Bundesverwaltungsgericht W258 2271494-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 11.12.2025
• ECLI: ECLI:AT:BVWG:2025:W258.2271494.1.00

Spruch

W258 2271494-1/8EIM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden und die fachkundige Laienrichterin Mag.a Julia WEISS als Beisitzerin und den fachkundigen Laienrichter Gerhard RAUB als Beisitzer über die Beschwerde des XXXX , vertreten durch Fellner Wratzfeld Partner Rechtsanwälte GmbH, 1010 Wien, Schottenring 12, mitbeteiligte Partei vor dem Verwaltungsgericht, XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX , GZ XXXX , nach Durchführung einer mündlichen Verhandlung am 03.11.2025, in einer datenschutzrechtlichen Angelegenheit im Umlaufweg zu Recht erkannt:

A) Der Beschwerde wird Folge gegeben und der Bescheid ersatzlos behoben.

B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I. Vorbemerkungen:

Dem Verfahren liegt der Versand von Impferinnerungsschreiben zu Grunde, die im Namen der Projektleiterin Covid-19 XXXX , dem leitenden Chefarzt XXXX , diverser Sozialversicherungsträger sowie in Kooperation mit XXXX Ende November/Anfang Dezember 2021 an sozialversicherte Personen über 18 Jahre mit Wohnsitz in XXXX , die keine Schutzimpfung gegen COVID-19 erhalten hatten, gesendet worden sind. Dagegen beschwerte sich eine Vielzahl der Empfänger bei der Österreichischen Datenschutzbehörde (in Folge „belangte Behörde“), weil sie den Verdacht hatten, dass rechtswidrig auf ihre im Impfregister hinterlegten Daten zugegriffen worden sei. Fraglich ist insbesondere, wer als datenschutzrechtlicher Verantwortlicher für die Datenverarbeitungen zu sehen ist.

II. Verfahrensgang:

1. Mit Eingabe vom 10.12.2021 brachte die mitbeteiligte Partei eine Beschwerde bei der belangten Behörde ein und brachte sinngemäß und auf das Wesentlichste zusammengefasst vor, XXXX haben sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt, indem sie ihr Ende 2021 ein persönlich adressiertes Impferinnerungsschreiben zugesendet haben, indem sie die besonders geschützten persönlichen Gesundheitsdaten der mitbeteiligten Partei unzulässig weitergegeben und verarbeitet haben. Sie beantrage daher, die Grundrechtsverletzung festzustellen.

2. Die belangte Behörde leitete gegen ua gegen den Beschwerdeführer am 26.11.2021 ein amtswegiges Prüfungsverfahren ein, das die belangte Behörde mit Bescheid vom 11.08.2022, GZ XXXX , schloss und feststellte, dass die Beschwerdeführerin für die gegenständliche Datenverarbeitung Verantwortliche gemäß Art 4 Z 7 DSVO sei.

Die belangte Behörde informierte die mitbeteiligte Partei über die Ergebnisse des geführten amtswegigen Prüfverfahrens und hielt ua sinngemäß fest, dass sie auf Grund der dortigen Erkenntnisse davon ausgehe, dass XXXX als datenschutzrechtlicher Verantwortlicher und damit als Beschwerdegegner zu sehen sei und räumte ihr ein, binnen zwei Wochen dazu Stellung zu nehmen. Die mitbeteiligte Partei nahm nicht Stellung.

3. Mit Bescheid vom XXXX , GZ XXXX , gab die belangte Behörde der Beschwerde insoweit statt, als sie feststellte, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem er unrechtmäßig auf ihre Daten im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen betreffend einen Termin für eine Corona-Schutzimpfung verarbeitet habe (Spruchpunkt 1.). Im Übrigen wies die belangte Behörde den Antrag der mitbeteiligten Partei auf Untersagung der Datenverarbeitung mangels Gefahr im Verzug ab (Spruchpunkt 2.), den Antrag der mitbeteiligten Partei auf Verhängung einer Geldbuße mangels subjektiven Rechts zurück (Spruchpunkt 3.) und den Antrag der Beschwerdeführerin auf Aussetzung des Verfahrens mangels Vorfrage zurück (Spruchpunkt 4.).

4. Zu Spruchpunkt 1. führte die belangte Behörde aus, der Beschwerdeführer habe ohne Vorliegen einer tragenden gesetzlichen Grundlage auf die Daten der mitbeteiligten Partei im zentralen Impfregister zugriffen. Daher sei auch die nachfolgende Datenverarbeitung durch den Beschwerdeführer rechtswidrig gewesen. Entgegen der Ansicht des Beschwerdeführers würden § 24d Abs 2 Z 3 GTelG 2012, § 8 DSG sowie die gesetzlichen Zuständigkeitsregelungen keine Grundlage für die verfahrensgegenständlichen Datenverarbeitungen bieten. Die Anwendung des § 24d Abs 2 Z 3 GTelG 2012 setze nach § 24d Abs 1 Z 4 GTelG 2012 eine spezifische Zugriffsberechtigung gemäß § 24f Abs 4 GTelG 2012 voraus, über die der Beschwerdeführer nicht verfügt habe.

5. Gegen diesen Bescheid richtet sich die Beschwerde vom 03.04.2023 wegen Rechtswidrigkeit. Der Beschwerdeführer beantragte, den bekämpften Bescheid ersatzlos aufzuheben und das Verfahren einzustellen, in eventu den Bescheid aufzuheben und die Sache an die belangte Behörde zurückzuverweisen, in eventu in der Sache selbst zu entscheiden und den Bescheid dahingehend abzuändern, dass die datenschutzrechtliche Beschwerde abgewiesen wird. Zusammengefasst begründete er dies mit dem Vorliegen einer entschiedenen Sache, der Unvollständigkeit der Beschwerde, fehlenden Ermittlungen und einer mangelhaften Beweiswürdigung. Darüber hinaus sei der Beschwerdeführer nicht datenschutzrechtlicher Verantwortlicher, aber selbst wenn man von einer Verantwortlichkeit ausgehen würde, sei ein Zugriff auf die Impfdaten im Rahmen des pandemiebedingten Krisenmanagements zulässig.

6. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsaktes dem erkennenden Gericht vor und verwies hinsichtlich der bestrittenen datenschutzrechtlichen Verantwortlichkeit auf einen Zeitungsartikel, wonach der Versand der Impferinnerungen laut XXXX die richtige Maßnahme gewesen sei.

