Bundesverwaltungsgericht W274 2265153-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 01.06.2026
• ECLI: ECLI:AT:BVWG:2026:W274.2265153.1.00

Spruch

W274 2265153-1/23E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch den Richter Mag. LUGHOFER als Vorsitzenden sowie die fachkundige Laienrichterin Mag. (FH) LACHNIT-GRIUC und den fachkundigen Laienrichter Dr. GOGOLA als Beisitzer über die Beschwerde von XXXX , gegen den Bescheid der Datenschutzbehörde, Barichgasse 40 – 42, 1030 Wien, vom 14.12.2022, GZ: D124.4071, 2022-0.833.701, Mitbeteiligter Bundesminister für Arbeit, Soziales, Gesundheit, Pflege und Konsumentenschutz, Stubenring 1, 1010 Wien, wegen Verletzung im Recht auf Information, zu Recht:

Der Beschwerde wird nicht Folge gegeben.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

1.1. Mit Datenschutzbeschwerde vom 06.05.2021, verbessert am 25.05.2021, brachte der Beschwerdeführer (in weiterer Folge auch „BF“) gegenüber der Datenschutzbehörde (in weiterer Folge „belangte Behörde“ oder „DSB“) vor, der Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz (nunmehr Bundesministerin für Arbeit, Soziales, Gesundheit, Pflege und Konsumentenschutz), in weiterer Folge Mitbeteiligter (MB), habe ihn als Beschwerdegegner im verwaltungsbehördlichen Verfahren in seinem Recht auf Information verletzt. Zusammengefasst führte der BF aus, er habe im Rahmen der Covid-19-Pandemie zwischen 22.02.2021 und 14.05.2021 diverse Antigen-Tests in XXXX gemacht und sei bei der Vor-Ort-Registrierung nicht iSd. Art. 13 DSGVO über die Datenverarbeitung aufgeklärt worden. Es sei auch keine Einwilligung in die Datenverarbeitung iSd. Art. 6 Abs. 1 DSGVO eingeholt worden.

Die Datenschutzbeschwerde richtete sich sowohl gegen den MB als auch die XXXX , gegen die die belangte Behörde ein separates Verfahren eröffnete.

Zusätzlich hielt der BF fest, es handle sich bei seiner Eingabe nicht um eine „Popularklage“. Weiters legte er eine E-Mail-Korrespondenz mit der XXXX vor.

1.2. Mit Schreiben vom 23.09.2021 nahm der MB Stellung und führte im Wesentlichen aus, bei den vom BF angesprochenen Teststraßen handle es sich um Screeningprogramme der Landeshauptfrau von Niederösterreich (im Folgenden: LH NÖ) iSd. § 5a Abs. 1 letzter Satz EpiG 1950. Da der für das Gesundheitswesen zuständige Bundesminister nicht von der Möglichkeit, bundesweite Screeningprogramme durchzuführen, Gebrauch gemacht habe, liege die Verantwortlichkeit für die Testungen bei der LH NÖ. Die Testungen in NÖ adressierten keinen eingeschränkten Personenkreis und seien örtlich auf das Hoheitsgebiet des Bundeslandes NÖ beschränkt. Bei der mit BGBl I 100/2021 in Kraft getretenen Novelle des § 5a Abs. 1 letzter Satz EpiG handle es sich lediglich um eine legistische Klarstellung, in deren Erarbeitung die belangte Behörde maßgeblich eingebunden gewesen sei. Der MB sei ausschließlich für das EPI-Service verantwortlich, während die Verantwortlichkeit der faktischen Testdurchführung bei der testenden Stelle liege.

Der MB sei zu keinem Zeitpunkt in die Errichtung oder den Betrieb der Teststraßen involviert gewesen und habe somit weder über Zwecke noch die Mittel der Verarbeitung entschieden – ihm seien lediglich die Ergebnisse nach erfolgter Testung übermittelt worden.

1.3. Hiezu nahm der BF am 20.08.2022 Stellung und führte zusammengefasst aus, die vom MB referenzierten Verfahren vor der DSB seien ihm nicht bekannt. Aufgrund des Zeitpunkts der Verletzung der Informationspflicht sowie der Einbringung der Beschwerde müssten die relevanten Normen des EpiG 1950 in der Fassung vor dem 29.05.2021 herangezogen werden und nicht in der Fassung nach Inkrafttreten des BGBl. Nr. I 100/2021. § 4b Abs. 3 iVm. § 4b Abs. 7 leg cit stelle klar, dass der für das Gesundheitswesen zuständige Bundesminister datenschutzrechtlicher Verantwortlicher sei. Die Weiterleitung der Testergebnisse an diesen bzw. die Einspielung der Daten in das EPI-Service seien unabdingbare Bestandteile der Verarbeitung der Testergebnisse, wodurch eine Verantwortlichkeit begründet werde; eine datenschutzrechtliche Trennung der Vorgänge sei ausgeschlossen.

