Aus dem Umstand, dass die Aufsichtsbehörde eine Stelle als Beschwerdegegnerin ansieht, ergibt sich nicht, dass diese Stelle auch tatsächlich die Verantwortliche für die zugrundeliegende Datenverarbeitung war.

Austria. Verwaltungsgerichtshof. Ausgangspunkt war eine Datenschutzbeschwerde im Zusammenhang mit sogenannten „Impferinnerungsschreiben“ im Zusammenhang mit der Covid-19-Pandemie, die an Bürger:innen in Tirol verschickt wurden. Inhalt des Impferinnerungsschreibens war eine Einladung zu einem Impftermin. Eine betroffene Person sah sich durch den Erhalt bzw die davor erfolgte Verarbeitung von personenbezogenen Daten im Recht auf Geheimhaltung verletzt. Die Beschwerde wurde von der betroffenen Person gegen die Tiroler Landesregierung als Verantwortliche für die Datenverarbeitung gerichtet.

Im Zuge des Verfahrens erklärte sich nicht die Landesregierung, sondern das Amt der Tiroler Landesregierung, das die Briefe auch versendet hatte, zum Verantwortlichen der damit verbundenen Datenverarbeitungen. Daraufhin führte die Aufsichtsbehörde das Verfahren gegen das Amt der Tiroler Landesregierung als Beschwerdegegner weiter und gab der Beschwerde statt. Die Aufsichtsbehörde stellte fest, dass die Datenverarbeitung ohne eine tragfähige gesetzliche Grundlage erfolgt sei und somit rechtswidrig war. Hiergegen erhob das Amt der Tiroler Landesregierung Parteibeschwerde und behauptete, dass das Verwaltungshandeln, insbesondere der Zugriff auf das Impfregister, nicht allein dem Amt, sondern dem Tiroler Landeshauptmann als oberstes Verwaltungsorgan zugerechnet werden müsse. Das Amt der Landesregierung sei lediglich Hilfsapparat und deshalb nicht eigenständig datenschutzrechtlich verantwortlich. Zur Frage, ob einem solchen Hilfsapparat eine Verantwortlicheneigenschaft zukommen kann, hat der VwGH bereits den EuGH um Vorabentscheidung ersucht.

In der gegenständlichen Entscheidung gab das Bundesverwaltungsgericht der Beschwerde statt und behob den Bescheid der Aufsichtsbehörde ersatzlos. Die Aufsichtsbehörde hätte aufgrund des unklaren Vorbringens der betroffenen Person zum Beschwerdegegner ein Mangelbehebungsverfahren durchführen müssen. Hiergegen ging die Aufsichtsbehörde mit Amtsrevision an den VwGH vor und argumentierte, dass es der betroffenen Person in bestimmten Fällen unzumutbar sein könne, den Verantwortlichen korrekt zu benennen. In solchen Fällen müsse die Aufsichtsbehörde den tatsächlichen Verantwortlichen ermitteln. Es habe jedoch keinen Anlass gegeben, die betroffene Person zur Verbesserung ihrer Beschwerde aufzufordern.

Der VvGH entschied zugunsten der Aufsichtsbehörde und behob die Entscheidung des BVwG. Dem liegt folgende Erwägung zugrunde:

• Geht die Aufsichtsbehörde von einer Zumutbarkeit der Benennung des Beschwerdegegners iSd § 24 Abs 2 Z 2 AT-DSG 2018 aus und erweisen sich die diesbezüglichen Angaben des Beschwerdeführers in der Datenschutzbeschwerde als unvollständig (oder unklar), hat die Aufsichtsbehörde ein Verbesserungsverfahren nach § 13 Abs 3 AT-AVG durchzuführen. Sonst nicht.
• Aus dem Umstand, dass die Aufsichtsbehörde in verfahrensrechtlich zulässiger Weise eine Stelle als die in der Datenschutzbeschwerde als Beschwerdegegner angesprochene Person bzw Stelle ansehen durfte, ist nicht der Schluss zu ziehen, dass diese Stelle auch tatsächlich die Verantwortliche für die zugrundeliegende Datenverarbeitung iSd Art 4 Z 7 EU-DSGVO war.