7. Das Bundesverwaltungsgericht hat bereits in einem zur AZ W252 2272758-1 geführten Parallelverfahren mit Erkenntnis vom 28.01.2025 in der Sache – in Bezug auf eine andere mitbeteiligte Partei – entschieden. Es behob den Bescheid ersatzlos. Begründend führte es aus, dass der XXXX nicht Verantwortlicher für die Datenverarbeitung sei; da der mitbeteiligten Partei die Benennung des Verantwortlichen unzumutbar gewesen sei, oblag es der belangten Behörde, ihn zu bestimmen. Indem die belangte Behörde irrtümlich jemanden als Verantwortlichen bestimmt habe, der tatsächlich nicht Verantwortlicher gewesen ist, habe sie das Verfahren gegen jemanden geführt, der vom Rechtschutzantrag des Beschwerdeführers nicht umfasst gewesen sei. Die gegen das Erkenntnis erhobene Revision wurde vom Verwaltungsgerichtshof mit Beschluss vom 20.08.2025, AZ Ra 2025/04/0049, zurückgewiesen.

8. Mit dem im Zuge der Ladung zur mündlichen Verhandlung übermittelten Parteiengehör wurden die Parteien des Verfahrens über die beiden Entscheidungen und ihren wesentlichen Inhalt informiert. Ebenso wurden die Verhandlungsprotokolle zur hg AZ W252 2271937-1 vom 18.10.2023 und 09.11.2023, auf die sich das Bundesverwaltungsgericht im Erkenntnis W252 2272758-1 tragend gestützt hat, übermittelt.

9. Mit Stellungnahme vom 22.10.2025 brachte die BF zusammengefasst und sinngemäß vor, dass der Bescheid absolut nichtig sei, weil dem Beschwerdeführer als bloßem Hilfsapparat keine Rechtspersönlichkeit zukomme. Weiters sei das Vorgehen des Verwaltungsgerichts, bezogen auf das Parteiengehör im Zuge der Ladung zu Verhandlung, rechtswidrig und eine überschießende Manuduktion. Darüber hinaus habe das Verwaltungsgericht den Sachverhalt nicht ausreichend ermittelt, weder habe es sich damit auseinandergesetzt, ob hier eine Bundes- oder Landessache vollzogen wurde, noch dass die XXXX GmbH ohne Auftrag gehandelt habe.

10. Am 03.11.2025 wurde über die Angelegenheit mündlich verhandelt.

Beweis wurde erhoben durch Einsichtnahme in den Verwaltungsakt, in das mit Schriftsatz von der belangten Behörde vorgelegte Angebot zur „Unterstützung bei Abwicklung des Post-Versandes von Impferinnerungsschreiben an ungeimpfte Personen im Bundesland XXXX “ vom 19.11.2021 (OZ 2) und den hg Gerichtsakt zu W252 2271937-1, nämlich in die Verhandlungsprotokolle vom 18.10.2023 (OZ 13) und 09.11.2023 (OZ 19).

III. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Zum Verfahrensgang:

1.1.1. Zur Datenschutzbeschwerde:

Am 10.12.2021 richtete die mitbeteiligte Partei eine Datenschutzbeschwerde an die belangte Behörde. Die mitbeteiligte Partei brachte vor, dass XXXX sie in ihrem Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG verletzt haben, indem sie ihr Ende 2021 ein persönlich adressiertes Impfschreiben zugesendet haben und so die besonders geschützten persönlichen Gesundheitsdaten der mitbeteiligten Partei unzulässig weitergegeben und verarbeitet haben.

Der Beschwerde war das folgende Impferinnerungsschreiben beigefügt (Fehler im Original):

„P XXXX Prio Brief

XXXX Retouren an XXXX

[1. Optionsfeld: Name und Adresse der mitbeteiligten Partei]

Ihr persönlicher Termin für die COVID-Schutzimpfung ist da!

Die COVID-Schutzimpfung ist derzeit die wichtigste Maßnahme [sic!] um die Pandemie zu beherrschen und ein weitgehend normales Leben wieder zu ermöglichen. Das Europäische Gremium für Gesundheit sowie das Nationale Impfgremium empfehlen in diesem Zusammenhang ausdrücklich die COVID-Schutzimpfung.

Warum ist diese Impfung so wichtig?

Durch die Impfung sinkt das persönliche Risiko bei einer Infektion einen schweren Erkrankungsverlauf zu erleiden und somit auch das Risiko eines damit verbundenen Aufenthalts auf einer Intensivstation bzw. zu versterben. Auch die Gefahr an Long-Covid zu erkranken (das ist auch bei einem leichten Verlauf durchaus möglich) wird stark reduziert. Sie schützen mit der Impfung aufgrund des geringeren Erkrankungsrisikos nicht nur sich persönlich [sic!] sondern auch Ihre Mitmenschen.

Mit fortschreitender Dauer der Pandemie werden in ganz Österreich – zum Schutz aller – immer mehr Bereiche auf die 2G-Regel (Zutritt nur für vollständig geimpfte Personen oder Genesene) umgestellt werden.

Zum Schutz Ihrer eigenen Gesundheit und damit Sie auch in Zukunft problemlos einen normalen Alltag führen können [sic!] wurde für Sie eine COVID-Schutzimpfung reserviert:

[2. Optionsfeld: Impftermin und Impfort]

Wir laden Sie ein, von diesem Angebot Gebrauch zu machen.

Um etwaige Wartezeiten vor Ort zu vermeiden, können Sie statt des oben reservierten Termins auch einen Alternativtermin online unter XXXX oder telefonisch unter XXXX buchen. Dies gilt auch, wenn Sie akut erkrankt sind oder z.B. aufgrund einer anderen Therapie diesen Termin nicht wahrnehmen können. Um das Storno des obigen Termins kümmert sich in diesem Fall gerne XXXX . Im Falle, dass Sie sich inzwischen haben impfen lassen, wollen wir uns bei Ihnen dafür ganz herzlich bedanken!

Sollte Ihnen bekannt sein, dass für Sie aus medizinischen Gründen (Gegenanzeigen) eine COVID-Impfung nicht möglich ist, so erachten Sie das vorliegende Schreiben bitte als gegenstandslos. Wenn Sie unsicher sind, ob Sie gegen COVID geimpft werden können, so empfehlen wir zur Abklärung ein ärztliches Aufklärungs-/Beratungsgespräch zu nutzen.

Bringen Sie zur Impfung bitte Ihren Lichtbildausweis und – wenn vorhanden – Ihre E-Card mit.

XXXX Projektleiterin Covid-19 XXXX

XXXX

Unter den Namen scheinen die folgenden Logos auf:

1.1.2. Zum amtswegigen Prüfverfahren und dem im gegenständlichen Verfahren gewährten Parteiengehör:

Der zu den Punkten II.2. ausgeführte Verfahrensgang steht fest.