Unter einem übermittelte der BF E-Mail-Korrespondenzen mit der XXXX sowie dem BMSGPK.

1.4. Mit Eingabe vom 28.09.2022 erhob der BF einen „Änderungsantrag“ zum gegenständlichen Verfahren und führte aus, die LH NÖ sei als zusätzliche Beschwerdegegnerin zu führen, da ihm deren Rolle vor Einbringung der ursprünglichen Beschwerde nicht bewusst sein habe können. Ihre Verantwortlichkeit sei erst durch BGBl. Nr. I 100/2021 klar geworden.

Zudem beantragte er die bescheidmäßige Feststellung, dass es sich bei den gegenständlichen Covid-Tests um einheitliche Datenverarbeitungen handle; dass sowohl der BM als auch die LH gemeinsam verantwortlich für die Datenverarbeitung seien und diese ihren Informationspflichten iSd. Art. 13 und 14 DSGVO nicht nachgekommen seien. Zusätzlich begehrte er diverse Eventualfeststellungen.

1.5. Mit dem bekämpften Bescheid wies die belangte Behörde die Datenschutzbeschwerde ab und den „Änderungsantrag“ zurück. Begründend führte sie zusammengefasst aus, beim gegenständlichen Sachverhalt sei die Rolle des datenschutzrechtlichen Verantwortlichen maßgeblich, das diesbezüglich entscheidende Kriterium sei die Entscheidungsgewalt über Mittel und Zwecke der Verarbeitung. Unter Verweis auf § 5a Abs. 1 EpiG 1950 in verschiedenen Fassungen hielt sie fest, dass es sich bei den in Rede stehenden Teststraßen um solche im Bundesland NÖ handle. Der MB habe keinen Einfluss auf deren Errichtung oder Betrieb gehabt. Sofern ein Screeningprogramm nur ein Bundesland betreffe, sei der jeweilige LH datenschutzrechtlicher Verantwortlicher.

Bezüglich des Änderungsantrages sei auf das Ausmaß der dadurch notwendigen Verfahrensergänzungen Bedacht zu nehmen. Da durch den Änderungsantrag umfangreiche und weitreichende Wiederholungen von Verfahrensschritten notwendig geworden wären, liege ein grundsätzlich neuer Antrag vor. Ein Verfahren gegen die LH sei allerdings bereits vor Einbringung des Änderungsantrages eingeleitet worden.

1.6. Gegen diesen Bescheid richtet sich Beschwerde des BF wegen „unvollständiger und mangelhafter Sachverhaltsdarstellung und unrichtiger rechtlicher Beurteilung“ mit den primären Anträgen festzustellen, dass der MB und die Landeshauptleute gemeinsam Verantwortliche iSd Art 4 Z 7 iVm 26 Abs 1 DSGVO seien und die Verantwortlichen die Rechte des BF auf Information verletzt hätten, indem sie den Informationspflichten iSd Art 13 und 14 sowie Art 26 Abs 2 DSGVO nicht nachgekommen seien. Hilfsweise wird ein Aufhebungsantrag gestellt.

Da der BF am 08.02.2022 einen weiteren „RAT-Test“ in der Teststraße XXXX gemeldet habe, müsse eine Bearbeitung der Beschwerde mit Blick auf die verschiedenen Fassungen des EpiG 1950 erfolgen. Die belangte Behörde stütze sich in ihrer Bescheidbegründung auf die Definition des „Verantwortlichen“, gehe allerdings nicht entsprechend auf die Zwecke und Mittel ein, durch welche eine Verantwortlicheneigenschaft definiert werde. Zwar seien die Teststraßen wichtig für die Feststellung von Prävalenzen iSd. § 5a Abs. 1 EpiG, jedoch gehe es primär darum, nicht mehr den Verkehrsbeschränkungen durch diverse Verordnungen zu unterliegen. Da die Tests notwendig gewesen seien, um bundesweiten Verordnungen der mitbeteiligten Partei entsprechen zu können, sei jedes Bundesland gezwungen gewesen, Screeningprogramme anzubieten, es könne somit nicht auf die Verantwortlichkeit auf Landesebene abgestellt werden.

