Verwaltungsgerichtshof (VwGH)

Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak, die Hofrätin Mag. Hainz-Sator und den Hofrat Dr. Pürgy als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Mag. F G in W, vertreten durch Dr. Thomas Schweiger, Rechtsanwalt in 4020 Linz, Huemerstraße 1/Kaplanhofstraße 2, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 27. Juni 2024, Zl. W176 2248629-1/17E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; mitbeteiligte Partei: D Ges.m.b.H., W; weitere Partei: Bundesministerin für Justiz), den Beschluss gefasst:

Die Revision wird zurückgewiesen.

5

Ausgehend von diesem Sachverhalt folgerte das Verwaltungsgericht in rechtlicher Hinsicht, die Mitbeteiligte sei gemäß der Definition in Art. 4 Abs. 7 DSGVO als datenschutzrechtlich Verantwortliche zu qualifizieren. Gemäß § 1 Abs. 1 DSG habe jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran bestehe. Nach § 1 Abs. 2 DSG seien Beschränkungen des Geheimhaltungsanspruchs nur zulässig, wenn die Verwendung personenbezogener Daten im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolge, oder zur Wahrung überwiegender berechtigter Interessen eines anderen, und zwar bei Eingriffen einer staatlichen Behörde nur bei Vorhandensein einer qualifizierten gesetzlichen Grundlage. Würden besondere Kategorien von Daten iSd. Art. 9 Abs. 1 DSGVO verarbeitet, wozu ua. Gesundheitsdaten gehörten, müsse ein Erlaubnistatbestand des Art. 9 Abs. 2 DSGVO vorliegen. Ein Verstoß gegen Art. 5, 6 und 9 DSGVO führe zu einer Verletzung des § 1 Abs. 1 DSG. Es sei unbestritten, dass gegenständlich eine Verarbeitung einer besonderen Kategorie von Daten gemäß Art. 9 Abs. 1 DSGVO vorliege. Als Gesundheitsdaten würden nämlich „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person [...] beziehen und aus denen Informationen über den Gesundheitszustand hervorgehen“ (Art. 4 Z 15 DSGVO), gelten.Ausgehend von diesem Sachverhalt folgerte das Verwaltungsgericht in rechtlicher Hinsicht, die Mitbeteiligte sei gemäß der Definition in Artikel 4, Absatz 7, DSGVO als datenschutzrechtlich Verantwortliche zu qualifizieren. Gemäß Paragraph eins, Absatz eins, DSG habe jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran bestehe. Nach Paragraph eins, Absatz 2, DSG seien Beschränkungen des Geheimhaltungsanspruchs nur zulässig, wenn die Verwendung personenbezogener Daten im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolge, oder zur Wahrung überwiegender berechtigter Interessen eines anderen, und zwar bei Eingriffen einer staatlichen Behörde nur bei Vorhandensein einer qualifizierten gesetzlichen Grundlage. Würden besondere Kategorien von Daten iSd. Artikel 9, Absatz eins, DSGVO verarbeitet, wozu ua. Gesundheitsdaten gehörten, müsse ein Erlaubnistatbestand des Artikel 9, Absatz 2, DSGVO vorliegen. Ein Verstoß gegen Artikel 5, 6, und 9 DSGVO führe zu einer Verletzung des Paragraph eins, Absatz eins, DSG. Es sei unbestritten, dass gegenständlich eine Verarbeitung einer besonderen Kategorie von Daten gemäß Artikel 9, Absatz eins, DSGVO vorliege. Als Gesundheitsdaten würden nämlich „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person [...] beziehen und aus denen Informationen über den Gesundheitszustand hervorgehen“ (Artikel 4, Ziffer 15, DSGVO), gelten.