1.2. Zur Erstellung und zum Versand des Impferinnerungsschreibens:

Im Sommer 2021 wurde im Rahmen des Pandemiemanagements eine bundesweite Diskussion über das Verfassen eines Impferinnerungschreibens an ungeimpfte Personen geführt.

Der XXXX für „ XXXX “ der Stadt XXXX , XXXX ( XXXX ) wies die XXXX über das Stadtratsbüro an, ein Impferinnerungsschreiben an sozialversicherte Personen über 18 Jahre mit Wohnsitz in XXXX , die keine Schutzimpfung gegen COVID-19 erhalten hatten, zu versenden. Dies, um die Impfquote der Einwohner:innen XXXX zu heben. Damit war auch zumindest implizit der Auftrag enthalten, dafür auf die von der XXXX betriebenen Datenbanken zuzugreifen.

Das Stadtratsbüro war über die wesentlichen Schritte beim Fortgang des Projekts informiert.

Der XXXX trat an den Generaldirektor der XXXX , XXXX , heran und bat ihn um Unterstützung. XXXX wies seine Mitarbeiterin der Kommunikationsabteilung, XXXX , an, das Projekt „Impferinnerungsschreiben“ zu unterstützen. Von Seiten der XXXX wurde die Druckstraße zur Verfügung gestellt.

Eine Gruppe, bestehend aus Mitarbeitern der XXXX , der XXXX , der XXXX GmbH und der XXXX GmbH, erbrachte Vorschläge zur weiteren Vorgehensweise, dh Erstellung eines Entwurfs des Impferinnerungsschreibens, erarbeitete einen Plan, wie die Daten zur Bestimmung der konkreten Empfänger über den Patientenindex und das zentrale Impfregister zu ermitteln waren und wie der Versand zu erfolgen hatte.

XXXX , Mitarbeiterin der XXXX , koordinierte das Projekt innerhalb der XXXX , sie organisierte die Projektagenden innerhalb der XXXX , koordinierte die Projektagenden mit der XXXX , den Sozialversicherungen, der XXXX GmbH und der XXXX GmbH. Herr XXXX von der XXXX GmbH war Projektleiter von Seiten der XXXX GmbH.

Für die Ermittlung der Adressaten des Schreibens wurde die XXXX GmbH beauftragt. Die XXXX GmbH hat den Auftrag an die XXXX GmbH weitergegeben.

Das Angebot der XXXX GmbH vom 19.11.2021 wurde von XXXX als Projektleiterin für medizinische Maßnahmen im Zusammenhang mit dem Coronavirus unterzeichnet.

In Erfüllung des Auftrags ermittelte die XXXX GmbH ab 09.11.2021 sämtliche Personen aus dem Patientenindex, mit Wohnsitz in XXXX , die über 18 Jahre alt sind. Im Anschluss filterte sie die Personen aus, die im zentralen Impfregister über einen Eintrag für eine Impfung mit einem in der EU zugelassenen Impfstoff gegen COVID-19 verfügten. Die XXXX GmbH übermittelte die Namen und Adressen der verbleibenden Personen in fünf Tranchen (09.11.2021, 14.11.2021, 17.11.2024, 22.11.2024 und 28.11.2024) an die XXXX als Druckdienstleister, der die Briefe gedruckt, kuvertiert und zum Versand aufgegeben hat.

Die Kosten für den Versand des Impferinnerungsschreiben wurden 50:50 von der XXXX und der XXXX getragen.

Das Finanzierungsbudget von Pandemiemaßnahmen der XXXX lag zu diesem Zeitpunkt bei der XXXX

Ende 2021 wurde das Impferinnerungsschreiben, wie unter Punkt 1.1.1 beschrieben, unter anderem an die mitbeteiligte Partei per Post versendet.

Das Schreiben war persönlich an die mitbeteiligte Partei adressiert.

Im 1. Optionsfeld wurden hierfür Name und Adresse des jeweiligen Empfängers und im 2. Optionsfeld mögliche Impftermine und Orte eingefügt.

2. Beweiswürdigung:

2.1. Zum Verfahrensgang:

Die Feststellungen zum Verfahrensgang gründen auf dem unbedenklichen Verwaltungsakt.

2.2. Zur Erstellung und zum Versand des Impferinnerungsschreibens:

Die Feststellung zur bundesweiten Diskussion im Rahmen des Pandemiemanagements gründet sich auf den im Wesentlichen übereinstimmenden Angaben der Zeugen XXXX , XXXX , XXXX , XXXX , XXXX , XXXX , XXXX und XXXX (Z XXXX , Verhandlungsprotokoll vom 18.10.2023, AZ 2271937-1 OZ 13, S 12, 14; Z XXXX , Verhandlungsprotokoll vom 18.10.2023, AZ 2271937-1, OZ 13, S 35, f; Z XXXX , Verhandlungsprotokoll vom 18.10.2023, AZ 2271937-1, OZ 13, S 64; Z XXXX , Verhandlungsprotokoll vom 18.10.2023, AZ 2271937-1, OZ 13, S 102; Z XXXX , Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 44; Z XXXX , Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 9 ff; Z XXXX , Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 50; Z XXXX , Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 54).

Die Feststellungen zur Funktion und Zuständigkeit des XXXX ergibt sich aus seiner glaubhaften Aussage (vgl GZ W252 2271937-1, OZ 19, S 8 f).

Die Feststellung, dass der XXXX die XXXX über das Stadtratsbüro angewiesen hat, ein Impferinnerungsschreiben an sozialversicherte Personen über 18 Jahre mit Wohnsitz in XXXX , die keine Schutzimpfung gegen COVID-19 erhalten hatten zu versenden, ist erstens auf die Aussage des XXXX vor dem Bundesverwaltungsgericht gestützt, dass sich der Gesundheitsminister, die Gesundheitspolitiker und die Landesräte schon im Sommer 2021 darüber einig waren, dass man ein entsprechendes Impferinnerungsschreiben an die ungeimpfte Bevölkerung brauche (Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1 OZ 19, S 12). Nachdem drei Bundesländer, XXXX , XXXX und XXXX bereits über die Logistik verfügten, Impftermine zu vergeben und Impfungen durchzuführen, kommunizierte der XXXX allen Involvierten (der Gesundheitsbehörde, den Sozialversicherungen), dass ein entsprechendes Impferinnerungsschreiben an sozialversicherte Personen über 18 Jahre mit Wohnsitz in XXXX , die keine Schutzimpfung gegen COVID-19 erhalten hatten verschickt werden solle (Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 13).