Auch die Mittel der Datenverarbeitung (Registrierung, Probenentnahme, Analyse, Erstellung und Zustellung eines Zertifikats, eventuelle Weiterleitung eines positiven Tests an das Register der anzeigepflichtigen Krankheiten und Register für Screeningprogramme, Löschung der Daten) seien zwischen Land und Bund aufgeteilt gewesen. Dass es unterschiedliche mitwirkende Stellen gegeben habe, die im Rahmen der Möglichkeiten an der Datenverarbeitung mitgewirkt haben, ändere nichts an der Tatsache, dass es sich um eine aus datenschutzrechtlicher Sicht untrennbare Verarbeitung handle. Insbesondere trete der MB als Aussteller der notwendigen Zertifikate auf („EU Digital COVID Certificate Gateway“).

Darüber hinaus zitierte der BF Passagen der Leitlinien des European Data Protection Board zu den Begriffen „Verantwortlicher“ sowie „Auftragsverarbeiter“ (Leitlinien 07/2020).

1.7. Die belangte Behörde übermittelte die Beschwerde mit 02.01.2023 an das Gericht, verwies auf den Bescheid und hielt fest, dass es um die Vor-Ort-Registrierung bei den Teststraßen gehe und noch ein Verfahren gegen die LH wegen Verletzung im Recht auf Information anhängig sei.

1.8. Mit Schreiben vom 06.10.2023 bezog der BF Stellung zu den Ausführungen der belangten Behörde und hielt fest, dass keiner der von der belangten Behörde referenzierten Bescheide (D124.3872, D124.4300, D084.2820) im RIS abrufbar sei. Er habe sich sohin nicht damit auseinandersetzen können. Darüber hinaus seien die Anmerkungen der Behörde zum Parallelverfahren (D124.1136/22) für das gegenständliche Verfahren irrelevant. Ein näheres Eingehen auf dieses Verfahren durch das BVwG würde den Verfahrensgegenstand überschreiten.

1.9. Der MB verwies mit Äußerung vom 03.11.2023 auf seine Stellungnahme vom 22.09.2021, schloss sich der belangten Behörde in ihrer Begründung an und hob hervor, dass der BF eine Testung in einer Teststraße des Landes Niederösterreich durchführen habe lassen. Der MB habe wegen der nicht vorliegenden bundesweiten Regelung kein Mitgestaltungsrecht bei der Errichtung oder im Betrieb der Teststraßen der Bundesländer gehabt. Der BF verkenne die Unterscheidung zwischen der Testung sowie der Ausstellung der Testzertifikate.

1.10. Der Akt kam am 12.05.2025 der Gerichtsabteilung W274 zu.

1.11. Mit Beschluss vom 23.06.2025 erging der Auftrag an den BF, alle Ergebnisse der zum Gegenstand der Beschwerde gemachten Testungen (Testergebnisse bzw Rückmeldungen zu den Tests) als Ausdrucke vorzulegen, falls nicht möglich, den wesentlichen Inhalt darzustellen (wann der BF von wem worüber in Kenntnis gesetzt wurde). Dabei sei insbesondere auch anzugeben, ob sich darunter positive Testergebnisse befanden.

An die belangte Behörde erging der Auftrag, die Bescheide zu den in der Aktenvorlage vom 02. 01.2023 genannten Verfahren GZ D124.1136/22 und D124.4065 unter Angabe des diesbezüglichen Verfahrensstandes vorzulegen.