6

Eine Verarbeitung des MRT-Befundes der Revisionswerberin wäre daher nur dann möglich, wenn eine Ausnahme des Art. 9 Abs. 2 DSGVO vom Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO vorläge. Die Mitbeteiligte könne sich nicht auf eine ausdrückliche Einwilligung der Revisionswerberin zur Datenverarbeitung gemäß Art. 9 Abs. 2 lit. a DSGVO berufen, weil deren kognitive Einschränkung dem ärztlichen Team bekannt gewesen sei.Eine Verarbeitung des MRT-Befundes der Revisionswerberin wäre daher nur dann möglich, wenn eine Ausnahme des Artikel 9, Absatz 2, DSGVO vom Verarbeitungsverbot des Artikel 9, Absatz eins, DSGVO vorläge. Die Mitbeteiligte könne sich nicht auf eine ausdrückliche Einwilligung der Revisionswerberin zur Datenverarbeitung gemäß Artikel 9, Absatz 2, Litera a, DSGVO berufen, weil deren kognitive Einschränkung dem ärztlichen Team bekannt gewesen sei.

7

Des Weiteren sei gemäß Art. 6 Abs. 1 lit. d DSGVO eine Verarbeitung rechtmäßig, wenn sie erforderlich sei, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen. Würden besondere Kategorien von Daten iSd. Art. 9 Abs. 1 DSGVO verarbeitet, sei die Verarbeitung zulässig, wenn sie zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich sei und die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande sei, ihre Einwilligung zu geben (Art. 9 Abs. 2 lit. c DSGVO). Da die Voraussetzungen gemäß Art. 9 Abs. 2 lit. c DSGVO strenger seien, erübrige sich die nähere Prüfung der dortigen Voraussetzungen, sofern die Voraussetzungen gemäß Art. 6 Abs. 1 lit. d DSGVO nicht erfüllt seien.Des Weiteren sei gemäß Artikel 6, Absatz eins, Litera d, DSGVO eine Verarbeitung rechtmäßig, wenn sie erforderlich sei, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen. Würden besondere Kategorien von Daten iSd. Artikel 9, Absatz eins, DSGVO verarbeitet, sei die Verarbeitung zulässig, wenn sie zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich sei und die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande sei, ihre Einwilligung zu geben (Artikel 9, Absatz 2, Litera c, DSGVO). Da die Voraussetzungen gemäß Artikel 9, Absatz 2, Litera c, DSGVO strenger seien, erübrige sich die nähere Prüfung der dortigen Voraussetzungen, sofern die Voraussetzungen gemäß Artikel 6, Absatz eins, Litera d, DSGVO nicht erfüllt seien.

8

Der Rechtfertigungsgrund gemäß Art. 6 Abs. 1 lit. d DSGVO sei dabei eng auszulegen (Hinweis auf OGH 27.11.2019, 6 Ob 150/19f;). Zudem sei die Anwendbarkeit von Art. 6 Abs. 1 lit. d DSGVO auf Fälle zu beschränken, in welchen eine konkrete Gefahrensituation vorliege, weshalb vorbeugende Datenverarbeitungen nicht erfasst seien. Der Schutz von lebenswichtigen Interessen betroffener Personen könne vor allem bei Unfällen oder in anderen Notsituationen vorliegen. Vor dem Hintergrund der Beispiele aus Judikatur und Literatur könne im vorliegenden Fall nicht von einem medizinischen Notfall als Rechtfertigungsgrund für die Datenverarbeitung gesprochen werden.Der Rechtfertigungsgrund gemäß Artikel 6, Absatz eins, Litera d, DSGVO sei dabei eng auszulegen (Hinweis auf OGH 27.11.2019, 6 Ob 150/19f;). Zudem sei die Anwendbarkeit von Artikel 6, Absatz eins, Litera d, DSGVO auf Fälle zu beschränken, in welchen eine konkrete Gefahrensituation vorliege, weshalb vorbeugende Datenverarbeitungen nicht erfasst seien. Der Schutz von lebenswichtigen Interessen betroffener Personen könne vor allem bei Unfällen oder in anderen Notsituationen vorliegen. Vor dem Hintergrund der Beispiele aus Judikatur und Literatur könne im vorliegenden Fall nicht von einem medizinischen Notfall als Rechtfertigungsgrund für die Datenverarbeitung gesprochen werden.