Zweitens gab auch XXXX an, sie habe mit der Abwicklung des Projekts begonnen, als sie vom Stadtratsbüro den Auftrag bekommen habe und dieser Auftrag auf dem Wunsch des XXXX basiert habe, ein entsprechendes Schreiben zu verfassen und zu versenden (Verhandlungsprotokoll vom 18.10.2023, AZ 2271937-1, OZ 13, S 24, „Im Zuge dessen habe ich einen Auftrag von dem Herrn XXXX für Gesundheit ( XXXX ) erhalten, mich darum zu kümmern, dass ungeimpfte XXXX eine Impferinnerung zugeschickt bekommen und zwar in Kooperation mit der XXXX . Es wurde mir der Auftrag so übermittelt, dass ich die Annahme treffen konnte, dass es ein gemeinsames Projekt zwischen XXXX und Stadt XXXX ( XXXX ) ist. Da musste ich die Koordination innerhalb der Stadt XXXX übernehmen und schauen, dass in der XXXX und in der XXXX GmbH die notwendigen Informationen fließen, sodass wir von der Stadt XXXX hier die Koordination wahrnehmen können.“). Diese Aussage ist nachvollziehbar, weil davon auszugehen ist, dass XXXX als Mitarbeiterin der XXXX ohne einen entsprechenden Auftrag keine weiteren Schritte gesetzt hätte.

Letztens geht aus dem im Verfahren vorgelegten E-Mailverkehr hervor, dass das Stadtratsbüro mit XXXX bezüglich des Impferinnerungsschreibens in Kontakt stand, XXXX mit der Umsetzung des Impferinnerungsschreibens beauftragt und ihr und wichtige Details, wie die der Finanzierung, weitergeleitet hat (OZ 2, S 9, Hervorhebung durch den Verfasser: „[…] ist im Telefonat mit GD XXXX und STR XXXX soeben die mündliche Finanzierungszusage einer 50:50 Finanzierung zur Aussendung des XXXX Briefes an die Ungeimpften erfolgt (3.11.21, 17:00 Uhr). Bitte um rasche Umsetzung.“). Die Beauftragung der XXXX durch das Stadtratsbüro im Namen des XXXX ist insofern nachvollziehbar, als die XXXX , als Magistratsabteilung der Geschäftsgruppe „ XXXX “ zugeordnet ist, welcher der XXXX vorsteht.

Daran kann auch die Aussage des Zeugen XXXX nichts ändern, wonach der Bundesminister „juristisch“ die letzte Entscheidung hätte. Ob der Bundesminister „juristisch“ die letzte Entscheidung treffen könnte, ist für die Frage, wer die XXXX faktisch angewiesen hat, ohne Bedeutung (Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 13).

Weitergehende Anhaltspunkte – wie sie die Beschwerderführerin im Vergleich zu einem Parallelverfahren betreffend ein anderes Bundesland vermisst (Verhandlungsprotokoll vom 05.11.2025) –, etwa vom Landesrat unterschriebene Aktenvermerke, bedarf es vor dem Hintergrund der bisherigen Ausführungen nicht.

Der mit dem Auftrag verfolgte Zweck ergibt sich aus der Aussage des XXXX , wonach das Schreiben den Zweck verfolgt habe, die Impfrate der Bevölkerung zu erhöhen, was nur erreicht werden könne, wenn die nicht geimpften Personen impfen gehen („[…] es war klar, wir brauchen mehr, eine Erhöhung durch Impfungsrate der Bevölkerung. Das gesundheitspolitische Ziel war klar, wir brauchen eine Erhöhung durch die Impfungsrate der Bevölkerung. Die erreicht man logischerweise nur dann, wenn die nicht geimpften impfen gehen. […]“, Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1 OZ 19, S 20).

Dass in der Anweisung zumindest implizit auch der Auftrag enthalten war, für die Umsetzung des Schreibens auf die von der XXXX GmbH betriebenen Datenbanken zuzugreifen, gründet in den folgenden Überlegungen:

So sollten – wie zuvor ausgeführt – nach dem Willen des XXXX mit dem Schreiben nur Personen angeschrieben werden, die noch keine Impfung gegen COVID-19 erhalten hatten. Dafür ist es erforderlich, auf den Impfstatus der Betroffenen zuzugreifen, was dem XXXX bewusst sein musste. Weiters gab er an, es sei klar gewesen, es müsse das Impferinnerungsschreiben „in der XXXX umgesetzt werden, weil wir die XXXX letztendlich dafür gegründet haben […] um die Gesundheitsdaten der Bevölkerung […] zu verwalten“ (Verhandlungsprotokoll vom 22.12.2023, S 15). Ihm war daher bewusst und von ihm gewollt, dass für die Ermittlung des Impfstatus ein Zugriff auf die von XXXX betriebenen Datenbanken erforderlich gewesen ist. Mit dieser Annahme stimmt auch überein, dass für die Umsetzung die Zeugin XXXX beauftragt worden ist, die die XXXX in der „ XXXX “ vertreten und sich schon länger mit dem eImpfpass, einer der von der XXXX umfassten Datenbank (§§ 24b ff GTelG 2012), beschäftigt habe (Verhandlungsprotokoll vom 18.10.2023, AZ 2271937-1, OZ 13, S 24).

Die Feststellung, wonach das Stadtratsbüro über die wesentlichen Schritte beim Fortgang des Projekts informiert war, gründet im von der belangten Behörde vorgelegten E-Mailverkehr (OZ 2), wonach Frau XXXX , eine Referentin des XXXX , sowohl die Textierung des Impferinnerungsschreibens und der Auftrag zur Umsetzung und Aussendung ua an Herrn XXXX , einem Mitarbeiter der XXXX GmbH (Verhandlungsprotokoll vom 18.10.2023, AZ 2271937-1, OZ 13, S 88), (OZ 2 S 9) als auch das unterfertigte Angebot zu den Leistungen der XXXX GmbH in CC übermittelt worden sind (OZ 2 S 10 ff).

Die Feststellung, dass der XXXX an XXXX herangetreten ist und um Unterstützung gebeten hat, ist auf die Aussage von XXXX in der Verhandlung zurückzuführen, der nachvollziehbar angab, dass ihn der XXXX kontaktiert habe und XXXX seine Mitarbeiter zur Unterstützung angewiesen habe (Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 29). Diese Aussage wurde von Frau XXXX bestätigt (Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 32).

Die Feststellung, dass eine Gruppe, bestehend aus Mitarbeitern der XXXX der XXXX , der XXXX GmbH und der XXXX GmbH Vorschläge zur weiteren Vorgehensweise erarbeitet hat, ergibt sich aus den Aussagen der Zeugen XXXX und Frau XXXX . Sie gaben übereinstimmend an, dass eine Arbeitsgruppe ins Leben gerufen worden sei, in der XXXX von der XXXX , Herr XXXX von der XXXX GmbH, Herr XXXX von der XXXX GmbH und Frau XXXX von der XXXX ständig vertreten waren und weitere unterschiedliche Leute aus anderen Bereichen teilnahmen (Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 32; Verhandlungsprotokoll vom 18.10.2023, AZ 2271937-1, OZ 13, S 25).