An den MB erging der Auftrag zur Vorlage allfälliger Bescheide zu den Verfahren GZ D124.3872, D124.4300 und D124.2820 und diesbezüglichen Bekanntgabe des endgültigen Verfahrensausganges, soweit bereits erfolgt. Des Weiteren sei darzustellen, welche Schritte im Zusammenhang mit der Verarbeitung von Daten von Testteilnehmern von in der Stellungnahme vom 22.09.2021 genannten Screening-Programmen der LH gemäß § 5 Abs. 1 1. Satz EpiG 1950 jedenfalls gesetzt werden mussten bzw. gesetzt wurden, mit denen ein Konnex zu Datenverarbeitungen des MB tatsächlich oder aufgrund rechtlicher Verpflichtung besteht, insbesondere im Zusammenhang mit den vom MB zu führenden Registern der anzeigepflichtigen Krankheiten gemäß § 4 Abs. 1 EpiG, dem Statistikregister (§ 4a EpiG) und der Ausstellung von Testzertifikaten gemäß § 4c Abs. 3 EpiG, wie in der Stellungnahme des MB vom 03.11.2023 genannt. Dabei wolle auch dargestellt werden, welche Unterschiede in Bezug auf Datenverarbeitungen des MB bestehen, je nachdem ob ein positives oder ein negatives Testergebnis vorliegt. Unter Bezugnahme auf die Stellungnahme vom 03.11.2023, wonach dem MB kein Mitgestaltungsrecht betreffend Errichtung und Betrieb des Screening-Programmes zugekommen und er in die Organisation nicht eingebunden gewesen sei und auch faktisch keine Möglichkeit gehabt habe, über Zweck und Mittel zu entscheiden, wolle im Hinblick auf § 5a Abs. 4 EpiG auch dazu Stellung genommen werden, dass die inhaltliche Ausgestaltung sowie die Vorgaben für die organisatorische Abwicklung der Programme und die mit deren Durchführung beauftragten Organisationen vom Bundesminister in geeigneter Weise zu veröffentlichen sind.

1.12. Mit am 08.07.2025 eingelangter Stellungnahme äußerte sich der BF dahingehend, dass er keine gegenständlichen Testergebnisse mehr zur Verfügung habe. Alle Testergebnisse seien negativ gewesen.

1.13. Mit Stellungnahme vom 25.07.2025 legte der MB drei Bescheide der belangten Behörde vor und äußerte sich, dass infolge Außerkrafttretens der gegenständlichen Bestimmungen des EpiG sämtliche damit in Zusammenhang stehende personenbezogene Daten gelöscht oder vollständig anonymisiert worden seien, sodass die Beschwer des BF weggefallen sei. Zudem habe der EuGH rezent klargestellt, dass es für die gesetzliche Festlegung der Verantwortlichkeit nicht einmal notwendig sei, dass die benannte Stelle auch tatsächlich selbst über Mittel und Zwecke der Datenverarbeitung entscheide. Im Folgenden stellte der MB die einzelnen Stadien der Verarbeitung im Rahmen der Covid-Screeningprogramme dar. Errichtung und Betrieb der jeweiligen Teststraßen in den Bundesländern seien ausschließlich den jeweiligen LH oblegen; die gesetzlichen Aufgaben des MB hätten sich auf die angeführten Register und Dienste beschränkt, für welche die Verantwortlichkeit jeweils dezidiert gesetzlich festgelegt worden sei. § 5a Abs 4 EpiG habe vor allem der Transparenz gedient, indem sämtliche Informationen zu Covid-19, somit auch Angaben zu den Testmöglichkeiten, unter www.sozialministerium.at veröffentlicht werden sollten. Die Finanzierung der Teststraßen durch den MB sei an keine inhaltlichen Vorgaben geknüpft gewesen, abgesehen von den gesetzlichen Voraussetzungen. Weder durch die Finanzierung noch durch die Veröffentlichungspflicht sei daher eine rechtliche oder faktische Einflussmöglichkeit des MB auf die Wahl der Zwecke und Mittel der verfahrensgegenständlichen Datenverarbeitung gegeben gewesen.

1.14. Mit Parteiengehör vom 08.08.2025 forderte das Gericht den BF auf darzulegen, wie der MB die inhaltliche Ausgestaltung sowie die organisatorische, insbesondere datenschutzrechtliche Vor-Ort-Abwicklung der gegenständlichen Teststraßen konkret beeinflusst haben soll.

1.15. Mit Stellungnahme vom 26.08.2025 äußerte sich der BF dahingehend, dass die Screeningprogramme de facto das gesamte Bundesgebiet betroffen hätten und nicht nur ein Bundesland, sodass § 5a Abs 1 EpiG nicht zur Anwendung komme. Der Wegfall einer Datenverarbeitung könne einen bereits erfolgten Verstoß gegen die Informationspflichten nach Art 13 DSGVO nicht beheben. Die gemeinsame Verantwortlichkeit sei in § 4c Abs 3 EpiG festgelegt. Der gesamte Ablauf eines Tests sei als eine einzelne Datenverarbeitung anzusehen. Eine gesetzlich bestimmte Trennung diverser Pflichten der Verantwortlichen schränke das Beschwerderecht eines Betroffenen gemäß Art 26 Abs 3 DSGVO gegen jeden einzelnen Verantwortlichen nicht ein. Es sei irrelevant, ob der MB konkreten Einfluss auf den Ablauf der einzelnen Teststraße gehabt habe. Allein die Notwendigkeit einer Genehmigung für ein Screeningprogramm eines einzelnen Bundeslandes belege den organisatorischen Einfluss des MB.