9

Die Verarbeitung besonderer Kategorien von Daten iSd. Art. 9 Abs. 1 DSGVO sei ua. zulässig, wenn sie für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich sei (Art. 9 Abs. 2 lit. h DSGVO). Gesundheitsdaten dürften zu diesen Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliege, oder wenn die Verarbeitung durch eine andere Person erfolge, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliege.Die Verarbeitung besonderer Kategorien von Daten iSd. Artikel 9, Absatz eins, DSGVO sei ua. zulässig, wenn sie für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich sei (Artikel 9, Absatz 2, Litera h, DSGVO). Gesundheitsdaten dürften zu diesen Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliege, oder wenn die Verarbeitung durch eine andere Person erfolge, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliege.

11

Es lägen keine Anhaltspunkte für die Annahme vor, dass die in Art. 9 Abs. 3 DSGVO genannten Bedingungen und Garantien nicht eingehalten worden seien. Aufgrund der Rechtsgrundlagen im MTD-Gesetz sei die Mitbeteiligte ermächtigt gewesen, dem Rehabilitationszentrum als Sonderkrankenanstalt der BVAEB, wo die Revisionswerberin medizinisch behandelt worden sei, die für die Behandlung erforderlichen Auskünfte über die von ihr gesetzten Maßnahmen zu erteilen. Die Übermittlung des MRT-Befundes an das Rehabilitationszentrum sei erforderlich gewesen, um den Gesundheitszustand und den weiteren Behandlungsverlauf der Revisionswerberin im physiotherapeutischen Anschlussheilverfahren einschätzen bzw. planen zu können. Angehörige der gehobenen medizinisch-technischen Dienste hätten das Wohl und die Gesundheit der Patienten und Klienten unter Einhaltung der hiefür geltenden Vorschriften und nach Maßgabe der fachlichen und wissenschaftlichen Erkenntnisse und Erfahrungen zu wahren (§ 11 Abs. 1 MTD-Gesetz). Auch habe die Revisionswerberin in ihrer Beschwerde angeführt, dass der Befund zeitlich adäquat ohne Beeinträchtigung der Behandlung durch ihre Vertreter hätte erbracht werden können. Dieser Umstand und der pauschale Verweis, dass der Befund nicht medizinisch erforderlich gewesen sei, seien nicht geeignet, um die Begründung der Mitbeteiligten, welche sich auf die Einschätzung der behandelnden Ärzte im Rehabilitationszentrum beziehe, zu entkräften. Entsprechendes gelte für das Vorbringen der Revisionswerberin, dass der schriftliche Befund allenfalls sekundär sei und primär zur Befundung stets die Bilder herangezogen würden.Es lägen keine Anhaltspunkte für die Annahme vor, dass die in Artikel 9, Absatz 3, DSGVO genannten Bedingungen und Garantien nicht eingehalten worden seien. Aufgrund der Rechtsgrundlagen im MTD-Gesetz sei die Mitbeteiligte ermächtigt gewesen, dem Rehabilitationszentrum als Sonderkrankenanstalt der BVAEB, wo die Revisionswerberin medizinisch behandelt worden sei, die für die Behandlung erforderlichen Auskünfte über die von ihr gesetzten Maßnahmen zu erteilen. Die Übermittlung des MRT-Befundes an das Rehabilitationszentrum sei erforderlich gewesen, um den Gesundheitszustand und den weiteren Behandlungsverlauf der Revisionswerberin im physiotherapeutischen Anschlussheilverfahren einschätzen bzw. planen zu können. Angehörige der gehobenen medizinisch-technischen Dienste hätten das Wohl und die Gesundheit der Patienten und Klienten unter Einhaltung der hiefür geltenden Vorschriften und nach Maßgabe der fachlichen und wissenschaftlichen Erkenntnisse und Erfahrungen zu wahren (Paragraph 11, Absatz eins, MTD-Gesetz). Auch habe die Revisionswerberin in ihrer Beschwerde angeführt, dass der Befund zeitlich adäquat ohne Beeinträchtigung der Behandlung durch ihre Vertreter hätte erbracht werden können. Dieser Umstand und der pauschale Verweis, dass der Befund nicht medizinisch erforderlich gewesen sei, seien nicht geeignet, um die Begründung der Mitbeteiligten, welche sich auf die Einschätzung der behandelnden Ärzte im Rehabilitationszentrum beziehe, zu entkräften. Entsprechendes gelte für das Vorbringen der Revisionswerberin, dass der schriftliche Befund allenfalls sekundär sei und primär zur Befundung stets die Bilder herangezogen würden.