Aus den übereinstimmenden Zeugenaussagen vor dem Bundesverwaltungsgericht geht hervor, dass XXXX das Projekt „Impferinnerungsschreiben an die ungeimpfte Bevölkerung XXXX “ koordiniert hat. Dies wurde von XXXX bestätigt (Verhandlungsprotokoll vom 18.10.2023, AZ 2271937-1, OZ 13, S 23). Dass sie das Büro des Stadtrats über den Fortgang des Projekts informiert hat, ergibt sich aus der

Die Feststellung, dass die XXXX GmbH beauftragt wurde (OZ 2; Verfahrensübergreifende Vorlage weiterer Aktenbestandteile der belangten Behörde) und die XXXX GmbH den Auftrag an die XXXX GmbH weitergegeben hat (Bescheidbeschwerde, Vereinbarung zwischen der XXXX GmbH und der XXXX GmbH), gründet sich auf die Aussage von XXXX , ehemaliger Geschäftsführer der XXXX GmbH, vom 10.01.2022 im Rahmen des amtswegigen Verfahrens vor der Datenschutzbehörde (Niederschrift vom 24.02.2022, S 4 ff) sowie den damit übereinstimmenden in Klammern angeführten Beweismitteln. Der Umstand, dass das Angebot erst nach dem Versand eines guten Teils der Impferinnerungsschreiben unterzeichnet wurde ist hierbei nicht relevant, so sagte XXXX glaubhaft aus, dass zwar anfangs noch etwas unklar war bzw abgewartet werden sollte, aber die Sache letztlich schon vereinbart war (Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 45). Dieses Auseinanderfallen war vor dem Hintergrund der Schilderungen des XXXX , wonach die Situation während der Pandemie weniger geordnet, als der übliche Verwaltungsprozess ablief, auch nachvollziehbar (Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 24 ff). Relevant ist somit, dass es bereits vorab eine Vereinbarung bzw einen Auftrag gab. Dass die formale Unterschrift erst später geleistet wurde (was nach Ansicht der Beschwerdeführerin durch die Aussagen der Zeugen XXXX und XXXX erwiesen sei (Verhandlungsprotokoll vom 05.11.2025, S 14 f)), ist hierbei unerheblich. Der Behauptung des Beschwerdeführers, dass gar kein Auftrag bestand, war daher nicht zu folgen.

Die Feststellung, dass XXXX das Angebot der XXXX GmbH vom 19.11.2021 unterzeichnet hat, gründet sich auf das Angebot, welches von der belangten Behörde mit Schriftsatz vom 09.06.2023 (OZ 2; Verfahrensübergreifende Vorlage weiterer Aktenbestandteile der belangten Behörde) dem Bundesverwaltungsgericht vorgelegt wurde.

Die Feststellung, wie die XXXX GmbH den Auftrag erfüllt hat, gründet sich auf die Aussage des XXXX , Abteilungsleiter Recht und Sicherheit der XXXX GmbH im Rahmen des amtswegigen Verfahrens vor der Datenschutzbehörde vom 24.02.2024.

Die Feststellung, dass die Kosten 50:50 von der XXXX und der XXXX getragen wurden, gründet sich auf das E-Mail von Frau XXXX an XXXX vom 03.11.2021, in welchem vom Stadtratsbüro bestätigt wurde, dass XXXX und der XXXX die Finanzierungszusage getätigt haben (OZ 2; Verfahrensübergreifende Vorlage weiterer Aktenbestandteile der belangten Behörde).

Die Feststellung, dass das Finanzierungsbudget von Pandemiemaßnahmen zu diesem Zeitpunkt bei der XXXX lag, wurde durch die Aussage von XXXX bestätigt (Verhandlungsprotokoll vom 09.11.2023, AZ 2271937-1, OZ 19, S 41).

Die Feststellungen zum Inhalt und zur namentlichen Adressierung des Impferinnerungsschreibens gründen auf dem im Administrativverfahren von der mitbeteiligten Partei in ihrer Datenschutzbeschwerde vorgelegten Impferinnerungsschreiben.

3. Rechtliche Beurteilung:

Die zulässige Beschwerde ist zum Teil berechtigt.

Zu A)

3.1. Zu den maßgeblichen Rechtsvorschriften:

Artikel 4 der Verordnung (EU) 2016/679 (DSGVO) lautet:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

[…]

7. Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; […]“

§ 24 DSG lautet:

(1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

Artikel 102 Abs 1 und 2 B-VG lauten:

„(1) Im Bereich der Länder üben die Vollziehung des Bundes, soweit nicht eigene Bundesbehörden bestehen (unmittelbare Bundesverwaltung), der Landeshauptmann und die ihm unterstellten Landesbehörden aus (mittelbare Bundesverwaltung). Soweit in Angelegenheiten, die in mittelbarer Bundesverwaltung besorgt werden, Bundesbehörden mit der Vollziehung betraut sind, unterstehen diese Bundesbehörden in den betreffenden Angelegenheiten dem Landeshauptmann und sind an dessen Weisungen (Art. 20 Abs. 1) gebunden; ob und inwieweit solche Bundesbehörden mit Akten der Vollziehung betraut werden, bestimmen die Bundesgesetze; sie dürfen, soweit es sich nicht um die Betrauung mit der Vollziehung von im Abs. 2 angeführten Angelegenheiten handelt, nur mit Zustimmung der beteiligten Länder kundgemacht werden.

(2) Folgende Angelegenheiten können im Rahmen des verfassungsmäßig festgestellten Wirkungsbereiches unmittelbar von Bundesbehörden besorgt werden:

Grenzvermarkung; Waren- und Viehverkehr mit dem Ausland; Zollwesen; Regelung und Überwachung des Eintrittes in das Bundesgebiet und des Austrittes aus ihm; Aufenthaltsrecht aus berücksichtigungswürdigen Gründen; Passwesen; Aufenthaltsverbot, Ausweisung und Abschiebung; Asyl; Auslieferung; Bundesfinanzen; Monopolwesen; Geld-, Kredit-, Börse- und Bankwesen; Maß- und Gewichts-, Normen- und Punzierungswesen; Justizwesen; Pressewesen; Aufrechterhaltung der öffentlichen Ruhe, Ordnung und Sicherheit einschließlich der ersten allgemeinen Hilfeleistung, jedoch mit Ausnahme der örtlichen Sicherheitspolizei; Vereins- und Versammlungsrecht; Fremdenpolizei und Meldewesen; Waffen-, Munitions- und Sprengmittelwesen, Schießwesen; Kartellrecht; Patentwesen sowie Schutz von Mustern, Marken und anderen Warenbezeichnungen; Verkehrswesen; Strom- und Schifffahrtspolizei; Post- und Fernmeldewesen; Bergwesen; Regulierung und Instandhaltung der Donau; Wildbachverbauung; Bau und Instandhaltung von Wasserstraßen; Vermessungswesen; Arbeitsrecht; Sozial- und Vertragsversicherungswesen; Pflegegeldwesen; Sozialentschädigungsrecht; geschäftlicher Verkehr mit Saat- und Pflanzgut, Futter-, Dünge- und Pflanzenschutzmitteln sowie mit Pflanzenschutzgeräten, einschließlich der Zulassung und bei Saat- und Pflanzgut auch der Anerkennung; Denkmalschutz; allgemeine Angelegenheiten des Schutzes personenbezogener Daten; Organisation und Führung der Bundespolizei; militärische Angelegenheiten; Angelegenheiten des Zivildienstes; Bevölkerungspolitik; land- und forstwirtschaftliches Schul- und Erziehungswesen in den Angelegenheiten des Art. 14a Abs. 2 sowie Zentrallehranstalten; Universitäts- und Hochschulwesen sowie das Erziehungswesen betreffend Studentenheime in diesen Angelegenheiten; Ausbildungspflicht für Jugendliche; öffentliches Auftragswesen.“

Art 103 Abs 2 B-VG lautet:

„Die Landesregierung kann bei Aufstellung ihrer Geschäftsordnung beschließen, dass einzelne Gruppen von Angelegenheiten der mittelbaren Bundesverwaltung wegen ihres sachlichen Zusammenhanges mit Angelegenheiten des selbständigen Wirkungsbereiches des Landes im Namen des Landeshauptmannes von Mitgliedern der Landesregierung zu führen sind. In diesen Angelegenheiten sind die betreffenden Mitglieder der Landesregierung an die Weisungen des Landeshauptmannes ebenso gebunden (Art. 20) wie dieser an die Weisungen der Bundesregierung oder der einzelnen Bundesminister.“

Punkt III. der Geschäftseinteilung für XXXX lautet:

„Die der Landeshauptfrau bzw. dem Landeshauptmann zukommenden Angelegenheiten der mittelbaren Bundesverwaltung sind in Anwendung des Art. 103 Abs. 2 des Bundes-Verfassungsgesetzes von den Magistratsabteilungen unter Leitung und Verantwortung der zuständigen amtsführenden Stadträtin bzw. des zuständigen amtsführenden Stadtrats als Mitglied der Landesregierung zu besorgen, sofern die Geschäftseinteilung nichts anderes bestimmt. Dies gilt sinngemäß für die gemäß Art. 104 Abs. 2 des Bundes-Verfassungsgesetzes der Landeshauptfrau bzw. dem Landeshauptmann übertragene Verwaltung des Bundesvermögens.“

Gemäß der Geschäftseinteilung für XXXX (GZ XXXX bzw XXXX ) oblag der XXXX – insbesondere der XXXX – Ende 2021 das Gesundheits- und Impfwesen.

3.2. Angewendet auf den Sachverhalt bedeutet das:

3.2.1. Zum Beschwerdeführer als Verantwortlichen iSd Art 4 Z 7 DSGVO:

Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Art 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

Der EuGH hat festgehalten, dass die Entscheidung über die Zwecke und Mittel der Verarbeitung nach den zugrundeliegenden Vorschriften nicht (zwingend) mittels schriftlicher Anweisung erfolgen muss (siehe EuGH 10.07.2018, C-25/17, Jehovan todistajat, Rz 67)

Der Versand eines Impferinnerungsschreibens ist eine Angelegenheit des Gesundheitswesens, das in mittelbarer Bundesverwaltung, dh grundsätzlich durch den jeweiligen Landeshauptmann und die ihm unterstellten Landesbehörden, zu vollziehen ist (Art 10 Abs 1 Z 12 iVm Art 102 Abs 1 und 2 B-VG). Im Falle des Art 103 Abs 2 B-VG erfolgt die Vollziehung von Mitgliedern der Landesregierung im Namen des Landeshauptmannes, im Fall von XXXX durch Mitglieder des Stadtsenats bzw die amtsführenden Stadträte jeweils im Namen des Bürgermeisters (vgl ua § 114 XXXX Stadtverfassung).

Gemäß § 106 der XXXX Stadtverfassung ist der Magistrat XXXX in Geschäftsgruppen und innerhalb dieser in Abteilungen eingeteilt. Jeder Geschäftsgruppe steht ein XXXX vor. Gemäß der Geschäftseinteilung des Magistrat XXXX vom 13.01.2021 besteht im Magistrat XXXX die Geschäftsgruppe „ XXXX “, der die Magistratsabteilungen XXXX und der XXXX Gesundheitsbund zugeordnet sind. Dieser Geschäftsgruppe steht der amtsführende XXXX vor.

Dennoch kann der Magistrat als „Behörde“ oder „andere Stelle“ iSd Art 4 Z 7 DSGVO selbst datenschutzrechtlich Verantwortlicher sein: Entweder wenn er nach Unions-, Landes- oder Bundesrecht iSd Art 4 Z 7 letzter Halbsatz DSGVO als Verantwortlicher festgelegt wird, oder wenn der Verantwortliche nicht nach Unions-, Landes- oder Bundesrecht bestimmt wird und der Magistrat selbst Zweck und Mittel einer Datenverarbeitung bestimmt (vgl. EuGH 27.2.2025, C-638/23, Amt der Tiroler Landesregierung, Rn. 30, 34, mwN).

Von einer Bestimmung von Zweck und Mittel einer Datenverarbeitung durch den Magistrat kann nicht mehr ausgegangen werden, wenn sie durch den Bürgermeister bzw das zuständige Mitglied der Landesregierung (Stadtrat) vorgegeben werden. In einem solchen Fall kann der Magistrat nicht mehr als Verantwortlicher für die Datenverarbeitung gesehen werden.

Für den konkreten Fall bedeutet das:

Gegenständlich ist der Versand eines Impferinnerungsschreiben, dh eine Angelegenheit des Gesundheitswesens, die in mittelbarer Bundesverwaltung in XXXX durch den XXXX für XXXX im Namen des Landeshauptmanns vollzogen wird (Art 10 Abs 1 Z 12, Art 102 Abs 2 und 103 Abs 2 B-VG iVm § 133 XXXX Stadtverfassung, Geschäftseinteilung für XXXX ).