1.16. Am 24.02.2026 fand vor dem BVwG eine öffentliche mündliche Verhandlung statt, in der der Zeuge Mag. XXXX und die Zeugin Dr. XXXX sowie der BF befragt wurden.

1.17. Mit Stellungnahme vom 23.03.2026 nahm der BF zu einer Formulierung des Protokolls auf S 8 Stellung.

Die Beschwerde ist nicht berechtigt:

2. Feststellungen:

2.1. Der BF suchte am 22.02.2021, 12.03.2021, 24.03.2021, 27.03.2021, 13.04.2021, 22.04.2021, 01.05.2021 und 14.05.2021 die Teststraßen XXXX bzw. XXXX auf, um jeweils eine Gratis-Testung auf Covid-19 durchführen zu lassen.

2.2. Beim Besuch dieser Teststraßen registrierte sich der BF nicht vorab online, sondern machte von der Möglichkeit einer Vor-Ort-Registrierung in der jeweiligen Teststraße Gebrauch.

2.3. Beide Teststraßen waren Teil eines Screeningprogramms der LH NÖ im Rahmen der Bekämpfung von Covid-19.

2.4. Nicht festgestellt werden konnte, dass der MB einen Einfluss auf die konkreten organisatorischen Abläufe dieser beiden Teststraßen, insbesondere auf die konkrete datenschutzrechtliche Abwicklung im Zuge von Vor-Ort-Registrierungen für Covid-19-Testungen, hatte.

2.5. Nicht festgestellt werden konnte ferner, dass die Ausstellung der verfahrensgegenständlichen Testergebnisse an den BF über „Österreich testet“ durch den MB erfolgte.

3. Beweiswürdigung:

3.1. Die Feststellungen zu den Zeitpunkten und Orten der vom BF vorgenommenen Testungen sowie der jeweiligen Vor-Ort-Registrierung stützen sich auf sein unbedenkliches Vorbringen.

3.2. Die von der belangten Behörde in den Feststellungen angeführte Testung vom 17.05.2021 fand - nach der Beschwerdeergänzung des BF vom 25.05.2021 - in Wien statt, sodass von einer diesbezüglich irrtümlichen Aufnahme in den Sachverhalt des (nur über die Testungen in XXXX absprechenden) Bescheides auszugehen ist.

3.3. Der BF bestritt nicht substantiiert, dass die beiden gegenständlichen Teststraßen – wie vom MB vorgebracht – vom Land Niederösterreich (konkret: der LH) betrieben wurden. Dies ergibt sich im Übrigen aus dem von der belangten Behörde vorgelegten Bescheid vom 18.04.2025 zu D124.1136/22 (2024-0.272.232), der ein gegen die LH NÖ zu einem im Wesentlichen gleichen Sachverhalt geführtes Verfahren des BF betrifft. Ebenso sagte der Zeuge XXXX als informierter Vertreter des MB in der Verhandlung nachvollziehbar aus, dass der MB von der Möglichkeit der bundesweiten Durchführung von Screeningprogrammen keinen Gebrauch gemacht habe (Prot. S. 3), woraus zu folgern ist, dass die verfahrensgegenständlichen Teststraßen in Niederösterreich vom Land NÖ eingerichtet wurden (entsprechend der Ermächtigung in § 5a Abs 1 letzter Satz EpiG: Soweit derartige Programme nur ein Bundesland betreffen, kann der Landeshauptmann mit Zustimmung des Bundesministers entsprechende Screeningprogramme innerhalb des jeweiligen Bundeslandes durchführen.).

