die im konkreten Fall eine andere Beurteilung herbeiführen könnten, sind nicht ersichtlich.
Auf den vorliegenden Fall ist daher die Richtlinie 95/46/EG nicht anwendbar. Die mangelhafte Umsetzung dieser Richtlinie im Hinblick auf die dort in Art. 28 Abs. 1 Unterabs. 2 angesprochene Kontrollstelle für den Schutz personenbezogener Daten, die die ihr zugewiesene Aufgabe "in völliger Unabhängigkeit" wahrzunehmen habe, führt daher - infolge der Nichtanwendbarkeit der Richtlinie -
nicht zur Unzuständigkeit der belangten Behörde (wie sie im hg. Erkenntnis vom , Zl. 2011/17/0156, anzunehmen war).
2.2. Die Beschwerde erweist sich als begründet:
Die Verfassungsbestimmung des § 1 Abs. 1 Datenschutzgesetz 2000 (DSG) lautet:
"Artikel 1
(Verfassungsbestimmung)
Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind."
Der Geheimhaltungsanspruch des DSG stellt weder auf den unter Pkt. 2.1. genannten Dateibegriff noch darauf ab, ob personenbezogene Daten automationsunterstützt verarbeitet werden. Sämtliche personenbezogenen Daten - d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten -
sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Ermittlung dieser Daten unzulässig (vgl. Jahnel/Siegwart/Fercher , "Allgemeine Begriffsbestimmungen", S. 26, in Jahnel/Siegwart/Fercher , "Aktuelle Fragen des Datenschutzrechts").
Ausgehend von den Feststellungen der belangten Behörde im angefochtenen Bescheid und im Einklang mit dem Akteninhalt legte der Beschwerdeführer zum Beweis für die behauptete Rechtsverletzung innerhalb der Frist des § 34 DSG 2000 vier Schreiben der Personalabteilung der Stadtgemeinde B. an verschiedene Fachärzte mit dem Ersuchen um Erstellung medizinischer Gutachten zur Dauer der Dienstunfähigkeit des Beschwerdeführers sowie ein eine Diagnose enthaltendes Schreiben eines behandelnden Arztes des Beschwerdeführers an die Krankenfürsorge vom im Hinblick auf einen Krankenstand im Juli 2009 vor. Obwohl die belangte Behörde diese Umstände als "Sachverhalt" feststellte, setzte sie sich in weiterer Folge damit nicht auseinander, obzwar der Beschwerdeführer im Hinblick auf das zuletzt genannte Schreiben eines behandelnden Arztes ausdrücklich angegeben hatte, dass dieses an die Krankenfürsorge gerichtet gewesen sei, er es aber in dem seiner Gattin vom Personalamt in Kopie ausgefolgten "Pensionsakt" vorgefunden habe.
Weder lassen sich dem angefochtenen Bescheid Ermittlungsergebnisse zur Frage entnehmen, wie das an die Krankenkasse gerichtete Schreiben in den bei der Personalabteilung aufliegenden "Pensionsakt" des Beschwerdeführers gelangte, noch legte die belangte Behörde in nachvollziehbarer Weise dar, warum das unter Vorlage eines Beweismittels erstattete Vorbringen des Beschwerdeführers von vornherein keine Behauptung einer Verletzung im Recht auf Geheimhaltung durch eine konkrete Datenübermittlung darstellen könnte (wovon sie in ihrer rechtlichen Beurteilung ausging).
Auch eine Auseinandersetzung mit dem Vorwurf der widerrechtlichen Weitergabe personenbezogener Daten (soweit diese nicht für die Gutachtenserstellung relevant sind) an Sachverständige im Rahmen von vier Gutachtensaufträgen der Personalabteilung der Stadtgemeinde B. an verschiedene Fachärzte unterblieb. Es ist anhand dieses - bereits in der Beschwerde an die belangte Behörde erhobenen - Vorwurfs auch nicht nachvollziehbar, warum die belangte Behörde annahm, Beschwerdegegenstand sei nur die Frage, ob der Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung personenbezogener Daten verletzt worden sei, dass Mitarbeiter der Beschwerdegegnerin in Personalunion sowohl für Personalangelegenheiten sowie für Angelegenheiten der Krankenfürsorge seine personenbezogenen Daten verarbeitet hätten.
Nach § 60 AVG sind in der Begründung eines Bescheides die Ergebnisse des Ermittlungsverfahrens, die bei der Beweiswürdigung maßgebenden Erwägungen und die darauf gestützte Beurteilung der Rechtsfrage klar und übersichtlich zusammenzufassen. Kommt die Behörde dieser Begründungspflicht nicht nach, dann ist einerseits der Beschwerdeführer, da er über die Ergebnisse des Beweisverfahrens und die für die rechtliche Subsumtion maßgebenden Erwägungen keine Kenntnis erlangt, an der Verfolgung seiner Rechte gehindert, andererseits der Verwaltungsgerichtshof nicht in der Lage, die Prüfung des angefochtenen Bescheides auf die Rechtmäßigkeit seines Inhaltes vorzunehmen (vgl. z.B. die hg. Erkenntnisse vom , Zl. 94/10/0180, und vom , Zl. 2003/20/0349).
Indem die belangte Behörde sich mit dem konkreten Vorbringen des Beschwerdeführers zur behaupteten widerrechtlichen Weitergabe personenbezogener Daten und den dazu vorgelegten Beweismitteln nicht auseinander setzte und ohne nähere Begründung die Schlussfolgerung zog, der Beschwerdeführer habe eine konkrete rechtswidrige Datenweitergabe nicht zum Gegenstand des Verfahrens gemacht, begründete sie den angefochtenen Bescheid nicht in einer für den Verwaltungsgerichtshof nachvollziehbaren Weise und belastete ihn daher mit einem wesentlichen Verfahrensmangel.
Der angefochtene Bescheid war daher wegen Rechtswidrigkeit infolge Verletzung von Verfahrensvorschriften gemäß § 42 Abs. 2 Z. 3 lit. c VwGG aufzuheben.
Die Kostenentscheidung gründet sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2008, BGBl. II Nr. 455. Der Antrag des Beschwerdeführers auf Zuerkennung von "Verfahrensaufwand" (anhand des verzeichneten Betrages von EUR 1.383,-- wohl "Verhandlungsaufwand" gemeint) war abzuweisen, da eine Verhandlung nicht stattgefunden hat.
Wien, am