Zur Bestimmung des Verantwortlichen auf Grund von Unions-, Landes- oder Bundesrecht:

Der datenschutzrechtlich Verantwortliche wird in XXXX nicht von Unions-, Landes- oder Bundesrecht bestimmt. Der von der Beschwerdeführerin angezogene – und inzwischen aufgehobene – § 27 Abs 17 GTelG 2012 ist nicht einschlägig, zumal er nicht die datenschutzrechtliche Verantwortlichkeit für die hier gegenständlichen Datenverarbeitungen zur Erstellung und zum Versand eines Impferinnerungsschreibens regelt.

Zur Frage, wer über Zweck und Mittel der Datenverarbeitung entschieden hat:

Den Zweck des Schreibens, dh die Impfquote zu erhöhen sowie den Zweck des Zugriffs auf den Patientenindex und das zentrale Impfregister, nämlich zur Bestimmung der Adressaten des Impferinnerungsschreibens, hat der XXXX der Beschwerdeführerin über sein Büro vorgegeben.

Der XXXX hat ihr über sein Büro ebenfalls die wesentlichen Mittel der Datenverarbeitung vorgegeben, nämlich die Zielsetzung des Schreibens, die Kriterien zur Festlegung der Empfängerkreise und den hierfür erforderlichen Zugriff auf die von der XXXX betriebenen Datenbanken, dh auf den Patientenindex und das zentrale Impfregister.

Zwar hat der XXXX selbst keine schriftliche Weisung an seine Mitarbeiter:innen ( XXXX ) gegeben und wurde das Impferinnerungsschreiben von den zuständigen Mitarbeitern der Magistratsabteilungen koordiniert und umgesetzt. Jedoch können Organe im Rahmen ihrer sachlichen und funktionellen Zuständigkeit Aufträge in Form von individuellen oder generellen, konkreten oder abstrakten Weisungen erteilen. Daraus ist abzuleiten, dass die Mitarbeiter der XXXX und XXXX , die dem Magistrat der XXXX zuzuordnen sind, durch die über das Büro des XXXX erteilte generelle Weisung, ein Impferinnerungsschreiben an sozialversicherte ungeimpfte Personen über 18 Jahre mit Wohnsitz in XXXX zur versenden, beauftragt wurden und im Rahmen und in Erfüllung dieses Auftrags gehandelt haben. Aus den selben Gründen, sowie auf Grund der Tatsache, dass das Büro des XXXX über die wesentlichen Projektschritte informiert worden ist, ist weiters abzuleiten, dass die Letztverantwortung und die konkrete Entscheidung immer dem XXXX vorbehalten blieb.

Der Beschwerdeführer hat somit weder über den Zweck noch die Mittel der Datenverarbeitung entschieden und kann für sie daher nicht Verantwortlicher iSd Art 4 Z 7 DSGVO sein.

Vor diesem Hintergrund der Bestimmung von Zweck und Mittel kam es auf die bloße Bezeichnung der XXXX GmbH als Verantwortliche auf einem Deckblatt einer Vereinbarung nicht weiter an (siehe Bescheidbeschwerde, S 43).

3.2.2. Zur Bedeutung der fehlerhaften Bestimmung des Verantwortlichen für das Administrativverfahren:

Es obliegt in einem datenschutzrechtlichen Beschwerdeverfahren nach § 24 DSG dem Antragsteller, den Beschwerdegegner zu benennen, sofern ihm das zumutbar ist (§ 24 Abs 2 Z 2 DSG). Ist die Benennung unmissverständlich bzw unzweifelhaft oder hat der Antragsteller auf Vorhalt einer missverständlichen Bezeichnung des datenschutzrechtlich Verantwortlichen durch die Datenschutzbehörde auf der Verfahrensführung gegen einen bestimmten Beschwerdegegner beharrt, darf die Datenschutzbehörde das Verfahren nicht gegen eine andere Person führen.

Anderes gilt, wenn der Antragsteller den Beschwerdegegner missverständlich benannt hat und jenem dessen Benennung nicht zumutbar ist. Dann hat die Datenschutzbehörde eine berichtigende Auslegung der Bezeichnung des Beschwerdegegners vorzunehmen bzw den datenschutzrechtlich Verantwortlichen – somit den ihrer Ansicht nach „richtigen“ Beschwerdegegner – selbst zu ermitteln und dem Antragsteller ihre Ermittlungsergebnisse und ihre Rechtsansicht vorzuhalten.

Der Antragsteller hat aufgrund eines derartigen Vorhaltes die Möglichkeit, den „Austausch“ der Person des Verantwortlichen zu akzeptieren oder seine Datenschutzbeschwerde auf die von der Datenschutzbehörde ins Treffen geführte Person auszuweiten und somit gegen zwei (potentielle) datenschutzrechtlich Verantwortliche zu richten (VwGH 20.08.2025, Ra 2025/04/0049, Rz 26 und VwGH 05.06.2025, Ra 2024/04/0008).

Für den gegenständlichen Fall bedeutet das:

Einerseits hat die mitbeteiligte Partei den Beschwerdegegner in der Datenschutzbeschwerde nicht zweifelsfrei und eindeutig bezeichnet XXXX

Andererseits war ihr die Bezeichnung des Beschwerdegegners nicht zumutbar: So ist das der Datenschutzbeschwerde beigefügte Impferinnerungsschreiben von Organwaltern von zwei verschiedenen Rechtsträgern unterfertigt worden und es enthält Logos von vier verschiedenen Krankenkassen und einer Magistratsabteilung.

Die Ausgestaltung des gegenständlichen Impferinnerungsschreibens lässt, den Rechtsträger bzw das Organ, dem die behauptete Rechtsverletzung zuzurechnen ist, nicht klar erkennen. Hinzu kommt, dass es für die Frage, wer Verantwortlicher für eine Datenverarbeitung ist, nicht auf die Unterfertigung eines Schreibens, sondern darauf ankommt, wer über ihren Zweck und ihre Mittel entscheidet, bleibt unklar, ob einer oder mehrere der Rechtsträger, die auf dem Schreiben genannt werden, oder überhaupt eine (nicht genannte) dritte Person die Zugriffe auf den Patientenindex und das zentrale Impfregister zu verantworten hat. Etwa hätte auch der, auf dem Schreiben nicht erwähnte, Magistrat Verantwortlicher sein können. Wer vom möglichen Personenkreis tatsächlich über Zweck und Mittel der Datenverarbeitung entschieden hat, ist für die mitbeteiligte Partei weder aus dem Impferinnerungsschreiben noch auf andere Art feststellbar (vgl dazu die in einem Parallelfall ergangene Entscheidung des VwGH 20.08.2025, Ra 2025/04/0049, Rz 23, der die Ansicht des Bundesverwaltungsgericht, wonach der mitbeteiligten Partei die Bestimmung des Verantwortlichen auf Grund der Ausgestaltung des Impferinnerungsschreibens nicht zumutbar gewesen sei, als nicht unvertretbar beurteilt hat).