3.4. Der BF konnte – auf Vorhalt des Gerichts mit Parteiengehör vom 08.08.2025 – nicht nachvollziehbar darlegen, inwiefern der MB organisatorischen Einfluss auf die beiden gegenständlichen Teststraßen ausgeübt hätte. Insbesondere ist nicht ersichtlich, wie der MB die konkreten datenschutzrechtlichen Abläufe bei Vor-Ort-Registrierungen beeinflusst haben soll. Die Ausführung des BF, der MB habe durch Verantwortung über die alleinige Möglichkeit des Ausstellens eines Testzertifikats signifikanten Einfluss auf das Screeningprogramm und sei sohin Mitverantwortlicher, legt einerseits keinen konkreten Sachverhalt dar, wonach der MB die Vor-Ort-Abwicklung der Teststraßen beeinflußt haben soll, und hat sich im Übrigen in dieser Allgemeinheit im Beweisverfahren nicht bestätigt. Der Verweis auf den Bescheid vom 17.10.2022 zu GZ D124.4300 trägt zur gegenständlichen Sachlage nicht bei, zumal er sich auf eine burgenländische Teststraße und das Screeningprogramm der Plattform „Österreich testet“ (dort S 4) bezieht und nach der glaubwürdigen und durch den BF nicht widerlegten Angabe des Zeugen Mag. XXXX betreffend das Burgenland Testergebnisse über diese Plattform abgewickelt wurden (Prot. S 8), während dieser davon ausging, dass im konkreten Fall Niederösterreich diese eher nicht über diese Plattform zugestellt worden seien (Prot S 6). Der Zeuge Mag. XXXX gab weiter – unwiderlegt durch den BF - an, der MB habe auf die Durchführung der Teststraßen keinen Einfluss gehabt (Prot. S 4).

Der BF konnte für den gegenständlichen Zeitraum (vor dem 29.05.2021) in der Verhandlung auf konkretes Befragen hin keine Angaben machen, von wem er die Testergebnisse erhalten habe („davor weiß ich es nicht“, Prot. S. 7), sodass insgesamt mangels diesbezüglich klarer Beweisergebnisse weder festgestellt werden konnte, dass der MB Einfluss auf die konkreten organisatorischen Abläufe dieser beiden Teststraßen, insbesondere auf die konkrete datenschutzrechtliche Vor-Ort-Abwicklung im Zuge von Vor-Ort-Registrierungen für Covid-19-Testungen, hatte, noch, dass die Ausstellung der jeweiligen Testergebnisse an den BF über „Österreich testet“ durch den MB erfolgte.

4. Rechtlich folgt:

4.1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO), ABl. L 119 vom 4.5.2016, S. 1, lauten wie folgt:

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

(…)

Z 7: „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; (…)

Artikel 13

Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person

(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und

f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.

Artikel 26

Gemeinsam für die Verarbeitung Verantwortliche

(1) Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für die betroffenen Personen angegeben werden.

(2) Die Vereinbarung gemäß Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.

(3) Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen.

4.2.1. Im vorliegenden Fall stellt sich die Frage der datenschutzrechtlichen Verantwortlichkeit für die Erfüllung der Informationspflicht nach Art 13 DSGVO gegenüber dem BF als Betroffenem im Zuge seiner (mehrmaligen) Inanspruchnahme von zwei Covid-Teststraßen, welche von der LH NÖ betrieben wurden. Da die Informationspflicht allein den nach Art 4 Z 7 DSGVO Verantwortlichen trifft, ist zu prüfen, wer entsprechend dieser Bestimmung über Mittel und Zwecke der gegenständlichen Datenverarbeitungen im Rahmen der Testungen in den beiden Teststraßen entschied. Dabei kann nicht maßgeblich sein, wer allenfalls in einer dem Betroffenen übermittelten oder zugänglichen „Datenschutzerklärung“ als Verantwortlicher bezeichnet wurde, zumal sich die Kriterien für die Rolle des Verantwortlichen aus der DSGVO ergeben und eine Bezeichnung in einer Datenschutzerklärung insofern nicht konstitutiv ist.

4.2.2. Ebensowenig maßgeblich ist eine materiengesetzliche Benennung des Verantwortlichen insofern, als damit eine andere Stelle, die auf die Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten tatsächlich Einfluss ausübt, von ihrer Rolle als (Mit-)Verantwortliche ausgeschlossen wird (vgl EuGH 27.02.2025, C-638/23, Amt der Tiroler Landesregierung, Rz 48). Andernfalls hätte es der (Materien-)Gesetzgeber in der Hand, die gegen einen tatsächlichen Verantwortlichen nach der DSGVO jedenfalls bestehenden Rechte der Betroffenen zu verkürzen. Daraus folgt, dass die mit der Novelle BGBl. I. Nr. 100/2021 erfolgte gesetzliche „Klarstellung“ in § 5a Abs 1 EpiG, wonach der jeweilige Landeshauptmann bei Screeningprogrammen, die nur sein Bundesland betreffen, „datenschutzrechtlicher Verantwortlicher“ ist, jedenfalls nicht eine allfällige (Mit-)Verantwortung des MB ausschließen kann, abgesehen davon, dass diese Novelle erst am 29.05.2021 und damit nach dem Zeitraum der gegenständlichen Testungen in Kraft getreten ist.