Das Vorbringen, dass private oder öffentliche Krankenversicherungen nicht unter Art. 9 Abs. 2 lit. h DSGVO fielen, gehe ins Leere, weil sich die vorliegende Datenschutzbeschwerde nicht gegen den Sozialversicherungsträger richte. Die Ausführungen zur „gesetzlichen Interessensabwägung“ könnten keine unzulässige Verarbeitung begründen, da im vorliegenden Fall eine qualifizierte gesetzliche Grundlage iSd. DSGVO vorliege. Zusammengefasst sei die Übermittlung des MRT-Befundes gemäß Art. 9 Abs. 2 lit. h DSGVO zulässig gewesen, weil sie für die medizinische Diagnostik, die Versorgung bzw. Behandlung im Gesundheitsbereich auf der Grundlage des MTD-Gesetz erforderlich gewesen sei. Im Ergebnis könne die Mitbeteiligte ihre Rechtfertigung hinsichtlich der gegenständlichen Verarbeitung von Gesundheitsdaten der Revisionswerberin auf die Bestimmungen über die Zwecke der medizinischen Diagnostik, der Versorgung oder Behandlung im Gesundheitsbereich gemäß § 11b Abs. 2 MTD-Gesetz iVm Art. 9 Abs. 2 lit. h DSGVO stützen.Das Vorbringen, dass private oder öffentliche Krankenversicherungen nicht unter Artikel 9, Absatz 2, Litera h, DSGVO fielen, gehe ins Leere, weil sich die vorliegende Datenschutzbeschwerde nicht gegen den Sozialversicherungsträger richte. Die Ausführungen zur „gesetzlichen Interessensabwägung“ könnten keine unzulässige Verarbeitung begründen, da im vorliegenden Fall eine qualifizierte gesetzliche Grundlage iSd. DSGVO vorliege. Zusammengefasst sei die Übermittlung des MRT-Befundes gemäß Artikel 9, Absatz 2, Litera h, DSGVO zulässig gewesen, weil sie für die medizinische Diagnostik, die Versorgung bzw. Behandlung im Gesundheitsbereich auf der Grundlage des MTD-Gesetz erforderlich gewesen sei. Im Ergebnis könne die Mitbeteiligte ihre Rechtfertigung hinsichtlich der gegenständlichen Verarbeitung von Gesundheitsdaten der Revisionswerberin auf die Bestimmungen über die Zwecke der medizinischen Diagnostik, der Versorgung oder Behandlung im Gesundheitsbereich gemäß Paragraph 11 b, Absatz 2, MTD-Gesetz in Verbindung mit Artikel 9, Absatz 2, Litera h, DSGVO stützen.

Vor dem Hintergrund dieser Anforderungen reicht das Vorbringen der Revision zu ihrer Zulässigkeit, in der bloß die Rechtsprechung des Verwaltungsgerichtshofes anhand von Geschäftszahlen zitiert wird, ohne eine Rechtfrage zu benennen oder einen konkreten Fallbezug darzustellen, nicht aus, um dem Erfordernis der konkreten Darlegung der Rechtsfrage grundsätzlicher Bedeutung nach § 28 Abs. 3 VwGG zu genügen.Vor dem Hintergrund dieser Anforderungen reicht das Vorbringen der Revision zu ihrer Zulässigkeit, in der bloß die Rechtsprechung des Verwaltungsgerichtshofes anhand von Geschäftszahlen zitiert wird, ohne eine Rechtfrage zu benennen oder einen konkreten Fallbezug darzustellen, nicht aus, um dem Erfordernis der konkreten Darlegung der Rechtsfrage grundsätzlicher Bedeutung nach Paragraph 28, Absatz 3, VwGG zu genügen.

Wien, am 26. November 2024