Es oblag daher der belangten Behörde im Rahmen der Ermittlung der materiellen Wahrheit festzustellen, wer Zweck und Mittel der Datenverarbeitung bestimmt hat und damit Verantwortlicher der Datenverarbeitung und Gegner der Datenschutzbeschwerde ist.

Indem sie letztlich den Beschwerdeführer irrtümlich als Verantwortlichen bestimmt hat, hat sie das Verwaltungsverfahren gegen jemanden geführt, der nicht vom Rechtschutzantrag der mitbeteiligten Partei umfasst war.

Da ein Austausch der Person des Verantwortlichen im verwaltungsgerichtlichen Verfahren nicht in Betracht kommt und in derartigen Fällen mit einer ersatzlosen Behebung (wobei diese Behebung nur im Hinblick auf die Verfahrensführung gegen den von der DSB herangezogenen Beschwerdegegner als „ersatzlos “ anzusehen ist) vorzugehen ist (VwGH 20.08.2025, Ra 2025/04/0049 Rz 18), war Spruchpunkt 1. des bekämpften Bescheides ersatzlos zu beheben.

3.3. Zum weiteren Vorbringen und den weiteren Anträgen:

3.3.1. Zum Einwand der entschiedenen Sache „res iudicata“:

Die Beschwerdeführerin brachte vor, der Sachverhalt, den die belangte Behörde dem Bescheid des amtswegigen Prüfverfahrens zugrunde gelegt habe, und jener, der dem gegenständlichen Beschwerdefall zugrunde liege, sei ident, weshalb mit der Entscheidung im amtswegigen Prüfverfahren eine „res iudicata“ vorliege und der bekämpfte Bescheid daher nicht erlassen werden hätte dürfen.

Diese Argumentation scheitert bereits daran, dass durch die Individualbeschwerde nach § 24 DSG einerseits und das amtswegige Einschreiten der belangten Behörde nach § 58 DSGVO andererseits, unterschiedliche Rechtspositionen für betroffene Personen erreicht werden können: So sieht nur die Individualbeschwerde nach § 24 DSG – im Erfolgsfall – die Feststellung einer Verletzung in einem datenschutzrechtlich geschützten Recht der Beschwerdeführer:in vor, während diese Möglichkeit in einem durch die Datenschutzbehörde amtswegig nach Art 58 DSGVO eingeleiteten und geführten Verfahren nicht besteht (VwGH 31.10.2023, Ro 2021/04/0011-5, Rz 23).

3.3.2. Aussetzung des Verfahrens:

Die Beschwerdeführerin hat für den Fall, dass das Verwaltungsgericht dem Einwand der entschiedenen Sache nicht folgt, den Eventualantrag gestellt, das Verfahren bis zur Entscheidung des Bundesverwaltungsgerichts im amtswegigen Prüfverfahren auszusetzen. Der Eventualantrag ist unzulässig, zumal § 38 AVG einer Partei keinen Anspruch auf Aussetzung eines Verfahrens einräumt (VwGH 30.09.2025, Ra 2025/07/0262 Rz 15).

3.3.3. Zu den vorgebrachten verfahrensrechtlichen Mängeln des Administrativverfahrens:

Soweit die Beschwerdeführerin diverse Mängel des Administrativverfahrens gerügt hat, wurden sie durch ein mängelfreies Verfahren vor dem Verwaltungsgericht saniert (vgl VwGH 28.02.2022, Ra 2021/09/0251, RS 9).

3.3.4. Zu den vorgebrachten Mängeln im verwaltungsgerichtlichen Verfahren:

Wenn die Beschwerdeführerin im Vorgehen des Verwaltungsgerichts, bezüglich des Parteiengehörs im Zuge der Ladung zur mündlichen Verhandlung, indem ua die vorläufige und von der belangten Behörde abweichende Rechtsansicht zum „richtigen“ Verantwortlichen vorgehalten wurde, eine überschießende Manuduktion und einen Verfahrensmangel erblickt (siehe die Stellungnahme vom 22.10.2025, S 4), so ist ihr entgegenzuhalten, dass der VwGH dieses Vorgehen bereits für zulässig erachtet hat (vgl VwGH 20.08.2025, Ra 2025/04/0049, Rz 24).

3.3.5. Zum Vorliegen eines nichtigen Bescheides:

Der Beschwerdeführer bringt weiters vor, dass ein Nichtbescheid bzw ein absolut nichtiger Bescheid vorliege, weil dem Bescheidadressaten, dem Magistrat XXXX , als bloßem Hilfsapparat keine Rechtspersönlichkeit zukomme. Dem kann nicht gefolgt werden.

So kann ein Verantwortlicher auch eine Behörde oder eine „andere Stelle“ sein, die nach nationalem Recht nicht zwangsläufig Rechtspersönlichkeit besitzen muss. Der Verantwortliche muss (lediglich) in der Lage sein, die in der DSGVO vorgesehenen Verpflichtungen in tatsächlicher und rechtlicher Hinsicht zu erfüllen, ohne dass es insoweit darauf ankommt, ob die betreffende Stelle Rechtspersönlichkeit oder eine eigene Rechtsfähigkeit hat (EuGH 27.2.2025, C-638/23, Amt der Tiroler Landesregierung, Rn. 30, 34, mwN). Der datenschutzrechtlich Verantwortliche ist als Beschwerdegegner Partei des Verfahrens der DSB und damit auch Adressat des dieses Verfahrens abschließenden Bescheides. Der Umstand, dass im vorliegenden Fall der Magistrat als Beschwerdegegner Adressat des (in einem datenschutzrechtlichen Beschwerdeverfahren vor der DSB ergangenen) Bescheides war, führt daher nicht dazu, dass es sich dabei um einen „Nichtbescheid“ handelt (zum Ganzen in einem Parallelverfahren VwGH 20.08.2025, Ra 2025/04/0049, Rz 32 ff).

3.4. Angesichts dieses Ergebnisses ist die Datenschutzbeschwerde der mitbeteiligten Partei nach wie vor unerledigt.

3.5. Es war daher spruchgemäß zu entscheiden.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Aufgrund der eindeutigen (zitierten) Rechtsprechung des VwGH, insbesondere bezüglich der falschen/unzumutbaren Bezeichnung des Beschwerdegegners, stellen sich keine Rechtsfragen von grundsätzlicher Bedeutung. Die diesbezügliche Rechtsprechung ist auch nicht uneinheitlich (siehe VwGH 20.08.2025, Ra 2025/04/0049, Rz 25 ff).