4.2.3. Die Informationspflicht nach Art 13 DSGVO verlangt vom Verantwortlichen der Datenverarbeitung, dass er den Betroffenen u.a. über die Kontaktdaten des Verantwortlichen sowie des Datenschutzbeauftragten informiert, Zwecke und Rechtsgrundlage der Verarbeitung sowie die Empfänger der Daten benennt. Zusätzlich informiert der Verantwortliche ua. über die geplante Dauer der Verarbeitung, das Bestehen der Rechte nach der DSGVO sowie eines Beschwerderechts bei einer Aufsichtsbehörde.

4.2.4. Im konkreten Fall der Teststraßen für Covid-Testungen ergeben sich die meisten der genannten Informationen bereits aus dem Gesetz, zumal das EpiG in mehreren Bestimmungen konkret festlegte, von wem und zu welchem Zweck die erhobenen Gesundheitsdaten/Testergebnisse verarbeitet und abgerufen werden durften (s. etwa § 4 Abs 2, 7 und 11 EpiG, § 4a Abs 1 und 3 EpiG, § 5a Abs 2 EpiG, § 5b Abs 3 und 5 EpiG, jeweils in der im Zeitraum der gegenständlichen Testungen geltenden Fassung). Für die jeweilige Teststraße blieb daher in datenschutzrechtlicher Hinsicht insbesondere nur noch festzulegen, in welcher Form einer testwilligen Person, die sich vor Ort registrieren möchte, diese bereits gesetzlich im Wesentlichen vorgegebenen Informationen zugänglich gemacht werden (zB Aushändigung eines Zettels, Verweis auf einen Aushang, Verweis auf eine Internetseite). Es war also konkret zu bestimmen, wie, wann und durch wen die Erfüllung der Informationspflicht zu erfolgen hatte.

4.2.5. Im gesamten Verfahren (die erstinstanzlichen Ermittlungen wurden seitens des Gerichts insbesondere im Rahmen einer mündlichen Verhandlung ergänzt), kam kein „Zusammenwirken“ des MB mit der das gegenständliche Screeningprogramm durchführenden LH NÖ im Rahmen der Durchführung der Testungen hervor, weshalb eine Negativfeststellung eines Einflusses des MB erfolgte. Auch betreffend die Ausstellung der jeweiligen verfahrensgegenständlichen Testergebnisse erfolgte eine Negativfeststellung im Bezug auf den MB, unbeschadet des Umstandes, dass der MB durch Verordnung nähere Bestimmungen über die Form dieser Nachweise festlegen konnte (§ 5a Abs 8 EpiG), handelt es sich dabei doch nur um allgemeine, generell-abstrakte Formvorgaben.

4.2.6. Auch der rechtliche Rahmen hätte keinen Einfluss des MB auf die konkreten organisatorischen Abläufe der verfahrensgegenständlichen Teststraßen indiziert: Insbesondere sah § 5a Abs 4 EpiG in der zum Zeitpunkt der Testungen geltenden Fassung keine solche Einflussnahme vor, sondern dieser verpflichtete den MB lediglich zur zusammenfassenden Veröffentlichung von Informationen betreffend die unterschiedlichen Testangebote (auch) der Länder. Der MB sammelte nach dieser Bestimmung also nur Informationen und übte keinen inhaltlichen Einfluss auf die Ausgestaltung der Testmöglichkeiten aus. Zwar hatte der MB die Kosten für die Teststraßen der Länder zu tragen, weshalb deren Einrichtung gesetzlich von ihrer Zustimmung abhängig war (§ 5a Abs 1 letzter Satz EpiG), jedoch kam ihm im Rahmen der Kostenabrechnung - abgesehen von der Einhaltung der Abrechnungsvorschriften und der Kontrolle der gesetzlich vorgeschriebenen Übermittlung an die Screeningdatenbank - kein Ermessen zu, sodass den Teststraßen auch im Wege der Kostenregulierung keine organisatorischen Vorgaben zu den Vor-Ort-Abläufen gemacht werden konnten.

4.2.7. Mangels Feststellbarkeit eines Einflusses des MB auf die Mittel der Verarbeitung liegt daher auch keine datenschutzrechtliche Verantwortlichkeit des MB für die Erfüllung der Informationspflicht in den Teststraßen vor. Daran ändert auch die gesetzlich festgelegte Verantwortlichkeit des MB für das Register der anzeigepflichtigen Krankheiten nach § 4 Abs 1 EpiG und das Register für Screeningprogramme nach § 5b Abs 1 EpiG nichts, betrifft diese Verantwortlichkeit doch allein die Führung dieser gesetzlich vorgeschriebenen Register und nicht die Vor-Ort-Verarbeitung personenbezogener Daten in Teststraßen. Letztere Verarbeitung wäre immerhin (theoretisch) auch ohne Erstere möglich und denkbar. Daher kann auch – entgegen dem BF – nicht der gesamte Ablauf der Registrierungen (von der Probenentnahme, Analyse, Weiterleitung eines Testergebnisses an das Register für Screeningprogramme, Erstellung und Zustellung eines Zertifikats bis zur Löschung der Daten) zwingend als ein und dieselbe Datenverarbeitung angesehen werden.

4.2.8. Aus der vom BF angesprochenen Übermittlung der Testergebnisse an vom MB betriebene Register ist für ihn schon deshalb nichts zu gewinnen, weil diese Übermittlung unstrittig gesetzlich vorgeschrieben war und der MB daher keinerlei Einfluss auf die einzelne Übermittlung nehmen konnte. Im Übrigen existierte, bezogen auf den gegenständlichen Zeitraum von 22.02. bis 14.05.2021, lediglich das nach § 5b EpiG vorgesehene Register für Screeningprogramme, in welches alle Testergebnisse einzumelden waren, während das „EPI-Service“ des MB nach § 4b EpiG erst mit BGBl. I 90/2021 (Inkrafttreten am 28.05.2021) geschaffen wurde. Das ebenfalls vorhandene Register der anzeigepflichtigen Krankheiten war für den BF mangels eines positiven Testergebnisses (s. Stellungnahme vom 08.07.2025) ohnehin nicht relevant.

4.2.9. Wenn der BF auf den (erst durch BGBl. I. Nr. 100/2021 eingefügten) § 4c Abs 3 EpiG verweist, der eine gemeinsame Verantwortlichkeit von Bundesminister und übermittelnden Einrichtungen festlegt, so war diese Bestimmung im Zeitraum der verfahrensgegenständlichen Testungen (noch) gar nicht in Kraft (über eine im Februar 2022 durch den BF erfolgte weitere Testung hat die belangte Behörde in ihrem Bescheid gar nicht abgesprochen, sodass diese nicht Gegenstand des Beschwerdeverfahrens sein kann, s. etwa VwGH Ra 2021/09/0230, wonach äußerster Rahmen der Prüfbefugnis des Verwaltungsgerichts die "Sache" des bekämpften Bescheids ist).

4.2.10. Mangels feststellbarer (Mit-)Verantwortlichkeit des MB hat die belangte Behörde die Beschwerde wegen Verletzung der Informationspflicht daher zu Recht abgewiesen (Spruchpunkt 1. des angefochtenen Bescheides).

4.2.11. Gegen die Zurückweisung des Änderungsantrags des BF (Spruchpunkt 2. des angefochtenen Bescheides) richtet sich die Bescheidbeschwerde nicht explizit. Die Zurückweisung erfolgte im Übrigen schon deshalb zu Recht, weil die belangte Behörde bereits vor Einlangen des Änderungsantrags ein separates Verfahren gegen die LH eröffnet hatte (dieses ist mittlerweile rechtskräftig zugunsten des BF abgeschlossen, s. den Bescheid der belangten Behörde vom 18.04.2025 zu D124.1136/22).

Auf die Stellungnahme des BF vom 23.03.2026 hinsichtlich Verhandlungsprotokoll ist lediglich soweit einzugehen, dass die begehrte Fassung des Vorbringens des BF, das Land NÖ könne keine Testzertifikate ausstellen, sondern nur das Episervice, nichts an den getroffenen Feststellungen und der daraus abgeleiteten rechtlichen Beurteilung ändert.

5. Der Ausspruch der Unzulässigkeit der Revision hatte zu erfolgen, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Im Übrigen war eine Beurteilung des Einzelfalls vorzunehmen.